не совсем инфосековое, но очень интересно — препарирование приложения Facebook для iOS. Шутка ли — 165МБ, стало интересно, что же туда натолкали, а тут оппа — все уже написано. один список сторонних библиотек чего стоит http://blog.timac.org/?p=1303

большое исследование экспертов из университета Georgetown о том, что половина взрослого населения США находится в базах распознавания лиц правоохранительных органов. там рассказывается, как некоторые штаты просто дают доступ полиции и ФБР для поиска преступников, используя информацию из фотографий в водительских удостоверениях. основная проблема заключается в том, что, по мнению правозащитников, невинные люди не должны находиться в базах для поисков преступников, и то, что ФБР с полицией имеют неконтролируемый доступ к ней, сильно неправильно https://www.perpetuallineup.org/sites/default/files/2016-10/The%20Perpetual%20Line-Up%20-%20Center%20on%20Privacy%20and%20Technology%20at%20Georgetown%20Law.pdf

Сегодня в качестве бонуса — лонгрид в виде отчета компании Eset о деятельности группы хакеров Sednit, также известной под именем Fancy Bear. Говорят, именно она стоит за взломом комиссии демократической партии США и еще много чего. В США много говорят о том, что группировка создана и функционирует при поддержке госорганов РФ, хотя четких доказательств этого пока что никто не предоставил. показательно, что многие свои "взломы" группировка реализовывала с помощью фишинга — то есть когда жертва получает ссылку (в почте или еще как-нибудь) на страницу, которая выглядит "как настоящая", где приходится ввести логин-пароль, а дальше уже дело техники. В общем, почитайте, там много интересного http://www.welivesecurity.com/wp-content/uploads/2016/10/eset-sednit-part1.pdf

и вот еще статья в The New York Times, как у подрядчика обнаружили залежи украденных у NSA документов и инструментов для взлома. и после этого ФБР будет рассказывать "ну вы сделайте тут бэкдор для айфона, мы его будем надежно хранить, никто его не заполучит". хахаха. остается только отдать должное Apple, что у компании тогда хватило яиц противостоять ФБР http://www.nytimes.com/2016/10/20/us/harold-martin-nsa.html?_r=1

Хак за Родину (из американского Esquire)

тут в очередной раз поднимается тема вопроса о том, может ли полиция заставлять человека разблокировать телефон своим отпечатком пальца. у Washington Post статья на тему того, как в этом всем фигурирует Пятая поправка к Конституции США (невозможность свидетельствовать против себя), и разблокировка телефона сканером отпечатка пальца как доказательство принадлежности телефона человеку. и что делать вообще с принуждением человека к прикосновению к телефону, если оказывается, что "ключ к разблокировке" — это тело человека. но вообще статья не дает ответа на вопрос, насколько это все легально и оставляет тему открытой. https://www.washingtonpost.com/news/volokh-conspiracy/wp/2016/10/19/can-warrants-for-digital-evidence-also-require-fingerprints-to-unlock-phones/?utm_term=.2cbd8c3e2513

дратути! сегодня в программе у нас — статья на РБК с пересказом отчета Amnesty International о "самых безопасных мессенджерах" http://www.rbc.ru/technology_and_media/21/10/2016/5808f07e9a79471023e8b713?from=newsfeed

по этому поводу есть парочка интересных моментов. такой список без присутствия там в топ-позициях мессенджера Signal — профанация темы вообще. а по поводу того, что там на первом месте Facebook, а не Телеграм, уже подгорело у Дурова https://twitter.com/durov/status/789407530560532480

а вот среди вас наверняка же есть пользователи Linux. Тут такое дело... обнаружили уязвимость, которая присутствует уже 9 лет в практически всех версиях Linux, и позволяет эскалировать права для выполнения кода в системе. уязвимость CVE-2016-5195, исправлена на прошлой неделе, и рекомендуется к скорейшей установке при наличии апдейта для соответствующего дистрибутива. эксперты называют это самой серьезной проблемой с эскалацией привелегий в Linux. тут информация о самой уязвимости (http://dirtycow.ninja) — хорошее название, кстати, тут информация о патче https://lkml.org/lkml/2016/10/19/860. еще информация о самой уязвимости — https://access.redhat.com/security/vulnerabilities/2706661, https://bugzilla.redhat.com/show_bug.cgi?id=1384344#c16, https://github.com/dirtycow/dirtycow.github.io/wiki/VulnerabilityDetails

а помните, я вчера писал про то, что у подрядчика NSA обнаружили залежи информации из NSA? (https://telegram.me/alexmakus/755) тут всплыл судебный документ по этому поводу (https://assets.documentcloud.org/documents/3149129/United-States-v-Harold-T-Martin-III.pdf), из которого следует, что по КОНСЕРВАТИВНЫМ ОЦЕНКАМ объем изъятой информации у чувака составляет 50 ТЫСЯЧ ГИГАБАЙТ. Понятно, что, скорей всего, не все из этого — украденная секретная информация, но вообще некисло так

если вдруг вы сталкивались сегодня с проблемами работы различных американских сайтов и сервисов, то знайте, что проблема не у вас. Один из крупнейших DNS-сервисов — Dyn — столкнулся сегодня с DDoS атакой, что привело к тормозам и невозможности доступа к очень многим сервисам:
ActBlue

Basecamp

Big cartel

Box

Business Insider

CNN

Cleveland.com

Esty

Github

Grubhub

Guardian.co.uk

HBO Now

Iheart.com (iHeartRadio)

Imgur

Intercom

Intercom.com

Okta

PayPal

People.com

Pinterest

Playstation Network

Recode

Reddit

Spotify

Squarespace Customer Sites

Starbucks rewards/gift cards

Storify.com

The Verge

Twillo

Twitter

Urbandictionary.com (lol)

Weebly

Wired.com

Wix Customer Sites

Yammer

Yelp

Zendesk.com

Zoho CRM

Сейчас уже Dyn пишет, что проблема исправлена (https://www.dynstatus.com/incidents/nlr4yrr162t8), но еще какие-то сбои в работе возможны

вот тут еще публикация со странной историей про JS-скимеры в онлайн-магазинах (то есть где воруют данные карточек) и про то, что Github удалил этот список магазинов. берегите себя https://geektimes.ru/post/281516/

Пишут, что атака на Dyn возобновилась, Twitter, GitHub, reddit и другие тоже могут работать с перебоями

в начале октября (https://telegram.me/alexmakus/721) писал про релиз исходного кода Mirai — кода, который позволял строить ботнеты из IoT-устройств и организовывать DDoS-атаки. так вот сегодняшняя атака на Dyn, вырубившая огромное количество сервисов в интернете, в том числе использует код Miran)

в общем, вот, наверно, лучшая статья про пятничный DDoS на Dyn, вырубавший хорошую половину американского интернета с помощью IoT-устройств. Как и предполагалось, там применялась атака Mirai, которую заопенсорсили. большинство принимавших участие устройств в атаке — это системы наблюдения и IP-видеокамеры китайского производителя XiongMai Technologies. основной вектор атаки на эти устройства — логин-пароль по умолчанию, которые известны злоумышленникам, а юзерам даже не приходит в голову их менять. а когда приходит в голову, то они меняют их в веб-панели, а телнет-ssh логин-пароль остаются захардкожеными (слово-то какое!) в прошивке, и вот вам результат. а, главное, вообще непонятно, как с этим всем бороться. https://krebsonsecurity.com/2016/10/hacked-cameras-dvrs-powered-todays-massive-internet-outage/

и вот в догонку — Hangzhou Xiongmai объявила отзыв камер в свете того, что они используются для организации DDoS-атак http://www.bbc.com/news/technology-37750798

алярма, пользователи iOS-устройств. Вчера, как известно, вышла iOS 10.1 (финальная, официальная, вот это всё). так вот, там исправлена одна важная уязвимость в CoreGraphics (CVE-2016-4673), которая позволяла после просмотра вредоносного JPEG получить возможность исполнения кода на устройстве. Детально о содержимом исправленных ошибок, относящихся к безопасности, можно почитать по ссылке, а вообще если вы еще не обновились, то рекомендуется не откладывать этот процесс https://support.apple.com/en-us/HT207271

интересный твиттер-тред о том, что, похоже, iMessage — единственный мессенджер, который поддерживает end-to-end encryption и при этом работает сразу на многих устройствах. местами криво работает, но вообще работает, в отличие от других мессенджеров https://storify.com/gruber/messaging-systems-that-support-a-e2e-encryption-an#publicize

давайте я вам еще немножко ужасов из мира инфосека расскажу. Милая китайская девушка с простым именем Wanqiao Zhang на конференции Ruxcon рассказала и, самое главное, показала... нет, не то, что вы подумали, а то, как в сетях LTE можно перехватывать и совершать звонки, отправлять текстовые сообщения и даже уводить телефоны в оффлайн. слайды с презентации вот http://www.slideshare.net/slideshow/embed_code/key/Ez63bGDQrP6EPY