Этика хакерства "по-нашему"

Наткнулся сегодня на статью (http://goo.gl/pmKEuP) . На первый взгляд типичная статья об обнаруженной уязвимости. Специалист по безопасности обнаружил уязвимость приложения и решил поделиться интересным опытом с коллегами. Вот такая и такая уязвимость найдена в таком то android приложении... Обратите внимания, господа разработчики... так не пишите... В общем, потратил время, нашел, поделился, внес свой вклад в общество.
А какую же пользу наш герой принес обществу?

• Он обнаружил уязвимость. По словам Алексея, уязвимость удалось обнаружить, когда во время работы над технологией оплаты в приватовском терминале самообслуживания для сервиса такси разработчик начал изучать API-документацию банка и затем полностью декомпилировал код его Android-приложения. Привет банковским юристам.
• Донес до сотрудников банка выявленную проблему. Алексей говорит, что вчера уже отправил уведомление об уязвимости в службу безопасности банка, но ответ еще не был получен. Это, безусловно, непростительная оплошность со стороны банка. Безопасники не остались не ночь тестировать его находку и не оставила программистов переписывать код, чтобы на утро все было готово вместе с хвалебным письмом. Эта неосмотрительность не должна остаться без внимания. Нужно привлечь внимание общественности!
• Герой в приступе праведного гнева публикует информацию о своей находке в интернете. Для большей наглядности приводит примеры реальной сессии и объясняет как уязвимость удобнее эксплуатировать. 

В сухом остатке мы имеем:

• Банк предан всеобщему презрению за неумение писать защищенный код и игнорирование безвозмездной помощи со стороны кул кацкеров.
• Страна знает своего героя.
• Пользователи указанного приложения предупреждены, а значит вооружены.

К сожалению, последнее утверждение очень далеко от реальности. Даже если банк уже бросился изучать уязвимость, ему нужно время на протестировать, понять природу, исправить, протестировать исправленное, распространить пользователям. Злоумышленникам же ничего этого не нужно. Нужно писать зловред. С учетом того, что злоумышленник не ограничен согласованиями, ресурсами, бюджетами, протоколами и утверждениями, какова вероятность того, что банк успеет закрыть уязвимость до того, как пострадают пользователи приложения? Вопрос риторический.

Борьба с тавтологией

В процессе написания отчетов нередко приходится переписывать текст по много раз, менять куски местами, объединять фрагменты. При этом может оставаться мусор от предыдущих вариантов. Или, пытаясь понятнее изложить мысль, "жуешь" ее несколько раз подряд. Текст начинает обрастать тавтологией. Безусловно, перед выпуском нужно перечитать текст свежим взглядом и оценить насколько он получился действительно качественным. Хорошо, если есть возможность дать кому-то независимо оценить текст. Если кого-то под рукой нет - можно попробовать привлечь в помощь технологии. Они не совершенны, как и люди, но лучше, чем ничего. 
Недавно натолкнулся  на любопытную программу под названием "Свежий взгляд". Согласно утверждению автора, программа анализирует текст на предмет расположенных близко по тексту фонетически и морфологически сходных слов, чей параллелизм никак не мотивирован. Выражаясь человеческим языком,  она ищет тавтологию. Программа доступна как в виде бесплатного онлайн-сервиса, так и в виде программы, которую можно скачать с сайта автора.
Поддерживаются русский и украинский языки. Также можно поиграться настройками "параноидальности" поиска. Программа отметит "подозрительные" места, на которые нужно обратить внимание. Ну а выбор уже за Вами.

P.S. Обратите внимание на параметр "длина контекста". Если в тексте используются длинные предложения - его показатель нужно увеличивать.

Звездочка в трее говорит обновиться

Специалисты по безопасности с завидной скоростью выявляют все новые и новые уязвимости системы android. Вы наверняка уже читали о возможности лепить зловредный код в приложения без нарушения криптографической подписи. Но речь сегодня не о том. Все системы дырявые и во всех рано или поздно находят уязвимость века, которая поставит мир на край пропасти. Проблема же системы андроид не в новых уязвимостях,  а в том, что старые никуда не деваются и прекрасно себя чувствуют годами. 
В январе 2012 года я писал об использовании Airpush для распространения троянцев для android (Троянец для Android под видом критического обновления). Наблюдение, на мой взгляд, было не ахти каким интересным - очередной канал для зловредов. Тем не менее, пост все еще пользуется популярностью и набрал уже порядка 7000 просмотров. Среди ключевых слов, по которым пользователи приходят на блог регулярно встречается плюс/минус похожий набор: 

• критическая ошибка необходимо обновить андроид
• критическое обновление для android
• android звездочка в трее
• android критическое обновление безопасности
• андроид уведомления звездочка
• что значит критическое обновление на андроиде
• android требует обновить браузер
• андроид сообщение критического обновления

Поэтому я решил еще раз пройтись по этой теме специально для тех, кому "звездочка в трее что-то говорит" и не понятно, что делать.
"Звездочка" или "плюсик" в трее не могут сообщать о критическом обновлении по той простой причине, что такого понятия как  "критическое обновление" для андроид нет. Для каждой конкретной модели прошивка может обновляться или не обновляться конкретным производителем, но они никогда не используют понятие критического обновления и не используют для уведомления "звездочки" и "плюсики" в трее. То же самое касается сообщения о наличии вируса и предложении о сканировании. Обновление браузера ... туда же. В общем, любая ерунда, которая Вас заинтересовала сообщением из трея. Если Вы соглашаетесь предложением и телефон (планшет) пытается открыть внешнюю ссылку в браузере - к гадалке не ходи, сейчас будет установлено что-то, что любо избавит Вас от остатков на Вашем телефонном счете, либо подарит еще какой-нибудь милый сюрприз.
Предложения о "полезных" обновлениях в трее любезно предоставляются рекламной системой Airpush. Разработчики приложений не всегда берут напрямую деньги с пользователей. Ибо сознательных мало, а пиратов - много. Соответственно, доход невелик. А вот сделать приложение бесплатным и прицепить к нему модуль показа рекламы из доступных - более рационально. Пользователь радуется халявному софту (и терпит назойливую рекламу), а автору капает денежка за показ рекламы. Airpush - один из таких модулей. Прицепи и зарабатывай. Вот только, помимо рекламы, разные несознательные личности любят размещать ссылки на свои зловреды под видом критичных обновлений.
Что же делать, если у Вас в трее завелась звездочка и предлагает всякие неприличные вещи? Вариантов несколько:

1. Запустите что-нибудь из детекторов рекламных модулей. На play их полно и все бесплатные. Я, например, использую Addons Detector. Есть еще куча других. Air Push Detector, например ... В общем, дело вкуса. В результате сканирования Вы получите список приложений, которые используют рекламные модули. Дальше либо все удаляем, либо идем к варианту два.
2. Терпим все рекламные сообщения, не реагируя на предложения. Тешим себя мыслью, что просмотром рекламы благодарим разработчика.
3. Если Вы счастливый обладатель android 4.1+, у Вас есть возможность отключить для каждого нелюбимого приложения возможность уведомлений.

Безопасность как пристройка

Недавно отписался от LinkedIn'овской группы Ukraine Information Security Group. Причина в данном контексте не важна. Отписался и забыл.  Каково же было мое удивление, когда, не смотря на то, что я уже не член группы, я получил очередное уведомление об обновлениях и новых темах в группе. Сначала решил, что таки не вышел из группы. Первым делом нажал на ссылку "отписаться от рассылки обновлений".  На что LinkedIn бодро сообщил мне, что я не являюсь членом группы и, соответственно, никаких настроек подписок по это группе у меня нет. Как в фильме ДМБ: "Видишь суслика? И я не вижу. А он есть...". Я не в группе, но содержимое всех обновлений и новых тем LinkedIn услужливо присылает на электронную почту.
Данный случай - яркий пример того, как при проектировании системы никто не парится вопросами безопасности. Безопасность не является частью архитектуры системы. Она "пристраивается" позже, когда система уже функционирует. И работает эта безопасность соответственно - где-то пристало, где-то отвалилось. Модуль защиты - этакий забор и собака, привязанная на воротах. Свой - пускает, чужой - нет. А то, что с обратной стороны достраивали  модуль рассылки обновлений и забыли обнести его забором  - про то собаке не ведомо.
Это не первый (да и не последний случай), когда в социальных сетях безопасность дописывалась на колене и только для тех модулей, про которые вспомнили. Ярким примером является история с механизмом жалоб в другой социальной сети. Если не изменяет память, это был фейсбук. Суть уязвимости была в том, что любой пользователь сети мог получить доступ к приватным фото другого пользователя. Такая возможность появилась благодаря новому функционалу - возможности пожаловаться на контент, размещенный другим пользователем. При нажатии на кнопку "жалоба" пользователь должен указать контент, который он считает неприемлемым. И в качестве выбора предлагались не только общедоступные фото, но и те, что были отмечены как приватные. Дыру достаточно быстро закрыли, но, как говориться, осадок остался. Равно как и заплаточный подход построения защиты. Безопасно, пока никто не обошел забор по периметру и не нашел там недостроенный кусок.

Пресональные данные и рекрутинг

Последнее изменение закона "О защите персональных данных" породило парадокс для рекрутеров.
Из 12 статьи закона убрали часть 3, которая ранее позволяла не уведомлять субъектов о сборе их персональных данных в случае, если эти данные собираются из открытых источников.
Теперь попытаемся натянуть эту норму на процесс рекрутинга.  Особенно на ту часть, которая называется метод прямого поиска. Т.е. когда рекрутеры напрямую ищут информацию о потенциальных кандидатах и бомбят их предложениями. Для того, чтобы найти информацию о человеке, последнему вовсе не обязательно выкладывать свое резюме на специализированных сайтах или рассылать по его по компаниям. В большинстве случаев сносное резюме можно почерпнуть из социальных сетей. Например LinkedIn - отличный источник.  Другим источником могут быть статьи, третьим - блоги, и т.д.
И в тот момент, когда рекруер обнаружил потенциально интересное резюме и решает его сохранить у себя в базе для дальнейшей работы, возникает юридический казус. С одной стороны, субъект добровольно сделал информацию публичной. С другой - как только мы начали сбор такой информации (т.е. обработку), закон обязывает нас уведомлять субъекта. Что-то вроде письма "Уважаемый Имярек,  компания "Рога и Ко" сим письмом уведомляет Вас и начале обработки ваших персональных данных ... <перечень>  с целью ... <благородная цель в помощи трудоустройства>. В соответствии со статьей 8 закона вы имеете право ... <перечень прав на пол страницы текста> ". В общем масштабе это сотни тысяч бессмысленных коммуникаций. С одной стороны, включение его в базу может в дальнейшем никак на субъекта не повлиять. Ну не подошел он никуда. С другой стороны,  субъект сам предоставил информацию в общий доступ. И в последствии разрешать или запрещать читать эту публичную информацию так же абсурдно, как избирательно запрещать читать надпись на заборе.

Если у вас нету тети... Обновление

Буквально через час после того, как господин Blessing Asuzu сообщил мне о трагической кончине моего родственника, я решил снова посетить его профиль на LinkedIn. Мне было крайне интересно узнать, профиль создавался с целью единоразовой рассылки  или для многоразовой. За это непродолжительное время  Blessing Asuzu успел обзавестись одним контактом и фотографией профиля.

Потешить самолюбие не удалось - Blessing Asuzu, судя по комментариям LinkedIn, начал активно рассылать аналогичные сообщения бродкастом. По всей видимости в Тоголезской Республике трагически разбился самолет, в котором летели исключительно богатые родственники и у каждого в нагрудном кармане лежал паспорт, завещание и контакты LinkedIn наследников.
Поскольку  мистер Asuzu обзавелся фотографией, я решил узнать об этом прекрасном человеке побольше. Под этим псевдонимом (судя по фотографии) скрывался Nii Laryea Afotey-Agbo - министр Республики Гана.

Не хорошо, господин министр, обманывать доверчивых граждан, используя родственные чувства и природную человеческую жадность.

Если у вас нету тети...

Сегодня получил  письмо от некоего Blessing Asuzu. Он с прискорбием  сообщил мне о кончине моего родственника. Боль невосполнимой утраты немного смягчали $9.6 млн наследства, которые мой родственник завещал мне. Господин Asuzu предлагал срочно связаться с ним для того, чтобы наследство, оставленное моим родственником в далекой и загадочной Тоголезской Республике, наконец обрело законного владельца. 

Во истину, это чудо, когда твой родственник, о котором ты никогда не слышал уезжает в страну, о которой ты мало что знаешь, для того, чтобы там умереть и оставить тебе достойное наследие.
И конечно нельзя не отметить благородство господина Asuzu, который специально поехал в Россию (это логично - ближе ведь нигде интернета нет), чтобы зарегистрироваться в LinkedIn исключительно для того, чтобы найти там меня и передать мне эту трагическую новость. 
 

Большой поклон, мистер Blessing Asuzu, Вы меня здорово развлекли.

Персональные данные и конкуренция

Не могу сказать, что новость неожиданная. Скорее совсем наоборот - ожидаемая. Персональные данные, точнее отношение к вопросу их защиты и бережного использования стало предметом спекуляции  диференцирующим фактором в конкурентных войнах.
Компания Microsoft запустила ряд роликов, "разоблачающих" Google в активном вмешательстве в личную жизнь. Даже красивый термин (куда без него?) для этого придумали - Scroogled. Дескать, читает Google КАЖДОЕ слово в КАЖДОМ Вашем письме на Gmail. А свидетельсвом тому служит динамическая контекстная реклама, которая формируется в зависимости от того, что написано в Вашем письме. Ну, а outlook, разумеется, ни в жизнь себе этого не позволяет (скрытая зависть ?) - так что все на outlook.

Достигнет ли поставленной цели рекламная компания - покажет время. На мой взгляд, мероприятие достаточно недальновидное. Ибо Microsoft активно всех загоняет в свои облаяные сервисы и рискует получить своими же граблями. Ведь персональные данные доверяются не только гуглу. А то, что outlook не умеет грамотно подбирать рекламу по контенту, вовсе не значит, что в Microsoft больше беспокоятся защитой персональных данных. Следовательно, не доверять, так всем.
Единственный положительный момент в данной рекламной компании - это возможность для пользователей бесплатных облачных сервисов еще раз подумать над тем, какие данные они безоговорочно предоставляем вирутальному миру и о возможных последствиях.

О своей рубашке 2. Почему не работает управление рисками?

В продолжение прошлого поста разберем ситуацию с управлением рисками. Как и в прошлый раз, ниже сказанное характерно для любого процесса управления рисками,  но будем рассматривать на примере ИБ.
Итак, ситуация аналогичная: теория классная, все понятно, ничего не работает.
В качестве Главных Виновников, стоящих на пути в светлое будущее к риск-ориентированному подходу, неоднократно упоминается:

• нежелание/неумение безопасников считать в деньгах
• сложность методик
• отсутствием опыта безопасников
• сложность вовлечения представителей бизнеса

Последняя, кстати, как правило, объясняют неумением безопасников общаться с бизнесом по причине номер 1. В общем, виноватых много, а результата - мало.
Если абстрагироваться от сухой теории "ведущих практик" и посмотреть на ситуацию сквозь призму человеческой натуры, то мы снова окунемся в мотивацию. Вовлечение бизнеса невозможно не потому, что безопасность невнятно формирует свои желания/аргументы. Это, конечно, тоже встречается, но не является главной причиной.  И не потому, что бизнес считает, что рисков нет.  Они есть, но их официальное признание тянет за собой необходимость признать существование таких рисков перед высшим руководством/материнской компанией/акционерами/регуляторами/другое. А еще, нужно принимать решение об адекватности оценки и мер по обработке риска.  Это значит, что, в случае, если что-то пойдет нет так и меры окажутся неадекватными, придется отвечать.
И менеджмент задается главным одесским вопросом: "Оно мне надо?". Нет ответственности - нет проблемы. Она есть у компании, но ведь это - проблема компании. А на случай, если все-таки какая-то высшая сила заставила заставила принимать решение, есть прекрасный механизм - коллективная ответственность. Мы создаем комитет/комиссию/другое, желательно одноранговых представителей различных подразделений и размазываем ответственность 15-ю подписями. Под этот прекрасный механизм можно принимать любые решения. В случае чего - крайнего не найти.
Кстати, "неумение" считать риски в деньгах - прекрасный инструмент для размазывания серьезности картины. Риск А высокий? Выше чем риск Б? На сколько? На 2 мм, судя по картинке?
К чему я это все? К тому, что человеческий фактор - один из самых мощных источников проблем, который нужно учитывать при любом действии. После сценария "как это должно работать" обязательно нужно рассмотреть сценарий "что будут делать люди, которые не захотят делать это". И добавить для них несколько дополнительных сдерживающих от самодеятельности факторов.

 
   

О своей рубашке

Скажите мне, как вы измеряете мою деятельность, и я скажу вам, как буду себя вести.
Голдратт Элияху

Оговорюсь заранее, что тема значительно шире и все ниже сказанное также прекрасно применимо и к другим областям, не связанным с информационной безопасностью. Но, поскольку блог посвящен  безопасности, то и примеры соответствующие.
Возьмем к примеру показатели эффективности (KPI). Тема уже настолько избита, что на ней нет ни одного живого места. Написаны тысячи томов научных изысканий.  Десятки тысяч консультантов сорвали голосовые связки, расхваливая преимущества, которые получит компания  их от использования . Но, не смотря на неоднократные попытки, внедрить в жизнь заветы лучших ведущих  мировых практик большинству компаний почему-то так и не удалось. На эту тему также написано тысячи томов, а обломков копий, сломанных в жарких баталиях безопасников-практиков,  хватит на то, чтобы  построить забор вокруг Китая.
Самым Главным Виновником называют сложности в выборе правильных метрик. Ибо, как вы яхту назовете... Скажем, насколько эффективна метрика количество инцидентов ИБ ? Если этот показатель высокий - это эффективное обнаружение инцидентов или низкий уровень безопасности? И наоборот - если показатель низкий - это высокий уровень безопасности или плохая работа безопасности по выявлению? Есть идеи считать эффективность использования инвестиций в ИБ. Всякие ROSI и другие нанотехнологии методики. Но вот опять незадача. Методики вроде бы понятные, а не работает.

Существует еще одна, пожалуй, сама распространенная причина, о которой все скромно умалчивают. А причиной как всегда выступает... Кто самое слабое звено? Правильно, человеческий фактор. А точнее, человеческая мотивация.
Казалось бы, ну при чем тут мотивация? Преимуществ для компаний от использования KPI так много, а недостатков - нет вовсе. Ведь все становится прозрачно и понятно! Одни плюсы для компании.
Так вот, "для компании" тут ключевое слово. Кто такая эта абстрактная компания? Набор бумажек с печатями и подписями? Ну ладно, есть еще владельцы. Их интересы - это интересы компании. Случай с государственными компаниями рассматривать не буду - это особый критичный случай рекурсивной абстракции: абстракцией "компания" владеет абстракция "государство", которое как-то определяет абстракция "народ"... в доме, который построил Джек. О них либо хорошо, либо - ничего. Возвращаемся к коммерческим. Так вот, компания состоит из целой кучи всяких ролей: тут тебе и владельцы, и руководство (которое еще разделяется на топ, высшее, среднее/линейное и т.д.), сотрудники, контрактники и т.д. и т.д. И тут и возникает мотивация. Причем у всех разная. У владельцев - больше доить и меньше кормить повышать прибыль и снижать затраты, у руководства - бонусы, у сотрудников - "вовремя зарплата и не грузите меня работой".
Рассмотрим поочередно какая взаимосвязь между мотивацией и неработающими KPI.
Суть человеческой природы такова, что свои цели человек всегда ставит выше целей компании. Потому, что своя рубашка ближе к телу. Когда мы вводим оценку деятельности, человек в первую очередь оценивает влияние на себя. Интересы компании ему до менее приоритетны. Есть, конечно, случаи патологии патриотизма, но в естественной среде они крайне редкие. И как любая нежизнеспособная форма обречены. 
В зависимости от того, на что влияют метрики, поведение персонала, попавшего под оценку, может очень сильно разниться:

 Метрики не влияют или несущественно влияют на оценку исполнителя. Результат - отсутствие мотивации. Процессы выполняются также, как и без KPI. Качество зависит сугубо от индивидуальных условий.

 Метрики существенно влияют на оценку исполнителя (влияние на бонусы, ежегодный пересмотр зарплаты, выговоры и т.д.). Сотрудник сосредоточен исключительно на задачах, оказывающих влияние на достижение KPI. Все остальные задачи - просто раздражающий фактор. Как правило, это имеет крайне негативное влияние на компанию. Например, если у нас есть метрика "количество выявленных инцидентов", это выливается в бессмысленно большое  количество проверок со стороны ИБ и огромное количество выявленных копеечных  нарушений, возведенных в ранг критичных для компании. Совокупные затраты на выявление таких инцидентов катастрофически превышают реальную пользу. При этом, не остается времени на выполнение более важных для компании, но не повышающих значение KPI задач.
Это применимо абсолютно ко всем видам деятельности. Поставь продавцам план по объему продаж в деньгах - он будет продавать наиболее дорогие вещи, а остальные останутся без внимания. Это провал планов  по продвижению других продуктов, затраты на склад и т.д. Поставим KPI по объему - фокус будет только на наиболее ходовых, как правило, наиболее дешевых продуктах. А это завал по выручке.
Отдельная тема - согласованность KPI между подразделениями. Если они не совпадают - поддержки от смежных подразделений не ждите. ИТ обещал помочь автоматизировать контроль безопасности? У них есть KPI по количеству успешно выполненных запросов? Нет? А что есть? Скорость реакции не более 30 дней? Тогда отреагируют они на запрос ровно через 30 дней. Как правило, уточнением запроса. Ведь главное реакция, а не результат?

Как я уже многократно повторялся выше, это проблема присуща любой области. По этому и возникают ситуации, когда все трудились не покладая рук, а суммарные результаты печальны, если не катастрофичны. KPI - мощный стимулирующий фактор. Как граната. Не давайте его в руки обезьянам.

 

Приват и защита персональных данных

Приват продолжает "радовать" креативностью в области защиты персональных данных.
Получение согласия на сбор персональных данных оформлено на квитанции о получении средств. Поставив подпись о получении денег, клиент автоматически дает согласие на обработку его любых(!) персональных данных.

Любые персональные данные банк не может обрабатывать хотя бы по причине 7-й статьи закона о защите персональных данных, которая вводит перечень данных не подлежащих обработке. По крайней мере для целей коммерческих и банковских услуг.
Кстати, в последней редакции закона убран раздел о том, что Национальный банк определяет типовой порядок обработки для банков. Теперь банки приравнены к простым смертным  другим коммерческим организациям и история с профанацией на тему "персональные данные=банковская тайна" закончилась.
Теперь о сборе согласия таким. Если вы столкнулись с таким вот чудо-способом - смело пишите рядом со своей подписью оговорку. 10 раздел 8 статьи закон в последней редакции дает вам такое право.
Если конечно для вас важен вопрос сохранения конфиденциальности  ваших персональных данных.
Если вас это вопрос не волнует - посмотрите ролик о том, что потом банк делает с вашим данными.