Следи за собой!
Иногда полезно взглянуть на себя со стороны. В том числе, и с точки зрения безопасности. Думаю, многие, у кого есть учетка на ФБ, пользовались функцией "посмотреть мой профиль как...", чтобы понять, что увидит друг, человек из определенной группы или обычный пользователь.
Более навороченным вариантом этой тулзы можно считать Maltego, которая позволяет "копать" на пользователя сразу по нескольким соцсетям, телефонам, адресам эл.почты, а также делать реверс-запрос по фото-аватарке.
Правда, Maltego предоставляет большинство функций в сильно платной версии. В качестве бесплатных альтернатив можно юзать гугл (+image reverse searching), а также TinEye или ImageRaider.
Обзор возможностей Maltego на русском можно почитать, например, на хабре https://habr.com/ru/company/tomhunter/blog/526506/
Насколько мне известно, бесплатных аналогов у Maltego нет, а ближайший конкурент, Lampyre, уходит корнями в российские спецслужбы
Что касается домашнего хозяйства (различных девайсов, в той или иной мере делающих ваш дом "умным"), то можно использовать те же подходы, что и при пентестах организаций.
Например, воспользоваться поисковиками типа Shodan, Censys, IVRE, LeakIX. Особенно это актуально, если у вас дома установлены подключенные к интернет видеокамеры и бытовая техника. Как-то раз я уже писала, что, работая на территории заказчика, против своей воли подключилась к установленному в их офисе холодильнику (потому что он был той же марки, что и мой смартфон, и нагло делал попытки синхронизироваться с ним практически втихую), и в какой-то момент, пытаясь прекратить экспансию офисного девайса в мою личную технику, поняла, что могу использовать этот самый холодильник для установки каких-нибудь программ, включая reverse shell, в локальную сеть, потому что он требует минимальной авторизации и использует nix-based os. Разумеется, будучи этичным мамкиным хакером, я сообщила о своей находке в службу ИТ-безопасности заказчика. Мой проект вскоре завершился, и о статусе исправления уязвимости я ничего сказать не могу. Во всяком случае, ни bug bounty bonus, ни позитивных отзывов со стороны менеджмента, я не получила.
Интересный проект SearchDiggity, представляющий из себя графическую надстройку над Гуглом, Бингом и некоторыми поисковиками, перечисленными в предыдущем абзаце. Может быть полезно, если вам сложно разобраться с синтаксисом Shodan, а побыть "мамкиным хакером" все равно хочется.
Имеется в наличии и специализированные поисковики по IoT, например Thingful и IoT crowled, но находят они, в основном, такие вещи как вело/кар/шеринг, станции OpenWeather и тд. Ни одного холодильника мне найти через них не удалось :)
А вот еще интересный сервис Wigle - показывает имена и mac-адреса точек доступа wifi по заданному адресу. Так что имейте в виду, что если вы называете вашу точку доступа, например, xatkaruWiFi, и при этом живете в частном или малоквартирном доме, то у "мамкиных хакеров" реально появляется шанс "вычислить вас по айпишнику" достаточно точно. Безопаснее обозвать свой роутер как-нибудь "myRouterXYZ", и пусть гадают.
Рекомендую почитать блог keyfindings.blog, который ведет немецкий OSINT специалист. Там приводятся различные примеры из жизни "простых людей", такие как поиск пропавшего телефона или отслеживание автомобиля по номеру. Сразу предупреждаю, что всех русских/русскоговорящих/обладателей восточноевропейских ФИО данный чувак считает агентами ВВП, так что вступать с ним в дискуссию бесполезно.
Многие интересные вещи, которые находятся через Shodan и аналоги, можно посмотреть, отследив в Твиттере таг shodansafari.
Как же себя защитить от OSINT'a (OpenSource INTelligence)? Ну, наверное, никак :) Полностью из соцсетей я выпилиться не готова. Хотя вынуждена признать, что у меня были проблемы с абьюзивными "бывшими", создававшими мне проблемы на основе той информации, что я выкладывала в открытом доступе, поэтому практически всю информацию о личных планах и поездках я убираю под замок, а то еще и лимитирую доступ по группам. Вопрос с тем, как общаться с отдельными ЖЖ-юзерами, которые не хотят добавлять меня в друзья, вынуждая постить комментарии к публичным постам, которые отлично гуглятся, я обдумываю. Все время приходится делать такие формулировки, чтобы, в случае чего, не поиметь с этого проблем.
После тех случаев, а также после опыта работы с Maltego я избегаю публиковать свои фото в соцсетях, особенно в открытом доступе. Если приложение непременно требует реальное фото без солнцезащитных очков (как, например, BlaBlaCar), то пользуюсь сервисами типа thispersondoesnotexist.com для генерации кого-то, более-менее похожего на меня. Всегда можно сказать, мол похудела-потолстела, постриглась-сбрила брови, сменила контактные линзы и тд.
Кстати, интересно, что BlaBlaСar автоматически распознает и отвергает фото с повязкой даже на одном глазу ("пиратской").
А вы уже пострадали от OSINT? Или можете посоветовать какую-то тулзу, о которой я тут не написала?
Более навороченным вариантом этой тулзы можно считать Maltego, которая позволяет "копать" на пользователя сразу по нескольким соцсетям, телефонам, адресам эл.почты, а также делать реверс-запрос по фото-аватарке.
Правда, Maltego предоставляет большинство функций в сильно платной версии. В качестве бесплатных альтернатив можно юзать гугл (+image reverse searching), а также TinEye или ImageRaider.
Обзор возможностей Maltego на русском можно почитать, например, на хабре https://habr.com/ru/company/tomhunter/blog/526506/
Насколько мне известно, бесплатных аналогов у Maltego нет, а ближайший конкурент, Lampyre, уходит корнями в российские спецслужбы
Что касается домашнего хозяйства (различных девайсов, в той или иной мере делающих ваш дом "умным"), то можно использовать те же подходы, что и при пентестах организаций.
Например, воспользоваться поисковиками типа Shodan, Censys, IVRE, LeakIX. Особенно это актуально, если у вас дома установлены подключенные к интернет видеокамеры и бытовая техника. Как-то раз я уже писала, что, работая на территории заказчика, против своей воли подключилась к установленному в их офисе холодильнику (потому что он был той же марки, что и мой смартфон, и нагло делал попытки синхронизироваться с ним практически втихую), и в какой-то момент, пытаясь прекратить экспансию офисного девайса в мою личную технику, поняла, что могу использовать этот самый холодильник для установки каких-нибудь программ, включая reverse shell, в локальную сеть, потому что он требует минимальной авторизации и использует nix-based os. Разумеется, будучи этичным мамкиным хакером, я сообщила о своей находке в службу ИТ-безопасности заказчика. Мой проект вскоре завершился, и о статусе исправления уязвимости я ничего сказать не могу. Во всяком случае, ни bug bounty bonus, ни позитивных отзывов со стороны менеджмента, я не получила.
Интересный проект SearchDiggity, представляющий из себя графическую надстройку над Гуглом, Бингом и некоторыми поисковиками, перечисленными в предыдущем абзаце. Может быть полезно, если вам сложно разобраться с синтаксисом Shodan, а побыть "мамкиным хакером" все равно хочется.
Имеется в наличии и специализированные поисковики по IoT, например Thingful и IoT crowled, но находят они, в основном, такие вещи как вело/кар/шеринг, станции OpenWeather и тд. Ни одного холодильника мне найти через них не удалось :)
А вот еще интересный сервис Wigle - показывает имена и mac-адреса точек доступа wifi по заданному адресу. Так что имейте в виду, что если вы называете вашу точку доступа, например, xatkaruWiFi, и при этом живете в частном или малоквартирном доме, то у "мамкиных хакеров" реально появляется шанс "вычислить вас по айпишнику" достаточно точно. Безопаснее обозвать свой роутер как-нибудь "myRouterXYZ", и пусть гадают.
Рекомендую почитать блог keyfindings.blog, который ведет немецкий OSINT специалист. Там приводятся различные примеры из жизни "простых людей", такие как поиск пропавшего телефона или отслеживание автомобиля по номеру. Сразу предупреждаю, что всех русских/русскоговорящих/обладателей восточноевропейских ФИО данный чувак считает агентами ВВП, так что вступать с ним в дискуссию бесполезно.
Многие интересные вещи, которые находятся через Shodan и аналоги, можно посмотреть, отследив в Твиттере таг shodansafari.
Как же себя защитить от OSINT'a (OpenSource INTelligence)? Ну, наверное, никак :) Полностью из соцсетей я выпилиться не готова. Хотя вынуждена признать, что у меня были проблемы с абьюзивными "бывшими", создававшими мне проблемы на основе той информации, что я выкладывала в открытом доступе, поэтому практически всю информацию о личных планах и поездках я убираю под замок, а то еще и лимитирую доступ по группам. Вопрос с тем, как общаться с отдельными ЖЖ-юзерами, которые не хотят добавлять меня в друзья, вынуждая постить комментарии к публичным постам, которые отлично гуглятся, я обдумываю. Все время приходится делать такие формулировки, чтобы, в случае чего, не поиметь с этого проблем.
После тех случаев, а также после опыта работы с Maltego я избегаю публиковать свои фото в соцсетях, особенно в открытом доступе. Если приложение непременно требует реальное фото без солнцезащитных очков (как, например, BlaBlaCar), то пользуюсь сервисами типа thispersondoesnotexist.com для генерации кого-то, более-менее похожего на меня. Всегда можно сказать, мол похудела-потолстела, постриглась-сбрила брови, сменила контактные линзы и тд.
Кстати, интересно, что BlaBlaСar автоматически распознает и отвергает фото с повязкой даже на одном глазу ("пиратской").
А вы уже пострадали от OSINT? Или можете посоветовать какую-то тулзу, о которой я тут не написала?