Google, Facebook, Microsoft, Twitter создали проект передачи данных

Google, Facebook, Microsoft, Twitter создали проект передачи данных

Google, Facebook, Microsoft, Twitter создали проект передачи данных

Крупнейшие интернет-гиганты Google, Facebook, Microsoft и Twitter объединились, чтобы объявить о создании новой инициативы под названием «Data Transfer Project», которая разработана для передачи данных между платформами этих корпораций.

В своем блоге Google описала этот проект так:

«Он позволит пользователям передавать данные напрямую из одного сервиса в другой, без необходимости скачивать и повторно загружать их».

Текущая версия новой системы поддерживается передачу данных для фотографий, электронной почты, контактов, календарей и задач. Для этого используются официальные API от Google, Microsoft, Twitter, Flickr, Instagram, Remember the Milk и SmugMug.

Авторы нового проекта надеются, что он станет более надежной и гибкой альтернативой традиционным API. У себя в блоге Microsoft призвала другие компании присоединиться к этой инициативе.

Актуальный код проекта доступен на GitHub, там же находится небольшая инструкция. Этот код позволяет переводить проприетарные API в совместимую передачу, таким образом, данные Instagram будут работоспособными в Flickr и наоборот.

Разработчики также создали систему шифрования передаваемых данных, секретные ключи будут выдаваться для каждой передачи. Стоит отметить, что эта система ориентирована на одноразовые передачи, а не на непрерывную функциональную совместимость, предоставляемую многими API.

«Цифровое будущее должно быть более гибким и открытым. Мы надеемся, что наш проект поможет установить связь между любыми интерфейсами различных продуктов, что позволит импортировать и экспортировать данные на другом уровне», — пишут разработчики.

На данный момент основная часть кода была написана разработчиками Google и Microsoft, эти две корпорации уже давно думают над созданием более надежной системы передачи данных. Сам идея, по словам авторов, возникла из-за разочарования в доступных вариантах управления данными, которые решали проблему передачи данных только наполовину.

«Люди часто сталкиваются с проблемой переноса данных из одного продукта в другой. Решить эту проблему в одиночку не получится, нужны совместные усилия разработчиков крупных корпораций», — объясняет Грег Фейр, менеджер Google Takeout.

Новая атака в Telegram использует официальную аутентификацию мессенджера

Эксперты зафиксировали новую и довольно изощрённую фишинговую кампанию в Telegram, которая уже активно используется против пользователей по всему миру. Главная особенность атаки в том, что злоумышленники не взламывают мессенджер и не подделывают его интерфейс, а аккуратно используют официальные механизмы аутентификации Telegram.

Как выяснили аналитики компании CYFIRMA, атакующие регистрируют собственные API-ключи Telegram (api_id и api_hash) и с их помощью инициируют реальные попытки входа через инфраструктуру самого мессенджера. Дальше всё зависит от того, как именно жертву заманят на фишинговую страницу.

Всего специалисты наткнулись на два подобных сценария. В первом случае пользователю показывают QR-код в стиле Telegram, якобы для входа в аккаунт. После сканирования кода в мобильном приложении запускается легитимная сессия, но уже на стороне злоумышленника.

Во втором варианте жертву просят вручную ввести номер телефона, одноразовый код или пароль двухфакторной защиты. Все эти данные тут же передаются в официальные API Telegram.

 

Ключевой момент атаки наступает позже. Telegram, как и положено, отправляет пользователю системное уведомление в приложении с просьбой подтвердить вход с нового устройства. И вот тут в дело вступает социальная инженерия. Фишинговый сайт заранее подсказывает, что это якобы «проверка безопасности» или «обязательная верификация», и убеждает нажать кнопку подтверждения.

В итоге пользователь сам нажимает «Это я» и официально разрешает доступ к своему аккаунту. Никакого взлома, обхода шифрования или эксплуатации уязвимостей не требуется: сессия выглядит полностью легитимной, потому что её одобрил владелец аккаунта.

По данным CYFIRMA, кампания хорошо организована и построена по модульному принципу. Бэкенд централизованный, а домены можно быстро менять, не затрагивая логику атаки. Такой подход усложняет обнаружение и блокировку инфраструктуры.

После захвата аккаунта злоумышленники, как правило, используют его для рассылки фишинговых ссылок контактам жертвы, что позволяет атаке быстро распространяться дальше — уже от лица доверенного пользователя.

RSS: Новости на портале Anti-Malware.ru