Всю презентацию они не сказали ни слова про privacy & security. С одной стороны приятно, что они делают прорывные вещи и плевали на внешнюю повестку с высокой колокольни. С другой стороны — с чуваками в башне из слоновой кости (в данном случае в башне из рекламного золота) рано или поздно происходит что-то плохое.
#безопасность
страница 2 из 4Представьте, вы получили секретный документ. Как не запалить источник?
Как и в других ситуациях связанных с безопасностью, представим себе на месте противника.
Какие есть способы пометить документ?
Начнем с простого: при печати, современные принтеры добавляют невидимые невооруженному глазу точки. Если ваш источник распечатал документ на работе и противник получил высококачественные сканы или оригиналы бумаг — источник сгорел. Решение — распознавать текст, никогда не выкладывать сканы.
Если говорить о цифровой передаче, то есть несколько механизмов. Самый кондовый — умышленно допустить разные орфографические ошибки в разных версиях файла. Вариант поизощреннее - заменять буквы на похожие. Кириллическую (русскую) букву «а» сложно отличить на глаз от латинской (английской) буквы «a», но это разные символы. Даём каждому потенциальному источнику «утечки» файл с уникальными заменами и потом смотрим, какая версия оказалась в паблике. У этого способа есть недостаток — компьютерная проверка орфографии живо выявит все такие «метки».
Сегодня я наконец-то увидел в паблике гораздо более крутой способ, основанный на «символах нулевой ширины». Вот самые известные: разделитель нулевой ширины, нужный, чтобы две буквы не «слиплись» в лигатуру; пробел нулевой ширины, порой используемый для расстановки «точек желаемого переноса»; и соединитель нулевой ширины, который, как ни странно, соединяет две буквы, которые иначе бы не слиплись (используется, например, в арабском).
Как вы уже наверное догадались, эти символы можно щедро расставить в тексте (даже автоматически, на каждое скачивание секретного файла отдавать его с уникальным «цифровым отпечатком»), и потом точно определить источник утечки. Я только что проверил популярные типографы, все они оставляют эти символы нетронутыми.
Добрый человек уже написал скрипт для очистки текстов от этих символов. Вообще, есть гарантированный способ избавиться от всех этих меток: распечатать секркетный текст, отсканировать и распознать его обратно. Ну или перенабрать интересующий кусочек руками.
Вариант, когда в тексте заменяются слова на синонимы тоже имеет право на жизнь. Существует специализированный софт, который автоматизирует эти вещи.
Для желающих позалипать в википедию - вот релевантная статья про «canary trap».
OpenSSL - один из самых важных IT-проектов, на нем держится практически все шифрование. После недавних адских ошибок безопасности они улучшили ситуацию с разработкой, но вот с документацией и UX ситуация все ещё аховая.
Хорошая порка: https://jameshfisher.com/2017/12/02/the-sorry-state-of-openssl-usability.html
Насчет telegram X: в публичном пространстве пока нет ни одного доказательства, что это официальный клиент, а не удачная MitM-атака. Посмотрите, даже аккаунт разработчика в AppStore другой
Я почти уверен, что это просто такой stealth-запуск тестового рефакторинга приложения на Swift, но хоть на официальном сайте-то можно было бы дать ссылку, да?
UPD: спасибо Андрею @sanss3rif что подсказал, официальное приложение под Мак тоже выложено от имени Telegram Messenger LLP. И всё-таки странно, что приходится вот такими вот способами верифицировать.
Google Prompt — очень хорошая штука для 2-факторной авторизации в гугл, гораздо человечнее всех этих totp-based решений, рекомендую https://gsuiteupdates.googleblog.com/2017/10/making-google-prompt-primary-choice-for-2sv.html
А если у вас не включена 2-факторная авторизация — самое время её включить.
Стремная автономная система из России анонсировала 80 префиксов таких компаний как Google, Apple, Facebook, Microsoft, Twitch и Riot Games. Вчера утром было два инцидента длительностью 3 минуты, роуты успели утечь в некоторые крупные провайдеры, так что часть трафика этих компаний какое-то время ходила через Россию. Почему такое возможно я объяснял на пальцах вот тут. Тот случай, когда «ночью наши учёные чуть-чуть изменят гравитационное поле Земли...»
Apple принудительно установил обновление безопасности, исправляющее проблему с root-пользователем. Они пользуются этим механизмом второй раз в истории (первый раз в связи с багом в NTP год назад).
EFF (в лице Кори Доктороу) разразился длинной (23 экрана!) статьей «почему DRM это плохо».
Идея в том, что технологическая часть менее важна, чем закон, который запрещает ковырять DRM.
Во-первых, по этому закону вполне себе можно посадить любого исследователя безопасности, ищущего уязвимость в системе. Особенно если он постит свои открытия о стыдных ошибках в твоем продукте у себя в твиттере (см предыдущий пост).
Во-вторых, корпорации используют его для борьбы с конкурентами. Шифруешь свой контент с помощью DRM -> если кто-то его расшифрует (а это обычно не сложно) -> тут же подаешь на него в суд.
Этот закон позволяет перевести многие битвы из технической плоскости в юридическую.
