C.O.D
«Тот, кто готов променять свободу на безопасность, не достоин ни свободы, ни безопасности» ©. Бенджамин Франклин.
Компания МТС обратилась в Роскомнадзор и Минкомсвязи с требованием ввести в России лицензии для сервисов, осуществляющих доставку сигнала через интернет-канал. Об этом пишут «Ведомости» в номере от 27 мая.
Соответствующие письма несколько недель назад направил вице-президент МТС по корпоративным и правовым вопросам Руслан Ибрагимов. Факт отправки письма подтвердили источники в одном из ведомств, а также представители МТС.
По мнению Ибрагимова, OTT-сервисы (Over The Top сервисы, к ним относятся, в частности, Skype и Google Talk) становятся прямыми конкурентами сотовых операторов, при этом их деятельность никак не регулируется. В связи с этим МТС призывает определить статус подобных сервисов в качестве участников рынка.
В качестве одного из решений МТС предлагает ввести принцип пропорционального разделения доходов между сервисами и мобильными операторами - по такой схеме компания работает с Google. Представители остальных операторов «большой тройки» - «Вымпелком» и «Мегафон» - заявили «Ведомостям», что разделяют точку зрения МТС, хоть и не направляли пока подобных писем.
Попытки лицензировать деятельность ОТТ-сервисов предпринимаются не только в России. Так, в марте 2013 года на деятельность Skype обратили внимание телекоммуникационные регуляторы Франции. Соответствующий запрос был передан в прокуратуру Парижа, однако решения по этому вопросу пока принято не было.
© http://lenta.ru/news/2013/05/27/skype/
Все, кто использует Skype, обязан согласится с пунктом, что компания может читать все, что там пишут (смотри Положение о конфиденциальности в Skype). Компания Heis, совместно с немецкими коллегами, выяснила путем простейшего эксперимента, что Microsoft активно использует эту возможность, но очень странным образом.
Практически сразу после отправки сообщения в Skype, в котором содержалась ссылка на некий https ресурс, данный ресурс был посещен с IP, принадлежащего Microsoft HQ в Редмонде, США.
UPD: Статья дополнена предположениями о возможной причине произошедшего. Опубликовано 17 Мая 2013 на The-H-Security.
Было замечено, что после передачи в теле сообщения ссылки, генерируется необычный для неё трафик, распознаваемый сервером как потенциальная атака повторного воспроизведения.
В тоже время IP адрес, с которого «злоумышленник» пытается получить доступ по ссылке, принадлежит Microsoft.
Была предпринята попытка подтвердить подозрение, для чего в теле сообщения были отосланы две тестовых https ссылки. Одна содержала информацию для авторизации в системе (логин/пароль), а другая вела на приватный сервис файлообмена, базирующийся в облаке. Несколько часов спустя после отправки сообщения в логе был зафиксирован следующий запрос на сервер:
65.52.100.214 - - [30/Apr/2013:19:28:32 +0200] "HEAD /.../login.html?user=tbtest&password=geheim HTTP/1.1"
Согласно Utrace, IP адрес принадлежит Microsoft.
Таким образом, после передачи https ссылок через Skype сервер активно получает запросы с сервера Microsoft. В основном ссылки ведут на зашифрованные страницы, содержащие идентификатор сессии, или другую приватную информацию. Самое интересное, что не зашифрованные http ссылки не были посещены славной компанией.
В данном примере Microsoft использовала оба приёма - запрос к серверу содержал как отосланную пару логин-пароль, так и специально сгенерированный url на личный файлообменник.
Данные исследования были отправлены в Skype, однако в ответ получили лишь ссылку на Положение о конфиденциальности в Skype.
«Skype может использовать механизмы автоматического распознавания в мгновенных и SMS-сообщениях, чтобы идентифицировать (a) потенциальный спам и/или (b) URL-адреса, которые ранее были помечены как веб-сайты спама, фишинга или мошенников. В некоторых случаях Skype может отобрать и вручную проверить мгновенные или SMS-сообщения с целью предотвращения спама.»
Представитель компании подтвердил, что Miсrosoft сканирует сообщения с целью выявления спама и фишинговых страниц. Однако объяснение не вписывается в факты, подтвержденные практикой.
- Спамовые и фишинговые сайты обычно не используют https протокол, однако именно эти ссылки были посещены представителями компании в обход обычных http страниц, не содержащих приватных данных в ссылках.
- Интересно отметить, что Skype использует метод head для формирования запроса к серверу, который, по сути, просто извлекает информацию о валидности ссылки.
Однако для проверки на спам или фишинг Skype необходимо анализировать контент страницы.
Еще в январе 2013 гражданская правовая группа в составе Electronic Frontier Foundation и Reporters without Bordersотправили Microsoft открытое письмо. В нём компании выразили беспокойство, что после реструктуризации Skype, последний вынужден следовать букве закона США и предоставлять доступ государственным агентствам и секретным службам к приватной информации пользователей.
В заключении хотелось бы отметить, что Microsoft, вопреки здравому смыслу, использует передаваемую через Skype информацию так, как им вздумается. Всем пользователям Skype необходимо задуматься, к чему это может привести, а пока компания совершенно не намерена раскрывать своих планов по использованию полученных приватных данных.
Источник: The-H-Security.
UPD: Опубликовано 17 Мая 2013 на The-H-Security.
Как было подтверждено ранее, ссылки, передаваемые через Skype посещаются с серверов Microsoft. Сегодня стало известно немного более, пишет H-Security, однако новая информация лишь породила больше вопросов, чем ответов.
Напомним, что опытным путем был подтвержден факт посещения только HTTPS ссылок чуть позже после передачи их через Skype. Это наблюдение позволило сделать вывод, что Microsoft использует всю переданную информацию, включая идентификаторы сессии и пользователя. Данный факт сегодня подтвержден несколькими независимыми экспертами. Необходимо заметить, что вопреки обещаниям Microsoft, обычный HTTP ни разу не затронут.
Одной из гипотез стало, что данная активность со стороны компании вызвана новым продуктом SmartScreen Filter. Однако есть несколько нестыковок, например:
- Почему проверка ссылок происходит с задержкой в несколько часов, а не мгновенно? Время всегда критично, если мы говорим о спаме, или фишинге, а проверка «устаревших» ссылок в лучшем случае может привести лишь документированию их.
- Как Microsoft собирается оценивать страницу без загрузки контента? Тогда получается что компания не может создать рейтинговую базу данных только при помощи HEAD запросов.
- Возможно, что данный запрос направлен на выявление потенциальных перенаправлений на уже известные «злые» страницы. Однако такие перенаправления могут быть как в коде страницы (meta http-equiv=«refresh»), так и встроены через обычный iFrame, а только HEAD проверка не выявит этих угроз.
Так или иначе, текущее внедрение Microsoft механизмов «безопасности» оставляет желать лучшего и обладает огромным отрицательным потенциалом в области зашиты персональных данных. По меньшей мере, Microsoft должна задокументировать этот функционал и дать пользователю возможность отключить его.
P.S. Со времени последней проверки не поступило никаких HEAD запросов со стороны компании, будем наедятся что они учли урок и выключили эту фичу, хотя бы временно.
Аналогичные тесты с Google, Facebook и ICQ не выявили подобной активности.
Источник: The-H-Security.
© http://habrahabr.ru/post/180163/
Организация под названием «Комиссия вопросов кражи американской интеллектуальной собственности» выпустила 84-страничный документ с отчётом о своей работе. Среди описаний бешеных темпов краж, посчитанных сомнительными методиками огромных убытков для американских компаний и прочих преувеличений в документе предлагается метод более активной борьбы с распространителями и потребителями нелицензионных копий защищенных материалов.
В частности, предлагается легализовать распространение специального вредоносного программного обеспечения, наказываюшего людей, на компьютере которых будет найден пиратский контент. В отчете описывается буквально следующее: ПО загружается на машину и каким-то образом выясняет, не пират ли вы. Если ответ на этот вопрос положительный, то содержимое накопителей вашего компьютера блокируется, а вам предлагается позвонить в полицию и признаться в преступлении.
Возможно также, что ваша веб-камера сфотографирует вас, и ПО свяжется с правоохранительными органами самостоятельно. Механизм работы трояна-вымогателя знаком специалистам информационной безопасности под названием ransomware.
Дополнительно, можно записать программное обеспечение, которое разрешит лишь авторизованным пользователям открывать файлы, содержащие важную информацию. Если неавторизованное лицо совершает доступ к ней, может произойти ряд действий. Например, может быть перекрыт доступ к файлу, а компьютер неавторизованного пользователя может быть заблокирован с предоставлением инструкций о том, как связаться с правоохранительными органами, чтобы получить пароль, необходимый для разблокировки аккаунта. Подобные меры не нарушают существующих законов, касающихся пользования Интернетом, в то же время они могут помочь приостановить атаки и стабилизировать компьютерный инцидент предоставления времени и доказательств для вовлечения правоохранительных органов.
Составители документа сожалеют о том, что используемые организованной преступностью меры не обладают законным статусом:
Хотя она ещё не зафиксирована в законах США, более разрешительная среда для активной сетевой защиты демонстрирует всё большую необходимость создания. Подобная среда позволит компаниям не только стабилизировать ситуацию, но и принять следующие шаги, включая активное извлечение украденой информации, изменение её в сетях нарушителя или даже уничтожение информации в пределах неавторизованной сети. Дополнительные меры могут идти глубже, включая фотографирование взломщика с использованием камеры его собственной системы, заражения сети взломщика или даже физического отключения или уничтожения компьютера или сети хакера.
Иллюстрация pasukaru76 (CC-BY 2.0). По материалам «Боинг боинг» и блога Лорена Вайнштейна. Обсуждение на «Реддите»(англ.).
© http://habrahabr.ru/post/181115/
На протяжении последнего месяца власти Индии занимались запуском правительственной системы мониторинга всех аспектов телекоммуникаций граждан, в том числе их интернет-активности, SMS-переписки и телефонных звонков.
«Центральная система мониторинга» предназначена для обеспечения безопасности в стране, пишет The Verge, ссылаясь на The Times of India. Хотя правительство пообещало не выходить за границы закона, оно до сих пор не конкретизировало, какие типы разговоров оно намерено контролировать и при каких обстоятельствах будет их отслеживать.
На систему, которая разрабатывалась с 2009 года, Индия потратила чуть меньше 7,4 млн долларов. В прошлом правительство страны не стеснялось применять веб-цензуру, требуя удаления и предпросмотра контента у таких компаний как Google.
Хотя «Центральная система мониторинга» якобы разработана для борьбы с терроризмом, угроза постоянного мониторинга не сулит ничего хорошего для свободы Интернета и телекома в стране. По данным The Times of India, система уже работает в предварительном режиме, а полный её запуск должен состояться в августе 2014 года.
© http://habrahabr.ru/post/179135/