Архив метки: Информационная безопасность

Уязвимости в стандарте 3G

Cпециалисты в области безопасности из университетов Бирминхама и Берлина (University of Birmingham, Technical University of Berlin) обнаружили и ряд уязвимостей в стандарте мобильной связи 3G и смогли продемонстрировать их применение на практике в условиях, приближенных к реальным, — им удалось выделить нужный телефон и перехватить точные координаты его местоположения.

В стандарте связи 3G постоянный идентификатор устройства (IMSI) в целях безопасности не используется, а заменяется на периодически меняющийся временный (TMSI).

Но с помощью фемтосота (компактная носимая базовая станция, не слишком сложное устройство) учёные нашли два способа получения IMSI нужного устройства и перехвата его координат.

В первом случае им удалось перехватить обмен между устройством и базовой станцией, в котором они обмениваются парой IMSI/TMSI.
Во втором случае им удалось перехватить передачу параметров аутентификации и секретного ключа сессии, после чего перенаправить этот сигнал на все находящиеся в зоне доступа устройства, включая атакуемое. Сообщение об ошибке при синхронизации обнаруживает нужное устройство.

Теперь данные о перемещении и местонахождении нужного человека вполне возможно перехватить даже не задействовав при этом оператора сотовой связи. Оборудование для этого используется уже вполне привычное и доступное, ограничивающим фактором для подобных атак являются лишь навыки и знания о протоколах работы стандарта 3G. Но это — лишь вопрос времени.

121 год тюрьмы за взлом?

Добавить комментарий

Английская газета The Daily Mail сообщает, что хакер Christopher Chaney из Флориды признался во взломе учётных записей звёзд, краже их приватных фотографий и их распространении в сети. Его жертвами стали Кристина Агилера, Мила Кунис, Скарлетт Йохансон и ещё более 50 человек.

35-летнему взломщику грозит обвинение по девяти статьям, согласно которым он может суммарно получить до 121 года лишения свободы. Суд располагает данными, согласно которым взломщику удалось взломать более 50 аккаунтов электронной почты, получив таким образом доступ к фотографиям, личной и деловой переписке и прочему.

Адвокат подозреваемого пояснил, что его подопечный тесно сотрудничает с правоохранительными органами и искренне раскаивается за причинённый звёздам вред и надеется на адекватное наказание.

Исследование: Мобильность против безопасности

Добавить комментарий

Мобильные устройства Согласно отчёту «Влияние мобильных устройств на безопасность информации», опубликованному компанией Check Point^® Software Technologies Ltd., в течение 2010-2011 года вдвое увеличилось количество мобильных устройств, подключенных к корпоративным сетям компаний. При этом половина этих устройств содержит конфиденциальную информацию.

Руководство 70% опрошенных компаний уверено, что именно использование мобильных устройств является причиной увеличения количества утечек данных. Связано это как правило с возможностью утери или кражи устройств, содержащих копию корпоративной переписки (80% случаев), клиентской базы (около 50%) и пароли для входа в корпоративные сервисы (около 40%).

Сотрудники компаний активно осваивают новые мобильные устройства, чем создают немалые проблемы IT-специалистам, отвечающим за безопасность корпоративных данных — ведь с одной стороны современные стандарты не охватывают возникшие угрозы, а с другой — отказ от мобильных устройств тоже не является разумным выходом, ведь эти устройства предоставляют пользователям заметные преимущества для улучшения производительности и исключительно быстрого и мобильного доступа к ресурсам.

Тезисы отчета Check Point:

В 94% компаний количество мобильных устройств, подключенных к корпоративной сети, увеличилось.
В 78% компаний за два года их число увеличилось более чем в два раза.
Самые распространенные мобильные устройства в корпоративных сетях:

Apple (30%)
BlackBerry (29%)
Android (21%)

В 43% компаний полагают, что устройства на базе Android представляют значительную угрозу ИБ.
Основные факторы информационных угроз:

недостаток знаний в области ИБ у сотрудников (более 70%).
просмотр веб-страниц через мобильные устройства (61%)
незащищенное беспроводное соединение (59%)
утеря или кража устройств (58%)
скачивание вредоносного ПО через мобильные устройства (57%).

США: 10 лет тюрьмы за утечку информации

Добавить комментарий

США: 10 лет тюрьмы за утечку информации Агенство новостей Reuters сообщает об обвинении, выдвинутом в Нью-Йорке властями США против 32-летнего программиста родом из Китая по имени Бо Чжан (Bo Zhang). Он обвиняется в незаконном копировании на внешний жесткий диск исходного кода правительственной программы, разработка которой обошлась в $9.5 млн.

В момент обнаружения утечки информации этот программист являлся внештатным сотрудником Федерального резервного банка США, что и позволило ему получить доступ к исходным кодам программ Министерства Финансов.

Скомпрометированная программа — Government-wide Accounting and Reporting Program (GWA), разработана правительством для отслеживания денежных переводов правительства США и составления отчётов для госструктур и агентств.

Обнаружив утечку информации, сотрудники банка провели внутреннее расследование и передали дело властям. В результате этого 18 января Бо Чжан был арестован.

ФБР не выявило в его действиях признаков шпионажа и он был отпущен под залог. Следующий суд состоится 17 февраля, и если его вину докажут (а ему предъявлены обвинения в краже собственности правительства), то по закону ему грозит до 10 лет тюрьмы.

Шпионский скандал в Германии

Добавить комментарий

Шпионский скандал в Германии Берлинская хакерская группировка Chaos Computer Club (CCC) обнародовала обнаруженный факт применения властями шпионского программного обеспечения, что привело к серьёзному скандалу на высоком уровне.

Программу-шпион хакеры обнаружили на ноутбуке, принадлежащем человеку, которого обвиняют в незаконном экспорте медицинских препаратов. Предположительно, программа была установлена туда при прохождении им таможенного досмотра в аэропорту.

Эта программа перехватывает адреса посещённых веб-сайтов и переписку по электронной почте и отправляет собранные данные на удалённый сервер, предположительно за пределами страны. Кроме того, она позволяет скачивать и удалённо запускать на компьютере любые другие приложения.

Министр внутренних дел Баварии Иоахим Германн подтвердил, что на данной территории государственные чиновники используют шпионский софт с 2009 года, но примеры привести отказался. На его взгляд, это не противоречит законодательству, хотя вопрос и требует внимательного рассмотрения. Власти еще трех земель (Баден-Вюртемберга, Бранденбурга и Нижней Саксонии) подтвердили, что тоже использовали подобные программы.

В связи с бурной реакцией общественности, ситуацию были вынуждены прокомментировать и высокопоставленные чиновники.

Министр юстиции Германии Сабина Лойтхойзер-Шнарренбергер и канцлер Ангела Меркель потребовали провести тщательное расследование инцедента и разработать механизмы соблюдения конституционных прав граждан на защиту от слежки.

Таким образом, в ближайшее время законодательство Германии, касающееся использования программ-шпионов, может сильно измениться.

Перехват корпоративной почты: законно ли?

5 комментариев

К вопросу о необходимости просмотра всей входящей и исходящей корпоративной электронной почты приходят руководители и сотрудники службы безопасности во многих компаниях, и обычно эта задача адресуется в IT-отдел или напрямую старшему системному администратору.

Обычно необходимость таких мер объясняется соблюдением режима коммерческой тайны и возможностью выявления нелояльных сотрудников.

Опустив технические аспекты решения этой задачи, обратим внимание на юридические, ведь перехват электронной почты попадает под определение «нарушение права на тайну переписки».

В частности, это право определяется второй частью статьи 23 Конституции РФ и первый пункт статьи 63 ФЗ от 07.07.2003 № 126-ФЗ «О связи». Согласно этих пунктов, единственное, что может позволить перехват чужих сообщений электронной почты — судебное решение, добиться которого в данном случае не удастся.

Статья 138 УК РФ предусматривает уголовную ответственность за такие нарушения:

первая часть статьи грозит вам штрафом в размере до 80 000 рублей (или заработной платы за 6 месяцев)
вторая часть предусматривает ответственность за такое нарушение, совершённое с использованием служебного положения или специальных технических средств для негласного получения информации и грозит лишением свободы на срок до 4 лет или штрафом до 300 000 рублей
третья часть предусматривает ответственность за производство или приобретение специальных технических средств для негласного получения информации и грозит лишением свободы на срок до 3 лет
кроме того, статья 32 УК РФ обеспечит ответственность и руководителю компании (организатор преступления) и системному администратору (исполнитель преступления), квалифицируя исполнение администратором распоряжения руководства как соучастие.

Как компания может защититься от уголовного преследования, не отказываясь от проверки корпоративной почты сотрудников? Существует ряд рекомендаций, способных перевесить весы правосудия в вашу сторону.

Почтовые ящики, за которыми ведётся наблюдение не должны быть личными.
Все сотрудники должны быть предупреждены о проверке их корпоративной почты в форме отдельного документа-предупреждения, в тексте трудового договора или в виде локального нормативного акта с обязательной росписью сотрудников.
Предупреждение сотрудников должно содержать информацию о том, что корпоративная почта подлежит просмотру руководством и не предназначена для личной переписки. Кроме подписи сотрудников, документ должен содержать подпись лица, выдающего такое распоряжение.
Распоряжение о внедрении средств для просмотра почты должно быть в письменном виде и содержать полный список перехватываемых ящиков, периоде перехвата и извещённости сотрудников.
Отчёты о просмотре почты должны быть максимально подробными и должны передаваться лицу, выдавшему распоряжение о просмотре, под расписку с сохранением копии в IT-отделе.

Помните: просмотр корпоративной электронной почты незаконен, если отсутствует предупреждение работника об этом.

Наличие документа, подтверждающего извещённость сотрудника о просмотре его почты, по большей части снимет с руководства и IT-специалистов ответственность, хотя однозначного решения подобных вопросов в судебной практике России пока нет.

ZoneDefense: продвинутая мобильная оборона

Добавить комментарий

Компания AirPatrol представила технологию беспроводной безопасности ZoneDefense. Это система, использующая совершено новый подход к вопросу предотвращения утечек конфиденциальных корпоративных данных.

Эта технология довольно узко специализирована и направлена на предотвращение утечек данных посредством мобильных устройств и приложений. Система ZoneDefense внедряется в структуру защищаемого здания, её элементы находятся в каждом помещении контролируемого объекта и определяют местоположение любого мобильного устройства с точностью до двух метров.

Но на этом функциональность системы только начинается. Она позволяет не только обнаружить устройства в пределах защищённого объекта, но и заставить их работать по заранее настроенным внутренним правилам системы. Опираясь на эти правила, ZoneDefense может либо разрешать, либо блокировать работу как самих устройств, так и конкретных мобильных приложений, используя информацию о принадлежности мобильного устройства конкретному сотруднику, типе запущенного приложения, направление движения пользователя и даже нахождения поблизости других устройств.

Эта система также может объявить тревогу, предупреждая службу охраны о вероятной утечке данных или просто нахождении подозрительного устройства в неположенном месте.

Google: Справочник по детской безопасности в интернете

Добавить комментарий

Справочник по детской безопасности в Интернете Согласно результатам исследования Фонда Развития Интернета, дети в странах Европы и СНГ в большинстве случаев знают об глобальной сети больше, чем их родители.

С одной стороны, это хорошо и логично, с другой — неизвестно, насколько дети понимают принципы информационной безопасности в сети. Регулярные происшествия, случаи интернет-мошенничества, проявления агрессии и интернет-травли говорят о том, что проблема вполне реальна, а уровень понимания подростками аспектов интернет-безопасности — низкий.

Попытаться оградить собственного ребёнка от подобных опасностей можно различными способами, но нужно быть готовым к тому, что подросток (подкованный лучше своих родителей) без особого труда обойдёт созданные ограничения и запреты. Поэтому, так или иначе, родителям придётся объяснять ребёнку принципы интернет-безопасности.

Компания Google опубликовала полезные советы для родителей и учителей о том, как помочь детям избежать опасностей и объяснить им основные приципы онлайн-работы и отдыха. Все эти материалы переведены на русский язык и собраны в «Справочнике по детской безопасности в Интернете».

В этом справочнике собраны не только статьи Google, но и материалы, предоставленные другими компаниями, которые занимаются проблемами детской безопасности в Интернете.

Стоит, однако, помнить, что даже самые совершенные технологии никогда не заменят родительский контроль и воспитание.

GPRS: канал взломан

Добавить комментарий

GPRS Немецкий специалист по сетевой безопасности и криптографии Карстен Нол (Karsten Nohl) сообщил о создании довольно просто технологии по перехвату и дешифровке данных, передаваемых по мобильной технологии GPRS.

Его команде также удалось обнаружить тот факт, что многие операторы сотовой связи эксплуатируют реализацию GPRS, не обладающей достаточным уровнем защиты, а некоторые из них и вовсе отключают шифрование GPRS-трафика.

Причин для подобного отношения операторов сотовой связи к информационной безопасности собственных абонентов может быть две:

Экономия на мощности оборудования, необходимой для полноценной защиты данных.
Сознательное отключение защиты с целью сохранения собственной возможности анализа трафика абонентов.

Карстен Нол утверждает, что его сообщение носит не только теоретический характер: его команде удалось перехватить данные в сетях операторов T-Mobile, O2 Germany, Vodafone и E-Plus. Причём для перехвата не пришлось использовать ни громоздкое оборудование (использовался перепрошитый телефон Motorola C-123), ни дорогое программное обеспечение (только бесплатное ПО в свободном доступе), а радиус возможного перехвата составил 5 километров.

Сама технология перехвата на сегодняшний день не опубликована, чтобы не нанести серьёзный вред абонентам сотовых компаний по всему миру. Группа исследователей считает, что сейчас для сотовых компаний самое время настроить свои GPRS-шлюзы и привести в порядок все криптографические системы, так как метод перехвата будет опубликован в ближайшее время.

Впрочем, реакции российских операторов сотовой связи ожидать не приходится: по заявлению «большой тройки» (Билайн, Мегафон, МТС), они не видят серьёзной угрозы и предлагают абонентам использовать более защищённые технологии передачи данных, в частности — 3G.

Датамайнинг (data mining): от общего к частному.

Добавить комментарий

Data mining (датамайнинг, глубинный анализ данных) — собирательное название, используемое для обозначения совокупности методов обнаружения в данных ранее неизвестных, нетривиальных, практически полезных и доступных интерпретации знаний, необходимых для принятия решений в различных сферах человеческой деятельности.

Не секрет, что в современном мире полная приватность практически невозможна: так или иначе каждый из нас ежедневно попадает во всевозможные списки, отчёты и статистические выборки. Мы расплачиваемся банковскими картами, пользуемся мобильными телефонами, покупаем билеты… А в интернете количество оставляемых нами следов вообще колоссально: от списка посещённых страниц и до запросов к поисковым системам — всё это вполне возможно перехватить и собрать в единую базу данных.

Собственно, в глубоком анализе огромного количества данных в таких базах (на основе специально разработанных паттернов) и заключается суть датамайнинга.

Например, нет ничего подозрительного в переводе денег с одного банковского счёта на другой. Или в покупке билета на самолёт в крупный город. Или в покупке хозяйственных удобрений. Или, скажем кухонного таймера или нескольких дешёвых мобильных телефонов в интернет-магазине. Но если все эти действия предпринял один человек и в короткий срок, то им определённо стоит заинтересоваться местной антитеррористической службе.

Казалось бы, объединение столь разнородной информации в таких больших количествах — нереально сложная задача. Но тем не менее, оно уже давно возможно и даже работает.

Программа «Полный информационный контроль» (Total Information Awareness) , суть которой заключалась в выявлении подозрительных паттернов поведения, разрабатывалась в стенах Пентагона с 2002 по 2003 год, после чего под влиянием протестов сменила название на «Антитеррористический информационный контроль» (Terrorism Information Awareness — TIA) и стала практически полностью засекреченной. В отчете Министерства национальной безопасности США за этот год речь идёт уже о трёх действующих подобных программах. Подобные проекты развивают и другие страны: Китай, Великобритания, Франция, Израиль и Германия.

Легитимность подобного анализа всех сфер деятельности населения на сегодняшний день является острой причиной споров: разобраться в том, что важнее, безопасность или приватность, пока не удалось. А пока идут споры, сбор и анализ данных вовсю процветает в интернете — там его развитие практически ничто не ограничивает.