Lenovo обнаружила бэкдор, просуществовавший 13 лет

Фирма Lenovo провела аудит кода операционной системе ENOS (Enterprise Network Operating System), поставляемой с некоторыми моделями коммутаторов Lenovo и IBM. И обнаружила в этой операционной системе бэкдор, внесенный в код еще в 2004 г. Справедливости ради, активировать его не так то просто и не факт, что хакеры его нашли. Но сама история показательна. В 2004 г разработкой ENOS занималась компания Nortel Blade Server Switch Business Unit (BSSBU). Она внесла код бэкдора (скорее всего рассматриваемый как способ удаленного инженерного обслуживания) по просьбе неназванного OEM клиента. В 2006 г подразделение занимавшееся ENOS  было выделено в компанию BLADE Network Technologies (BNT). Эта компания была приобретена IBM в 2010 г, а в 2014 куплена у IBM компанией Lenovo. И это всё, что вам надо знать об информационной безопасности — её нет. 4 компании 13 лет использовали операционку с предустановленной уязвимостью и нашлась она случайно. Сколько ПО продается менее щепетильными, чем Lenovo продавцами, лучше не думать. Ведь аудит кода абсолютно бесприбылен для корпорации и далеко не все производители ПО тщательно его проводят. Бесконечная цепочка субподрядчиков, куски кода, постоянно продаваемые и покупаемые в виде софтверных фирм и их активов, юридическая безответственность производителей программного обеспечения — все это создает питательную среду для хакерства и гарантирует, что эпидемии вирусов будут продолжаться раньше.

Англоязычная новость https://support.lenovo.com/ru/ru/product_security/len-16095

Русскоязычная новость и обсуждение http://www.opennet.ru/opennews/art.shtml?num=47897

Подписаться на дайджест новостей 360tech.ru

next page

Amazon запатентовал технологию блокировки сравнения цен с конкурентами

30 мая 2017 г Amazon получил патент на технологию, которая должна предотвращать сравнение цен покупателями, когда они находятся в офлайновых магазинах Amzon и пользуются Wi-Fi магазина. Amazon беспокоит, что зачастую покупатели видят товар в офлайновых магазинах, со своего смартфона заходят на сайты конкурирующих ритейлеров и смотрят цену на товар там.

Смысл патента — сервера магазина, через который идет трафик Wi-Fi, отслеживают обращение к сайтам конкурентов. Далее они могут либо блокировать этот трафик, либо перенаправлять его на магазины Amazon или его партнеров,   либо делать покупателю какое-то заманчивое предложение, чтобы убедить его купить товар в Amazon. Как вариант система может вызывать менеджера к товару, который сравнивают и который может попробовать убедить покупателя.

С приватностью в такой схеме конечно все плохо. Но так как это пока только концепция — не факт что Amazon реально будет применять такую технологию. Более того, зачастую патент берут чтобы предотвратить использование идеи конкурентами. Тем не менее направление идей разработчиков немного пугает.

Источник: https://www.washingtonpost.com/news/innovations/wp/2017/06/16/amazon-has-a-patent-to-keep-you-from-comparison-shopping-while-youre-in-its-stores/

Сам патент: http://tu9srvbirvvtmtukd3d3lnbhddjwzgyub3jn.g00.pcmag.com/g00/2_d3d3LnBjbWFnLmNvbQ%3D%3D_/TU9SRVBIRVVTMTUkaHR0cHM6Ly93d3cucGF0MnBkZi5vcmcvcGF0ZW50cy9wYXQ5NjY1ODgxLnBkZg%3D%3D_$/$/$  

Подписаться на дайджест новостей 360tech.ru

большой брат
next page

Ультразвуковая глушилка для микрофонов

Ухо взрослого человека редко воспринимает звуки выше 18 кГц и этот порог падает с возрастом ( в записи про механического турка приводилось видео, по которому можно примерно определить возраст слушателя по моменту, когда он услышит звук). Однако то, что все же некоторые люди, животные и микрофоны все же слышат звуки до 20 мГц и даже выше дает повод пытаться применить это в каких либо технических устройствах.  Об ультразвуковых маячках для отслеживания потребителей уже была запись. Но исследователи из Coordinated Science Laboratory университета Иллинойса разработали методику выработки ультразвука, который по их мнению может (при достаточной мощности и на небольшом расстоянии) глушить микрофоны. Обычно даже лучшие микрофоны не воспринимают звук выше 23 кГц. Исследователи утверждают, что их метод сложения ультразвуковых колебаний частотой 40 и 50 кГц дает разностный звук в диапазоне около 10 кГц, который они называют shadow (тень). Этот звук не слышен человеку, но из-за нелинейности работы  усилительных схем, микрофонами воспринимается как белый шум.

Таким образом это технология позволяет людям спокойно разговаривать, глуша при этом запись разговоров. Другие применения — это звуковые метки и передача информации через акустический канал, типа описанных в этой записи или акустические водяные знаки, как например в случае пиплметров. Плюсом является частота в 40 кГц, так как работа устройств в диапазоне 18-23 кГц все чаще ограничивается (например FCC в США), так как они влияют на маленьких детей и животных (это было известно еще с первых ультразвуковых пультов дистанционного управления для телевизоров).

Исследователи видят и возможные негативные последствия, например для людей со слуховыми аппаратами или использование таких глушилок преступниками.

Технические подробности здесь

Подписаться на дайджест новостей 360tech.ru

next page

Новое мошенничество с применением Robocall

О том, что автоматические голосовые звонки (Robocall) применяются мошенниками уже было написано не раз, например здесь, здесь или здесь. Но на этот раз хакеры похоже придумали что-то новое. Как сообщает motherboard.vice.com хакер по имени Goldrose создал сервис, который выполняет мошеннические голосовые звонки для кардеров (мошенников, использующих краденые реквизиты банковских карт).

Дело в том, что просто номера карточки для большинства мошенничеств недостаточно. Нужны еще секретные коды или знание ответов на секретные вопросы. Кардерский сервис, которые не имеет пока даже названия, предоставляет возможность за подписку, составляющую 250 долларов в месяц, заказывать звонки по телефону реальному обладателю карточки (естественно кардер сперва должен как то этот номер сперва узнать). Автоматическим голосовым звонкам обычные пользователи, как правило, доверят больше чем человеческим (как это не странно).  Автоматический оператор звонит жертве мошенников, представляется сервисом банка и в процессе диалога пытается выспросить секретные коды и ответы на секретные вопросы.

Эти ответы предоставляются кардеру-подписчику сервиса и позволяют ему выполнять финансовые операции от имени владельца карты. Пока, судя по отзывам кардеров, сервис работает не очень хорошо, и это для честных людей хорошая новость. Но вот то, что разработчик явно будет стараться его улучшить — плохая.

next page

Микромаркировка, микротексты и микроданные — Microdot

В английском есть слово Microdots исчерпывающе объясняющее смысл статьи, но в нашем языке я такого не знаю. Смысл: микротексты, микрометки, микроданные — нанесение на предметы и вещи некоего набора данных, метки с целью отслеживания этой вещи или передачи некоей информации.

Когда мы ездили в детский лагерь, мамы нашивали нам метки на одежду. Это конечно не microdot в прямом смысле, но понятно зачем он применяется. По идее такие метки применялись давно, лошадей и рабов клеймили, на вещи наносили зарубки и насечки, зачастую инициалы владельцев.

Новое дыхание microdot получили с развитием оптики, фотографии, увеличительных стекол и микроскопов. Во время осады Парижа прусскими войсками французский фотограф и изобретатель Рене Дагрон предложил использовать его технологию микрофотографирования, чтобы передавать сообщения на голубях. Голубь мог нести 1 г веса, сообщения сделанные по технологии Рене Дагрона весили 0,05 г и имели размер 11 мм на 6 мм (для одной страницы текста).

Значительный вклад в развитие microdot внес изобретатель Эмануэль Голдберг. Судя по Википедии он смог довести плотность записи до 50 полных текстов Библии на квадратный дюйм

(я попытался посчитать сколько это в знаках. Согласно этому ответу

Вся Библия с неканонич. книгами: 77 книг, 1.361 глава; 37.082  стиха, 669.284 слов, 3.172.512 букв. (Во всей Библии полной вот какое количество знаков: точек — 27.782; запятых – 86.464; точка с запятой – 12.268; двоеточие – 11.012; восклицательных знаков – 2.170; вопросительных знаков – 3.362; кавычек  – 2050; скобок – 4.308; пробелов – 710.040). Знак(-) «черта» встречается в Вет. Завете в канонич. книгах 2.952 раза, в Нов.Завете — 488. (Й) -(звук) йота, в В. Зав. — 20.809 раз; в Н.Зав. — 5.236. Итого в Библии черта (-) 3.440 раз; иота — 26.055 раз. 

то есть 50 полных Библий 3172512*50=158625600 знаков. В квадратном дюйме примерно 645 квадратных миллиметров. Получаем плотность записи 245931 знаков на квадратный миллиметр. Если считать (с очень большой натяжкой) что знак — это байт, то получаем плотность записи 1967448 бит на квадратный миллиметр, почти 2 мБ на  кв. мм.) .

Во времена почтовой цензуры скрытые микротексты зачастую печатали в виде буквы. Чтобы прочесть текст надо было рассмотреть нужную букву под микроскопом.  Почтовые цензоры, не зная какую конкретно букву надо рассматривать, часто пропускали такие сообщения. Остается вопросом как наносили такую букву на бумагу, нужен какой то специальный штамп.

Активно микротексты применяли все разведки в докомпьютерную эпоху. Это позволяло пересылать секретные сообщения по открытым (почта) линиям связи.

Небольшой ролик про микротектсты microdot

Необычное применение получили микрометки в принтерах. Когда производители начали изготавливать цветные принтеры, появились опасения их использования для подделки денег и ценных бумаг. Подробности переговоров фирм-производителей с правительственными органами неизвестны, но в статье 2004 года упоминается, что цветные машины Xerox уже около 20 лет наносят на печатаемые страницы микрометки, которые позволяют узнать серийный номер принтера и даже дату печати. Метки наносятся желтым цветом и для невооруженного глаза невидимы. Широкая общественность узнала об этом способе только из статьи 2004 г. Такое применение микродотов получило название printer steganography

Несмотря даже на наличие информации об этом в Википедии, на этих микроточках в 2017 г. попалась сотрудница Агентства национальной безопасности, известная под псевдонимом Победитель и являвшаяся источником для The intercept .

Хотя возможно её нашли в результате слежки, а на принтер сослались, чтобы эту слежку скрыть. Документ она переслала по электронной почте, в фэйсбуке и твиттере она печатал политические и антитрамповские посты.

Организация Electronic Frontier Foundation смогла расшифровать часть кодировки, применяемой для идентификации принтеров по напечатанным документам.

Вот лист, прошедший через принтер

Лист бумаги, прошедший через принтер источник https://w2.eff.org/Privacy/printers/docucolor/

Лист бумаги, прошедший через принтер. источник https://w2.eff.org/Privacy/printers/docucolor/

Если посмотреть его под микроскопом, то можно увидеть несколько точек. чтобы случайный наблюдатель не смог понять, что это код, точки разбросаны по листу так, чтобы не попасть всем вместе в поле зрения микроскопа.

тот же лист, под 60 кратным увеличением. Видно несколько точек, но код пока нечитаем Источник https://w2.eff.org/Privacy/printers/docucolor/

тот же лист, под 60 кратным увеличением. Видно несколько точек, но код пока нечитаем. Источник https://w2.eff.org/Privacy/printers/docucolor/

При десятикратном увеличение и подсветкой синим фонариком код становится более читаемым.

Желтые точки Источник https://w2.eff.org/Privacy/printers/docucolor/

Желтые точки Источник https://w2.eff.org/Privacy/printers/docucolor/

 

Реверс-анализ позволил понять часть кодировки, применяемой в принтерах Xerox

Анализ кодировки принтера Xerox Источник https://w2.eff.org/Privacy/printers/docucolor/

Анализ кодировки принтера Xerox Источник https://w2.eff.org/Privacy/printers/docucolor/

Расшифровка:

Самый верхний и левый столбцы — это строка четности и столбец для исправления ошибок. Они помогают убедиться, что криминалистическая информация была прочитана точно (и, если одна точка была прочитана неправильно, чтобы определить местонахождение ошибки). Строки и столбцы имеют четность: каждый столбец содержит нечетное число точек, а каждая строка (кроме самой верхней строки) содержит нечетное число точек. Если какая-либо строка или столбец содержит четное количество точек, она была прочитана неправильно.

Каждый столбец считывается сверху вниз как один байт из семи бит (исключая первый бит четности); Затем байты читаются справа налево. Столбцы (которые мы выбрали слева направо) имеют следующие значения:

  • 15: неизвестный (часто равный нулю, постоянный для каждого отдельного принтера, может передавать некоторые неизвестные пока данные о модели или конфигурации принтера)
  • 14, 13, 12, 11: серийный номер принтера в двоично-кодированном-десятичном значении, две цифры на каждый байт (постоянный для каждого отдельного принтера, см. Ниже)
  • 10: разделитель (как правило, все, не отображаются в кодовой информации)
  • 9: неиспользованный
  • 8: год, когда была напечатана страница (без веков, 2005 год закодирован как 5)
  • 7: месяц, когда была напечатана страница
  • 6: день, когда была напечатана страница
  • 5: час, на котором была напечатана страница (может быть часовой пояс UTC или может быть установлен неточно в принтере)
  • 4, 3: не используется
  • 2: минута, что страница была напечатана
  • 1: бит четности в строке (установлен для обеспечения нечетного количества точек, присутствующих в строке)

Серийный номер принтера — десятичное число из шести или восьми цифр; Эти цифры кодируются по два за раз в столбцах 14, 13, 12 и 11 (или, возможно, только 13, 12 и 11); Например, серийный номер 00654321 будет кодироваться со значениями столбцов 00, 65, 43 и 21.

Источник

В связи с этим, для озабоченных приватностью пользователей, существуют советы по печати конфиденциальных документов на черно-белых принтерах. Я бы особо не обольщался, как написано выше можно впечатать довольно большой текст в одну букву и поверхностным анализом найти эту букву в тексте непросто. Ну а алгоритм выбора этой буквы может быть довольно сложным, но известным заинтересованным лицам.

На этой странице EFF вело список принтеров, которые печатают microdot. Сейчас список перестал обновляться, так как EFF считает, что все цветные лазерные принтеры наносят идентифицирующую информацию на документы, необязательно желтыми точками, возможно какими то другими способами.

В ЮАР система microdot с 2012 г является обязательной для маркировки автомобилей и прицепов. Необязательно, можно маркировать любые ценные вещи. От 5000 до 15000 липких точек размером менее 2 мм. распыляется на узлы машины, такие VIN пластина, шасси или рама, оси, подкапотное пространство, навесные компоненты, внутренние полости в конструктивных элементах кузова, некоторые части днища. Это связано с огромным количеством угонов в ЮАР, зачастую сопряженных с убийством владельцев. Угнанные машины быстро разбирают на запчасти, а  microdot должен помешать сокрытию следов.

Видеоролик о применении противоугонной системы microdot в ЮАР

 

 

 

 

next page

Блеск и нищета биометрии

Биометрическая идентификация все больше применяется для безопасности. Самый яркий пример — смартфоны с контролем отпечатка пальца, например Iphone с технологией Touch ID. Это быстро и удобно. Ну не совсем быстро и удобно, иногда приходится читать 5 советов для улучшения работы Touch ID. Но в целом эта технология работает. Отпечатки пальцев или ладони или сетчатку глаза нельзя потерять или передать другому. Это быстро оценили работодатели в системах учета рабочего времени и СКУД.

Fingerprint

Fingerprint. by CPOA Fingerprint | by CPOA. CC BY-ND 2.0 https://www.flickr.com/photos/93243105@N03/8477734222

Пошли разговоры о применении биометрии в банковском деле. Но тут, мне кажется, минусы перевесят плюсы. Проблема в том, что в отличие от СКУД и систем учета рабочего времени, к банкоматам и платежным терминалам имеет доступ неограниченный круг лиц. среди которых обязательно появляются любители чужих денег. Если сейчас хакеры ставят скимеры на бензозаправки, чтобы завладеть платежными данными, то скорее всего для биометрических датчиков тоже появятся скимеры. Но, в отличие от карточки, данные своих отпечатков пальцев или радужки глаза невозможно отозвать. Один раз попав в руки мошенников, они всегда будут там, и сменить их невозможно.

Конечно можно надеяться на шифрование. Apple так и делает, осуществляя привязку площадки Touch ID к конкретному процессору. Поэтому, если заменить площадку Touch ID (она же кнопка Home) вне сервиса Apple, можно столкнуться с ошибкой 53 и выходом смартфона из строя. При этом Apple утверждает, что его ПО работает не с отпечатком пальца, а с результатом его математического преобразования. Причем преобразован он таким образом, что осуществить обратную операцию — восстановить на основе хранимого в памяти устройства набора данных реальный отпечаток пальца маловероятно. Учитывая, что этот набор данных хранится в защищенной части процессора Secure Enclave, звучит убедительно.

Но в целом такой подход не нов. Пароли к сайтам и подобная информация тоже чаще всего хранятся не напрямую, а преобразованные с помощью какой либо хэш-функции, зачастую с применением модификаторов, так называемой соли. Но злоумышленники отвечают применением радужных таблиц для восстановления пароля из хэша. К тому же не факт, что при оснащении самых дешевых платежных терминалов будет применяться максимально безопасная конфигурация. Битва брони и снаряда продолжается и когда жертвой этой битвы станут биометрические данные пользователей — видимо вопрос времени.

.

next page