Сразу два сервиса шифрованной электронной почты закрылись

Сразу два сервиса шифрованной электронной почты закрылись

О закрытии базирующейся в Техасе электронной почты Lavabit, которой пользовался беглый контрактор АНБ Эдвард Сноуден, сообщил владелец и оператор службы Ладар Левисон. В заявлении, размещенном на сайте Lavabit, он намекает на секретные судебные разбирательства, приведшие к этому шагу. «Мне пришлось принять сложное решение: либо принимать участие в преступлениях против американского народа, либо закрыть службу Lavabit, над созданием которой я трудился почти 10 лет, – пишет Левисон. – После серьезных раздумий, я решил приостановить работу службы».



Lavabit привлекла к себе внимание в прошлом месяце, когда Сноуден, находившийся тогда в транзитной зоне Шереметьево, разослал правозащитникам приглашения на встречу с ним с адресаedsnowden@lavabit.com. Это, в частности, подтвердила представитель правозащитной организации Human Rights Watch в Москве Татьяна Локшина, опубликовав текст приглашения в Facebook. Как пишет журнал Wired, Сноуден пользовался Lavabit с января 2010 года, то есть, задолго до того, как передал СМИ тысячи секретных документов АНБ, сообщает cybersecurity.ru.

Lavabit предлагал своим клиентам «асимметричное шифрование» электронной почты. Как объяснял администратор сайта, это означает, что электронное послание шифруется до того, как оно размещается на сервере. Для того, что бы его расшифровать, у получателя должен быть пароль. При этом администратор Lavabit не гарантировал полную безопасность, но подчеркивал, что избранный этой службой метод шифрования настолько сложен, что раскодировать послание без пароля «будет невозможно в течение длительного времени».

В послании, размещенном в четверг на сайте Lavabit, Ладар Левисон пишет, что «юридически не имеет возможности» объяснить причины закрытия службы. «Мне кажется, что вы имеете право знать, что произошло, – обращается он к пользователям, – Первая поправка (к Конституции США – ГА) гарантирует мою свободу слова в подобных ситуациях. К сожалению, Конгресс принял законы, гласящие иначе. На данный момент я не имею права рассказать о том, что происходило со мной в течение последних шести недель, хотя я дважды обращался с соответствующими запросами».

Журнал Wired предполагает, что Левисон получил так называемое «письмо в интересах национальной безопасности» – запрос об информации по одному или нескольким клиентам Lavabit. Получатель такого письма не имеет права сообщать о самом факте существования запроса. Или, предполагает Wired, Левисон получил ордер на обыск серверов.

Сам Левисон сообщает лишь, что его компания уже начала подготовку обращения в Апелляционный суд «в целях защиты Конституции». «Благоприятное решение суда позволит возродить Lavabit как американскую компанию», – пишет он. Пока не будет соответствующего решения суда или до тех пор, пока Конгресс не изменит закон, Левисон «категорически не советует доверять конфиденциальную информацию компаниям, физически расположенным на территории Соединенных Штатов».

Журнал Wired сообщает, что в марте этого года Lavabit «с готовностью» предоставила информацию по ордеру на обыск в деле о детской порнографии. «Это свидетельствует, что Левисон не является фанатиком в вопросах защиты конфиденциальности, – пишет журнал. – Видимо, обстоятельства, вынудившие его закрыть службу, оказались из ряда вон выходящими».

Через несколько часов после демарша сервиса Lavabit, о закрытии сообщил о сервис Silent Circle, также предоставлявший услуги шифрованной электронной почты пользователям. Кроме email, сервис Silent Circle также предоставлял услуги шифрования телефонных звонков и других видов коммуникаций.

В Silent Circle заявили, что "вдохновлены" решением Lavabit и поддерживают его. При этом, в Silent Circle подчеркивают, что угроз от властей они не получали, хотя явных причин закрытия тоже не называют.

"Мы не получали исков и вызовов в прокуратуру, ордеров на обыск и писем от силовых ведомств. Но мы действуем на упреждение и закрываемся уже сейчас", - говорится в заявляении сервиса. В заявлении Silent Circle сказано, что сервис "хочет быть на 100% чистым перед своими клиентами, а не извиняться потом". "Мы решили, что лучше закрыться с гордым лицом, чем потом принимать позорные решения", - говорится в заявлении.

В компании также заявили, что продолжат поддерживать работу сервисов Silent Phone, Silent Text и Silent Eye для существующих клиентов. "Silent Mail был хорошей идеей, но только для определенного времени и это время закончилось", - заявили в сервисе.

В 100 приложениях для знакомств оказалось около 2000 уязвимостей

Исследование ста приложений для знакомств — как российских, так и зарубежных — показало тревожную картину: в них обнаружено почти 2000 уязвимостей, причём 17% из них относятся к критическим. Анализ провела компания AppSec Solutions.

Результаты исследования приводят «Ведомости». Как пояснил изданию руководитель отдела анализа защищённости AppSec Solutions Никита Пинаев, ещё 23% выявленных уязвимостей имеют средний уровень критичности, а 14% — низкий.

Оставшиеся проблемы относятся к категории Info либо представляют собой организационные, сетевые, логические и другие ошибки.

Наиболее распространённой критической проблемой, по словам Никиты Пинаева, стало хранение чувствительных данных непосредственно в исходном коде — такую ошибку выявили в 22 приложениях.

В ещё 46 случаях идентификационные данные, включая логины, пароли и токены, передавались в открытом виде. В 12 приложениях уязвимости были связаны с ошибками аутентификации и управления сессиями, а в 40 — с некорректной настройкой или работой облачных сервисов.

Мобильный разработчик компании EvApps Андрей Соболевский отметил в комментарии для «Ведомостей», что в среднем в одном мобильном приложении насчитывается от 20 до 30 уязвимостей. Чаще всего они связаны с небезопасным хранением данных, слабыми механизмами идентификации и аутентификации пользователей, а также с SQL-инъекциями.

По словам руководителя отдела операционной поддержки платформы Solar appScreener ГК «Солар» Антона Прокофьева, уязвимости мобильных приложений носят типовой характер и практически не зависят от отрасли. Основные причины — отсутствие проверок на этапе разработки и использование непроверенных компонентов с открытым исходным кодом.

Руководитель разработки PT Maze в Positive Technologies Николай Анисеня добавил, что применение средств, затрудняющих реверс-инжиниринг, позволило бы сократить количество выявляемых уязвимостей примерно на 40%, а в отдельных категориях приложений — даже вдвое.

Антон Прокофьев также отметил, что в приложениях массовых сервисов — к которым, помимо дейтинга, относятся доставка еды, онлайн-магазины и аптечные сервисы — чаще всего встречаются пять категорий уязвимостей:

  • Обращение к DNS, позволяющее злоумышленникам перенаправлять запросы на сторонние ресурсы.
  • Небезопасная рефлексия, создающая возможность запуска произвольного кода.
  • Ошибки в реализации протоколов шифрования.
  • Использование слабых алгоритмов хеширования.
  • Применение незащищённых протоколов обмена данными.

Подобные уязвимости встречаются в трёх из четырёх приложений и открывают возможности для атак типа MITM («человек посередине»), при которых злоумышленник внедряется в канал связи. Это, в свою очередь, чревато утечками пользовательских данных.

Архитектор информационной безопасности UserGate uFactor Дмитрий Овчинников отметил, что одна из главных опасностей таких атак — их незаметность для пользователей. При этом злоумышленники могут не только похищать данные, но и получать доступ к скрытому функционалу приложений, а затем использовать эту информацию в других, в том числе таргетированных атаках. Инженер ИБ компании «Спикател» Владимир Иванов также предупредил, что, например, сталкеры могут использовать функции дейтинговых приложений для слежки за пользователями.

Всего, по данным AppSec Solutions, уязвимости присутствуют в 70% мобильных приложений. Злоумышленники активно используют их для монетизации доступа — через фишинг, масштабирование массовых атак, выманивание денег за несуществующие услуги, а также злоупотребление чужими счетами и платными подписками.

RSS: Новости на портале Anti-Malware.ru