Обещанное про взлом Соколова

[dolboed]

С некоторым опозданием — обещанный комментарий про взлом дневника maxim_sokolov и пользовательскую профилактику.

Журнал maxim_sokolov взломан неизвестными в ночь с 7 на 8 сентября с.г. Очевидно, взлому предшествовал подбор пароля от почтового ящика на @inbox.ru, адрес которого потерпевший не скрывал (а пароль был достаточно прост для перебора). Впрочем, нельзя исключить заражение компьютера Максима Соколова троянским вирусом, поскольку взлому подверглись все ящики, к которым он имел доступ.

Новый журнал Максима Соколова находится по адресу m_yu_sokolov, зафрендить можно здесь. Однако, в силу сохраняющейся вероятности троянца, может так случиться, что и новый аккаунт взломают тем же способом. Максим Юрьевич об угрозе предупреждён, обещал принять меры предосторожности.

С огромным интересом прочитал очередную дюжину комментариев о том, что во всех взломах аккаунтов ЖЖ виновата компания <суп> и я лично, и что "раньше в ЖЖ аккаунты не взламывали". Люди, которые подобное пишут, могут сколько угодно выдавать себя хоть за кулхацкеров, хоть за экспертов в области компьютерной безопасности, хоть за аналитиков, но на самом деле это просто эпигоны старого иртеньевского стихотворения:
Просыпаюсь с бодуна,
Денег нету ни хрена.
Отвалилась печень,
Пересохло в горле,
Похмелиться нечем,
Документы сперли,
Глаз заплыл,
Пиджак в пыли,
Под кроватью брюки.
До чего ж нас довели
Коммунисты-суки!
Фокус в том, что ни один сервис на свете не в состоянии заботиться о сохранности пользовательских данных больше, чем сам пользователь. Поэтому обсуждение способов самозащиты — актуальная контрмера. А попытки найти крайнего среди корпораций, дорожащих своим реноме — всего лишь бесполезный шум. Это не значит, что корпорации ничем не могут помочь. Могут, и со временем помогут. Но на разработку и внедрение действенных механизмов backup/restore уйдут в лучшем случае месяцы, а защищать свои данные нужно уже сегодня.

О средствах резервного копирования ЖЖ я уже писал здесь кратко и здесь подробно. Согласен, что backup без restore неполноценен, но от частого повторения эта мысль не обретает никакой практической ценности. Во-первых, restore может быть написан в любой момент в будущем. Во-вторых, когда он будет написан (<суп>ом ли, 6Апартом ли, или независимым разработчиком вроде Николаева, Чиркова, Ромахина, flashrа), он никак не поможет пользователям, поленившимся загодя сделать backup. А в известных пределах restore содержимого доступен уже сегодня: сохранённое в LJSM можно сразу вылить на любой вебсервер, а LJArchive имеет гибкие возможности по экспорту сохранённых записей и комментариев в HTML.

Весьма подробную инструкцию как по защите аккаунтов, так и по резервному их копированию, я публиковал в этом журнале 19 июня. Настоятельно рекомендую её к внимательному прочтению всеми, кому не безразлична судьба их журналов, а также персональной переписки (как показывает история со взломом Мальгина, иногда гибель ЖЖ — это полбеды).

Disclaimer для тех, кто в танке: эта запись, как и любая другая запись в моём личном дневнике, не является официальной реакцией компании <суп> на взлом дневника Максима Соколова. Это всего лишь частные соображения частного лица, изложенные им на досуге. Если кому-то нужна официальная реакция компании, звоните в пресс-службу, или обращайтесь в сообщество sup_ru.

Copyleft notice: этот документ (равно как и те мои посты, на которые он ссылается) предназначен максимально широкому кругу лиц. Разрешается свободная перепечатка всего текста или любой его части, без предварительного согласования с кем бы то ни было. Вопрос об оформлении ссылки на первоисточник — на усмотрении цитирующего.

Comments

[juliy.livejournal.com]

я почему-то был уверен, что уже видел консольную программу по восстановлению постов с одного аккаунта на другом. заглянул в описание ljsm и ljpms, там такой функционал отсутствует, значит, это была какая-то другая разработка. мне запонилось, что программа может взять посты, сохраненные ljsm и залить их на другой аккаунт с backdate entry и теми же датами/временем, что и оригинал

[dolboeb.livejournal.com]

Попробуй, пожалуйста, найти. Или написать :)

[axc.livejournal.com]

Чаво-то такое было.
Но - без комментов.

[avva.livejournal.com]

ljpms это делает.

офтоп

[webid-studio.livejournal.com]

>Copyleft notice

Антон, как называется термин, позволяющий использовать свободно фотографии? Вы писали как-то: "Фотографии из заметки, как обычно, #это слово#. Для всех, кроме бумажной версии МК".

Re: офтоп

[dolboeb.livejournal.com]

Creative commons, developing nations license
Creative commons не имеют юридической силы в России, а лицензия devnations прекращена и в тех 29 странах, где действуют СС

[mike67.livejournal.com]

Да вот Мальгин помнится говорил, что нормально о безопасности заботился. Я не виню суп, но похоже, что взломать могут любого.

[dolboeb.livejournal.com]

Мальгин слабо адекватен в связи с постигшим его большим горем.

Давайте рассуждать логически.
Если у него взломали сразу много не зависящих друг от друга аккаунтов во многих системах, то какое может быть осмысленное объяснение?
Что много систем сговорились против него одного?
Или наоборот — что мужик цепанул трояна, который сдал взломщику все его пароли?

Заразить трояном конкретного юзера не так уж и сложно.
Слать ему зараженные аттачменты под видом документов от известных людей; слать ему аськой линки на заражающие трояном сайты; оставлять ему такие ссылки в комментах...

Кроме того, если человек пользуется своим компьютером не один, заразиться трояном может второй пользователь, а пароли выкачаются все.

[normal-homyak.livejournal.com]

похоже, что взломать могут любого.
Если ломают через почту, то меня взломать будет проблематично. Доступ к почтовому ящику открыт только внутри локальной сети, даже если троян сольет пароли ящика.

[urod.livejournal.com]

Если я на досуге напишу backup/restore, ЖЖ включит его в свою "официальную" панель инструментов?

[dolboeb.livejournal.com]

Разумеется, если Ваш инструмент будет рабочий, то он будет рекламироваться ничуть не меньше, чем сегодня ljsm.
Но это, увы, не так просто сделать.

[serg-smyslov.livejournal.com]

>> Если я на досуге напишу backup/restore, ЖЖ включит его в свою "официальную" панель инструментов?

Такая возможность была бы очень уместной. И с копией в формате доступном простому пользователю без спецсредств ЖЖ.

Пользователь лучше сохранит свои данные и не только для ЖЖ.

[nikolaevigorche.livejournal.com]

Для тех кто испугался.
Читаем вот это (http://nikolaevigorche.livejournal.com/10919.html)
И еще совет. Купите себе винт. поставте туда операционку и антивирус с анти шпионом. Иногда грузитесь с этого винта и проверяйте свой диск. Естественно базы антивируса должны быть последние.

[rafail.livejournal.com]

Бред какой-то. Линуксовское ядро с драйверами, шеллом и каким-нибудь антивирем спокойно влезет на компач.

[rafail.livejournal.com]

Кстати, для скачки содержимого сайтов существует программа wget (http://www.gnu.org/software/wget/), которой сто лет в обед. Вовсе необязательно изобретать велосипед.

[tochka-be.livejournal.com]

Странно, что никто не говорит о том что, в рамках ЖЖ (или какой-либо другой социальной сети) мы продолжаем действовать в рамках старой формулы "физики и лирики". Первые прочтут этот и подобные этому посты и примут необходимые меры безопастности, "лирики" ( в большинстве своём полагаясь на авсось будут дальше заботится о контенте (это у них всё же лучше получается))))) чем о его безопастности... Ничего нового...

[big-mmike.livejournal.com]

а на Маки нет ничего?

[trankov.livejournal.com]

http://dolboeb.livejournal.com/1028984.html?thread=36229496#t36229496

[lusert.livejournal.com]

А чё, на Лиру нет взломов, вроде кто-то писал, что были.

[ultraleft.livejournal.com]

А СУП может просто вернуть взломанный эккаунт обратно владельцу? Пусть и без стертого содержимого.

Гуттаперчивый мальчик Соколов - служил он в Таллине..

[monkeyfree.livejournal.com]

Соколов - это режущий глаз Шварцевский герой *Дракона* с до чего же гибким пластичным позвоночником, умудряющийся даже в полете топора к шее изловчиться поцеловать лезвие и успеть похвалить самого палача..
Надо же - сам он вел себя так, чтобы предсказать реакцию сильных мира сего относительно себя, а теперь впал в панику деморализации - если говорит о полученном эффекте, то наверное о своем, а не Васи Пупкина...А ведь как старался угодить..Да и теперь - того и гляди станет главным приверженцем НОВОГО ПРАВИЛЬНОГО УМНОГО стиля идеологического контроля и рычагов воздействия на себе подобных..
Просто какая-то говорящая собачка Павлова, руководящая опытами над собой.. :)

*..Он был как юный пионер всегда готов
Служил он в Таллине при Сталине,
теперь лежит заваленный
нам жаль по-человечески его* (Высоцкий)

[trankov.livejournal.com]

Документация по Wget: http://doc.novsu.ac.ru/linux/book/node100.html
Выкачивает не только ЖЖ, но вообще всё что захотите.
Есть, кстати, и графические оболочки для Windows, если кто не умеет или ленится командной строкой.

оффтоп

[feeshka.livejournal.com]

Скажите, можно ли совершить поиск/отобразить все посты, написанные юзером X в комьюнити N?

[mobal.livejournal.com]

ставим Linux, и большинство вирусов/троянов идет лесом. даже антивирус не нужен. и на лицензии сэкономить можно. а бэкапить - да. нужно. можно тем же curl или wget
примерная команда для wget:
wget -recursive -nd -convert-links -o logfile http://nick.livejournal.com

[dr-klm.livejournal.com]

Хорошо за резервное копирование агитируете. Дело нужное.

А как обстоят с этим дела в Livejournal ? Существует ли резервная копия базы ? Нельзя ли восстановить дневник М.Ю. из нее ? Там ведь комментарии, дискуссии, ссылки... Неужели такой клад окажется безвозвратно потерянным ?

К.Л.М.

[kouzdra.livejournal.com]

А есть такой вопрос на смежную тему: мне вчера от хелла насыпалось около 20000 комментов спама. Меня-то это устраивает - я программку для чистки спама как раз отлаживаю и эта старательная обезъянка как раз предоставила материал для опытов. Но спам имеет незапланированный мной побочный эффект - сыплются нотификации владельцам комментов, на которые спам-машинка отвечает.

Вообще-то было бы неплохо, если бы ЖЖ как-то был защищен от этого. Первое решение, которое приходит в голову - при интенсивном комментировании конкретного ЖЖ вводить задержку для комментов.

Публичное резервирование

[awas1952.livejournal.com]

Уважаемый Антон Борисович!

С помощью указанного Вами скрипта я сделал резервную копию своего ЖЖ и намерен регулярно её обновлять. Но в связи с этим у меня возник вопрос, порождённый нынешней запутанностью проблем права на копирование.

Если я выложу резервную копию в открытый доступ на моём сайте http://awas.ws (с надлежащей ссылкой на первоисточник) -- не нарушит ли это чьи-либо авторские права и/или права на копирование? Существуют ли какие-либо юридические отмазкидисклеймеры, позволяющие снять все потенциальные обвинения? Наконец, независимо от юридических формальностей -- как отнесутся SixApart и СУП к такой форме резервирования?