Технологии и общество

Прямо сейчас лечу в Торонто на RightsCon, планирую рассказать о блокировках телеграма. Со-докладчик Ксения Ермошина презентует своё исследование рынка коробочек, которые покупают провайдеры для реализации блокировок.

Rightscon — крупная ежегодная конференция про свободу интернета. Приезжают активисты, технари, журналисты, ученые, представители государства (регуляторы, минсвязи) и индустрии (в основном GR-чуваки в пиджаках, которые умеют говорить часами ничего не сообщая по сути вопроса и главные юристы (General Counsel)). В этот раз (из-за близости к долине) будут и классные докладчики: основатель Reddit Стив Хаффман, основатель и гендир крупнейшего CDN Cloudflare Мэтью Принс, писатель Рон Диберт.

Есть некоторая ирония в том, что год назад RightsCon 2018, планировавшийся в Сан-Франциско, перенесли в Торонто из-за «политики Трампа в отношении виз». Не знаю, насколько сложно сейчас с визами в Штаты глобально (владельцам ВНЖ в Риге её делают за 2 дня), но половина моих знакомых русских докладчиков не приедет в Торонто из-за отказа в канадских визах 🤷‍♀️

Анкета на канадскую визу примерно такая же большая, как на британскую (где живет и чем занимается сейчас ваш папа?), только качество бюрократии на порядок ниже. Я смог полететь только благодаря сервису VisaToHome. Заполняешь нормальную веб-анкету на сайте, приезжает курьер, забирает паспорт, привозит через 10 дней паспорт с визой обратно. Чистая магия. Стоит около 5 тысяч рублей; рекомендую.

Всю презентацию они не сказали ни слова про privacy & security. С одной стороны приятно, что они делают прорывные вещи и плевали на внешнюю повестку с высокой колокольни. С другой стороны — с чуваками в башне из слоновой кости (в данном случае в башне из рекламного золота) рано или поздно происходит что-то плохое.

Интересно, как правоохранители вытаскивали данные с айфонов подозреваемых?

Специалист одной из главных компаний в этой «области» рассказал, что часто применялся следующий метод: если жертва (стандартный термин в информационной безопасности, никаких юридических отсылок) хотя бы раз синхронизировала телефон с iTunes в компьютере — то там оставался маленький файл (lockdown record), разрешавший сделать бэкап телефона без введения пинкода. Файлик копировался атакующим (правоохранителем, а скорее, его подрядчиком), далее делался полный бэкап телефона и все данные вытаскивали уже из файла бэкапа.

А узнали мы всё это потому, что в последнем обновлении Apple ввел новое ограничение — если с момента последнего введение пинкода прошло больше 7 дней, то USB порты телефона блокируются для любой передачи данных и работают только как зарядки.

То есть Apple узнал, как телефоны его покупателей взламываются правоохранителями и другими злоумышленниками (ещё один термин ИБ) и встроил защиту. После китайской истории (Apple передал ключи шифрования iCloud китайских пользователей правительству Китая) я не питаю иллюзий в плане того, что прибыль для Apple первична. Радует, что информационная безопасность западных пользователей приносит Apple деньги, а значит владельцы айфонов и макбуков в западных странах могут спать чуточку спокойнее.

Slack изменил свои правила и теперь даёт скачать админу все приватные чаты и даже личные сообщения между членами команды, ничего об этом не сообщая участникам переписки.

Раньше скачать личную переписку других сотрудников в слеке можно было только включив так называемый Compliance mode, необходимый в основном для финансовой сферы. При включении этого режима все члены команды получали в личку уведомление «всё, что вы напишите с этого момента может быть прочитано вашим администратором».

По новым же правилам, достаточно заплатить за Plus-аккаунт (15$ за человека против 5$ в standard-тарифе) и админ получает доступ ко всей переписке за всё время, без какого-либо уведомления сотрудников.

В Standard тарифе тоже можно запросить такой полный экскпорт, но потребуются: а) описание, зачем это нужно б) согласие всех участников переписки в) закон, разрешающий сделать это в вашей юрисдикции. Но плати на 10$ за человека в месяц больше — и всё, никаких ограничений.

В самой этой возможности нет ничего ужасного — это рабочая переписка, в конце-концов. Хочешь что-то секретное частное — используй личные мессенджеры. Но стремно, что они поменяли правила и при этом дают выкачать старые сообщения, отправленные тогда, когда правила не давали такой возможности.

https://get.slack.help/hc/en-us/articles/204897248-guide-to-slack-data-exports

Хотел написать сегодня большой пост про скандал с фейсбуком (персональные данные опять, да) — он там даже не думает утихать, разгорается всё сильнее с каждым днем.

Но прочитал высказывания наших (?) депутатов госдумы по поводу обвинений в адрес Слуцкого (трое журналисток обвинили этого депутата в домогательствах) и чуть не отправил «да они ебанулись там что-ли» в канал @meduzalive 100 тысяче подписчиков, так что лучше выскажусь здесь.

Домогаться до женщины словами, если находишься в доминирующем положении — недопустимо. Нарушать её физические границы — полный пиздец. Смеяться над тем, что женщина говорит о домогательствах, отвечать ей «да ты сама небось захотела» или спрашивать «чё-то ты раньше молчала?» — это каким дикарем нужно быть?

В моей среде приняты разговоры о «перегибах позитивной дискриминации» и прочих дебатах о бедном инженере Google, которого уволили за свободу слова. За этими разговорами легко забыть, что мы с вами живем в другой реальности.

Сегодня, в 2018 году в Госдуме России комиссия по этике в полном составе практически в прямом эфире гнобила жертв домогательства со стороны депутата Госдумы. Депутат под вопросом не просто говорил журналисткам слова, но трогал, например, лобок одной из них без её согласия. Что блядь происходит? Комиссия не рассмотрела аудио-запись, где насильник на диктофон творил всякий ад, шутила шуточки, пыталась быстрее это «заседаньице» закончить.

Я понимаю, что у нас в стране тысячи детей живут в детских домах, полиция засовывает людям в жопу бутылку от шампанского и убивает, но это вот показное «имею право быть неприличным» каждый раз выбивает меня из колеи.

Это неприлично. Слуцкий — мудак, которому в прошлом веке давно бы отстрелили яйца. Девушки, вы — герои.

Очень своевременное высказывание на тему «как сильно гугл любит свободную прессу и честные новости». Возможно излишне цинично, но похоже на защиту.

WSJ подробно рассказывает, как избежать трекинга фейсбука, прямо со скриншотами экрана настроек, где что нужно переключать о_О

(ссылка ведет в google, переходите по первому результату и тогда WSJ покажет всю статью без пейвола)

Вообще, вся эта история с «трекинг — зло», «залипание в телефонах — зло» переходит из разряда «горячая тема» в категорию «все согласны, что это вредно, но пока ничего радикального с этим не делаем». А потом в какой-то момент будет как с сигаретами.

Вот две показательные статьи на эту тему, в the Guardian и в The New York Times.

Статья в The Guardian вышла октябре 2017. Она рассказывает про людей, придумавших многие современные технологии (пуш уведомления, пулл-ту-рефреш, лайки). Программисты и дизайнеры осознали, что за монстра они создали и пытаются избежать своих детищ. Яркий пример: Крис Марцеллино, придумавший в Apple пуш-уведомления, уехал из долины и учится на нейрохирурга (легко ему, скажете вы, после бонусов в акциях:)

Статья в NYT от февраля 2018 рассказывает уже не об отдельных мучениках, а об объединении Center for Humane Technology. Походите по их сайту, он супер-крутой, объясняет на пальцах проблему и пути её решения.

Я лично за пару последних лет изменил 3 вещи: 1. выключил все красные бэджики в иконках приложений (всё равно никакой полезной информации не несут); 2. пользуюсь телефоном в черно-белом режиме; 3. отписался в facebook ото всех и читаю посты друзей, открывая их профили время от времени. Такая вот аскеза.

Супер история от фотографа, которого обвинили в краже фотографии, а оказалось, что он просто сфотографировал ту же самую волну в то же самое время, с точностью до миллисекунды из соседнего дома.

Гугл раздает на конференции аппаратные ключи безопасности.

Эти ключи очень хорошо защищают от фишинга, с ними невозможно ввести 2-fa код безопасности в паленый сайт — и это 90% угроз даже для журналистов.

Единственный минус — аппаратные ключи немного опаснее в случае мощной таргетированной атаки. Представьте, сначала крадут пароль, а потом ключ и получают неограниченный доступ к аккаунту. У одноразовых кодов в телефоне остается ещё пинкод-защита телефона, а в случае аппаратного ключа это game over.

https://landing.google.com/advancedprotection/

Приехал на неделю на Internet Freedom Festival в Валенсию.

На фестиваль собрались специалисты по информационной безопасности, активисты свободы интернета и представители крупных интернет-корпораций. А ещё здесь +18℃, солнце и голубое море.

Вчера познакомился с иранцами, которые из Лондона делают медиа для соотечественников. Показал, как пользоваться @ControllerBot и услышал «у нас маленький канал, всего 250 тысяч подписчиков; но ещё пару месяцев назад у постов было по 3-4 миллиона просмотров» 🙈.

Завтра проведу панельную дискуссию про цензуру в соцсетях. Мне кажется, что это очень важная история, которой мы не уделяем достаточно внимания.

Когда правительство пытается заблокировать сайт — оно принимает закон и идет к провайдерами (а их сотни). Факт блокировки публичен, да и гражданин явно видит, что ссылка не открывается, может воспользоваться VPN.

Когда правительство хочет заблокировать пост или видео в социальной сети — оно идет к одной-двум крупным корпорациям. Встречи проходят за закрытыми дверями, договоренности не публичны. А уж понять, не видишь ли ты видео оппозиционного политика потому что его заблокировали или алгоритм считает, что он тебе будет неинтересен — вообще невозможно.

Обществу нужно больше знаний и больше власти в этой области. Без борьбы ни правительства, ни корпорации власть не отдадут.

P.S. В дополнение к официальным методам цензуры используются «черные способы». В случае сайтов — DDoS и хакерские атаки, в случае соцсетей — боты.