Bashdoor
Прошлый год оказался для нас и для индустрии очень богатым на события, так или иначе связанные с информационной безопасностью: от глобальных уязвимостей, поставивших на уши весь Интернет, до локальных разборок с киберпреступниками. Каждое из этих событий в свою очередь так или иначе было связано с социальными сетями, в особенности с сервисом Twitter. Мы решили собрать десять твитов, каждый из которых стал следствием или даже причиной того или иного громкого события.
1. В конце марта некий злоумышленник от имени хакерской группировки Pump Water Reboot начал устраивать мощные DDoS-атаки на ряд российских интернет-ресурсов. Целью преступника стал десяток сервисов и компаний — от популярных интернет-сообществ до сайтов банков, причем каждой жертве было предложено заплатить тысячу долларов за прекращение атаки.
@olegtinkov На ваш сайт ведется DDoS — атака. Мы предлагаем решение этой проблемы. Атака прекратится если Вы готовы заплатить 1 000$.
— Pump Water (@PumpWaterReboot) March 24, 2014
Результат не заставил себя долго ждать: уже летом негодяй был пойман, а спустя еще несколько месяцев — осужден на 2,5 года условного срока с присуждением штрафа в размере 12 млн рублей.
2. Heartbleed — уязвимость, поставившая под угрозу две трети мирового Интернета. Узнать все подробности о ней можно в нашем блоге, а вот сокращенная версия объяснения того, как она работает и чем грозит, лучше всего получилась у авторов комиксов xkcd:
Heartbleed http://t.co/wxVnw6YK6Q http://t.co/j1iYb4DC7l pic.twitter.com/ekr3nFr1oW
— XKCD Comic (@xkcdComic) April 9, 2014
Последствия Heartbleed будут преследовать нас еще очень долго: на сегодняшний день существуют десятки тысяч уязвимых серверов и компьютерных систем, многие из которых никогда не смогут избавиться от данной уязвимости.
3. Автором, на наш взгляд, лучшего твита в этом году стали ребята из — не поверите — ЦРУ!
We can neither confirm nor deny that this is our first tweet.
— CIA (@CIA) June 6, 2014
(Перевод: мы не можем ни подтвердить, ни опровергнуть тот факт, что это наш первый твит.)
Отрадно, что самоирония нечужда даже таким суровым дядькам, как разведчики.
4. В середине августа случилось то, что рано или поздно случается практически с каждым современным политиком: неизвестные взломали твиттер-аккаунт премьер-министра РФ Дмитрия Медведева и от души повеселились:
Тогда же, кстати, были взломаны и другие учетные записи политика, что привело к сливу в Интернет фотографий и переписки Медведева с его мобильных устройств. Все оставленные взломщиками твиты, впрочем, были впоследствии удалены, а что случилось (и случилось ли вообще) с хакерами — неизвестно до сих пор.
5. Две недели спустя, в самом конце августа, случился еще один слив, но куда более масштабный: в Сети появились фотографии сразу нескольких обнаженных знаменитостей, в том числе Дженнифер Лоуренс.
https://twitter.com/YahoodiSaazish/status/506139424426446848
Событие сразу же получило говорящее название The Fappening и знатно прогремело на весь мир, что принесло самим знаменитостям еще больше так необходимого им внимания, а опубликовавшим фотографии ресурсам — неплохую прибыль от показа рекламы. В частности, популярный ресурс Reddit за несколько дней получил столько денег, что их хватило на поддержку проекта в течение целого месяца.
6. Осень оказалась особенно богата на громкие события. Началось все с уязвимости под названием Shellshock — фундаментального бага в оболочке Bash, поставившего под угрозу миллионы компьютеров и серверов в мире. Сам автор находки оказался довольно скромен и почему-то ничего не написал про нее в своем твиттере, однако позже уточнил, что вопреки мнению многих уязвимость появилась еще в 1989 году, то есть аж 25 лет назад:
Shellshock was actually introduced in bash-1.03 (1989, 25y ago), not 1.13 as Chet, I and others have said earlier (http://t.co/LC5TEqpqkx)
— Stephane Chazelas (@SChazelas) October 4, 2014
Как и упомянутая выше Heartbleed, баг в Bash будет аукаться нам еще очень долго.
7. Пару недель спустя мир узнал об еще одной глобальной угрозе: в самом начале октября двое исследователей объявили о том, что ВСЕ USB-устройства на нашей планете фундаментально уязвимы. Правда, ребята почему-то не стали говорить об этом в своих твиттерах, зато это сделали мы:
BadUSB research: "You can’t trust anything you plug into your PC, not even a flash drive" https://t.co/kOkdrw8dEZ pic.twitter.com/ANYpF01EY6
— Eugene Kaspersky (@e_kaspersky) October 3, 2014
Что делать с этой уязвимостью, получившей имя BadUSB, до сих пор толком не ясно, хотя защититься от нее все-таки можно, не используя чужие непроверенные USB-устройства, включая мыши и клавиатуры.
8. Еще двумя неделями позже по Сети распространилась информация об утечке данных пользователей сервиса Dropbox. Представители компании поспешили заявить о том, что их на самом деле никто не взламывал, а данные были собраны иными способами:
Reports claiming we’ve been hacked aren’t true. Your stuff is safe. More info on our blog: http://t.co/vI6sfNjC4Z
— Dropbox Support (@DropboxSupport) October 14, 2014
Тем не менее многие считают, что Dropbox все же был взломан, но компании удалось «договориться» со злоумышленниками, дабы не рисковать репутацией.
9. Конец октября ознаменовался событием, которому многие не придали особого значения, хотя и незаслуженно: Twitter объявил о том, что планирует заменить пароли другой, более совершенной системой аутентификации. И не только пароли к учетным записям своих пользователей — Twitter предлагает сторонним разработчикам пользоваться платформой Digits для аутентификации пользователей в их приложениях.
https://twitter.com/digits/status/524977241780805632
Попытки «похоронить» пароли продолжаются уже много лет, и, как мы видим, до сих пор никому не удалось этого добиться. Но не исключено, что инициатива Twitter окажется куда более действенной и уже через несколько лет мы избавимся от одного из самых старых методов защиты информации.
10. Кстати о паролях: никогда не храните их в обычном файле на компьютере, да еще и в открытом виде. Иначе будет как с компанией Sony Pictures, атака на которую стала одной из самых масштабных за последние годы. Все началось с того, что злоумышленники из группировки GOP (очевидно, уже имея на руках логины и пароли) угнали один из аккаунтов, принадлежащих Sony Pictures Entertainment, и предупредили главу компании о грядущих неприятностях:
Увы, одними предупреждениями хакеры не ограничились и действительно устроили компании настоящий ад, к которому медиагигант оказался совсем не готов. Подробнее о том, что случилось, читайте в нашей статье.
Советы