И на десерт. Операторам разрешили ронять сеть по звонку ФСБ 👮‍♂️

Госдума приняла в окончательном чтении законопроект, который ставит точку в спорах о приоритетах между бизнесом и безопасностью. Теперь операторы связи законодательно обязаны отключать услуги по требованию ФСБ. Самый важный нюанс для нас и наших договоров... ❗️ провайдеры полностью освобождаются от ответственности за такие сбои. Если бизнес встал колом, серверы потеряли связность, а кассы перестали пробивать чеки из-за звонка сверху, вы не сможете выставить претензию или потребовать компенсацию. Это теперь официально считается форс-мажором, прописанным в федеральном законе.

Перечень случаев, когда силовики могут дернуть рубильник, правительство определит позже. Если раньше шатдауны теоретически 🤔 можно было маскироать под технические работы или обрыв кабеля трактором 😬, то теперь процедура стала прозрачной и легальной. Для телекома это даже облегчение... больше не нужно ничего придумывать клиентам.

Если сложить три последние новости в одну, то мы наблюдаем финализацию архитектуры Суверенного Рунета. Это уже не просто фильтрация контента, это переход к модели Государственного Интранета. В этой новой реальности аптайм, связность и доступность сервисов перестали быть главными метриками качества. Главной метрикой стала управляемость. Мы, как инженеры, привыкли бороться за каждую девятку в надежности (99.999%), но теперь увы, от нас эти девятки не зависят.

Типичный 🥸 Сисадмин

☝🏻Он случайно получил контроль над тысячами роботов-пылесосов DJI по всему миру

Испанец Сэмми Аздуфаль просто хотел поуправлять своим новым роботом-пылесосом DJI Romo с геймпада PS5 — ради фана.🎮

Для реверс-инжиниринга протоколов связи пылесоса он использовал ИИ-ассистент Claude от Anthropic, который декомпилировал мобильное приложение DJI, разобрался в протоколе, извлёк токен аутентификации и собрал кастомный клиент. 🤖

Но когда его самодельное приложение подключилось к серверам DJI, ответил не один пылесос — а примерно 7 000 устройств из 24 стран мира.

За 9 минут его ноутбук получил более 100 000 пакетов данных от роботов, включая серийные номера, карты помещений, маршруты уборки и информацию о препятствиях.

А если считать ещё и портативные зарядные станции DJI Power, работающие на той же инфраструктуре, — доступ был к 10 000+ устройств. 🌍

Аздуфаль мог смотреть живые трансляции с камер пылесосов, слушать через встроенные микрофоны и генерировать полные 2D-планы чужих квартир.

Чтобы доказать это журналисту The Verge, он по одному лишь 14-значному серийному номеру нашёл его робота, определил, что тот убирает гостиную с зарядом 80%, и построил точную карту дома — находясь при этом в другой стране.😅

☝🏻☝🏻Причина уязвимости оказалась до смешного простой: MQTT-брокер DJI не разграничивал доступ между устройствами. Авторизовавшись токеном одного пылесоса, можно было подписаться на потоки данных всех остальных устройств и видеть их в открытом виде.

TLS-шифрование при этом действительно было — но оно защищало канал, а не данные внутри него от других аутентифицированных клиентов. 🔓

Реакция DJI только усугубила ситуацию — пресс-секретарь заявила изданию The Verge, что уязвимость уже устранена, но через 30 минут Аздуфаль продемонстрировал, что тысячи роботов по-прежнему доступны.

DJI выпустила два патча — 8 и 10 февраля, однако исследователь утверждает, что ряд уязвимостей до сих пор не закрыт, включая обход PIN-кода камеры. 🩹

☝🏻☝🏻☝🏻Отдельно стоит отметить, что Аздуфаль — не хакер, он руководит компанией по аренде жилья.

Он просто использовал ИИ, извлёк приватный токен своего собственного пылесоса, а серверы DJI в ответ выдали ему данные тысяч чужих устройств.
================
👁 мМм | 👁 Soft | 👁 Gear | 👁 Links

👨‍🦳 Когда приватность в ТГ стоит 500 рублей.

На фоне суеты с замедлением ТГ и слухов про блокировку, в сторах и рекламе начал активно форситься клиент с незамысловатым названием «Telega»👨‍🔬. Разработчики обещают, что он будет работать в РФ без VPN даже при тотальном шатдауне. Звучит заманчиво и хочется срочно поставить? А теперь давайте посмотрим, что у него под капотом (спасибо bruhcollective за декомпиляцию 🎩).

Внутри полный набор товарища майора 👮‍♂️:
🟢Клиент подменяет адреса дата-центров Telegram (DC1-5) на свои собственные прокси. Весь ваш трафик, включая медиа и файлы, идет через промежуточные сервера разрабов.
🟢При авторизации на сторону разработчика улетает не только номер телефона (который в обычном клиенте скрыт), но и auth_key_id. Это технически позволяет отслеживать активность конкретной сессии и, возможно, банить юзера точечно.
🟢В коде найдена функциональность для блокировки каналов и чатов независимо от ТГ. То есть, если РКН скажет заблокировать канал, в официальном приложении он может работать, а в приложении выдаст заглушку что материалы недоступны.
🟢При включенном фильтре клиент отправляет на сервер ID всех открываемых вами чатов. Идеально для построения социального графа... кто с кем общается и что читает😗

Но самое занятное вскрылось в последних находках. В библиотеках клиента обнаружили функцию проверки флага isPfsEnabled, которой нет в оригинальном коде Дурова. Perfect Forward Secrecy (PFS) - это механизм, гарантирующий, что даже если злоумышленник украдет долговременные ключи шифрования, он не сможет расшифровать переписку, записанную в прошлом. В официальном клиенте Telegram этот параметр - константа, всегда равная true. Его нельзя выключить, это база безопасности MTProto. А вот в «Telega» это переменная, значение которой прилетает с сервера конфигурации разработчиков 😶

Получается, что разрабы «Telega» могут удаленно, без обновления приложения, отключить PFS для конкретного пользователя или для всех сразу. Это превращает шифрование в ничто, т.к. если трафик перехватывается (а он может перехватываться через их прокси), то при наличии ключей его можно будет расшифровать постфактум.

Еще из интересного... приложение имеет галочку верификации и рекламируется через официальную платформу Telegram Ads. Это наводит на очень нехорошие мысли о том, что Кто-то 😬 мог пойти на сделку, типа... Окей, мы не дадим вам ключи шифрования, но разрешим работу специального клиента, который будет всё соблюдать.

Ну и на десерт про лицензионное соглашение. Пользователи, которые не поленились прочитать юридическую часть, нашли там прекрасное:
🟢Разработчики прямо пишут, что могут передавать персональные данные госорганам.
🟢Ответственность за разглашение данных третьим лицам? Отсутствует.
🟢Максимальная компенсация за любой ущерб - 500 рублей 😂

Вот и получается, что «Телега» - не простой форк, а с доступом к ТГ ценой приватности. Такое мы ставим? 🤢

Типичный 🥸 Сисадмин