dxdt.blog: занимательный интернет-журнал

Провёл маленькое исследование: пока добирался из загорода до московского офиса, компьютер (ноутбук) в машине записывал из эфира сигналы WiFi-устройств. Из-за московских пробок время в пути составило около двух часов.

Статистика: встретилось 533 клиентских устройства WiFi. Обратите внимание: это не точки доступа, которых повстречалось более 1500 штук, а разные планшеты, смартфоны, ноутбуки и тому подобные штуки. Всё это время автомобиль находился на разных городских улицах, не во дворах, то есть, разумно предположить, что большая часть – мобильные устройства. (И это не метро! Там плотность устройств была бы выше, это очевидно.) Из 533 устройств 363 (~68%) не были, в момент обнаружения, привязаны к точке доступа. То есть, это неплохо подтверждает гипотезу о преобладании мобильных устройств в полученной выборке.

Так вот, 130 устройств передавали в эфир список идентификаторов точек доступа, к которым они ранее подключались. Я писал об этой особенности реализации WiFi раньше. 130 штук – это около 24%, примерно четверть. Немало, да.

Наверное, для получения сильно большего количества интересной информации, нужно собрать больше данных и провести кластеризацию по названиям сетей. Кто-то уже этим занимается, я уверен. А так, довольно занятно было встретить в перечне идентификаторов устройство, упоминающее, например, openstat, RIW_WiFi_FREE и infospace. Как говорится: умному достаточно. А если ещё вспомнить про географический инструмент для персональной идентификации, о котором я также подробно писал, то ситуация становится только интереснее. “Куда катится этот мир?” – говорят в таких случаях.

(Да, заблокировать передачу всякого подобного “мусора” в эфир можно, отключив использование WiFi, других универсальных способов я не знаю.)

Спрашивают в комментариях к записке об использовании открытых и “чужих” сетей – зачем нужен собственный резолвер DNS, налаженный внутри VPN?

Давайте сперва вспомним типичный сценарий использования DNS. Для того, чтобы получить адрес узла, соответствующего данному имени, нужно опросить несколько серверов DNS. Обычно, этот опрос берёт на себя некий резолвер (специальная программа), принадлежащий провайдеру услуг доступа в Интернет и выполняющий извлечение адресов по запросам клиентских компьютеров.

Понятно, что в случае с собственным VPN-соединением, запущенным через “чужую” сеть, определять адреса серверов может всё тот же провайдерский резолвер. В конце концов, через VPN ходит TCP/IP, а не символьные имена доменов. После того, как резолвер определил IP-адрес сервера, соединение будет устанавливаться уже через VPN.

Но, как вы понимаете, паранойя встречается разных типов и масштабов, а резолвер провайдера как раз и используется для того, чтобы осуществлять подмену адресов страниц. Ведь именно при помощи подстановки “кривого” адреса в ответ на запрос о любом домене происходит переадресация браузера на замечательные страницы с предложением приобрести ту или иную услугу, с напоминанием о том, что на счёте мало денег, и так далее, и тому подобное. “Чужой” резолвер ставит крест на всех полезностях VPN, если, конечно, вы планируете использовать DNS. (Кроме того, если вы настроили локальную маршрутизацию таким образом, что весь трафик ходит через VPN, может возникнуть проблема: резолвер владельца сети не станет обслуживать запросы, поступающие с вашего компьютера, потому что они будут приходить извне – со стороны шлюза VPN.)

Другое решение – держать рекурсивный резолвер локально, на своём ноутбуке. Я не уверен, может ли это делать Windows (наверное, может), но с юниксоподобными системами проблем нет, достаточно поднять локальный BIND. Трафик резолвера нужно завернуть в VPN, это обеспечит секретность. (Тут есть подводный камень: использование NAT, – а трафик из VPN во внешний мир может выходить именно через NAT, – грозит тем, что испортится один из защитных механизмов DNS, который называется “рандомизация портов UPD на источнике запроса”; но это другая история.) А главный недостаток один: нужно на каждом клиенте VPN держать свой рекурсивный резолвер. Неудобно. Поэтому куда более логично разместить собственный резловер на сервере, обеспечивающем VPN. Всё равно этот сервер работает постоянно.

А кроме того, редкий провайдерский резолвер поддерживает DNSSEC. Я таких вообще не видел.

(И, хорошо, можно использовать открытые сервисы, наподобие Google public DNS, но это всё ж не то решение, которое сравнится с собственным резолвером. При этом гугловский сервис быстрее. В моём случае – заметно быстрее.)

Делюсь ссылкой на пример страницы, использующей Media Queries (это такая современная браузерная технология, позволяющая активно управлять отображением в веб) – для понимания того, как штука работает, нужно поманипулировать размерами окна браузера: изменяется и взаимное положение текстовых колонок, и размер шрифта. Кстати, те же эффекты происходят при просмотре страницы теста с мобильных устройств, при выводе на печать.

Автор теста – Артемий Ломов.

Микроэлектронные комплектующие, которые производятся и закупаются за рубежом, могут содержать в себе аппаратные закладки (строго говоря, и отечественные микросхемы тоже могут содержать закладки, но это уже другая категория рисков). Понятно, что такие закладки могут вредить оборудованию, в составе которого используются вредоносные микросхемы. Тут нетрудно наметить сразу несколько направлений борьбы.

Во-первых, можно производить все комплектующие самостоятельно, на проверенных заводах. Ничего не закупать. Второй путь: можно совершенствовать инструменты выявления закладок, чтобы не использовать опасные микросхемы, а закупать хорошие. Плюс – улучшать архитектуру электроники, строя системы таким образом, что даже сработавшая закладка не приносит заметного вреда. Да, закладку вполне реально спроектировать практически необнаруживаемой. Но такое проектирование потребует дополнительных вложений от разработчика. То есть, опять возникает экономический аспект.

Понятно, что собственное производство обеспечивает некоторую дополнительную независимость для государства. Вопрос в том, является ли этот момент ключевым, дающим какое-то уникальное преимущество. Исследование микросхем – ничуть не менее высокотехнологичное направление, чем их производство, так что всякие дополнительные бонусы, вроде развития прикладной науки, сохраняются. При этом доступ к глобальному рынку позволяет получить более широкий ассортимент комплектующих. Какой подход, в итоге, оказывается эффективным? Постройка собственного производства или развитие инструментов контроля?

Занятно, что новые веб-технологии стороны клиента содержат всё больше и больше разнообразных “алгоритмических” добавок, работающих без всякого Javascript. Например, в технологии Media Queries есть логические выражения, преобразование которых проводит браузер, оперируя разными свойствами доступного окружения операционной системы (типа размера окна и так далее). Поделюсь парой полезных ссылок по этой теме, это статьи проекта WebHiTech:

• С удобством от устройства к устройству. Часть 1;
• С удобством от устройства к устройству. Часть 2.

А вообще, такое развитие – прямой путь к появлению всевозможных новых уязвимостей. Интересно, возникнут ли вредоносные программы, распространяющиеся исключительно внутри файлов CSS?

Кстати, вот долгоиграющая тема – мимикрирующий под домен “Проверка.РФ” адрес http://проверка.рф⁄click.dxdt.ru/. Я завёл этот адрес в 2009 году, в демонстрационных целях. Надо сказать, что браузеры с тех пор сильно улучшились, данный “кривой” адрес отображают хорошо, в Punycode. А вот Google пока что не меняется. Как и раньше, на странице выдачи по запросу “Проверка.рф” домен отображается кириллицей, результат неотличим от адреса под настоящим кириллическим доменом верхнего уровня. Впрочем, про это я уже рассказывал полтора года назад, со скриншотом.

Сообщают, что в браузере Chrome планируется отказаться от поддержки онлайн-проверки SSL-сертификатов на предмет отзыва. Соответствующие протоколы позволяют браузеру проверить, не отозван ли сертификат, который ему предъявляет тот или иной сайт при соединении по HTTPS. И такая проверка проводится непосредственно перед тем, как принять (или не принять) сертификат, с помощью запроса к специальному серверу.

Тут, между прочим, кроется известный канал сбора статистики по посетителям защищённых сайтов: если вы приобрели и установили себе SSL-сертификат, подразумевающий онлайн-проверку отзыва, то браузеры посетителей при заходе на сайт (по HTTPS, понятно) будут дёргать соответствующие сервера удостоверяющего центра, сообщая, таким образом, что да, вот мы посещаем такой-то ресурс. В результате можно построить портрет аудитории сайта.

Возвращаясь к Chrome – в исходном сообщении уверждается, что затраты на обеспечение онлайн-проверки превышают выигрыш в безопасности. Ну и плюс утечка “личных поведенческих данных”. То есть, браузер, как можно предположить, становится ещё быстрее, остаётся не менее безопасным, а отзыв сертификатов планируют отражать при помощи обновлений Chrome.

Да, интересно наблюдать, как Chrome сперва вылез в браузеры-лидеры, а теперь начинает активно влиять на технологические традиции рынка.

Помните известную идею про “незапертую консоль”? То есть, оставленный без присмотра компьютер, на котором только что был выполнен логин добросовестным пользователем – и теперь система доступна проходившему мимо злодею? Вот в DARPA озаботились постройкой инструмента, позволяющего непрерывно мониторить, кто там за компьютером работает: тот же человек, у которого есть соответствующий доступ, или уже другой человек.

Для решения задачи предлагается вычислять некую поведенческую (“когнитивную”, как вариант названия) сигнатуру. Без использования специальной аппаратуры, на первом этапе. Сигнатуру можно строить, основываясь, например, на наблюдении за вот такими характеристиками использования компьютера:

• работа с клавиатурой, мышью;
• движение взгляда по экрану (скорость, способ чтения);
• методика поиска информации (ключевые слова, построение запроса);
• методика отбора информации (выделение слов, терминов и так далее);
• структура методов коммуникации (электронная почта, всякие IM).

Ну и, очевидно, придумают ещё всяких признаков.

На основе анализа перечисленных особенностей определяется индивидуальная сигнатура пользователя, которую в DARPA называют биометрической. Анализ может проводить ПО, установленное на компьютере локально. Ну а сама сигнатура служит для аутентификации. Одно из применений – дополнение к паролям, используемым при входе в систему.

Ни чуть не менее интересна такая технология системам контекстной рекламы и банкам – для определения ботов, занимающихся всякого вида “фродом” (злонамеренной имитацией деятельности реальных пользователей с целью незаконного вывода денежных средств).

Кстати, данная технология является разновидностью давней идеи об обнаружении “офлайновых событий” с помощью удалённого анализа статистики использования компьютерной техники, я писал об этом некоторое время назад.

Понятно, что есть куча других, не менее интересных, практических направлений использования столь замечательной технологии, если она будет создана. Пока что DARPA публикует только сообщение о том, что такие разработки требуются агентству. Исходный документ с описанием задачи – доступен на сайте FBO.

Вооружённый смартфоном человек охотно считывает при помощи камеры встретившиеся в окружающем пространстве особые метки-коды. Одни из самых популярных – QR-коды. Технология позволяет отправить веб-браузер, встроенный в смартфон, на произвольный URL (да, нужно подтверждение от пользователя, но, как показывает практика, это не проблема).

Самая занятная особенность использования QR-кодов вместе с Интернетом – в идеальной “геолокационной” функции. Изображения, размещаемые в офлайне, могут содержать уникальные коды. Разместивший знает, где именно какой код он оставил. А использование встроенной в смартфон камеры для распознавания изображения практически гарантирует, что пользователь, только что обратившийся по данной ссылке к веб-серверу, находится рядом с картинкой. Наклейка на столике в кафе “Лютик”? Будьте уверены, что пользователь – за этим столиком. Очень точная система. Не использует GPS и тому подобных штук, которые могут быть пользователем отключены.

Да, конечно, можно придумать несколько исключений: сохранил картинку, вышел из кафе, спустился в метро – только тут прочитал код. Но это далеко от реальных привычек массового пользователя.

Получается, потребитель QR-кода ничего не знает о том, что стоит за кодом. Человек даже не в состоянии прочесть этот код самостоятельно, без использования электронного устройства (сравните с “текстовым” URL). А вот владелец сервера, на который приходит браузер смартфона (мобильного устройства), напротив, обладает как минимум следующей информацией: некий IP-адрес, связанный с устройством (определяет оператора, провайдера, дополнительный источник данных о местоположении); тип устройства; тип ПО на этом устройстве, сведения о браузере; ну и весьма точные данные о местоположении пользователя в данный момент. Удобно, полезно.

По традиции, о капчах. На форуме RU-CENTER мы довольно давно сделали особую геометрическую капчу, но, вроде бы, я про неё не писал раньше. Пример этой капчи:

Капча многослойная. Например, до сих пор приходят сообщения, что там ошибка в тексте описания. Но никаких ошибок нет, просто текст описания является неотъемлемой частью капчи. Основная особенность этой капчи в том, что она отсекает “биороботов”.

Давно уже не секрет, что есть специальные интернет-сервисы, предлагающие услуги по разгадыванию капч людьми. Озвучиваются цены в несколько долларов (или даже в десятки центов) за тысячу разгаданных капчей. Сложно сказать с уверенностью, насколько эти сервисы эффективны, но практика показывает, что многие капчи, на первый взгляд добротные, пропускают спамеров в заметном количестве.

Вернёмся к геометрической капче от упомянутого форума. Для того, чтобы её разгадать, соискатель регистрации на форуме должен прочитать текст, верно сопоставить его с изображением, и построить ключевое слово. Выполнение задания требует хорошего знания русского языка, понимания элементарных математических терминов. Работающий в автоматизированной системе заказного разгадывания капчей человек, во-первых, с высокой долей вероятности вообще не знает русского языка, а, во-вторых, находится в жёстких временных рамках (отвечать на капчи, работая по найму, нужно максимально быстро) и не станет проводить миниатюрное исследование, чтобы разгадать простейший ребус. В итоге, разгадывание такой капчи силами “биоробота” оказывается экономически невыгодным. Чего, собственно, и требовалось добиться. А другие методы заведомо не работают, к сожалению.

Занятно: браузер Chrome в Рунете выбрался в лидеры, LiveInternet насчитали аж 18.6% (первое место). Судя по графикам, Chrome вытесняет IE. Как и предполагали ещё в прошлом году, одна из причин в отсутствии внятного браузера от Microsoft под Windows XP: IE9 там не работает. Но это только одна из причин, да.