Новости ИТ-безопасности

Mozilla Foundation и Tor выпустили экстренное обновление для «бага» в браузерах Firefox и Tor, который позволяет получить полный контроль над компьютером, на котором установлены эти браузеры. Уязвимость критическая, поскольку допускает запуск произвольного кода (говоря конкретнее, вредоносного JavaScript прямо в браузере) и впоследствии - перехват контроля над всей системой.

Сервис Avast SecureLine VPN прекратит работать в России из-за нежелания следовать требованиям Роскомнадзора по блокировке сайтов, включенных в реестр запрещённых. Компания подчеркнула, что это нарушает право на свободу в интернете и противоречит её принципам. С 1 ноября 2017 года VPN-сервисы и анонимайзеры должны блокировать доступ к сайтам из реестра запрещённой информации Роскомнадзора. В 2019 году ведомство впервые потребовало это сделать от десяти VPN-сервисов. Сотрудничать согласилась только Лаборатория Касперского (сервис Kaspersky Secure Connection).

Одной из наиболее интересных новинок iOS 12, представленной на днях Apple, является приложение Find My (в русской версии - Локатор). Оно позволяет увидеть на карте свой утерянный или забытый девайс, даже если он находится в спящем режиме, без интернета и GPS. Как? С помощью сети владельцев айфонов. Каждый девайс Apple будет периодически по Bluetooth излучать свой ID. Если рядом окажется человек с айфоном или айпадом - его девайс словит этот сигнал и передаст на сервер Apple. В компании утверждают, что расшифровать этот сигнал (и определить местонахождение прибора) не сможет никто, кроме его владельца. Для этого при настройке приложения создается ключ, который нужно сохранить на другом своем устройстве (например на домашнем макбуке). Кстати, приложение работает и на Mac, поэтому утерянный макбук можно будет найти с помощью айфона.

Издание РБК выяснило, что Яндекс ответил отказом на запрос ФСБ по предоставлению ключей шифрования от Яндекс.Почты и Яндекс.Диска. Аргументация у Яндекса довольно простая и логичная: у Гугла таких ключей не просят (а если попросят, то точно не получат). Поэтому в Яндексе считают, что передав ключи, окажутся в условиях неравной конкуренции. Пока Яндексу может угрожать лишь символический штраф до 1 миллиона рублей. Однако после этого Роскомнадзор будет иметь право запустить механизм блокировки сервисов Яндекса, как это происходило в сюжете с "блокировкой Telegram".

Apple даст пользователям возможность авторизовываться в сервисах с помощью Apple ID. Функция Sign in with Apple позволит войти в сторонний сервис через iCloud или анонимно, скрыв свою настоящую почту. Там, где для авторизации надо обязательно указывать почту, пользователь сможет сгенерировать случайный адрес, с которого Apple будет перенаправлять все письма на настоящий адрес в iCloud. Сервис будет доступен на всех устройствах Apple.

Компания Инфотекс и Центр квантовых технологий МГУ показали телефон ViPNet QSS Phone с квантовой защитой связи, в разработку которого были инвестированы 700 млн руб. Это стационарный IP-телефон, подключенный к клиенту квантового распределения ключей и серверу. Система генерирует два случайных числа для обоих собеседников, и с помощью фотонов они обмениваются ими и вырабатывают общий ключ. С фотонов нельзя «снять информацию», не изменив их состояние, что обеспечивает надежную защиту связи, указали разработчики. Телефон с квантовой защитой может обеспечивать связь на расстоянии не более 20 км. Серийное производство таких телефонов планируется начать уже в 2019 году.

Раньше майкрософтовский антивирус Windows Defender был доступен только на Windows 10 (и даже встроен в нее). Но позже Microsoft запустила облачный сервис для защиты от хакерских атак Windows Defender ATP (который позволяет обновлять антивирус отдельно от виндовза), а теперь выпустила и антивирус для MacOS. Он тоже бесплатный. Пользователям доступен ряд опций для настройки поведения антивируса, таких как режим сканирования, активация и деактивация защиты в режиме реального времени, облачная защита, автоматическая отправка зараженных файлов на серверы Microsoft для их дальнейшего изучения. Кроме того, можно создавать списки исключений как для отдельных файлов, так и для путей файловой системы.

Анонимный браузер Tor, который позволяет заходить в интернет через p2p-сеть своих пользователей, теперь доступен для мобильных устройств на Android. В числе особенностей приложения числится блокировка рекламных трекеров, ограничение информации о пользователе для сайтов, многослойное шифрование, обход локальных блокировок. Разработчики говорят, что в плане функциональности десктопная версия Tor все еще опережает версию для Android, но в плане защиты они находятся на одном уровне. О создании версии Tor для iOS речь пока не идет в связи с действующими ограничениями Apple. Поэтому пользователям iPhone команда Tor Project рекомендует обходить блокировки с помощью Onion Browser.

Если у Вас в компании есть компьютеры со старыми операционками Windows XP и 7 - необходимо срочно проверить, активирована ли в них служба удалённого рабочего стола (Remote Desktop Services), и если да - установить обновление безопасности. Дело в том, что в Microsoft обнаружили опасную уязвимость этой службы, которая позволяет хакерам установить вредоносное ПО на компьютер даже без участия пользователя. Хакеры могут находить компьютеры с включенной службой удалённого рабочего стола, сканируя интернет, поэтому в Microsoft опасаются, что возможна хакерская атака масштаба, сравнимого с WannaCry. С перепугу, они даже выпустили патч для Windows XP, которая уже не поддерживается.

На днях в мессенджере WhatsApp была обнаружена (и закрыта) уязвимость, позволяющая хакерам взламывать телефоны пользователей простым звонком. С её помощью злоумышленники могли установить на телефоны на базе Android и iOS шпионские программы, позволяющие следить за владельцами телефонов. Пользователям WhatsApp рекомендуется обновить мессенджер (а лучше переустановить телефон). И конечно, Павел Дуров (создатель конкурирующего мессенджера Телеграм) не мог не высказаться по этому поводу. Он напомнил, что в прошлом году в WhatsApp тоже была обнаружена серьезная уязвимость. И, говорит, причина постоянного появления уязвимостей в том, что WhatsApp (в отличие от Telegram) не открывает свои коды и сторонние специалисты по безопасности не могут их проверять. А почему они не открывают коды? - наверно, потому что там есть специальные уязвимости для спецслужб, предполагает Павел.