Новости про Google и безопасность

Компания собирает данные о вашем местоположении и перемещениях, даже при выключенной службе геолокации, даже без запуска приложений и даже без SIM карты. Это происходит с начала года, когда Android начала собирать сведения о близлежащих вышках сотовой связи, отправляя информацию назад в Google.

В ответ на запрос Quartz в Google сообщили: «Адреса сотовых вышек были включены в информацию, отправляемую системой в Google в целях использования её в push-уведомлениях и сообщениях на смартфонах Android ещё 11 месяцев назад. Она никогда не хранилась и не использовалась, и сейчас компания предпринимает шаги для прекращения этой практики после контакта с Quartz. К концу ноября телефоны Android больше не будут отправлять в Google данные о положении сотовых вышек, по крайней мере, как часть обычного сервиса».

В Quartz отметили, что не понимают, каким образом эти данные могут использоваться для улучшения доставки сообщений, зато отметили явную угрозу приватности, ведь указание сотовых вышек позволяет определить положение пользователя, а в густонаселённых районах с точностью до пары десятков метров.

Интернет-гигант установил, что шпион, названный Lipizzan, связан с израильской компанией Equus Technologies, занимающейся кибероружием. Разоблачение состоялось на фоне поиска другого Android шпиона Chrysaor, который связывают с другой компанией занимающейся кибероружием, NSO Group.

Средство Google Play Protect выявило Lipizzan в 20 различных приложениях, которые могли быть распространены и нацелены на более чем 100 устройств.

Первая часть шпионского инструмента носит невинное название, вроде Backup или Cleaner, и располагается на Google Play. После установки приложение загружается и загружает второй этап «лицензионной верификации», который и заражает устройство. Затем, если инфицирование прошло успешно, вирус получает рут-доступ к устройству, используя известные уязвимости, начинает извлекать данные и передавать их на командный сервер.

Среди извлекаемых данных исследователи обнаружили запись с микрофона устройства, мониторинг местоположения, снятие скриншотов, фотографирование с камеры устройства, кражу информации об устройстве и файлах и кражу пользовательской информации, включая контакты, журналы звонков  текстовые сообщения. Также шпион может собирать данные из приложений Gmail, LinkedIn, Messenger, Skype, Snapchat, Viber и WhatsApp.

Компания Google сообщила, что заблокировала разработчиков и приложение в экосистеме Android. Средство Google Play Protect проинформировало пострадавших пользователей и удалило приложение Lipizzan.

В операционной системе OS X существует похожий процесс, называемый Gatekeeper, а Windows 10 вообще блокирует установку приложений не из магазина. В Android при попытке установки неверифицированного приложения, вы увидите уведомление об этом. Чтобы продолжить установку потребуется набрать «продолжить» в специальном поле, что требует несколько больше усилий, чем нажать кнопку «OK» даже не всматриваясь в суть сообщений на экране.

Предупреждение также содержит название приложения и его разработчика, что должно позволить вам защититься в случае фишинговой атаки. Кроме того, такой подход позволяет разработчикам приступить к тестированию приложения, не дожидаясь прохождения верификации.

«Мы являемся приверженцами создания здоровой экосистемы, как для пользователей, так и для разработчиков», — заявили Навин Агарвал и Уисли Чан в блоге Google. «Эти новые отметки проинформируют пользователей автоматически, если они будут подвержены риску, позволив им принять проинформированное решение для сохранения информации в безопасности, а также сделать тестирование и разработку приложений более простыми».

Анонсировав новую версию Android O, компания Google решила не бросать производителей смартфонов наедине с собой, а планирует вести тесное сотрудничество с такими компаниями как Samsung, HTC, Motorola и прочими, чтобы гарантировать выпуск обновлений.

Компания отметила, что она начала тесное сотрудничество с производителями, которое позволит сократить время выпуска обновлений безопасности от 9 недель до нескольких дней. Таким образом, в будущем вы не останетесь беззащитными на несколько месяцев, в то время как Pixel или Nexus будут обновлены максимально быстро.

Кроме этого Google пообещала запустить специальный сервис, где будет размещать информацию о скорости обновления ОС, разделяя их по операторам и производителям смартфонов, что должно обеспечить большую прозрачность информации. Ранее эта информация была недоступна, и нельзя было оценить, насколько плохо разные производители подходят к вопросу обновления. Компания добавила, что информацией о скорости обновления своих устройств она также будет делиться, что должно заставить прочих производителей быстрее внедрять обновления.

В ходе хакерской конференции Kiwicon он призвал «прекратить инвестиции в вещи, которые, как мы видим, не работают». Среди этих вещей находятся сканеры вирусов и системы выявления вмешательства. Вместо этого он хочет, чтобы «безопасники» сфокусировались на белых списках, ключах аппаратной защиты и динамических правах доступа.

Он добавил, что советы по безопасному использованию интернета «ужасны». Говорить пользователям не нажимать на фишинговые ссылки и не загружать подозрительные исполняемые файлы позорит их и отгораживает от производителей аппаратного и программного обеспечения, которое может быть небезопасным для использования онлайн.

«Антивирусы сделали некоторые полезные вещи, но в реальности они больше похожи на канарейку в угольной шахте. И даже хуже. Это похоже, что мы стоим среди мёртвых канареек говоря: „Слава богу, они вдышали весь ядовитый воздух».

Говоря об уязвимостях в Adobe Flash, которые регулярно выявляются, он сравнил их с площадкой подержанных машин, которые после продажи через неделю внезапно загораются.

Ошибка может быть использована для обхода песочницы безопасности в системах Windows32K. Рассказывая о проблеме в блоге, Google отмечает, что сообщила Microsoft об ошибке в Windows 10 дней назад, но компания ничего не предприняла в ответ.

«После семи дней, согласно нашей политике для активно используемых критических уязвимостей, сегодня мы раскрываем существование критической уязвимости в Windows, по которой не выпущено пояснение или исправление», — говорится в блоге Google. «Эта уязвимость достаточно серьёзна, поскольку нам известно о её активном использовании».

В Рэдмонде не сильно обрадовались этой публикации: «Мы убеждены в координированном раскрытии уязвимостей, и сегодняшнее раскрытие от Google может подвергнуть клиентов потенциальному риску». При этом, когда же фирма будет исправлять уязвимость, она не сообщила. Вероятно, это произойдёт 8 ноября.

Компания Google сообщила, что уже исправила эту уязвимость для пользователей браузера Chrome, а Adobe отчитался об исправлении в обновлении Flash на прошлой неделе.

Сразу после публикации Microsoft сообщила о фишинговой атаке на пользователей Windows, в которой использовалась опубликованная уязвимость. Организацию атаки в Рэдмонде приписывают российской хакерской группировке Fancy Bear.

Поисковый гигант работает над пост-квантовым шифрованием для браузера Chrome. Дело в том, что квантовые компьютеры, использующие эффекты квантовой физики, смогут выполнять вычисления намного быстрее нынешних бинарных систем. Это означает, что современные методы шифрования вряд ли смогут противостоять будущей вычислительной мощи, и нынешние HTTPS подключения окажутся бесполезными. Пока неизвестно, будет ли когда-либо вообще построен квантовый компьютер, способный проводить атаки подобного рода. Тем не менее, инженер Google Мэтт Брэитвэит считает, что сейчас самое время этим озадачиться.

Компания решила эту проблему небольшим рядом соединений между Chrome и серверами Google. Данный способ шифрования тестировался фирмой наряду с существующими мерами безопасности. Если ключ оказывался успешным, то Google говорит, что такое шифрование способно противостоять квантовым компьютерам.

Исследователи воспользовались большим числом факторов, разрабатывая атаку на систему, использовав множество способов обхода с использованием ключей и cookies, а также систем машинного обучения и распознавания изображений. В результате им удалось создать систему, обходящую капчи намного быстрее и точнее, чем в более ранних попытках.

Результаты оказались лучше, чем ожидалось. В системе Google reCAPTCHA успех составил 70,78% при распознавании 2235 изображений. Среднее время решения капчи составило 19,2 с.

На Facebook результаты получились ещё лучше. При распознавании более 200 капч уровень успеха составил 83,5%. Исследователи отмечают, что это произошло потому, что социальная сеть использует изображения с большим разрешением, которые легче распознать. У Google изображения низкого качества, что делает их автоматическое распознавание более трудоёмким.

Также исследователи оценили проведение их автоматизированных атак более экономично, по сравнению со службами ручного распознавания.

Они отметили, что если бы запустили свой сервис распознавания капч, то все атаки стоили бы 110 долларов в день за один IP адрес. За это время им удалось бы распознать 63000 капч без блокировки.

Перед тем как опубликовать результаты исследователи связались с Google и Facebook. После этого первая усложнила свою систему reCAPTCHA, а Facebook не дал ответ и не провёл никаких изменений.

Чтобы защитить ресурсы от атак подобного рода компания Google создала специальный инструмент под названием «Project Shield», который и предотвращает атаки на вашу сеть с использованием перенаправленного через серверы Google трафика.

Данный проект предлагается в качестве бесплатного инструмента, который нацелен на фильтрацию настоящего трафика, от вредоносного.

Однако инструмент Sheild не будет доступен повсеместно. Поисковый гигант предлагает его лишь новостным ресурсам, а также организациям, занимающимся мониторингом деятельности политиков и соблюдения прав человека. Это значит, что отдельные блогеры, предприятия и игровые сервисы не смогут получить доступ к Project Shield. Кроме того, чтобы воспользоваться сервисом, сайту необходимо использовать утилиту, позволяющую слушать трафик и определять его тип, чтобы осуществлять эффективную фильтрацию вредоносных пакетов.

Компания пригласила нескольких пользователей к тестированию новой системы авторизации. Концепция этой системы предельно проста. На своём компьютере для входа в учётную запись вы просто вводите свой адрес электронной почты, однако вместо ввода соответствующего пароля, вам предлагают ввести специальный код авторизации, который появляется на авторизованном телефоне.

Окажется ли этом метод аутентификации более безопасным, чем традиционный пароль, мы узнаем позднее. Также нам пока неизвестны способы блокировки учётной записи в случае утери телефона, ведь в таком случае злоумышленник сможет легко получить доступ ко всем данным. Взлом пароля всегда требует определённых навыков, в то же время физический доступ к устройству осуществить намного проще.