платежная система свифт

У РФ заканчивается высокоточное управляемое оружие

Я нашел этот длинный материал и сильно сократил его, чтобы попасть в формат джоя. Сурс-же тут:

https://istories.media/opinions/2022/05/12/smozhet-li-rossiya-voevat-bez-zapadnogo-importa/

https://static.rusi.org/special-report-202204-operation-z-web.pdf

Итак, кратко:

На данном этапе войны истощены запасы ракет, а производство новых в большой степени зависит от компонентов, произведенных в других странах. Это оружие имеет жизненно важное значение для продолжения военных действий, точное количество запасов неизвестно, но уже отмечают переход к системам вооружения более низкой категории.

Что касается элитных систем вооружения, таких как „Искандер-М“, здесь есть лимит на долю запасов, которую РФ может использовать против Украины, не подрывая своих планов по обороне от НАТО, Китая и других — часть из них нужно держать в резерве.

Детали, которые нельзя заменить российскими

В своем докладе аналитики приводят примеры российского вооружения, применяемого в Украине, с использованием импортных составляющих, которые нельзя заменить на российские аналоги. Обнаружить это им удалось в ходе полевых работ в Украине этой весной.

Один из примеров — крылатая ракета ракетного комплекса «Искандер-К». Авторы доклада физически осмотрели один из бортовых компьютеров, полученный после падения. «Из семи [компонент передачи] лишь одна разработана в советское время и произведена в России. Остальные шесть — продукция компаний США. Направляющие, соединяющие печатные платы с корпусом компьютера, и сами печатные платы тоже произведены в США».

«Технический осмотр российского оружия и транспортных средств показал, что такая закономерность есть во всех основных российских системах вооружения, найденных на поле боя, — отмечают аналитики. — Снаряды системы залпового огня „Торнадо“ используют [компоненты] американского производства, система противовоздушной обороны „ТОР-М2“ — разработанные Великобританией. Такая же картина справедлива для „Искандер-М“, „Калибр“, Х-101 и многих других».

От западных компонентов зависит не только оружие, но и снаряжение. В радиостанциях «Акведук» важнейшие электронные компоненты, произведенны в США, Германии, Нидерландах, Южной Корее и Японии. Комплекс РЭБ «Борисоглебск-2» — более 60 электронных компонентов западного производства, большая часть из США, Великобритании и Германии.

Авторы доклада заключают, что почти вся современная военная техника России зависит от сложной электроники, импортируемой из других стран. «Несмотря на то что некоторые компоненты для военной техники можно будет производить в России — хотя и с большими финансовыми затратами и с меньшей надежностью, — многие компоненты российского вооружения заменить невозможно, — например, системы связи Ил-76. Только в коммуникационном комплексе этого самолета было выявлено 80 компонентов, которые не могут быть заменены деталями российского производства».

«Если у нас со стратегическими ядерными силами такие проблемы, то какие проблемы со всем остальным»

Российский эксперт по военной промышленности соглашается с выводами авторов доклада. «Сильно зависит от импорта в России любая электроника, любые системы, компьютерная техника, микросхемы, микропроцессоры. Электроника сейчас используется практически везде. Любая [военная] техника, кроме автомата Калашникова, может оказаться импортозависимой», — объясняет эксперт. — «Ситуация с собственной элементной базой в нашей стране, в общем-то, ужасна», — говорит он. Один из примеров — системы управления ракеты «Сармат», — «Это самая совершенная ракета, святая святых нашей ракетной техники. Для нее не смогли сделать систему управления, которая соответствовала бы требованиям. В открытом доступе лежат документы арбитражного суда, в которых сказано, что при существующем уровне российской элементной базы выполнение требований невозможно. И это лишь одна из иллюстраций. Если у нас со стратегическими ядерными силами такие проблемы, то можно представить, какие проблемы со всем остальным».

«В стране не остается специалистов, которые знают, как производить»

Пример «Сармата» не единственный. «Куда мы ни ткнем [в российском ВПК], везде у нас будут такого рода проблемы. Производство танков — там проблемы, потому что мы занимаемся модернизацией старых танков. Произвести новые [танки] „Арматы“ тоже пока не можем, потому что „Уралвагонзавод“ испытывает финансовые сложности. С производством самолетов — тоже проблемы. Мы строим один-два транспортных самолета или один-два бомбардировщика в год, причем не с нуля, а используя старый советский задел. В советское же время и даже в 90-х годах строили по два-четыре бомбардировщика Ту-160 в год и по 30 штук в год бомбардировщиков Ту-22М. Сейчас наш ВПК не может выпускать [технику] в таком количестве», — говорит эксперт.

Еще одна проблема — дефицит специалистов, которые могли бы разрабатывать отечественные аналоги западных комплектующих. «Ростех, которому были переподчинены большинство оборонных предприятий, за последние 10 лет закрыл 70 процентов предприятий. А когда какие-то вещи не производятся несколько лет, то в стране не остается специалистов, которые знают, как их производить. И даже если есть деньги и желание, делать это просто некому».

Как Россия будет продолжать войну без западных поставщиков

По словам эксперта по военной промышленности, в некоторых видах вооружений западные элементы российской армии все же удается заместить «за счет не самых совершенных электронных компонентов китайского происхождения. Условно говоря, вместо одной нормальной американской микросхемы можно поставить десять китайских. Это хуже одной американской, но работает. В большинстве случаев покупают у Китая, потому что других вариантов нет. А это может привести к снижению надежности и снижению точности», — говорит эксперт.

Он считает, что западные оценки, которые говорят об истощении запаса высокоточного оружия у российских сил в этой войне, могут быть верными. «Вероятно, сейчас останется некоторый запас ракет для особо важных целей. А потом из закромов родины достанут все остальное, пустят в ход, и война может стать более тотальной и менее точечной», — рассказывает эксперт.

Кроме этого, Россия может использовать скрытые способы поставок комплектующих для своей военной техники. «Наверняка уже были проработаны схемы, через третьи, четвертые страны, как это было в советское время. Тогда для этого специально создавались липовые организации в Европе, в Азии. Но сейчас это будет сложнее проделать и легче вычислить».

Народный избранник предложил ликвидировать ПФ.

"Боюсь, я разрушу их матрицу..." Фермера Михаила Шляпникова из подмосковной деревни Колионово обвиняли в "подрыве финансовой системы Российской Федерации" за то, что он напечатал местную валюту, привязанную к куриным яйцам. Теперь его "колион" торгуется на криптобиржах, а блокчейн-технологии используются для пенсионной реформы в масштабах одной маленькой счастливой деревни

В Ростове-на-Дону заключенные СИЗО-1 захватили в заложники двух сотрудников ФСИН, сообщает ведомство

На место происшествия приехал начальник ГУФСИН России по Ростовской области, ведутся переговоры по освобождению заложников. 

В сообщении ГУФСИН по Ростовской области говорится, что СИЗО «функционирует в штатном режиме, обстановка контролируемая». 

По данным телеграм-канала Baza, обвиняемые смогли отобрать оружие у сотрудников изолятора. Эта информация не подтверждена. 

Как пишет Mash, территорию вокруг СИЗО перекрыли. На место съезжаются машины скорой помощи и Росгвардии.

Baza приводит подробности захвата заложников в ростовском СИЗО

Как утверждает телеграм-канал, шестеро обвиняемых выбили оконную решетку в своей камере и проникли в дежурную часть, где взяли в заложники начальника оперативного управления подполковника Александр Б. и младшего инспектора дежурной службы СИЗО 1 (его имя телеграм-канал не приводит).

Опубликовано видео, снятое, как утверждается, в СИЗО-1 Ростова-на-Дону после захвата заложников

https://t.me/ENews112/18020

На записи мужчина с ножом говорит, что СИЗО захвачено боевиками «Исламского государства». 

«Люди настроены серьезно. Услышьте их», — говорит один из заложников. 

UPD

Захватившие заложников заключенные «ликвидированы», сообщила ФСИН. Ведомство также подтвердило информацию об освобождении заложников. Они не пострадали

Связанные с силовиками телеграм-каналы публикуют видео с убитыми заключенными, которые захватили заложников СИЗО в Ростове. Осторожно, это очень жесткие кадры. 

https://t.me/ENews112/18037

В России госорганам запретят Times New Roman и другие зарубежные шрифты

Как уточняет «Коммерсантъ», эта мера облегчит работу компаниям, которые уже используют отечественные операционные системы (ОС). Из-за санкций их разработчики не могли включать популярные шрифты, в том числе стандартный для ведомственных документов Times New Roman американской Monotype Imaging. Изменения снимут противоречие между требованиями по импортозамещению и оформлению документации.

В остальных ОС, в том числе и отечественных, на которые переходят госорганы и госкорпорации в рамках программы импортозамещения, такие шрифты недоступны. Для решения проблемы многие организации использовали шрифты со свободной лицензией, из-за чего их документы не соответствовали ГОСТу, а значит, могли не пройти ведомственные согласования.

Эксперты уточняют, что если открыть документ, который оформлен, например, шрифтами Times New Roman или Arial на компьютере, где они не были установлены, то операционной системе или офисному ПО придется заменять их другими доступными. В результате может нарушиться структура документа: изменится форматирование текста, его верстка или разметка.

Источник eadaily

Источник Коммерсантъ

Источник cnews

Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…

Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.

В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».

К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора:
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.

Видимо, только этот котэ добросовестно охраняет вокзал.

Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.

Всё началось с гипотезы

В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.

Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?

Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.

Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!

То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.

Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.

В поисках Немо владельца системы

Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.

Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os

Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…

За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.

А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.

Вот некоторые из найденных сервисов с паролями по умолчанию:

1. Камеры наружного наблюдения — подавляющее большинство.

Ещё камеры

Даже офисы внутри

Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.

2. Ip-телефоны и FreePBX сервера также большое количество.

3. IPMI серверов:

Asus

Dell (их подавляющее большинство)

Supermicro

Из серверов виртуализации встречаются ESXi, Proxmox и oVirt

Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)

4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)

5. Системы управления ИБП

6. Внутренние сервисы

Что-то похожее на мониторинг состояния систем обеспечения здания.

Система управления кондиционированием и вентиляцией

Различные системы управления табло на перронах :-)

Эта самая красивая

Некий терминал, но внутри модифицированный дебиан.

Таких нашёл около 20

Кстати, аптайм у него почти год:

6. Сетевое оборудование

Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.

Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.

Не полный кусок лога по прокси.

Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.

И все же кто же хозяин?

Думаю, что уже все и так догадались.

Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.

Это здец. Сеть просто в решето.

Причём это устройства по всей РФ.

Например, вот это вокзал Уфы

Антропово Костромской области

Развёрнута профессиональная система видеонаблюдения.

Нашёл презентацию по вокзалам.

macroscop

Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.

Как же так получилось?

Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.

То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…

Получилась вот такая картина:

Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например

Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?

У меня лично есть всего три варианта ответа на этот вопрос:

1. У Вас исходно плохая команда.

Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.

2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.

3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.

Стоимость уязвимости

«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.

Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.

Рандомно выбранная из списка установленных модель стоит ~13к рублей.

А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.

Гипотетическому злоумышленнику потребуется:

Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.

Двигаемся дальше.

Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.

А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…

Кажется счёт уже уходит за миллиарды…

Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.

Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.

1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.

2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:

2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)

2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.

3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.

4. После сдачи проектов провести аудит безопасности инфраструктуры.

5. По окончанию пентестов своими силами объявить Bug Bounty

Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.

В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.

Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.

Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».

Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.

Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.

В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…

Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.

Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os

Кстати, Евгений Игоревич, с повышением!

Источник

Елисейский дворец принял решение аннулировать новое пенсионное законодательство, которое французы приняли в штыки. Об этом сказано в статье Le Monde

Верховному комиссару — куратору реформы Жан-Полю Делевуа пришлось подать в отставку, добавляют журналисты

Профсоюзы ранее вывели на акции против реформы пенсионной системы в общей сложности до 340 тыс. человек

Мы, конечно, еще будем наблюдать признаки истерики Путина долгое время. До сих пор нет подтверждения, что Навального поместили в Матросскую тишину. Но вероятнее всего туда.

Решение сегодняшнего суда просто невероятное. Ни одной ссылки на закон в обосновании. Словно закона не существует.

Упомянуты статьи закона только в финальной, но эти статьи не относятся к условно осужденным. Все эти статьи находятся в открытом доступе и каждый может убедиться, что в них нет права ни заключать условно осужденного под стражу (как просила полиция), ни продлять срок задержания, как это сделал суд.

Статья 46 УИК вообще не относится к условно осужденным лицам, она регулирует ответственность осужденных к исправительным работам.

Сегодняшним судом в здании УВД судебную систему сломали окончательно.

Это безусловно коснется каждого. Сломав систему на Алексее Навальном, они теперь будут творить беззаконие по отношению к каждому и терять уже нечего.

Сурс

З.Ы. Это не приговор Навальному. Это сигнал всей правоохранительной (слово-то какое) системе, включая судей (которые давно уже частью этой системы стали), что вот так вот можно. 

Армия РФ потеряла в Украине 19 900 солдат, 160 самолетов и 144 вертолета - Генштаб