Юристы Mozilla направили (https://blog.mozilla.org/blog/2016/05/11/advanced-disclosure.../) в Окружной суд западного округа штата Вашингтон требование (https://blog.mozilla.org/press/files/2016/05/Mozilla-Motion-...) обязать правоохранительные органы раскрыть информацию об уязвимости, фигурирующей в одном из криминальных разбирательств.

Данная уязвимость была успешно использована для деанонимизации пользователя через проведение атаки на Tor Browser. Атака была совершена в соответствии с ордером суда в процессе сбора доказательств.  Проблема состоит в том, что детали использованной уязвимости не разглашаются и проблема с большой вероятностью остаётся неисправленной в кодовой базе Firefox, которая используется и в Tor Browser, что ставит под угрозу миллионы добропорядочных пользователей.

В настоящий момент судья уже постановил предоставить информацию об атаке стороне защиты подозреваемого, которая может стать источником утечки сведений об ещё не исправленной уязвимости. Mozilla настаивает, что суд должен запретить правоохранительным органам утаивать сведения о неисправленных уязвимостях, и просит обязать раскрыть подробности и разработчикам Firefox, предоставив возможность выпустить исправление до попадание информации в третьи руки.

Инцидент также демонстрирует, что использование Tor Browser не гарантирует сохранение анонимности в случае взлома браузера - получив доступ к системе атакующие могут получить доступ ко всем данным пользователя и информацию об основном канале связи. Для обеспечения надёжной защиты следует использовать дополнительный слой изоляции, скрывающий параметры соединения, благодаря запуску Tor Browser в виртуальном окружении с фиктивными адресами и внешней блокировкой трафика, передаваемого не через Tor. Например, подобный уровень защиты обеспечивает (https://www.opennet.dev/opennews/art.shtml?num=42115) дистрибутив  Whonix (https://www.whonix.org/).

URL: https://blog.mozilla.org/blog/2016/05/11/advanced-disclosure.../
Новость: http://www.opennet.dev/opennews/art.shtml?num=44408

• Mozilla в суде добивается раскрытия уязвимости, применённой ...,The same anonymous, 09:42 , 12-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 09:45 , 12-Май-16
    • Негра!,GrammarNarziss, 11:41 , 12-Май-16
      • Негра!,МОШЕЙНИК, 11:42 , 12-Май-16
      • Негра!,808, 01:50 , 13-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 09:46 , 12-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 09:54 , 12-Май-16
      • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Какаянахренразница, 10:25 , 12-Май-16
        • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 11:46 , 12-Май-16
          • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Анончег, 23:34 , 12-Май-16
        • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Анонизмус, 13:07 , 12-Май-16
          • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 17:16 , 12-Май-16
        • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 15:18 , 12-Май-16
      • Бестолочь!,GrammarNarziss, 11:42 , 12-Май-16
        • Бестолочь!,OramahMaalhur, 13:10 , 12-Май-16
          • Бестолочь!,Аноним, 14:02 , 12-Май-16
          • Бестолочь!,Аноним, 22:54 , 14-Май-16
      • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 14:45 , 12-Май-16
        • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 15:28 , 12-Май-16
          • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аосос, 08:05 , 18-Май-16
      • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 23:40 , 13-Май-16
        • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 10:21 , 31-Май-16
        • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 02:39 , 02-Июн-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 11:19 , 12-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 12:26 , 12-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 11:03 , 12-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 23:40 , 13-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 12:36 , 12-Май-16
• Mozilla в суде добивается раскрытия уязвимости, применённой ...,дрыщ, 09:50 , 12-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,ADR, 10:10 , 12-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,дрыщ, 10:27 , 12-Май-16
      • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Lain_13, 05:14 , 14-Май-16
        • Mozilla в суде добивается раскрытия уязвимости, применённой ...,дрыщ, 15:29 , 16-Май-16
          • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Lain_13, 15:58 , 16-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Какаянахренразница, 10:27 , 12-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Какаянахренразница, 10:29 , 12-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Etch, 10:36 , 12-Май-16
      • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Какаянахренразница, 10:39 , 12-Май-16
        • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Какаянахренразница, 12:37 , 12-Май-16
• Mozilla в суде добивается раскрытия уязвимости, применённой ...,Нанобот, 13:55 , 12-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,lastvegas, 16:14 , 12-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 18:44 , 12-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аосос, 08:07 , 18-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,ACCA, 22:43 , 15-Май-16
• Mozilla в суде добивается раскрытия уязвимости, применённой ...,User, 14:39 , 12-Май-16
• Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 15:20 , 12-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Анонимный Алкоголик, 06:55 , 13-Май-16
• Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 22:21 , 12-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,maximnik0, 09:59 , 13-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 18:25 , 13-Май-16
• Mozilla в суде добивается раскрытия уязвимости, применённой ...,Алкаш, 07:34 , 13-Май-16
• Mozilla в суде добивается раскрытия уязвимости, применённой ...,IZh., 10:22 , 13-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 23:42 , 13-Май-16
    • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Аноним, 22:59 , 14-Май-16
      • Mozilla в суде добивается раскрытия уязвимости, применённой ...,горожанин, 23:45 , 15-Май-16
      • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Анонимный Алкоголик, 07:36 , 18-Май-16
• Mozilla в суде добивается раскрытия уязвимости, применённой ...,Azaza, 02:13 , 15-Май-16
  • Mozilla в суде добивается раскрытия уязвимости, применённой ...,Azaza, 02:16 , 15-Май-16

Это же надо, код открытый а посмотреть не могут!

Толи дело проприетарный либо совсем забили на безопасность, либо так же в свой собственный код посмотреть не могут.

«то ли дело», бестолочь

Чьё дело? Толи.

столочь

> посмотреть не могут!

Посмотреть могут. А вот найти - нет :)

Тут как нельзя к стати фраза Кличко: "не все могут посмотреть, вернее посмотреть могут все, но не все могут увидеть".

Спортсмены вообще отличаются глубокими философскими мыслями.

"Если просто смотреть, то много можно увидеть" © Йоги Бэрра, бейсболист-созерцатель

А ещё я туда ем.

Не туда, а в неё.

s/p/c/ ?

Спостсмены вообще отличаются глубокими философскими мыслями.

"Если псосто смотреть, то много можно увидеть" © Йоги Бэрра, бейсболист-созерцатель

Угу. И иногда раздражающими пробелами в образовании.

«кстати», позорище

К чему? К стати.

Он же запятыми не выделил, т е ты прав =)

формально — нет, а по смыслу — да

Классиков с ошибками цитировать? Позор!

"А сегодня в завтрашний день не все могут смотреть. Вернее, смотреть могут не только лишь все. Мало, кто может это делать."(с) Владимир Кличко

PS: Владимир, кстати, предсказатель: он предсказал на несколько месяцев вперед свое падение с велосипеда, но сам же и забыл о том, что нужно было "готовиться к земле"...
Вот с памятью у него действительно проблемы.

Хороший клип сняли по этой песне

Ссылку давай.

> Тут как нельзя к стати фраза Кличко: "не все могут посмотреть, вернее
> посмотреть могут все, но не все могут увидеть".

Если что, эта фраза впрямую относится ко всему СПО. Миллионы глаз якобы пырятся в код, а реально никто не читает сорц перед компиляцией. НИ-КОГ-ДА. Только песдеть горазды на форумах.

То ли дело закрытый код, ты ведь эту мысль проталкиваешь, Васенька?

> Если что, эта фраза впрямую относится ко всему СПО. Миллионы глаз якобы
> пырятся в код, а реально никто не читает сорц перед компиляцией.
> НИ-КОГ-ДА. Только песдеть горазды на форумах.

А ты не много на себя берешь, рассказывая за всех и никогда? Я вот код почитал и нашел там увесистый баг. Теперь ты лжец, официально.

"Видишь суслика?" "Нет" "И я не вижу. А он есть!"

Так пусть к Толе и пристают, чо к госоргану пристали, которому работать надо?

Почему бы вам самим не посмотреть в код и не указать людям на уязвимость? Вам будут очень благодарны.

> Почему бы вам самим не посмотреть в код и не указать людям
> на уязвимость? Вам будут очень благодарны.

Потому что и ты ни разу не читал ни единого сорца линя, верно? А мешки-то стоя-а-а-ат.....

> Это же надо, код открытый а посмотреть не могут!

судя по постоянно падающему качеству продуктов, у них там write-only код

Поясните пожалуйста, об использовании "уязвимости" в ПО. Откуда пользователь знает, что это именно "уязвимость"? Если программа так написана разработчиком, может она так и должна работать, пользователь ведь не знает. Само признание это уязвимостью лежит на разработчике, а не на пользователе, разве не так?

Если вы поставили входную дверь, а через нее ходят посторонние люди, без ключей, это уязвимость?

Да, уязвимость для меня, потому что я ее поставил. Но проходящий мимо человек не считает ее уязвимостью, он не в курсе, просто открывает.

…отвёрткой и считает, что это норм. Все двери так и открываются же, разве нет?

Прежде чем такую фигню писать прочел бы мой первый коммент

Если у ПО есть нештатное поведение, приводящее к исполнению нежелательного кода на системе пользователя или позволяющее получить несанкционированный пользователем доступ к приватным данным, то это уязвимость независимо от того, что думает по этому поводу разработчик данного ПО. И поверь, браузеры устроены так, что «случайно» или «по незнанию» ни первого, ни второго сделать не выйдет. Такое нештатное поведение нужно специально искать. Вообще есть исключения, но обычно это публично известные задокументированные бэкдоры. Так, например, если ты поставил себе роутер и не поменял на нём стандартный пароль администратора, то ССЗБ. Ты должен был это сделать и в руководстве практически наверняка об этом было сказано.

> Если вы поставили входную дверь, а через нее ходят посторонние люди, без
> ключей, это уязвимость?

Да определение двери. Если она поставлена, чтобы предотвратить вход посторонних, то да, это уязвимость. А если она тупо для того, чтобы не сквозило, то нет.

> Само признание это уязвимостью лежит на разработчике, а не на
> пользователе, разве не так?

Ну, в принципе, да. Если разраб говорит "так было задумано", то это вроде и не уязвимость.

...а бэкдор

Тоже верно :-)

> простите, ваш анус уязвим или это бэкдор ?

Спросите у разраба.

>проблема ... ставит под угрозу миллионы добропорядочных пользователей

это проблема мозилки, а не ФБР. требовать через суд от ФБР помощи в исправлении - глупость

Это у нас стереотип менталитета. Вот представьте: "Telegram подал в суд на ФСБ...", даже думать об этом страшно.

Как челобитную царю подаешь, холоп ?!!

> Это у нас стереотип менталитета. Вот представьте: "Telegram подал в суд на
> ФСБ...", даже думать об этом страшно.

Это у тебя стереотип менталитета по поводу стереотипа менталитета.

Не глупость, а особенность юридической системы США. Тому есть два основания
  - закон о свободе  информации https://en.wikipedia.org/wiki/Freedom_of_Information_Act_(Un...)
  - интересы тех, кто содержит ФБР (налогоплательщики)

> требовать через суд от ФБР помощи в исправлении

Помощь не требуют, а просят. Мозила имеет право требовать у ФБР, т.к. это касается их продукта.Будет ли удовлетворено требовате(?).

> Будет ли удовлетворено требование(?).

Это как захочет ФБР... Суд с юристами мозилы ничего не решают.

Если ФБР захочет понравится и показаться беленькими и пушистыми, то передадут мозиле пару дыр которые им уже не нужны, а самые хорошие всё равно себе оставят, чтобы лазить по чужим компам.

> клоун: Передадут на каком основании? Пусть выкупят. Суду предшествует период внесудебного
> урегулирования. И судя по всему он был такой:
> - Отдайте.
> - Купите.
> - Засудим!

FBI приватизировали? >:-)

Как известно нельзя получать информацию преступными методами. В саша такая информация даже не рассматривается судом. Интересно, будут ли фбровцы привлечены к ответсвтенности? Ведь использование уязвимости чтобы залезть на удаленный комп является преступлением

> Как известно нельзя получать информацию преступными методами. В Cша такая информация даже
> не рассматривается судом. Интересно, будут ли фбровцы привлечены к ответственности? Ведь
> использование уязвимости чтобы залезть на удаленный комп является преступлением

В США конгресс решил и верховный суд постановление подтвердил ,что преступления в интернете из-за межнациональных границ практически не раскрываемые.И поэтому разрешил по ордерам выданным в США следить за компьютерами подозреваемых за пределами США, а по антеристическому акту признана законной и взлом и установка следящих программ.Другое дело
что почему-то  пресса не интересуется как  фбр потом доказывает что не залила к примеру детскую порнографию на компьютер подозреваемого ......

Никак не доказывает. Где это видано, чтобы в ходе каждого судебного заседания обвинение доказывало, что строго оно придерживалось УПК в ходе следственных действий. Это у защиты должны быть доказательства обратного: что вот, налицо грубое извращение социа^H^H^H^H^H законности, допущенное отдельными сотрудниками, требуем исправить перегибы.

Ясное дело жабаскрипт подвел

На хабре была статья, как надо нормально шифроваться. В общем, без пары последовательных VPN'ов с подключением по RDP к виртуалке, в которой на голой винде крутится TOR, и которая периодически восстанавливается без образа, не обойтись. И всё это, естественно, оплачивается биткоинами.

А просто TOR -- это так, на торренты зайти.

> На хабре была статья, как надо нормально шифроваться. В общем, без пары
> последовательных VPN'ов с подключением по RDP к виртуалке, в которой на
> голой винде крутится TOR, и которая периодически восстанавливается без образа, не
> обойтись. И всё это, естественно, оплачивается биткоинами.

Которые в твоей стране, внезапно, уже тоже вне закона.

> А просто TOR -- это так, на торренты зайти.

Да-да, анонимный иксперд по безопасности набигае.....

в какой это стране торренты вне закона, иксперд?

Он про биткойны, деревня

> в какой это стране торренты вне закона, иксперд?

Он про страну, в которой Надзор вне закона, не торренты. А сажает вас Надзор, да...

Почему мозила фоундэйшн решили, что была использована уязвимость в их продукте, а не отследили его ноду?

>>Today, we filed a brief in an ongoing criminal case asking the court to ensure that, if our code is implicated in a security vulnerability, that the government must disclose the vulnerability to us before it is disclosed to any other party.

Как-то слабовато. Фбр скажут, мол, нет уязвимости в вашем браузере, и что тогда?