Кто хранит тайны? Море, вечность и... мы.

За последний год с онлайн-играми мы могли бы собрать неплохую базу связок почта-пароль и... Впрочем, этот канал про обратную сторону силы:)

Есть такое когнитивное искажение: систематическая ошибка внимания. На чем сфокусирован, на то и обращаешь внимание. И вот потенциальный участник игры получает игровые логин и пароль, ссылку и... видя перед собой форму логина вводит свои привычные - рабочую почту и пароль от нее. Мы это видим, потому что у нас подробные логи:) А если бы это были не мы?

Все просто: игра - она тоже по работе, из рабочей почты, и вообще эта работа кругом, кругом одна работа, никакой жизни от нее, что сюда нужно вбить... как это мой пароль не подходит? Позвоню-как в службу поддержки!

Кажется, все опять упирается в проблему внимательности и сфокусированности на том, что делаешь в данный момент.

Мы-то храним тайны, но ваши сотрудники точно не сеют широким жестом свои рабочие доступы направо и налево?

А, кстати, именно когнитивные искажения и грамотное их использование - это то, на чем работает вся социальная инженерия.

Итак, наступил тот неприятный момент, когда, придя утром в офис, вы на всех мониторах видите жуткой орфографии послание о том, сколько и куда биткойнов вы должны перевести, чтобы вернуть назад свои многогигабайтные базы.

Открывайте коньяк и слушайте.

Впрочем - нет. Давайте вернёмся чуть назад, ещё ничего не произошло, вы удобно сидите с чашкой вкусного чая и читаете этот пост.

Если вы - достаточно жирная пища (ну, в плане размера компании и суммы, которую с вас можно стрясти), злоумышленники не будут спешить с шифрованием. Они внимательно изучат, что и где у вас лежит. Найдут, где у вас самые чувствительные данные, найдут где у вас бэкапы. Они даже почитают ваши рекламные материалы, чтобы лучше понимать, чем вам угрожать в приветственном послании.

Из всего перечисленного для вас самое неприятное - это бэкапы. Потому что если ваши резервные копии тем или иным способом можно удалить, злоумышленники так и поступят. Займитесь неудаляемыми бэкапами, пока у вас спокойная обстановка и чай, а не паника и коньяк. Подходы тут есть разные: можно писать на сменные носители (от ретро-стримеров до дорогих SSD) и убирать их в стол, обеспечивая хотя бы двухнедельную ротацию - чтобы у вас всегда была копия двухнедельной давности. А можно придумать отдельный сервер с тщательным разграничением доступов.

Ок. Вы всё это прочитали и ничего, разумеется, не сделали. Вот теперь открывайте коньяк.

Через несколько часов вы возможно переведёте немного денег в криптовалюте на кошелёк злоумышленников (порицаем, но понимаем, что выхода у вас может не быть), а взамен получите заветный decryptor.exe . И тут самое время... Сделать бэкап. Потому, что декрипторы часто написаны кое-как и могут сделать с файлами странное. Поэтому, как бы вы ни спешили, расшифровывайте файлы по одному и смотрите на результат, а особенно - обращайте внимание на базы данных. Если файлы будут повреждены уже расшифровщиком, вы, скорее всего, лишитесь их навсегда, так что не пренебрегайте резервной копией хотя бы в этом случае.

И вообще, если вы столкнулись с шифровальщиком, напишите нам. Мы поможем вам организовать процесс реагирования без паники и необдуманных действий.

Эй, хакеры, а что бы вы сделали, обретя эти циферки, которые кто-то неосмотрительно бросил на сиденье в МЦК?

Наш читатель Евгений делится выдержкой из технических условий на некое изделие для РВСН, в котором написано, что некоторые модули памяти в целях безопасности могут быть пожароопасными.

К сожалению аббревиатура ДТД не раскрывается, но по контексту понятно, что "деструктор" имеет пиротехническую природу.

Если вы ООП-программист вам должно отдельно понравиться, что в некоторых классах вызов деструктора может иметь иные эффекты, нежели вы рассчитываете.

UPD: есть мнение, что означенное изделие можно увидеть на этом скриншоте.

Несколько дней назад проскочила новость класса facepalm про то, что сбербанковского телефонного робота можно обмануть подменой номера телефона. Банки вообще последнее время полюбили модные и молодёжные способы удобной авторизации клиентов.

Имеем по этому поводу сказать нечто стратегически важное.

Есть очень важная вещь, которую вообще мало кто может реализовать.

Допустим, у вас уже есть простой, не требующий заполнения от руки заявления в трёх экземплярах, способ сообщить в службу (информационной) безопасности о том, что сотрудник обнаружил направленные на него лично или на компанию атаки: фишинговые письма, подозрительную активность на своём компе, что ему звонил кто-то подозрительный и представлялся сисадмином и т.п.

Теперь сложное.

Чтобы этот канал связи работал, сотрудник должен быть абсолютно уверен в том, что на любое его сообщение отреагируют серьёзно и ответственно.

Во первых, что разберутся, примут меры (обязательно примут, не забьют!) и дадут какую-то обратную связь.

А во вторых, и это самое важное, даже если он сообщит о собственном косяке: вбил пароль на фишинговом сайте; словил троянца на порносайте; вставил флэшку, найденную перед входом в офис; переслал фиг знает кому документ с самой страшной тайной компании; оставил в интернете сервер, на который разрешено логиниться под root с паролем "123"...

В общем, о чём бы он ни сообщил, он должен быть уверен, что ему за это ни-че-го не бу-дет.

Причём в это "ничего" в том числе входит, что над ним не будут смеяться, тыкать пальцами, обсуждать в курилке, какой же он идиот. Спокойно отреагируют на его сообщение, спокойно исправят, спокойно скажут спасибо, что сообщил.

В недавнем посте мы высказали мнение, что пароли ещё поживут.

Теперь пара слов о таком их применении, чтобы потом не было мучительно больно.

Представьте себе организацию, в которой, смена пароля требуется раз в месяц. Пароль должен длинным, включать буквы разного регистра, символы и цифры. Хорошим паролем считается Hd3RT$u7_1.

Безопасно? Нет. Потому, что у подавляющего большинства работников пароль, который они за месяц не в силах запомнить, записан где нибудь в укромном или не очень месте (чаще всего — анекдотично налеплен на монитор).

В качесте иллюстрации уровня соврешенно ненужного стресса, вызываемого утренним окошком "истёк срок действия пароля", автор наблюдал в некоем банке (где как раз требовали менять пароль каждый месяц) начальника управления инкассации, который рассказывал, что его преследует страшный сон. Нет, не про грабителей. Снится ему, что он приходит на работу на следующий день после того, как поменял пароль и понимает, что забыл на какой.

В общем, единственное, чего добиваются исповедующие политику парольного фашизма — стресс и возможность при наличии физического доступа попасть почти на любой компьютер в банке, пошарив вокруг монитора и в верхнем ящике стола в поисках заветной желтой бумажки.

Так вот, практики эти устарели на много лет, но люди свято им следующие продолжают встречаться в большом количестве и даже в одном отчёте о пентесте пару дней назад мы видели подобные рекомендации.

Давайте о современных реалиях. Вообще, если позволяет инфраструктура, уходите от голых паролей на двухфакторную аутентификацию, но требований к самому паролю это не отменяет.

Пароль должен быть парольной фразой — несколькими словами (рекомендуют общую длину не меньше 14 символов), составляющими запоминающееся пользователю предложение.

Предложению этому не обязательно быть психиатрически правильным: фраза porosenoknauzhinelPlutonium238 будет отличным и практически невзламываемым паролем. Да, если вы любитель комиксов xkcd, это именно то, о чём написано в комиксе номер 936, на который теперь ссылается даже Microsoft, поскольку Рэндалл одним из первых громко сказал, что такие пароли надёжнее обычных.

Что до смены паролей, то самые суровые современные рекомендации, например, прошлогодние CIS Password Policy Guide, рекомендуют менять пароль примерно раз в год. Другие, например NIST Special Publication 800-63B от 2017 года, рекомендуют менять его никогда. Ну то есть только в том случае, если есть подозрение, что он скомпрометирован.

А чтобы узнать, когда пароль будет скомпрометирован, надо послеживать за авторизациями своих пользователей из подозрительных мест, в подозрительное время и т.п.

Итак, чтобы парольная защита работала, как ей положено:

1. Изживите эти адские доисторические требования по сложности паролей и их регулярной смене.*
2. Объясните своим пользователям, что пароль, который они придумают они должны использовать строго для входа в систему, где вы их регистрируете и больше нигде.
3. Научите их парольным фразам.
4. Проверяйте, что они вас услышали и используют не словарный пароль.
5. Мониторьте сливы паролей, мониторьте подозрительные авторизации. И только если вы подозреваете, что пароль скомпрометирован, вот тогда меняйте его.

Поскольку для реализации первого пункта вам наверняка потребуются ссылки на официальные документы, чтобы доказать руководству, айтишникам или наоборот безопасникам, что то, что вы предлагаете — и есть лучшие современные практики, вот списочек:

— NIST Special Publication 800-63B
— CIS password policy guide
— И ещё большое исследование того, насколько парольные фразы удобнее обычных паролей в использовании

* прежде, чем следовать нашим советам — убедитесь, что вы не связаны по рукам и ногам какими нибудь дремучими отраслевыми стандартами.

Иранские хакеры взломали систему видеонаблюдения в иранской же тюрьме, чтобы показать миру случаи жестокого обращения с заключёнными.

Сами случаи — выглядят манипулятивной подборкой (кого-то тащат по полу за руки, кого-то тащат за шкирку, кто-то лежит на полу, предыстория нигде не показана), а вот прилагающиеся к ролику редкие кадры, как охранники тюрьмы реагируют на замену видео посланиями хакеров, мы вам оттуда вырезали.

Кстати, а вот Windows 7 в иранской тюрьме. @sanctionsrisk, это вообще законно? :)

Вчера ЦБ РФ порадовал всех неожиданным уведомлением: Роскомнадзор планирует заблокировать четыре VPN-сервиса, а ЦБ проявляет заботу и просит банки, которые используют эти сервисы в своей работе, сообщить об этом, чтобы не попасть под блокировку.

Нас в этой истории больше всего удивило, что все четыре перечисленных сервиса - это не какие-то специальные корпоративные VPN-провайдеры, это обычные сервисы для анонимизации и обхода блокировок.

Причём, судя по описаниям на сайтах, биографиям руководителей и прочим признакам, сервисы эти пишут логи VPN-соединений для экономии времени сразу на сервера АНБ, ФБР и OFAC.

Интересно, какие, с точки зрения зрения Центробанка, бизнес-процессы могут связывать российские банки с этими ребятами?

Некоторые несчастные случаи, с которыми нам доводится сталкиваться, мешает сделать поучительными соглашение о неразглашении. Приходится искать аналогии в истории, благо события происходят с завидной регулярностью, вот например.

Одним прекрасным вечером в конце семидесятых годов лейтенант Новгородов из отдела эксплуатации боевых программ шел на дежурство длинными коридорами радиолокационной станции Дунай-3М. Путь его был тернист — на пути встретился ехидный сослуживец с коварным вопросом: почему первая космическая скорость — 7.2 километра в секунду, а наши распечатки показывают от 5 до 7? Ответа лейтенант не знал, однако, человеком он был любыпытным и склонным к дедукции, поэтому, пока он дошел до своего рабочего места, он получил правдоподобную гипотезу (если вам интересно, он решил, что дело в разных системах координат) и теперь нуждался в её проверке.

Для проверки Новгородов решил использовать то, что под рукой, — так называемую "машину траекторного управления" (МТУ) — одну из двенадцати объединённых в сеть ЭВМ типа 5Э92Б, составлявших вычислительный комплекс РЛС и занимавшуюся построением баллистических траекторий для всех космических объектов, попадавших в поле зрения станции.

Потребовалось дописать соответствующую обвязку к работающей на машине штатной программе, благо делалось это быстро: никаких компиляторов, всё программирование осуществлялось непосредственно в машинных кодах.

К утру загадка разрешилась, дело действительно оказалось в системах координат, а герой нашего повествования исправлял программу, удаляя дописанные куски кода... И тут МТУ выдала в сеть ложную баллистическую цель.

Необычного в этом ничего не было: ложные цели были частыми гостями, но каждый случай тщательно разбирался специальным отделом, а результаты исследований использовались для доработки ПО. Аналитики по ложным целям тоже были ребятами склонными к дедукции и следы от деятельности Новгородова немделенно обнаружили. Дальше шли неприятности, выговоры, следствие, возможное уголовное дело...

Спас разработчик радиолокационной станции — НИИ Дальней Радиосвязи, который не остановился на очевидном виновнике, а проделал тщательный анализ и докопался таки до истинной причины выдачи ложной цели (оказалось, что по этой причине случай ложняка не единичный) и устранил её.

Морали у этой истории две. Во-первых, если не хотите общаться с мрачными сотрудниками КГБ (а их сначала интересовало, не шпион ли гражданин лейтенант, а потом - как сделать так, чтобы подобные ему не лазили шаловливыми ручками в боевую систему) — не ставьте экспериментов на продакшене, независимо от того, у вас там система предупреждения о ракетном нападении или автоматизировая банковская система.

Во-вторых, будьте, как НИИДАР — даже если перед вами стоит и виновато хлопает глазами очевидный виновник инцидента, проверьте другие варианты.

Как вы думаете, какой самый доступный способ добыть правдоподобную фотографию российского паспорта на произвольное имя?

Вот такой.

Кто бы мог подумать.

Кстати, нигерийские спамеры вовсю пользуются: ходят по телеграму якобы русские граждане с паспортами в качестве аватарок, и предлагают многомиллионное наследство лично тебе, добрый человек.

Следует поспешить, пока благодетель не скончался от заболевания, которое гуглопереводчик назвал "рак веры". Вероятно того самого, которое заставляет человека вестись на такое нехитрое мошенничество.

Друзья, а что должно быть на картинке в рекламе игр по информационной безопасности, что лично вас зацепит и заставит кликнуть? Счастливых корпоративных служащих со стоковых сайтов не предлагать.

Текст ниже стал для нас цитатой недели. Перечитываем, ищем смысл и наслаждаемся.

(Пророчества из киберпанк-романов - это всегда повод к размышлениям, особенно если они о сообществах людей, хоть и не самых обычных.)

Знаете, о чем речь?

1. Это движение уже нельзя контролировать, и, кажется, ясной мотивации в его рядах уже нет.
2. Лидеры движения начали прятать настоящие личности чуть более тщательно, - и все из-за произведенных арестов.
3. Привычка опираться во всем на технологии и станет их крахом.
4. Межличностные отношения - это слабое звено в их цепи, и усиливать их они не будут.
5. То, что их атаки все набирают силу, приведет к очень серьезным результатам, а на самом деле, - к настоящим смертям.

Надеемся, вы нас троллили, ну правда.

Конечно же, цитата - это не Филипп Дик, не Уильям Гибсон и даже не "Cyberpunk-2077". Тем не менее, это во многом киберпанк-роман.
Это - та-дааам! - дословный (отсюда странные формулировки) перевод одной из главных частей документа, выдаваемого за "Психологический портрет лидерской верхушки группы Anonymous" (Psychological Profiles of Anonymous Leadership, BSU Quantico, August 2011).

Весь "отчет", как и следует из названия, посвящен психологическим портретам лидеров означенной выше хакерской группировки. Некоторые из авторов канала придирчиво искали описание методики или хоть какие-то намеки на это, чтобы понять, как по логам из IRС и твиттера можно выяснить этническую принадлежность, профессию и поведенческие паттерны UNSUN (Unknown Subject, термин из отчета), но тщетно.

Перед нами несколько страниц общих слов на тему поведенческой психологии (привет, Дэвид Финчер и Mind hunters, и Квантико, собственно), туманных намеков, что по айпи по манере писать в IRC и твиттере можно составить психологический портрет субъекта, а потом - сами профили под кодовыми именами.

Документ несложно найти в интернете.

А теперь важное. "Отчету" 10 лет. И с момента публикации в мире произошли кое-какие изменения. Например, многие из "лидеров Anonymous" были вычислены и даже арестованы. Так что можно выполнить любимое всеми нами и вами действие: сравнить полученный ответ с ответами в конце учебника.

И знаете что?

Если этот отчет - реальный документ, а не фейк (а есть такое мнение, хотя на другой чаше весов — тяжелый американский канцелярит), то... гора родила мышь, а специалисты-бихейвиаристы попали пальцем в небо. В отчете приведены профайлы 4 лидеров (1,2, 3, 5, не спрашивайте), и НИ ОДИН не соответствует истине.

То есть если персонаж описан как белый образованый американец — IT-специалист и примерный семьянин, то в реальности это безработный пуэрториканец, в одиночку воспитывающий детей своей отбывающей наказание в тюрьме тёти...

Так или иначе, главная мысль в этом документе: дорогие анонимы всех мастей, анализируя ваши тексты и манеру поведения онлайн, вас можно вычислить.

Мысль с одной стороны не нова, психологические портреты рисуются криминалистами больше сотни лет, а с другой стороны, теперь вместо клочка бумаги с криво наклеенными газетными буквами у специалистов BSU (настоящих) и их коллег — мегабайты разной переписки. Казалось бы, бери, да деанонимизируй.

Но мы тут сошлись в мнении, что узнать знакомого по тексту можно, а вот деанонимизировать незнакомого ну такое - с риском красиво выступить с цыганочкой и табором, попадающим пальцем в небо...

Или нет?

К чему мы все это. Мы тоже решили провести подобное исследование. Группы Anonymous под рукой у нас нет, зато есть вы...

Добровольцы, желающие принять участие в эксперименте по деанонимизации через профайлинг, ну или посмеяться над тщетными попытками — напишите нам в бота. Добровольцы набрались.

Мы проведем с каждым интервью с одним и тем же набором вопросов, а потом опубликуем эти тексты (без указания, кто отвечал на вопросы, конечно). И посмотрим, какие выводы сделают участники нашего канала о вашей личности: национальности, месте проживания, профессии и т.п.

Го?

Мы обещали вам возможность поиграть в деанонимизацию и ФБР.

Во-первых, спасибо большое нашим добровольцам (их восемь), включившимся в наше кхм исследование . В течение недели они давали ответы на 13 вопросов, генерируя контент для анализа. Нам будет не хватать этого чатика. Это была веселая неделя!

Как и ФБР, вы можете увидеть эти вопросы в виде "простыни" (но с фильтрами, конечно же, если вы не любители больших литературных жанров). Вот тут: https://profiling.cybersecgames.ru

Вопросы были подобраны по определенным принципам и ответы на них должны (по нашей мысли) дать вам пищу для размышлений относительно возраста, профессии, пола и региона проживания наших добровольцев.

Во-вторых, у нас есть правильные ответы. Мы их сами тоже еще не видели. Каждый из добровольцев написал ответ на 4 вопроса относительно себя, а дальше зашифровал их. Ключи они сами пришлют в общий чат, когда вы выскажете догадки.

В-третьих, нам было бы крайне интересно получить от вас развернутые размышления на тему того, кто из наших анонимов кем является, но мы понимаем, что вселенная несовершенна, а значит, и количество энтузиастов от профайлинга будет крайне невелико. Чтобы вам было проще, мы сделали варианты ответов по каждому из анонимов.

Тыкайте в "простыне" в никнейм, там можно давать ответы.

Или в чате. Чтобы не загромождать комментарии мы сделали отдельный: @deanontalk

На работу с данными у вас двое суток. В 0:00 20 ноября объявим правильные ответы. И вот тогда эксперимент можно будет считать завершенным.

Итак, раз-два-три, играем!

И ждем в чате любителей поговорить о людях, деанонимизации через психолингвистику в эпоху, бгг, метавселенных, и вообще.

Итак, это завершающий пост из нашей короткой серии “деанонимизация и психолингвистика”. Он получился таким длинным, что большая его часть пошла в Телеграф.

Спасибо всем, кто принял участие в нашей движухе! Было весело. Но увы, пора подводить итоги.

Напомним: прочитав “отчет” (не обсуждаем еще раз его достоверность, просто ставим кавычки на всякий случай) ФБР в котором содержались психологические профили членов группировки Anonymous и сравнив результат с реальными людьми, мы подумали, что, имея в своем распоряжении только текстовые логи бесед в чатах и постов в твиттере, сложно составить профили авторов и не ошибиться.

Этот простой вывод натолкнул нас на мысль провести эксперимент