0-click в Signal и Discord способна деанонимизировать пользователей

0-click в Signal и Discord способна деанонимизировать пользователей

0-click в Signal и Discord способна деанонимизировать пользователей

Исследователь под ником hackermondev сообщил о 0-click уязвимости, позволяющей без взаимодействия с пользователем определить его местоположение с достаточно большой точностью. Атака нацелена на софт Signal и Discord и задействует механизмы кеширования в инфраструктуре Cloudflare для определения геолокации пользователя в радиусе до 400 километров.

Брешь кроется в механизме кеширования систем доставки контента (CDN). Специалист так описывает проблему:

«Если устройство пользователя загружает контент на сайте, использующем Cloudflare, этот ресурс кешируется в локальном дата-центре. Затем можно идентифицировать конкретный ЦОД, закешировавший контент».

Signal и Discord автоматически скачивают кешированные файлы — например, аватары или вложения — которые сохраняются в ближайшем дата-центре Cloudflare. Используя прокси Cloudflare Teleport или похожие инструменты, злоумышленник может установить, какой именно дата-центр использовался, вычислив таким образом регион пользователя.

Исследователь продемонстрировал эксплуатацию вектора на платформе Signal, широко используемой журналистами и активистами. Он отправил вложение через CDN Signal и выяснил, в каком дата-центре был кеширован файл.

«В моем случае я нахожусь в Нью-Йорке, а ближайший ко мне дата-центр — в Ньюарке, штат Нью-Джерси. Последний располагается примерно в 150 милях (чуть больше 241 километра — прим. Anti-Malware.ru) от меня», — пояснил он.

Аналогичная уязвимость была обнаружена в Discord. Эксперт продемонстрировал атаку через пользовательские эмодзи или уведомления о запросах в друзья. Например, аватар отправителя в запросе автоматически загружается устройством получателя, что активирует 0-click.

Cloudflare устранила конкретную уязвимость, однако hackermondev нашел обходной путь через VPN.

«С помощью нового метода мне удалось снова вычислить около 54% всех дата-центров Cloudflare», — заявил он.

Реакция разработчиков Signal и Discord была довольно прохладной. В Signal заявили, что пользователи сами должны озадачиться сокрытием своей личности. Discord, в свою очередь, возложил ответственность на Cloudflare.

В России могут обязать предустанавливать отечественный ИИ на смартфоны

В России рассматривают возможность обязать производителей предустанавливать отечественные ИИ-сервисы на смартфоны и другую электронику. Эту норму могут включить в готовящийся закон о регулировании искусственного интеллекта, сообщают «Известия» со ссылкой на материалы правительства.

По данным издания, Минцифры должно представить документ на согласование в правительство к концу февраля. Детали инициативы пока прорабатываются, но идея в целом продолжает логику уже действующего закона о предустановке российского ПО, который применяется с 2021 года.

В аппарате вице-премьера Дмитрия Григоренко подчеркнули, что предустановка отечественных сервисов — один из способов укрепления технологической независимости. По их словам, у России уже есть собственные маркетплейсы, браузеры, антивирусы и сервисы госуслуг, а теперь — и большие языковые модели. Пользователи должны иметь возможность пользоваться такими решениями по умолчанию.

Сейчас ИИ в смартфонах постепенно становится стандартом. По оценке Mobile Research Group, в 2025 году он был предустановлен примерно на 7% продаваемых в России устройств, а к концу 2026-го доля может вырасти до 10%. Наиболее активно ИИ-функции развивают Samsung и ряд китайских производителей.

Участники рынка считают, что технически внедрить такую норму возможно — опыт обязательной предустановки российского софта уже есть. Однако эксперты предупреждают: отечественным разработчикам придётся конкурировать с зарубежными ИИ-продуктами, которые уже встроены в устройства и активно развиваются.

По словам специалистов, успех будет зависеть от качества решений. Если российские ИИ-сервисы предложат удобные голосовые ассистенты, продвинутую обработку фото и видео, работу офлайн или глубокую интеграцию с популярными сервисами, они смогут завоевать аудиторию. В противном случае пользователи просто удалят ненужные приложения — как это часто происходит и сейчас.

Некоторые эксперты отмечают, что россияне уже активно пользуются ИИ на смартфонах, просто не всегда это осознают — например, общаясь с чат-ботами банков или госструктур.

Будет ли предустановка обязательной и в каком именно виде — станет ясно после публикации законопроекта. Пока речь идёт о проработке механизма и сборе предложений.

RSS: Новости на портале Anti-Malware.ru