В РФ создадут национальную ОС для IoT стоимостью до 1,5 млрд рублей

В РФ создадут национальную ОС для IoT стоимостью до 1,5 млрд рублей

В РФ создадут национальную ОС для IoT стоимостью до 1,5 млрд рублей

К 2022 году в России планируется создать национальную операционную систему (ОС) для устройств интернета вещей, следует из плана мероприятий по программе «Цифровая экономика». Отечественная ОС должна превосходить зарубежные аналоги по быстродействию, безопасности, отказоустойчивости. Участники рынка считают, что такой проект может стоить от нескольких сотен миллионов до 1,5 млрд руб.

План мероприятий по кибербезопасности на 2017–2024 годы по программе «Цифровая экономика» предусматривает создание в России отечественной операционной системы, на которой будут разработаны устройства интернета вещей и промышленного интернета. Это следует из документа, разработанного рабочей группой, которую возглавляет Сбербанк. Согласно материалам группы (есть у “Ъ”), разработка ОС должна завершиться до 31 декабря 2021 года, к этому же сроку планируется выбрать пилотную отрасль для внедрения ОС, а также отрасли для ее тиражирования. В результате должна быть создана «отечественная свободная ОС для использования во всех видах киберфизических систем, превосходящая зарубежные ОС по ключевым параметрам быстродействия, безопасности и отказоустойчивости», говорится в документе. В качестве ответственных исполнителей в плане указаны Минпромторг, Минкомсвязь, а также отечественные автопроизводители и разработчики программного обеспечения, пишет kommersant.ru.

О том, что киберфизические системы (объединяют в себе виртуальную и физическую части) должны использовать отечественные ОС, говорится в программе «Цифровая экономика», утвержденной правительством РФ в июле. Согласно документу, прототипы таких ОС должны быть разработаны к четвертому кварталу 2018 года. Сами ОС и центр компетенций по вопросам межмашинного взаимодействия, включая киберфизические системы и интернет вещей, должны появиться в третьем квартале 2020 года.

Кроме того, в четвертом квартале 2019 года планируется принять национальные стандарты межмашинного взаимодействия для киберфизических систем.

В Сбербанке и Минкомсвязи комментарии не предоставили. Источник “Ъ” в Минэкономики полагает, что отечественная операционная система для интернета вещей может пригодиться участникам Национального консорциума развития автономного, подключенного, электрического транспорта. Консорциум, в который готовы вступить КамАЗ, ФГУП НАМИ, «Соллерс», «Ростелеком», «Россети» и др., планируется учредить в октябре, отметил собеседник “Ъ”.

Отечественная ОС необходима для обеспечения безопасности автоматических систем управления производственными процессами, кроме того, ее создание «поможет сохранить деньги в России», считает директор Ассоциации интернета вещей Андрей Колесников.

Если использовать имеющиеся наработки, то стоимость такого проекта составит около 200 млн руб., если же брать деньги на разработку у государства, то стоимость может вырасти до 1,5 млрд руб., считает гендиректор ИВК Григорий Сизоненко. В разработку отечественной ОС должны вкладывать средства частные компании, считает гендиректор «Базальт СПО» Алексей Смирнов.

«Это будет значительно более эффективно, чем выделять государственные деньги на госзаказ»,— говорит он. При этом значительная часть расходов должна быть связана не с операционной системой, а с обеспечением удобств для разработчиков прикладных программ, которые перенесут на нее свои решения, считает Алексей Смирнов. «Такие вложения реально создают рынок. А разработчики ОС свои решения доведут сами — тут внутренних ресурсов хватит»,— добавляет он.

ОС для киберфизических систем должна быть безопасной, отказоустойчивой, быстрой и масштабируемой, обладать технологической совместимостью и широким спектром функциональных решений, иметь в наличии удобную инфраструктуру для прикладных разработчиков, отмечают опрошенные “Ъ” эксперты. На современном этапе развития российского IT-сектора отечественного продукта, удовлетворяющего вышеуказанным требованиям, нет, считает первый заместитель гендиректора РЕД СОФТ Рустам Рустамов.

Уже имеющиеся ОС для интернета вещей, такие как Tizen, SailFish, построены на Linux. Скорее всего, на базе UNIX-систем и будут развиваться операционные системы для интернета вещей, считает Алексей Смирнов. В горизонте двух-трех лет «абсолютно реально» создать такую систему с учетом того, что уже есть «наработки и инфраструктура разработки», допускает он.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Android-фоторамки Uhale скачивают и запускают вредоносный код при старте

Исследователи из ИБ-компании Quokka выяснили, что часть Android-фоторамок от Uhale не просто небезопасны — некоторые из них автоматически скачивают и запускают вредоносный код при каждом включении устройства. Речь идёт о смартфонах, использующих платформу Uhale от китайской компании ZEASN (сейчас Whale TV).

Проблема особенно неприятна тем, что эти фоторамки продаются под десятками брендов, и покупатель даже не знает, какая прошивка там внутри.

По данным (PDF) Quokka, при загрузке многие устройства проверяют наличие обновления Uhale до версии 4.2.0, ставят его и перезагружаются. Уже после перезапуска обновлённое приложение подтягивает из Китая JAR/DEX-файл, сохраняет его в свои директории и выполняет при каждом следующем старте.

Исследователи нашли признаки, связывающие загружаемые файлы с семействами вредоносных программ Vo1d и Mezmess: по префиксам пакетов, строкам, инфраструктуре и характерным сценариям доставки.

 

При этом устройства и так вышли с завода почти полностью «открытыми»: SELinux отключён, root-доступ включён, системные компоненты подписаны тестовыми ключами AOSP. Другими словами, защитных механизмов фактически нет.

Кроме автоматической загрузки вредоноса, Quokka насчитала 17 уязвимостей, 11 из которых уже получили CVE-идентификаторы. Среди наиболее серьёзных:

  • CVE-2025-58392 / CVE-2025-58397— некорректный TrustManager позволяет внедрять поддельные зашифрованные ответы, что открывает возможность для удалённого выполнения кода с правами root.
  • CVE-2025-58388 — процесс обновления использует небезопасную обработку имён файлов, что даёт возможность инъекции команд и установки произвольных APK.
  • CVE-2025-58394 — устройства поставляются с отключённым SELinux, root-доступом и тестовыми ключами — то есть с нулевым уровнем безопасности «из коробки».
  • CVE-2025-58396 – встроенный файловый сервер на порту 17802 принимает файлы без авторизации, позволяя любому в локальной сети записывать или удалять данные на устройстве.
  • CVE-2025-58390 – WebView игнорирует ошибки SSL/TLS и принимает смешанный контент, что позволяет подменять или перехватывать отображаемые данные.

Также в коде нашли жёстко прописанный AES-ключ для расшифровки ответов сервера, устаревшие компоненты Adups и слабые криптографические практики, что создаёт дополнительные риски на уровне цепочки поставок.

 

Uhale не фигурирует на упаковке большинства устройств, а продаются такие фоторамки под разными брендами. На Google Play у приложения более 500 тысяч установок, в App Store — 11 тысяч отзывов. На Amazon модели на Uhale тоже активно продаются.

Quokka с мая пытается связаться с ZEASN, но ответа не получила. Эксперты рекомендуют покупать устройства только от известных производителей, которые используют официальные Android-сборки без модификаций, с сервисами Google Play и встроенными механизмами защиты от вредоносных программ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru