GNU/Linux

Проект Tor представил выпуск утилиты OnionShare 2.2, позволяющей безопасно и анонимно передавать и получать файлы, а также организовать работу публичного сервиса для обмена файлами. Код проекта написан на языке Python и распространяется под лицензий GPLv3. Готовые пакеты подготовлены для Ubuntu, Fedora, Windows и macOS.

OnionShare запускает на локальной системе web-сервер, работающий в форме скрытого сервиса Tor, и делает его доступным для других пользователей. Для доступа к серверу генерируется непредсказуемый onion-адрес, который выступает в роли точки входа для организации обмена файлами (например, "http://ash4...pajf2b.onion/slug", где slug - два случайных слова для усиления защиты). Для загрузки или отправки файлов другим пользователям достаточно открыть этот адрес в Tor Browser. В отличие от отправки файлов по email или через такие сервисы, как Google Drive, DropBox и WeTransfer, система OnionShare является самодостаточной, не требует обращения к внешним серверам и позволяет передать файл без посредников напрямую со своего компьютера.

От других участников обмена файлами не требуется установка OnionShare, достаточно обычного Tor Browser и одного экземпляра OnionShare у одного из пользователей. Конфиденциальность пересылки осуществляется путём безопасной передачи адреса, например, используя режим end2end-шифрования в мессенджере. После завершения передачи адрес сразу удаляется, т.е. передать файл второй раз в обычном режиме не получится (требуется применение отдельного публичного режима). Для управления отдаваемыми и принимаемыми файлами, а также для контроля за передачей данных, на стороне запущенного на системе пользователя сервера предоставляется графический интерфейс.

В новом выпуске, помимо вкладок для открытия совместного доступа и приёма файлов, появилась функция публикации сайта. Указанная возможность позволяет использовать OnionShare в качестве простого web-сервера для отдачи статических страниц. Пользователю достаточно перетащить мышью необходимые файлы в окно OnionShare и нажать кнопку "Start sharing". После этого любые пользователи Tor Browser смогут обратиться к размещённой информации как к обычному сайту, используя URL с onion-адресом.

Если в корне размещён файл index.html, то будет показано его содержимое, а если его нет, то будет выведен список файлов и каталогов. При необходимости ограничить доступ к информации OnionShare поддерживает вход на страницу по логину и паролю при помощи штатного метода аутентификации HTTP Basic. В интерфейс OnionShare также добавлена возможность просмотра информации об истории посещений, позволяющая судить о том какие и когда были запрошены страницы.

По умолчанию для сайта генерируется временный onion-адреc, действующий пока запущен OnionShare. Чтобы сохранить адрес между перезапусками в настройках предусмотрена опция для генерации постоянных onion-адресов. Местоположение и IP-адрес пользовательской системы, на которой запущен OnionShare, скрыты при помощи технологии скрытых сервисов Tor, что позволяет быстро создавать сайты, которые невозможно цензурировать и отследить владельца.

Из изменений в новом выпуске также можно отметить появление в режиме обмена файлами возможности навигации по каталогам - пользователь может открыть доступ не к отдельным файлам, а к иерархии каталогов и другие пользователи смогут просматривать содержимое и загружать файлы, если в настройках не выбрана опция блокирования доступа после первой загрузки.

В утилите Sudo, используемой для организации выполнения команд от имени других пользователей, выявлена уязвимость (CVE-2019-14287), которая позволяет добиться выполнения команд с правами root, при наличии в настройках sudoers правил, в которых в секции проверки идентификатора пользователя после разрешающего ключевого слова "ALL" следует явный запрет запуска с правами root ("... (ALL, !root) ..."). В конфигурациях по умолчанию в дистрибутивах уязвимость не проявляется.

При наличии в sudoers допустимых, но крайне редко встречающихся на практике правил, разрешающих выполнение определённой команды под UID-идентификатором любого пользователя, кроме root, атакующий, имеющий полномочия выполнения данной команды, может обойти установленное ограничение и выполнить команду с правами root. Для обхода ограничения достаточно попытаться выполнить указанною в настройках команду с UID "-1" или "4294967295", что приведёт к её выполнению с UID 0.

Например, если в настройках имеется правило, дающее любому пользователю право на выполнение программы /usr/bin/id под любым UID:

myhost ALL = (ALL, !root) /usr/bin/id

или вариант, разрешающий выполнение только конкретному пользователю bob:

myhost bob = (ALL, !root) /usr/bin/id

Пользователь может выполнить "sudo -u '#-1' id" и утилита /usr/bin/id будет запущена с правами root, несмотря на явный запрет в настройках. Проблема вызвана упущением из внимания спецзначений "-1" или "4294967295", которые не приводят к смене UID, но так как сам sudo уже выполняется под root, то без смены UID и целевая команда также запускается с правами root.

В дистрибутивах SUSE и openSUSE без указания в правиле "NOPASSWD" уязвимость не эксплуатируема, так как в sudoers по умолчанию включён режим "Defaults targetpw" при котором выполняется проверка UID по базе паролей с выводом запроса ввода пароля целевого пользователя. Для подобных систем атака может быть совершена только при наличии правил вида:

myhost ALL = (ALL, !root) NOPASSWD: /usr/bin/id

Проблема устранена в выпуске Sudo 1.8.28. Исправление также доступно в форме патча. В дистрибутивах уязвимость уже устранена в Debian, Arch Linux, SUSE/openSUSE, Ubuntu и Gentoo. На момент написания новости проблема остаётся неисправленной в RHEL, Fedora, и FreeBSD. Уязвимость выявлена исследователями безопасности из компании Apple.

Комиссия по ценным бумагам и биржам США (SEC) объявила о введении запретительных мер против незарегистрированного размещения цифровых токенов, связанных с криптовалютой Gram, построенной на блокчейн-платформе TON (Telegram Open Network). Проект привлёк более 1.7 млрд долларов инвестиций и должен был стартовать не позднее 31 октября, после чего связанные с криптовалютой токены поступили бы в свободную продажу.

Принятый запрет преподносится как попытка недопустить наполнение рынка США цифровыми токенами, которые, по мнению Комиссии по ценным бумагам США, были проданы незаконно. Особенностью Gram является то, что все единицы криптовалюты Gram эмитированы разом и распределены между инвесторами и стабилизационным фондом, а не формируются в ходе майнинга. SEC утверждает, что при подобной организации на Gram распространяется имеющееся законодательство о ценных бумагах. В частности, эмиссия Gram требовала обязательной регистрации в соответствующих регулирующих органах, но подобная регистрация не была произведена.

Утверждается, что Комиссия уже предупреждала о том, что невозможно избежать выполнения федеральных законов о ценных бумагах, просто называя продукт криптовалютой или цифровым токеном. В случае Telegram, он стремится получить выгоду от публичного размещения без соблюдения давно установленных правил по раскрытию информации, направленных на защиту инвесторов. В частности, вопреки требованиям законодательства о ценных бумагах инвесторами не была предоставлена информация о бизнес-операциях, финансовом состоянии, факторах риска и организации управления.

В настоящее время Комиссия по ценным бумагам США уже добилась временного судебного запрета в отношении деятельности двух офшорных компаний (Telegram Group Inc. и подразделения TON Issuer Inc.). В Федеральный окружной суд Манхэттена также подан иск с обвинением в нарушении требований разделов 5(а) и 5(с) "Закона о ценных бумагах", при помощи которого Комиссия пытается добиться постоянного судебного запрета, расторжения сделок и взыскания штрафа.

В тот же день стало известно о выходе Visa, Mastercard, Stripe, Mercado Pago и eBay (неделю назад из проекта также вышел PayPal) из числа основных участников проекта Libra, в рамках которого Facebook пытается развивать собственную криптовалюту. Представители Visa прокоментировали выход тем, что компания в настоящее время решила воздержаться от участия в Libra Association, но продолжит наблюдение за обстановкой и конечное решение будет зависеть он различных факторов, в том числе от способности Libra Association добиться полного соответствия требованиям регулирующих органов.

По не совсем понятной мне причине, даже последних версиях Ubuntu по умолчанию нет клиента для работы с Windows сетями - Smb. Не беда открываем терминал: sudo apt-get install samba идём в Other locations и пишем:

smb://”IP или имя Windows системы”/”имя папки”. И ничего не открывается. Оказывается в Samba по умолчанию не включена поддержка smb2 и smb3 протокола необходимого для сетевой авторизации для всего что Windows 7 и выше. Нужно отредактировать файл /etc/samba/smb.conf и включить поддержку. Но вот беда файл защищён системой, поэтому отредактировать то его можно, а вот сохранить нет. Опять открываем терминал и пишем: sudo nano /etc/samba/smb.conf

Вводим пароль администратора и ищем строку: workgroup = WORKGROUP добавляем enter ниже дописываем client min protocol = SMB2 ещё раз enter client max protocol = SMB3. Чтобы в законченом виде выглядело вот так:

workgroup = WORKGROUP

client min protocol = SMB2

client max protocol = SMB3

Теперь нажмите ctrl+O чтобы сохранить файл конфигурации и нажмите ещё раз enter.

Последний штрих перезапустить сервис SMB напишите в терминале: service smb start у меня почему-то эта комманда не проходила, поэтому пришлось перезапустить систему.

Теперь идём Files/Other Locations или Connect to Server и пишем: smb://”IP или имя Windows системы”/”имя папки” и вместо ошибки появляется диалог подключения. Тут тоже всё довольно просто.

User: IP или имя Windows системы компьютера к которому вы подключаетесь\имя пользователя которому открыт доступ к этой папке. Например Server1\User03 если в сети есть домен авторизации пользователей на другой машине и доступ открыт через домен нужно указывать сервер авторизации например USER-AUTH\User03 опять же если система в той же подсети, она сможет видеть сервер авторизации пользователей в домен не заходя. Обратите внимание, пользователь находится на удалённой системе, а не на вашей поэтому пишем Server1\User03. (Единственное исключение если и на Windows и на Ubuntu будет создан пользователь User03 с одинаковым паролем, тогда можно Server1\ не писать, но так лучше не делать).

Domain: WORKGROUP - Доменное имя можно оставить как есть, если система не входит в домен, открывать расшаренные папки внутри домена это не мешает.

Password: Пароль пользователя User03 на Windows машине которому открыт доступ к папке.

Если всё сделано правильно, то папка откроется. Если всё равно не открывается, проверьте настроки антивируса, Kaspersky например по умолчанию давит запросы Ubuntu системы даже если она находится в доверенной сети. Надеюсь пост поможет людям которые хотят использовать свою Ubuntu например на рабочем месте, а Windows заточенные админы только разводят руками и говорят “Ну это же Ubuntu, мы тут не знаем”. Достойное место в домашней сети Ubuntu тоже может прекрасно занять особенно на более старом железе, которое медленно тянет Win10. Не могу сказать, что я в восторге от всех этих плясок с терминалом, но в целом очень достойная и главная абсолютно бесплатная ОС.

P.S. Отдельное спасибо Андрею Л. за подсказку с версией самбы.