dxdt.blog: занимательный интернет-журнал

В Музее Фицуильяма (Fitzwilliam Museum) хранится занимательный металлический многофункциональный нож, вроде швейцарского армейского: помимо клинка, инструмент имеет складную ложку, некие крючки и вилку. Ничего необычного, конечно. Кроме того, что этот инструмент с территории Рима датируют третьим веком нашей эры. Материалы: железо (клинок) и серебро. Скорее всего, если это третий век, то нож был весьма специальный, не имевший широкого хождения. Картинка ниже.

Естественно, на ум сразу приходят идеи об особом снаряжении древних “специальных агентов”. Нет, понятно, что подобная чисто бытовая штука им без надобности. Но её существование показывает, что древний механик мог придумать и что-то позаковыристее. Не только придумать, но и изготовить. Вероятно, в силу редкости, подобное снаряжение до нас не дошло. Хотя, должны бы быть какие-то схемы.

(Ссылкой на описание этого ножа поделился Александр Малюков.)

Статья про технологию DANE, которую я написал для “Открытых систем”, появилась в общем доступе на сайте – почитайте.

“Серьезности ситуации придает то, что наличие валидного сертификата и соответствующего закрытого ключа, например для домена example.com, позволяет перехватывать и полностью «прослушивать» пользовательский HTTPS-трафик к сервисам, работающим под этим именем, путем организации атаки типа «человек посередине» с подменой сетевого узла. При этом браузер пользователя не будет выдавать никаких предупреждений, полагая, что соединение устанавливается с доверенным сайтом.”

UPDATE (06.05.13) – статья доступна. UPDATE (03/06/13): по неясной мне причине, статью опять убрали в доступ по подписке. Окей, ладно, это право издателя.

Кстати, пока не закончился месяц май, вот записка шестилетней давности, рассказывающая о первом U-2, экстренно покрашенном под схему NASA.

В контексте проекта мониторинга CMS в Рунете часто спрашивают, как сопровождать робота, собирающего статистику по сайтам. Отмечу, что при большом числе запросов (а робот, опрашивающий CMS-ки, генерирует этих запросов десятки миллионов), важна каждая мелочь. Кратко поделюсь некоторым нашим опытом.

CMS определяются по сигнатурам. Конкретная сигнатура для веб-сервера строится на основании анализа его ответов на специальный набор запросов. Естественно, сама методика опроса серверов должна быть оптимизирована в плане нагрузки. Например, там где только возможно, используются не GET-запросы, а HEAD. Также ограничен разумной величиной поток запросов на конкретный веб-сервер.

Робот корректно представляется в User-Agent. В нашем случае вот так: “Web-Monitoring/1.0; +http://monoid.nic.ru/”. Здесь присутствует адрес в корпоративном домене, под которым находится веб-страница с максимально подробным описанием того, что это за “зверь” забежал на ваш сайт. Почитайте: monoid.nic.ru. Практика подтверждает, что такая страница – необходимый элемент: она снижает обеспокоенность веб-мастеров.

Для IP-адреса, с которого ходит робот, обязательно нужна заполненная обратная зона, с говорящим именем, расположенная в том же узнаваемом корпоративном домене. В нашем случае это monoid-srv.nic.ru. Корректная обратная зона приветствуется не веб-мастерами, но админами и инженерами NOC-ов. (Да, возможно, с точки зрения внешнего наблюдателя, идеально было бы держать веб-сервер с информационной страницей на том же IP, с которого ходит робот, но технологически добротная реализация этого варианта слишком уж затратна.)

Правильно обозначенный робот – это очень хорошо. Прежде всего потому, что излишне осторожные веб-мастеры, обнаружившие следы запросов в логах, получают возможность во многом разобраться самостоятельно.

(А подробное описание методики с оценкой точности, подготовленное Артемием Ломовым, тоже опубликовано на stat.nic.ru.)

Самое актуальное явление из области эволюции Интернета – взаимодействие этой “надгосударственной” сети с суверенностью государств. Выстраивание суверенного сегмента в Интернете естественным образом сталкивается с традицией управления адресацией в глобальной Сети. Посмотрим, например, на IP-адресацию. IP-адреса присваивают сетевым узлам, вычислительным системам, составляющим одноранговую сеть. Как понять, что некоторая вычислительная система находится в суверенном сегменте того или иного государства?

Самоочевидный вариант ответа, учитывающий только географическое расположение узла – мол, на чьей территории, тому и принадлежит – не так уж всеобъемлющ. Допустим, что для решения глобальных государственных информационных задач используется распределённая система, содержащая узлы, расположенные в других странах. Означает ли это, что такие узлы нужно устанавливать только в посольствах (то есть, на своей зарубежной территории)? Мало того, сам по себе IP-адрес ничего не говорит о местоположении соответствующего узла на поверхности планеты Земля.

Вспомним, что IP-адреса распределяются национальными блоками. Тогда можно спроецировать суверенитет в Интернет только через IP-адреса. То есть, если узел адресуется национальным номером, то он в национальном сегменте, и не важно, где расположен физически – всё равно география виртуального пространства отличается от реальной географии. Такой подход тоже имеет интересные стороны. Например, если адреса из национального блока (хоть бы и в рамках некоего договора) выделены системам, находящимся на территории другого государства, то как быть с этими системами? В чей суверенный сегмент они попадают? Можно ли их отключать силами того государства, где они физически расположены? Не будет ли такое отключение расцениваться как “вооружённое” “кибервторжение”?

Можно, конечно, объединить два фактора – принадлежность адресов и географическое расположение узлов. Получится, что суверенный сегмент состоит из узлов, у которых совпадают и, так сказать, порт приписки адреса, и физическое территориальное расположение. Вариант, в общем, неплохой, но остаются проблемы с обозначением и закреплением границ (IP-адреса ведь не привязаны к географическим координатам, а предложенная схема требует их привязать).

Между прочим, многие проблемы установления определённых технических границ в виртуальном пространстве давно решаются средствами протоколов маршрутизации (BGP), которые, собственно, для этого и придуманы. Но вот как привязать BGP к политической карте мира?

В DARPA испытывают прототип экзоскелета, усиливающего возможности человека по переносу различного снаряжения. В принципе, эта штука – прямая основа для костюма с дополнительной бронёй: в ней тяжёлый пехотинец будущего может, сохранив мобильность, приобрести невиданную ранее защиту от стрелкового оружия. Естественно, такие бронекостюмы обязательно построят.

С подобной электромеханической техникой есть известная проблема: в случае повреждения аппаратуры костюма/экзоскелета, которое привело к тому, что он потерял подвижность, боец, привязанный к костюму, оказывается автоматически заблокирован. Поэтому главной функцией является функция быстрого сброса силового костюма. Естественно, в DARPA об этом знают. Правда, на картинке, сопутствующей проекту экзоскелета, среди его достоинств указана возможность размещения под униформой.

Исследовали состояние дел с поддержкой DNSSEC в домене .RU. Пока что корректно подписано только 54 зоны. Всего “пытались подписать” 82 зоны. Самая распространённая причина неработоспособности – просроченные подписи.

Для TheRunet я написал ещё одну колонку, на этот раз – про автомобили.

Несколько избранных записок за этот год:

• Запись, возможная, всех телефонных переговоров в Штатах;
• Полная автономность боевых роботов – причины;
• UDP, спуффинг и онлайн-игры;
• Кэширование “Яндекс.DNS”;
• Идентификация по мобильному телефону – продолжение темы;
• Skype и перехват его трафика;
• Перспективные российские бомбардировщики – скорость полёта;
• Борьба с метеоритами;
• Обнаружение мониторингов и наблюдателей.

Продолжаем следить за беспилотником X-47B. Этот аппарат уже попробовал посадку “конвейером” на палубе авианосца. (“Конвейером” – touch-and-go landing – означает, что после касания сразу же начинается взлёт, то есть, летательный аппарат не останавливается.) Это стандартный подход: перед реальной посадкой как раз обычно тренируются, выполняя такое упражнение. Полноценную посадку обещают позже. Можно сделать вывод, что пока не всё готово и, видимо, тест как раз выявил недостатки. А может – просто придерживаются графика.

Очередное “открытие” из разряда особенностей Skype. На этот раз, похоже, нашли бекдор, сдающий на серверы Microsoft ссылки из переписки пользователей. Подтверждается некоторыми другими источниками, сам я не проверял. Ранее писали про китайскую версию Skype, которая делает примерно то же самое.

Естественно, клиент может передавать всё содержание переписки, причём таким образом, что простым анализом трафика с клиентского компьютера выявить ничего не удастся. Что тут можно сказать? Хорошая программа – Skype. Полезная. Во многих отношениях.

И не одна она, такая программа.