Код Безопасности

В России могут перестать работать сайты крупных компаний через все браузеры кроме Яндекса. Японский удостоверяющий центр GlobalSign отозвал сертификаты безопасности у доменов «Роснефти», «Газпромбанка», «Алросы» и многих других компаний. Сертификаты отозвали из-за санкций. Компании стараются перейти на другие сертификаты, но их также могут отозвать. Тогда сайты российских госкомпаний будут открываться только в российских браузерах. Пока что выглядит так, что проблема преувеличена — без проблем сделают другой сертификат. Так что пока что можно расслабиться. У Макса тоже отзывали недавно, и ничего. P.S.: у Макса сейчас бесплатный сертификат от Let's Encrypt, наблюдаем

Почему большинство двухфакторных авторизаций защищают не от того, о чём думают люди. Когда человек включает двухфакторную аутентификацию, он обычно представляет хакера. Такого в капюшоне. Который сидит где-то далеко и пытается взломать аккаунт. На самом деле от этого двухфакторка действительно помогает. Если пароль утёк в базу данных, оказался в старой утечке или его просто угадали — злоумышленнику потребуется ещё и второй фактор. И тут защита работает отлично. Но есть нюанс. Большинство современных угонов аккаунтов происходят вообще не так. Чаще сценарий выглядит примерно так: — человеку присылают ссылку на поддельный сайт — он сам вводит логин — сам вводит пароль — сам вводит код из двухфакторки И всё это сразу улетает мошенникам. Технически защита была включена. Практически аккаунт всё равно украли. Поэтому важно понимать: двухфакторка защищает прежде всего от кражи пароля. Но она далеко не всегда защищает от обмана владельца аккаунта. Это разные угрозы. Именно поэтому сегодня всё больше сервисов переходят на аппаратные ключи и подтверждение входа через устройство. Потому что украсть пароль сложно. Обмануть человека часто ещё проще. Двухфакторка — очень полезная вещь. Просто многие ждут от неё абсолютной защиты, а она решает гораздо более узкую задачу.

Снова возвращаюсь к постам. Извиняюсь за небольшую паузу — выбрался ненадолго из города и устроил себе мини-отпуск. Надо было, конечно, заранее забить отложку постами, но эта мысль пришла уже слишком поздно. В комментариях сегодня напомнили, что если говорить про компьютерную безопасность, то полезно понимать не только технологии, но и законы. И я вспомнил одну историю. Когда я был в старших классах школы, двоюродный брат подарил мне книгу по криминалистике. Сказал примерно так: — Раз уж собираешься заниматься компьютерами, не знаю, на какой стороне силы окажешься, но главу про расследование компьютерных преступлений почитай обязательно. Я тогда прочитал не только эту главу, а всю книгу. Именно с нее началось мое погружение в безопасность и криминалистику. Но именно раздел про компьютерную безопасность запомнился лучше всего. Причём не техническими подробностями. А одной неожиданной мыслью. Глава начиналась примерно так: Несмотря на кажущуюся сложность, расследование преступлений в сфере информационной безопасности часто оказывается проще многих других видов преступлений. Парадоксально, правда? Почему проще? Потому что круг подозреваемых часто очень маленький. Если из магазина пропал товар — потенциальным подозреваемым может быть практически любой человек. Если украли велосипед — тоже. Если кто-то получил доступ к защищённой системе через сложную техническую атаку, воспользовался специфической уязвимостью или обошёл механизмы защиты — список резко сокращается. Кто это мог сделать? Тётя Лена из бухгалтерии? Водитель Егор? Секретарь на ресепшене? Маловероятно. Очень часто следствие довольно быстро приходит к людям, которые вообще способны понять, как такое можно было сделать. Или к тем, кто может назвать наиболее вероятных кандидатов. Конечно, интернет, анонимизация, удалённый доступ и международные расследования сильно усложняют картину. Но если говорить про инциденты внутри компании, то там всё нередко оказывается гораздо прозаичнее. Технически сложная атака и сложное расследование — это не всегда одно и то же. Именно эта мысль когда-то удивила меня больше всего.

Что реально происходит, когда вы нажимаете «Войти через Google» или через другой сервис. Разберем на примере Google, с другими сервисами все аналогично. Многие относятся к этой кнопке как к чему-то магическому: Нажал. Выбрал аккаунт. Зашёл. Но что происходит на самом деле? Хорошая новость: вы не передаёте сайту пароль от Google. Вообще. Пароль остаётся у Google, а сайт получает специальный ключ, подтверждающий, что вы действительно владеете этим аккаунтом. Поэтому кнопка «Войти через Google» чаще всего безопаснее, чем регистрация через логин и пароль на очередном неизвестном сайте. Но есть нюанс. Во время входа Google обычно показывает, какие данные запрашивает сервис. Например: — адрес электронной почты — имя — фотографию профиля А иногда и больше. И вот эту часть большинство людей не читает вообще. Привычный сценарий выглядит так: Нажать кнопку → выбрать аккаунт → подтвердить. На автомате. Поэтому иногда через пару лет становится сюрпризом, сколько сервисов уже имеют доступ к вашему аккаунту. Кстати, посмотреть их можно здесь: Аккаунт Google → Безопасность → Сторонние приложения и сервисы У многих там обнаруживаются сервисы, которыми никто не пользовался годами. Самый важный вывод: «Войти через Google» — это не передача пароля. Это выдача разрешений. А разрешения, как мы уже обсуждали, имеют неприятную привычку жить дольше, чем мы о них помним.

Как найденный в сугробе Samsung заставил меня иначе смотреть на безопасность смартфонов В одном из прошлых постов я использовал телефон Samsung для проверки метаданных фотографий. История появления этого телефона у меня довольно необычна. Весной я нашёл его в растаявшем сугробе возле работы. Судя по состоянию, пролежал он там несколько месяцев. Удивительно, но телефон оказался ещё жив. Ну, почти. Аккумулятор после зарядки держал около 30 минут, экран работал, система загружалась. Для обычного пользователя устройство уже было почти бесполезным. А для человека, который любит эксперименты — наоборот. Дома выяснилось, что телефон заблокирован. Стоит код доступа. Устройство привязано к аккаунту владельца. С точки зрения безопасности всё выглядит правильно. Но мне стало интересно другое. Что произойдёт, если искать не пароль, а ошибку в самой системе? Я полез на форумы, старые обсуждения и описания уязвимостей. И довольно быстро наткнулся на интересный баг именно для этой версии прошивки. Суть была не в подборе пароля. И не во взломе аккаунта. Главная задача заключалась в том, чтобы скачать из интернета приложение-разблокировщик и запустить его с повышенными правами. Но как это сделать, если устройство заблокировано? После десяти неправильных попыток ввода кода телефон показывал сообщение о том, что лимит попыток исчерпан, и кнопку со знаком вопроса. При нажатии открывалась страница с описанием системы безопасности Samsung. Казалось бы, ничего полезного. Но на этой странице можно было выделять текст. А после выделения появлялось стандартное меню: «Копировать», «Поделиться» и «Искать в интернете». Последний пункт открывал браузер с Google. В тот момент я выдохнул. Получив доступ к браузеру, я понял, что большая часть пути уже пройдена. В итоге вся цепочка начиналась с совершенно безобидного действия на экране блокировки и заканчивалась доступом к браузеру, а вскоре — и полным доступом к устройству. Для меня это был хороший урок. Люди часто представляют безопасность как дверь: либо открыта, либо закрыта. На практике всё гораздо сложнее. Можно иметь хороший пароль, шифрование, привязку к аккаунту и другие механизмы защиты. А потом где-нибудь в соседнем разделе интерфейса окажется маленькая ошибка, которая ломает всю конструкцию. Эту уязвимость Samsung позже исправил. Но история здесь не про конкретный баг. Она про то, что безопасность системы определяется не самой сильной её частью. А самой слабой

Как понять, что приложение начинает болтать лишнее? Большинство приложений никогда не скажут: «Здравствуйте, мы начали собирать больше данных о вас». Поэтому приходится смотреть на косвенные признаки. Первый — батарея. Если приложение, которым вы почти не пользуетесь, внезапно оказалось в топе по расходу энергии — это повод посмотреть внимательнее. Второй — мобильный трафик. Приложение-калькулятор, которое за месяц передало сотни мегабайт данных, выглядит немного подозрительно. Третий — разрешения. Иногда после обновления приложение начинает просить доступ к вещам, которые раньше ему были не нужны. Например: — геолокацию — микрофон — контакты — уведомления Сам по себе запрос ещё ничего не значит. Но это хороший повод задать вопрос: зачем? И наконец четвёртый признак — странное поведение. Телефон начинает греться. Появляется фоновая активность. Приложение постоянно висит в памяти. Индикатор микрофона или геолокации загорается в неожиданные моменты. Конечно, всё это не означает, что приложение обязательно шпионит за вами. Гораздо чаще причина банальна: аналитика, реклама, криво написанный код или неудачное обновление. Но принцип простой. Когда приложение начинает потреблять больше ресурсов, чем требует его задача — это повод проявить любопытство. В безопасности любопытство обычно полезнее паранойи

Самая опасная кнопка — это не «Разрешить», а «Запомнить мой выбор» Когда приложение просит доступ к микрофону, камере или геолокации, большинство людей задумываются ровно на секунду. Потом нажимают: «Разрешить» И забывают об этом навсегда. Хотя проблема обычно не в самом разрешении. Проблема в том, что оно остаётся спустя неделю, месяц или год после того, как реально было нужно. Условный сервис доставки попросил геолокацию. Логично. Но нужен ли ему доступ к вашему местоположению через полгода? Приложение для видеозвонков попросило микрофон. Тоже логично. Но нужен ли ему этот доступ круглосуточно? Самые интересные разрешения — это не те, которые выдали. А те, про которые давно забыли. Поэтому современные Android и iPhone всё чаще предлагают вариант: — Разрешить один раз — Только во время использования приложения И это, пожалуй, одна из самых недооценённых функций безопасности. Потому что риск редко возникает в момент установки приложения. Риск возникает через год, когда вы уже не помните, кому и что разрешили. Полезно иногда проводить ревизию разрешений. На телефоне: — Android: Настройки → Безопасность и конфиденциальность → Диспетчер разрешений (или «Разрешения приложений») — iPhone: Настройки → Конфиденциальность и безопасность Там можно посмотреть, какие приложения имеют доступ к камере, микрофону, геолокации, контактам и другим данным. И не забывайте про браузер. Сайты тоже умеют получать разрешения на уведомления, камеру, микрофон и геолокацию. Например, в Chrome список можно найти в: Настройки → Конфиденциальность и безопасность → Настройки сайтов Там часто обнаруживаются сайты, которым вы когда-то разрешили уведомления и давно забыли об этом. Некоторые приложения и сайты способны удивить даже собственного владельца.

Можно ли в офисных документах посмотреть на лишние данные до того как их отправлять? Можно. И вот как. В Microsoft Office есть специальный раздел, где можно увидеть все потенциально лишнее. Откройте документ и зайдите: Файл → Сведения Там уже можно увидеть часть служебной информации: — автора документа — даты создания и изменения — размер файла — связанные пользователи — некоторые свойства документа Но самое интересное находится чуть глубже. Файл → Сведения → Проверка документа Word предложит проверить файл на наличие: — комментариев — исправлений — скрытого текста — метаданных документа — персональных данных — других служебных элементов После проверки всё найденное можно удалить. То есть ситуация, когда человек случайно публикует своё имя, компанию или историю правок в документе — это не потому что Microsoft не предусмотрела защиту. А потому что большинство людей никогда не открывает этот раздел. Если вы хоть раз отправляли кому-то Word-файл, который потом уйдёт дальше вас — рекомендую заглянуть туда хотя бы из любопытства. Особенно если вы отправляете чувствительную информацию. Иногда документ знает о своём авторе больше, чем сам автор помнит.

Хм... Я заметил, что многие документы с Госуслуг приходят в формате PDF. И стало интересно. Вот эта плашка про электронную подпись внизу документа — это просто картинка для красоты или там действительно что-то есть? Давайте смотреть. Открываю PDF и лезу внутрь файла. И обнаруживаю, что значительная часть информации из заявления хранится внутри в структурированном текстовом виде: applicationNo : 6979000334 number : 600-00204А260008664 decisionDate : 2026-03-06 decisionUser : Егорова Ирина Викторовна И так далее. Причём там находится не только номер заявления и дата решения. Можно увидеть и информацию об органе, который обработал обращение: ОТДЕЛ ПО ВОПРОСАМ МИГРАЦИИ УМВД РОССИИ ПО *** А кто такая Егорова Ирина Викторовна? Судя по всему, сотрудник, который обработал заявление и подписал результат. Но самое интересное даже не это. Внутри PDF также находятся данные электронной подписи и сертификата. То есть та самая плашка про подпись — это не просто картинка. Файл действительно содержит криптографическую информацию, позволяющую проверить его подлинность. Получается довольно любопытно. Для большинства людей PDF — это просто электронный лист бумаги. А на практике внутри него может лежать целый набор служебных данных: — информация о документе — сведения о подписавшем сотруднике — сертификаты — электронная подпись Поэтому PDF с Госуслуг — это не просто изображение документа. Это ещё и контейнер с данными, которые позволяют проверить его происхождение и подлинность.

С фотографиями есть одна хорошая новость. Многие сервисы их пережимают, чтобы сделать меньше. Telegram, соцсети, мессенджеры и фотохостинги часто пересохраняют изображения и вместе с этим удаляют значительную часть метаданных, делая их недоступными для других (себе-то они всё сохраняют, конечно). Поэтому координаты, параметры камеры и прочая служебная информация далеко не всегда доходят до получателя. А вот с документами ситуация обычно совсем другая. Word, Excel и PDF чаще всего передаются как есть. Вместе со всеми метаданными. И там порой можно найти очень интересные вещи: — имя автора документа — название организации — имя компьютера — используемую программу и её версию — даты создания и редактирования — историю изменений — комментарии и пометки — сведения о предыдущих редакторах Иногда сотрудник тщательно удаляет логотип компании из документа. А название компании продолжает спокойно лежать в метаданных файла. Именно поэтому расследователи, журналисты и специалисты по безопасности часто начинают анализ документа не с текста. А с его метаданных. Потому что файл нередко рассказывает о своём авторе больше, чем сам автор хотел рассказать. Давайте посмотрим на простой пример. Захожу на сайт и хочу понять, кто его владелец. На самом сайте — ни слова об авторах или разработчиках. Но вижу PDF-документ в разделе «Помощь». Скачиваем файл «Инструкция.pdf» и смотрим его свойства: Create Date : 2026:03:23 13:14:15.218Z Title : Для сайта (удалил упоминание Сбера).pptx Author : Anton T... (тут я скрыл фамилию пока писал пост) Очень интересно. Тут и имя автора, и дата создания, и исходное название файла. Причём автор явно думал, что «удалил упоминание Сбера», но след от него всё равно остался в метаданных. И это довольно типичная история. Когда люди публикуют документ, они обычно проверяют текст, картинки и оформление. Но почти никогда не проверяют то, что файл рассказывает о себе сам. А иногда именно эта информация оказывается интереснее самого документа.