Эксперты оценили идею властей создать Алмазный фонд технологий

Эксперты оценили идею властей создать Алмазный фонд технологий

Эксперты оценили идею властей создать Алмазный фонд технологий

Россия может достигнуть технологического суверенитета за 10-20 лет. В профессиональном сообществе сегодня обсуждают заявление спецпредставителя президента по цифровизации Дмитрия Пескова.

О планах собрать три десятка собственных технологий и создать условный "Алмазный фонд" чиновник рассказал агентству РИА Новости.

"Если говорить о реалистичной задаче технологического суверенитета, она выглядит так: за 10-20 лет можно создать 30-50 собственных линий передовых разработок, которые станут экспонатами нашего "Алмазного фонда технологий" и смогут обеспечить продовольствие, безопасность, медицину и связность в стране в случае любых катаклизмов", — заявил Песков.

По его словам, "вопрос в том, чтобы иметь свой "Алмазный фонд" технологических разработок, которые есть либо только у тебя, то есть это технологическое превосходство, либо есть еще у трех-пяти стран в мире — то есть технологический паритет".

Заявление быстро разошлось по экспертным сообществам. Anti-Malware.ru собрал мнения участников рынка.

“Смешивать в одну кучу Алмазный фонд и Фонд технологий — креативное решение”, — прокомментировал идею источник, близкий к фондам технологий. — Но если креатив отражается только в названии и не даёт новых инструментов для реализации проектов в России, то странно что-то содержательно обсуждать с комьюнити”.

Сама постановка цели очень напоминает стратегию выживания за железным занавесом, говорит и основатель Anti-Malware.ru Илья Шабанов.

“Создать такой “алмазный фонд технологий”, наверное, можно. Но технологии, в отличие от алмазов, нефти и других ископаемых ресурсов, постоянно развиваются и совершенствуются”, — продолжает эксперт.

Технологии не могут быть статичными. “Когда мы через 20-30 лет научимся делать свои суверенные "Эльбрусы", может случиться, что весь остальной “зависимый” мир будет уже использовать квантовые вычисления или передавать информацию телепатическими сигналами”, — говорит Шабанов.

“Разговоры о создании фонда собственных разработок идут уже 30 лет, — делится своим мнением еще один источник Anti-Malware.ru из сферы ИБ. — Назвать это можно как угодно, но кто и как будет их создавать сейчас: в условиях санкций, дефицита железа и кадрового голода”.

Оптимистичнее восприняли заявление о создании Алмазного фонда технологий в “клане” разработчиков:

"Можно и нужно, — говорит руководитель технического центра АйТи БАСТИОН Константин Родин. — Нет ничего плохого в том, чтобы стремиться к этому. Вопрос лишь в сроках и средствах, на это выделяемых”.

По оценкам представителя вендора, с задачей производства "алмазов" на рынке ПО страна справляется, вопрос больше с "железными" технологиями.

“Именно это сейчас выглядит самым сложным и востребованным, — продолжает эксперт. — Мир ушел уже довольно далеко. Нужно "направленное" чудо, чтобы через 10 лет полностью освоить технологии, доступные сейчас и параллельно развиваться технологически, чтобы через эти 10 лет не пришлось опять догонять".

Подобные заявления напомнили редакции Anti-Malware.ru историю про обещанный Михаилом Горбачевым в конце 1980х гг. "лучший в мире процессор". Сегодня мы знаем, что один из ведущих участников того проекта — Владимир Пентковский оказался в итоге в команде Intel и занимался разработкой SSE-части нового процессора Pentium, а команда Бабаяна сотрудничала с Sun по реализации нового направления HPC.

Прорывные технологии — не банка законсервированных ценностей, а экосистема, обеспечивающая рост. Без экосистемы даже проросшие ростки плохо живут.

Поддельный пакет для WhatsApp из NPM сливает сообщения и контакты

В экосистеме JavaScript обнаружили очередную, но особенно неприятную атаку на цепочку поставок. В каталоге NPM более полугода распространялся вредоносный пакет lotusbail, который выдавал себя за библиотеку для работы с WhatsApp API (принадлежит признанной в России экстремистской организации и запрещённой корпорации Meta) — и при этом тихо воровал переписку, контакты и учётные данные пользователей.

На находку обратили внимание исследователи из Koi Security, опубликовав подробный технический разбор. К моменту обнаружения пакет успели скачать более 56 тысяч раз, что делает ситуацию далеко не нишевой.

В отличие от многих зловредов в NPM, которые ломаются или выдают себя странным поведением, lotusbail был практически идеальной подделкой. Его авторы просто склонировали популярную библиотеку @whiskeysockets/baileys, которая используется для работы с WhatsApp Web через WebSocket, и аккуратно встроили в неё вредоносный код.

 

Снаружи всё выглядело легитимно: приложения на базе lotusbail спокойно отправляли и получали сообщения. Но параллельно библиотека:

  • перехватывала все входящие и исходящие сообщения;
  • собирала медиафайлы;
  • вытаскивала списки контактов с номерами телефонов;
  • сохраняла WhatsApp-сессии, токены и коды привязки устройств.

 

Причём перехватывались не только новые сообщения, но и исторические данные, доступные через API.

Самая опасная часть — использование механизма «сопряжение устройств» в WhatsApp. В коде пакета был зашит жёстко заданный, зашифрованный AES код привязки, который незаметно подключал устройство злоумышленника к аккаунту жертвы.

 

В результате атакующий получал постоянный доступ к WhatsApp-аккаунту, который сохранялся даже после удаления вредоносного пакета из проекта.

Проще говоря, удалить lotusbail недостаточно. Чтобы полностью закрыть дыру, жертве нужно вручную отвязать все устройства в настройках WhatsApp.

Собранные данные дополнительно шифровались с помощью кастомной реализации RSA. Это не имело отношения к сквозному шифрованию WhatsApp — цель была другой: спрятать утечки от систем мониторинга и сетевых средств защиты.

Эксперты отмечают, что атака отлично иллюстрирует главную проблему экосистемы open source: функциональность маскирует вредоносную логику. NPM остаётся одной из самых привлекательных целей для атак на цепочки поставок — из-за масштаба, доверия разработчиков и низкого порога публикации пакетов.

Ранее в новом докладе властей Великобритании прозвучала мысль, что разработка зашифрованных мессенджеров вроде WhatsApp теоретически может считаться «враждебной деятельностью».

RSS: Новости на портале Anti-Malware.ru