Новости про безопасность

Google будет автоматически удалять историю через полтора года

Исполнительный директор Alphabet Сундар Пичаи рассказал о правилах безопасности для новых учётных записей.

Так, для новых учётных записей Google будет удалять историю поиска и местоположения через полтора года. Для старых учётных записей не меняется ничего. Нынешние пользователи смогут вручную или автоматически удалять историю в различных сервисах компании.

Теперь, если вы новый пользователь, то для вас история местоположения выключена по умолчанию. Включив её, вы получите настройку автоудаления истории, выставленную на 18 месяцев. В Web & App Activity автоудаление также будет установлено на 18 месяцев. При этом у пользователя всегда есть возможность выключить автоудаление.

Если же у вас уже включена опция истории местоположений и активности, то для вас ничего не меняется.

Что касается YouTube, то его новая политика предусматривает хранение истории в течение 3 лет.

Все эти настройки, как обычно, обеспечивают баланс между приватностью и удобством работы. Многим не нравится, что Google хранит данные пользователей, и они предпочитают удалять их. Однако доступ к собственной истории является крайне удобным.

Открытое ПО имеет проблемы с безопасностью

Похоже, что идея безопасности открытого ПО по сравнению с проприетарным, является несостоятельной.

Согласно исследованию «Тёмная реальность Open Source», опубликованному RiskSense, за последний год количество уязвимостей в 54 самых популярных проектах с открытым исходным кодом удвоилось. В 2019 году исследователи выявили 968 ошибок, а в 2018 — 421.

За период с 2015 по март 2020 года было выявлено 2694 ошибки в популярных проектах с открытым исходным кодом. Исследование не включало такие проекты как Linux, WordPress, Drupal, поскольку к ним привлечено огромное внимание и ошибки в их безопасности исправляются очень быстро.

Исследователи обратили внимание на другие популярные проекты, которые не так широко известны, но имеют огромную поддержку технологического и программистского сообществ. К ним относятся Jenkins, MongoDB, Elasticsearch, Chef, GitLab, Spark, Puppet и другие.

Компания отметила, что основной проблемой, выявленной при исследовании, было то, что большое количество найденных ошибок в безопасности, были переданы в национальную базу данных уязвимостей (National Vulnerability Database) через много недель после их публичного открытия. Исследователи отметили, что в среднем между нахождением ошибки и передачей её в NVD проходило 54 дня. Рекордсменом стал проект PostgreSQL, в котором передача сведений об уязвимости заняла 8 месяцев.

Zoom предложит сквозное шифрование видеозвонков

Компания Zoom Video Communications планирует внедрить для своих платных и бесплатных пользователей сквозное шифрование видеозвонков.

Тестирование новой функции начнётся в июле. Компания, чей бизнес невероятно вырос за время коронавирусного карантина, пытается привлечь к себе всё больше клиентов, работающих из дома, превратив свой сервис в глобальное средство телеконференций для бизнес-ориентированных пользователей.

Конференция в Zoom

Компания долгое время находится под шквалом критики из-за низкого уровня безопасности, в частности, отсутствия сквозного шифрования.

После того, как несколько предприятий запретили использовать Zoom, калифорнийской компании пришлось нанять директора по безопасности, который и начал вносить изменения в работу сервиса.

Microsoft Defender ATP теперь может сканировать UEFI

Компания Microsoft объявила о добавлении нового сканера для Unified Extensible Firmware Interface (UEFI) в инструмент безопасности Defender Advanced Threat Protection (Defender ATP), что позволит защитить пользователей Windows 10 от атак на уровне прошивки.

Microsoft Defender ATP — предупреждение об обнаружении подозрительного кода в прошивке

Система Windows Defender System Guard защищает от атак в прошивке, гарантируя безопасную загрузку посредством аппаратных решений в области безопасности, включая аттестацию на уровне гипервизора и технологии Secure Launch, известной как Dynamic Root of Trust (DRTM), которая включает безопасное ядро на ПК по умолчанию. Новый движок сканирования UEFI распространяется на эти защиты, делая сканирование прошивки более широкой практикой.

Microsoft Defender ATP — предупреждение о вероятном внедрении стороннего кода в файловую систему UEFI

Сканер UEFI является новым компонентов встроенного в Windows 10 антивируса. Он даёт Microsoft Defender ATP уникальную возможность сканирования файловой системы прошивки и выполнять обслуживание в области безопасности.

Новый тип кибератаки позволяет украсть данные через блок питания

Исследователи из университета Бен-Гуриона в Негеве, Израиль, подтвердили новый вариант проведения кибератаки достойный фильма «Миссия невыполнима». И дело в том, что она осуществляется через блок питания без физического подключения.

Суть метода заключается в том, что блок питания издаёт звуки на высокой частоте. И это звучание меняется в зависимости от нагрузки. Таким образом, записывая звук блока питания на расстоянии 5 метров, удалось получить данные с компьютера. Для этого не требовалось ни специальное оборудование, ни системные привилегии, ни сложной подготовки.

Блок питания

В процессе контролируется ультразвук на частотах от 20 кГц до 20 МГц, издаваемый трансформаторами. Чтобы блок питания передавал данные, на компьютер жертвы нужно установить специальное зловредное приложение, которое считывает системные данные и вносит изменения в нагрузку процессора. Уязвимость получила название POWER-SUPPLaY.

POWER-SUPPLaY: Leaking Data from Air-Gapped Systems by Turning the Power-Supplies Into Speakers

Стоит ли правительственным организациям, военным или операторам атомных электростанций бояться этой уязвимости? Вряд ли. Угнать таким образом данные довольно просто, однако для начала процесса всё равно нужен доступ к компьютеру. Да и скорость передачи данных оставляет желать лучшего — 50 бит в секунду. То есть для передачи текстового документа латиницей в 10 000 слов нужно потратить около часа.

Не очень эффективно.

Европейские суперкомпьютеры были взломаны для майнинга

Целый ряд европейских суперкомпьютеров были остановлены после того, как в них выявлены уязвимости в системе безопасности. Эти уязвимости привели к тому, что несколько суперкомпьютеров из Великобритании, Германии, Швейцарии и, возможно, Испании, подверглись атаке.

О проблеме заявил университет Эдинбурга, с его суперкомпьютером ARCHER.

Организация bwHPC, координирующая исследовательские проекты на суперкомпьютерах в Германии, сообщила об инцидентах в области безопасности, касательно суперкомпьютеров в Университете Штутгарта, Технологическом Институте Карлсруэ, Университетах Ульма и Тюбингена, Баварской Академии Наук. Также проблемы выявлены в Швейцарском вычислительном центре Цюриха и в испанской Барселоне.

Суперкомпьютер ARCHER из университета Эдинбурга

Злоумышленники получили логины для доступа к этим суперкомпьютерам по SSH. Угнанные логины принадлежат различным университетам Польши, Канады и Китая. Затем, воспользовавшись уязвимостью CVE-2019-15666 в ядре Linux, они начали использовать суперкомпьютеры для майнинга Monero.

Отмечается, что это не первая попытка майнинга криптовалют на суперкомпьютерах. Однако ранее этим занимались сотрудники научных центров, имеющие непосредственный доступ к системам, а вот столь массированная распределённая атака проведена впервые.

Fairphone предлагает Android без Google

Европейский производитель мобильных телефонов с ограниченным воздействием на окружающую среду, Fairphone, объявил о возможности предложить /e/OS, максимально лишённую связки с Google и ориентированную на приватность версию Android, в составе телефона Fairphone 3.

Разработчик сообщил, что удалил множество участков кода, которые отправляли персональные данные на удалённый сервер без согласия пользователей.

«Мы не сканируем данные в вашем телефоне или вашем облачном пространстве, и мы не отслеживаем ваше перемещение сотни раз в день или собираем данные о том, что вы делаете со своими приложениями».

Телефон Firephone 3 с e/OS доступен к покупке за 480 евро, «на 30 евро дороже стандартного Fairphone 3 с флёром Googl’а». Установить /e/OS на Fairphone 3 можно вручную через специальный инсталлятор на сайте.

Смартфон Fairphone 3

Смартфон Fairphone 3 предлагает модульную конструкцию с высокой ремонтопригодностью. Он «изготовлен из бесконфликтных, перерабатываемых материалов, выбранных с высокой ответственностью».

Что касается аппаратного обеспечения, то телефон имеет экран FullHD+ (2160×1080 пикс.) с защитой Gorilla Glass, заднюю камеру Sony разрешением 12 Мпикс., батарею ёмкостью 3000 мА×ч, накопитель на 64 ГБ с расширением через microSD. Устройство основано на процессоре Qualcomm Snapdragon 632 и имеет 4 ГБ оперативной памяти.

Из дополнительных функций можно отметить 8 Мпикс. фронтальную камеру, NFC и поддержку двух SIM-карт.

Безопасная ОС Tails получила UEFI Secure Boot

Операционная система Tails OS, рекомендованная Эдвардом Сноуденом как самая безопасная, получила поддержку UEFI Secure Boot.

Система Tails OS создана на основе Debian, однако полностью переработана для обеспечения максимальной безопасности. Её запуск осуществляется только со съёмного накопителя, и она не оставляет никаких следов на основном компьютере. В ней все подключения к интернету осуществляются через Tor.

И вот, последнее обновление Tails OS 4.5 получило поддержку UEFI Secure Boot, которую можно найти в большинстве ОС. Безопасная загрузка использует криптографическую защиту для проверки целостности файлов прошивки, загружаемых при запуске системы, и гарантирует, что они не были изменены.

Tails OS

Эта технология является частью спецификации UEFI более двух десятилетий, однако используется нечасто из-за проблем с совместимостью. Несмотря на это, сам факт отсутствия безопасной загрузки в самой безопасной ОС настораживал. Ну а если Secure Boot на компьютере использовался, то чтобы запустить Tails OS приходилось его выключать, что усложняло применение системы.

Работа над внедрением Secure Boot в Tails OS длилась 6 лет, и теперь, она завершена и готова к использованию.

Cloudflare готовит WARP на macOS и Windows

Компания Cloudflare объявила о том, что готовится запустить свой сервис VPN WARP для операционных систем macOS и Windows, и уже начинает выпуск бета версии приложения. В ближайшие месяцы компания также представит настольные клиенты для WARP+.

Вначале бета версия будет распространяться среди пользователей WARP+, которые подписаны на сеть Cloudflare Argo. Эти пользователи получат уведомление в приложениях 1.1.1.1 для iOS и Android, с предложением попробовать аналогичные клиенты в macOS и Windows.

VPN-клиент WARP от Cloudflare

Сервис VPN Cloudflare запустила для пользователей iOS и Android в прошлом году с целью обеспечения безопасного интернет-доступа с возможностью шифрования трафика. Разработчики отмечают, что пользователи уже давно просят настольную версию приложения, и они выполнили эту просьбу.

Как и мобильная, настольная версия WARP основывается на протоколе Wireguard. Базовая версия будет доступна бесплатно. В будущем же Cloudflare предложит платную подписку со скидками для нынешних пользователей WARP+.

Zoom не имеет сквозного шифрования

Сейчас конференц-сервис Zoom обладает невероятной популярностью. Его используют все, от школьников, вынужденных учиться онлайн, до офисных работников и руководителей, которым нужно проводить совещания или выполнять совместную работу. Сайт сервиса декларирует сквозное шифрование, однако это не совсем так.

Издание Intercept задало представителю Zoom вопрос о том, действительно ли видеоконференции, проводимые на платформе, имеют сквозное шифрование. На что получило ответ: «В настоящее время нет возможности обеспечить сквозное шифрование для видеовстреч в Zoom».

Платформа использует шифрование TLS, такое же, как и сайты с HTTPS. Это значит, что данные, пересылаемые между серверами Zoom и пользователями зашифрованы, как в Gmail или Facebook. Однако сквозное шифрование предполагает полное шифрование контента между пользователями, без возможности стороннего доступа, как в WhatsApp и Telegram. И Zoom не предлагает такой уровень безопасности, вводя пользователей в заблуждение.

Zoom

Компания же отрицает, что обманывает своих клиентов: «Когда мы используем фразу „сквозное“ в наших текстах, это относится к шифрованию соединения от одной конечной точки Zoom, до другой конечной точки Zoom… контент не дешифруется по мере его передачи в облаке Zoom».

В то же время текстовый чат, проводимый в ходе встречи, поддерживает сквозное шифрование, и по словам компании, у неё нет ключей для расшифровки этих сообщений.

В компании отметили, что они собирают лишь данные, необходимые для улучшения работы сервиса, включая IP-адреса, информацию об ОС и устройств, без возможности доступа сотрудников к самому содержимому онлайн встреч. Возможно, у Zoom есть возможность просмотреть конференции по требованию правоохранительных органов, однако этот вопрос компания проигнорировала.

Так что, если ваши дети используют Zoom для учёбы, то в этом никаких проблем нет, однако секреты корпораций в таком режиме явно обсуждать не стоит.

Реагируя на эти недоработки, а также выявленные уязвимости в платформе, инженеры решили прекратить обновлять функционал Zoom, а сосредоточились на поиске и исправлении проблем с безопасностью.