dxdt.blog: занимательный интернет-журнал

В продолжение записки про ошибку “goto fail” в операционных системах Apple. Это очень показательный случай, очередной. Ошибка, заключающаяся в одной элементарной строке кода, приводит к тому, что “защищённое” соединение можно перехватывать без проблем. И практических методов защиты от использования этой ошибки – нет.

Сравнение отпечатков сертификатов никак не помогает, потому что сертификат используется легитимный, полученный с сервера – ошибка гарантирует, что не проверяется соответствие подписей. Подмена IP-адреса сервера может происходить с помощью DNS, это традиционный способ. Тут, в принципе, некоторую защиту обеспечивает DNSSEC, но только если атакуемый домен подписан (а это вряд ли). Более того, во многих сетевых конфигурациях (скажем, в чужой WiFi-сети) подмену сервера можно провести, сохранив его IP-адрес, то есть, DNSSEC уже никак не поможет. DANE – только добавит пользователю уверенности, что всё хорошо, так как отпечатки сертификатов из DNS и с подставного сервера – совпадут.

Вот.

Так работает современная массовая криптография. Один оператор goto – и больше нет защиты. Совсем.

Нашумевший недавно Outernet – представляет собой довольно наивный проект: сотни низкоорбитальных микроспутников транслируют на землю некий контент, связанный с Интернетом, да так, что этот контент могут принимать даже смартфоны, используя штатный канал WiFi. Схема работает наподобие радиостанции – в одну сторону. То есть, это никакой не “бесплатный WiFi-доступ к Интернету”, как поспешили написать многие СМИ.

Очевидно, что приём смартфоном полезных данных из сигнала WiFi, исходящего с борта кучи быстро движущихся микроспутников, за сотни километров, из космоса, через ионосферу – это, пока что, фантастика. Можно было бы предположить, что орбитальный сигнал смогут принимать модифицированные точки доступа WiFi, оснащённые дополнительными антеннами, но и такой вариант представляется труднореализуемым для массового потребителя.

Интересно, что, помимо прочих слов, на страничке с описанием проекта сказано, что планируется трансляция Blockchain из сети Биткоин. Blockchain позволяет проверять биткоин-транзакции (подробности – в отдельной заметке про биткоины). Однако центральная трансляция Blockchain противоречит основным принципам хождения биткоинов. Предполагается, что через Outernet данные достигнут тех жителей Земли, которым подключение к Интернету недоступно. То есть, спутниковая трансляция будет для них единственным источником Blockchain, соответственно, в него можно включить какие угодно транзакции, сделав ответвление от основной цепочки. Смысл теряется. Ну и, понятно, осуществить транзакцию без связи с Интернетом – всё равно не выйдет, так что особой практической пользы в такой трансляции нет.

(А вообще, спутниковые трансляции могут оказаться полезным источником особого программного обеспечения для граждан. Но это другая история.)

Ещё один пример в поддержку тезиса о том, что полностью непрозрачное национальное киберпространство – это не обязательно хорошо: системы раннего предупреждения о ракетном нападении. Они разнообразными средствами мониторят чужую территорию для того, чтобы у владельцев системы были основания полагать, что они могут определить старт ракет противника с достаточным запасом по времени, то есть сумеют нанести ответный удар.

При этом, сравнимые системы должны быть у каждого из потенциальных противников, иначе нарушается баланс и сильно страдает концепция сдерживания. Поэтому, если одна из сторон предприняла меры, делающие работу системы мониторинга невозможной (территория стала “непрозрачной” для наблюдения), то это сильно обостряет ситуацию. Более того, противник может воспринять такие действия как подготовку к немедленной атаке.

Как известно, сейчас в Интернете активно вводят в строй новые домены верхнего уровня. В некоторых из этих зон уже идёт открытая регистрация. Интересно посмотреть, какой спрос на новые домены демонстрируют пользователи. Есть статистика на сайте Registrar Stats:

Перечисленные зоны стали доступны для открытой регистрации недавно, в феврале. Тем не менее, опубликованные результаты не выглядят оптимистично: пользователями по всему миру за эти дни зарегистрировано лишь около 94 тыс. имён в новых зонах. Для сравнения – в кириллической зоне .РФ за первые сутки открытой регистрации зарегистрировали больше 240 тыс. имён. А здесь – более десятка зон, но менее сотни тысяч регистраций на всех.

Занятно, что новых доменов в очереди на делегирование стоят ещё сотни. Многие из их администраторов, как можно предположить, надеются получить какие-то массовые регистрации. Вот такая вот плоская DNS получается, мало кому интересная.

В продолжение записки об огораживании национальных сегментов Интернета. Сейчас часто приходится слышать, что нужно закрыть национальный сегмент киберпространства (а это более широкое, чем Интернет, понятие), так, чтобы он превратился в чёрное, непрозрачное облако для разведок других стран. Интересно, что Штаты почему-то до сих пор так не поступили, имея все возможности. Хотя, с другой стороны, они могут весь Интернет рассматривать как собственный национальный сегмент. Но это несколько другая история.

Что касается полной непрозрачности. Это далеко не такой однозначный момент. Дело в том, что информирование разведок других стран о чём-то, наличие у этих разведок возможности что-то видеть на чужой территории, получать информацию собственными силами – это важный элемент взаимодействия государств. Совершенно закрытый сегмент пространства вызывает беспокойство потенциального противника, а настороженный противник – это не лучший вариант. Именно поэтому существуют специальные “программы доверия” (скажем, “Открытое небо” и так далее), а также долгая история осознанного взаимодействия спецслужб разных стран в стиле “они здесь всё просматривают со спутника, выкатывайте больше макетов” или “подошли водолазы, будут ставить оборудование по съёму информации на наш кабель”. Наблюдение за передвижением военной техники, за ракетными испытаниями – всё это важные элементы межгосударственного взаимодействия, но, обычно, находящиеся в тени. Поэтому нет оснований считать, что в новомодном межгосударственном киберпространстве, если рассматривать его как новое измерение государственной территории, всё должно быть по-другому.

Тем более, что сколь-нибудь полное закрытие, во-первых, невозможно технически, а во-вторых, приведёт к тому, что всякая активность, направленная вовне – будет тут же замечена. Зато, условно открытый национальный киберпространственный сегмент никаким образом не отменяет ведения активной скрытой работы, в том числе и на чужой территории.

Опубликовали отчёт по результатам годичного мониторинга систем управления контентом (CMS) и других веб-технологий в Рунете. Кроме прочего, там есть граф переходов веб-узлов между разными CMS. Например, видно, что Joomla! активно теряет установки.

Сейчас, в связи с очередными “блокировками”, опять популярна тема использования VPN и прокси-серверов. Думаю, полезным будет ещё раз предупредить о том, что при выборе подобного внешнего сервиса нужно проявлять большую осторожность. Ваш интернет-трафик будет идти через чужие серверы, которые могут его перехватывать. (Да, естественно, трафик всегда ходит через узлы, которые могут его перехватывать, но это не отменяет того факта, что изменять проторенные пути нужно с большой осторожностью.) HTTP-прокси – самый небезопасный вариант. Предложение VPN – тоже ничего не гарантирует само по себе.

То, что заявлена поддержка VPN, не означает, что трафик защищён от перехвата провайдером этого VPN. Соответственно, если вы заходите через некий “бесплатный VPN-анонимайзер” на livejournal.com (или в другой веб-сервис, например, в веб-почту), то кто-то может утащить ваш пароль. Более того, вероятен перехват HTTPS – проверено на практике: многие не утруждают себя чтением и пониманием предупреждений систем безопасности браузеров, а сразу нажимают “Всё равно продолжить”. Хуже того, злонамеренные узлы могут проводить инъекцию кода в веб-страницы, что также ведёт к утечкам важных данных. По факту, риски здесь более опасные, чем некая “блокировка доступа” к той или иной страничке. (TOR-клиенты я бы тоже не рекомендовал – это не VPN, а лишь средство анонимизации; TOR-трафик тоже подвержен перехвату на выходных узлах.)

Если нужно использовать VPN, то либо настройте свой (это не так сложно; например, вот описание настройки VPN c использованием Amazon EC2), либо приобретите подписку у более или менее проверенного провайдера VPN. Сейчас VPN штатно поддерживается всеми распространёнными операционными системами.

В декабре прошлого года я написал о том, сколько может стоить захват сети Биткоин. Тогда вычислительная мощность сети оценивалась в 9500 терахэшей в секунду. Для захвата требовалось закупить такую же мощность. Занятно: мощность растёт настолько быстро, что сейчас сеть уже в два раза мощнее – около 20000 терахэшей в секунду. Так что за минувшие полтора месяца кто-то явно уже закупил нужные мощности. Конечно, не факт, что они имеют координированное управление. Теперь стоимость захвата управления подросла, в два раза. Интересно, как данная пирамида будет строиться дальше.

Из пресс-релиза ЦБ РФ:

Банк России предупреждает, что предоставление российскими юридическими лицами услуг по обмену «виртуальных валют» на рубли и иностранную валюту, а также на товары (работы, услуги) будет рассматриваться как потенциальная вовлеченность в осуществление сомнительных операций в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма.

Отмечу, что операции в сети Биткоин можно эффективно отслеживать путём анализа интернет-трафика – там ничего не шифруется. Грамотно настроенная система DPI извлечёт и факты “выпуска валют”, то есть, в случае биткоинов, – публикацию новых блоков blockchain.

(Подробнее про биткоины я писал ранее.)

В Рунете количество индексных страниц веб-сайтов с доктайпом HTML5 за год увеличилось в 2,25 раза. Чуть подробнее, с графиками – в блоге RU-CENTER.

На сайте Ruward.ru публикуют некое исследование безопасности CMS, сравнивают коробочные (коммерческие) CMS и бесплатные CMS. Методика не ясна, но это другой разговор (с методиками вообще проблема в исследованиях, как известно).

Тут есть другой интересный момент: попытка дать оценку “безопасности” программных продуктов, сравнивая некое “число заражений” (взломов) – обычно является ошибкой. И это очень распространённая ошибка, к сожалению. Факт обнаружения взлома той или иной системы – он говорит лишь о том, что данную систему можно взломать. Но для большинства практических систем и так известно, что их можно взломать. При этом, если взломов некоторой системы не удалось обнаружить, то это вообще ничего не говорит о её безопасности. Уже из этих соображений понятно, что данный критерий не подходит для оценки и сравнения.

Проиллюстрирую ситуацию сугубо практическим примером, основанным на наблюдениях за взломом сайтов на хостингах. Возможен тиражный взлом – это когда одна шаблонная уязвимость используется для того, чтобы автоматом заразить кучу ресурсов. Применительно к CMS, здесь видна следующая тенденция. Если у атакующего есть уязвимость, позволяющая ломать WordPress, то он может рассчитывать на заражение автоматом миллионов сайтов. Уязвимость коммерческой CMS, используемой на пяти тысячах сайтов, позволяет только эти пять тысяч и заразить. Думаю, понятно, какая уязвимость привлекательнее для массового взлома.

На статистику влияет массовость. Использование уязвимости распространённой CMS приведёт к тому, что доля заражений от числа установок для этой CMS будет больше, чем для коммерческой CMS, которую в массовой атаке никто не использует, ввиду отсутствия потенциала. Так будет просто потому, что для коммерческих CMS (малораспространённых, см. статистику) характерны либо единичные взломы конкретных посещаемых сайтов (тогда с них можно массово раздавать зловредов; единичны такие взломы потому, что посещаемых сайтов – мало), либо редкие взломы малопосещаемых сайтов, в большинстве случаев они не видны снаружи (то есть, тоже не вносят лепты в статистику; не видны – потому, что проводятся для получения доступа к серверу или каким-нибудь данным). Постоянно приходится наблюдать в Сети сайты на коммерческих CMS с открытыми наружу, для всех желающих, панелями администрирования (“безопасность”, говорите?), но никто их ничем не заражает, так как на эти сайты вообще кроме роботов никто не ходит.

Вот.