18+

Юрий Ревич

©  Новая газета

Наука и техника Мир

3294

23.07.2011, 11:33

Не доверяйте сотовой связи свои главные секреты

Скандал с утечкой SMS пользователей «Мегафона» — техническая ошибка, от которой никто не застрахован.

Между оператором сотовой связи «Мегафон» и поисковой системой «Яндекс» разгорелась настоящая пиар-война из-за утечки текстов личных SMS, отправленных с сайта оператора. Утечка была обнаружена в первой половине дня в понедельник, 18 июля (хотя, вероятно, продолжалась уже некоторое время), и в 13.40 московского времени в «Яндекс» было направлено сообщение с просьбой удалить информацию из поисковой выдачи. В 16.00 сервис по отправке SMS с сайта «Мегафона» (sendsms.megafon.ru) был закрыт для пользователей, но тексты с номерами телефонов оставались доступны в поисковике до 19.30. В открытом доступе, по данным самого «Мегафона», оказалось 8 тысяч «объектов», 3 тысячи из которых — короткие сообщения. По статистике, ежедневно абоненты «Мегафона» отправляют 40 миллионов SMS, из них 135 тысяч — через сервис на сайте компании.

Как читатель может убедиться сам из прилагаемого скриншота, речь идет об утечке не просто личной, а скорее даже интимной информации. «Яндекс» отреагировал первым, сообщив, что на сайте отсутствовал специальный файл robots.txt, который указывает поисковикам, какие страницы сайта можно и нужно направлять в поисковую выдачу, а какие следует скрыть от публичного доступа. «Мегафон» подтвердил эту информацию, однако это не объясняет одного нюанса: утечка произошла лишь через «Яндекс», другие поисковики (Google, Bing) в этом не замешаны. Потому дело явно сложнее, чем просто «детская» ошибка программистов, забывших установить запреты.

Во вторник первый заместитель гендиректора «Мегафона» Валерий Ермаков воспользовался фактом отсутствия утечки в остальных поисковиках, и попытался перевести стрелки на «Яндекс». Он заявил на спешно созванном брифинге, что пресловутый robots.txt на сайте все-таки был, а «Яндекс» сознательно «позволил именно эту информацию, которую он забирал, публично разместить на своих поисковых серверах». Ермаков вспомнил даже положение закона, согласно которому оператор персональных данных обязан запросить разрешения клиента на публикацию, и, по его мнению, это должен был сделать именно «Яндекс», в поисковой выдаче которого «засветились» сообщения (что, естественно, на практике нереализуемо). С другой стороны, Ермаков отрицает, что данные относятся к персональным — в них отсутствуют полные имена-отчества-фамилии, которые позволили бы идентифицировать отправителя.

Юристы еще квалифицируют этот случай, а пока интересно разобраться — так кто же виноват? Специалисты склоняются к тому, что произошедшее — «косяк» со стороны именно «Мегафона». По моей просьбе, специально для читателей «Новой», ситуацию разбирает Дмитрий Леонов, создатель и редактор информационного сайта для профессионалов-системщиков BugTraq.Ru:

— Ситуация ведь вполне очевидная, для утечки потребовалось несчастливое совпадение нескольких неудачных решений. Насколько можно судить по результатам, после отправки SMS через сайт «Мегафона» генерировалась страница подтверждения доставки со случайным адресом, на которую перенаправлялся пользователь. Страницу эту не стали никак защищать, поскольку это потребовало бы предварительной регистрации, — понадеялись на то, что длинный адрес и краткий срок жизни страницы обеспечат достаточную защиту от посторонних. Если бы страницам с подтверждениями не выделялись уникальные адреса (видимо, для упрощения проверки статуса не сразу доставленных SMS), проблема бы вообще не возникла.

Но сама по себе незащищенная страница еще недостаточна для массовой утечки, никакой поисковик не будет заниматься перебором 16-значных случайных адресов. Пока есть две основные версии того, как поисковый робот «Яндекса» вышел на эти страницы: использование пользователями расширения для браузеров «Яндекс.Бар», либо установленная на сайте «Мегафона» статистическая служба «Яндекс.Метрика» — в обоих случаях страница поступала в очередь поискового робота. С полной уверенностью утверждать могут, наверное, только специалисты самого «Мегафона» либо «Яндекса», но лично мне более вероятной кажется версия с «Яндекс.Метрикой» — хотя бы потому, что другие поисковые серверы не были замечены в подобной утечке, в то время как и у Google, и у Bing есть аналогичные «бары» для браузеров. Но даже и в этом случае проблем можно было бы избежать, задав ограничения в стандартном файле robots.txt. В оправдания «а файл все-таки был» не особо верится — насколько я помню обсуждения, появился он в районе трех часов дня, когда все, что могло, уже утекло. Итого с технической точки зрения мы имеем две стопроцентных ошибки со стороны «Мегафона», одну условную и еще одну весьма вероятную. Со стороны «Яндекса» же наблюдается честное исполнение своей работы по индексированию информации, находящейся в публичном доступе.

Наш запрос в пресс-службу «Мегафона» с просьбой прокомментировать результаты разбора Дмитрия Леонова на момент сдачи статьи в номер остался без ответа.

К версии Леонова склоняется адвокат Александр Глушенков, чьи слова цитируются на сайте infosud.ru, — он считает, что «Яндекс» в данной ситуации ответственности не понесет.

Ситуацией немедленно заинтересовался Роскомнадзор. В случае если вина «Мегафона» будет доказана, ему грозит немаленький штраф — до 40 тысяч рублей за каждого из недовольных. А их официально набралось уже более 50, и это число, несомненно, будет увеличиваться. Официальный представитель СК России Владимир Маркин сообщил ИТАР-ТАСС, что председатель Следственного комитета Александр Бастрыкин тоже поручил провести проверку по факту утечки SMS-сообщений.

Интересно, что практически одновременно произошел аналогичный скандал в Перми, где в понедельник же стало известно об утечке текстов SMS, отправленных через сервис регионального портала prm.ru. В этом случае утечка коснулась всех четырех местных сотовых операторов — МТС, «Билайна», «Мегафона» и U-tel. Операторы немедленно открестились от скандала, например, МТС заявил, что никаких соглашений с «засветившимся» сайтом не имеет.

А известный интернет-деятель Антон Носик во вторник обратил в своем блоге внимание на то, что EMS Russian Post — филиал ФГУП «Почта России», оказывающий услуги экспресс-доставки посылок, зачем-то отдает «Яндексу» страницы с данными об отправленных посылках. Но это не специфически российская проблема — то же самое существует с сервисом DHL. «Это общая проблема того, что никто не догадывался о возможности попадания этих данных в поиск», — сказал Носик в эфире радио «Финам FM».

Опасаться пользоваться сервисами по отправке SMS через Интернет не стоит — попасть под такую ошибку, как видите из статистики, крайне маловероятно (под «раздачу» попали лишь около 2% ежедневно отправляемых через сайт сообщений). А даже если попадете — «Мегафон» прав, утверждая в своем пресс-релизе, выпущенном во вторник, что сопоставить видимый текст и номер телефона с реальным лицом весьма затруднительно. Тем не менее особо мнительным можно посоветовать просто пересылать сообщения обычным образом, через телефон — с ними еще ни разу ничего не случалось, по крайней мере такого, чтобы это выросло в публичный скандал.

А вообще эта история просто лишний раз продемонстрировала ненадежность сотовой связи как канала общения, защищенного от прослушивания. Меня, в частности, каждый раз изумляет, когда я вижу, как банки или платежные интернет-системы буквально силой заставляют пользователей прибегать к верификации через те же SMS, и как ни стараюсь всеми правдами и неправдами от этого увернуться, это не всегда оказывается возможным. Тем не менее стоит раз и навсегда затвердить: сотовая связь ненадежна.

Юрий Ревич

©  Новая газета

Наука и техника Мир

3294

23.07.2011, 11:33

URL: https://m.babr24.com/?ADE=95347

bytes: 7603 / 7603

Поделиться в соцсетях:

Экслюзив от Бабра в соцсетях:
- Телеграм
- ВКонтакте

Связаться с редакцией Бабра:
[email protected]

Другие статьи и новости в рубрике "Наука и техника"

Все предприятия компании En+ Group получили паспорта готовности к отопительному периоду от Минэнерго России

Все предприятия компании En+ Group, ведущего вертикально интегрированного производителя алюминия и возобновляемой электроэнергии, получили паспорта о ...

Все предприятия компании En+ Group получили паспорта готовности к отопительному периоду от Минэнерго России

Все предприятия компании En+ Group, ведущего вертикально интегрированного производителя алюминия и возобновляемой электроэнергии, получили паспорта о ...

Стать астронавтом не выходя из дома

14 ноября состоится исторический день запуска корабля Crew Dragon компании Space X на ракете Falcon 9.

Автор: Николай Наумов.

Источник: Babr24.com.

Наука и техника

Мир

9657

13.11.2020

Четыре физика из Красноярска попали в список влиятельнейших ученых планеты

Известный профессор-эпидемиолог Стэнфордского университета Джон Иоаннидис и его коллеги обнародовали базу данных самых влиятельных ученых планеты.

Иркутская ГЭС компании En+ Group снижает объем сбросных расходов

С 9 ноября на Иркутской ГЭС компании En+ Group, ведущего вертикально интегрированного производителя алюминия и электроэнергии, снизятся сбросные ...

Источник: Babr24.com.

Наука и техника

Иркутск

5708

09.11.2020

Компания En+ Group начала капитальный ремонт и реконструкцию гидроагрегата №4 на Красноярской ГЭС

На Красноярской ГЭС компании En+ Group, ведущего вертикально интегрированного производителя алюминия и возобновляемой электроэнергии, в октябре ...

В Томской области беспилотник доставил медицинский груз в отдалённый посёлок

Компания «Аэромакс» провела испытания по доставке дронами медицинских грузов в труднодоступные районы Томской области.

Источник: Babr24.com.

Наука и техника

Томск

5515

04.11.2020

Игры Разумова: грязное белье серийных защитников иркуцкости

Когда бывший вице-мэр Иркутска Дмитрий Разумов в очередной раз вернулся в родные пенаты и рассказал, как зарабатывать на деревянном Иркутске, сначала ...

Автор: Лера Крышкина.

Источник: Babr24.

Наука и техника, Расследования

Иркутск

39433

02.11.2020

Иркутские учёные рассказали об особенностях байкальских рачков-экстремалов

Eulimnogammarus cyaneus — эндемичный байкальский гаммарус (рачок), обитающий в Байкале.

Автор: Миша Ковальски.

Источник: Babr24.com.

Наука и техника

Иркутск

13700

28.10.2020

Нидерландские учёные советуют обниматься с коровами

Устали, чувствуете нервозность, хотите спокойствия и отдыха? Теперь необязательно тратиться на успокоительные препараты.

Автор: Миша Ковальски.

Источник: Babr24.com.

Наука и техника, Братья меньшие

Мир

10427

25.10.2020

Блогнот. Только метаболизм и никакого сексизма!

«Доля ты!– русская долюшка женская! Вряд ли труднее сыскать» писал два века назад Николай Алексеевич.

Автор: Максим Тимофеев.

Источник: Babr24.

Наука и техника

Иркутск

9907

23.10.2020

Россия отказалась вступать в международный проект по освоению Луны

Международный масштабный лунный проект, который продлится более 10 лет, скорее всего, пройдёт без России.

Автор: Миша Ковальски.

Источник: Babr24.com.

Наука и техника

Мир

10507

19.10.2020