Компания Nintendo, одна из лидеров в индустрии игровых консолей, предложила своим пользователям новый уровень безопасности. Теперь каждый пользователь может зарегистрировать до 10 различных Passkeys для своего аккаунта, что обеспечивает удобный и безопасный вход.

Источник изображения: Nintendo

Passkey представляют собой инновационную технологию криптографических ключей. Создавая Passkey, пользователь получает два ключа: публичный сохраняется на сервере компании, а приватный — непосредственно на устройстве пользователя. После подтверждения личности оба ключа совмещаются, предоставляя доступ к аккаунту.

Эти ключи позволяют подтверждать личность пользователя с помощью биометрических данных, таких как отпечатки пальцев или Face ID. Для использования Passkey необходимо устройство под управлением iOS 16, iPadOS 16, macOS 13, Android 9 или более новых версий.

Мир кибербезопасности активно движется к отказу от традиционных паролей. Альянс FIDO (Fast IDentity Online — быстрая онлайн-идентификация) разрабатывает стандарты для аутентификации без пароля, а такие технологические гиганты, как Apple, Google и Microsoft, входящие в FIDO, предлагают свои решения в этой области.

Согласно исследованиям компании Digital Shadows, к 2022 году в результате взломов было украдено более 24 млрд учётных данных — на 65% больше по сравнению с 2020 годом. Внедрение системы Passkey может стать ответом на растущую угрозу киберпреступности.

Группа исследователей из британских университетов разработала алгоритм с использованием методов глубокого обучения нейросетей, который способен с точностью до 95 % распознавать данные, анализируя звук нажимаемых клавиш клавиатуры, записанный через микрофон. В процессе обучения алгоритма классификации звуков также использовались аудиозаписи, сделанные через Zoom, но в этом случае точность распознавания снизилась до 93 %.

Источник изображения: Bleeping Computer

Акустическая атака с использованием упомянутого алгоритма несёт серьёзную угрозу безопасности данных, поскольку такой подход может использоваться для кражи паролей и другой конфиденциальной информации. Более того, в отличии от других атак через сторонние каналы, требующих соблюдения специальных условий, акустические атаки становятся проще в реализации по мере распространения микрофонов, обеспечивающих высококачественный захват звука. В сочетании с быстрым развитием технологий машинного обучения акустические атаки через сторонние каналы становятся более опасным инструментом в руках злоумышленников, чем было принято считать прежде.

Для проведения такой атаки злоумышленникам требуется осуществить запись звука нажимаемых клавиш на клавиатуре жертвы, поскольку эти данные требуются для обучения алгоритма прогнозирования. Сделать это можно с помощью находящегося поблизости микрофона или же смартфона, заражённого вредоносным программным обеспечением, открывающим доступ к микрофону устройства. Кроме того, запись звука нажимаемых клавиш можно осуществить во время звонка в Zoom.

Источник изображения: arxiv.org

В рамках нынешнего исследования были собраны обучающие данные, представляющие запись звука нажатия 36 клавиш MacBook Pro, каждая из которых нажималась по 25 раз. После этого были получены осциллограммы и спектрограммы, которые позволили визуализировать идентифицируемые различия при нажатии каждой клавиши. Исследователи также выполнили определённые шаги для обработки данных в плане усиления сигнала для упрощения идентификации клавиш. Спектрограммы использовались для обучения классификатора изображений CoAtNet.

В эксперименте был задействован один и тот же ноутбук Apple с клавиатурой, которая используется во всех моделях портативных компьютеров компании последние два года, а также iPhone 13 mini, расположенный на расстоянии 17 см от ноутбука и записывающий звук, и сервис Zoom, который также использовался для записи звука нажимаемых клавиш. В итоге исследователям удалось добиться того, что классификатор CoAtNet достиг 95 % точности при обработке записей со смартфона и 93 % — при обработке данных, записанных через Zoom. При эксперименте с использованием Skype точность снизилась до 91,7 %.

Источник изображения: arxiv.org

Пользователям, которых беспокоят акустические атаки, исследователи рекомендуют изменить стиль печати, а также использовать случайно генерируемые пароли. В дополнение к этому можно задействовать программные средства для воспроизведения звуков нажатия клавиш, белого шума или аудиофильтры для клавиатуры.

Компания Google представила инструмент, который значительно упростит процесс поиска и удаления контактной информации пользователей из результатов поисковых запросов. Поисковый гигант будет отправлять пользователям уведомления в случае нахождения информации об их фактическом адресе, номере телефона или электронной почты в Интернете. Пользователь сможет с этой информацией ознакомиться, а затем запросить её удаление из поисковой выдачи.

Источник изображений: Google

В сентябре прошлого года Google анонсировала функцию «Результаты о вас», которая располагается в панели инструментов мобильной и веб-версиях поисковика. Недавно компания её обновила, сильнее автоматизировав процесс поиска персональной информации. После того, как пользователь введёт нужные данные в специальную форму, поиск автоматически подтянет веб-сайты, содержащие любые совпадения с заданными параметрами. После этого можно будет просмотреть каждую страницу, на которой содержатся персональные данные пользователя, и в случае необходимости отправить запрос на их удаление из поисковой выдачи.

Ранее пользователям поисковика приходилось вручную искать свою личную информацию в Сети, а затем каждый раз вручную запрашивать её удаление из поисковой выдачи через службу поддержку Google. С обновлением инструмента «Результаты о вас» Google также добавила push-уведомления, которые будут предупреждать пользователей в случае появления новых источников распространения их персональной информации. После подачи заявки на удаление данных из поисковой выдачи пользователи также смогут ознакомиться с текущими статусами рассмотрения таких заявок и принятых решениях.

Следует уточнить, что функция «Результаты о вас» не удаляет персональную информацию пользователя из Сети, а лишь убирает её из поисковой выдачи Google. Другие пользователи по-прежнему смогут найти персональную информацию того или иного человека, если наткнутся на веб-страницу, на которой она будет размещена. Кроме того, функция имеет ряд ограничений и, например, не будет принимать меры по удалению информации в отношении результатов поиска, полученных от правительственных запросов или образовательных учреждений.

В настоящий момент функция «Результаты о вас» доступна только для англоязычных пользователей поисковика Google из США. Компания сообщает, что работает над тем, чтобы «в ближайшее время» добавить поддержку других языков и сделать доступной функцию в других странах.

Компания Google начала внедрять радикальный способ защиты от кибератак. Как сообщает CNBC, отдельные сотрудники интернет-гиганта, участвующие в пилотной программе компании, будут работать на ПК, не подключенных к Сети — это защитит компанию от утечек информации и действий злоумышленников.

Источник изображения: Farzad/unsplash.com

Изначально IT-гигант отобрал 2,5 тыс. участников из числа своих сотрудников, но после получения обратной связи компания пересмотрела пилотный проект и сделала участие добровольным, а принимать в программу будут желающих сотрудников. Сообщается, что компания отключит доступ в Сеть отдельным компьютерам — допускается использование внутренних сетевых инструментов и посещение принадлежащих Google сайтов вроде Google Drive и GMail. Компания допустила, что для некоторых сотрудников, которым понадобится интернет для работы, будут сделаны исключения. Дополнительно известно, что сотрудники лишатся корневого (root) доступа. В частности, это означает, что они не смогут запускать определённые команды или, например, устанавливать программное обеспечение.

Google начала пилотную программу для снижения риска кибератак. В компании заявляют, что её сотрудники часто становятся целями таких атак со стороны злоумышленников. При этом если устройство сотрудника скомпрометировано, атакующие могут получить доступ к пользовательским данным, инфраструктурному коду, что может привести к усугублению ситуации и подорвать доверие клиентов.

Почти полное ограничение доступа в интернет обеспечит повышенную защиту от дистанционного выполнения хакерами произвольного кода на устройствах жертв или кражи данных. Программу решили реализовать на фоне роста числа профессиональных кибератак. Например, по данным Microsoft, недавно были скомпрометированы почтовые ящики десятков сотрудников правительственных ведомств. Как известно, Google довольно тесно сотрудничает с правительством США и тоже является желанной целью для взлома.

Кроме того, Google, готовящая премьеру многочисленных ИИ-инструментов, пытается укрепить кибербезопасность и этого направления. Также компания в последние месяцы стремится активнее защищаться от утечек данных.

Как заявили в самой Google, обеспечение безопасности продуктов и пользователей является одним из приоритетов компании и она регулярно ищет возможности усилить защиту внутренних систем от вредоносных атак.

В «Лаборатории Касперского» предупреждают об используемой мошенниками новой схеме обмана пользователей смартфонов. Теперь злоумышленники научились маскировать приложения для удалённого доступа под банковское ПО и методами социальной инженерии убеждают людей установить подобный софт.

Источник изображения: Growtika/unsplash.com

Для реализации мошеннической схемы необходим минимальный опыт разработки приложений для смартфонов. Как сообщает РБК со ссылкой на экспертов «Лаборатории Касперского», киберпреступники маскируют приложения для удалённого доступа к смартфонам под банковские программы и распространяют их через мессенджеры, пытаясь получить доступ к онлайн-банкингу потенциальных жертв.

По словам экспертов, только за минувшие 11 дней «Лаборатории Касперского» предотвратила сотни атак, использующих модифицированные программы. Отмечается, что подобная схема замечена впервые. Как выяснили сотрудники компании, легитимным приложениям меняют названия и иконки с маскировкой под ПО того или иного банка, корректируют надписи в некоторых текстовых полях.

Связываясь с жертвами, мошенники убеждают их в необходимости установки «приложений поддержки» отечественных банков, присылая ПО в мессенджеры. После этого методом несложных манипуляций с доверчивыми пользователями злоумышленники получают удалённый доступ к смартфону, в результате чего узнать данные для входа в настоящее мобильное приложение финансовой организации не составляет большого труда.

Если раньше мошенники уговаривали жертв устанавливать программы для удалённого доступа из Google Play, то теперь пользователи стали менее доверчивыми и склонить их к такому шагу довольно сложно — именно поэтому для особенно бдительных и добавляют надписи и банковскую символику. В любом случае устанавливать ПО по звонку неких «представителей банка» не рекомендуется.

Как сообщает РБК, на фоне удаления приложений многих крупных российских банков из Google Play и App Store, всё чаще киберпреступниками стала использоваться схема с поддельными приложениями. Только с 28 февраля по 31 декабря 2022 года Банк России инициировал блокировку почти 2 тыс. мошеннических страниц в социальных сетях «ВКонтакте» и «Одноклассники» и 23 мобильных приложений в App Store, Google Play и других маркетплейсах.

Согласно исследованию компании RTM Group, специализирующейся на обеспечении информационной безопасности, большинство россиян оказались совершенно беззащитны перед взломщиками паролей. Как сообщает «Газета.Ru» со ссылкой на результаты исследовательской работы, 65 % паролей жителей России взламываются машинным перебором за минуту.

Источник изображения: Max Bender/unsplash.com

Было проанализировано 50 млн пар логин-пароль, попавших в Сеть или проданных в даркнете с января 2022 года по май 2023 года. Оценивались пароли, используемые представителями малого бизнеса, средних и крупных компаний, а также обычных пользователей.

Наиболее беспечными признаны физические лица, обычно применяющие простые пароли для защиты своих аккаунтов. Приблизительно в половине случаев слабые пароли используют представители малого бизнеса. Вторая половина из них использует пароли из 8 символов с включением строчных и заглавных букв, взлом которых для современных систем автоматического подбора тоже не составляет особого труда — на это у систем, готовых проверять до 300 млрд комбинаций в секунду, уходят считаные минуты.

Эксперты отметили, что в крупных организациях уделяют информационной безопасности значительно больше внимания. Надёжнее всего пароли у представителей крупного бизнеса, которые не ленятся составлять сложные комбинации паролей. Не в последнюю очередь этому способствует наличие жёстких корпоративных политик безопасности.

В RTM Group отметили, что если буквально несколько лет назад сильным можно было считать пароль из восьми знаков из цифр и букв разного регистра, то сейчас надёжной можно назвать комбинацию из 16 знаков, включающую спецсимволы. Утверждается, что на взлом такого пароля видеокартам актуального поколения понадобится порядка 50 млрд лет.

Впрочем, глобальная статистика ещё хуже. В мая появились данные, что 83 % самых популярных паролей можно взломать за 1 секунду.

Всего через несколько дней после того как социальная сеть Twitter потребовала обязательной аутентификации даже для чтения твитов, компания без лишнего шума отказалась от этих ограничений. Это означает, что ссылки на сообщения в соцсети можно открывать непосредственно в браузере без регистрации в сервисе.

Источник изображения: PhotoMIX-Company/pixabay.com

Вводя подобные ограничения, Илон Маск (Elon Musk) сразу заявлял, что речь идёт о временной мере, принимаемой для предотвращения сбора данных сторонними компаниями с целью обучения ИИ-моделей или манипуляций общественным мнением. «Это была временная экстренная мера. Наши данные воровали так интенсивно, что это отразилось на качестве сервиса для рядовых пользователей площадки», — писал Маск в социальной сети.

Компания не делала каких-либо официальных объявлений о разрешении предпросмотра ссылок без аутентификации и о том, какие именно меры она приняла для того, чтобы прекратить сбор данных. Примечательным является то, что Twitter открыла твиты для свободного чтения за день до того, как Meta✴ запустила собственный аналог социальной сети — Threads.

В минувшие выходные Маск также ввёл ограничение, не позволявшее просматривать более 1 тыс. публикаций в сутки не прошедшим верификацию пользователям и 10 тыс. — прошедшим. Обладатели новых аккаунтов могли читать по 500 сообщений. В своём блоге компания заявила, что новые ограничения коснулись незначительного количества пользователей Twitter.

«Лаборатория Касперского» обнаружила в магазине расширений для браузера Chrome десятки вредоносных программных продуктов, самый популярный из которых уже набрал 9 млн загрузок, а их суммарное число скачиваний превышает 87 млн.

Источник изображения: 377053/unsplash.com

По данным компании, начало «квеста» по выявлению вредоносного софта было положено находкой исследователя в сфере кибербезопасности Владимира Паланта, нашедшего в Chrome Web Store инструмент PDF Toolbox с рейтингом 4,2 и около 2 млн загрузок, предназначавшийся для конвертации офисных документов. При ближайшем рассмотрении выяснилось, что ПО обращалось к серверу злоумышленников для загрузки вредоносного кода на просматриваемые в браузере веб-страницы.

Дальнейшие исследования позволили найти десятки «родственных» расширений, обращавшихся к тому же серверу. «Рекордсменом» по числу скачиваний стал плагин Autoskip for Youtube, который доверчивые пользователи загрузили 9 млн раз. Известно, что расширения загрузили в магазин довольно давно — в прошлом и позапрошлом годах, причём жалобы некоторых пользователей на подмену адресов в поисковой выдаче модераторами игнорировались. После шума, поднятого специалистами по информационной безопасности, плагины удалили.

Браузерные расширения особенно опасны, поскольку для нормальной работы им необходимо разрешение на просмотр и изменение данных на сайтах. Другими словами, любому плагину видны все действия на сайтах, и он может произвольно менять содержимое страниц. Это позволяет следить за действиями пользователя со сбором информации о нём, красть данные карт, логины и пароли, подменять ссылки в поиске на вредоносные, вставлять рекламу и совершать другие действия. Пользователи сами устанавливают многочисленные расширения, выдавая разрешения на просмотр и изменение данных, а модераторы относятся к проверке ПО весьма небрежно. Более того, даже после удаления вредоносного плагина из магазина он остаётся на устройствах пользователей.

Источник изображения: Franz26/pixabay.com

«Лаборатория Касперского» рекомендует немедленно удалить любое расширение из списка:

• Autoskip for Youtube
• Soundboost
• Crystal Ad block
• Brisk VPN
• Clipboard Helper
• Maxi Refresher
• Quick Translation
• Easyview Reader view
• PDF toolbox
• Epsilon Ad blocker
• Craft Cursors
• Alfablocker ad blocker
• Zoom Plus
• Base Image Downloader
• Clickish fun cursors
• Cursor-A custom cursor
• Amazing Dark Mode
• Maximum Color Changer for Youtube
• Awesome Auto Refresh
• Venus Adblock
• Adblock Dragon
• Readl Reader mode
• Volume Frenzy
• Image download center
• Font Customizer
• Easy Undo Closed Tabs
• Screence screen recorder
• OneCleaner
• Repeat button
• Leap Video Downloader
• Tap Image Downloader
• Qspeed Video Speed Controller
• HyperVolume
• Light picture-in-picture

Специалисты рекомендуют устанавливать как можно меньше расширений, читать перед их установкой отзывы и использовать антивирусные инструменты для контроля активности такого ПО.

Apple должна с 5 марта 2024 года в полной мере соблюдать Европейский закон о цифровых рынках (Digital Markets Act — DMA), что теоретически означает, что она будет вынуждена разрешить либо сторонние магазины приложений, либо загрузку приложений. Также Apple должна разрешить разработчикам использовать сторонние платёжные системы и обеспечить взаимодействие iMessage с другими платформами обмена сообщениями. На самом деле, чудес ожидать не стоит.

DMA — это часть антимонопольного законодательства ЕС, направленная против технологических гигантов. Цель закона — усилить конкуренцию, лишив некоторых преимуществ доминирующих игроков и облегчив конкуренцию стартапам. DMA представляет собой набор норм для крупных онлайн-платформ, для которых вводится понятие «посредника» (Gatekeeper — дословно «привратник»). Посредником считается компания, которая обладает:

• «сильным экономическим положением» и «значительным влиянием» на внутренний рынок ЕС;
• «сильной посреднической позицией», то есть связывает большое число предприятий с большой аудиторией;
• «устойчивым и прочным положением на рынке», то есть соответствует первым двум критериям не менее трёх финансовых лет подряд.

На днях ЕС потребовал от нескольких компаний подтвердить, что они достаточно велики, чтобы соответствовать требованиям. Apple была вынуждена признать себя посредником. Google, Amazon, Meta✴ и Microsoft также уведомили Европейскую комиссию о том, что они квалифицируются как посредники в соответствии с новыми техническими правилами ЕС.

Первоначально при обсуждении закона существовала некоторая неопределённость в отношении того, повлияет ли DMA на Apple. Часть законодателей нацеливала закон на социальные сети, такие как Facebook✴ и Twitter, а другая часть требовала применения закона ко всем без исключения крупным технологическим компаниям. В 2021 году была выбрана максимально широкая трактовка закона, в результате чего Apple оказалась на линии огня.

Чтобы выполнить требования закона в соответствии с намерениями ЕС, Apple должна:

• разрешить разработчикам использовать сторонние платёжные системы;
• отказаться от монополии Apple App Store на установку приложений;
• обеспечить взаимодействие iMessage с другими платформами обмена сообщениями.

Тем не менее, формулировка DMA содержит потенциальную лазейку, которой Apple, вероятно, воспользуется, чтобы оспорить его в суде. Суть в том, что посредник имеет право «применять пропорциональные технические или договорные меры» для обеспечения целостности оборудования или операционной системы.

Кроме того, чтобы гарантировать, что «сторонние программные приложения или магазины программных приложений не подрывают безопасность конечных пользователей, посредник должен иметь возможность применять строго необходимые и соразмерные меры и настройки, отличные от настроек по умолчанию».

Источник изображения: Pixabay

То есть теоретически Apple может утверждать, что монополия App Store — единственный реальный способ защитить разработчиков и клиентов от вредоносных программ и мошеннических приложений.

Что касается iMessage, DMA требует, чтобы Apple (как и другие компании) обеспечила интероперабельность сообщений — предоставила средство для обмена сообщениями с другими мессенджерами. Настоящая цель этого заключается в том, чтобы помочь новым мессенджерам решить проблему старта: никто не будет устанавливать приложение для обмена сообщениями, пока им не пользуется множество людей.

Однако и здесь формулировка DMA слаба. По сути, она требует, чтобы Apple и подобные компании предоставили технические спецификации своих приложений. А это может служить основанием для оспаривания в суде с формулировкой, что функциональная совместимость подрывает высокий уровень безопасности и защиты данных.

По мнению экспертов из 9to5Mac, после вступления закона в силу ситуация будет развиваться следующим образом:

• Apple разрешит сторонние платёжные системы;
• Компания опубликует формально подробный, но бесполезный технический документ по совместимости с iMessage;
• Apple изначально проигнорирует требования закона о сторонних магазинах приложений;
• При возникновении претензий Apple сошлётся на оговорку о безопасности данных;
• ЕС обратится в суд;
• На то, чтобы дело дошло до окончательной апелляции, уйдут годы.