Автор
KL FC Bot
в Новости и события из мира информационной безопасности
-
Похожий контент
-
Автор KL FC Bot
Незаметно для нас мессенджеры стали неотъемлемой частью жизни, средой, где мы проводим значительную часть повседневных активностей. Мы используем их для общения с друзьями, семьей и коллегами, для чтения новостей, развлечения и даже для продвижения бизнеса или своего личного бренда. Разумеется, такой популярный инструмент неизбежно привлекает и злоумышленников. Поэтому, кроме комфорта и удобства, мессенджеры привносят в нашу жизнь и ряд рисков.
В этом посте мы решили посмотреть на основные угрозы для пользователей мессенджеров с точки зрения производителя защитных решений и продумать, как разработчики могли бы обеспечить дополнительную безопасность своих коммуникационных приложений.
Чрезмерные разрешения
Каждое современное приложение при установке и во время использования просит разрешения на доступ к различным функциям мобильного устройства: контактам, камере, микрофону, геолокации, галерее фотографий и так далее. В большинстве случаев эти разрешения действительно необходимы для работы приложения, но иногда пользователи дают гораздо больше прав, чем это нужно для нормальной работы в данный момент. При этом далеко не всегда пользователю очевидно, зачем именно мессенджеру нужен тот или иной доступ и, что еще важнее, — что происходит с данными, к которым этот мессенджер доступ получил (особенно если контроль над приложением захватят злоумышленники). А между тем, лишние доступы могут нести угрозу не только приватности, но и безопасности всего устройства в целом. Чтобы минимизировать эти риски, следует придерживаться нескольких простых правил.
Во-первых, мы рекомендуем придерживаться принципа минимально необходимых привилегий. Это значит, что доступ к каким-либо функциям и данным следует разрешать, только если пользователь понимает, для чего это нужно, и только на то время, когда это действительно необходимо. Например, простому текстовому мессенджеру едва ли нужен доступ к точной геолокации. Или если вы не собираетесь совершать видеозвонки через конкретный мессенджер, то и доступ к камере ему ни к чему.
View the full article
-
Автор KL FC Bot
Недостатки и уязвимости сотовых сетей регулярно применяются для атак на абонентов. Злоумышленники используют устройства с броскими названиями IMSI Catcher (Stingray) и SMS blaster, чтобы следить за перемещениями людей, а также присылать им спам и вредоносное ПО. Проще всего проводить такие атаки было в сетях 2G, сложнее — в сетях 3G и 4G, где появилась защита. Но даже в 4G-сетях нашлись недостатки реализации, делающие возможными отслеживание перемещений абонента и другие утечки информации. Вздохнем спокойно при переходе на 5G? Увы, нет.
Апгрейд наоборот
Многие практические атаки вроде того же «SMS-бластера» основаны на «даунгрейде», то есть принудительном переключении смартфона жертвы на более старые стандарты связи. В старых стандартах у атакующего больше простор для маневра — от возможности узнать уникальный идентификатор абонента (IMSI) до отправки фальшивых SMS от имени любой организации. Как правило, «даунгрейд» проводится с помощью устройства, которое заглушает сигнал настоящей базовой станции сотового оператора и транслирует что-то свое. Но это может быть обнаружено оператором и в будущем будет работать хуже, потому что в смартфонах появляется встроенная защита от подобных атак, препятствующая переключению на 2G, а иногда и на 3G.
Исследователи Сингапурского технологического университета продемонстрировали атаку SNI5GECT, которая работает в новейших 5G-сетях и не требует таких заметных действий, как глушение легитимного сигнала базовых станций. Атакующий, находясь в радиусе до 20 м от жертвы, может заставить модем целевого устройства перезагрузиться, а также насильственно переключить его в сеть 4G, где проще идентифицировать абонента и следить за его перемещениями. Как работает атака?
Перед подключением устройства к базовой станции 5G между ними происходит обмен информацией, первые этапы которого не зашифрованы. Позднее, уже установив зашифрованный сеанс связи, база и смартфон «представляются» друг другу, но «договариваются» о параметрах сеанса они в открытом, незашифрованном виде. Устройство атакующего отслеживает этот процесс и очень точно выбирает момент, чтобы прислать уместный блок информации раньше, чем это сделает легитимная базовая станция. В результате модем жертвы обрабатывает вредоносные данные. В зависимости от модема и содержимого пакета информации, это приводит либо к переключению модема в сеть 4G с отказом заново подключаться к той же 5G-базе, либо к сбою и перезагрузке модема. Второе полезно, только если нужно кратковременно оставить жертву без связи, а вот первое позволяет применять все известные атаки на 4G для слежки.
Атака продемонстрирована на смартфонах OnePlus Nord CE 2, Samsung Galaxy S22, Google Pixel 7 и Huawei P40 Pro. В этих устройствах используются совершенно разные сотовые модемы: MediaTek, Qualcomm, Samsung и Huawei, но проблема кроется именно в особенностях стандарта, а не конкретных смартфонов. Отличия в нюансах: одни модемы можно перезагружать, а другие нельзя, в одних модемах вставить вредоносный пакет удается лишь в половине атак, а в других — в 90%.
View the full article
-
Автор KL FC Bot
Европейский закон Digital Markets Act обязал крупные технологические компании сделать свои продукты более открытыми. Благодаря DMA на iOS появятся сторонние магазины приложений, а крупные мессенджеры должны предоставить возможность переписки с другими подобными приложениями — создать кросс-платформенную совместимость, «интероп» (interoperability). О том, как эта совместимость будет реализована в WhatsApp и Messenger*, недавно написали инженеры Meta*. Достоинства совместимости очевидны любому, кто отправлял и получал SMS или e-mail, — вы можете пользоваться этими сервисами, вообще не задумываясь, на каком телефоне или компьютере, в каком приложении и в какой стране пользуется SMS или e-mail ваш собеседник. Но и недостатки тоже известны и весомы — к подобным перепискам часто имеют доступ посторонние (от спецслужб до хакеров), а также они являются самыми массовыми каналами спама и фишинга. Возможно ли, что DMA сохранит достоинства совместимости, избавившись от ее недостатков?
Отметим, что последствия DMA для App Store в iOS затрагивают только европейских пользователей, а вот кросс-платформенность, весьма вероятно, «накроет» всех, даже если подключаться к инфраструктуре WhatsApp будут только европейские партнеры.
Можно ли переписываться в WhatsApp с пользователями других мессенджеров?
Пока — только теоретически. Meta* опубликовала спецификации и технические требования к партнерам, которые хотят, чтобы в их приложениях можно было переписываться с абонентами WhatsApp или Messenger**. Теперь эти партнеры должны появиться, разработать мост между своим сервисом и WhatsApp и запустить его. Пока анонсов таких партнерств замечено не было.
Владельцы и разработчики других сервисов далеко не всегда готовы внедрять подобную функцию. Одни считают ее небезопасной, другие не готовы тратить ресурсы на довольно сложную технологическую интеграцию. Meta* требует от потенциальных партнеров реализовать сквозное шифрование, сопоставимое по надежности с имеющимся в WhatsApp, а это могут воплотить далеко не все платформы.
Но даже когда — и если — сторонние сервисы появятся, только те пользователи WhatsApp, которые сами явно захотели переписываться со сторонними сервисами, получат такую возможность. Автоматически она не включится.
Посмотреть статью полностью
-
Автор Sapfira
Примерно в течении последних 1-2 месяцев была замечена какая-то странная странность. Во время игр вырубается интернет, причём, игры одиночные, в них нет мультиплеера и интернет им, вообще, не нужен. Такое было замечено в нескольких разных играх. Проявляется это тем, что поиграешь в игру 1-2 часа, потом выходишь на рабочий стол, а интернета нет (значок в трее показывает, что нет соединения). Можно ничего не делать и через несколько минут интернет сам появляется.
Далее выяснилось, что если включить в игре вертикальную синхронизацию, тогда интернет не отключается. Но какая тут связь не понятно.
-
Автор KL FC Bot
После того как Илон Маск сломал свой Twitter (сейчас известный как X), а Марк Цукерберг показал общественности свой Threads*, в Интернете заметно участились разговоры о некоем Fediverse. Многие считают его последней надеждой человечества на то, чтобы выбраться из существующего социально-сетевого безобразия.
В этом посте разбираемся, что этот самый Fediverse собой представляет, как он работает, что он предлагает пользователям уже сейчас и что в нем может появиться в недалеком будущем.
Что не так с обычными социальными сетями
Начнем с того, зачем вообще нужен Fediverse. Главная проблема современных соцсетей — они стали чрезмерно закрытыми и замкнутыми сами на себя (на полях заметим, что их еще и чертовски много). Часто без регистрации в той или иной соцсети вы не сможете даже получить доступ к существенной части контента, а о каком-то взаимодействии с ним и вовсе речи быть не может.
Чтобы, к примеру, поставить лайк в Twitter или оставить комментарий к видео в YouTube, вам придется сначала зарегистрироваться в соответствующем сервисе. Если говорить о социальных сетях, которые входят в империю Марка Цукерберга, то тут все еще хуже: часто без аккаунта вы не сможете даже толком ознакомиться с содержимым соцсети, не то что «полайкать».
Вторая важная проблема социальных сетей состоит в том, что они по сути не производят ничего сами по себе. Все содержимое соцсетей создают пользователи, а владеющие ими огромные и могущественные корпорации наживаются на чужом контенте. И, конечно же, совершенно не уважают приватность своих пользователей, собирая невероятное количество данных о них. Это уже приводило к грандиозным скандалам в прошлом и наверняка выльется в кучу неприятностей в будущем, если ничего кардинально не поменяется.
При нынешнем порядке вещей есть еще один немалый риск, связанный с полным отсутствием хоть какого-то контроля со стороны пользователей над платформой, которую они на самом деле создают. Скажем, когда огромная соцсеть, ставшая, так уж вышло, одной из важных медийных частей общемировой политики, переходит под контроль человека с весьма своеобразными взглядами, ее пользователям остается только утереться (или поискать себе другую платформу, с чуть более вменяемым владельцем).
Fediverse призван решить все эти проблемы привычных социальных сетей: излишнюю централизацию, полную неподотчетность, изоляцию контента, сбор данных о пользователях и нарушение их приватности.
Посмотреть статью полностью
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти