Дворцы не могут быть в безопасности там, где несчастливы хижины.

Разговаривают два мужика. Один другому: ...

Линус Торвальдс поднял вопрос целесообразности расширенной защиты от Spectre v2
Tue, 20 Nov 2018 09:48:49 +0300

В ночные сборки Firefox добавлена поддержка Wayland
Sat, 17 Nov 2018 12:19:38 +0300

Amazon выпустил Corretto, дистрибутив OpenJDK с длительным сроком поддержки
Fri, 16 Nov 2018 21:56:19 +0300

Время поддержки Ubuntu 18.04 увеличено до 10 лет
Thu, 15 Nov 2018 22:28:55 +0300

Представлена новая плата Raspberry Pi 3 Model A+
Thu, 15 Nov 2018 12:31:03 +0300

Подведены итоги выборов технического совета Linux Foundation
Thu, 15 Nov 2018 09:18:07 +0300

Debian запрещает использование в пакетах секции со специфичными для вендоров патчами
Wed, 14 Nov 2018 09:03:34 +0300

В Chrome развивается API для создания полноценных пользовательских приложений
Mon, 12 Nov 2018 23:58:04 +0300

Mozilla тестирует в Firefox две новые возможности: Price Wise и Email Tabs
Mon, 12 Nov 2018 21:15:57 +0300

Red Hat перевёл проект Ceph под покровительство Linux Foundation
Mon, 12 Nov 2018 18:26:46 +0300

HTTP поверх протокола QUIC будет стандартизирован как HTTP/3
Mon, 12 Nov 2018 08:27:27 +0300

Опубликован стандарт параллельного программирования OpenMP 5.0
Fri, 09 Nov 2018 10:49:14 +0300

Свободный проект Manuel Bastioni Laboratory закрывается
Fri, 09 Nov 2018 10:11:44 +0300

Samsung опубликовал Linux-окружение для смартфонов и планшетов с адаптером DeX
Fri, 09 Nov 2018 08:33:53 +0300

GitHub преодолел рубеж в 100 млн репозиториев
Thu, 08 Nov 2018 19:13:13 +0300

Новости OPENNET
Новости

Группа исследователей из проекта ReCon, предоставляющего инструменты для анализа мобильного трафика для выявления возможных утечек данных, представила результаты (PDF) изучения 17260 приложений для платформы Android, представленных в каталогах Google Play, App China, Mi.com и Anzhi. Целью проверки была общая оценка отношения к приватности, анализ запрашиваемых расширенных полномочий и фиксация манипуляций с конфиденциальной аудио- и видеоинформацией, полученной с микрофона, экрана и камеры пользователя.

В ходе исследования также было проанализировано наличие скрытых нарушений конфиденциальности, таких как передача информации через создание скриншотов, организацию прослушивания через включение микрофона и нецелевое включение камеры для скрытой видеозаписи. В итоге, исследователи не выявили явных шпионящих или вредоносных действий - всплыло несколько утечек данных, но они скорее были обусловлены неосмотрительным обращением к внешним сервисам, чем злым умыслом.

Но потенциальная возможность вредоносных действий не исключается из-за массового злоупотребления запросом полномочий в приложениях.

В частности, 43.8% приложений запрашивали при установке доступ к микрофону, 75.6% - камере, 84.6% - созданию скриншотов, 9.8% - записи видео, 89.9% - дополнительным носителям. При этом подавляющее большинство приложений фактически не использовали запрошенные полномочия, т.е. получали привилегии без явной необходимости.

В качестве ещё одного риска нарушения приватности отмечаются неконтролируемые пользователем процессы отправки видео и изображений для обработки через сторонние сервисы (например, для редактирования фотографии). В большинстве подобных случаев отправка фотографий пользователя через интернет производилась без явного информирования об обращении к внешнему сервису.

Всего из 17260 изученных приложений 21 программа осуществляла запись и отправку мультимедийных данных по сети. 12 программ отправляли информацию без применения шифрования по HTTP. 9 программ отправляли данные неявно для пользователя. Среди причин отправки изображений по сети упоминается обращение к внешним сервисам для редактирования изображений, поиска похожих изображений, сканирования визитных карт и разбора текста на изображениях. В четырёх приложениях, в числе которых приложение GoPuff, насчитывающее более 100 тысяч установок, выявлена отправка содержимого экрана в сторонние службы аналитики для изучения поведения пользователя во время работы с программой с целью улучшения юзабилити.

При этом риск утечки данных может быть связан не только с самим приложением, но и со сторонними библиотеками, которые используются в приложении (например, половина рассмотренных приложений использует библиотеки Google и Facebook). В ходе исследования было выявлено несколько подобных библиотек, которые записывали и отправляли вовне скриншоты и видео содержимого экрана во время работы с программой без информирования пользователя и без запроса полномочий. С учётом уже запрошенных при установке полномочий, разработчики сторонних библиотек могут в любой момент включить в состав очередного обновления код, шпионящий за пользователем.



66.0081 75.3218 0.5851 9.507

НОВОСТИ: Семь новых атак на механизм спекулятивного выполнения в CPU Wed, 14 Nov 2018 21:55:47 +0300

Группа исследователей безопасности, из которых трое (Daniel Gruss, Michael Schwarz, Moritz Lipp) участвовали в выявлении первых уязвимостей Meltdown и Spectre, опубликовали сведения о семи новых атаках, затрагивающих механизм спекулятивного выполнения инструкций современных процессоров. Возможность проведения атак протестирована на CPU Intel, AMD и ARM. Две новые атаки являются вариантами уязвимости Meltdown (Meltdown-PK для CPU Intel и Meltdown-BR для Intel и AMD), а оставшиеся пять представляют собой варианты уязвимости Spectre (применимы для Intel, AMD и ARM). Для всех семи атак подготовлены работающие прототипы эксплоитов.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome