Результаты поиска по запросу
Дополнительные фильтры
Теги:
новый тег
Автор поста
Рейтинг поста:
-∞050100150200300400+
Найдено: 572
Сортировка:
http://astronaut.io/
Сервер в настоящее время тянет в видео ежедневно с YouTube. Критерии поиска - это [TAG] XXXX со временем загрузки на этой неделе, где тег является необработанным видео префиксом, такими как «DSC» или «IMG». Этот поиск является хорошим набором домашних видео, созданных в последнюю неделю.
в продолжении темы http://joyreactor.cc/post/4741732
МВД готовит законопроект о запрете размещения фото-видео материалов и информации о высоком уровне жизни за рубежом, для предотвращения протестного настроения среди населения Казахстана.
«Как закон будет принят, казахстанцы не смогут показывать благополучие других стран, и народу будет не с чем сравнивать, так мы хотим предотвратить протесты до их начала» - Сказал журналистам Глава МВД. qaznews24
Как я нашел в публичном доступе исходники нескольких сервисов ФНС
Предыстория
Страница приложения «Проверка чеков» в App Store
Страница входа в Sentry команды Studio TG Страница входа в GitLab команды Studio TG 
Как-то так.
Возьмём приложение «Проверка чека» и разберемся что оно делает и зачем ваще кому-то понадобилось проверять чеки с помощью приложения.
Суть приложения «Проверка чеков»
Я не помню как это работало раньше, но с 2016-2017 годов, благодаря 54-ФЗ «О применении ККТ» появились некие ОФД с целью «...осуществления операций по приёму, обработке, хранению и передаче фискальных данных в ФНС», а всех кого только можно обязали использовать кассовое оборудование, генерирующее те самые фискальные данные и что немаловажно, обязали эти данные посредством ОФД передавать в ФНС.
Если у вас тоже немного припекает от всех этих аббревиатур, то вот вам терминальная стадия аббревиатуринга в лице названия организации которая отвечает за приложение «Проверка чека» — ФГУП ГНИИВЦ ФНС РФ.
К этому моменту — мы еще вернёмся, кстати.
Прикладной смысл вышеописанного очень лёгко понять на примере сервиса заказа еды.
После заказа вы получаете на почту электронный чек, это и есть те самые фискальные данные. Отправляет их в ваш адрес, однако, не сервис заказа еды, а именно ОФД, которое используется сервисом, в данном случае — Яндекс
Любой подобный чек всегда содержит несколько обязательных идентификаторов в натуральном виде и в виде QR-кода, который можно отсканировать с помощью исследуемого нами приложения «Проверка чека».
В итоге, в приложении «Проверка чека», появляется электронная копия данного чека и тут я хочу обратить ваше внимание на атрибутивный состав кортежа с данными, а именно, на полный и детальный список чего и когда и за сколько денег моя персона приобрела, это — важно.
Но всё бы ничего, если бы не один недавний апдейт данного поделия, который и привёл меня в ужас. До недавних пор приложение оперировало лишь теми данными которые ты сам соизволил туда засунуть путём сканирования QR-кодов и не представляло, ни особого интереса, ни особой угрозы личной безопасности.
Всё изменилось две недели назад после обновления 2.15.0 в рамках которого был выкачен функционал «отображение чеков из сервиса Мои Чеки Онлайн».
История версий приложения «Проверка чека»Обновление 2.15.0
Если пройти аутентификацию в приложении «Проверка чека» указав номер телефона, который вы так же используете в популярных сервисах, например, в Яндекс.Еде, Яндекс.Такси, Самокате, Ситимобиле и других, то в разделе «Мои чеки» автомагически будут отображены все ваши чеки по всем операциям в этих сервисах за «всё время».
В моём случае, это порядка 400 чеков, каждый из которых содержит детальный набор «сколько, за что, когда и куда».
Мне сразу же стало интересно насколько хорошо подобный массив данных защищен и может ли предполагаемый злоумышленник получить несанкционированный доступ к нему.
Для исследования я поставил в разрыв между интернетом и приложением «Проверка чека» простой прокси и записывая сетевую активность приложения потыкал в кнопки.
Довольно быстро выяснилось, что эндпойнт с данными находится по адресу irkkt-mobile.nalog.ru:8888 на котором живёт простейшее приложение на NodeJS с применением фреймворка Express, а механизм аутентификации пользователя пускает тебя к данным, если ты верно указал заголовок «sessionId» значение которого представляет из себя какой-то самопальный токен генерирующийся на стороне сервера.
При этом, если нажать кнопку «Выйти» в приложении «Проверка чека», то как оказалось, инвалидации данного токена не происходит. Так же нет функционала просмотра всех своих сесссий и нет кнопки «Выйти на всех устройствах».
Таким образом даже если вы каким-то образом поняли что токен доступа был скомпрометирован, то нет никакой возможности его сбросить и тем самым гарантировать с этого момента отсутствие у предполагаемого злоумышленника доступа к вашим данным.
Крайне безответственно, но не фатально.
SentryВ процессе просмотра «улова» на промежуточном прокси я обратил внимание, что в случае крэша приложения оно отправляет диагностические данные в Sentry располагающийся по адресу не связанному, ни с ФНС, ни с ФГУП ГНИИВЦ ФНС РФ, а на домен зарегистрированный на физическое лицо — sentry.studiotg.ru.
Дальнейшее исследование эндпойнта привело к ссылками на публичные репозитории в этом Гитлабе находящиеся в индексе Гугла уже более года.
Содержимое публичных репозиториевзаставило меня биться в истерике.
Публично доступный репозиторий ansible_conf/install_geo Содержимое архивов из репозитория ansible_conf/install_geo 
Пояснение к скриншоту выше: папки содержащие подстроки «lkio», «lkip», «lkul» напрямую относятся к одноименным сервисам ФНС на домене nalog.ru.
Содержимое папки lkip-web-login, это — исходный код сервиса lkip2.nalog.ru 
Для сверки, что обнаруженные исходники действительно относятся к сервисам ФНС, проведена простая проверка наличия на боевом веб-сервере файла uppod-styles.txt, который не мог там оказаться по случайному совпадению.
uppod-styles.txt на сайте lkip2.nalog.ru Содержимое файла .env судя по всему прямиком с боевых серверов В итоге
Фактический разработчик мобильного приложения «Проверка чека» некая studiotg.ru.
Вероятно есть нарушение соглашений об обработке персональных данных в силу передачи диагностических сведений со стороны ФГУП ГНИИВЦ ФНС РФ в адрес третьих лиц.
Данные ребята так же причастны к разработке сервисов lkip.nalog.ru, lkul.nalog.ru и lkio.nalog.ru.
По их вине исходный код данных сервисов находится в публичном доступе уже около года.
Исходя из общей картины, предположу, что данные о ваших покупках попадающие в ОФД путём информационного обмена фискальными данными с ФНС, на текущий момент, находятся под угрозой утечки.
Умер ещё один врач больницы, в которой после отравления лежал Навальный
Российского оппозиционера Алексея Навального вывозят из омской больницы № 1, 22 августа 2020 года.
Заведующий отделением травматологии и ортопедии омской больницы скорой помощи № 1 Рустам Агишев скончался в возрасте 63 лет, официальная причина смерти — инсульт, сообщил российский новостной сайт «Тайга.инфо».
Именно в эту больницу в августе прошлого года доставили в бессознательном состоянии Алексея Навального. Соратники российского оппозиционера до сих пор настаивают на том, что администрация и персонал клиники знали истинные причины произошедшего с Навальным, но по приказу ФСБ поставили ему ложный диагноз и пытались скрыть следы отравления боевым химическим веществом.
Сообщается, что врач Агишев проработал в омской больнице № 1 30 лет. Руководитель клиники Евгений Осипов назвал его уход «невосполнимой утратой для всего медицинского сообщества».
За последнее время это уже не первая смерть в руководящем составе омской больницы № 1. В начале февраля в возрасте 55 лет скончался заместитель главного врача клиники Сергей Максимишин, официальная причина его смерти — сердечный приступ.
Ранее еще один заместитель главного врача, Анатолий Калиниченко, уволился из больницы. Медик утверждал, что переход на новое место работы, в частную клинику, связан с тем, что он «любит хирургию больше, чем администрирование».
Здесь мы собираем самые интересные картинки, арты, комиксы, мемасики по теме (+572 постов - )
Наши любимые теги
Топ комментов
А бывает, комменты лучше постов. Смотрим топ тредов и вникаем!
Отличный комментарий!