МТС видит риски в требования о сборе IP-адресов абонентов

МТС видит риски в требования о сборе IP-адресов абонентов

МТС видит риски в требования о сборе IP-адресов абонентов

В отзыве на проект приказа Роскомнадзора, обязывающего операторов связи передавать регулятору данные, позволяющие идентифицировать абонентское оборудование для доступа в интернет, МТС охарактеризовал предложенные меры как затратные и нарушающие тайну связи.

Проект, опубликованный в декабре 2024 года, предусматривает обязательное определение оборудования, используемого для доступа в интернет, для 1981 компании.

Роскомнадзор оценивает затраты на реализацию этих мер в 389 млн рублей в год, что составляет 2,3 млрд рублей за шесть лет. По мнению регулятора, подобные меры необходимы для защиты от DDoS-атак, предотвращения мошенничества и нарушений законодательства в области защиты персональных данных.

В отзыве, предоставленном РБК, МТС указал, что требование о передаче адреса установки оборудования, абонентских номеров и идентификаторов пользовательского устройства без согласия абонента является нарушением тайны связи.

Кроме того, компания отметила, что в 95 % случаев при подключении клиентов-физлиц к мобильным сетям через маршрутизатор широкополосного удалённого доступа (BRAS) невозможно точно определить, какое устройство используется для доступа в интернет.

Также МТС подчеркнул, что передача сведений о регионе, районе, городском округе и других параметрах, связанных с конкретными IP-адресами, в установленные сроки является технически невыполнимой. Для уточнения этих данных, по словам МТС, потребуется около шести месяцев.

«Архитектура некоторых сегментов сети глубоко интегрирована, и дополнительное разделение и локализация публичных IP-адресов приведёт к снижению надёжности. Без значительных затрат на модернизацию сети это невозможно», — говорится в отзыве.

«Оценить финансовые затраты на данные мероприятия в настоящее время не представляется возможным, в том числе из-за отсутствия на рынке большинства необходимого оборудования».

Кроме того, МТС считает, что выполнение требований Роскомнадзора потребует значительно больших расходов, чем заявлено в ведомстве.

«Реализация ряда условий и мер, введённых проектом приказа, может повлечь за собой дополнительные финансовые затраты для бизнеса, включая разработку новых и адаптацию существующих технических средств, а также закупку необходимого оборудования и комплектующих», — отметили в Торгово-промышленной палате России.

В ответ на запрос РБК Роскомнадзор отметил, что отдельные положения приказа будут корректироваться, однако новой версии документа регулятор не готовит.

Подпишитесь на новости

В Tailscale SSH нашли способ добраться до root через редирект сокетов

Один взломанный компьютер может стать отправной точкой для захвата других серверов в сети Tailscale. Специалист Эрика Виндиш из Cyberdione Labs описала проблемы, которые в лабораторных условиях позволили превратить обычный разрешённый SSH-доступ в права root.

Но важное условие есть: атакующий уже должен контролировать допущенное устройство и иметь нужные разрешения на соединение.

Подробности и условия воспроизведения опубликованы в отчёте Tailworm. Проверки проводились на Tailscale 1.104.2 и Headscale 0.29.5.

Главная претензия касается перенаправления Unix-сокетов. Некоторые операции выполняет привилегированный процесс tailscaled, из-за чего обычная SSH-сессия получает возможность обращаться к ресурсам, доступным только root. В тестах исследовательница использовала это для взаимодействия с Docker и выполнения команд с повышенными правами.

При широких правилах доступа атаку удалось автоматизировать: переход между разрешёнными узлами занимал меньше секунды. При этом точечные ограничения останавливали распространение.

Также описаны проблемы отказа в обслуживании и обхода ограничений в отдельных компонентах.

Автор рекомендует пересмотреть SSH-политики и отключить ненужное перенаправление. Для Headscale 0.29.5 она отдельно отмечает отсутствие независимого запрета этой функции.

RSS: Новости на портале Anti-Malware.ru