• Zero tolerance mode in effect!

Алексей Навальный

Запредельный цинизм:sleepy:

Журналист NBC News спросил у Путина готов ли он гарантировать, что Алексей Навальный выйдет из тюрьмы живым.
«Я исхожу из предпосылки, что к человеку, о котором вы упомянули, будут применяться такие же меры и ни в коей мере не хуже, чем к любому другому, кто окажется в тюрьме», — сказал Путин.
В ответ журналист говорит: «Его имя — Алексей Навальный. Люди заметят, что вы сказали, что он не выйдет из тюрьмы живым». Путин, перебивая корреспондента, отвечает: «А мне все равно».
Он заявил, что у российских властей «нет традиции» убивать кого бы то ни было. Так он ответил на вопрос, отдавал ли он приказ убить Навального.
«У нас нет такой привычки — убивать кого-либо», — сказал российский президент.
 
Вот чего журналист прямо не спросил, почему Путин боится произносить имя и фамилию Навального? Или этот вопрос был среди тех, отсутствие которых заранее обговаривали, иначе интервью не состоялось бы?
 
Кстати, а почему не произносит?Суеверие какое то?
Для Хуйла это такой своеобразный способ унижения оппонента. Типа, ты никто и звать тебя никак. У него это не впервые проявляется. Можно вспомнить историю с Юрой музыкантом:
 
Кстати, а почему не произносит?Суеверие какое то?
Все время ходят слухи, что еще со времен советского кгб серьезно интересовались всякими потусторонними вещами. Да и вообще в стране традиция такая. Вспомним Распутина. Так что наверное поболе чем суеверие. Не случайно так на шамана наехали.
 
Чистка
Ресурс «Медиазона» может быть объявлен иностранным агентом, Максим Шевченко попал под расследование по обвинению в клевете. Телеканал «Дождь» вышвырнули из «президентского пула». Каждый день приходят однотипные сообщения об одном и том же.

Остервенение, с которым в России добивают немногие неофициозные ресурсы и людей, логически завершает цикл, начавшийся еще в начале нулевых с избиения и погрома компании НТВ.

Тогда ключевой задачей было обозначение «красных линий», в рамках которых гарантировалась определенная свобода слова. Линии постепенно сдвигались, но в целом определенные допуски существовали. Однако теперь, с переходом к фашистскому режиму управления и прямому террору даже эти допуски выглядят для режима чрезмерными.

И если ранее базовой установкой было введение СМИ в некую новую нормальность, то теперь и это избыточно — весь неофициоз должен быть просто истреблен на корню. Поэтому от несистемных СМИ уже никто ничего не требует, их «гасят». Просто и без затей, как в криминальных фавеллах Латинской Америки. Мертвый оппонент — решение любых проблем. Про изящество и соблюдение каких-то норм здесь речь уже не идет, да и какое изящество, если вас банально забивают дубьем.


короче всех под корень, а то и с корнем.
 
А как шуметь станет некому, зафаерволить весь инет и еще лет 10-20 можно спокойненько загнивать.
 
че Алеша, как там под пивасик с чипсами футбол смотрится. болеем за наших, акинфеев просто красавчик....
 

Суд принудительно госпитализировал здорового человека в ковидный госпиталь

meduza.io
:envy: :devil:
Октябрьский районный суд Мурманска удовлетворил иск Роспотребнадзора о принудительной госпитализации бывшей главы штаба Алексея Навального в Мурманске Виолетты Грудиной, которую обвиняют в нарушении условий изоляции во время лечения от COVID–19.
Суд постановил госпитализировать Грудину до получения отрицательного теста на коронавирус, сообщил глава «Агоры» Павел Чиков, который сослался на адвоката Владислава Жейнова, представлявшего интересы Грудиной. Решение суда вступило в силу после того, как его огласил суд.
Чиков отметил, что 12 июля Грудина предоставила суду отрицательный тест на коронавирус, а медработник, приглашенный Роспотребнадзором, заявил, что Грудина не нуждается в госпитализации. Защита обжалует решение о принудительной госпитализации.
***Со слов Грудиной, после решения Октябрьского районного суда ей стало плохо, и она вызвала скорую помощь. В заседании она участвовала по видеосвязи, потому что находится дома на самоизоляции. Начальник штаба Грудиной Наталья Заморская сказала «Медиазоне», что не знает, ту не госпитализировали после решения суда.
Медики стабилизировали ее сердце и повезли в больницу на обследование, а по дороге врачу от диспетчера поступило требование диагностировать Грудиной пневмонию и отправить в другую больницу, где госпитализированы больные коронавирусом.
Грудина говорит, что врачи скорой помощи высадили ее из машины, чтобы она могла уйти домой.
***Мало того, что ситуация какой–то эпический абсурд, так ещё и принудительная госпитализация здорового человека в ковидный госпиталь — это осознанное принудительное помещение человека в опасное для его здоровья место. Пока, насколько модно понять это решение суда ещё не приведено в исполнение.
 
В этом ФБК не только аккаунты давно уволившихся сотрудников были активны:

https://habr.com/ru/post/568842/

Привет! Здесь я хочу указать на возможную причину, почему были слиты данные зарегистрировавшихся в УГ ("Умное голосование" (https://votesmart.appspot.com/) - метод голосования, предложенный сторонниками А. Навального, его сайт собирает физический адрес и email) и предупредить, что ФБК* на несколько недель в июне была открыта, как эта калитка в меме. Сразу после того, как эта дыра была обнаружена, я написал ФБК*, и доступ до инфраструктуры они починили. Пишу об этом сейчас - уже после того, как набор почт от УГ был выставлен на продажу, а затем слит - по двум причинам: считаю недостаточным простое умалчивание происходившего и происходящего, (и понимаю, что писать об этом нужно было раньше), но сам ФБК* самостоятельно не сильно хочет говорить о том, что происходило у них с безопасностью в середине-конце июня.

Сразу дам дисклеймер - я мало разбираюсь в информационной безопасности, а все, что здесь откопал - продукт внимательности, небольшого опыта пользования k8s, метода "почему бы и нет" и чистой удачи.

Как было найдено
На почту мне пришло сообщение с доменом "rus.vote" с темой "Умное голосование", что изначально показалось подозрительным: какой-то непонятный, короткий домен, не напомнивший что-то, что использовал бы ФБК*. Первой же идеей в этот момент было сначала найти домен в Google, и она увенчалась успехом, ведь на второй странице поисковика красовалась проиндексированная KubeWebView - вебпанель для доступа до инфраструктуры Kubernetes.

Прошу заметить одну интересную деталь про этот результат - он начинается с www - эта ошибка в конфигурации домена в сервисе дашборда, а значит таких доменов, как www.rus.vote, должно быть больше. Вот еще примеры доменов, что удалось найти, которые указывали на сервис вебпанели и спокойно искались в Google/Duck по запросу "Kubernetes Web View", сейчас они все кидают 404:

Здесь показан более поздний процесс поиска в DuckDuckGo
Здесь показан более поздний процесс поиска в DuckDuckGoЧто было найдено
Что открывается человеку, который зашел в вебпанель Kubernetes? - Достаточно много информации о состоянии системы, железе, участвующем в кластере, логам запущенных сервисов, секретов (если те не были скрыты), значений в environment'е,... Первое, что я увидел были staging кластер, на котором было запущено много разных сервисов и удобная кнопка экспорта в формат tsv или yml в зависимости от данных:

Все поды, запущенные на кластере ФБК*
Все поды, запущенные на кластере ФБК*
Из всех подов, что я обнаружил, самыми интересными оказались:

  • Сервис ganimed - в логах было много почт, которым отправлялись письма с шаблоном "emails/email_confirm.html", "emails/email_singer_observer_confirm.txt"
  • Сервис headquarters - в логах опять почты и упоминание shtab@navalny.com
  • Другие поды: в основном всегда пара или тройка сервисов из фронта и бэка на django
  • Secrets и ConfigMaps
Логи ganimed
Это оказалось одной из самых интересных находок-комбинаций факторов: на бэке не был отключен дебаг, KubeWebView не смог скрыть почты, разработчики ФБК* решили логгировать все почты, на которые они высылали письма, в том числе и от УГ.

Для небольшого теста (reality check, а вдруг нашел кластер для разработки, и все не так плохо) я послал запрос на регистрацию на УГ с помощью почты "test@test.com"

1deeb73f9d4f32b15c5465829a83de12.jpg

В логе я сразу обнаружил:

ganimed-django-rq-685597bfd4-k2jsh main 2021-06-24T17:43:43.822640701Z 20:43:43 high: landing.tasks.email.send_confirmation_email_async(confirm_url='https://votesmart.appspot.com/email-confirm/91c30631f88e4b6b8d65/', html_template='emails/email_confirm.html', subject='ÐожалÑйÑÑа, подÑвеÑдиÑе поÑÑÑ', to='test@test.com', txt_template='emails/email_confirm.txt') (8c2e27a7-2bde-4b0f-b759-7d1952a69b7b)
Видеть это было больно, а таких логов там было на 40 дней. Вверху окна с логами в дашборде можно было указать фильтр и кол-во линий для вывода: таким образом можно было стащить хорошее количество почт, и данных когда и что именно на эту почту было выслано.

Секреты в ConfigMaps
Следующее, что я решил откопать - были секреты. Их положение было сразу известно - это ресурс Secrets. К счастью для ФБК*, все секреты в ресурсе Secrets были скрыты - на это указывал issue в репо KubeWebView и наши находки:

apiVersion: v1
data:
CELERY_BROKER_URL: '**SECRET-CONTENT-HIDDEN-BY-KUBE-WEB-VIEW**'
DJANGO_DB_HOST: '**SECRET-CONTENT-HIDDEN-BY-KUBE-WEB-VIEW**'
DJANGO_DB_NAME: '**SECRET-CONTENT-HIDDEN-BY-KUBE-WEB-VIEW**'
DJANGO_DB_PASS: '**SECRET-CONTENT-HIDDEN-BY-KUBE-WEB-VIEW**'
DJANGO_DB_USER: '**SECRET-CONTENT-HIDDEN-BY-KUBE-WEB-VIEW**'
FB_PASSWORD: '**SECRET-CONTENT-HIDDEN-BY-KUBE-WEB-VIEW**'
FB_USERNAME: '**SECRET-CONTENT-HIDDEN-BY-KUBE-WEB-VIEW**'
Но.. у разработчиков есть всегда другой источник переменных данных - environment, или в интерпретации от Kubernetes - ConfigMaps. В итоге разработчики ФБК* успешно использовали их для хранения секретов... удобно видимо. Иронично, что в конфигмапах elections-api я обнаружил это:

apiVersion: v1
data:
ANTICAPTCHA_CLIENT_KEY: 8c12***4a
CANARY_HOST: https://canary.navalny.com
CANARY_SERVICE_KEY: 1e***79
CIK_API_HOST: https://cik-api.navalny.com
DB_HOST: 10.***
DB_NAME: ele***i
DB_PASS: O***8
DB_PORT: '5432'
DB_USER: django
ELASTIC_HOST: ela***db
ELASTIC_PORT: '9200'
FROM_EMAIL: info@rus.vote
# ирония:
MAILGUN_API_KEY: 3***1d
Как и другие данные - доступы до внутренних сервисов; доступы до БД; ключи от сервисов Amazon, Google, ботов Telegram; пароли от Facebook и Instagram - ключ от mailgun оказался рабочим и часто используемым.

Выводы и пожелания
Эта калитка (а точнее несколько) в врата оппозиции висела на Google и других поисковиках больше, чем 10 дней на момент починки дыры безопасности:

23 июн 2021 11:05:54 GMT как пример - на одной из таких страниц была указана дата 13 июня
23 июн 2021 11:05:54 GMT как пример - на одной из таких страниц была указана дата 13 июняОшибочная информация по Bing: дата создания контента предположительно неверно интерпретирована движком поисковика
В связи с этим хотелось бы получить ответ на несколько простых вопросов:

  • Кто, когда и сколько раз ходил на этот ресурс извне ФБК*
  • Какие данные могли быть слиты кроме того, что я представил в статье
  • И самое важное: почему вы молчите?
Сейчас было слито порядка 20 тысяч (в источниках фигурирует цифра 200 тысяч) почт, сколько данных еще в запасе у людей с корыстными мотивами - неизвестно.

P.S.: как уже было сказало, я написал ФБК* сразу как обнаружил эту дыру (Thursday, June 24th, 2021), они даже отписались о том, что приняли меры и сменили ключи в конфигмапах. Эта статья с ними не согласована. Письмо от ФБК мне прилагается: https://gofile.io/d/2UsYQa

Какой-то лютый пиздец: и эти люди запрещади ковыряться в носу! всерьёз планировали рулить государством... Такое впечатление, что какой айтишник Усть-Задрищенской межрайбазы более компетентен и ответственнен за данные, хранящиеся в конторской 1С.
 
Назад
Сверху Снизу