Yandex.Metrika

среда, 7 мая 2025 г.

Почему нельзя доверять американским сервисам?

Почему не стоит доверять американским онлайн-сервисам: реальная угроза приватности

Интернет кажется свободным и доступным, но за этой видимостью скрываются опасные механизмы контроля. Особенно это касается сервисов, расположенных в США. Если вы используете американские облачные хранилища, почтовые службы или VPN — вы, возможно, невольно предоставляете доступ к своим данным государственным структурам США.

Это текстовое дополнение к нашему видео (Shorts) раскрывает тему глубже, рассказывая о конкретных кейсах, правовых лазейках и альтернативных решениях. Обязательно досмотрите видео, а затем изучите подробности ниже — чтобы сделать осознанный выбор и не подвергать себя риску.


В чём опасность американских цифровых сервисов?

США — один из немногих государств, где правительственные органы имеют практически неограниченные полномочия по доступу к пользовательской информации. Это реализуется через такие механизмы, как:

  • Программа PRISM — массовый сбор данных с серверов компаний;

  • Gag order (приказ о неразглашении) — запрет компаниям раскрывать факты получения запросов от спецслужб;

  • Патриотический акт США (Patriot Act) — юридическая база, позволяющая тайно изымать данные без ордера.

Ключевая проблема: даже если вы законопослушный пользователь, данные могут быть собраны, проанализированы и использованы — без вашего ведома и согласия. Причём не только ваша информация, но и данные ваших клиентов или переписка с коллегами.


Кейсы, подтверждающие слежку через американские сервисы

Дело Lavabit и преследование за отказ сотрудничать

В 2013 году мир узнал о Lavabit — сервисе защищённой электронной почты, которым пользовался Эдвард Сноуден. Этот почтовый сервис был основан американцем Ладаром Левисоном и изначально задумывался как альтернатива Gmail с акцентом на безопасность и шифрование.

Однако после того, как стало известно, что Сноуден использовал Lavabit, ФБР потребовало от компании предоставить SSL-ключи, с помощью которых можно было бы расшифровывать всё — не только переписку Сноудена, но и всех пользователей сервиса. Более того, компания получила gag order, запрещающий разглашать сам факт запроса.

Левисон отказался передать ключи, и вместо того чтобы нарушить конфиденциальность тысяч пользователей, он принял тяжёлое решение — закрыть Lavabit навсегда.

Чем это грозит обычному пользователю?

Этот случай — не исключение, а наглядный пример работы системы. Даже если вы не причастны к утечкам данных или политическим расследованиям, ваш почтовый ящик, файлы и сообщения могут стать "побочными жертвами" масштабной программы наблюдения. Любой американский сервис может быть обязать "молча" передать ваши данные, и вы об этом даже не узнаете.


Какие риски для бизнеса и частных лиц?

  • Утечка конфиденциальной информации клиентов или партнёров;

  • Компрометация финансовых и юридических документов;

  • Потеря доверия со стороны пользователей и аудитории;

  • Юридические проблемы в странах, где обязательна защита данных (например, в рамках GDPR).

Если вы ведёте бизнес, работаете с чувствительной информацией или просто заботитесь о цифровой гигиене — важно понимать: американские платформы не обязаны ставить ваши интересы выше интересов правительства США.


Вывод: цифровая свобода — это ответственность

Использование американских сервисов — это не просто вопрос удобства, а вопрос приватности, безопасности и контроля. Даже если вы ни в чём не виноваты, ваши данные могут стать частью глобальной системы наблюдения.

Примите меры — начните с осознанного выбора сервисов. Посмотрите видео ещё раз, чтобы освежить ключевые моменты, и поделитесь этим постом с теми, кто ценит свободу в интернете.

Кто следит за вашей перепиской прямо сейчас?

Кто следит за вашей перепиской? Разоблачаем альянсы «Пять глаз», «Девять глаз» и «Четырнадцать глаз»

💬 Вы когда-нибудь задумывались, кто на самом деле может видеть вашу переписку в интернете? Если вы пользуетесь мессенджерами, электронной почтой или соцсетями — этот материал обязателен к прочтению. Короткое видео на странице уже дало вам общее представление, а здесь вы узнаете всё, что осталось за кадром: от названий спецальянсов до техник цифровой защиты.


Международные альянсы разведок: кто управляет цифровой слежкой

Многие пользователи не подозревают, что их онлайн-активность может отслеживаться государственными структурами в рамках международных соглашений. Существует три основных разведывательных альянса:

🕵️‍♂️ Альянс «Пять глаз» (Five Eyes)

Создан еще во времена холодной войны. В него входят:

  • США

  • Великобритания

  • Канада

  • Австралия

  • Новая Зеландия

Эти страны обмениваются разведывательной информацией и имеют широкий доступ к данным интернет-пользователей, включая электронную переписку, звонки, активность в приложениях.

🌐 «Девять глаз» и «Четырнадцать глаз» — расширение слежки

Союзы «9 Eyes» и «14 Eyes» включают дополнительные страны-партнёры, включая Францию, Норвегию, Данию, Германию и другие. Их участие не такое активное, но они также предоставляют данные и получают к ним доступ.


Что рассказал Сноуден: как государства следят за гражданами

🔓 Благодаря утечкам от бывшего сотрудника АНБ Эдварда Сноудена стало известно, насколько масштабной и скоординированной является цифровая слежка. Утечки показали, что даже зашифрованные сообщения могут быть перехвачены или расшифрованы при определённых условиях.


Законы о передаче ключей шифрования: где вас могут заставить выдать доступ

Во многих странах существуют законы, которые позволяют правоохранителям принудительно требовать ключи шифрования — то есть доступ к вашим зашифрованным файлам и переписке.

📜 Где это уже применяется:

  • Австралия

  • Великобритания

  • Канада

  • Индия

  • Ирландия

  • Франция

  • Норвегия

  • Россия

  • ЮАР

  • Антигуа и Барбуда

⚖️ Где такие законы обсуждаются или частично применимы:

  • США (в отдельных случаях, при наличии ордера)

  • Бельгия, Нидерланды, Финляндия*

  • Новая Зеландия (нет чёткого закона)

  • Швеция (в процессе рассмотрения)

* В некоторых странах доступ к данным обязаны предоставить только администраторы или владельцы оборудования, но не сами подозреваемые и их родственники.

🚫 Где таких законов нет:

  • Германия

  • Польша

  • Чехия


Как защитить свои данные: практические методы цифровой безопасности

🔐 Даже если вы не нарушаете закон, вы имеете право на приватность. Вот инструменты, которые реально работают:

1. Шифрование с правдоподобным отрицанием

Это метод, при котором даже если вас заставят выдать пароль — вы сможете показать одну «невинную» версию данных, в то время как настоящая информация останется скрытой. Это реализуется с помощью двух ключей шифрования: один показывает «пустую» оболочку, другой — настоящие данные.

2. Стеганография

Сокрытие информации внутри других, не подозрительных файлов. Например, зашифрованное изображение может быть встроено в аудиофайл или обычное фото. Внешне файл выглядит безопасно, но внутри него спрятаны данные.


Вывод

Слежка за перепиской — не фантастика, а реальность в современном мире. Альянсы разведок, такие как «Пять глаз», обладают доступом к огромным массивам данных, и даже шифрование не всегда является абсолютной защитой. Однако, зная о возможных рисках и применяя правильные инструменты, вы можете сохранить свою цифровую независимость.

🎥 Посмотрите видео в начале статьи — оно даст общее представление. А этот материал поможет вам углубиться в тему и понять, как реально защитить себя в интернете.

Как перестать кормить Microsoft данными? (WindowsSpyBlocker)


Задумывались, куда уходит ваша личная информация при использовании Windows 10 или 11? Система по умолчанию собирает множество данных о ваших действиях — от телеметрии до интернет-трафика. Если вы цените конфиденциальность и хотите минимизировать утечку информации в Microsoft, есть отличное решение — утилита WindowsSpyBlocker.

Это расширенный текст к видео Shorts, где мы коротко рассказали о проблеме. Здесь вы найдёте больше подробностей, примеров и инструкций по защите своей приватности в Windows.


Что такое WindowsSpyBlocker?

WindowsSpyBlocker — это бесплатный, легкий в использовании инструмент, созданный для блокировки нежелательной активности Windows, связанной с передачей данных в Microsoft. Программа анализирует сетевой трафик и создает списки правил, которые можно применить через файл hosts или брандмауэр.

👉 Скачать WindowsSpyBlocker можно с официального сайта:
https://crazymax.dev/WindowsSpyBlocker
или с GitHub:
https://github.com/crazy-max/WindowsSpyBlocker


Почему Windows следит за пользователями?

С выходом Windows 10 корпорация Microsoft внедрила расширенную систему телеметрии. Это позволяет автоматически собирать сведения о программном обеспечении, производительности, действиях пользователя и даже о подключениях в сети. Некоторые из этих функций нельзя отключить через стандартные настройки системы.

Сюда входит:

  • передача данных о вашей активности,

  • регулярные подключения к серверам Microsoft,

  • автоматическая отправка логов и ошибок,

  • сбор информации о сетевых соединениях и устройствах.


Как работает WindowsSpyBlocker?

Программа написана на языке Go и поставляется в виде одного .exe-файла — никаких установок, просто скачали и запустили. Она использует данные о сетевом трафике, чтобы определить подозрительные подключения и создает набор правил для блокировки таких запросов. Эти правила можно импортировать в:

  • файл hosts — блокировка по DNS,

  • брандмауэр Windows — запрет по IP и портам,

  • сторонние блокировщики рекламы или firewall’ы.

Также можно выбрать подходящие списки в зависимости от версии Windows и уровня необходимой приватности.


Как пользоваться WindowsSpyBlocker (Пошагово)

  1. Скачайте архив с официального сайта или GitHub.

  2. Распакуйте его в удобное место.

  3. Запустите .exe файл с правами администратора.

  4. Выберите нужный модуль: Hosts, Firewall, Apps.

  5. Примените список правил, следуя инструкциям на экране.

⚠️ Важно: Перед применением рекомендуется создать точку восстановления системы, особенно если вы используете брандмауэр.


Преимущества WindowsSpyBlocker

  • Полностью бесплатный и с открытым кодом (MIT лицензия);

  • ✅ Простое управление — один файл, минимум действий;

  • ✅ Поддерживается активным сообществом на GitHub;

  • ✅ Обновляется с учётом последних изменений в Windows;

  • ✅ Идеален для пользователей, заботящихся о приватности и безопасности.


Поддержка и развитие проекта

Вы можете поддержать развитие WindowsSpyBlocker, оформив пожертвование через PayPal или став спонсором на GitHub. Даже простая звезда (★) на странице проекта помогает автору понять, что его труд важен.


Итоги: Стоит ли использовать WindowsSpyBlocker?

Если вы устали от того, что ваша система "живет своей жизнью" и отправляет данные в Microsoft без вашего ведома — WindowsSpyBlocker однозначно стоит попробовать. Это простой способ повысить уровень приватности в Windows без глубоких технических знаний.

🔐 Берегите свои данные — начните контролировать Windows уже сегодня.


Полезные ссылки

понедельник, 5 мая 2025 г.

Если тебе нечего скрывать - докажи

Если тебе нечего скрывать — докажи: зачем на самом деле нужна приватность в цифровую эпоху

Многие уверены: «Я ничего плохого не делаю, мне нечего скрывать». Но действительно ли это аргумент против права на личную жизнь?


Приватность — это не про скрытность, а про свободу

Когда речь заходит о цифровой безопасности, один из самых распространённых аргументов звучит так:
«Я не беспокоюсь о конфиденциальности, ведь мне нечего скрывать».

На первый взгляд это кажется логичным. Но стоит копнуть глубже — и становится очевидно: это убеждение опасно упрощает суть приватности.

Американский журналист и юрист Гленн Гринвальд, получивший мировую известность после публикации материалов Эдварда Сноудена, наглядно демонстрирует, насколько абсурдной может быть такая позиция. В своем выступлении “Why Privacy Matters” (TED Talk) он приводит простой эксперимент:

Он протягивает собеседнику ручку и бумагу и предлагает записать все свои личные пароли — от социальных сетей, банков, рабочих аккаунтов. И говорит:

«Раз тебе нечего скрывать — пришли их мне. Я изучу твою переписку, фото, контакты. И сам решу, что можно опубликовать».

Удивительно, но никто ещё не согласился.


Почему право на личную жизнь важно даже для "законопослушных"

Многие забывают: приватность — не про преступления, а про контроль над своей жизнью.

Ты ведь закрываешь шторы перед сном? Не потому, что делаешь что-то незаконное, а потому что не хочешь, чтобы кто-то наблюдал. Так же и в интернете — каждый имеет право на личное пространство, даже если ему нечего скрывать.

Конфиденциальность:

  • защищает от манипуляций (например, таргетированной рекламы или фишинга),

  • предотвращает кражу личности и данных,

  • дает ощущение безопасности и контроля.


Личный пример — сильнейший аргумент

Если ты уверен, что не нуждаешься в защите приватности, попробуй провести эксперимент:

  1. Открой любой из своих мессенджеров.

  2. Выдели случайную переписку за последний месяц.

  3. Представь, что она завтра станет публичной — доступной друзьям, коллегам и даже работодателю.

Комфортно? Если нет — у тебя есть что скрывать. И это нормально.


Что можно сделать уже сейчас для защиты приватности

Вот несколько простых, но эффективных шагов, которые помогут сохранить твою личную жизнь в безопасности:

  • Используй двухфакторную аутентификацию (2FA).

  • Устанавливай пароли, а не оставляй «123456».

  • Проверяй настройки приватности в соцсетях.

  • Скачай и используй менеджер паролей — это поможет защитить аккаунты (например, LastPass или Bitwarden).

➡️ Некоторые из этих сервисов предлагают платные функции — при желании ты можешь воспользоваться партнерскими программами, если решишь добавить ссылки.


Приватность = право быть собой

Право на личную жизнь — это фундаментальная часть свободы.
Тот, кто говорит: «Мне нечего скрывать», часто забывает, что не только преступления должны быть скрыты — но и личные мысли, эмоции, уязвимости.

Ты не обязан делиться всем с миром. И защищать свою приватность — не подозрительно, а ответственно.

Большой Брат на улицах Лондона


Распознавание лиц в Лондоне: как камеры меняют город и тревожат правозащитников

Что происходит: камеры с распознаванием лиц уже на улицах Лондона

Лондон продолжает укреплять свою репутацию одного из самых наблюдаемых городов мира. Теперь к привычным камерам видеонаблюдения добавились стационарные устройства с функцией распознавания лиц (Facial Recognition Technology, FRT). Они размещены в ключевых точках города и работают в реальном времени.

Полиция заявляет: цель внедрения — повышение общественной безопасности и борьба с преступностью. Но действительно ли новые технологии служат горожанам — или это шаг к тотальному цифровому контролю?


Почему эта технология вызывает споры

На первый взгляд, идея кажется логичной: если преступник попадёт в объектив, система его опознает — и задержание станет вопросом минут. Но правозащитные организации бьют тревогу. Главные опасения связаны с:

  • Отсутствием прозрачного законодательства: в Великобритании пока нет отдельного закона, регулирующего использование технологии распознавания лиц в общественных местах.

  • Возможностью ошибок системы: алгоритмы нередко дают сбои, особенно в распознавании лиц женщин и представителей этнических меньшинств.

  • Рисками слежки за обычными гражданами: кто и как хранит данные, как долго, и кто имеет к ним доступ?

Эти вопросы до сих пор остаются без чётких ответов.


Где проходит грань между безопасностью и вторжением в частную жизнь?

Это — ключевая дилемма, которую мы поднимаем и в нашем коротком видео Shorts. С одной стороны, технологии могут помогать — например, быстро находить пропавших людей или предотвращать террористические акты. С другой — мы рискуем жить в обществе, где каждый шаг фиксируется, а "большой брат" всегда следит.


Что говорит общественность: мнения разделились

Многие лондонцы поддерживают инициативу, надеясь на снижение уровня преступности. Однако растущее число активистов и юристов требует остановить или хотя бы ограничить использование FRT, пока не появится чёткое регулирование.

Некоторые кампании даже призывают к моральному бойкоту зон с такими камерами — например, не посещать магазины, на входе в которые установлены системы распознавания лиц.


А что дальше?

Использование биометрических данных в общественном пространстве — тренд не только для Лондона, но и для всего мира. Аналогичные системы внедряются в Китае, США, ОАЭ и других странах.

Но вопрос остаётся прежним: готово ли общество отказаться от части свободы в обмен на ощущение безопасности?


Практическая польза: что делать обычному человеку?

  • Будьте осведомлены: следите за обновлениями в законодательстве своей страны и города.

  • Используйте средства защиты приватности — например, очки или макияж, сбивающий алгоритмы (да, такие уже существуют!).

  • Проверяйте свои права: в ряде стран вы можете запросить информацию, собранную о вас с помощью камер наблюдения.


Вывод

Новые технологии дают новые возможности — и новые вызовы. Камеры с распознаванием лиц в Лондоне — это не просто удобный инструмент полиции, но и сигнал обществу: нужно пересматривать баланс между безопасностью и цифровыми свободами.

🎥 Посмотри наше короткое видео выше — оно покажет суть в 60 секундах, а этот текст дополняет и объясняет нюансы.

воскресенье, 4 мая 2025 г.

Кто прикроет спину интернета?

Киберщит США под давлением: база уязвимостей NVD не справляется с потоком новых угроз

Национальная база уязвимостей США (NVD) испытывает серьёзные трудности в условиях стремительного роста количества киберугроз. Несмотря на предпринимаемые усилия по ускорению обработки данных, отставание в публикации уязвимостей CVE продолжает увеличиваться. Об этом сообщает Национальный институт стандартов и технологий США (NIST) в сводке от 19 марта 2025 года.

По данным института, текущая скорость обработки CVE приблизилась к уровням начала 2024 года, однако объём новых уязвимостей за прошлый год вырос на 32%. Это привело к накоплению значительной очереди необработанных записей, что серьёзно снижает эффективность мониторинга угроз.

Прогнозы на 2025 год тревожны

Эксперты NIST предупреждают: число сообщений о новых уязвимостях в 2025 году продолжит расти. При этом своевременная реакция и публикация данных становятся критически важными для национальной безопасности, устойчивости инфраструктуры и защиты цифровых сервисов США.

Чтобы справиться с перегрузкой, команда NVD запускает реорганизацию внутренних процессов и тестирует технологии машинного обучения. Цель — автоматизировать рутинный анализ и классификацию CVE, освободив ресурсы для более приоритетных задач.

Системная проблема кибербезопасности

Ситуация вокруг NVD отражает глобальный вызов: инфраструктура анализа уязвимостей не успевает за ростом цифровых угроз. Задержки в обработке CVE увеличивают риски как для коммерческого сектора, так и для государственных структур.

Пока не ясно, насколько результативными окажутся предложенные меры. Однако сам факт признания проблемы и попытки перейти к более технологичной модели внушает надежду на улучшение.

Роль альтернативных платформ растёт

На фоне замедления работы NVD всё большую популярность приобретают альтернативные источники информации о CVE. Среди них — CVE.ORG, OpenCVE и Feedly, которые предоставляют доступ к актуальным данным о киберугрозах без задержек.

Эти ресурсы становятся надёжной опорой для специалистов по ИБ, которые больше не могут полностью полагаться на официальную базу от NIST.

DDoS тренды 2024 - затишье или затаившаяся буря?

Мощность DDoS-атак бьёт рекорды, несмотря на общее снижение их числа

Во втором квартале текущего года Национальный центр фильтрации трафика в Нидерландах (NaWas), специализирующийся на защите от DDoS-атак, зафиксировал снижение общего количества кибератак. Согласно отчёту, подготовленному Нидерландским институтом защиты информации (NBIP), в период с апреля по июнь было зафиксировано 419 инцидентов — против 556 в первом квартале.

Сезонный спад, но не повод расслабляться

Такая динамика соответствует многолетним наблюдениям: в начале года активность киберпреступников традиционно выше, чем во втором квартале. Однако этот временный спад не означает ослабление угрозы. Наоборот — эксперты отмечают стремительный рост мощности DDoS-атак. В отчётный период зафиксированы случаи с пиковыми значениями, превышающими 100 Гбит/с, а максимальный зафиксированный объём достиг ошеломляющих 353 Гбит/с.

Актуальные типы DDoS-атак

Наиболее распространёнными остаются следующие методы:

  • DNS Amplification

  • Memcached Amplification

  • NTP Amplification

  • UDP-флуд

  • ACK-флуд

Эти виды атак активно используются для перегрузки серверов и сетевой инфраструктуры.

Хактивисты усиливают давление на критическую инфраструктуру

Основную опасность представляют скоординированные атаки со стороны хактивистских группировок. Их цели — чаще всего государственные учреждения и объекты здравоохранения. Особенно тревожным стало увеличение атак, направленных на критическую сетевую инфраструктуру, с использованием технологии TTL (Time To Live), которая позволяет выводить из строя сетевое оборудование.

Политический контекст и рост киберугроз

В преддверии выборов в Европарламент хактивистские группы через Telegram-каналы заявили об увеличении количества атак, что добавляет политический подтекст к текущей волне киберугроз. Хотя ситуация остаётся под контролем, специалисты NaWas подчёркивают важность постоянной киберготовности.

Опасная уязвимость в WhatsApp!


Почему Meta не торопится закрывать уязвимость в WhatsApp для Windows?

В настольной версии WhatsApp для Windows обнаружена критическая уязвимость, которая позволяет киберпреступникам запускать вредоносные скрипты без ведома пользователя. Речь идет о возможности отправки файлов с расширениями .pyz, .pyzw и .evtx, которые запускаются сразу после открытия, без каких-либо предупреждений.

Опасность, которую игнорируют

Уязвимость напоминает прошлогоднюю брешь в Telegram, также связанную с передачей исполняемых Python-файлов. Тогда Telegram изначально отвергнул претензии, но позже все же выпустил патч. В случае с WhatsApp ситуация развивается иначе — Meta не спешит реагировать, несмотря на подтвержденную опасность.

Кто и как нашёл проблему

Исследователь в области кибербезопасности Сауманджит Дас обнаружил проблему во время тестирования различных типов вложений. Он выяснил, что WhatsApp не фильтрует опасные типы файлов, включая .pyz, .pyzw и даже .php. Факт был подтвержден независимым изданием BleepingComputer, которое также обнаружило возможность передачи PHP-скриптов без блокировки.

Для успешной атаки на ПК жертвы должен быть установлен Python, что ограничивает круг потенциальных целей. Однако именно такие пользователи — разработчики и IT-специалисты — чаще всего становятся объектами таргетированных атак.

WhatsApp блокирует не всё

Что интересно — WhatsApp успешно блокирует распространённые опасные форматы: .exe, .bat, .scr, .com, .pl и другие. При попытке отправки таких файлов пользователь получает предупреждение, и открыть их напрямую из мессенджера нельзя.

Но файлы Python и PHP остались без внимания. Это открывает возможности для скрытой доставки вредоносных скриптов в чаты, включая групповые, где масштабы заражения могут быть намного больше.

Meta отказывается признавать проблему

Дас сообщил об уязвимости 3 июня, но спустя более месяца получил ответ: "вопрос уже поднимался другим исследователем". При этом в актуальной версии WhatsApp для Windows (v2.2428.10.0) уязвимость всё ещё не устранена.

Представители Meta заявили, что не видят в этом проблемы и считают, что ответственность за безопасность лежит на пользователях. Компания призывает не открывать файлы от незнакомых отправителей и напоминает о встроенных функциях безопасности — таких как уведомления о новых или подозрительных контактах.

Эксперты предупреждают

Без должной фильтрации вложений даже скомпрометированный аккаунт может быть использован для рассылки вредоносных файлов всем контактам. А поскольку файлы можно пересылать в групповые чаты, это создает угрозу масштабных атак.

«Достаточно просто добавить .pyz и .pyzw в черный список — и проблема была бы решена», — комментирует Сауманджит Дас.

Что делать пользователям?

Пока Meta не изменила свою позицию, рекомендуется проявлять максимальную осторожность при открытии вложений в WhatsApp для Windows. Особенно это касается файлов с расширениями .py, .pyz, .pyzw, .php и других потенциально исполняемых форматов.

пятница, 2 мая 2025 г.

PKfail: 12-летняя уязвимость UEFI позволяет обойти Secure Boot

Что такое PKfail и чем она опасна

Серьёзная уязвимость в прошивках UEFI, получившая название PKfail, затрагивает минимум 813 устройств от известных брендов — Dell, HP, Lenovo, Intel, Gigabyte и других. Проблема кроется в использовании небезопасного тестового ключа Platform Key (PK), изначально сгенерированного компанией AMI (American Megatrends International). Этот ключ был помечен как «DO NOT TRUST», но по ошибке оказался в финальных прошивках массовых устройств.

PK (Platform Key) — это основа системы Secure Boot, отвечающей за проверку цифровой подписи на всех уровнях загрузки — от BIOS до операционной системы. Если злоумышленник получает доступ к устройству с таким ключом, он может обойти Secure Boot и внедрить вредоносное ПО до запуска Windows.


Как работает обход Secure Boot через PKfail

Используя тестовый ключ, киберпреступник может подделать подписи и изменить базы данных Secure Boot:

  • KEK (Key Exchange Key)

  • DB (Signature Database)

  • DBX (Forbidden Signature Database)

После этого становится возможным запуск UEFI-руткитов, таких как CosmicStrand и BlackLotus — они активируются до загрузки ОС и практически неуловимы для антивирусов.


Кто в зоне риска

Уязвимые прошивки были найдены в продуктах следующих производителей:

  • Acer

  • Aopen

  • Dell

  • Formelife

  • Fujitsu

  • Gigabyte

  • HP

  • Intel

  • Lenovo

  • Supermicro

По данным исследователей из Binarly, более 10% изученных прошивок используют ненадёжный PK. Первый уязвимый образ датируется маем 2012 года, последний — июнем 2024 года. Таким образом, уязвимость оставалась неустранённой более 12 лет.


Где найти список уязвимых устройств

Полный перечень моделей, в которых обнаружена проблема, размещён на сайте исследователей: pk.fail
Здесь можно:

  • Проверить своё устройство по модели

  • Просканировать бинарные файлы прошивки

  • Найти сигнатуры вредоносных компонентов

Также уязвимость получила идентификатор BRLY-2024-005 и оценку CVSS 8.2 — это высокий уровень риска.


Как защититься: советы для пользователей и производителей

Для обычных пользователей:

  • Установите последние обновления BIOS / UEFI

  • Загружайте прошивки только с официальных сайтов

  • Проверьте своё устройство с помощью онлайн-инструмента pk.fail

  • Не игнорируйте предупреждения системы Secure Boot

Для поставщиков оборудования:

  • Немедленно заменить все тестовые PK на безопасные ключи, созданные с помощью HSM (Hardware Security Module)

  • Удалить доверие к публичным тестовым ключам

  • Ввести многоуровневую проверку безопасности в цепочке поставок прошивок


Почему PKfail — не просто баг, а системный сбой

PKfail показывает, насколько критичной может стать ошибка в цепочке поставок. Даже если сама прошивка разрабатывается с учётом безопасности, незаменённый тестовый ключ может свести её на нет.

Secure Boot перестаёт быть гарантией, если корень доверия подвержен атаке. В эпоху аппаратных атак и руткитов уровня UEFI, это угроза не только отдельным пользователям, но и корпоративным сетям, промышленным контроллерам и дата-центрам.


Что дальше?

Если у вас ноутбук, ПК или сервер от одного из упомянутых брендов — проверьте его прямо сейчас. Чем раньше вы обнаружите проблему, тем выше шанс избежать серьёзных последствий.

🛡 Поделитесь этой статьёй — особенно, если работаете в ИТ или кибербезопасности. Знание — это первый уровень защиты.


Мета-описания:

  1. 12-летняя уязвимость UEFI PKfail позволяет обходить Secure Boot — список устройств и инструкция по защите.

  2. PKfail: тестовый ключ в прошивке UEFI угрожает безопасности сотен моделей — как проверить и защититься.

  3. Secure Boot под угрозой из-за уязвимости PKfail — всё, что нужно знать пользователям и специалистам.