Geeks

@g33ks Нравится 5

От гиков гикам!
Пишем о происходящем в информационных технологиях.
Ждём критику, вопросы и предложения!
@shpaker и @qqalexqq
Гео и язык канала
Россия, Русский
Категория
Технологии


Написать автору
Гео канала
Россия
Язык канала
Русский
Категория
Технологии
Добавлен в индекс
09.05.2017 23:31
17 Nov 2017, 13:02 (1478 дней назад)
Кажется, что выкладывать закрытые ключи шифрования в общий доступ становится нормой, как минимум далеко не первая компания попадает на такую, казалось бы, детскую ошибку. В этот раз опозорился производитель дронов DJI, который умудрился посредством github сообщить всем данные открытого (!) bucket в AWS и отдать все свои ключи, включая сертификаты HTTPS и файлы для шифрования прошивок, а также много другой интересной информации: email-письма пользователей, логи полётов дронов, включая государственных, и даже некоторые фотографии владельцев и локаций. Конечно, существующие сертификаты тут же были заменены, но те же ключи от прошивок могут дать отличную возможность энтузиастам открыть уже имеющиеся прошивки и изучить/изменить их настолько, насколько им это понадобится. Как такое произошло, что всё лежало в одном месте и без всякой защиты - мне решительно непонятно, но вместо того, чтобы наградить человека, сообщившего им об уязвимости, компания предложила ему соглашение, которое по сути перекладывало любой будущий ущерб компании от этого инцидента на исследователя, хотя он этими данными не пользовался и никому их не распространял. Юристам DJI хочется пожелать удачи в создании образа компании - мало того, что производитель смог так опростоволоситься, так ещё и они добавили негатива, потому что попытались всё спихнуть на того, кто пытался им помочь. Вообще же, кажется, подобным фирмам пора заводить отдельных людей, которые будут ответственны за всё, что публикует компания, начиная от блога (привет, Adobe Security Team!) и заканчивая публичным git-репозиторием (привет, любители git add -a!). https://regmedia.co.uk/2017/11/16/whyiwalkedfrom3k.pdf
Attached file