Уязвимости в мессенджерах Signal, Facebook и Google позволяли видеть собеседника, даже если он не разрешил звонок
Специалист по кибербезопасности из Google Project Zero Натали Сильванович отчиталась, что ряд сервисов по обмену сообщениями устранили обнаруженные ею уязвимости. В прошлом году она приватно уведомила разработчиков некоторых мессенджеров, включая Signal, Facebook Messenger и Google Duo, о том, что логика работы этих приложений позволяет злоумышленнику шпионить за жертвой.
В блоге на сайте команды Google Project Zero Натали Сильванович (Natalie Silvanovich) описала свое исследование безопасности популярных приложений для общения. Работу она провела в 2020 году и, в соответствии с негласным кодексом так называемых белых хакеров, опубликовала результаты после того, как уязвимости устранили.
Натали проанализировала логику работы функций видеосвязи в приложениях Signal, Facebook Messenger, Google Duo, JioChat и Mocha. На такой шаг ее сподвигло не только любопытство, но и ранее приобретенный опыт. Дело в том, что около двух лет назад в функции FaceTime на устройствах Apple обнаружили пренеприятную уязвимость: без ведома жертвы злоумышленник мог захватить картинку с камеры телефона.
Причем дело не во взломе приложения, а в использовании некорректной логики работы самой подсистемы видеосвязи. На уровне обмена пакетами с подтверждением связи инициирующая соединение сторона может подменить разрешение на передачу картинки от целевого пользователя. И проблема в том, что на стороне жертвы программа эту манипуляцию посчитает легитимной, даже без действий пользователя.
Да, у такой схемы есть ограничения. Во-первых, необходимо инициировать звонок и сделать это определенным образом. То есть жертва всегда будет иметь возможность отреагировать. Во-вторых, порция полученных в результате такого шпионажа данных будет весьма ограничена. Картинка-то фиксируется с фронтальной камеры — и не факт, что она смотрит куда нужно злоумышленнику. К тому же жертва увидит звонок и либо примет его, либо сбросит. Иными словами, скрытно можно удостовериться только в том, кто возьмет смартфон в руки, когда тот зазвонит.
Но ситуация все равно неприятная, да и таких сведений иногда может быть достаточно. Натали нашла подобные уязвимости во всех вышеописанных приложениях. Их механизм работы различался от мессенджера к мессенджеру, но принципиально схема оставалась той же. Хорошая новость для любителей Telegram и Viber: они такого изъяна лишены, с их видеозвонками все в порядке. По крайней мере, пока проблем не выявлено.
В Google Duo уязвимость закрыли в декабре прошлого года, в Facebook Messenger — в ноябре, JioChat и Mocha обновились еще летом. А вот раньше всех аналогичную ошибку исправил Signal, еще в сентябре 2019 года, но этот мессенджер и исследовали первым. Таким образом, специалисты по кибербезопасности лишний раз напомнили о необходимости регулярных обновлений установленных приложений. Можно не знать о серьезной проблеме, но разработчики уже ее исправили.
Сильванович отдельно отмечает, что она проанализировала только функцию видеозвонков между двумя пользователями. То есть лишь тот случай, в котором соединение устанавливается между «абонентами» напрямую. В своем отчете она анонсировала следующий этап работы — групповые видеоконференции в популярных мессенджерах.
Telegram 
Дзен 
VK Ученые из МФТИ и ИППИ РАН выяснили, что у квантовых полей вблизи черных дыр (или ускоренно расширяющейся Вселенной) есть «порог нагрева». До этого порога чем выше температура, тем быстрее поле «забывает» свое прошлое. А выше порога нагрев уже не помогает: скорость забывания становится постоянной и определяется не температурой, а самой формой пространства (например, размером горизонта).
Почему один человек легко заводит друзей, а другой предпочитает держаться в стороне? Откуда берется привычка все планировать? Почему некоторые люди сомневаются в себе? Международный коллектив ученых проанализировал данные о геномах миллиона человек и выявил 1260 независимых генетических вариантов, связанных с основными пятью чертами личности человека. Результаты исследования показали, что на индивидуальные особенности личности влияет не только воспитание, опыт и окружающая среда, но также гены.
Исследователи из МФТИ и Объединенного института высоких температур РАН определили, при каких условиях квазиклассические модели водородной плазмы начинают давать нефизичные результаты. Ученые показали, что при достаточно сильном взаимодействии частиц такие модели перестают правильно учитывать квантовые эффекты, связанные с принципом Паули. В результате в расчетах возникают нефизичные электрон-ионные кластеры, а моделируемая система теряет устойчивость.
Группа российских исследователей, в которую вошли океанологи Санкт-Петербургского университета, выявила существование ранее неизвестных механизмов распространения «волн Россби». В ходе работы им удалось зафиксировать точки, где перенос энергии прекращается, а траектории движения воды претерпевают изменения. Дополнительно ученые обнаружили асимметрию в динамике волновых процессов, зарождающихся у западных и восточных прибрежных течений.
Американские арахнологи открыли в Скалистых горах на севере Айдахо новый вид паука из рода Hexura, представители которого прежде встречались лишь на северо-западе США и в Канаде. Обнаруженная группа живет примерно в 500 километрах восточнее известного науке ареала. Пауки Hexura тесно связаны с местом обитания и не расселяются на большие расстояния, поэтому ученым еще предстоит выяснить, как новый вид оказался так далеко от известных популяций.
Европейская колонизация резко изменила жизнь коренных народов Австралии и поставила под угрозу их связь с традиционными землями. Археологи изучили наскальное искусство на севере континента и выяснили, что после начала контактов художники стали чаще изображать гигантских мифических существ, включая почти семиметрового змея.
Американская компания Firebird официально запустила в городе Раздан крупный центр обработки данных и фабрику искусственного интеллекта. На сегодняшний день это самый масштабный технологический хаб подобного уровня в СНГ, а после завершения всех этапов строительства он войдет в пятерку самых мощных вычислительных кластеров в мире.
Сопротивление жителей Европы самой идее употребления насекомых в пищу может иметь эволюционные корни, уходящие вглубь тысячелетий, пришли к выводу авторы нового исследования. Оказалось, предки современных европейцев ели насекомых лишь эпизодически. Кроме того, из-за генетических мутаций они плохо переваривали их экзоскелеты.
После сокращения длины очередей и роста доступности бензина в первую неделю августа ситуация снова ухудшилась. Если с 20 июня по начало августа кризис носил в основном психологический характер, то сейчас ситуация принципиально иная: августовские атаки на НПЗ показали, что меры по усилению их противовоздушной обороны не были достаточно полными. Значит, прогноз автора Naked Science от 19 июля о том, что острая фаза кризиса закончится до конца лета, был частично неверным.
Вы попытались написать запрещенную фразу или вас забанили за частые нарушения.
Понятно
Что-то в вашем комментарии показалось подозрительным, поэтому перед публикацией он пройдет модерацию.
Понятно
Из-за нарушений правил сайта на ваш аккаунт были наложены ограничения. Если это ошибка, напишите нам.
Понятно
Наши фильтры обнаружили в ваших действиях признаки накрутки. Отдохните немного и вернитесь к нам позже.
Понятно
Мы скоро изучим заявку и свяжемся с Вами по указанной почте в случае положительного исхода. Спасибо за интерес к проекту.
Понятно
Последние комментарии