Cloudflare представила замену привычной капчи, которая проверяет браузер вместо пользователя
Компания Cloudflare начала тестирование нового вида капчи (CAPTCHA) под названием Turnstile, который проверяет браузер пользователя, а не его самого. Новая технология предназначена для того, чтобы избавить пользователей от выполнения обыденных задач, необходимых для подтверждения того, что он не является ботом. Тестовый вариант API Turnstile уже доступен бесплатно всем желающим.
По словам разработчиков, Turnstile является «удобной и сохраняющей конфиденциальность альтернативой» CAPTCHA. Отмечается, что новый вид капчи избавит пользователей от необходимости проходить стандартную проверку, которая в среднем занимает 32 секунды. Вместо этого веб-ресурсы смогут отличать реальных пользователей от ботов всего за секунду.
Система Turnstile не предлагает пользователю решить визуальную головоломку. Она осуществляет набор вызовов JavaScript из браузера для определения поведения пользователя, за счёт чего системе удаётся понять, что авторизацию проходит реальный человек, а не бот. Алгоритм также использует машинное обучение при сравнении успешно выполненных задач с новыми для ускорения процесса прохождения CAPTCHA.
На данном этапе бета-версия API Turnstile доступна бесплатно всем желающим и для его использования не нужно быть клиентом Cloudflare или передавать трафик через сети компании. Процесс настройки сервиса включает в себя замену текущей версии CAPTCHA на базе JavaScript и подробно описан на странице поддержки Cloudflare.
Наука и жизнь: Яндекс и МФТИ открывают совместную лабораторию.
Яндекс и Физтех-школа прикладной математики и информатики МФТИ открывают совместную лабораторию, которая будет заниматься исследованиями в области компьютерных наук. Руководить научной работой будут специалисты исследовательского подразделения Яндекса во главе с выпускником МФТИ Артёмом Бабенко.
В лаборатории будут развивать технологии машинного обучения, компьютерного зрения, информационного поиска, обработки естественного языка и машинного перевода.
По словам ректора МФТИ Николая Николаевича Кудрявцева, Физтех всегда стремился готовить специалистов под конкретные научные направления. Искусственный интеллект и машинное обучение – это одно из ключевых направлений, которые развиваются в институте. Поэтому сотрудничество с такими лидирующими компаниями, как Яндекс, несомненно, будет способствовать развитию компьютерных технологий завтрашнего дня. К слову сказать, двери МФТИ открыты как для технологических компаний, так и для научных организаций. Например, в этом учебном году в МФТИ открылась базовая кафедра Математического института им. В.А. Стеклова РАН.
Новый уполномоченный по правам человека РФ Татьяна Москалькова вчера посетила казанский IT-парк, где в своем выступлении заявила о негативных последствиях развития информационных технологий:
«Мы живем в мире информационной революции, мы сегодня совершенно иные, чем еще 10 — 20 лет назад, мы не мыслим жизни без интернета и без возможности узнавать информацию друг о друге, — сказала Москалькова. — Мы за секунды можем повлиять на события в мире, это большое благо и ответственность».
«Информационные технологии нам дали много позитивного, но и принесли новые угрозы — прозрачности личной жизни, сужения интимной сферы.С помощью информационных технологий зло проникает в наше общество и разъедает его, как ржавчина. С помощью информационных технологий совершаются цветные революции и теракты»
Напомним, после перехода Эллы Памфиловой на должность главы ЦИК и прекращения ее прежних полномочий 25 марта нового уполномоченного по правам человека должна была избрать Государственная Дума. В ходе голосования 22 апреля Москалькова получила голоса 323 депутатов.
Возможное назначение Москальковой было встречено с опасением ряда правозащитников, отмечавших у нее отсутствие опыта в сфере защиты прав человека, поддержку ряда законов, нарушавших и ограничивавших права граждан, а также возможный конфликт интересов с МВД.
В своей программной речи в день вступления в должность новый омбудсмен заявила: «Правозащитная тема стала активно использоваться западными и американскими структурами в качестве орудия шантажа, спекуляции, угроз, попыток дестабилизировать и оказать давление на Россию. У уполномоченного по правам человека есть достаточно инструментария, чтобы противодействовать этим явлениям». пруф
Главной угрозой для общества стали компании, которые «защищают безопасность»
Автор оригинала: Эдвард Сноуден
Получив новый телефон, я всегда его разбираю. Не из любопытства и не по политическим причинам, а просто для безопасности. Первый шаг — удаление двух или трёх крошечных микрофонов на плате. Это лишь начало сложного процесса. Но даже после нескольких дней работы с паяльником смартфон всё равно остаётся самым опасным предметом в моей квартире. https://habrastorage.org/r/w1560/webt/5u/xt/eo/5uxteoophrf-fmmjue5jjcowi7g.png Микрофоны на материнской плате смартфона перед удалением
Теперь все поняли, о чём речь.
Много лет публиковались репортажи, что компания NSO Group занимается взломом телефонов с целью получения прибыли, причастна к гибели и задержаниям журналистов и правозащитников. Что операционные системы смартфонов изобилуют катастрофическими дырами (а код написан на устаревших языках, давно уже признанных небезопасными). Много лет специалисты объясняют: даже когда всё работает как положено мобильная экосистема — это адская антиутопия, смесь слежки за пользователями и откровенного манипулирования. Однако до сих пор многие не видят зла в индустрии, которая кажется такой хорошей.
В последние восемь лет я словно убеждал единственного друга бросить курить и меньше пить, в то время как реклама кричит со всех щелей: «Девять из десяти врачей курят айфоны!», «Незащищённый мобильный сёрфинг освежает!»
Но я не теряю оптимизма, поэтому проект Pegasus кажется мне поворотной точкой. Это хорошо изученная, детальная и совершенно безумная история о «троянском коне» с крыльями (в греческой мифологии Пегас — крылатый конь, сын горгоны Медузы, ударом копыта о землю мог выбивать источники, — прим. пер.), который превращает телефон в вашем кармане в универсальный жучок. Его можно дистанционно включить или выключить без вашего ведома.
«Клод Манген — жена французского политического активиста, заключённого в тюрьму в Марокко. Месяц назад на её iPhone 11 с неизвестного аккаунта пришло сообщение iMessage, которое доставило вредоносное ПО на телефон. Софт установился без каких-либо предупреждений и нотификаций, минуя системы безопасности Apple.
Экспертиза не смогла раскрыть, что именно было скопировано и отправлено. Это могло быть что угодно: Pegasus имеет доступ к электронной почте, голосовой связи, сообщениям в социальных сетях, паролям, списку контактов, фотографиям, видео, звукозаписям и истории сёрфинга. Шпионская программа может активировать камеры или микрофоны для получения свежих изображений и записей. Может прослушивать звонки и голосовую почту. Вести логи геолокации и определять, где пользователь находится сейчас: стоит ли человек на месте, а если движется, то в каком направлении.
И всё это без малейшего участия человека. Пользователю не требуется прикасаться к телефону, он даже не знает, что получил таинственное сообщение от незнакомого человека — в случае Манген, некоего linakeller2203@gmail.com».
Короче говоря, телефон в вашей руке существует в состоянии вечной незащищённости. Он всегда открыт для заражения кем угодно, у кого достаточно денег. Весь бизнес этой «индустрии информационной безопасности» заключается в создании новых инфекций, которые обходят последние обновления безопасности. Эти инструменты затем продают странам, которые остро нуждаются в самых изощрённых средствах угнетения своего населения.
Подобная индустрия, единственной целью которой является производство уязвимостей, должна быть ликвидирована.
Даже если завтра NSO Group и всех представителей этой индустрии внезапно сотрёт с лица земли вулканом общественного возмущения, это не изменит того факта, что мы в разгаре величайшего кризиса компьютерной безопасности в истории. И разработчики Apple, Google, Microsoft, которые хотят продавать продукт, а не доводить его до совершества, и их полная противоположность — благонамеренные разработчики Linux, которые хотят доводить продукт до совершенства, а не продавать его — все они спокойно пишут код на небезопасных языках, потому что… ну, потому что так привыкли, а модернизация требует значительных усилий, не говоря уже о расходах. Подавляющее большинство уязвимостей, которые потом эксплуатируются индустрией небезопасности, появляются по техническим причинам, связанным с управлением памятью. Поэтому выбор более безопасного языка — критически важная мера защиты… но мало кто об этом думает.
Если вы хотите изменений, их нужно стимулировать. Например, если хотите вызвать сердечный приступ у Microsoft — предложите идею юридической ответственности за плохой код в коммерческом продукте. Хотите лишить сна Facebook — расскажите об идее юридической ответственности за любые утечки личных данных, собранных без необходимости. Только представьте, как быстро Цукерберг начнёт нажимать клавишу Delete.
Где нет ответственности, нет и подотчётности… и это приводит нас к роли государства.
Спонсируемое государствами хакерство стало настолько обычным соревнованием, что на Олимпийских играх у него должна быть отдельная категория.
А с государствами, которые "защищают безопасность", уже покончили? Ну те, у кого силовой и судебный аппарат, возможность вломится ночью в любую квартиру, посадить в кутузку, ну или подогнать пацанчиков с зеленкой, без возможности из прижать по закону? Ааааа, это компании оказывается главная угроза, ооок
В свободном доступе выложили архив сервиса «Яндекс.Еда» с данными заказов клиентов, «Яндекс» ранее подтвердил утечку
Согласно данным по утечке от сервиса поиска утечек и мониторинга даркнета «DLBI», утечка «Яндекс.Еды» появилась в свободном доступе 27 февраля. Там был архив с тремя SQL-дампами, суммарно содержащими 49 441 507 (49,4 млн) строк с заказами, включая такие колонки и данные:
имена и фамилии клиентов, как они записаны в профиле пользователя сервиса;
номера телефонов — всего там 6 882 230 уникальных номеров из РФ (почти все регионы) и Казахстана и 206 725 из Белоруссии;
полный адрес доставки клиента;
комментарии к заказу;
суммы заказов;
выгрузка содержит даты заказов с 19.06.2021 по 04.02.2022.
Господа. Для увеличения охвата аудитории, когда выкладываете многостраничный пост, предлагаю в конце поста тезисно излагать его содержание. Не все имеют возможность или желание прочитать его полностью. А те кто имеют могут потерять желание в процессе, под тяжестью объема материалла.
Специалист по информационной безопасноти, нужен совет.
Здравствуйте, многоуважаемые пидоры и пидорессы.
Уже много лет сижу на риахтуре в режиме read only, но только недавно решил активировать аккаунт. В том числе, потому что мне необходим ваш совет по одному важному вопросу.
Сейчас мне 30 лет, работаю в одной крупной IT-компании в РФ, в поддержке продаж продуктов Мелкомягких. С момента начала февральского пиздеца на Украине работы существенно поубавилось, хотя зп пока что выплачивают. Тем не менее, сидеть на пятой точке без какого-либо развития несколько подзаебало, хочется расти профессионально, стать востребованным спецом, зарабатывать хорошие деньги (от 100к деревянных в месяц) и свалить наконец из сраной Рашки.
Сейчас думаю прокачать себя в такой области как информационная безопасность. Нашёл курсы на skillbox, просят около 105к за 2 года обучения. Подскажите, кто-нибудь проходил подобные курсы? Есть ли смысл записываться, или это фуфло без реальной возможности в последствии трудоустроиться? Может есть ещё какие-либо варианты? Самостоятельное обучение в интернете пока не рассматриваю, т.к есть вероятность положить болт на это дело без должного надзора со стороны.
Буду рад дельным советам от адекватных людей, шарящих в теме. Заранее спасибо.
Длиннотекст, и многим наверняка не понравится. Но лучше прочитать
Прошла неделя с начала вторжения РФ в Украину. В предыдущем посте я нелицеприятно высказался о стратегических успехах (которых нет) украинской стороны, качестве их командования, и неожиданно получил много откликов в личку от украинцев, которые благодарят за попытку объективно оценить состояние дел в стране и вооруженных силах. Многие считают, что в тяжелый момент людям нужна правда, какой бы страшной она ни была, а киевские власти привычно врут, причем врут в расчете на идиотов. Это только демотивирует граждан защищать страну. Честно, даже не ожидал такой реакции. Дякую, друзі. Буду робити огляди, орієнтуючись в першу чергу на українську аудиторію. Москалям я вже все сказав тут.
Для начала хочу разъяснить вопрос, в котором имею основания считать себя компетентным – о пропаганде. В Информационную эпоху когнитивные технологии приобрели колоссальное значение, в некоторых случаях они решают исход войны. Вот только украинские военные пропагандоны понятия не имеют даже об азах этого сложного дела, выстроенного на очень тонких расчетах. Они мыслят примитивно: надо поддерживать боевой дух армии и давать побольше позитива населению. Если фейк взбодрит людей – будем лепить больше жирных фейков. Это фатальная ошибка! Представьте себе солдат, которые потерпели поражение. Понеся большие потери, отступают, оставляя врагу очередной городок. И при этом слушают пропаганду, надрывно визжащую о том, что атака интервентов отбита, враг потерял сотни убитыми и тысячи сдавшимися в плен, сожжены миллионы вражеских танков а сбитые самолеты врага вообще невозможно сосчитать.
Что должны подумать бойцы, которые хорошо понимают, что никакой перемогой на их участке фронта даже не пахнет? Они начинают рассуждать примерно так: если нас побили, а власть врет, что дела на передовой обстоят блестяще, или скрывает реальное положение дел, увлеченно подсчитывая потери интервентов, то значит она врет, говоря о победах и на других фронтах. То есть мы везде терпим разгром. Логично же!
Это деморализует, подрывает веру в командование и в конечном счете лишает бойцов воли к сопротивлению. Но дух гражданского населения таким враньем и манипуляциями можно поддерживать? Да, конечно. Но лишь до тех пор, пока люди не начинают сталкиваться с реальностью. И когда расхождение между розовыми ожиданиями скорой перемоги и реальностью достигает критического уровня, любая, даже локальная военная катастрофа может стать триггером психологического слома общества.
В нацистской Германии этот надлом произошел в 1943 году после осознания масштабов сталинградской катастрофы, где в котле бесславно сгинуло 300 тысяч солдат рейха. Потери в масштабах той войны не выглядят ужасными. К тому времени в Германию с Восточного фронта пришло уже порядка миллиона похоронок. Но есть нюанс: потери воспринимались как плата за победу, а вера в непобедимость германской армии была абсолютной. Теперь же была заплачена колоссальная цена за… поражение от каких-то там унтерменшей. Более того, перелом в общественном мнении произошел во всем мире.
Нацистская пропаганда до последнего трубила о блестящих победах германского оружия, о том, что враг падет со дня на день. Даже когда Сталинград был окружен, это подавалось, как хорошая новость: мол, крепость Сталинград – это утес, о который разобьются волны большевистских орд. И потому разгром ранее непобедимого вермахта стал шоком для населения Германии. Ведь пропаганда вбила в головы немцам, что победить сверхчеловеков, во главе которых стоит богоподобный фюрер, совершенно невозможно. Вот этот разрыв между ожиданиями и реальностью, которую никакая промывка мозгов уже не могла залакировать, и стал причиной надлома немцев. Утрата веры в победу, в правоту своего дела – первый предвестник неизбежного краха.
Да, на войсках Сталинградская катастрофа сказалась не так сильно. Хотя бы потому, что солдаты оценивали ситуацию на фронте не по геббельсовским агиткам, а по тому, что видели своими глазами, а потому особых иллюзий не испытывали. Но для них после погрома армии Паулюса возросшая сила советских войск стала неоспоримым фактом. К тому же общество и армия живут не в разных вселенных. По мобилизации в войска поступали все более молодые, все хуже обученные и менее мотивированные солдаты. И через полтора года в победу уже никто не верил, многие были озабочены в первую очередь спасением своей шкуры.
В то же время для советского народа и РККА, которая в первые полгода войны потеряла в котлах 1,5 миллиона солдат, эти потери не стали причиной психологического надлома. Потому что пропаганда работал очень грамотно. Никакого пи…дежа о победах! Она не пыталась создавать завышенных ожиданий, не назначала дату штурма Берлина. Пропаганда носила не подбадривающе-терапевтический, а мобилизационный характер: «Вставай, страна огромная, вставай на СМЕРТНЫЙ БОЙ…». «Убей немца!», «Пусть земля горит под ногами оккупантов!», «За ценой не постоим!», и все такое прочее. А весь предвоенный залихватский агитматериал про «малой кровью, могучим ударом» был выброшен на помойку в первый же день войны. Идущие на фронт 18-летние мальчишки не обещали подругам вернуться с орденами к новогодней елке. Не было никаких иллюзий по поводу скорой и легкой победы, и поэтому самые тяжелые потери и поражения воспринимались как повод для мести, а не причину поскорее сдаться или дезертировать.
Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…
Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.
В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин. То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».
К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора: Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами. И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.
Видимо, только этот котэ добросовестно охраняет вокзал.
Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.
Всё началось с гипотезы
В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.
Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?
Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.
Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!
То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.
Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.
Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os
Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…
За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.
А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств… Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.
Вот некоторые из найденных сервисов с паролями по умолчанию:
1. Камеры наружного наблюдения — подавляющее большинство.
Ещё камеры
Даже офисы внутри
Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.
2. Ip-телефоны и FreePBX сервера также большое количество.
3. IPMI серверов:
Asus
Dell (их подавляющее большинство)
Supermicro
Из серверов виртуализации встречаются ESXi, Proxmox и oVirt
Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)
4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)
5. Системы управления ИБП
6. Внутренние сервисы
Что-то похожее на мониторинг состояния систем обеспечения здания.
Система управления кондиционированием и вентиляцией
Различные системы управления табло на перронах :-)
Эта самая красивая
Некий терминал, но внутри модифицированный дебиан.
Таких нашёл около 20
Кстати, аптайм у него почти год:
6. Сетевое оборудование
Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.
Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет. Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.
Не полный кусок лога по прокси.
Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.
И все же кто же хозяин?
Думаю, что уже все и так догадались.
Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.
Это здец. Сеть просто в решето.
Причём это устройства по всей РФ.
Например, вот это вокзал Уфы
Антропово Костромской области
Развёрнута профессиональная система видеонаблюдения.
Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.
Как же так получилось?
Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.
То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…
Получилась вот такая картина:
Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN «Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено. Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?
У меня лично есть всего три варианта ответа на этот вопрос:
1. У Вас исходно плохая команда.
Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.
2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.
3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.
Стоимость уязвимости
«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД». Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.
Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.
Рандомно выбранная из списка установленных модель стоит ~13к рублей.
А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.
Гипотетическому злоумышленнику потребуется:
Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два. Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.
Двигаемся дальше.
Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.
А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…
Кажется счёт уже уходит за миллиарды…
Что нужно изменить, чтобы снизить вероятность возможных последствий? Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.
Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.
1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.
2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:
2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)
2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.
3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.
4. После сдачи проектов провести аудит безопасности инфраструктуры.
5. По окончанию пентестов своими силами объявить Bug Bounty
Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.
В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.
Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.
Заключение Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».
Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.
Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят. Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.
В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…
Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.
Связаться со мной можно через телеграм t.me/monoceros Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os
![4r G A He3amnmeH0 | 10 4/cgi/url_redirect.cgi?url_name=mainmenu © System © Summary [J»l Java iKVM Viewer v1.69.26 [1 .4] - Resolution 1024 X 768 - FPS 9 Virtual Media Record Macro Options User List Capture Power Control Exit © FRU Reading © Hardware Informatioi Vttuare ESXi 6.0.0](http://img0.joyreactor.cc/pics/post/%D0%A0%D0%96%D0%94-%D0%B4%D1%8B%D1%80%D0%B0-%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C-%D0%BD%D0%BE%D0%B2%D0%BE%D1%81%D1%82%D0%B8-6421376.png "РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность")
![4r O A He3aiiii/iuieHO | 10 131 M0X3 j Main Menu Cl Overview Cl Basic Settings Cl Network Settings l'C3 Serial Settings LCl Port 1 1Operating Settings LCl Port 1 Cl Accessible IP Settings 1-^3 Auto warning Settings l-Q E-mail and SNMP Trap ;-Q Event Type ] Digital 10 |-Q DIO Settings 1 Cl DIO](http://img0.joyreactor.cc/pics/post/%D0%A0%D0%96%D0%94-%D0%B4%D1%8B%D1%80%D0%B0-%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C-%D0%BD%D0%BE%D0%B2%D0%BE%D1%81%D1%82%D0%B8-6421378.png "РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность")
Отличный комментарий!