dxdt.blog: занимательный интернет-журнал

Опубликовано исследование распространения CMS в Рунете, включающее, кроме того, анализ использования современных веб-технологий (HTML5, различные DOCTYPE и др.). Выполнено аналитической группой RU-CENTER.

С большим отрывом побеждают Joomla! и WordPress, Drupal – третий. Там, по ссылке, опубликовано описание методики и ещё куча интересной статистики.

Координационный и технический центры российских национальных доменов готовятся к введению DNSSEC в .ru – это основной домен из трёх (su, рф, ru). Вот, пишут, что сгенерировали ключи и положили их на изолированный компьютер (air gap, да). Подписать .ru обещали до конца этого года. Так что можно, в принципе, готовить серверы и свои зоны. (Я dxdt.ru уже подписал; вот значение для DS – 12E833887648F73B80E06CC86252E025FFE5F75F.)

В блоге The DEW Line на Flight Global пишут про слухи (с картинкой), касающиеся секретной разработки (для штатовских ВВС) нового малозаметного летательного аппарата, – возможно, беспилотного, – сравнимого с Boeing 737 по размаху крыла. То есть, это может быть бомбардировщик. Заголовок, при этом, написан с неким сомнением – мол, действительно ли ведутся такие разработки?

А ведь странно же сомневаться в том, что именно такие разработки и ведутся. Понятно, что – да, всё именно так и есть. Это тот случай, когда конструкторам сложно представить что-то неожиданное, когда наблюдателям удобно строить прогнозы. Каким ещё может быть перспективный штатовский бомбардировщик, как не малозаметным “летающим крылом”? И, естественно, если речь о стратегической платформе, то она должна испытываться в тайне, без официальных заявлений в прессе, а только в сопровождении слухов.

Существует технология DANE, позволяющая использовать DNSSEC для контроля достоверности SSL-сертификатов. Пока что, технология эта далека от практического внедрения, хоть и выглядит очень привлекательно. Существенный вклад в формирование этой привлекательности вносит тот факт, что DANE позволяет придать столь популярным “самоподписанным сертификатам” новый статус, привязав их к цепочке доверия DNS. Конечно, только если в домене уже работает DNSSEC.

У DANE, впрочем, есть некоторые особенности, – скорее, негативные, – которые связаны с тем, что для обеспечения управления доверием используется DNS. Причём, фактически, важную роль играет административная структура этой системы, а не чисто техническая.

Предположим, что кто-то желает перехватить соединение с веб-сайтом, работающим по HTTPS, не вызвав каких-то предупреждений в браузере и подозрений у пользователя. Предположим, что DANE выступает в качестве замены инфраструктуры SSL. Тогда, для незаметного перехвата, достаточно получить управление серверами имён, поддерживающими домен, в котором находится атакуемый сайт. Серверы можно взломать. Или просто изменить на свои. Существенный момент: потребуется перехватить и управление записями DNSSEC в зоне уровнем выше, либо заполучить секретный ключ, с помощью которого подписывается зона. При правильном сопровождении домена – сделать это непросто. Однако нельзя исключать, во-первых, взлома панели управления регистратора, а, во-вторых, того, что на каком-то этапе какой-то провайдер DNS может “посотрудничать” с “заинтересованными лицами”.

Дальнейшие шаги понятны: генерируется “самоподписанный” сертификат для атакуемого домена (сайта), вносятся записи DANE в доменную зону, и всё – готово: HTTPS-соединение качественно перехвачено.

Теперь сравним это “безобразие” с ситуацией, когда используется “штатный” SSL-сертификат, выданный в рамках современной общепринятой инфраструктуры, а DANE – не существует. Злоумышленник, получивший тем или иным способом управление зоной DNS, в которой находится адрес атакуемого сайта, без труда сможет перенаправить посетителей на свой сервер. Однако, так как поддержки DANE нет, для того, чтобы представить этим посетителям видимость легитимного HTTPS-соединения, придется как-то выпустить валидный SSL-сертификат для атакуемого домена. И тут требуется взаимодействие с третьей стороной, с удостоверяющим центром, который нужно либо обмануть, либо взломать. Справедливости ради отмечу: и то, и другое – неоднократно проделывалось специалистами на практике. Но факт, что DANE тут может сыграть на руку атакующей стороне, остаётся фактом.

Этот, только что описанный, момент, а также довольно интересное наблюдение, говорящие нам о том, что если удостоверяющие центры во многих случаях обязаны тщательно проверять клиентов, которым выдают сертификаты, а регистраторы доменов тщательную проверку могут не проводить (не проводят, естественно; иначе – рынок рухнет), являются основными аргументами против внедрения DANE. Но есть надежда, что технологию таки введут в обиход, несмотря на эти потенциальные проблемы. Проблемы можно задавить тщательной реализацией DANE в браузерах.

(Напомню, что в спецификации DANE учтены случаи использования SSL-сертификатов, выданных удостоверяющими центрами, которые могут входить в существующую “браузерную” инфраструктуру; а могут и не входить, да.)

(На правах технократического юмора.) Предположим, что Интернет качественно “закрыли” и “зафильтровали”, наконец-то обеспечив граждан специальными “тонкими клиентами” – компьютерами, оснащёнными сертифицированным и защищённым ПО, с помощью которого лишь и можно ходить в Сеть, понятно, под строгим автоматическим контролем. Как предполагается, это самый эффективный способ создания “закрытого Интернета будущего”.

Естественно, есть занятный способ организации стеганографического канала связи поверх такой системы. Так как в “тонкий клиент” вмешиваться нельзя, то для приёма информации используется другой компьютер, оснащённый видеокамерой, которая направляется на экран сертифицированного клиента. Полученная, при помощи этого клиента с сотрудничающего с пользователем сайта картинка, содержит “дополнительную нагрузку”, которую компьютер декодирует и расшифровывает по изображению с видеокамеры. При наличии видеопотока – можно скрытно передавать второй видеопоток, меньшего разрешения (ну или радиопередачу).

Проблемы, впрочем, остаются. Как организовать высокоскоростную обратную связь? Как передавать ключи?

Авианосец “Энтерпрайз” – USS Enterprise (CVN 65) – отправили на покой. Это был первый атомный авианосец, в строю с 1961 года, без малого – полвека. Говорят, тем же именем назовут третий современный авианосец класса Gerald R Ford.

В комментариях Зашёл-в-гости навёл на интересное видео: второй экземпляр X-47B успешно взлетает при помощи катапульты (как на авианосце, на который отправлен другой экземпляр этого ЛА), но, впрочем, пока на земле. Естественно, это обычная практика, испытывать “катапультный взлёт” на земле. Видео – по ссылке под картинкой.

Быстро тема развивается.

График, отражающий отключение Интернета в Сирии:

Более подробная информация – на сайте Renesys.

Пишут, что в Сирии Интернет отключен, практически на 100%.

Продолжаем тему авианесущих кораблей. Вот, в понедельник, экспериментальный боевой беспилотник X-47B загрузили на штатовский авианосец Harry S. Truman (“Гарри Трумэн”). Для испытаний.

Естественно, пишут, что “будущее уже здесь”. В общем, не так далеко от истины, наверное. Фото:

Кстати, при автоматической посадке на авианосец (“вслепую”), логичным является традиционный метод, когда самолёт ведёт система, установленная на борту авианосца, а не некий “самолётный навигационный комплекс”. Вроде, я когда-то даже писал об этом. Основная хитрость в том, что авианосец – движется, соответственно, движется и его палуба. У навигационной системы самолёта нет точной информации о том, как эта палуба движется, а вот система, находящаяся на авианосце, по понятным причинам, может предсказать перемещение очень точно.

По ссылке – старая записка о посадке на авианосец.