Американские правозащитники выступают против закона о киберданных и защиты информации

Американские правозащитники выступают против закона о защите информации

Поборники неприкосновенности частной жизни готовятся к новому раунду борьбы против принятия законопроекта об обмене информацией, который, по их мнению, позволит частным компаниям помогать правительству США шпионить за американскими гражданами.



Речь идет о Законе об обмене киберданными и защите киберинформации. В прошлом году он был принят Палатой представителей, но не получил одобрения Сената. Конгрессмены Майк Роджерс и Датч Рупперсбергер надеются, что в этом году он все же будет принят. На дискуссии, посвященной вопросам кибербезопасности, проходившей в среду в Вашингтоне, они сообщили, что вновь вносят законопроект на рассмотрение.

«Если Палата представителей хочет принять разумный проект о кибербезопасности, который также защищает частную жизнь, то нужно, чтобы эти программы контролировались гражданскими структурами»
Из заявления Американского союза гражданских свобод.

Сторонники этого закона считают, что он поможет правительству защищать частные компании и федеральные ведомства от кибератак из таких стран, как Иран и Китай, а также хакерских групп, подобных Anonymous.

«Американская промышленность подвергается атакам, что обходится нашей стране и экономике в миллиарды долларов и тысячи рабочих мест, – заявил Рупперсбергер. – Нам нужно сделать все, чтобы американские компании могли защищать себя от этих разрушительных кибератак. Именно в этом и состоит суть нашего законопроекта – он позволяет добровольно обмениваться информацией о критических угрозах при одновременном сохранении важных гражданских свобод», сообщает cybersecurity.ru.

Однако эти заявления убеждают не всех.

В Американском союзе гражданских свобод (АСГС) считают, что законопроект позволит компаниям передавать щепетильную информацию об интернет-активности граждан Агентству национальной безопасности и Министерству обороны, не предпринимая никаких разумных усилий для защиты их частной жизни.

Представитель некоммерческой организации «Конституционный проект» Шэрон Брэдфорд Франклин в интервью газете Washington Post заявила о «порочности» закона. Она выразила обеспокоенность характером той информации, которую компании могут передавать правительству, отметив, что «Конгресс должен также обратить внимание на очень реальную угрозу, которую несет этот законопроект правам на тайну частной жизни и гражданским свободам американцев».

АСГС призывает американских граждан на борьбу за право на сохранение конфиденциальности своей активности в Интернете.

«Если Палата представителей хочет принять разумный проект о кибербезопасности, который также защищает частную жизнь, то нужно, чтобы эти программы контролировались гражданскими структурами, объем персональной информации, которой будут обмениваться правительство и корпорации, был минимальным, а также обеспечивалась защита от нецелевого использования собранной информации», – говорится в заявлении АСГС.

В среду законопроект вызвал многочисленные критические комментарии в Twitter.

Напомним, что в свое время Обама подписал указ, позволяющий таким частным компаниям, как Google, передавать приватную информацию о пользователях правительственным органам.

По своему содержанию законопроект идентичен документу, принятому Палатой представителей в прошлом году. Он позволит федеральному правительству предоставлять компаниям секретную информацию о киберугрозах, разрешит компаниям обмениваться информацией о киберугрозах с правительством и другими компаниями, и предусматривает ответственность для компаний, которые делятся или получают такую информацию.

Повторное внесение законопроекта произошло через день после того, как президент Барак Обама подписал новый указ о кибербезопасности, который позволяет правительству обмениваться информацией о киберугрозах с частными компаниями, работающими в ключевых инфраструктурных сферах государства, таких как банковская система, связь, энергетика и транспорт.

Хотя этот указ очень похож на спорный законопроект, в АСГС весьма позитивно оценили инициативу президента.

«Указ президента по определению не может отменить меры по защите права на тайну частной жизни, предусмотренные действующим законодательством, – говорится в заявлении Союза. – Иными словами, указ не делает для компаний исключения из существующих положений о конфиденциальности и не позволяет правительству собирать новую информацию. Он предполагает только изменение политики и практики в рамках существующих полномочий».

Тем не менее, Палата представителей и Сенат могут все же одобрить спорный законопроект. Тогда президент может воспользоваться правом вето, как он обещал в прошлом году, когда документ начал свое движение в Конгрессе.

Критическая уязвимость в TLP позволяет обойти защиту Linux

В популярной утилите TLP, которую многие владельцы ноутбуков на Linux используют для управления энергопотреблением, обнаружили критическую уязвимость. Причём проблема нашлась во время обычной проверки пакета командой SUSE Security Team и располагается во вполне штатном коде.

Брешь получила идентификатор CVE-2025-67859 и затрагивает версию TLP 1.9.0, где появился новый profiles daemon.

Этот демон работает с root-правами и управляет профилями питания через D-Bus. Задумка хорошая, но реализация подвела: в механизме аутентификации Polkit нашлась логическая ошибка, которая фактически позволяет обойти проверку прав.

Как объясняют исследователи, демон должен был строго проверять, кто именно отправляет команды. Но из-за ошибки любой локальный пользователь мог взаимодействовать с ним без должной аутентификации — а значит, менять системные настройки питания от имени root.

На этом сюрпризы не закончились. В ходе анализа специалисты SUSE нашли ещё несколько проблем, уже связанных с исчерпанием ресурсов. В частности, механизм profile hold, который позволяет временно «зафиксировать» профиль питания, оказался совершенно без валидации. Локальный пользователь мог создавать неограниченное количество таких блокировок, причём без прав администратора.

В итоге это открывает прямую дорогу к DoS-атаке: демон начинает захлёбываться от бесконечных записей в структуре данных, куда попадают числа, строки с причиной и идентификаторы приложений — всё это полностью контролируется клиентом.

Любопытно, что SUSE вспомнила похожую историю с демоном управления питанием в GNOME: аналогичную проблему находили ещё несколько лет назад. Отдельно исследователи отметили вопросы к механизму «куки», которыми отслеживаются profile hold. Формально речь шла о предсказуемости значений, но в сочетании с отсутствием лимитов это лишь расширяло поверхность атаки.

К счастью, реакция была быстрой. SUSE сообщила об уязвимостях разработчикам ещё в декабре, и в версии TLP 1.9.1 проблема уже закрыта. В частности, число одновременных profile hold теперь жёстко ограничено числом 16, что убирает риск истощения ресурсов.

RSS: Новости на портале Anti-Malware.ru