Privacy
Lenovo sprzedawało „szyfrowany” pendrive, który był zwykłą kartą SD
Badacz zdemaskował ThinkPlus FU100: czytnik linii papilarnych tylko włączał USB, a dane na karcie nie były szyfrowane. Lenovo opublikowało trzy CVE.
Wydanie opracowane przy pomocy sztucznej inteligencji. Tekst i lektor wygenerowane automatycznie.
ThinkPlus FU100 od Lenovo: „szyfrowanie AES-256” okazało się zwykłą kartą SD
Badacz bezpieczeństwa Xusheng Li ustalił, że sprzedawany jako urządzenie z szyfrowaniem AES-256 pendrive Lenovo ThinkPlus FU100 w środku był zwyczajną kartą SD. Czytnik linii papilarnych jedynie włączał połączenie USB, a nic na karcie nie było zaszyfrowane. Dalsze analizy wspierane przez AI wykazały konta backdoor w dysku innego producenta oraz zaszyfrowane na stałe klucze w kolejnych „bezpiecznych” produktach USB. Lenovo poinformowało, że wskazane produkty ThinkPlus projektowano na rynek chiński i są dostępne tylko w Chinach kontynentalnych. Po zgłoszeniu w sierpniu 2025 r. firma przeprowadziła koordynowane ujawnienie, usunęła problemy sprzętowo i programowo oraz w styczniu 2026 r. opublikowała biuletyn i trzy CVE: CVE-2025-13453, CVE-2025-13454 i CVE-2025-13455. Posiadacze urządzeń mogą zgłosić się do wsparcia Lenovo po wymianę.
OpenAI po cichu włącza trenowanie modeli na rozmowach z Codex
Użytkownik zgłosił, że opcja udostępniania danych w OpenAI Codex została mu oraz jego współpracownikom po cichu ponownie włączona, choć wcześniej świadomie ją wyłączyli, by nie wyciekały informacje chronione własnością intelektualną. Nikt z grupy nie wyraził na to zgody. Sporny przełącznik to „Improve the model for everyone” w ustawieniach danych ChatGPT pod chatgpt.com/settings/data-controls. Zgłaszający pytał, czy problem jest odosobniony, czy powszechniejszy, i zauważył, że podobne zachowanie raportowano już wcześniej na Hacker News. Udostępnianie danych można też wyłączyć przez portal prywatności OpenAI pod privacy.openai.com. Materiał nie podaje, ilu użytkowników dotyczy sprawa ani jak OpenAI skomentowało zgłoszenie.
OpenAI seems to be silently re-enabling model training on Codex chats →
Tematy: OpenAI CodexOpenAI
Fork Signal Molly nieaktualizowany od trzech miesięcy i podatny na znane ataki
Molly, fork komunikatora Signal, nie był aktualizowany od wersji v8.19.2-4 wydanej 31 lipca i zawiera luki, które w głównym Signal zostały już załatane. Przykładem jest najnowszy exploit ujawniony w październiku, naprawiony w Signal 8.27.1, podczas gdy Molly pozostaje podatny. Użytkownikom zaleca się obecnie korzystanie z głównego Signal i usunięcie Molly do czasu, aż projekt wznowi należyte aktualizacje — jeśli w ogóle to nastąpi. Materiał nie precyzuje, ilu użytkowników dotyczy problem ani czy twórcy forka odnieśli się do zarzutów.
Tematy: Prywatność komunikatorów
FSB dostanie całodobowy wgląd w dane klientów giełd kryptowalut od marca 2027
Rosyjska Federalna Służba Bezpieczeństwa (FSB) uzyska całodobowy dostęp do danych osobowych klientów giełd kryptowalut od marca 2027 r. Zapis znalazł się w dokumencie Banku Centralnego z uwagami do ustawy „O walutach cyfrowych i prawach cyfrowych”, na który wskazał Sarkis Darbinyan, współzałożyciel Roskomsvoboda. Uczestnicy rynku, banki i stowarzyszenia chcieli przekazywania danych FSB tylko na wniosek i bez dostępu do kluczy prywatnych oraz narzędzi podpisywania transakcji przez SORM. Bank Centralny odrzucił te propozycje, twierdząc, że podejście uzgodniono z FSB. Służba otrzyma m.in. imiona i nazwiska, dane paszportowe, numery podatkowe, telefony, e-maile, transakcje, dane bankowe, numery kont i adresy portfeli, adresy IP, godziny logowania oraz korespondencję z platformą. Darbinyan ostrzega, że wdrożenie SORM będzie kosztowną inwestycją w sprzęt i utrzymanie.
Tematy: Bezpieczeństwo kryptowalut
Bee Frontier za 75 dolarów nagrywa rozmowy, a przepisy o zgodzie nie nadążają
Amazon przez spółkę Bee wprowadził opaskę Bee Frontier za 75 dolarów z dwoma mikrofonami, która nagrywa spotkania i rozmowy, a transkrypcje i podsumowania udostępnia na telefonie lub komputerze. Firma przygotowuje też akcesorium do śledzenia połączeń. Zapewnia, że dźwięk jest przetwarzany w czasie rzeczywistym i natychmiast usuwany, a transkrypcje trafiają do zaszyfrowanego środowiska niedostępnego pracownikom Amazona; dioda LED świeci się podczas nagrywania. Apple pokazało Siri Recap dla najnowszych modeli Apple Watch, a okulary Vonder śledzą stronę rozmówcy. Ekspertka EPIC Sara Geoghegan uważa diody za niewystarczające, bo postronni mogą ich nie zauważyć. W Kalifornii i na Florydzie prawo wymaga zgody obu stron na nagrywanie prywatnych rozmów, a mała dioda na okularach nie jest taką zgodą.
AI wearables want to remember everything. What happens when we can’t forget? →
Tematy: Prywatność urządzeń smart