За последние 48 часов в центре внимания оказались безопасность и приватность в мессенджерах.
Исследователи из InterSecLab и RKS Global опубликовали анализ нацмессенджера MAX. По их данным, приложение спроектировано так, что оператор может удалённо включать и выключать функции слежки и цензуры для отдельных аккаунтов — без обновления приложения и без уведомления пользователя. В MAX нет сквозного шифрования: «секретные» чаты — это лишь сообщения с таймером исчезновения, а серверы могут читать переписку. Адресная книга загружается на серверы в открытом виде. Приложение перестаёт работать при обнаружении VPN. Серверы сканируют переписку и ссылки, а голосовые сообщения транскрибируются и анализируются. Кроме того, MAX содержит несколько систем телеметрии и сопротивляется изучению — завершает работу при обнаружении инструментов анализа. Для пользователя XConnect это важно, потому что показывает, насколько разными могут быть модели приватности у мессенджеров и почему стоит внимательно относиться к тому, какие данные и как передаются.
Второй материал — перевод исследования уязвимости в Telegram Desktop, связанной с поддержкой прокси. Контролируемый прокси мог одним ответом 407 Proxy Authentication Required заставить приложение и библиотеку Qt незаметно запустить системную NTLM-аутентификацию Windows. В лаборатории подтвердили возможность relay-атаки вплоть до выполнения кода с правами SYSTEM, а также утечку до 65 КБ памяти за обмен. Исследователи передали отчёт в Telegram, и исправление появилось, но их имена не были указаны в публичной атрибуции. Для пользователя XConnect это напоминание: даже инструменты для чебурнет «чебурнета» могут иметь собственные уязвимости, и их стоит обновлять.
Также сообщалось о взломе криптобиржи Bitget: по уточнённым данным, украдено около $351,6 млн. Пострадали горячие и тёплые кошельки, холодные хранилища не затронуты. Биржа обещает покрыть убытки из собственного фонда. Для пользователей XConnect это сигнал о рисках централизованных сервисов.
В теме доступности сервисов — жалобы россиян на недоступность Steam. Больше всего обращений из Москвы и Подмосковья, Алтайского и Ставропольского краёв, Чечни, Хакасии и Курской области. Пользователи сообщают об ошибках 118 и 105, в некоторых случаях помогает VPN. Ранее сбои уже фиксировались в конце августа и первой половине сентября.
В регулировании обсуждают инициативу Минфина ввести НДС 22% на товары электронной трансграничной торговли — вариацию «налога на Google». Также предложен таможенный сбор 100 рублей за посылку стоимостью до 200 евро. Для пользователя XConnect это означает возможное удорожание зарубежных покупок и подписок.
Наконец, техническая заметка о Russian Trusted Root CA: стандартный мониторинг не видит сайты на сертификатах Минцифры, потому что этот корень не входит в международные хранилища доверия. Автор предлагает двухпроходную проверку с ограничением по доменным зонам .ru, .su, .рф. Для пользователя XConnect это полезно как пример аккуратной работы с доверием к сертификатам.
В целом период показал, что темы приватности, доступности и регулирования остаются взаимосвязанными. Данных по некоторым сюжетам немного, поэтому следим за развитием.