Разработчик СОРМ ищет способы взлома мессенджеров для реализации закона о тотальной слежке
Российские компании приступили к решению задачи по получению доступа к переписке пользователей WhatsApp, Viber, Facebook Messenger, Telegram и Skype в рамках реализации "пакета Яровой".То, о чём в совсем недавно проговорилась госпожа Касперская, похоже, всё-таки имеет под собой реальную почву. Власти всерьёз решили подойти к взлому мессенджеров — российская компания Con Certeza, разработчик систем «легального контроля» (СОРМ-3) на сетях операторов мобильной и фиксированной связи, ищет подрядчика для проведения исследования по возможности перехвата и расшифровки трафика таких мессенджеров как WhatsApp, Viber, Facebook Messenger, Telegram, Skype. Об этом пишет «Ъ» со ссылкой на копию переписки сотрудника Con Certeza с техническим специалистом одной из российских компаний в сфере информационной безопасности (ИБ). Подлинность переписки подтвердили техспециалист и гендиректор этой компании.
От потенциального исполнителя требуется «рассмотреть основные мессенджеры — WhatsApp, Viber, Facebook Messenger, Telegram, Skype для платформ iOS и Android. Подготовить экспертное заключение по возможности перехвата чувствительных данных, то есть идентификаторов сторон общения, паролей, сообщений, при работе с копией трафика, и продемонстрировать прототип, если есть возможность», — говорится в документе. То же самое необходимо сделать и с технологией MITM (атака Man-In-The-Middle, которую глава ОЗИ Леонид Волков назвал «фактически хакерской атакой») и по возможности «продемонстрировать прототип на локальном стенде».
Начать исследование предлагается с Viber. На изучение одного мессенджера отводится два месяца. Оплата работ за каждый мессенджер – 130 000 руб. за выполнение основной части исследования и бонус в 230 000 руб. «в случае получения идентификаторов сторон либо текста при использовании MITM». В качестве цели исследования указывается «реализация или аргументация о невозможности реализации (функций перехвата) в системах СОРМ согласно нормативным требованиям к операторам сотовой связи», пишет сотрудник Con Certeza. Сотрудник ИБ-компании рассказал изданию, что «готов взяться за работу, если по окончании ее результат будет выложен публично, на что получил отказ».
Исследование Con Certeza будет сосредоточено на возможности получения информации о самом факте общения пользователей, «их переписки и в случае успешной реализации MITM подмены ее содержания»,— оценивает описание задач гендиректор Qrator Labs Александр Лямин. По его оценке, уязвимость к перехвату топовых мессенджеров на «черном рынке уязвимостей» может стоить десятки тысяч долларов.
По данным kartoteka.ru, 76% ООО «Кон Цертеза» принадлежит Михаилу Лемешеву, а 24% — ООО «НЛП Груп», которым также владеет Лемешев и ООО «Кон Цертеза».
ФСБ, Минкомсвязь и Минпромторг обсуждают варианты технических решений, которые позволили бы получить доступ ко всему интернет-трафику россиян, однако специалисты еще до принятия «закона Яровой» сомневались в возможности этого применительно к мессенджерам, использующим end-to-end шифрование (то есть когда ключ от переписки формируется на конечном устройстве, например, смартфоне пользователя).
Консультант по интернет-безопасности Cisco Алексей Лукацкий указывает, что до сих пор не удавалось организовать массовый доступ к переписке в мессенджерах. «Поэтому заключение о возможности перехвата, скорее всего, будет отрицательным и никакого прототипа тут быть не может», — сказал он.
Однако в Digital Security (консалтинговая компания в области информационной безопасности) считают, что теоретически перехватывать зашифрованный трафик от популярных мессенджеров возможно. Перед началом переписки они обмениваются публичными частями криптографических ключей, которые можно подменить. Но существуют технологии, нацеленные на защиту от такого типа атак, – Key Pinning. Они привязывают конкретные сертификаты к конкретному веб-сайту или приложению. «Мессенджеры, как и другие приложения, например банковские клиенты, использующие Key Pinning, откажутся работать в случае подмены сертификата для защиты пользователя», – поясняют в компании.
Ранее сообщалось, что идею о доступе к трафику обсуждают ФСБ, Минкомсвязь и Минпромторг. Нашумевший пакет антитеррористических поправок Ирины Яровой уже обязывает операторов связи хранить интернет-трафик, но сам по себе без дешифровки он бесполезен, поэтому спецслужбы хотят его расшифровать. Свои методы дешифровки трафика предлагают разного рода интегрированные в государственные проекты IT-компании, однако большинство из них выглядят весьма утопично (и слава богу!), не говоря уже о том, что предлагаемые ими способы перлюстрации переписки незаконны.
Источник: https://rublacklist.net/21755/
