Разведка займется управлением общественным мнением в соцсетях

Разведка займется управлением общественным мнением в соцсетях

Служба внешней разведки (СВР) объявила три закрытых тендера на сумму свыше 30 миллионов рублей для выработки новых методик мониторинга блогосферы, распространения сообщений в социальных сетях, чтобы формировать общественное мнение, пишет в понедельник газета «Коммерсант».

«Тендеры на исследования с кодовыми обозначениями „Шторм-12", „Монитор-3" и „Диспут" были проведены в январе-феврале 2012 года... Государственный заказчик — ФКУ „Войсковая часть N54939" — запросил разработать программы для „исследования методов разведки интернет-центров и региональных сегментов социальных сетей" (шифр „Диспут") на 4,41 миллиона рублей, „исследования методов негласного управления в интернете" (шифр „Монитор-3") на 4,99 миллиона рублей, а также провести научно-исследовательскую работу по разработке „средств продвижения специальной информации в социальных сетях" (шифр „Шторм-12") на 22,8 миллиона рублей», — сообщает издание.

По информации газеты, эти работы, разбитые на разные тендеры, связаны друг с другом, передает digit.ru.

«Планируется, что сначала мониторить блогосферу будет система „Диспут"... Затем полученную информацию будет анализировать система „Монитор-3"... На основе полученных данных вбрасывать нужную информацию в соцсети начнет система „Шторм-12"... В документах уточняется, что целью этой виртуальной армии станет „массовое распространение информационных сообщений в заданных социальных сетях, используя имеющиеся учетные записи пользователей, с целью формирования общественного мнения", „сбор статистики и анализ эффективности распространения информационной волны", „анализ пригодности наиболее популярных сервисов социальных сетей для инициирования информационных волн различной тематической, социальной и прочей направленности"», — пишет «Коммерсант».

Источники газеты в спецслужбах утверждают, что воинская часть N54939 входит в систему СВР. Запрос «Ъ» в разведывательном ведомстве на эту тему остался без ответа.

Газета сообщает, что непосредственным исполнителем по всем трем конкурсам стала компания «Итеранет», гендиректор которой — Игорь Мацкевич — в прошлом первый заместитель начальника Института криптографии, связи и информатики Академии ФСБ.

В МАКС нашли вход без пароля и СМС через токен в браузере

Вокруг российского мессенджера МАКС разгорелась новая дискуссия о безопасности. Пользователь Хабра под ником sansmaster рассказал, что для входа в веб-версию сервиса можно обойтись без пароля, СМС-кода и даже QR-аутентификации.

Правда, речь идёт не о взломе и не об уязвимости в классическом понимании.

Автор публикации обратил внимание, что после успешного входа в web.max.ru браузер сохраняет токен сессии в локальном хранилище (localStorage). Этот токен позволяет серверу идентифицировать пользователя и поддерживать активную сессию.

Через консоль разработчика браузера пользователь может извлечь сохранённый токен, а затем импортировать его в другой браузер или на другой компьютер. После перезагрузки страницы веб-версия МАКС откроется уже под нужной учётной записью, и всё это без ввода пароля, получения СМС или сканирования QR-кода.

 

По сути, речь идёт о переносе уже существующей сессии между браузерами. Сам автор подчёркивает, что никаких эксплойтов или обходов защиты здесь нет. Используются штатные механизмы браузера и данные, которые приложение само сохраняет на устройстве пользователя. Аналогичные принципы работы применяются и во многих других веб-сервисах.

 

Тем не менее публикация вызвала бурное обсуждение. Многие пользователи удивились тому, насколько легко можно получить доступ к токену через DevTools и перенести его в другую среду.

При этом есть важный нюанс. Для выполнения всей процедуры злоумышленнику уже необходим доступ к устройству или браузеру пользователя, где активна сессия МАКС. Без этого получить токен не получится.

Кроме того, выход из аккаунта или завершение сессии через настройки делает токен недействительным сразу на всех устройствах, где он использовался.

 

Фактически история стала ещё одним напоминанием о том, что токен аутентификации зачастую представляет не меньшую ценность, чем пароль. Если он попадает в чужие руки, то может открыть доступ к аккаунту без каких-либо дополнительных проверок.

RSS: Новости на портале Anti-Malware.ru