Блог

Вот это неожиданная подстава со стороны Microsoft – их сервис Outlook взломали, и хакеры могли получить доступ к некоторым аккаунтам с начала года по 28 марта. 

Для меня сервисы Microsoft являются жизненно-необходимыми. У меня в облаках Google, Apple и Microsoft лежит вся моя жизнь. Поэтому у меня везде стоит двухфакторная аутентификация, но она не способна защитить мои данные от хакеров, которые напрямую взламывают сервисы Microsoft. 

Я доверяю большой тройки и даже несмотря на этот случай, мои данные останутся в Майкрософт, но все же страшновато, что могут возникнуть новые проблемы. 

Когда я был в магазине Apple, то рядом была девушка с MacBook Pro, которому уже 7 лет, как она утверждает. Странно, мне кажется, ему должно быть больше, потому что у этого Pro был простой жесткий диск со спином, а Apple уже, кажется, на много дольше ставит только SSD. Когда я покупал свой Air 7 лет назад уже кажется все было на SSD, не помню, чтобы были спинеры. 

Короче, у нее аккумулятор перестал заряжаться уже давно, но она его не вытащила, и использовала так ноутбук. Как объяснил мастер, аккумулятор продолжал разлагаться в ноутбуке, пока не взорвался. 

У Apple не оказалось переходников, чтобы снять с диска данные. Девушке предложили позвонить в компанию, которая занимается подобными случаями и умеет снимать данные. Ей сказали, что за эту операцию с нее возьмут 1200 долларов. За эти деньги можно новый ноутбук купить, и она конечно же послала компанию. 

Только сели в самолёт, а перед нами через пару рядов семья начала ржать, а потом женская половина стала показывать друзьям через пару рядов на телефоне, как у них грузовик (что-то типа F-150) уехал со двора и камера это засняла. И вот задняя часть самолета (круто звучит) обсуждала этот грузовик. Люди ещё не уехали в отпуск, а камера уже сообщила о счастье. 

Исследователь из Германии нашел баг в macOS и не делиться этой информацией с Apple, потому что яблочники не платят за найденные уязвимости в macOS. За ошибки в iOS есть выплаты. И это понятно, но в то же время очень странно. 

Apple заботится о iOS, потому что это основной источник дохода для компании. Но в то же время они походу не очень волнуются о безопасности macOS. Это не очень солидно. 

Linus Henze из Германии смог программно получить доступ к KeyChain и при этом ему не понабился пароль администратора или root доступ. 

Сейчас в одном из подкастов услышал рекламу NSA о найме специалистов области безопасности для защиты США от кибер атак. 

Я никогда не слышал, чтобы Россия нанимала «специалистов в области безопасности». Я ставлю кавычки, потому что тут скорей всего имеется в виду хакеров. Но все до сих пор думают, что в России КГБ нанимает специалистов, когда приходит в дом и силой забирает лучшие умы в свои подземные бункеры. 

Но вот NSA США открыто нанимает и скорей всего им нужны не специалисты по безопасности, а именно хакеры. Для реализации ИТ проектов (включая и обеспечение безопасности) правительство всех цивилизованных стран объявляют конкурсы и заключает контракты с коммерческими компаниями. В США таких компаний очень даже много, причем тут представлены одни из самых лучших. 

Очень часто формы о забытии пароля не сообщают о том, существует ли реально e-mail или нет. Какой бы e-mail вы не ввели, в ответ вы получите сообщение, что пароль отправлен вам на e-mail. На самом деле, если e-mail не зарегистрирован на сайте, то ждать будете вечно. 

У меня несколько e-mail адресов и когда возникает проблема с забытым паролем, мне приходится заполнять форму забытого пароля для каждого из них, если я точно не помню, какой я использовал. 

Позиция безопасников, которые требуют такого поведения - сайты не должны говорить, зарегистрирован ли адрес, потому что хакеры могут потом запустить подбор пароля. На мой взгляд это глупость, потому что хакеры запустят подбор даже если не знают, зарегистрирован e-mail или нет.

Сегодня прочитал, что в аудиодорожки можно встроить какие-то звуки, которые позволят управлять умными устройствами дома. Человек не будет слышать звуки, которые может распознать Alexa или Google Home. 

Если честно, то я изначально не доверял всем этим умным устройствам и в них уже давно есть серьезная уязвимость - они не распознают голос. Они распознают речь, но не голос и это серьезная проблема. Именно поэтому у меня Амазон Алекса дома имеет право только включать и выключать свет, но никогда не научится открывать входную дверь. Это можно сделать через специальный хаб (я слышал что можно, но даже не пробовал и не собирабюсь пока), но это откроет уязвимость к моему дому. 

Ух ты, какая банальная уязвимость

Бытует мнение, что программы с открытым исходным кодом надежнее и безопаснее, чем фирменные. Сторонники этого утверждения считают, что такую систему исследуют множество людей разными способами и тем самым выявляют все возможные погрешности. А самое главное, что ошибки исправляются своевременно, доступны для свободного скачивания и легки в установке.

Да, искать ошибки на уровне кода совместно с тестированием готового продукта намного проще и эффективнее, но результат далек от идеала. Несмотря на массовое тестирование, в Linux достаточно часто находят ляпсусы. Однако если посмотреть, какая армия пользователей обследовала последние версии Windows, то можно было бы подумать, что она станет безупречной. Тестирование — это одно, а применение в "боевых условиях" зачастую демонстрирует совершенно непредсказуемые результаты.

Если я не ошибаюсь, то это уже не первый раз, когда Google раскрывает информацию про уязвимость в продукте Microsoft. 

На этот раз уязвимость нашли еще в ноябре и у Microsoft было 90 дней на то, чтобы выпустить патч. Потом дали еще 14 дней, прежде чем информация о дыре стала доступна общественности. Но патч так и не стал реальностью. 

Согласно инженерам Google, из-за сложности бага неизвестно, когда может быть готов патч.