dxdt.blog: занимательный интернет-журнал

На сайте U.S. Navy сообщают, что в непосредственной близости от их корабля летал Су-24. При этом пишут буквально следующее: “…an unarmed Russian Su-24 Fencer attack aircraft repeatedly flew near the Navy ship” (невооружённый российский ударный самолёт Су-24 несколько раз пролетел неподалёку от корабля ВМС). Невооружённый (unarmed), видимо, означает, что это, по мнению штатовских моряков, был разведчик Су-24МР: у него не должно быть пушки, а ракеты они бы видели на внешней подвеске. (Да, понятно, не факт, что это был тот старый разведчик.)

В одной из записок про OpenSSL упоминается каталог уязвимостей, вероятно, используемый NSA (АНБ). Поясню, о чём идет речь: АНБ – всегда было агентством с большими аналитическими способностями; если посмотреть на известную часть истории, то АНБ активно конкурировало с ЦРУ именно на поле аналитических служб и методов обработки информации, с целью извлечения полезных сведений. Соответственно, было бы удивительно узнать, что специальная группа внутри АНБ не следит пристально за всеми обновлениями и изменениями одной из самых распространённых в мире криптобиблиотек – OpenSSL.

Уже для того, чтобы готовить отчёты и комментарии по результатам работы группы, требуется как-то анализировать исходный код, а не просто считать строки и операторы goto. Естественно, полагать, что специалисты АНБ находят все уязвимости – было бы преувеличением. Но достаточно прозрачные вещи, вроде Heartbleed, они должны иногда замечать.

Что касается оперативности: если процесс анализа выстроен синхронно текущему изменению состояния исходников OpenSSL, то и многие уязвимости могут обнаруживаться достаточно быстро, раньше, чем их увидят другие аналитики. Естественно, всё это предположения, и не факт, что качество анализа АНБ сильно превосходит аналогичный показатель разработчиков сообщества OpenSSL, которые (возможно) читают новый код. Но даже при равных показателях, АНБ может иногда повезти: они заметят дефект, который пропустили “конкуренты”.

Ещё немного про OpenSSL. Вся эта история с возможными утечками данных через Heartbleed является полезным уроком. Например, она показала, как очередной небольшой шаг в сторону усложнения и без того непростых протоколов семейства TLS привёл к огромному снижению уровня безопасности.

Откуда взялась уязвимость? В TLS добавили расширение Heartbeat (RFC 6520), довольно экзотическое, и уж точно не критическое для большинства современных сценариев использования TLS в Интернете. По сложившейся традиции, реализацию этого расширения быстренько загнали в OpenSSL. А в результате внедрения этой мало кем востребованной штуки – миллионы сервисов, сами того не желая, получили по огромной дыре. Они, выходит, использовали данное расширение TLS только для того, чтобы желающие могли получать несанкционированный доступ к оперативной памяти. Такая вот безопасность.

Что же было на другой чаше весов? То есть, ради чего добавляли новый код? Что могли бы получить такого полезного от данного расширения TLS все те миллионы сайтов, если бы реализация была выполнена без ошибки? Да в общем – ничего особенного: гипотетическую оптимизацию вычислительных затрат на управление TLS-сессиями. Очевидно, есть некие “структурные проблемы” в процессах создания протоколов, раз так получается.

Хотя, конечно, TLS не сломан, всё идёт своим чередом. Есть шансы, что новая версия TLS будет проще, а пачку расширений отрежут. Посмотрим.

Ко Дню космонавтики традиционное изображение ракеты. В этот раз – стена с мозаикой на тему освоения космоса, сфотографированная, как пишут в источнике картинки, на территории заброшенной советской военной базы в Германии:

По крайней мере, “углубившийся” анализ исходного кода криптобиблиотек даёт свои результаты – в OpenSSL открылась уязвимость, приводящая к утечке содержимого памяти (и на сервере, и на клиенте – без разницы: уязвимость универсальная). Естественно, такая утечка означает, что могли утечь секретные ключи; смена секретных ключей влечёт за собой смену сертификатов, в общем, проблем добавится.

Скорее всего, обнаружение подобных шедевров в коде наиболее распространённых библиотек продолжится. Конечно, с каждой найденной ошибкой защищённость растёт, это факт. Но если учитывать, что в АНБ (наверняка) есть хорошо аннотированные каталоги подобных уязвимостей, то рост защищённости уже не кажется таким уж многообещающим.

Кстати, это очередной хороший пример, объясняющий, почему может быть полезно хранить полный дамп шифрованного трафика. В штатных логах данная утечка никак не отражается, то есть, обнаружить в логах, что утекли ключи – не выйдет (только предположить, что могли утечь). А вот в дампе трафика ключи вполне себе будут заметны, и утечку можно детектировать с высокой точностью.

Пара полезных ссылок:

Diff исправления уязвимости (добавлена проверка границы области памяти, в общем-то, достаточно очевидная для опытного аудитора кода; но такой аудитор должен был ещё посмотреть в код, да).

Онлайн-инструмент для проверки уязвимости конкретного веб-сервера (проверил – похоже, работает корректно).

Сейчас нередко приходится слышать, что тотальный переход сайтов на HTTPS помешает проведению “мягких блокировок” избранных сайтов провайдерами. Потому что в HTTPS, для инспектора трафика, не видны полные URL. Впрочем, тут можно напомнить про SNI – в рамках этой технологии, практически все современные браузеры, охватывающие, наверное, не менее 90% пользователей, передают имя хоста, с которым устанавливают TLS-соединение (HTTPS), в открытом виде:

То есть, хоть URL-ов и не видно, но адрес сайта, с которым пытается соединиться пользователь, системам инспекции трафика (DPI) доступен: блокируй – не хочу.

Вообще, полезно иметь в виду, что ни TLS, ни, тем более, HTTPS, не разрабатывались для преодоления систем фильтрации и блокирования доступа, так что как-то радикально повлиять на ситуацию они не могут. Хотя, конечно, проведение “тонкого блокирования” затрудняют. Но проблема не в этом. Да и “тонкое блокирование” – похоже, мало кому нужно.

А проблема со всей этой набирающей обороты “фильтрацией доступов” в том, что в реальность сетевых инженеров входят новые сложные инструменты, от которых зависит связность Сети. К сожалению, в этой же самой реальности, многие действующие специалисты (даже крупных провайдеров) не умеют правильно настроить более простые и хорошо изученные системы. А тут – непонятная добавка, какое-то блокирование. Так что, вне зависимости от того, наступит тотальное распространение HTTPS или нет, мы, в ближайшее время, встретимся с большим количеством “странных проблем” связности, когда большие кластеры интернет-ресурсов (вполне себе российских) не будут доступны для большого количества пользователей. Решать эти проблемы будет сложно, потому что мало кто будет понимать, что вообще происходит, и кто первый бросил снежок, вызвавший лавину. (Понимание – это отдельная история: сейчас хорошо видно, как это понимание покидает сообщество, а на смену ему приходят карго-культы.)

Кстати, действия турецких провайдеров в отношении DNS вполне хорошо иллюстрируют, зачем может понадобиться “сложная конфигурация” DNS (сервиса доменных имён, то есть) в домашней сети и на персональных компьютерах. Я пару лет назад писал, что держу собственный рекурсивный резолвер на внешнем сервере, а его ответы проверяю локально, благо сделать это несложно. Раньше многие удивлялись такому решению. Сейчас удивления остаётся всё меньше.

В старой записке про аутентификацию внутри DNS, в качестве примера упоминается именно та ситуация, которая (кто бы сомневался!) приключилась в турецком сегменте Сети:

Предположим, что у вас настроен в качестве резолвера собственный сервер (пусть это будет BIND), доступный по IP-адресу 1.2.3.4. Откуда ваша локальная операционная система знает, что, отправляя запросы и получая ответы от 1.2.3.4, – она “разговаривает” именно с нужным резолвером?

Пишут, что турецкие провайдеры, в целях блокирования доступа к интернет-ресурсам, перехватывают трафик, идущий в сторону сервисов Google Public DNS. То есть, трафик пользователей, предназначенный для 8.8.8.8 и 8.8.4.4, заворачивается на локальные узлы провайдера, которые отдают поддельные ответы DNS (в частности, об адресах twitter.com). Перехват касается и других хорошо известных сервисов DNS-резолвинга.

После того, как местные провайдеры начали подменять ответы DNS на собственных, провайдерских, резолверах, пользователи массово перешли на резолверы Google (думаю, многие видели фотографию из Турции, запечатлевшую написанный большими буквами на стене дома адрес 8.8.8.8). Следующим шагом стало заворачивание провайдерами трафика, адресованного данному сервису, на свои узлы. Надо заметить, что, из-за популярности Google, мера наверняка оказалась эффективной.

Вообще говоря, это очередной (и достаточно ожидаемый) шаг в сторону разрушения традиционной связности Интернета. А наличие популярных и хорошо централизованных, в адресном смысле, сервисов, вроде гугловского DNS, только подстёгивает процесс.

(Замечу, что DNSSEC, которая упоминается в статье по ссылке, тут никак не поможет – потому что эта технология не предотвращает блокирование, а только позволяет обнаружить подмену ответов. Интересно, что наличие заранее распределённых по пользователям ключей, являющихся доверенными, создаёт отличный фундамент для введения универсальной системы преодоления подобных преград, выставляемых провайдерами; и не важно, с какой целью эти ключи распределялись – для использования в DNS или ещё для чего-то. Но вот только пользователи всё равно не умеют с ключами обращаться.)

Растёт увлечение инфографикой, которая, в массе своей, становится всё менее полезной. Вообще, в полезной инфографике – все визуальные элементы и графические решения должны быть обоснованы исходными данными: и размеры шрифтов, и расположение “визуалов”, и цвета, и стиль линий, и пересечение границ, а также – все прочие компоненты.

Скажем, если иллюстратор разбросал пиктограммы, обозначающие типы программного обеспечения, вокруг центрального эллипса, в котором собраны частоты использования библиотечных функций, то хотя бы угловые координаты этих пиктограмм (относительно центра эллипса и одной из его осей) должны отражать некие тенденции в исходных данных. В противном случае – “инфографику” нужно называть не инфографикой, а утратившим сюжет комиксом, это будет правильно.

В Штатах очередной раз озаботились защитой от беспилотников в поле – недавно опубликован запрос (RFI – это, фактически, процедура сбора коммерческих предложений по заданной теме; ещё не тендер, но около того) о системах перехвата беспилотников. Отдельно упоминаются миниатюрные (micro sized) аппараты, а в качестве решений по перехвату годятся кинетические и не кинетические средства. К последним, понятно, относятся не только лазеры, но и другие активные электромагнитные системы, в том числе, микроволновые.

Как можно понять из текста запроса, речь идёт вовсе не только о решениях, полностью уничтожающих беспилотники: подходят и различные системы РЭБ, которые способны вывести аппарат из строя.

Интересно посмотреть, в какой вариант выльется это новое направление оборонительных систем.

Есть известная история про (условное) “ведро гвоздей”, которое, если его вывести на околоземную орбиту, эту самую орбиту закроет, так как столкновения “гвоздей” со спутниками приведут к тому, что пространство будет заполнено космическим мусором. Понятно, что, при условии плотного заселения орбиты космическими аппаратами, достаточно удачно разрушить несколько из них, чтобы вызвать каскад столкновений, уничтожающий большую часть аппаратов. Вывести новые аппараты в космос, забитый мусором, чрезвычайно сложно. То есть, получаем закрытый ближний космос.

В качестве развития темы интересны варианты, в которых одна из космических держав проводит контролируемое закрытие околоземного пространства, оставляя лазейку для себя. Все прочие участники космической гонки оказываются не у дел, из-за мусора, а инициатор операции получает монополию на вывод спутников. Как это можно проделать, если вообще возможно?

Тут есть куча проблем. Очевидно, для решения задачи нужны большие наблюдательные мощности, особенно важны радары, находящиеся в космосе, на высоких орбитах, зондирующие спутниковую группировку с другой стороны. С наземными радарами – понятно: их тоже должно быть немало и они должны быть эффективны. Однако сколь детальным не было бы наблюдение, предсказать конфигурацию “мусорного облака”, которое возникнет через несколько часов или, тем более, дней после столкновения сотен аппаратов, нереально, даже если доступны огромные вычислительные мощности.

С другой стороны, можно построить некую “хаотическую теорию” и надеяться, что она позволяет вычислить основные параметры распределения мусора по орбитам. Фантастическим приложением такой теории будет возможность запустить “генерацию” мусора таким образом, чтобы позже получить алгоритм вычисления неких окон, позволяющих выводить аппараты на высокую орбиту по весьма замысловатой траектории, минуя мусор. В планировании такой траектории, опять же, ключевую роль будут играть космические радары и телескопы. Поэтому они должны уцелеть. Замысловатость траектории вывода, в эпоху “после замусоривания орбит”, – является своего рода ключом, позволяющим преодолеть мусор. Чтобы ключ найти, нужна дополнительная информация, которая будет только у одной из сторон.

Можно предположить, что каскадное разрушение спутников запускается даже без особого прогнозирования результатов – действительно, всё равно что-то рассчитать тут невозможно. А ставка делается на то, что инициатору авантюры известен механизм расчёта выводных орбит для любой конфигурации мусора, при некоторых базовых исходных значениях (общее число спутников, их масса и т.д.). При этом, в случае ошибки, космос оказывается закрыт для всех, так что, как минимум, сохраняются равные возможности. (Этот момент особенно важен, если стратеги используют идеи теории игр, да.)

Наверняка для этой непростой задачи есть некие решения. Думаю, о том, какие замечательные преимущества сейчас даёт эксклюзивный доступ к космическому пространству, можно не напоминать.