Сегодня, похоже, день новостей про двухфакторную аутентификацию. VK анонсировал сервис VK Protect.

* Во всех сервисах экосистемы (вот список) появляется аутентификация через VK ID и опциональная двухфакторная.
* С февраля 2022 года для администраторов сообществ "ВКонтакте" с более чем 10 тыс. подписчиков двухфакторная станет обязательной.

Ну что, индустрия явно двигается в сторону обязательной двухфакторной.

https://vk.com/press/vk-protect

В последнем IOS 15.2 (а также iPadOS 15.2 и macOS 12.1) все-таки вышла новая функция "Родительского контроля", касающаяся отправки и получения детскими аккаунтами интимных фото через iMessage. По умолчанию она отключена, но если родитель ее включает, то ребенку такая фотография при получении показывается размытой, и нужно согласиться с предупреждением, чтобы ее посмотреть. Аналогично, при отправке интимного фото нужно согласиться с дополнительным предупреждением. Технология определения нюдсов отрабатывает локально на устройстве и ничего никуда не передает.

Когда в Apple изначально анонсировали эту функцию, то писали, что для пользователей младше 13 лет для просмотра интимных фото нужно будет согласиться, что копия уйдет родителям. В IOS 15.2 обязательного копирования родителям нет.

Кстати, непонятно, доступна ли эта функция пользователям IOS в России - ее просто нет в русском варианте анонса. Значит ли это, что у IOS разный функционал в разных странах?

https://support.apple.com/en-us/HT212788
https://support.apple.com/ru-ru/HT212788

Помните историю, как израильская компания NSO Group продавала услуги взлома телефонов, когда среди жертв были министры, правозащитники и личные враги арабских шейхов? Там фигурировал взлом айфонов через уязвимость в сообщениях.

Достаточно знать номер жертвы и все — получаешь полный удаленный контроль над телефоном.

Google project zero опубликовал технический анализ этого взлома.

Процитирую резюме из вот этого краткого пересказа: вам приходит гифка, которая на самом деле пдфка, и ее по ошибке не копируют, а пытаются прочитать; в ней доисторическая картинка в формате ксероксов, которая в результате [ошибки] целочисленного переполнения может писать в память, и внутри этой "картинки" семьдесят тысяч блоков логических операций, которые эмулируют небольшой компьютер, который уже находит то место в памяти, которое нужно изменить, чтобы убежать из песочницы [получить полный контроль над телефоном].

Автор вспоминает корабли в бутылке, а у меня в ушах звучит вот эта ирландская песня.

Технически это шедевр, а использовали его для слежки, пыток и убийств.

Помните ноябрьскую историю, как при неофициальной замене экрана у iPhone 13 переставал работать Face ID и Apple обещал, что исправит в будущем обновлении? Вчера ресурс iFixit убедился, что в обновлении IOS 15.2 проблему наконец исправили, теперь Face ID после замены экрана работает.

Для эксперимента они пересадили с одного iPhone 13 Pro Max на другой камеру, батарейку и экран. При этом в настройках в пункте "Настройки - Об этом устройстве - История замены запасных частей и обслуживания iPhone" появилась информация о неизвестных запчастях, а также исчезла функция автоматической калибровки цветовой температуры True Tone и информация об износе аккумулятора в разделе Battery Health. В остальном все работает. За работающий Face ID iFixit добавил линейке iPhone 13 один балл в рейтинге ремонтопригодности, было 5 из 10, стало 6.

Выходит, Apple действительно прислушивается к шумной критике.

Ссылки:
https://www.ifixit.com/News/56386/ios-15-2-fixes-iphone-13s-face-id-repair-trap-and-improves-its-repair-score
https://support.apple.com/ru-ru/HT212878

Роскомнадзор заблокировал сайт правозащитного проекта ОВД-Инфо ovdinfo.org по решению Луховицкого районного суда Московской области.

https://xn--r1a.website/ovdinfo/12696

В пятницу 24 декабря российские пользователи Tor стали сообщать, что у них перестали работать некоторые мосты, которые до этого работали. То есть похоже, мосты потихоньку блокируют.

Разработчики рекомендуют пользователям, которых это коснулось, запрашивать новые мосты
• в настройках Tor Browser "Настройки - Tor - Мосты - Использовать мост - Запросить мост у Torproject.org"
• через https://bridges.torproject.org/
• по имейлу bridges@torproject.org
• или через Telegram-бота @GetBridgesBot.

https://gitlab.torproject.org/tpo/community/support/-/issues/40050#note_2768029

Вышла новая версия известного Windows приложения для обхода блокировок - Goodbye DPI v0.1.8 от ValdikSS. Это не VPN и не прокси, а совсем другая магия:

"Она умеет блокировать пакеты с перенаправлением от пассивного DPI, заменять Host на hoSt, удалять пробел между двоеточием и значением хоста в заголовке Host, «фрагментировать» HTTP и HTTPS-пакеты (устанавливать TCP Window Size), и добавлять дополнительный пробел между HTTP-методом и путем. Преимущество этого метода обхода в том, что он полностью автономный: нет внешних серверов, которые могут заблокировать" (из старого анонса на Хабре).

Новая версия приложения и список изменений: https://github.com/ValdikSS/GoodbyeDPI/releases
Как установить и конфигурировать: https://github.com/ValdikSS/GoodbyeDPI
Описание принципа работы приложения на Хабре: https://habr.com/ru/post/335436/
Форум поддержки: https://ntc.party/c/community-software/goodbyedpi/8

Что-то интересное уже пару дней происходит с облачным менеджером паролей Lastpass. Пользователи жалуются на форумах (например, Hacker News), что кто-то заходит или пытается зайти в их аккаунты с бразильских IP-адресов с правильными паролями.

Lastpass прокомментировал, что это credential stuffing, в смысле атакующие берут пары имейл-пароль из известных утечек и пытаются логиниться ими в аккаунты Lastpass, и иногда успешно. Если это правда, то это чистое безумие. То есть живет себе пользователь и пользуется одним и тем же паролем везде. Ему говорят, переходи на менеджер паролей а то безопасность. И он такой, ага, отлично, и ставит свой старый пароль от всех аккаунтов еще и мастер-паролем от облачного менеджера паролей.

Правда, одновременно с этим исследователи, которые сейчас ковыряют логи малвари Redline Stealer, ворующей пароли из браузеров, говорят, что в этих логах - тысячи паролей от Lastpass. Совпадение?)))

https://news.ycombinator.com/item?id=29705957
https://twitter.com/MayhemDayOne/status/1475897344537374722

Новая история на Хабре про инцидент с аккаунтом Telegram.

У пользователя из Беларуси прошел обыск, он разблокировал свой iPhone сотрудникам МВД, но "облачный пароль" (второй фактор защиты) не отдавал и на устройстве он записан не был. Каким-то образом сотрудники МВД подключили в аккаунт новое устройство, имея доступ к активной сессии, но не зная "облачного пароля". Позже пользователь сменил облачный пароль и попытался выкинуть из аккаунта "чужие" сессии, но в результате выкидывало его самого. Связаться с поддержкой Telegram не удалось, но удалось удалить аккаунт.

Вопрос, который задает пользователь - как можно подключить в Telegram новое устройство, не зная облачного пароля? Самое логичное предположение в комментах: при настройке "облачного пароля" в аккаунте Telegram пользователь дополнительно указал адрес имейл для восстановления, на iPhone был доступ к этому имейлу.

А какие еще есть варианты?

https://habr.com/ru/post/598939/

За последнюю неделю вышло еще два обновления Goodbye DPI - свободного приложения для Windows для обхода блокировок. Текущая версия - 0.2.1.

Принцип работы описан здесь. Если не хотите долго разбираться с опциями, для обхода блокировок российским пользователям рекомендуется запускать скрипт 1_russia_blacklist_dnsredir.cmd, а пользователям в остальных странах - 2_any_country_dnsredir.cmd. Если у вас что-то не заработает или будут вопросы или предложения разработчику, он активно отвечает у себя на форуме поддержки.

Ссылки:
https://github.com/ValdikSS/GoodbyeDPI/releases
https://ntc.party/c/community-software/goodbyedpi/8

⚡️ Фиксируем полное отключение интернета в Алма-Ате, Казахстан.
Интернет отключили около 30 минут назад.
В том числе не работает интернет у проводных операторов.

Там проходят протесты против повышения цен на газ.

Из Казахстана приходят сообщения о блокировках мессенджеров Whatsapp, Signal, FB Messenger, Telegram. Здесь пишут, что вообще не работает мобильный интернет в сетях Altel, Beeline, Tele2, Activ.

А в популярном казахстанском ИБ-шном чате https://xn--r1a.website/cyberseckz айтишники обсуждают, что перестали работать некоторые популярные VPN-провайдеры, но что-то работает, поэтому люди перебирают варианты. Там же есть отчеты о том, что на зарубежные сервера не коннектятся корпоративные Cisco VPN, и личные VPN по Wireguard. Много жалоб, что не работает OpenVPN.

То есть в Казахстане блокируют и сам мобильный интернет, и мессенджеры и средства обхода блокировок. Судя по отзывам похоже, что мессенджеры блокируют для всех одинаково, а вот с мобильным интернетом и VPN блокировки работают по-разному в разных городах и у разных провайдеров.

https://xn--r1a.website/BannedInKazakhstan/321
https://ntc.party/t/mobile-network-shutdown-all-around-kazakhstan/1601
https://xn--r1a.website/cyberseckz

⚡️ Оператор Казахтелеком отключил интернет во всей стране.

Зателеком пишет, что с утра на Ростелекоме не работают DNS-резолверы OpenDNS.

208.67.222.222 (resolver1.opendns.com)
208.67.220.220 (resolver2.opendns.com)

И не открывается сайт opendns.com. Блокировка, тестирование или сбой - пока непонятно.

https://xn--r1a.website/zatelecom/20073

В Казахстане в магазинах не работает эквайринг, очереди к банкоматам и не работают мобильные приложения для оплаты. Очевидно, т.к. отключён интернет.

Это к вопросу, что не стоит отказываться от наличных денег полностью.

Вчера вечером в Казахстане стал появляться интернет, а потом его опять отключили.

Учитывайте, что на этом графике Cloudflare Radar - время в UTC, то есть Москва минус 3 часа. График по Казахстану за последние 24 часа - здесь. Верхние светлые линии - это прошлая неделя для сравнения.

График строится на основе HTTP запросов к сайтам, которые защищает Cloudflare, и к их DNS, 1.1.1.1. Полтора года назад писали, что они обрабатывают 18 миллионов HTTP запросов и 6 миллионов DNS запросов в секунду, так что верить им можно.

https://radar.cloudflare.com/kz?date_filter=last_24_hours

"Мною принято решение включить интернет-связь в отдельных регионах страны на определенные временные интервалы".

А пока за последние 24 часа в Казахстане, судя по Cloudflare Radar, с интернетом вот так (светлые линии - это прошлая неделя для сравнения).

И да, это - средняя температура по стране и есть много нюансов. Но судя по общему графику, включают кусочками по три часа и опять отключают.

https://radar.cloudflare.com/kz?date_filter=last_24_hours

На Forbes постарались детально расписать как устроен интернет в Казахстане, как и почему происходили блокировки.
Мы тоже постараемся об этом поговорить на техническом треке в ближайший Privacy Day 28 января.

🇷🇺☝️Обратите внимание!

https://torscan-ru.ntc.party - очень полезный скрипт для работы Tor.

Страница от ValdikSS, которую стоит сохранить (работает автономно) или добавить в закладки.

Ищет незаблокированные Тор-мосты из публично доступных для добавления в настройки Тора.

На русском вышла легендарная книжка Шошанны Зубофф "Эпоха надзорного капитализма. Битва за человеческое будущее на новых рубежах власти". Зубофф - профессор социальной психологии из Гарварда и она очень крутая. В книжке она описывает новую форму капитализма, основанную на повсеместном распространении гаджетов и коммуникационных технологий, и на тотальной слежке за пользователями как бизнес-модели.

"Угрозу теперь представляет не тоталитарное государство, а повсеместно распространенная цифровая архитектура. Эта беспрецедентная форма власти отмечена колоссальной и асимметричной концентрацией данных и не подчиняется демократическому контролю."

Пока есть только в электронном виде на Литрес. Жалко, что surveillance capitalism перевели как "надзорный капитализм", но наверное "капитализм, основанный на слежке" показался переводчикам слишком громоздкой конструкцией.

Если вы читаете книги, маст рид.

https://www.iep.ru/ru/izdatelstvo/book/2022/epokha-nadzornogo-kapitalizma-bitva-za-chelovecheskoe-budushchee-na-novykh-rubezhakh-vlasti-.html