В минувшую среду, 18 мая 2016 года, состоялась конференция Google I/O 2016, в ходе которой компания Google более детально рассказала о грядущей Android N, представила платформу виртуальной реальности Daydream, показала вторую версию Android Wear ОС и так далее.
Также среди анонсов фигурировали сразу два новых мессенджера, одним из которых стал Google Allo, со встроенным end-to-end шифрованием. Хотя ИБ-эксперты, в теории, должны были порадоваться появлению еще одного защищенного приложения, на деле все оказалось не так просто, и Allo уже подвергся критике. Проблема, в частности, заключается в еще одной инновации Google: умном голосовом ассистенте Google Assistant, который встроен в мессенджер Allo.
Тогда как первые публикации о Google Allo носили исключительно положительный характер, спустя пару часов после анонса в сети начали появляться и другие мнения. Так, издание Vice Motherboard опубликовало материал, озаглавленный «Не пользуйтесь Allo», в котором журналисты попытались привлечь внимание аудитории к некоторым особенностям приложения.
В целом, мессенджер для iOS и Android с end-to-end шифрованием – это хорошо. Теперь у Google есть собственное решение, которое можно противопоставить iMessage, Facebook Messenger и WhatsApp. Однако далеко не все СМИ упомянули о том, что end-to-end шифрование в Allo не включено по умолчанию. Шифрование предлагается пользователю как опция, то есть можно включить для чата «Режим инкогнито». Журналисты Motherboard предлагают подумать – большой ли процент пользователей действительно захочет воспользоваться данной опцией? Здесь можно провести параллель с «Режимом инкогнито» в Chrome, — часто ли пользователи активируют его? Многие ли отключают историю местоположений в Google Maps? Ответы на эти вопросы вполне очевидны,
Также журналисты цитируют слова нескольких исследователей, которые мрачно шутят о том, что ФБР будет очень довольно релизом Allo. Как раз недавно ФБР перестало требовать от компаний, чтобы те добавляли бекдоры в свои продукты, и перешло к более разумной тактике: теперь правоохранители просят просто не включать шифрование по умолчанию.
Однако помимо опционального шифрования сообщений, остается еще помощник Google Assistant. Этот продукт призван составить конкуренцию Siri и не только. В отличие от Google Now, новый ассистент умеет распознавать вопросы на обычном языке и способен вести диалог с пользователем. Помимо интеграции с мессенджером Allo, Google Assistant также будет работать с домашним устройством Google Home – своеобразным аналогом Amazon Echo, а в будущем его планируют использовать в умных домах, телевизорах и даже автомобилях.
Почему интеграция Google Assistant с мессенджером видится многим не слишком хорошей идеей? Потому что, в отличие от бота в Facebook Messenger, помощник Google будет буквально читать все сообщения пользователей, а не реагировать на конкретные запросы. Дело в том, что Google Assistant, к примеру, должен реагировать на различные желания пользователей. Пользователь пишет кому-то «хочу в кино»? Ассистент предложит билеты в ближайший кинотеатр. Пользователь пишет, что неплохо было бы выпить кофе во вторник? Помощник порекомендует конкретные кофейни. Все это, конечно, должно принести пользователям только дополнительное удобство, а компаниям-партнерам Google – прибыли. Но фактически для этого нужно разрешить Google майнить данные в собственной личной переписке.
Еще одна особенность Allo — Smart Reply. Ассистент может в буквальном смысле отвечать на сообщения за пользователя. Так как приложение будет использовать методы машинного обучения, ему будет достаточно какое-то время понаблюдать за тем, как пользователь общается с разными контактами, и вскоре оно сможет самостоятельно предлагать варианты быстрых ответов. Кто-то пишет пользователю «пошли в кино?», — помощник тут же предложит варианты ответа, вроде «конечно!» или «сегодня я занят». Google Assistant даже постарается подстроиться к стилю, в котором пользователь обычно общается с данным контактом. Более того, ассистент будет распознавать содержимое изображений и сам сможет прокомментировать смешную картинку или умилиться фотографии кота.
Подводя итог, журналисты Motherboard пишут, что они вовсе не призывают считать Google или Allo злом. Они лишь призывают пользователей помнить о том, что подобные приложения, это еще один шанс для Google узнать обо всех нас всю подноготную. По сути, пользователям предложен простой выбор: можно использовать все эти бесспорно удобные и крутые новшества, но забыть о приватности и безопасности, или можно отключить их и получить заурядное, но относительно защищенное приложение. Правда во втором случае не совсем понятно, зачем пользоваться именно Allo, когда на рынке давно представлены более надежные в отношении защиты данных мессенджеры.
Между тем, инженеры Google заверили, что появление Allo и приложения для видеозвонков Duo никак не отразится на поддержке и разработке мессенджера Hangouts, он тоже продолжит существовать.
Эксперты зафиксировали новую и довольно изощрённую фишинговую кампанию в Telegram, которая уже активно используется против пользователей по всему миру. Главная особенность атаки в том, что злоумышленники не взламывают мессенджер и не подделывают его интерфейс, а аккуратно используют официальные механизмы аутентификации Telegram.
Как выяснили аналитики компании CYFIRMA, атакующие регистрируют собственные API-ключи Telegram (api_id и api_hash) и с их помощью инициируют реальные попытки входа через инфраструктуру самого мессенджера. Дальше всё зависит от того, как именно жертву заманят на фишинговую страницу.
Всего специалисты наткнулись на два подобных сценария. В первом случае пользователю показывают QR-код в стиле Telegram, якобы для входа в аккаунт. После сканирования кода в мобильном приложении запускается легитимная сессия, но уже на стороне злоумышленника.
Во втором варианте жертву просят вручную ввести номер телефона, одноразовый код или пароль двухфакторной защиты. Все эти данные тут же передаются в официальные API Telegram.
Ключевой момент атаки наступает позже. Telegram, как и положено, отправляет пользователю системное уведомление в приложении с просьбой подтвердить вход с нового устройства. И вот тут в дело вступает социальная инженерия. Фишинговый сайт заранее подсказывает, что это якобы «проверка безопасности» или «обязательная верификация», и убеждает нажать кнопку подтверждения.
В итоге пользователь сам нажимает «Это я» и официально разрешает доступ к своему аккаунту. Никакого взлома, обхода шифрования или эксплуатации уязвимостей не требуется: сессия выглядит полностью легитимной, потому что её одобрил владелец аккаунта.
По данным CYFIRMA, кампания хорошо организована и построена по модульному принципу. Бэкенд централизованный, а домены можно быстро менять, не затрагивая логику атаки. Такой подход усложняет обнаружение и блокировку инфраструктуры.
После захвата аккаунта злоумышленники, как правило, используют его для рассылки фишинговых ссылок контактам жертвы, что позволяет атаке быстро распространяться дальше — уже от лица доверенного пользователя.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
