f15 Jul 15 2016 at 17:41

Security Week 28: Приватность покемонов, критическая инфраструктура онлайн, постквантовая криптография в Chrome

5 min

20K

«Лаборатория Касперского» corporate blogInformation Security*

Comments 14

Indexator Jul 15 2016 at 18:18

Короче, Google кажется тоже что-то знает.

Естественно, они же сами занимаются развитием квантовых вычислений.

Седьмого июля они сообщили о начале эксперимента с постквантовой криптографией в браузере Chome.

Идет ли речь о криптографии на решетках?

UFO just landed and posted this here

nikitasius Jul 16 2016 at 01:55

Оригинальная уязвимость в wget (хотя казалось бы, как можно сломать wget?).

Ну… как бы всегда качаем в специальную папку и по большей части с -O.

pravic Jul 16 2016 at 07:55

Даже если не с -O, всё равно вероятность находиться в домашнем каталоге не высока, это же банально неудобно — разгребать его потом. Да и прекрасно видно, что скачался не «safe-file.txt», a ".bash_profile".

ChALkeRx Jul 16 2016 at 09:27

Хм. Но ведь в покемонах нашли банальный XSS в имени покемона на этой неделе, емнип.

ChALkeRx Jul 16 2016 at 09:35

Но вообще да, количество людей, радостно отдавших доступ к своим гугл-аккаунтам, тревожит несколько больше.

Alexey2005 Jul 16 2016 at 19:59

Разработчики под Android приучили пользователей плевать на список разрешений. Потому что сейчас даже самый распоследний фонарик под Android требует полный набор, вплоть до отправки платных SMS, и хорошо ещё, если не рут.
Без чего-то вроде XPrivacy система разрешений в итоге вообще не работает, а всему виной лень разработчиков, которым неохота настраивать фреймворки: что было в dev-версии, то и в продакшн уходит.

maaGames Jul 17 2016 at 09:12

На самом деле, всё ещё хуже. У меня в приложении есть функция фонарика (это побочный функционал, добавил для удобства). Но как такового фонарика в Андроиде нет, есть светодиодная вспышка, которую используют в качестве фонарика. А для доступа к вспышке требуется разрешение на «фото- и видеосъёмку». Вот так и получается, что из-за не очень продуманной системы разрешений проще сразу запросить рут, чем показывать десяток разрешений, которые (среднестатистический)пользователь всё-равно не будет читать, а сразу нажмёт «согласен на всё».

Indexator Jul 18 2016 at 04:54

Еще хуже то, что Андроид не предоставляет возможности пользователю отзывать разрешения, чтобы приложение строго работало только в тех рамках, которые предоставил ему пользователь. Не должно быть крайностей, типа «или все, или ничего».

dennis_k Jul 18 2016 at 13:38

А ещё больше тревожит количество упоминаний этой игры везде, где только можно

roboter Jul 16 2016 at 19:15

Поставил покемонов, появилась кнопка залогинится с помощью гугла, при нажатии ничего больше не спрашивается.
Тоесть проблема куда шире чем кажется, получается злоумышленник может создать приложение, предложить залогинится с помощью гугла и получить полный доступ.

Captcha Jul 18 2016 at 21:30

Вы бы для начала поинтересовались, как работают механизмы SSO. Service Provider (в данном случае Pokemon Go) в процессе авторизации ни коем образом не получает доступ к учетной записи Identity Provider'а (Google).

roboter Jul 19 2016 at 08:03

так это не ко мне, «Исследователь Адам Рив»
Посмотрел список приложений у себя в гугле, никаких покемонов нет.
Похоже у меня уже исправленная версия, но в первоисточнике написано:

hit the Google button, and was redirected to log in
No premission window
и в приложениях
Pokemon Go has full access to your Google account

Iceg Jul 18 2016 at 11:36

между «элитным» АСУ и «гражданским» интернетом вещей не такая уж большая разница на уровне железа и софта

И никого не смущает, что разница вообще-то во всём, начиная с такой «незначительной» вещи, как вендоры, и заканчивая ценами на эти самые железо и софт? Ох, как я люблю читать про киберсекурность АСУТП.