Добро пожаловать, Гость. Пожалуйста, войдите или зарегистрируйтесь.
24 Сентября 2021, 09:07:03
Начало Помощь Поиск Войти Регистрация
Новости: Книгу С.Доронина "Квантовая магия" читать здесь
Материалы старого сайта "Физика Магии" доступны для просмотра здесь
О замеченных глюках просьба писать на почту quantmag@mail.ru

+  Квантовый Портал
|-+  Разное
| |-+  Общий раздел
| | |-+  О защитах приватности и свободах_ границы и взаимовлияние
0 Пользователей и 1 Гость смотрят эту тему. « предыдущая тема следующая тема »
Страниц: [1] Печать
Автор Тема: О защитах приватности и свободах_ границы и взаимовлияние  (Прочитано 225 раз)
Oleg
Модератор своей темы
Ветеран
*
Сообщений: 6162


Ёжик в нирване youtube.com/watch?v=YHk


Просмотр профиля
« : 07 Сентября 2021, 13:51:55 »

1. какой смартфон стойкий к пегасусу выбрать ?

Цитата:
https://zona.media/article/2021/07/19/pegasus

Троянский «Пегас». Израильские хакеры вскрывают телефоны журналистов и активистов по заказу правительств
19 июля 2021

Если зайти на официальный сайт израильской NSO Group, можно узнать, что компания занимается «киберразведкой в интересах глобальной безопасности и стабильности». Если же открыть сегодня крупнейшие мировые СМИ, можно выяснить, что за этой формулировкой скрывается куда более банальная торговля программами для взлома смартфонов неугодных журналистов и активистов. «Медиазона» кратко пересказывает результаты масштабного расследования взломов NSO Group, в котором приняли участие полтора десятка крупнейших мировых изданий.

Журналисты ведущих мировых изданий и специалисты по кибербезопасности проверяли список из 50 тысяч телефонных номеров, который оказался в распоряжении парижской некоммерческой организации Forbidden Stories и правозащитников из Amnesty International.

Смартфоны граждан различных государств могли быть взломаны при помощи программного комплекса Pegasus разработки NSO Group; программа дает практически полный доступ к памяти и функциям устройства, то есть позволяет удаленно читать переписки, передавать данные о местоположении, включать камеру или микрофон.

Основной вывод: по меньшей мере 37 раз власти различных стран заказывали взлом смартфонов журналистов, правозащитников, бизнесменов и близких к ним людей.

Pegasus позволяет взламывать айфоны со всеми последними обновлениями без какого-либо участия жертвы: не нужно ни открывать ссылки, ни вводить где бы то ни было пароли. Скорее всего, NSO Group использует различные уязвимости мобильных приложений, но Amnesty International удалось подтвердить использование бага в мессенджере iMessage.

Что такое NSO Group?
Израиль — мировой лидер по числу стартапов, и крупнейшим направлением инвестиций там стали IT-разработки, в том числе так или иначе связанные с военным сектором. «Множество отставных специалистов компьютерных и телекоммуникационных подразделений израильской армии успешно реализовывают смелые идеи, применяя военные технологии для развития стартапов», — поясняет депутат Кнессета Идал Ролл.

NSO Group основали по той же схеме: в 2009 году на фоне развития рынка смартфонов бывшие военные из подразделения 8200, занимающегося радиоэлектронной разведкой, решили разработать программный комплекс для удаленного взлома. Предполагается, что программный комплекс Pegasus «дает полномочным органам власти технологии, помогающие бороться с терроризмом и преступностью».

Впервые о Pegasus заговорили в 2016 году, когда журналист и правозащитник Ахмед Мансур получил по смс ссылку на «новые секреты» о пытках в ОАЭ. Мансур заподозрил неладное и связался с IT-экспертами из канадской Citizen Lab, которые проверили ссылку и обнаружили за ней код, позволяющий удаленно взломать iPhone адресата при помощи нескольких 0-day уязвимостей и предоставить полный доступ к функциям и памяти устройства.

К 2018 году исследователи зафиксировали взломы, для которых использовали Pegasus, в 45 странах — от Мексики, где ловили наркобарона Коротышку и заодно прослушивали журналистов, до Индии, где премьер Нарендра Моди укреплял «вертикаль власти». С российскими властями, по крайней мере по данным Citizen Lab, израильтяне не сотрудничали.

На следующий год NSO Group ждал новый громкий скандал: разработчики мессенджера WhatsApp заметили уязвимость, которая позволяла установить Pegasus — в NSO использовали баг в коде мессенджера, чтобы позвонить жертве и установить шпионскую программу, даже если та не ответит на звонок. Владеющая мессенджером корпорация Facebook обратилась в суд; в NSO парировали, что Facebook сам вел переговоры о покупке доступа к Pegasus.

Формально экспорт технологий двойного назначения контролируется израильским Минобороны, однако ведомство не слишком внимательно следит за успешными стартапами, поэтому они оказываются в центре скандалов из-за работы с правительствами, не заинтересованными в соблюдении свободы слова или прав человека.

Что произошло?
Список из 50 тысяч номеров, оказавшийся в распоряжении правозащитников, не содержит имен, но журналистам удалось идентифицировать более тысячи их владельцев из более чем 50 государств: это члены королевских семей арабских стран, десятки бизнесменов и топ-менеджеров, 85 правозащитников, 189 журналистов мировых СМИ и более 600 политиков и чиновников.

Чтобы подтвердить факт взлома, исследователи Amnesty International осмотрели 67 смартфонов, чьи владельцы упоминались в списке из 50 тысяч номеров и явно не были причастны к террористической деятельности. Из них 23 были успешно инфицированы Pegasus, еще на 14 обнаружены следы попыток проникновения. Остальные 30, по всей видимости, были куплены владельцами уже после заказа на взлом; 15 из этих телефонов были устройствами на ОС Android, которая не записывает телеметрию, на которую опирались исследователи для фиксации факта успешного заражения.

NSO Group отчитывается, что поставляет свою технологию 60 силовым структурам из 40 государств, но не называет их. Изучая группы телефонных номеров в слитой базе жертв Pegasus, исследователи пришли к выводу, что взломы заказывали власти Азербайджана, Бахрейна, Венгрии, Индии, Казахстана, Мексики, Марокко, Руанды, Саудовской Аравии и ОАЭ.

Лидером по числу заказанных номеров оказалась Мексика — 15 тысяч. В списке есть политики, представители профсоюзов, журналисты и оппозиционеры. Существенная доля номеров из базы пришлась на Ближний Восток; в Индии в списке оказались телефоны сотен журналистов, активистов и оппозиционных политиков.

В 2018 году после гибели активиста Джамаля Хашогджиего заманили в консульство Саудовской Аравии в Стамбуле, убили и расчленили — в NSO Group заявили, что саудовские спецслужбы не использовали их программу. Расследование показало, что это не так: Pegasus использовали для взлома телефонов двух близких к нему женщин — жены и невесты.

Венгерские власти заинтересовались номерами по меньшей мере десяти адвокатов, оппозиционера и пятерых журналистов. Телефон известного репортера Сабольча Паньи при обследовании оказался неоднократно инфицированным, причем даты заражения совпадали с датами запросов, которые Пани направлял правительственным чиновникам по чувствительным темам.

Сама NSO Group через юристов сообщила, что 50 тысяч жертв — «преувеличенное число», выводы о масштабных взломах некорректны, а база номеров могла быть собрана при помощи не связанных со взломами функций Pegasus.

«А вы задали те же вопросы властям США, Великобритании, Германии или Франции? Если да, то как долго пришлось ждать ответа — и как они ответили? Помогала ли вам составлять вопросы какая-нибудь разведка?» — таким списком встречных вопросов ответила пресс-служба венгерского правительства на попытку журналистов Guardian получить комментарий к статье.

«Более самоизобличающего ответа на запрос о комментарии я в жизни не видел», — возмущается Эдвард Сноуден, но пишет это из России, где государственный вотэбаутизм отработан до совершенства годами советской и постсоветской практики.

Цитата:
https://ru.wikipedia.org/wiki/Whataboutism

Whataboutism (буквально с англ. — «какнасчётизм»), whataboutery — политическое клише, введённое в качестве иронического термина для описания пропагандистской тактики, основанной на дискуссионном приёме tu quoque (с лат. — «И ты тоже») или подмене тезиса. Популяризировано журналом The Economist для описания использования этого приёма Советским Союзом в отношениях с западным миром во время холодной войны. Эта тактика применялась Советским Союзом в ответ на критику, когда ответ начинался с выражений «А как насчёт…» («What about…»), после чего следовало упоминание в какой-либо мере схожих событий в западном мире, что оправдывало предмет критики путём использования смысловой подмены[1][2]. Тактика используется для того, чтобы заменить обсуждение одного вопроса обсуждением другого[3][a]. Нередко сопровождается ссылкой на двойные стандарты.

Цитата:
https://en.wikipedia.org/wiki/Whataboutism

Whataboutism , также известный как whataboutery , является вариантом логической ошибки tu quoque, которая пытается дискредитировать позицию оппонента, обвиняя его в лицемерии, без прямого опровержения или опровержения их аргументов.

было придумано, чтобы описать частое использование риторических уловок советскими апологетами и диктаторами, которые будут опровергать обвинения в их притеснении, «массовых убийствах». , ГУЛАГи и насильственные депортации », ссылаясь на американское рабство , расизм , линчевания и т. д.

Когда в адрес Советского Союза во время холодной войны поступают критические замечания , в ответах Советского Союза часто используется фраза: «А как насчет вас ?». стиль путем инстанции события или ситуации в западном мире . [8] [9] [10] Идею можно найти на русском языке; в то время как в нем используется фраза "Sam takoi" для прямого tu quoque - вроде "ты тоже"; в нем также есть фраза «Sam ne lutche » (« не лучше »).
..
Практика сосредоточения внимания на стихийных бедствиях в других местах, когда они происходят в Советском Союзе, настолько распространена, что после просмотра репортажа по советскому телевидению о катастрофе за границей россияне часто звонят западным друзьям, чтобы узнать, не произошло ли что-то в Советском Союзе.
« Последнее редактирование: 07 Сентября 2021, 20:53:37 от Oleg » Записан
Oleg
Модератор своей темы
Ветеран
*
Сообщений: 6162


Ёжик в нирване youtube.com/watch?v=YHk


Просмотр профиля
« Ответ #1 : 07 Сентября 2021, 13:58:01 »

google/Pegasus site:elcomsoft.com

https://blog.elcomsoft.com/ Pegasus

Цитата:
https://blog.elcomsoft.com/2020/05/apple-vs-law-enforcement-poker-face/

Яблоко против Правоохранительные органы: непроницаемое лицо?

“Мы не должны просить наших клиентов идти на компромисс между конфиденциальностью и безопасностью. Мы должны предложить им лучшее из того и другого. В конечном счете, защита чужих данных защищает всех нас”. Угадайте, кто это сказал? Ответ находится в конце статьи. Тем временем мы продолжаем говорить о безопасности iPhone и iOS, следуя за Apple против Правоохранительные органы – iOS с 4 по 13.5 статьи. На этот раз мы собираемся обсудить некоторые другие аспекты безопасности iOS.

Подвиги

Я думаю, вы знаете о обновленной программе Apple Security Bounty https://developer.apple.com/security-bounty/ . Участники могут заработать до 100 000 долларов за новый обход экрана блокировки и до 250 000 долларов за извлечение пользовательских данных.

Zerodium платит больше https://zerodium.com/program.html , до 2 миллионов долларов. Однако в недавнем заявлении они сказали следующее.

В течение следующих 2-3 месяцев мы НЕ будем приобретать новые приложения Apple iOS LPE, Safari RCE или "песочницы" в связи с большим количеством заявок, связанных с этими векторами.
Цены на цепочки iOS в один клик (например, через Safari) без сохранения, скорее всего, упадут в ближайшем будущем.



В то же время Apple подала в суд на Corellium, стартап, который смог эмулировать устройства Apple под управлением различных версий iOS, что действительно помогает разработчикам безопасности во всем мире; см. Apple Борется с вмешательством правительства США В дело об авторских правах на iPhone, а Исследовательский инструмент iPhone, на который подала в суд Apple, Говорит, что это похоже на эмулятор PlayStation для последних обновлений.

Итак, существуют ли эксплойты iOS в дикой природе? Несомненно. Вот информация об одной из последних обнаруженных уязвимостей (распространяется на iOS с 7 по 13.4.1; исправлена в бета-версии iOS 12.4.5).:

https://siguza.github.io/psychicpaper/

Есть еще много таких, которые циркулируют без особой (или какой-либо) огласки.

Cellebrite и Серый сдвиг

Cellebrite и Grayshift-два поставщика, поставляющие правоохранительным органам инструменты для разблокировки iPhone. В то время как обе компании держат язык за зубами о чем-либо, отдаленно напоминающем технические детали или даже спецификации совместимости, похоже, что последний раунд выиграли эти ребята. В то время как Apple продолжает улучшать ограничения USB, Cellebrite и Grayshift, по-видимому, работают в обход блока данных, по крайней мере, в некоторых случаях. SoC A12 (поколение iPhone Xr/Xs) больше не имеет уязвимости, позволяющей компаниям атаковать коды доступа на устройствах старшего поколения, однако поддержка iPhone нового поколения рекламируется в группах новостей судебной экспертизы. Трудно представить, что Apple не сможет защитить свои устройства от подобных атак раз и навсегда. Или, может быть, они могут это сделать, но просто не хотят? Есть ли причина вставлять черный ход, как того хочет правительство, если существуют какие-то эксплойты, позволяющие этим двум компаниям взломать пароли iPhone и извлечь данные?

Не забывайте о группе NSO. Несмотря на то, что их программное обеспечение не является общедоступным, а эксплойты, на которых они основаны, держатся в секрете, им можно злоупотреблять.

Бесстрастное лицо?

Мы никогда не знаем, о чем думает Apple, но похоже, что у них непроницаемое лицо. Несомненно, Apple технически способна разработать свой собственный инструмент разблокировки или, по крайней мере, инструмент, который будет расшифровывать файловую систему, как только компании будет предоставлен iPhone и его код доступа (или выполнить частичное приобретение файловой системы заблокированных устройств). Apple активно сопротивляется, отклоняя все запросы на создание инструментов разблокировки или внедрение бэкдоров в iPhone.

По этому и многим тысячам других дел мы продолжаем круглосуточно сотрудничать с ФБР и другими следователями, которые обеспечивают безопасность американцев и привлекают преступников к ответственности. Как гордая американская компания, мы считаем, что поддержка важной работы правоохранительных органов является нашей обязанностью. Ложные заявления, сделанные о нашей компании, являются предлогом для ослабления шифрования и других мер безопасности, которые защищают миллионы пользователей и нашу национальную безопасность.

Именно потому, что мы так серьезно относимся к своей ответственности за национальную безопасность, мы не верим в создание бэкдора, который сделает каждое устройство уязвимым для злоумышленников, угрожающих нашей национальной безопасности и безопасности данных наших клиентов. Такой вещи, как черный ход, не существует только для хороших парней, и американскому народу не нужно выбирать между ослаблением шифрования и эффективными расследованиями.

Вернемся к цитате в первом абзаце.

Это был Тим Кук, кто же еще.

---> 4pda.to/forum/ Zerodium

Цитата:
https://zerodium.com/program.html

Zerodium выплачивает БОЛЬШИЕ награды исследователям в области безопасности за приобретение их оригинальных и ранее незарегистрированных исследований нулевого дня. В то время как большинство существующих программ поощрения ошибок допускают практически любые типы уязвимостей и PoC, но платят очень мало, в Zerodium мы фокусируемся на уязвимостях с высоким уровнем риска с полнофункциональными эксплойтами и платим самые высокие вознаграждения на рынке ( до 2500000 долларов США за отправку ) .

Награды за подходящие эксплойты нулевого дня варьируются от 2500 до 2 500 000 долларов за отправку. Суммы, выплачиваемые Zerodium исследователям за приобретение их исходных эксплойтов нулевого дня, зависят от популярности и уровня безопасности уязвимого программного обеспечения / системы, а также качества представленного эксплойта (полная или частичная цепочка, поддерживаемые версии / системы / архитектуры. , надежность, обойденные средства защиты от эксплойтов, компоненты по умолчанию и компоненты, не используемые по умолчанию, продолжение процесса и т. д.). Для получения дополнительной информации прочтите наш FAQ .

Перечисленные ниже диапазоны выплат предоставлены только для информации и предназначены для полнофункциональных / надежных эксплойтов, отвечающих самым высоким требованиям Zerodium. Zerodium может платить еще более высокие награды за исключительные подвиги и исследования .




« Последнее редактирование: 07 Сентября 2021, 14:23:04 от Oleg » Записан
Oleg
Модератор своей темы
Ветеран
*
Сообщений: 6162


Ёжик в нирване youtube.com/watch?v=YHk


Просмотр профиля
« Ответ #2 : 07 Сентября 2021, 14:16:08 »

--> гугленье пегасостойкости яблок-андрюшек

google/ Pegasus iOS Android "elcomsoft.com" reddit

Цитата:
https://www.reddit.com/r/privacy/comments/9z5d7k/android_vs_ios_which_os_should_a_privacyfocused/

Android против iOS: какую ОС следует использовать пользователю, ориентированному на конфиденциальность?
..
iOS, если вам нужно удобство. AOSP ROM, если вы готовы потратить больше времени и пожертвовать большинством популярных приложений и сервисов.
..
HappyTile
Ни один. Оба являются закрытым исходным кодом и проприетарными. Мобильные устройства предназначены для отслеживания, поэтому не используйте их, если вы заботитесь о конфиденциальности. Хотя, если бы вам пришлось его использовать, я бы порекомендовал использовать AOSP с корневым доступом, работающий с открытым программным обеспечением.

семенгали
Apple утверждает, что поддерживает конфиденциальность и имеет некоторую историю, подтверждающую это. Однако программное обеспечение с закрытым исходным кодом, невозможно точно проверить, что оно делает. Apple является [партнером PRISM] ( https://en.wikipedia.org/wiki/PRISM_(surveillance_program) .

Android очень плохо влияет на вашу конфиденциальность, Google собирает с вашего устройства как можно больше информации. Однако Android в некоторой степени является открытым исходным кодом - AOSP является открытым исходным кодом, на котором основаны все сборки Android. AFAIK не существует сборок с полностью открытым исходным кодом, которые фактически используются в розничных телефонах, поэтому вы снова не знаете точно, что они делают, хотя у вас есть больше идей, чем с iOS. Если у вас технические навыки выше среднего (или вы готовы немного запачкать руки), вы можете прошить пользовательское ПЗУ, такое как LineageOS, хотя есть некоторые недостатки безопасности, о которых вам нужно знать при таком подходе, вы намного безопаснее от Google (при условии, что вы не установите Google Play Services и Google Apps).

Информация о недостатках безопасности с LOS:

https://old.reddit.com/r/CopperheadOS/comments/917yab/can_anyone_technically_explain_why_lineageos_as/e2xiot5/

https://www.reddit.com/r/Android/comments/801rhr/pros_and_cons_of_a_custom_os/dustc7s/

По иронии судьбы, если у вас есть устройство Pixel, которое, как вы ожидаете, будет худшим с точки зрения конфиденциальности, вы можете прошить r / RattlesnakeOS , который, по-видимому, является самым частным ПЗУ для Android, которое вы можете использовать, хотя я не слишком много смотрел в это я сам, так как у меня нет пикселя.
TL; DR: Если вы доверяете Apple, то точно iOS. Если нет, то сложно сказать.

[удалено]
Информация о недостатках безопасности с LOS:
https://old.reddit.com/r/CopperheadOS/comments/917yab/can_anyone_technically_explain_why_lineageos_as/e2xiot5/
https://www.reddit.com/r/Android/comments/801rhr/pros_and_cons_of_a_custom_os/dustc7s/
Почти все эти недостатки безопасности являются устаревшей информацией или FUD.

Калипсорой
Учитывая текущую международную обстановку, я бы сказал, какая из них лучше защищает от принуждения и вымогательства, будь то сторонние приложения или собственная ОС.
Мой список желаний будет включать
Защищенный паролем загрузчик со скрытой ОС. (Скрытая ОС имеет высокий уровень правдоподобного отрицания, но в этом нет необходимости, если у вас есть другие надежные функции безопасности)
Переключатель Nuke / Reset в загрузчике (если вас принуждают или боитесь, что вас принудят, опять же, возможно, нет необходимости, если в противном случае безопасность жесткая и вы можете ядерное оружие изнутри ОС)
и / или
Настраиваемые параметры безопасности для каждого приложения - отдельные пароли, возможность скрыть присутствие приложения, включая приложения безопасности и шифрования, а также ядерное уничтожение данных приложений.
Безопасность на основе номеронабирателя (введите пин-код / ​​секретный номер, чтобы отобразить параметры безопасности и показать приложения - безопасность на основе номеронабирателя не подлежит принуждению, если они не знают, что у вас есть, и не угрожают вам физически)
Приложения с автоматической блокировкой, динамические пароли и т. Д.
Блокирование жесткого доступа к портам и предоставление ложного доступа (иногда вас могут заставить установить шпионское ПО и т. Д., Поэтому вы хотите, чтобы все выглядело так, как будто вы сотрудничаете, даже если это не так).
Я не специалист по конфиденциальности или безопасности, но как можно больше из этих функций должны быть встроены в ОС. Когда в iOS будет больше этих функций, я откажусь от Android.

SpecialNeat
https://blog.elcomsoft.com/2017/10/ios-vs-android-physical-data-extraction-and-data-protection-compared/
iOS против Android: сравнение физического извлечения данных и защиты данных
20 октября 2017 г. Олег Афонин

[удалено]
Если мы говорим о том, чтобы никогда не устанавливать никаких других приложений, я полагаю, для iOS.
Если вы устанавливаете какие-либо приложения, это совершенно не имеет значения, потому что сторонние разработчики приложений и игр так же многочисленны на любой платформе, а их методы обеспечения конфиденциальности практически не контролируются. В этом отношении я предпочитаю Android, потому что люди создали более совершенные инструменты для обнаружения и блокировки подобных вещей.

2)
habr.com/ [Zerodium]

Цитата:
https://habr.com/ru/post/570064/

31 июля 2021
Почему я отказался от 18 тысяч долларов по баунти-программе Apple

Цитата:
https://habr.com/ru/post/541190/

7 февраля 2021
Как root-права и альтернативные прошивки делают ваш android смартфон уязвимым

Цитата:
https://habr.com/ru/post/550640/

4 апреля 2021
FOSS News №64 – дайджест материалов о свободном и открытом ПО за 29 марта – 4 апреля 2021 года
« Последнее редактирование: 07 Сентября 2021, 14:37:21 от Oleg » Записан
Oleg
Модератор своей темы
Ветеран
*
Сообщений: 6162


Ёжик в нирване youtube.com/watch?v=YHk


Просмотр профиля
« Ответ #3 : 09 Сентября 2021, 15:39:58 »

шо у нас в оплотах свобод народ обсуждаэ

www.fsf.org

www.eff.org

eff.org/ Pegasus

fsf.org/ Pegasus

4pda.to/fsf.org

4pda.to/eff.org

4pda.to/I2P-Bote

умилительно

Цитата:

Цитата:

Записан
Oleg
Модератор своей темы
Ветеран
*
Сообщений: 6162


Ёжик в нирване youtube.com/watch?v=YHk


Просмотр профиля
« Ответ #4 : 16 Сентября 2021, 21:08:40 »

--->
roskomsvoboda.org/Pegasus

Цитата:
https://roskomsvoboda.org/post/vadim-losev-o-pegasus/

Эксперт о Pegasus: «Корпорации и государства выбирают не делать компьютеры и телефоны безопасными»
Технический специалист «Роскомсвободы» Вадим Лосев прокомментировал самую яркую новость недели и рассказал, можно ли защититься от шпионского ПО.

Pegasus — это такой готовый конструктор, через который устройства пользователей вначале заражают специальным вирусом, а потом при помощи этого вируса удалённо следят за пользователями и скачивают с телефонов информацию. Чтобы «доставить» вирус на устройство, Pegasus использует так называемые уязвимости нулевого дня или zero-day, то есть дыры, которые ещё не закрыл сам производитель. А некоторые из них еще и zero-click — не требуют от жертвы никаких действий. То есть не надо нажимать на ссылки или файлы запускать, смартфон заражается просто потому, что на него пришло сообщение. И обычный конечный пользователь никак не может от такого защититься.

История выстрелила благодаря качественному исследованию
Про NSO Group и Pegasus известно много лет. Я думаю, что тема так сильно выстрелила сейчас, потому что это была скоординированная кампания нескольких мировых СМИ, которая опиралась на качественное исследование Amnesty International. И количество потенциальных целей в 50 000 — это интересно, до этого журналисты предполагали, что следят, скорее, за единицами.

Разработчик избегает ответственности через «умышленное архитектурное решение»
NSO Group говорит, что не знает https://roskomsvoboda.org/post/pegasus-instrument-dlya-borbyi-s-terrorizm , как используются её технологии, И в публичном доступе даже появилось техническое описание системы Pegasus, которое объясняет, как именно она работает, чтобы компания действительно не знала. Это такое умышленное архитектурное решение, изолирующее NSO Group от ответственности. Но я считаю, что разработчик несёт ответственность за подобное. У философа Ханны Арендт есть книжка под названием «Банальность зла», мне кажется, она как раз про эту проблему.

«Корпорации и государства выбирают не делать компьютеры и телефоны безопасными»
Pegasus — не единственный продукт, использующий уязвимости нулевого дня. Компании и государства активно скупают эти уязвимости для своих целей, например, мы точно знаем, что этим занимаются западные спецслужбы, потому что там на эту тему есть активный общественный диалог. И в этом и есть проблема: корпорации и государства выбирают не отдавать информацию об уязвимостях производителям, то есть не делать компьютеры и телефоны безопасными, и пользователи часто с этим ничего не могут поделать.

Как защититься?
TechCrunch опубликовал инструкцию https://techcrunch.com/2021/07/19/toolkit-nso-pegasus-iphone-android , как обнаружить малварь Pegasus на самих устройствах. Нужен набор утилит Mobile Verification Toolkit https://github.com/mvt-project/mvt , конфигурация из github Amnesty International и опытный айтишник. Обычные пользователи такое не потянут https://t.me/rks_tech_talk/122 , но уже можно хотя бы попросить помощи у специалистов.

Броситься ли теперь изучать программирование самостоятельно, чтобы защищаться от таких угроз? Технологии становятся всё более сложными и узкоспециализированными, и у пользователя банально не хватит жизни во всем разобраться. Да и в каком порядке разбираться? Что сначала делать: становиться юристом, врачом или айтишником? Я бы, наверное, сперва выбрал врача.

Бессмысленно ожидать от пользователей, что они смогут противостоять государственным хакерам: это как чемпион по боксу против пятилетнего ребенка. Я считаю, что проблемы безопасности должна решать IT-индустрия и государство, а пользователь должен, не знаю, иногда платить деньги за новые устройства, делать бэкапы и включать двухфакторную аутентификацию.

-->
Цитата:
https://techcrunch.com/2021/07/19/toolkit-nso-pegasus-iphone-android/

международный консорциум новостных агентств сообщил, что несколько авторитарных правительств, в том числе Мексика, Марокко и Объединенные Арабские Эмираты, использовали шпионское ПО, разработанное NSO Group, для взлома телефонов тысяч их самых ярых критиков, включая журналистов, активистов, политики и руководители предприятий.

Просочившийся список из 50 000 номеров телефонов потенциальных объектов наблюдения был получен парижской журналистской некоммерческой организацией Forbidden Stories и Amnesty International и передан консорциуму журналистов, включая The Washington Post и The Guardian . Исследователи проанализировали телефоны десятков жертв, чтобы подтвердить, что они стали целью шпионского ПО Pegasus NSO, которое может получить доступ ко всем данным на телефоне человека. Отчеты также подтверждают новые подробности самих государственных заказчиков, которых NSO Group тщательно охраняет. Венгрия , член Европейского Союза, где конфиденциальность от наблюдения является основным правом для 500 миллионов жителей, названа в качестве клиента NSO.

Отчетность впервые показывает, сколько людей, вероятно, станут объектами навязчивой слежки NSO на уровне устройств. Согласно предыдущим отчетам, число известных жертв исчислялось сотнями или более чем тысячей.

-->
Цитата:
https://t.me/rks_tech_talk/122

Roskomsvoboda. Tech Talk
Продолжает развиваться скандал со шпионским ПО NSO Group Pegasus. Пока журналисты публикуют истории про новых жертв, Amnesty International опубликовала у себя на github список 1400 доменов, связанных с Pegasus https://github.com/AmnestyTech/investigations/blob/master/2021-07-18_nso/domains.txt

Теперь системные администраторы могут блокировать эти домены на собственном сетевом оборудовании.

А публичный DNS-сервер NextDNS уже объявил, что блокирует эти домены для всех своих пользователей. NextDNS - это публичный DNS-провайдер с дополнительными наворотами типа блокирования известных фишинговых сайтов, трекеров, рекламы и подобных вещей. Требует регистрации, 300 000 запросов в месяц бесплатно, а потом либо все навороты отключаются и он до конца месяца становится просто публичным ресолвером (как 8.8.8.8 от Google или 1.1.1.1 от Cloudflare), либо 149 рублей в месяц. В общем, постепенно появляются возможности блокировать сервера, связанные с NSO Group.

А тем временем TechCrunch публикует инструкцию, как обнаружить малварь Pegasus на самих устройствах. Нужен набор утилит Mobile Verification Toolkit, конфигурация из github Amnesty International и опытный айтишник. Обычные пользователи такое не потянут, но уже можно хотя бы попросить помощи у айтишников.
t.me/rks_tech_talk
Jul 20 at 12:29
« Последнее редактирование: 16 Сентября 2021, 22:15:33 от Oleg » Записан
Oleg
Модератор своей темы
Ветеран
*
Сообщений: 6162


Ёжик в нирване youtube.com/watch?v=YHk


Просмотр профиля
« Ответ #5 : 17 Сентября 2021, 01:34:57 »

Цитата:
https://novayagazeta.ru/articles/2021/07/26/na-pegase-verkhom-v-budushchee

Pegasus: технологии

Для внедрения трояна Pegasus используются недокументированные уязвимости, которые Apple и Google осознанно сохраняют в своих мобильных операционных системах. Подобные уязвимости принято называть Zero-Day Exploit (или 0day), потому что у них де-факто нет истории эксплуатации.

Впервые беззаботное человечество узнало о грехопадении самого Олимпа (то есть о «дырах», создаваемых самими разработчиками ОС), в начале 2017 года, когда хакерская банда Shadow Brokers вычислила подобные уязвимости в ОС Microsoft Windows. Уязвимости использовало американское Агентство национальной безопасности (АНБ), как водится, «для борьбы с международным терроризмом».

Неискоренимые оптимисты верят, что о дырах, обнаруженных Shadow Brokers, не знала даже сама Microsoft,

кроме, разумеется, тех сотрудников компании, которые тайком эти дыры в ОС проделали для последующего их использования АНБ.

Microsoft тогда быстренько прореху залатала патчем, однако, недостаточно быстро, потому что червь-вымогатель WannaCry, запущенный 12 мая 2017 года, заблокировал 500 тысяч компьютеров, принадлежащих частным и правительственным организациям в 200 странах мира.

Забавно, что еще до того, как Shadow Brokers украла информацию об уязвимости у АНБ, другая хакерская группировка — Equation Group, действующая под эгидой самой АНБ, создала эксплойт EternalBlue и бэкдор DoublePulsar, которыми успешно заражала компьютеры «врагов народа». Американского народа, разумеется, к тому же — в представлении АНБ.

Что касается израильского Pegasus, то он внедряется в айфоны предположительно через 0day-уязвимость, встроенную в штатный мессенджер iMessage. На смартфон отсылается специально отформатированное сообщение, которое без ведома пользователя запускает установку эксплойта для дальнейшего контроля. В андрофоны (смартфоны на ОС Android) Pegasus внедряется через аналогичную 0day-дырку в мессенджере WhatsApp.

Совсем забавно, что WhatsApp узнал о том, что израильская NSO Group эксплуатирует неизвестную самому разработчику мессенджера уязвимость еще в прошлом году. WhatsApp дыру залатал, а затем подал на NSO Group в суд. Компания потребовала от израильтян подробностей о взломе, а также информации о том, каким «государственным клиентам» сливались данные пользователей.

NSO Group какую-либо информацию суду предоставлять отказалась, прикрываясь иммунитетом, который ей полагается по закону — как структуре, действующей в интересах одного из дружественных США государств.

Читателю будет полезно узнать, что судебная тяжба с NSO Group продолжается давно и до сих пор, с той разницей, что позицию WhatsApp теперь поддерживает уже огромная IT-коалиция, в которую входит Microsoft (вместе со своими подразделениями LinkedIn и GitHub), Google, Cisco, VMware и Internet Association, которая, в свою очередь, представляет интересы таких гигантов, как Amazon, Facebook и Twitter. Все они сурово осуждают израильских шпионов и требуют привлечения NSO Group к ответственности. Как я понимаю, не столько за коммерческую эксплуатацию их продукта Pegasus, сколько за то, что делают с этим Pegasus государственные клиенты израильской компании.

Рассказ о технологических аспектах нашей истории хочу завершить сухим перечислением «фич», любезно предоставляемых Pegasus «государственному заказчику» после внедрения трояна на смартфон «подопечного»: заказчик получает абсолютный доступ ко всем фото, видео, файлам, документам, почтовым сообщениям, спискам паролей, равно как и к полному обмену сообщениями в любом мессенджере.

Последнее особенно пикантно, потому что разработчики Signal, WhatsApp и Telegram с гордостью уверили пользователей в абсолютной конфиденциальности нашего общения в мессенджерах, защищенных полноценным сквозным шифрованием (Р2Р).

Проблема в том, что наши сообщения шифруются после того, как покидают смартфон и отправляются в путешествие по интернету. А до этого все тексты, которые мы набираем, троян Pegasus замечательным образом считывает с клавиатуры, а сообщения, которые нам поступают от собеседника, Pegasus снимает с экрана, опять-таки, уже после того, как оно было расшифровано, по прибытии.

Короче говоря, Pegasus и аналогичные ему программы (коих, можно не сомневаться, существует не одна дюжина в мире) — это вторая пара глаз, которая постоянно присутствует за спиной пользователя, видит и знает абсолютно то же самое, что видит и знает сам пользователь.

Ах да, чуть не забыл. Pegasus может дистанционно включать и выключать запись с видеокамер и фотокамер нашего смартфона, а также записывать аудио и отслеживать геопозицию по GPS. Единственная возможность нейтрализовать Pegasus — выключить смартфон и больше никогда его не включать.

Документы, переданные Сноуденом, неопровержимо доказывали, что неоценимую помощь АНБ в благородном деле слежения за гражданами родной страны и иностранцами оказал весь цвет современного IT: Microsoft, Google, Yahoo!, Facebook, YouTube, Skype, AOL, Apple.

Вот и скажите на милость: неужели для понимания того, в каком мире мы все давно живем, нам не хватает какого-то несчастного израильского Пегаса?

Что касается сюжета, то за журналистами, политиками, оппозиционерами, конкурентами в бизнесе и даже супругами начали следить, компрометировать, скрыто и открыто травить, подстраивать несчастные случаи не вчера, не позавчера, и даже не 10 лет назад. Так было 50 лет назад, 100 лет, 1000 лет, 5000 лет (если верить Библии, конечно).

.. все слежки, компроматы, травля, убийства, самоубийства, предательства и прочие иллюстрации того, что сегодня принято называть смешными словами — «нарушение прав человека», во все времена творились не со зла, а во имя борьбы со Злом!

Если мы хотим адекватно оценить мотивацию компании NSO Group, создавшую Pegasus для борьбы с «педофилами и террористами», и Агентства национальной безопасности, создавшего PRISM для борьбы с все тем же «мировым терроризмом», мы должны делать это не в ложной дихотомии «Добро-Зло», а исключительно в плане приятия или неприятия макиавеллизма, то есть принципа, утверждающего, что порочность средств исправляется чистотой цели (формулировку, впрочем, я взял из «Писем к провинциалу» Блеза Паскаля).
..
У всех современных сторонников «исправления порочных средств чистотой цели» — что в Израиле, что в Индии, что в Венгрии, что в Китае, что в Польше, что в Мексике (перечисляю лишь «государственных клиентов» NSO Group, но очевидно, что список смело можно пополнить и Соединенными Штатами, и Евросоюзом, и Россией, и Украиной и вообще всеми государствами без исключения) — ход мысли непременно один и тот же: существуют некие Высшие Ценности, ради которых можно и даже нужно нарушать любые правила общежития, то есть жизни социума. Можно подслушивать, можно врать, честно глядя в глаза, можно подбрасывать улики, можно придумывать несуществующие обвинения — всё это оправдано чистотой целей. А эти цели и есть Высшие Ценности, которые мы должны охранять.

Посему горько заблуждаются те, кто считает, что в случае с охранительной идеологией мы имеем дело непременно с безнравственной практикой безнравственных личностей. Опираясь на историю этики, несложно доказать, что охранительная идеология — это как раз и есть квинтэссенция нравственности.

Соответственно, либо мы должны полностью отказаться от традиционных представлений об этике и релятивизировать понятия Добра и Зла (то есть признать, что они не абсолютны, а относительны и обусловлены частными обстоятельствами), либо мы обязаны согласиться с тем, что защита так называемых Высших Ценностей является нравственным деянием.

В последнем случае нам остается только определить: существуют ли какие-то границы, как далеко можно заходить в деле защиты этих самых Высших Ценностей. Выпороть плетью? Оштрафовать? Отправить на месячишко-другой на нары? Отравить, расстрелять, повесить?
..
Каждый из «государственных клиентов» NSO Group исходил из благих намерений и защищал собственные Высшие Ценности. С той лишь разницей, что одни Охранители дошли до расчленения Джамаля Хашогги, другие всего-то расстреляли мексиканского журналиста Сесилио Пинеда Бирто, а третьи тихо и безобидно следили за тем, с кем спит в Турции азербайджанская журналистка Хадия Исмайлова.

Однако ни первый, ни второй, ни третий предел каждого из государственных Охранителей ничего не говорит о нравственности или безнравственности самого факта слежки с помощью Pegasus! Потому что сама по себе эта слежка оправдывается охранительной идеологией, призванной защищать Высшие Ценности, нравственные априорно. Ибо эти Ценности соответствуют историческим представлениям о нравственности и этике в традиционных обществах — что Запада, что Востока!

Скажу больше: сегодня подавляющее число стран и народов в мире разделяют и идею защиты Высших Ценностей, и принцип макиавеллизма. Чтобы читателю было проще смириться с этой мыслью, предлагаю заменить неприятное иностранное словечко «макиавеллизм» более близкими для понимания народными перифразами того же самого: «лес рубят — щепки летят», «на войне все средства хороши», «чтобы продать ведро воды, нужно устроить пожар», «чтобы приготовить яичницу, нужно разбить яйца», «игра сто́ит свеч».
..
« Последнее редактирование: 17 Сентября 2021, 02:31:51 от Oleg » Записан
Страниц: [1] Печать 
« предыдущая тема следующая тема »
Перейти в:  


Войти

Powered by SMF 1.1.10 | SMF © 2006-2009, Simple Machines LLC