#утечка

История на этом заканчивается, дальше мои мысли.

1. Бизнесу сегодня выгодно хранить как можно больше данных о клиентах. PR-щики могут врать сколько угодно в духе «ваш звонок очень важен для нас», но ни один коммерческий сервис сегодня не разрабатывается с мыслью «как минимизировать утечки персональных данных». Почему? Простая экономика: дополнительные данных могут теоретически когда-нибудь повысить прибыльность бизнеса, а за утечку перс данных их максимум пожурят и выпишут штраф в треть месячной зарплаты одного программиста. Да и технически проще хранить всё вечно, чем придумывать какие-то специальные правила удаления.

2. Технически можно, например, не хранить вообще никаких персональных данных, которые не нужны для работы сервиса. Доставили заказ — удалили имя человека, телефон и прочее. Примерный адрес, сумму и вес можно сохранить отдельно, без имен — для того, чтобы оптимизировать потом логистику на основе анализа больших данных, как мы любим. Или вынести персональные данные в тот же контур, что и данные банковских карт, их крадут очень редко — но этот подход сильно сложнее, персональные данные нужны для работы службы тех. поддержки, например — тут будет очень много нюансов.

3. Это большая и интересная техническая задача, но решить её до смешного просто. Для того, чтобы убрать проблему утечки персональных данных, достаточно законодательно изменить бизнес-мотивацию. Ввести штрафы за утечки в районе процентов от годового оборота компании. 2% оборота яндекса за 2021 год — это 7 миллиардов рублей. Примерно 2 тысячи рублей каждому потерпевшему и ещё столько же в бюджет. С такой мотивацией бизнес мгновенно направит туда свои инженерные таланты, а я смогу записать классный эпизод подкаста о том, как там всё круто сделано. Примерно это и пытается сделать GDPR. Если бы у нас был нормальный парламент — сам бы предложил такой закон.

🔥 Базы данных можно комбинировать и это как мешать бензин с гудроном. В оригинальной утечке Яндекс.Еды не было ФИО клиентов, только имя. Но полное ФИО клиентов есть в утечке СДЭК (крупнейшей курьерской-почты России). В обоих базах есть общее поле — номер телефона. Сопоставляем записи по номеру телефона и вуаля — теперь мы знаем не только код домофона, но и полные ФИО большого числа клиентов Яндекс.Еды. Чем больше баз ты скачал и скомбинировал — тем больше узнаешь о человеке.

Будет полезно сделать подобный хороший интерфейс ко всем украденным базам данных — тогда, наконец, общество поймёт, насколько много лишнего о нас знают корпорации и насколько наплевательски они относятся к нашим данным. Наша личная жизнь сегодня буквально ничего не стоит (ок, 100 тысяч рублей за пару миллионов человек).

У Яндекса украли и выложили в публичный доступ ФИО, телефоны, домашние адреса и даже коды домофонов примерно 1,8 миллионов клиентов.

Как это произошло? Какой-то нечистоплотный сотрудник Яндекса слил базу данных Яндекс Еды и передал её украинским активистам, которые ведут виртуальную войну с Россией.

База появилась в интернете чуть раньше 2 марта, Яндекс сделал пресс-релиз, но никто этого не заметил. Очередная новость о сливе, люди уже перестали обращать на них внимание, тем более — только началась война.

Через 3 недели кто-то сделал человеческий интерфейс к этим данным — нанес на карту все заказы, добавил функцию поиска. Сайт появился 22 марта и тут-то многие поняли, о какого масштаба утечке идет речь, про это стали писать медиа.

Активисты довольно быстро нашли ещё одну квартиру любовницы и дочери Путина, выяснили сколько на доставку еды потратил особенно противный пропагандист Антон Красовский (500 тысяч за полгода), а также обнаружили личные телефоны и домашние и рабочие адреса сотен публичных личностей, жены обнаружили любовниц, всё как в варьете Воланда.

Эта база — просто рай для сумасшедших, мошенников и преступников всех мастей. Можно для удобства отсортировать самых богатых клиентов Яндекса, чтобы максимизировать доходы.

Особенно неприятно, что взлом совпал с модой рисовать букву Z и подбрасывать свиные головы людям, которые против войны. В этой базе — готовые адреса для провластных «активистов» всех мастей.

Если говорить о пиар-работе со стороны Яндекса: в пресс-релизе 2 марта Яндекс не упоминает домашние адреса как часть утекших данных. Это, видимо, неважная деталь. Когда начало полыхать, руководитель Яндекс.Еды опубликовал хороший пост.

Что дальше? Яндекс ждет штраф в 100 тысяч рублей. Да, треть месячной зарплаты программиста Яндекса.

Злоумышленники взломали главный сервис для стримеров twitch.tv, который Безос недавно купил за миллиард долларов. Не просто взломали, а выложили огромный массив внутренних данных в публичный доступ.

В открытом доступе, прямо через битторент доступен 128 гигабайтовый архив. Внутри — исходные коды и некоторые копии баз данных. Исходные коды в виде git-репозиториев, то есть это — вся история разработки проекта, а не просто одномоментный слепок. В исходных кодах также есть ключи доступа. В базах данных уже нашли суммы выплат топовым стримерам и даже зашифрованные пароли пользователей.

Юристы твича быстро блокируют распространение частей исходных кодов или финансовой информации на публичных сайтах, но оригинальный битторент архив они заблокировать не могут просто технически. Вот она, новая реальность.

—

Абсолютно защититься от взлома — невозможно, но не хранить секретные ключи в git-репозиториях в 2021 году — можно и нужно. Вот 9 инструментов, которые помогут найти секретные токены в вашем коде и не допустить их появления в будущем.

Я регулярно провожу технические аудиты своим клиентам и секретные ключи в коде есть у большинства компаний.

Если после каждой громкой новости о взломе чинить одну вещь в своей инфраструктуре — за пару лет получится конфетка. Начать можно прямо сегодня.

Фейсбук залетел. Несколько его сотрудников слили внутренние документы и исследования о негативном влиянии соцсетей на психику, особенно — подростков. В сентябре об этом написала большую серию статей The Wall Street Journal, а в четверг будут слушания в Сенате США.

Часть документов теперь доступна нам всем на сайте WSJ: «тела подростков», «психическое здоровье подростков — глубокое исследование», «сравнение образа себя с другими в инстаграме», «сравнение себя с другими: темы, знаменитости, лайки, селфики», «открытия по психическому здоровью», «подростки и молодежь в инстаграме и фб». Да, названия не обманывают.

Первоисточники интересны хотя бы тем, что можно подсмотреть, какие исследования ученые могут провести, если дать им нормальный доступ к данным соцсетей и не затыкать рот страхом. Я бы законодательно требовал у всех соцсетей делать сырые данные для такого рода исследований публичными, но пока все законодатели ломаются на вопросе «как работает айфон» :(

Пересказ Медузы.

Что-то я всё про личные дела и про западные мега-корпорации. А вот вам свежей русской IT-безопасности от Аэрофлота. Исходные коды всех веб-приложений Аэрофлота годами лежали в открытом доступе по адресу http://89.208.149.202:5000/v2/_catalog. Docker Registry API позволяло не только скачивать исходные коды приложений, но и редактировать их всему интернету. Публичный репозиторий со всеми исходниками и описанием, кхм, уязвимости появился 3 дня назад. Доступ к оригинальному API уже прикрыли, но покопаться в тонне джанги можно тут.

Не удивлюсь, если у Аэрофлота ещё десяток подобных проколов и кто-то годами а) сосет персональные данные клиентов б) крадет бабло потихоньку или летает нахаляву.

Мораль, как всегда, простая: заказывайте регулярный аудит информационной безопасности у профессионалов. Это не супер-дорого, а от такого вот позорища убережет. Могу порекомендовать нормальных ребят, если это читает представитель Аэрофлота ;)

P.S. Интересно, что первым про это написал The Register вчера ночью, а наши перепечатали сегодня утром.

P.P.S. Вот что пишут знакомые безопасники: аэрофлот, кстати, ужасная бюрократическая машина, знакомый сливал их исходники из другого места давно, они не посотрудничали. Там такая типичная корпоративная х*йня с откатами итд

Представьте, вы получили секретный документ. Как не запалить источник?

Как и в других ситуациях связанных с безопасностью, представим себе на месте противника.
​

Какие есть способы пометить документ?

Начнем с простого: при печати, современные принтеры добавляют невидимые невооруженному глазу точки. Если ваш источник распечатал документ на работе и противник получил высококачественные сканы или оригиналы бумаг — источник сгорел. Решение — распознавать текст, никогда не выкладывать сканы.

Если говорить о цифровой передаче, то есть несколько механизмов. Самый кондовый — умышленно допустить разные орфографические ошибки в разных версиях файла. Вариант поизощреннее - заменять буквы на похожие. Кириллическую (русскую) букву «а» сложно отличить на глаз от латинской (английской) буквы «a», но это разные символы. Даём каждому потенциальному источнику «утечки» файл с уникальными заменами и потом смотрим, какая версия оказалась в паблике. У этого способа есть недостаток — компьютерная проверка орфографии живо выявит все такие «метки».

Сегодня я наконец-то увидел в паблике гораздо более крутой способ, основанный на «символах нулевой ширины». Вот самые известные: разделитель нулевой ширины, нужный, чтобы две буквы не «слиплись» в лигатуру; пробел нулевой ширины, порой используемый для расстановки «точек желаемого переноса»; и соединитель нулевой ширины, который, как ни странно, соединяет две буквы, которые иначе бы не слиплись (используется, например, в арабском).

Как вы уже наверное догадались, эти символы можно щедро расставить в тексте (даже автоматически, на каждое скачивание секретного файла отдавать его с уникальным «цифровым отпечатком»), и потом точно определить источник утечки. Я только что проверил популярные типографы, все они оставляют эти символы нетронутыми.

Добрый человек уже написал скрипт для очистки текстов от этих символов. Вообще, есть гарантированный способ избавиться от всех этих меток: распечатать секркетный текст, отсканировать и распознать его обратно. Ну или перенабрать интересующий кусочек руками.

Вариант, когда в тексте заменяются слова на синонимы тоже имеет право на жизнь. Существует специализированный софт, который автоматизирует эти вещи.

Для желающих позалипать в википедию - вот релевантная статья про «canary trap».