dxdt.blog: занимательный интернет-журнал

Безопасность веб-сайтов и окружающие эту безопасность вопросы постоянно возникают при обсуждении CMS. (CMS – это система управления контентом: программный комплекс, исполняющийся большей частью на сервере и обеспечивающий публикацию материалов на сайте, а также удобное управление этими публикациями из веб-интерфейса.) Безопасность, как “сигнальный объект”, вообще очень популярна. И, конечно, “референсы” на “безопасность” используют при продвижении тех или иных CMS (которые, кстати, бывают коммерческие и бесплатные).

Что тут нужно иметь в виду конечному потребителю, не желающему стать лёгкой добычей маркетологов? Оказывается, достаточно составить хоть и весьма общее, но строгое представление об этих самых вопросах безопасности и их связи с CMS.

Скажем, конечному пользователю весьма важно понимать, насколько “безопасный” (тут это несколько условный термин, понятно) веб-сайт ему нужен. Потому что одно дело – корпоративный сайт крупного банка, а другое – личная веб-страничка, посвящённая разведению сазанов в домашнем аквариуме. Да, безопасность, конечно, на первом месте. Но нужно понимать, что безопасность строится на оценках рисков, и верно эти самые риски оценивать для банка и для странички про сазанов. Дело даже не в наличии уязвимостей в конкретной CMS, а в том, интересен ли сайт профессионалам-взломщикам и сколь велик будет ущерб от нарушения работы сайта.

При составлении собственного представления о безопасности использования конкретной CMS нужно учитывать её отношения с уязвимостями. Тут есть свои важные моменты. Например, то, что сайты под некоторой CMS “Имярек” “за отчётный период” не были взломаны, никоим образом не означает, что “Имярек” сколь-нибудь надёжна и безопасна. Почему? Потому что отсутствие взломов сайтов ничего нам не говорит о безопасности CMS.

Понятно, что сайты под “Имярек” могли быть просто не интересны хакерам. Понятно, что внутри CMS “Имярек” может присутствовать шикарная уязвимость, которую обнаружат завтра. А послезавтра для этой уязвимости хакерская группа напишет бота, и через два дня все сайты под “Имярек” будут взломаны в одном потоке, автоматически. То есть оценить безопасность “Имярека” на основании “полного отсутствия взломов” – невозможно. А если нельзя оценить безопасность, то нельзя и прогнозировать риски.

И если отсутствие сведений о взломах не позволяет оценить безопасность, то информация об успешно залатанных уязвимостях (в том числе, что важно, использованных на практике для взломов) позволяет приступить к оценке безопасности CMS. Такой “парадокс”. Ведь если уязвимости обнаруживают, используют и латают, то это уже свидетельствует, по крайней мере, о том, что кто-то занимается аудитом безопасности данной CMS (хоть бы и хакеры), что CMS поработала в условиях “интереса взломщиков” и что CMS развивается. Конечно, плохо, если новые критические уязвимости обнаруживаются в CMS по нескольку штук в месяц, но ещё хуже, если об уязвимостях вообще нет сведений.

Вообще говоря, более-менее надёжную оценку “уровня безопасности” CMS может дать её аудит, заказанный специалистам. Но это недешёвый и трудоёмкий процесс. Впрочем, он как раз актуален для банков и вряд ли важен для “аквариумных страничек”.

Есть расхожее заблуждение, что можно “вслепую” использовать уникальную “проприетарную CMS”, разработанную специально для данного сайта небольшой дизайн-студией. Мол, “секретность” и “уникальность” внутреннего устройства такой CMS обеспечивает безопасность. В реальности же разработчики подобной CMS обычно наступают на все широко известные в кругах специалистов по взлому (и по безопасности) грабли, допуская шаблонные ошибки в архитектуре продукта. Эти самые шаблонные ошибки и станут отличным фундаментом для проведения атак даже без изучения исходного кода. Мало того, секретность исходного кода вряд ли можно обеспечить на практике: при малейшей необходимости исходники утекут. Есть много путей для такой утечки: “через хостинг”, через дыры в других программных системах, после “шаблонного взлома”. Или, скажем, исходники просто распространит создатель продукта. Главное правило таково: секретность исходного кода вообще  не добавляет безопасности системе.

Можно предположить, что CMS с открытым исходным кодом сильно безопаснее. Однако это не так. Действительно, открытый код доступен для изучения всем и вся. Вопрос тут лишь в том, как оценить квалификацию специалистов, изучавших этот код. Одно верно: сама по себе открытость исходного кода не может снижать безопасность CMS.

Важный момент: из соображений дальнейшего сопровождения CMS, из соображений развития сайта необходимо выбирать продукт только с открытым исходным кодом (пусть хотя бы этот исходный код открывают не неопределённому кругу лиц, а только экспертам), подробное обоснование – в одной из следующих заметок.

Часто приходится слышать, что коммерческие CMS якобы более безопасные, так как в коммерческих компаниях дорожат имиджем и строго следят за безопасностью. Это неверное обоснование. Да, ничто не мешает коммерческой компании делать безопасный продукт и нанимать специалистов-архитекторов ПО высокой квалификации. Однако на практике коммерческие компании старательно ограждают себя условиями лицензирования от ответственности и используют низкоквалифицированных программистов (а архитекторов не используют вовсе), потому что такое поведение позволяет максимизировать прибыль при обычно небольшом числе инсталляций коммерческой CMS. Бесплатные CMS также имеют свой имидж, которым дорожат лидеры групп разработчиков. И при этом нет никаких оснований считать, что те же программисты, приложившие руку к той или иной бесплатной CMS, не работают в коммерческих компаниях над платными продуктами.

Выбирая бесплатную CMS, следует посмотреть, насколько ровно и планомерно она развивается. Нельзя использовать CMS (платную или бесплатную), которую разработчики забросили три года назад. Интересно, что при этом нельзя и надеяться на то, что коммерческая CMS не будет заброшена компанией-владельцем: коммерческие компании тоже успешно исчезают с рынка по самым разным бизнес-причинам.

Эта заметка – начало серии записок про выбор CMS и про безопасность CMS. Продолжение – в следующий раз. Кстати, в продолжении: нужно ли выбирать распространённую CMS? Платная или бесплатная? Что со “стоимостью владения”? и всякие другие интересные моменты.

Интересно, что у небольшой части интернет-пользователей действительно просто развился какой-то “культурный шок”, связанный с грядущими многоязычными доменами в системе адресации Интернета.

Эта часть пользователей – недавно вышедшие из категории полных новичков жители Сети, как-то связывающие свою работу с Интернетом. Действительно, для этой категории пользователей, пришедших в Интернет на закате “классической адресации”, появление кириллицы в именах доменов (равно как и появление других нелатинских азбук) – это что-то вроде “крушения идеалов”, к которым только-только привыкли: планировали поработать в одном Интернете, едва начали хоть что-то понимать, а тут такое знаковое нововведение. Неприятность. Ну и конечно, неприятно этим пользователям то, что они успели лишь к “шапошному разбору”.

Часть B-52 в Штатах отправляют на покой, как сообщает пресс-служба их ВВС. Первый борт уже ушёл, отслужив почти 47 лет.

(U.S. Air Force Photo);

Впрочем, 47 лет – не такой уж и большой срок, если учитывать что бомбардировщики постоянно модернизировали. Так что на самом деле речь идёт о некоторой оптимизации парка стратегических бомбардировщиков, проводимой путём сокращения числа находящихся в строю машин. Заодно можно освободить ресурсы для нового поколения. Ведь понятно, что при наличии большого числа успешно работающих “старых” бомбардировщиков, получить финансирование на закупку новых – сложно. При этом, учитывая бюрократические процедуры и скорость принятия подобных решений, начинать отправку B-52 на свалку нужно загодя.

В блоге dxdt.ru небольшой перерыв, на пару дней.

• Вертикальная посадка F-35;
• Борьба Израиля с ПВО Сирии;
• X-47B – ударный беспилотник;
• Штатовская ПРО – новые успешные испытания перехватчиков;
• Вырезание многоугольников (с мультиком);

На “Информационном буме” в этот раз моя небольшая колонка по теме “Спутника”, которому юбилей.

На фото ниже Northrop N-9M, 1941-1942 год:

Перспективный F-35 Lightning II, как известно, если и будет выпускаться, то в нескольких версиях. Среди этих версий и самолёт для базирования на авианосцах, с коротким взлётом и вертикальной посадкой. Ниже – фото испытаний прототипа, на котором хорошо видно отклоняемое сопло (вот уж отклоняемое, так отклоняемое):

(Фото: Northrop Grumman)

Это, кстати, к вопросу о том, кто может/не может сделать всеракурсное отклоняемое сопло.

Неплохо:

“А тут впервые в жизни чуть не заснул во время разговора прямо в лицо собеседнику (можно так сказать?)”

(Цитата flying-bear отсюда.)

Оказывается, восполнять нехватку специалистов в своих рядах “Яндекс” решил собственными силами, запустив “Школу анализа данных“. Верное начинание. С курсами, правда, не очень понятно.

Вот здесь в блоге пишут, что 6-го сентября проникновение израильских истребителей на территорию Сирии (для нанесения удара по какому-то наземному объекту) обеспечивалось новейшей системой подавления ПВО. Как пишет автор блога, эта система, якобы, не только позволяет отслеживать то, что происходит внутри собственно аппаратуры ЗРК, но и (внимание!) перехватывать управление комплексом на расстоянии. Речь о “Тор-М1” и “Печора-2А”. Выглядит всё это, мягко говоря, сомнительно. То есть, с активной помехопостановкой – это давно известно и понятно; но вот “перехват управления” – какая-то журналистская шутка-утка, похоже.