Италия будет использовать Tor для борьбы с коррупцией

Италия будет использовать Tor для борьбы с коррупцией

Италия будет использовать Tor для борьбы с коррупцией

Антикоррупционное Управление Италии (ANAC) запустило национальную онлайн-платформу для анонимных сообщений о взяточничестве. В основе работы платформы — технологии “луковой маршрутизации” (Tor), позволяющие анонимно обмениваться информацией и защищать таким образом личность доносчиков.

Технологии ЛМ используются миллионами людей, чтобы избежать слежки и цензуры. Защита конфиденциальности Tor позволяет работать активистам и журналистам, а также дает обычным людям безопасный доступ к заблокированным ресурсам.

Сегодня использование технологий анонимности становится юридическим требованием, которое предъявляют к государственным органам и корпорациям. Одним из первых прецедентов стало введение Xnet в мэрии Барселоны.

Многие национальные законы (например, итальянский Dlgs. 231/2001) требуют от компаний ввести системы управления, снижающие риски для осведомителей. Тем не менее, большинство законов о разоблачении защищают доносчиков только в тех случаях, когда их личность уже стала известной, что ставит под угрозу людей, сообщающих о коррупции. 

В 2016 году Международная организация по стандартизации (ISO) выпустила новую модель для организаций, которые создают и используют системы борьбы со взяточничеством, ISO 37001:2016. Чтобы соответствовать стандартам ISO, компании, осуществляющие антикоррупционные процедуры, должны обеспечить возможность анонимной отчетности. Это указано в пункте 8.9 раздела с ISO 37001:2016.

Кроме того, некоторые национальные законы (например, последний итальянский 179/2017) требуют принятия IT-систем для информирования, что практически приводит к интеграции и использованию Tor. Именно для соблюдения этих стандартов итальянское Антикоррупционное Управление запустило свою национальную онлайн-платформу на базе технологий ЛМ. О запуске платформы сообщается на официальном сайте ANAC.

“Учитывая, что Tor является самым мощным анонимайзером в интернете, мы ожидаем, что использование ЛМ для безопасных систем связи во всех секторах продолжит набирать обороты”, — написали представители Tor в своем блоге.

Хотя проект Tor, помогающий пользователям оставаться анонимными в интернете, с каждым годом набирает популярность, возникает все больше споров о том, действительно ли браузер Tor обеспечивает полную анонимность

В конце прошлого года мы писали, какие предпринимались атаки деанонимизации на Tor.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В YouTube закрыли лазейки, раскрывающие почту пользователей

Google устранила две уязвимости, которые в связке позволяли раскрыть адреса электронной почты пользователей YouTube. Для тех, кто пытался использовать видеохостинг анонимно, это была серьёзная проблема.

На бреши обратили внимание исследователи Brutecat (brutecat.com) и Натан (schizo.org). По их словам, YouTube и API Pixel Recorder можно было использовать для получения идентификаторов пользователей и конвертации их в имейлы.

Поскольку платформой пользуются многие активисты и информаторы государственного уровня, эксплуатация описанных уязвимостей может угрожать раскрытием их личностей.

Первую часть этого вектора атаки выявил Brutecat после изучения API Google Internal People. Как обнаружил исследователь, функциональность «blocking» требует обфусцированные данные Gaia ID и отображаемое имя.

Gaia ID — уникальный внутренний идентификатор, который Google использует на всех своих веб-ресурсах. Этот идентификатор предназначается исключительно для использования внутри проектов интернет-гиганта и не должен «торчать наружу».

После ряда тестов Brutecat выяснил, что при попытке заблокировать кого-либо в чате на YouTube платформа раскрывает обфусцированный Gaia ID пользователя. Это происходит в ответ на API-запрос /youtube/v1/live_chat/get_item_context_menu.

Зашифрованные base64 данные при раскрытии как раз выдавали идентификатор:

 

Модифицируя упомянутый вызов API, Brutecat смогут получить Gaia ID любого канала на YouTube, включая тех, кто пытался скрыть свои данные. После этого специалисты начали думать, как добыть имел при наличии идентификатора Gaia.

Тут в дело вступил Натан, который нашёл Pixel Recorder — API, позволяющий конвертировать Gaia ID в адрес электронной почты.

 

Исследователи передали Google информацию о проблеме в сентябре 2024 года. А в этом месяце разработчики устранили уязвимость.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru