EFF обнаружил угрозу конфиденциальности пользователей Ubuntu

EFF обнаружил угрозу конфиденциальности пользователей Ubuntu

 Специалисты фонда электронных рубежей (EFF) заявляют, что им удалось обнаружить потенциальную уязвимость в одной из новых функций операционной системы Ubuntu 12.10. Данная уязвимость представляет серьезную угрозу конфиденциальности личной информации пользователей системы.

Угроза, найденная специалистами EFF, содержится в технологии поиска Dash, встроенной в оболочку рабочего стола Ubuntu Unity. По замыслу разработчиков, данная функция должна стать централизованным механизмом поиска документов, файлов и другой информации как на локальных компьютерах под управлением Ubuntu 12.10, так и в сети Интернет. Данная функция поиска работает следующим образом: когда пользователь задает определенный поисковый термин, поисковый запрос направляется на сервер Ubuntu. При этом эксперты отмечают, что информация, отсылаемая на сервер, включает в себя IP-адрес пользователя, а результаты поиска, кроме всего прочего, включают в себя товары с Amazon, в описаниях которых содержится запрашиваемый термин. Кроме того, EFF утверждает, что видеоинформация, которую пользователи Dash получают с Amazon, не шифруется.

Еще одной проблемой, по мнению специалистов EFF, является то, что пользователи совершенно не контролируют информацию, аккумулирующуюся на серверах компании Canonical (разрабротчик Ubuntu), а сама компания не дает точной информации о том, для чего собирается и как используется вышеописанная информация. Известно, что поисковые запросы, обрабатываемые Canonical, а также интернет-магазинами вроде Amazon, передаются по протоколу HTTPS, который поддерживает шифрование. Однако, результаты запроса передаются в виде незашифрованного текста, что теоретически позволяет злоумышленникам перехватывать сетевой трафик пользователей Ubuntu 12.10, использующих Dash, и реконструировать их поисковые запросы, узнавая таким образом цель поиска. И это еще не все…

Согласно информации одного из неофициальных сайтов Ubuntu, Facebook, Vimeo и ряд других интернет-сервисов может также получать информацию об IP-адресе и поисковых запросах пользователей Ubuntu 12.10, которые не изменяют стандартной настройки системы. При этом официальная информация о том, с какой целью вышеуказанные интернет-сервисы собирают и как используют данные о пользователях Ubuntu также отсутствует, вместо этого Canonical предлагает пользователям ознакомится с политикой конфиденциальности каждого из этих интернет-сервисов.

В свою очередь, исполнительный директор Canonical Марк Шаттлворт (Mark Shuttleworth) заявляет, что включение в результаты поиска Dash информации с Amazon является лишь первым шагом к тому, чтобы сделать данное средство поиска более качественным. Как утверждает Шаттлворт, информация с Amazon, выдаваемая Dash в качестве результатов поиска, не носит рекламный характер. К тому же, при желании пользователи имеют возможность отключить функцию поиска по Amazon. Он также заявил, что в новых версиях Ubuntu планируется максимально упростить отключение функции поиска по сторонним интернет-сервисам.

Госдума приняла в первом чтении два закона об ответственности в сфере КИИ

Госдума приняла два закона, уточняющих составы уголовных преступлений и административных правонарушений, связанных с ненадлежащей эксплуатацией объектов критической информационной инфраструктуры (КИИ). В ряде случаев ответственность за такие нарушения смягчается. Законопроекты № 1071997-8 и № 1071966-8 были внесены в Госдуму в ноябре 2025 года группой депутатов.

Принятые нормативные акты уточняют положения статьи 274.1 Уголовного кодекса РФ, которая касается нарушения правил эксплуатации объектов КИИ.

Часть деяний авторы предлагают декриминализировать и отнести к административным правонарушениям. Основной мотив таких изменений — снизить риск оттока кадров из организаций, являющихся субъектами КИИ, где значительная доля сотрудников фактически выступает пользователями систем, подпадающих под жёсткое регулирование.

«Представляется обоснованным внесение изменений в части 2 и 3 статьи 274.1 УК РФ, уточняющих объективную сторону состава преступления в части определения общественно опасных последствий в форме уничтожения, блокирования, модификации либо копирования компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, — говорится в пояснительной записке к законопроекту № 1071997-8. — Вместе с тем действующая редакция частей 2 и 3 статьи 274.1 УК РФ, в силу отсутствия определения вреда как признака состава преступления, не позволяет объективно оценивать его наличие либо отсутствие».

Как отмечают авторы, предлагаемые изменения основаны на анализе сложившейся судебной практики по статье 274.1 УК РФ. Она показывает, что суды, как правило, трактуют вред КИИ как копирование либо изменение информации в соответствующих системах.

В рамках законопроекта № 1071966-8 предлагается декриминализировать все нарушения правил эксплуатации КИИ, которые не привели к очевидному ущербу, и перевести их в разряд административных правонарушений.

Согласно статистике, собранной директором технического департамента RTM Group Фёдором Музалевским, около 10% дел по статье 274.1 УК РФ по итогам 2021 года были возбуждены из-за случайных или неосознанных действий без корыстного мотива. Кроме того, как показывают данные Судебного департамента за последние пять лет, реальные сроки лишения свободы по этой статье назначаются крайне редко и носят единичный характер.

RSS: Новости на портале Anti-Malware.ru