В слитом исходном коде Яндекса нашли нарушения политик ИБ

В слитом исходном коде Яндекса нашли нарушения политик ИБ

В слитом исходном коде Яндекса нашли нарушения политик ИБ

Яндекс опубликовал результаты внутреннего расследования инцидента с попавшим в открытый доступ программным кодом. Оказалось, что вместе с ним слили данные некоторых партнеров, ошибки в системе часто исправляли “костылями”, а Алиса подслушивала хозяев. Кроме того, SEO-алгоритмы Яндекса очень похожи на Google.

Почти 45 ГБ программного кода сервисов Яндекса попали в Сеть на минувшей неделе. Уже не секрет, что торрент с кодом на хакерский форум выложил бывший сотрудник ИТ-корпорации. Дамп он сделал в июле 2022 года, сами файлы датируются февралем, как раз в период начала СВО.

Накануне вечером, на пятый день скандала, Яндекс представил общественности результаты внутреннего расследования, а также извинился перед пользователями и партнерами.

“Опубликованные фрагменты действительно взяты из нашего внутреннего репозитория — инструмента, с помощью которого разработчики компании работают с кодом, — говорится в отчете. — При этом содержимое архива соответствует устаревшей версии репозитория — она отличается от актуальной версии, которая используется нашими сервисами”.

И хотя ИТ-гигант по-прежнему утверждает, что опубликованные фрагменты не несут угрозы безопасности пользователей или работоспособности сервисов, собственный аудит показал серьезные нарушения политик информационной безопасности и этических принципов самого Яндекса.

А именно:

  • В коде содержались данные некоторых партнёров. Например, водителей — их контакты и номера удостоверений передавались из одного таксопарка в другой.
  • Зафиксированы случаи, когда логику работы сервисов корректировали не алгоритмами, а “костылями”.
  • В сервисе “Яндекс Лавка” существовала возможность ручной настройки рекомендаций любых товаров без пометки об их рекламном характере.
  • Наличие приоритетной поддержки для отдельных групп пользователей в сервисах “Такси” и “Еда”.
  • Некоторые части кода содержали слова, которые никак не влияли на работу сервисов, но были сами по себе оскорбительны для людей разных рас и национальностей.

Кроме того, согласно исходному коду “Яндекс Алисы”, приложение способно включать микрофон устройства в случайный момент времени даже без упоминания “Алисы”. Это делалось якобы для улучшения качества активации ассистента.

“Сейчас нам очень стыдно, и мы приносим извинения нашим пользователям и партнёрам”, — заявили в “Яндексе”.

Одной из причин таких нарушений в политиках безопасности в самой компании назвали чрезмерную приверженность подходу Zero Bug Policy.

Политика нулевой терпимости к багам вынуждала ИТ-специалистов Яндекса постоянно что-то подкручивать и подставлять “костыли”, а не решать проблему системно.

Другой проблемой, которой, как выяснилось, в руководстве Яндекса уделяли мало внимание, стала техноэтика и моральные принципы. В коде “проскакивают” расистские и оскорбительные комментарии, оставленные айтишниками.

В конце расследования Яндекс еще раз извинился и пообещал “выучить урок”.

Добавим, накануне определённую закономерность в слитом коде обнаружил и SEO-консультант Мартин Макдональд (Martin MacDonald).

“Слив кода Яндекса — вероятно, самое интересное, что произошло в SEO за долгие годы”, — написал эксперт у себя в Twitter.

По словам другого исследователя Алекса Буракса (Alex Buraks), почти в 2 тыс. факторах ранжирования поисковой системы Яндекса угадывается “след” Google.

 

Яндекс, четвертая по объему поисковая система в мире, якобы берет на работу бывших сотрудников Google, чтобы использовать их осведомленность в SEO конкурента.

Буракс отмечает, первым в списке факторов ранжирования Яндекса значится “PAGE_RANK”. Он, весьма вероятно, связан с базовым алгоритмом, разработанным основателями Google.

Добавим, российское подразделение Google летом объявило о банкротстве в связи с “невозможностью исполнения денежных обязательств” из-за ареста банковского счета. Арбитражный суд Москвы ввел в компании процедуру наблюдения.

Сигналы Wi-Fi позволяют определять активность человека за стеной

В конце февраля в топы GitHub Trending неожиданно вырвался проект с открытым исходным кодом RuView, который раньше был известен как Wi-Fi DensePose. На первый взгляд это ещё один эксперимент на стыке ИИ и граничных вычислений, но на деле история куда интереснее и тревожнее.

RuView показывает, что обычные сигналы Wi-Fi можно использовать не только для связи, но и буквально для «чтения» происходящего в помещении.

Система умеет отслеживать движения человека, оценивать позу тела и даже фиксировать дыхание и сердечный ритм, причём без камер, без интернета и, как утверждают разработчики, даже через стены.

С технической точки зрения проект опирается на анализ Channel State Information (CSI) — данных о том, как радиоволны рассеиваются, отражаются и меняются при взаимодействии с телом человека. В отличие от примитивных метрик уровня сигнала, CSI даёт куда более детальную картину: учитываются амплитуда и фаза сигнала по множеству поднесущих. Именно это и позволяет системе замечать микроскопические изменения, возникающие, когда человек двигается, сидит, спит или просто дышит.

По данным Ruvnet, RuView построен на базе академических исследований специалистов Университета Карнеги — Меллона. Для работы системе достаточно сети из 4-6 недорогих узлов на ESP32-S3, а общий бюджет такого комплекта может составлять примерно 54 доллара. Эти сенсоры формируют радиочастотную модель помещения, а ИИ затем анализирует, как человеческое тело меняет картину распространения сигнала.

 

Разработчики заявляют, что платформа обрабатывает данные с частотой до 54 тысяч кадров в секунду благодаря оптимизированной кодовой базе на Rust. Поверх этого работает нейросеть, которая переводит изменения поля Wi-Fi в 17 ключевых точек тела — от головы и локтей до коленей и бёдер. Кроме позы, система, как утверждается, может отслеживать дыхание в диапазоне 6-30 вдохов в минуту и пульс в диапазоне 40-120 ударов в минуту.

На бумаге всё это выглядит как красивая технология для спасателей, медицины и ухода за пожилыми. И действительно, сценарии звучат гуманно: мониторинг состояния человека без камер, поиск людей в задымлённых помещениях, наблюдение за пациентами без носимых датчиков. Но у технологии есть и другая сторона, куда менее комфортная.

Эксперты по кибербезопасности уже предупреждают, что RuView открывает новую категорию рисков: скрытое физическое наблюдение, которое почти невозможно заметить. Сигналы Wi-Fi проходят через мебель, стены и перекрытия, а значит, теоретически злоумышленник может разместить недорогие модули рядом со зданием и анализировать происходящее внутри. В отличие от камер, такой способ не зависит от освещения, дыма или прямой видимости. А поскольку работа идёт на физическом уровне радиосигнала, шифрование вроде WPA3 здесь не помогает.

Отдельная проблема в том, что такая схема практически не оставляет привычных сетевых следов. Если устройство пассивно анализирует радиосреду, администраторам сложно обнаружить его стандартными средствами мониторинга. На этом фоне возникают и юридические вопросы: например, как регулировать технологию, которая не собирает изображения или прямые идентификаторы, но всё равно позволяет следить за человеком в реальном пространстве.

Среди возможных защитных мер специалисты называют рандомизацию CSI на стороне роутеров, хотя пока это скорее исследовательское направление. Более надёжным вариантом считается физическое RF-экранирование: металлические сетки, экранирующие материалы или специальные покрытия для помещений с повышенными требованиями к безопасности.

RSS: Новости на портале Anti-Malware.ru