• 2017-04-07 00:00 Кибербезопасность и UBA
• 2017-04-07 00:00 Международный блокчейн-консорциум R3 из-за санкций неофициально отказал Сбербанку в членстве
• 2017-04-07 00:00 Власти придумали для Рунета новый штраф: Под угрозой сайты с формой обратной связи
• 2017-04-10 00:00 Подозреваемого в призывах к массовым беспорядкам вычислили, несмотря на Tor и VPN
• 2017-04-10 00:00 Хакеры взломали 156 сирен системы оповещения в Техасе
• 2017-04-10 00:00 Роскомнадзор пригрозил заблокировать сервис-рацию Zello
• 2017-04-10 00:00 Как случайно не нарушить закон о защите персональных данных
• 2017-04-10 00:00 ФАС: Sports.ru нарушил запрет на рекламу азартных игр в интернете
• 2017-04-10 00:00 Слабые места Tor
• 2017-04-10 00:00 Хакеры больше года эксплуатируют уязвимость в китайских IoT-устройствах
• 2017-04-10 00:00 Власти Германии дадут соцсетям 24 часа на удаление "неправильного" контента
• 2017-04-11 00:00 Портативные маршрутизаторы входят в число наиболее уязвимых IoT-устройств
• 2017-04-11 00:00 Американский эксперт о фактчеке Google: вещь хорощая
• 2017-04-12 00:00 Роскомнадзор заблокировал 547 страниц с пиратскими копиями "Времени первых"
• 2017-04-12 00:00 ИТ-компании раскритиковали возможность выдачи электронных подписей исключительно государством
• 2017-04-12 00:00 Минфин: В 2018 г. в России легализуют биткоины
• 2017-04-12 00:00 Страны G7 поддержали идею о доступе спецслужб к зашифрованной переписке в Сети
• 2017-04-13 00:00 24% точек публичного доступа Wi-Fi не распознают пользователей
• 2017-04-13 00:00 Путина просят вернуть в Рунет торговлю алкоголем
• 2017-04-13 00:00 "ВКонтакте" заподозрили в несоблюдении возрастного ограничения

http://www.itsec.ru/newstext.php?news_id=115903

Разносторонние взгляды на тему информационной безопасности представят участники бизнес-встречи ИД "Коммерсантъ". Конец прошлого года преподнес ряд сюрпризов. В частности, практика User and Entity Behavioral Analytics (UEBA) и большие данные перестали быть просто маркетингом, а подтвердили свою состоятельность реальными кейсами из достоверных источников. На кону — лидерство в крупном сегменте рынка. Так в чем же суть этих перемен? Что было до и что будет после UBA? Каким видят будущее ИБ-эксперты по кибербезопасности?

Спикеры:

• Олег Седов, главный редактор, Ассоциация по вопросам защиты корпоративной информации BISA
• Сергей Демидов, директор по информационной безопасности, Московская биржа
• Олег Бакшинский, руководитель направления Security Intelligence, IBM Россия и СНГ, IBM
• Артем Синицын, руководитель программ информационной безопасности в Центральной и Восточной Европе, Microsoft
• Игорь Ляпунов, генеральный директор, Solar Security
• Андрей Акинин, генеральный директор, Web Control
• Марк Креймер, региональный директор, ObserveIT Ltd
• Денис Горчаков, руководитель группы исследования и анализа мошенничества, "Лаборатория Касперского"
• Дмитрий Мананников, директор по безопасности, SPSR Express

Мероприятие пройдет в  "Арарат Парк Хаятт".

Подробности на http://kommersant.ru/doc/3237599 

Скидка 20% по промокоду: itsec

http://www.itsec.ru/newstext.php?news_id=115919

Международный блокчейн-консорциум R3, пока не готов принимать российские банки, пишет "КоммерсантЪ".

 В R3 хотел вступить Сбербанк, но в организации дали понять: заявка будет отклонена из-за санкций. В результате банк отказался от этой идеи, а в целом в R3 до сих пор только один российский участник — группа Qiwi, вступившая как платежная система.

 По словам первого зампреда Сбербанка Льва Хасиса, официально банк не подавал заявку на вступление в консорциум. Хасис заверил издание, что банк отказался от идеи вступить в консорциум не только из-за санкций, но и потому, что "сейчас в целом восприятие России в мире сложное".

 Впервые о планах вступить в R3 сообщалось в декабре 2015 года. Тогда банк изучал финансовые документы, но окончательно решения не принял. В сентябре 2016 года Сбербанк подписал соглашение о вступление в другой международный блокчейн-консорциум — Hyperledger.

 R3 создан в 2015 году и сейчас в него входят более 80 государственных органов и международных финансовых структур, в том числе Goldman Sachs, JP Morgan, Credit Suisse, Barclays, BBVA. Помимо Сбербанка интерес к консорциуму проявляют также банки "Ак Барс", "Альфа-банк", "Открытие" и Национальный расчетный депозитарий.

http://www.itsec.ru/newstext.php?news_id=115915

Форма обратной связи

Компаниям, на чьих сайтах есть формы обратной связи, придется добавить к ним соглашение о конфиденциальности, а также начать спрашивать пользователей, согласны ли они на обработку персональных данных. Если соглашения и соответствующей галочки о согласии не будет, компанию может оштрафовать Роскомнадзор. К такому заключению пришел на своей странице в соцсети Facebook директор по продукту компании Notamedia Алексей Бородкин.

В качестве примера он приводит "Тамбовскую городскую юридическую компанию", оштрафованную Роскомнадзором за наличие на сайте формы обратной связи. Подписчики Бородкина вспомнили в комментариях похожие случаи: в начале 2017 г. за наличие такой формы уплатили штрафы несколько компаний из Астрахани.

Если оштрафовать все поголовно сайты, которые используют форму обратной связи, под удар попадут не только российские, но и зарубежные компании. Как отмечает Бородкин, на сайте самого Роскомнадзора тоже есть такая форма, без галочки о согласии на обработку данных. То есть, ведомство должно оштрафовать само себя. Кроме того, если относиться к сведениям в таких формах, как к персональным данным, тогда их следует хранить как персональные данные, в соответствии с законодательством РФ. По мнению Бородкина, в таком случае сайтам будет проще отказаться от форм обратной связи, что повредит бизнесу.

Инцидент с ТГЮК

В пример Бородкин приводит инцидент с "Тамбовской городской юридической компанией", произошедший летом 2016 г. Местный филиал Роскомнадзора выписал компании штраф на сумму 1 тыс. руб. за то, что на ее сайте была форма обратной связи. Форма состояла из трех пунктов: имя, тема сообщения, текст сообщения. Графа "Имя" была помечена как необязательная для заполнения. Соглашения о конфиденциальности к форме не прилагалось, галочки о согласии пользователя не было.

ТГЮК посчитала штраф несправедливым и обратилась в суд, где попыталась доказать, что этих данных недостаточно для идентификации личности. Однако в октябре 2016 г. суд вынес решение не в пользу компании, и штраф остался в силе. Если данные такого характера были признаны персональными, то под это же определение можно подвести информацию, например, из поисковой строки "Яндекса", считает Бородкин.

Случаи в Астрахани

О том, что компании в Астрахани штрафуют за наличие на сайте формы обратной связи, местные СМИ сообщили в феврале 2017 г. Основание для штрафа было то же, что и в случае с ТГЮК – нарушение закона о персональных данных. Сумма штрафа составляла 5-10 тыс. руб.

Одна из наказанных компаний занимается строительством и продает на своем сайте квартиры. Форма обратной связи, по словам сотрудников, используется самая примитивная – она запрашивает имя и телефон, чтобы компания могла перезвонить потенциальному клиенту. Из этих двух пунктов к персональным данным относится имя, однако имя пользователь может ввести произвольное.

Астраханских юристов и журналистов насторожил тот факт, что названия всех оштрафованных компаний начинались на букву "а". Местные СМИ высказали предположение, что компании подвергались наказанию по алфавитному списку.

Что делать?

"Если тенденция продолжится, то мы станем свидетелями настоящей гражданской войны в Интернете – конкуренты наперебой будут стучать друг на друга за незакрытые галками поля для ввода", – пояснил Бородкин CNews. Он рекомендует компаниям "на всякий случай навесить на формы обратной связи все требуемые Роскомнадзором поля". К этой практике собирается прибегнуть и его компания. Однако дополнительные галки и соглашения загромождают интерфейс, считает Бородкин, что приводит к неудобству для пользователя и, как следствие, негативно влияет на бизнес. Он советует "прилагать все силы, чтобы об этой насквозь дурацкой ситуации узнали лица, принимающие решения "наверху" – и помогли скорректировать ситуацию в нужную сторону".

Роскомнадзору он предлагает "так или иначе скорректировать/пояснить определение персональных данных". Сейчас под этим понятием понимается "любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)". "Все проблемы начинаются от слова "косвенно определенному", потому что под это можно притянуть любую информацию о пользователе вплоть до цвета его пиджака", – уверен Бородкин. Также он рекомендует ведомству "выпустить четкий перечень требований, которому должны соответствовать сайты".

http://www.itsec.ru/newstext.php?news_id=115945

Согласно сообщению на сайте СК, провокатора удалось найти и задержать, "несмотря на особую сложность расследования", связанную с тем, что задержанный использовал "высокотехнологические средства в сфере компьютерных технологий".

Как было установлено в ходе предварительного следствия, подозреваемый размещал материалы экстремистского характера с помощью специального ПО, предназначенного для "сокрытия следов присутствия с сети Интернет".

Правоохранители изъяли компьютерную технику и электронные устройства подозреваемого. Они будут направлены на компьютерно-технологическую экспертизу. В настоящее время решается вопрос об избрании меры пресечения в отношении задержанного. Расследование уголовного дела продолжается.

http://www.itsec.ru/newstext.php?news_id=115941

В американском городе Даллас, штат Техас, в ночь с 7 на 8 апреля злоумышленники взломали городскую систему экстренного оповещения о стихийных бедствиях. Как передает RNS, в результате все имеющиеся в городе сирены — 156 штук — работали на протяжении 90 минут.

 Отмечается, что это самый крупный взлом системы экстренного оповещения. Глава службы по чрезвычайным ситуациям Далласа Роки Ваз сообщил, что инженерам удалось отключить сирены вручную спустя полтора часа. Он добавил, что подобные ситуации возникают чрезвычайно редко. Это самый крупный взлом системы экстренного оповещения. Большинство взломов системы оповещения обычно затрагивают одну-две сирены.

 "На данный момент мы можем с высокой долей уверенности сказать, что кто-то проник в нашу систему оповещения и активировал ее", — сказал Ваз. По словам главы ведомства, система оповещения будет восстановлена к воскресенью.

http://www.itsec.ru/newstext.php?news_id=115938

Роскомнадзор пригрозил заблокировать серверы приложения-рации Zello на территории РФ. Информация об этом содержится в уведомлении о неисполнении требований федерального закона "Об информации, информационных технологиях и защите информации", которое ведомство направило в одноименную компанию.

 Как передает "Медиазона", которая ознакомилась с копией документа, РКН обвиняет компанию в нарушении требований ч. 2 ст. 10.1 ФЗ №?149. В этой части говорится, что "организатор распространения информации в сети „Интернет"" обязан уведомлять чиновников "о начале осуществления деятельности" по "обеспечению функционирования информационных систем и (или) программ" для приема, передачи, доставки и (или) обработки электронных сообщений".

 Ведомство потребовало устранить нарушение в течение трех рабочих дней, иначе серверы, которые используются для работы Zello, будут заблокированы.

 Zello используется в качестве мобильной рации. Программа популярна у активистов, в том числе у дальнобойщиков, которые используют ее в том числе для координации во время акций протеста. Приложение доступно для Android, iOS и Windows Phone.

http://www.itsec.ru/newstext.php?news_id=115962

Законодательство о защите персональных данных слишком широко трактует это понятие, считают юристы. Примером может служить случай с Тамбовской городской юридической компанией (ТГЮК), которая не смогла оспорить решение суда, счевшего, что фирма нарушает закон, собирая указанные в форме на ее сайте персональные данные, но не предлагая требуемую законом защиту. ТГЮК не публикует свою политику по обработке персональных данных и не сообщает о том, как они защищаются. В итоге компании предстоит выплатить штраф в размере 1 тысячи рублей, пишут "Ведомости".

 Как отмечает издание, изначально форма обратной связи ТГЮК включала контакты обратившегося: телефон и адрес электронной почты, однако позже компания решила сократить форму, оставив лишь три элемента - имя, сообщение и его тему.

 По словам представителя Роскомнадзора Вадима Ампелонского, по умолчанию в форме запрашивается настоящее имя, а сочетание имени и электронной почты уже относится к персональным данным.

 В настоящее время компании только штрафуют за нарушения законодательства о защите персональных данных, но закон также предусматривает и возможность блокировки сайта. Фактически сайт можно закрыть за любое нарушение законодательства о персональных данных, считает основатель юрфирмы "Катков и партнеры" Павел Катков. По его словам, блокировка сайта может повлечь убытки из-за прекращения деятельности, поэтому он рекомендует владельцам сайтов провести технико-юридический аудит, а также проверить внутренние системы защиты персональных данных.

 Как отметил Вадим Ампелонский, для того, чтобы избежать штрафа, владельцам сайтов нужно заручиться согласием пользователей на обработку их данных, как того требует законодательство.

 По словам эксперта консалтингового агентства "Емельянников, Попова и партнеры" Михаила Емельянникова, в последнее время Роскомнадзор относит к персональным данным информацию, полученную при анализе файлов cookie, IP-адреса и других сведений, помогающих сформировать профиль пользователя, достаточный для таргетирования рекламы.

 В этой связи он предлагает компаниям размещать на сайтах политику по обработке персональных данных, запрашивать согласие посетителей на обработку такой информации, публиковать политику в отношении файлов cookie, включая их передачу аналитическим службам интернета. Все эти документы Емельянников рекомендует размещать на баннере, с условиями которого пользователь должен согласиться для того, чтобы продолжить работу с сайтом.

http://www.itsec.ru/newstext.php?news_id=115959

Комиссия ФАС России выявила нарушение запрета на рекламу азартных игр в интернете со стороны спортивного портала Sports.ru. Как сообщили в пресс-службе регулятора, нарушение было выявлено после рассмотрения жалобы компании "Защита".

 Эта компания обратилась в ФАС в январе этого года, обнаружив на Sports.ru рекламы букмекерских контор Leon и Winline. Отмечается, что реклама этих контор распространялась на сайте 30 января 2017 год в виде рекламных баннеров, содержащих гиперссылки для перехода на сайты контор. Также 1 марта специалисты ФАС обнаружили на портале рекламу букмекерской конторы "Фонбет" в таком же виде.

 "Сайт www.leon.ru/ является официальным сайтом компании Leon, являющейся организатором онлайн азартных игр. На сайте можно принять участие в игре онлайн-казино, а также сделать ставку на игры. Сайт winlinebet.ru/ является официальным сайтом компании Winline, являющейся организатором онлайн азартных игр. На этом сайте также можно принять участие в игре онлайн-казино, а также сделать ставку на игры. Сайт www.bkfon.ru/ - официальный сайт компании „Фонбет" — организатора онлайн азартных игр, на котором тоже можно принять участие в игре онлайн-казино, а также сделать ставку на игры", — пояснили в ФАС.

http://www.itsec.ru/newstext.php?news_id=115953

Исследователи из испанского университета "Деусто" провели исследование сети Tor и пришли к выводу, что анонимность даркнета значительно переоценивается: слишком многое связывает обычные и закрытые участки всемирной Сети.

"Даркнет не настолько "темен", как это может показаться", — говорит Искандер Санчес-Рола (IskanderSanchez-Rola), исследователь университета "Деусто", занимающийся вопросами безопасности данных и приватности.

Команда Санчес-Ролы проанализировала порядка 1,5 млн страниц даркнета и выяснила, что более чем на 20% этих страниц используются данные, импортированные из обычного интернета, — изображения, документы и даже файлы JavaScript.

Все это, по мнению исследователей, создает потенциальные риски раскрытия данных, поскольку владельцы этих ресурсов могут отслеживать их загрузку пользователями; например, Google может отслеживать трафик к 13% доменов, проанализированных группой Санчес-Ролы.

Помимо этого, на 27% проанализированных сайтов даркнета исследователи выявили скрипты, отслеживающие перемещения пользователей. Примерно треть этих скриптов попали туда из обычной Сети. Источником 43% скриптов был Google.

По словам Санчес-Ролы, если сайт в даркнете использует тот же скрипт, что и какой-либо сайт внешней сети, появляется возможность отследить и даже идентифицировать пользователя, когда он посетит менее защищенный сайт.

Прокси-фактор

Отдельный фактор риска — это прокси-сервисы сети Tor, такие как Tor2Web; по сути, это точки входа в закрытую сеть. Их пользователи рискуют деанонимизацией больше всего. Эти сервисы "видят" пользовательские IP-адреса; наличие же ссылок между даркнетом и интернетом означает, что посторонние заинтересованные лица также могут получить доступ к информации о пользовательских IP. Если пользователь открывает через прокси страницу в даркнете, на которой присутствуют ресурсы (картинки, скрипты и т. д.), взятые из внешней Сети, его браузер загрузит эти ресурсы через обычные соединения, обходя анонимизацию.

Поэтому, говорит Санчес-Рола, для доступа к ресурсам в сети Tor необходимо использовать только специализированный браузер Tor.

Стоит отметить, что браузер Tor основан на коде Mozilla Firefox. В обоих время от времени обнаруживаются уязвимости, в том числе такие, которые позволяют деанонимизировать пользователей Tor.

Исследовательница Сара Джейми Льюис (Sarah Jamie Lewis), написавшая сервис OnionScan, позволяющий отыскивать уязвимости в ресурсах даркнета, утверждает, что до 35% серверов в Tor могут быть деанонимизированны, однако операторы этих ресурсов не спешат предпринимать какие-либо меры по этому поводу.

По словам Льюис, исследование испанских экспертов — это серьезный повод для того, чтобы перестать использовать следящие скрипты из сторонних источников, которые подвергают риску и сами ресурсы, и их пользователей.

"Исследование показывает одну очень простую вещь: сам по себе Tor не является универсальным средством обеспечения анонимности и (или) защиты собственной приватности, — говорит Дмитрий Гвоздев, генеральный директор компании "Монитор безопасности". – Одного только слоя защиты не достаточно нигде; это правило работает и в сфере кибербезопасности, и в области безопасности физической. Любая защита должна быть "глубоко эшелонированной", в противном случае она будет малоэффективной".

http://www.itsec.ru/newstext.php?news_id=115947

Безответственный китайский продавец видеорегистраторов до сих пор не исправил уязвимость, уже больше года эксплуатируемую операторами IoT-ботнетов. Данная уязвимость позволяет злоумышленникам удаленно выполнить код путем отправки простого запроса и получить полный контроль над устройством.

 Проблема была обнаружена в марте прошлого года исследователем Ротемом Кернером (Rotem Kerner) в прошивке продуктов китайской компании TVT. К сожалению, компания не является производителем, а лишь продавцом. То есть, вендоры покупают у нее устройства, ставят свои логотипы и продают под различными торговыми марками. Кернеру удалось выявить 70 брендов, продающих уязвимые продукты от TVT. Исследователь несколько раз безуспешно пытался связаться с компанией, однако уязвимость до сих пор остается неисправленной.

 Первый крупный ботнет из устройств от TVT был обнаружен в июне 2016 года экспертами компании Sucuri, состоял из 25 тыс. ботов и использовался для осуществления DDoS-атак на уровне приложений мощностью до 50 тыс. запросов в секунду.

 Согласно недавнему отчету Palo Alto Networks, устройства от TVT атакует новое вредоносное ПО Amnesia, объединяющее их в крупный ботнет для осуществления DDoS-атак. Вредонос создан на базе более старой версии Tsunami для IoT-устройств под управлением Linux. Новая модификация представляет собой первое вредоносное ПО для устройств "Интернета вещей", способное обнаруживать песочницу. До сих пор такой функцией обладали только вредоносы для Android и Windows.

 Amnesia может определять, когда исследователи безопасности пытаются выполнить его на виртуальной машине. В таких случаях вредонос удаляет всю файловую систему виртуальной машины – функция, ранее не встречавшаяся исследователям.

http://www.itsec.ru/newstext.php?news_id=115950

Назначьте ответственного

Федеральное министерство юстиции и защиты прав потребителей Германии объявило об одобренном правительством страны плане обязать операторов социальных сетей, функционирующих на территории Германии, оперативно удалять любой криминальный контент. Речь идет о формировании механизма обработки жалоб со стороны пользователей.

Под определение криминального подпадают любые сообщения, которые содержат клевету, очернение, а также призывы к совершению преступлений, подстрекательство к беспорядкам и угрозы. В "очевидных" случаях подобный контент должен быть удален в течение суток после появления первой жалобы. В менее очевидных случаях дается срок 7 дней.

Операторов социальных сетей обяжут завести в своем штатном расписании должность директора по работе с жалобами, в обязанность которого будет входит не только обработка самих сообщений о незаконном контенте, но и информирование жалобщиков о принятых мерах. Власти также хотят получать ежеквартальные отчеты о работе с жалобами пользователей.

Штраф до 50 миллионов евро

В Германии действуют весьма строгие законы в отношении ненавистнической риторики, причем ее характеристики довольно четко определены. Власти Германии считают свою инициативу логичным расширением действия законодательства на интернет-среду.

Санкции в отношении операторов социальных сетей, отказывающихся удалять криминальный контент, обещают быть под стать суровыми: штрафы будут достигать 50 млн евро. Правительство, впрочем, оставляет за соцсетями право оспаривать наложение штрафов в местных судах.

В правительстве страны надеются, что аналогичное законодательство распространится и на остальные страны Европы.

"Борьба с ненавистнической риторикой и/или экстремизмом – явление, повсеместно наблюдаемое в странах Запада, как и в России. Ключевая проблема – в точности определений. На мой взгляд, на любое высказывание в Сети найдется свой "оскорбленный", под определение hate speech можно, при желании, подогнать почти все что угодно, - комментирует Дмитрий Гвоздев, генеральный директор компании "Монитор безопасности". – Единственное средство от этого – четкий регламент, какой контент считать незаконным, а какой нет, минимизирующий разночтения и чиновничий произвол в трактовках".

В Германии такой регламент существует, однако это совершенно не обязательно справедливо для других стран Европы. Крупнейшие международные социальные сети, такие как Facebook и Twitter используют комбинацию из "ручных" и автоматических средства обработки пользовательских жалоб. Однако их эффективность часто вызывает вопросы, скандалы и обвинения – либо в попытке ввести цензуру, либо в халатности в отношении "оскорбляющего" контента.

http://www.itsec.ru/newstext.php?news_id=115987

В рамках выступления на конференции Kaspersky Lab Security Analyst Summit специалист немецкой компании Securai Ян Херш (Jan Hoersch) продемонстрировал, насколько уязвимыми являются некоторые популярные устройства из категории "Интернета вещей" (Internet of Things, IoT).

 Эксперт описал проблемы, которым подвержен ряд IoT-устройств, таких как портативные маршрутизаторы. В частности беспроводной мобильный маршрутизатор TP-LINK M5250 содержит уязвимость, позволяющую получить пароль к административной учетной записи устройства и пароль от Wi-Fi сети при помощи простого SMS-сообщения.

 Исследователь также обратил внимание на маршрутизатор производства StarTech, прошивка которого содержит неизменяемый пароль администратора. В результате злоумышленник может получить к устройству доступ по сети или через LAN порт, внедрить вредоносное ПО и распространить его по сети.

 Проблемы были обнаружены и в маршрутизаторах Hootoo TripMate и TrendNet TEW714TRU. В случае Hootoo TripMate уязвимость связана с тем, что обновление прошивки осуществляется через bash файлы. Как пояснил исследователь, просто изменив ряд настроек, можно внедрить bash-скрипт, повысить права на системе и инициировать обновление прошивки. С такой же легкостью неавторизованный злоумышленник может внедрить команды на устройстве TrendNet TEW714TRU через LAN порт и проэксплуатировать уязвимость, позволяющую удаленно выполнить код.

 "Эта [уязвимость] довольно серьезна, так как демонстрирует недоработки в архитектуре устройства - по идее, вы не должны так просто выполнять команды. [TrendNet] выпустила патч, но уязвимость еще существует, хотя для ее эксплуатации требуется авторизация... Это уже начало", - отметил Херш.

 В заключение эксперт призвал компании открывать программы вознаграждения за поиск уязвимостей, хотя бы для того, чтобы специалисты в области безопасности могли связаться с разработчиками.

 "Позвольте исследователям помочь разработчикам. Чрезвычайно важно, чтобы компании поддерживали программы вознаграждения за поиск уязвимостей. Даже если вы не будете выдавать награды, просто предоставьте им [исследователям] возможность раскрыть информацию об уязвимостях, не отправляя по пять электронных писем. Это отнимает слишком много времени - для некоторых независимых исследователей это невозможно. Большинству из нас приходится обнародовать сведения об уязвимостях, потому что связываться с вендорами слишком хлопотно, а так не должно быть", - подчеркнул Херш.

http://www.itsec.ru/newstext.php?news_id=115984

Автор американской программы "Закулисье политики" Джастин Рассел считает, что механизмы проверки новостей на достоверность от Google и Facebook могут позитивно отразиться на ситуации с фейковыми новостями в Сети, но главное здесь — не переборщить. Как передает РИА "Новости", Рассел отметил, что главное, чтобы компании не начали бороться с инакомыслием.

 Рассел напомнил, что в период предвыборной кампании 2016 года в США многие фейковые новости были продвинуты через социальные медиа — Facebook и Twitter. "Многие люди пользуются ими как основным источником информации. До сих пор, когда они видели в Facebook или Twitter новость, которая была похожа на историю, заслуживающую доверия, они воспринимали это как данность. А потом узнали, что это не просто фейковые новости, а попытки повлиять на выборы", — отметил Рассел.

 "Обе стороны этим грешили. Не только республиканцы. Сейчас Facebook и Google хотят проверять факты. Я думаю, что это хорошая вещь", — добавил он.

 Рассел надеется, что речь идет о борьбе с откровенным обманом, а не с альтернативными мнениями. "Есть Fox News, MSNBC и CNN, у них разные точки зрения. С этим не нужно бороться, нужно бороться с такими откровенными фейками, как, например, Pizzagate", — говорит он. При этом эксперт сожалеет, что американцы зачастую "слишком ленивы", чтобы самостоятельно проверять правдивость информации.

 "Пиццагейт" — сетевой скандал, основанный на распространившихся в интернете слухах о том, что экс-кандидат в президенты Хиллари Клинтон якобы возглавляла преступное сообщество по сексуальной эксплуатации детей, центром которого была пиццерия Comet Ping Pong в Вашингтоне. Закусочная начала получать сотни сообщений и телефонных звонков с угрозами от людей, поверивших в слухи.

 Ранее Google запустил функцию фактчека в новостном агрегаторе и поисковых запросах по всему миру. На проверенные публикации в Google News ставится метка Fact Check. Чтобы попасть в эту категорию, издания должны использовать в своих статьях метки из списка ClaimReview от schema.org.

http://www.itsec.ru/newstext.php?news_id=116013

Роскомнадзор заблокировал 547 страниц с пиратскими копиями фильма "Время первых". Как сообщили в ведомстве, блокировки проводятся в рамках предварительных обеспечительных мер на основании определения Мосгорсуда от 24 марта.

 В адрес провайдеров хостинга и владельцев интернет-ресурсов были направлены уведомления о необходимости удалить противоправный контент. На данный момент пиратские копии фильма удалены с 486 интернет-ресурсов, еще 51 ожидают удаления. Еще 10 сайтов заблокированы за неудаление фильма.

 "Время первых" — российская кинолента, рассказывающая о первом выходе человека в открытый космос. Режиссер Дмитрий Киселев, в главных ролях — Константин Хабенский и Евгений Миронов.

http://www.itsec.ru/newstext.php?news_id=116011

Против инициативы Минкомсвязи выступили "СКБ Контур", "Тензор", "Калуга Астрал" и "Инфотекс Интернет Траст", передает "Коммерсантъ". У них вызывает сомнения, каким образом ликвидация целой отрасли, которая сейчас развивается на конкурентных условиях, улучшит условия предпринимательской деятельности. По мнению компаний, нарушения при выдаче квалифицированных электронных подписей (КЭП) устранятся, если удостоверяющие центры (УЦ) получат доступ к сервисам Главного управления по вопросам миграции МВД, ПФР и др. для проверки документов заявителя.

 16 марта Минкомсвязь предложила поправки к закону "Об электронной подписи", по которым частные компании теряют право выдавать КЭП. По мнению авторов, ведомства не могут доверять информации, внесенной в квалифицированный сертификат УЦ, и изменения в законодательстве устранят нарушения идентификации граждан при выдаче КЭП.

 Сейчас Минкомсвязью аккредитованы 400 удостоверяющих центров, которые выдают электронные подписи.

http://www.itsec.ru/newstext.php?news_id=116005

Заявление Моисеева

Правительство России рассчитывает легализовать в стране биткоин и другие криптовалюты в 2018 г. Это будет сделано в рамках борьбы с незаконными переводами и отмыванием денег, о чем сообщил изданию Bloomberg заместитель министра финансов Алексей Моисеев. В настоящий момент Центробанк и правительство вырабатывают совместную позицию по этому вопросу.

По словам Моисеева, при операциях с биткоинами "государству нужно знать, кто в каждый момент времени находится на обоих концах финансовой цепочки. Если происходит транзакция, то люди, которые ее обеспечивают, должны понимать, у кого они купили и кому продают, совершенно как в банковских операциях".

Напомним, что в феврале интернет-омбудсмен Дмитрий Мариничев предложил организовать в Крыму криптовалютные биржи, узаконив использование биткоина на полуострове.

Борьба с мошенничеством

Биткоин, как и другие криптовалюты, привлекателен тем, что с его помощью можно совершать платежи совершенно анонимно. Легализация должна изменить это положение вещей. По мнению Bloomberg, возможность отслеживать биткины поможет Центробанку в его борьбе с отмыванием денег, в ходе которой многие кредитные организации в последние три года потеряли свои лицензии.

В минувшем году благодаря фиктивным сделкам и займам из России было выведено около $771 млн, что в два раза меньше показателя предыдущего года, приводит Bloomberg статистику Центробанка. Уменьшение суммы свидетельствует о том, что мошенники отходят от старых схем и переходят на новые, которые труднее отследить, считает издание. Поэтому меры по контролю биткоинов выглядят своевременными.

Позиция банков

Как отмечает Bloomberg, заявление Моисеева является разворотом на 180 градусов в политике по отношению к криптовалютам в России. В начале 2014 г. Центробанк связал биткоины и прочие виртуальные валюты с понятием "денежного суррогата", предупредив граждан, что расчеты с применением таких средств на территории России будут относиться к сомнительным операциям, связанным с "отмыванием доходов" и "финансированием терроризма".

Однако не все российские банки настроены по отношению к биткоину так категорично. Например, в сентябре 2015 г. глава Сбербанка Герман Греф высказался против гонений на криптовалюты. По словам Грефа, его профессиональный опыт подсказывает, что это не то явление, которое следует запретить. Греф также признался, что сам является владельцем некоторого количества биткоинов.

Действия Минфина

В октябре 2014 г. Минфин предложил установить штрафы для юридических лиц в размере до от p500 тыс. до p1 млн за выпуск и использование денежных суррогатов в России, а также за распространение ПО для их эмиссии. Под денежными суррогатами понимались в том числе криптовалюты. Для рядовых граждан и должностных лиц министерство тоже предусмотрело штрафы – до p50 тыс. и до p100 тыс. соответственно. Более того, штраф должен был налагаться даже за "умышленное распространение информации, позволяющей осуществлять эмиссию денежных суррогатов и операции с их использованием".

В марте 2016 г. Минфин предложил новое наказание за выпуск денежных суррогатов – лишение свободы на срок до 4 лет для рядовых граждан и на срок до 7 лет для руководителей финансовых организаций. Для последних также был предусмотрен штраф в размере от p1 млн до p2,5 млн и лишение права занимать некоторые должности или работать в некоторых сферах на 3 года.

Однако уже в августе 2016 г. Минфин признал, что в подготовленный законопроект следует внести изменения. Как сообщал на тот момент Моисеев, главной задачей министерства была защита права Центробанка заниматься выпуском денежных знаков. Что касается прямого запрета криптовалют, то он начал казаться Минфину нерациональным в свете бурного развития технологий.

Что такое Bitcoin

Bitcoin – самая популярная в мире криптовалюта, которая, согласно официальной версии, была создана в 2009 г. программистом, известным под именем Сатоши Накамото (Satoshi Nakamoto). Он же создал программное обеспечение, которое позволяет людям "добывать" биткоины, производя на компьютере сложные криптографические вычисления. Истинное имя и личность создателя биткоинов неизвестны.

Биткоины – это децентрализованная валюта. Это значит, что отсутствует единая инстанция, выпускающая и контролирующая монеты, которая была бы способна влиять на их курс и объем в сети, блокировать транзакции, счета и т. д. Биткоинами распоряжается только их владелец. Валюта стала популярной после того, как в 2013 г. курс превысил $1000 за монету. Сейчас одна монета стоит около $1215, но в марте 2017 г. курс достигал рекордной отметки в $1327.

http://www.itsec.ru/newstext.php?news_id=115996

Страны "большой семерки" выступили в поддержку идеи о предоставлении спецслужбам систематического доступа к зашифрованной переписке пользователей в интернете. Такой вывод следует из заявления глав МИД стран G7 по итогам встречи в Италии, передает RNS.

 "Растущий масштаб использования сервисов общения с использованием сквозного шифрования (end-to-end encrypted communication) делает их контент недоступным для правоохранительных органов и спецслужб. Мы наладим контакты с бизнесом и другими партнерами, чтобы найти решение, которое позволит правительствам законно и на систематической основе, по просьбе компетентных органов, получать критически важные данные и контент", — говорится в сообщении.

 Отмечается, что разрешение такого доступа должно "способствовать расследованиям уголовных преступлений и обеспечит отсутствие свободных пространств (в интернете. — ред.), где в онлайн-режиме могут общаться террористы".

http://www.itsec.ru/newstext.php?news_id=116032

Наибольшее количество нарушений зафиксировано на территории Центрального и Южного федеральных округов. Всего с начала года составили 51 протокол об административных правонарушениях. В 1% случаев они были связаны с отсутствием блокировки доступа к запрещенной для распространения информации.

 Рейды по контролю обязательной идентификации пользователей при коллективном доступе в Интернет проводятся надзорным ведомством на регулярной основе. Их результаты говорят об улучшении дисциплины организаторов сетей, считают в Роскомнадзоре.

http://www.itsec.ru/newstext.php?news_id=116026

Легализовать интернет-торговлю алкоголем

В распоряжении СМИ оказались рукописные замечания сотрудника Администрации Президента России (АП) к проекту дорожной карты "Интернет+торговля", подготовленному Ассоциацией компаний интернет-торговли (АКИТ) для Игоря Щеголева, помощника Президента России. После утверждения этот документ будет представлен Владимиру Путину.

В числе прочего АКИТ предлагает легализовать интернет-торговлю алкоголем. В 2007 г. с принятием Правил дистанционной торговли, этот вид деятельности был запрещен. А с 2014 г., после запрета продаж алкоголя в ночное время, Роскомнадзор по решениям региональных судов стал активно блокировать интернет-магазины, работающие по ночам.

Несмотря на это, подпольная интернет-торговля алкоголем процветает, отмечают в АКИТ: ее ежегодный прирост составляет 29%, и это самый быстрорастущий сегмент дистанционных продаж.

Сотрудник АП, оставивший на полях дорожной карты рукописные комментарии, согласился с тем, что дистанционные продажи алкоголя следует легализовать, но необходимо проработать ограничения торговли спиртным после 23:00 в зависимости от региона.

Продавать алкоголь только при предъявлении паспорта и банковской карты

В АКИТ пояснили СМИ, что Ассоциация уже разработала план ограничений дистанционных продаж алкогольной продукции. Каждый интернет-магазин должен быть подключен к Единой государственной автоматизированной системе продажи алкогольной продукции (ЕГАИС).

При переходе на сайте интернет-магазина в раздел алкогольной продукции на экране у покупателя появится всплывающее окно (pop-up), где его предупредят о вреде алкоголя и потребуют подтвердить, что возраст покупателя превышает 18 лет.

Далее покупателю покажут каталог алкогольной продукции. При выборе способа оплаты покупателя предупредят о необходимости предъявить документ, удостоверяющий личность, и сообщат, что оплата возможна только банковской картой при предъявлении курьеру.

Оплата банковской картой на сайте или наличными курьеру будет недоступна, также будет отсутствовать возможность оплаты бонусными баллами. Если покупатель будет настаивать на таких способах оплаты, то алкоголь будет исключен из его корзины. В то же время, если покупатель оформляет разную продукцию, то он сможет ее разделить: алкоголь можно будет оплачивать только путем предъявления банковской карты курьеру, остальные товары можно будет оплатить иным способом.

При заказе через call-центр будет действовать аналогичная процедура: оператор предупредит о вреде алкоголя и о необходимости предъявить документ, удостоверяющий личность. Перед отгрузкой алкоголя на складе интернет-магазина с него будет считан штрих-код акцизной марки, сам товар будет упакован в отдельный пакет.

Ограничения по времени и месту

Курьер, доставляющий алкоголь, должен будет удостовериться, что дата, время и место доставки алкогольной продукции не противоречат законодательству. То есть не допускается продажа алкоголя в ночное время, в определенные дни (например, 1 сентября), а также в определенные места (образовательные и медицинские учреждения и т.п.). Также будут соблюдаться и иные ограничения, накладываемые законодательством субъектов Федерации.

Курьер должен будет проверить документ, удостоверяющий, что возраст покупателя превышает 18 лет, и получить его банковскую карту. Возможность оплатить алкогольную продукцию наличными будет заблокирована на терминале курьера.

Если покупатель откажется предъявлять банковскую карту, курьер изымет алкоголь из его заказа. Терминал курьера должен быть оборудован 2D-сканером (встроенным или внешним) с подключением к интернету.

Контроль возврата

Курьеру необходимо будет просканировать штрих-код подаваемой им алкогольной продукции и передать соответствующую информацию установленному у интернет-магазина универсальному транспортному модулю ЕГАИС. В случае получения одобрения терминал распечатает QR-код (терминал должен иметь соответствующую возможность) и продажа будет осуществлена, а информация об этом будет передана в ЕГАИС.

В случае возврата товара на складе будет проведено считывание его штрих-кода и сравнение со штрих-кодом акцизной марки, считанным при отгрузке товара. Это необходимо для исключения возможности подлога товара.

В АКИТ рассчитывают, что легализация интернет-продаж приведет к появлению "белого" рынка алкогольной продукции, который в 2018 г. составит 3% от общего объема продаваемой в России алкогольной продукции.

http://www.itsec.ru/newstext.php?news_id=116021

Депутат Госдумы Виталий Милонов и депутат заксобрания Ленинградской области Владимир Петров (соавтор законопроекта о запрете доступа к соцсети детей младше 14 лет) обратились в Роскомнадзор и Генпрокуратуру РФ с просьбой проверить "ВКонтакте" на предмет соблюдения пользовательского соглашения. Как подозревают депутаты, соцсеть не выполняет собственное внутренне правило, по которому доступ к ресурсу могут получать только лица старше 14 лет, сообщают "Известия".

 В письме к Роскомнадзору Петров отметил, что пользовательское соглашение "ВКонтакте" устанавливает запрет на регистрацию лиц младше 14 лет, а также пользователей, предоставляющих недостоверные данные. Кроме того, депутаты направили письмо гендиректору холдинга Mail.ru Group Борису Добродееву с просьбой провести проверку деятельности пресс-секретаря соцсети, который, по их мнению, распространяет "недостоверную информацию".

 Как указывается в пункте 5.2 пользовательского соглашения "ВКонтакте", при регистрации пользователь обязан предоставить достоверные и актуальные данные, включая имя и фамилию. Согласно пункту 5.3 "пользователем сайта является физическое лицо... достигшее возраста, допустимого в соответствии с законодательством Российской Федерации для акцепта настоящих правил".

 По словам юриста Люмилы Харитоновой, формулировки соглашения не достаточно ясно разъясняют, с какого возраста можно пользоваться соцсетью - с 14 лет или с 18. Однако о детях до 14 лет речь точно не идет, отмечает Харитонова.

 Как пояснил пресс-секретарь "ВКонтакте" Евгений Красников, учетные записи на сайте привязаны к номеру мобильного телефона, а договор с оператором связи может заключить только лицо, достигшее 14 лет, у которого уже есть паспорт.

 По словам представителя Роскомнадзора, весной ведомство получает большое число обращений "разной степени экстравагантности". Надзорная служба рассмотрит обращение депутатов в установленном порядке, когда оно будет получено.