dxdt.blog: занимательный интернет-журнал

Интересный пример: всё возрастающая доступность технологий теперь позволяет строить некий аналог сети GSM на базе очень доступного оборудования и, что немаловажно, открытого ПО; вот – здесь для создания подобия соты использовали Raspberry Pi.

То есть, буквально уже сейчас подобные “частные сети” будут доступны для реализации силами пары подкованных энтузиастов. Связь идёт в массы. Уже поговаривают, что подобные решения скрытно используются для связи нелегальными группами разного толка. При этом никто не отменял государственного регулирования использования радиочастот. Поэтому, с одной стороны, есть доступный эфир, в который может выйти каждый. И, с другой стороны, нарушения правил использования этого эфира наказываются – ну, если сумеют вычислить нарушителя. (Исследователи, сделавшие соту на Raspberry Pi, использовали заэкранированную лабораторию для своих экспериментов.)

Тут есть параллели с регулированием Интернета. Если говорить о публикации информации, о “влиянии на умы”, то Интернет сейчас сделал эту функцию доступной для каждого. Это тот самый свободный эфир. А механизмы регулирования “радиочастотного спектра” – для Интернета пока только готовятся.

Лаборатория “Касперского” продолжает развивать тему глобальной шпионской киберактивности. В этот раз – операция Red October, обширная сеть кибершпионажа против дипломатических и государственных структур.

Цитата:

Как и когда эта операция была обнаружена?

Мы начали наше исследование атак в октябре 2012 года по просьбе одного из наших партнеров. В ходе анализа атаки, писем и вредоносных модулей, мы обнаружили истинные размеры кампании и начали её полномасштабное расследование.

Кто предоставил вам вредоносные файлы?

Мы получили их от нашего партнера, который и был заказчиком исследования. Он предпочитает оставаться анонимным.

А вот – схема с инфографикой.

Вот, кстати, как сложились записки. В мае 2009 года я написал о том, как официальные лица в Штатах связывают “кибервойны” с Интернетом и ботнетами, в той заметке упомянута пара моментов: во-первых, что самая распространённая (на десктопе) ОС разрабатывается в Штатах, и, во-вторых, что намёки официальных лиц относятся не к ботнетам, а к специальным зловредам. В 2012 году возникла шумиха вокруг зловреда Flame. Во-первых, похоже, что он был подписан ключом, удостоверенным “ошибочно выпущенным” сертификатом Microsoft, и, во-вторых, наблюдался в базах данных антивирусных компаний как раз где-то с конца 2009 года (но эти компании мер к зловреду не применяли).

И, да, конечно, нельзя забывать про зловред Stuxnet, обнаруженный в 2010 году, и направленный против конкретного аппаратного обеспечения.

Вообще, “кибервойны” – сейчас тема всё более популярная. Занятно, что их всё сильнее связывают с Интернетом, хотя, настоящее “поле боя” там гораздо шире и лежит в области РЭБ. Тем более, что действительно критичные по “влиянию на офлайн” системы не должны бы входить в состав Интернета, что, естественно, не мешает их атаковать, используя технологии, напрямую с глобальной Сетью связанные.

Вот есть такая старая задача – обнаружение наблюдения: как понять, что за тем или иным объектом ведётся пассивное наблюдение. Решать можно, рассматривая ситуацию с самых разных точек. Например, с точки зрения самого этого объекта – может ли он понять, что находится под наблюдением. Со стороны некой третьей силы, которая обладает другими возможностями, и желает узнать, наблюдает ли кто-то за данным объектом. Тут, очевидно, постановка задачи опять ветвится: сотрудничает ли объект с этой третей силой? может ли она влиять на него? Ну и так далее, и тому подобное.

Существует большое число частных случаев, имеющих практические решения. Хороший пример: авиационные системы оповещения о радиолокационном облучении – такая система позволяет обнаружить факт наблюдения за самолётом РЛС. И не менее интересное развитие: как обнаружить пассивную систему наблюдения за самолётами? Скажем, такая система детектирует излучение его собственной РЛС. Можно ли узнать, что она уже сработала, самолёт обнаружен и взят на сопровождение?

На первый взгляд – нет, нельзя: система-то пассивная. Однако в реальности срабатывание такой пассивной системы может быть выявлено при помощи анализа её активности. Ну, допустим, составляющие систему приёмники обмениваются данными с командным центром. Сигналы, относящиеся к такому обмену, принимаются на борту самолёта-разведчика. Тогда, если структура сигналов известна, можно определить, что обнаружен тот или иной летательный аппарат. Более того, отправляя в эфир сигналы, имитирующие работу авиационной РЛС, можно выявить наличие такой пассивной системы обнаружения на заданной территории.

Интересно обсудить задачу в разрезе разнообразных систем мониторинга Интернета. Например, могут (могут ли?) существовать развитые системы сбора и анализа контента, мониторящие пользовательскую активность и действующие в интересах некоторой непубличной стороны. Другими словами, это, скажем, не поисковые роботы, которые заметны, и которых вводят в заблуждение многие владельцы сайтов. Как обнаружить работу такой системы? Как вообще понять, что она существует и действует?

Небольшое дополнение к прошлой заметке по теме, рассказывающей о контроле доверия в DANE. Напомню, речь идёт о том, что DANE, в случае применения с самоподписанным сертификатом, основывается только на административной иерархии DNS. А там, во многих случаях, не тщательно проверяются данные администраторов доменов. (Тут нужно заметить, что есть и виды SSL-сертификатов, которые также выдаются без особых проверок – достаточно управлять почтой на домене, для которого вы заказали сертификат.)

Так вот, есть ещё одно важное отличие между DANE+TLS (SSL) и чисто TLS (SSL). В случае с DANE, для того чтобы воспользоваться предоставляемыми возможностями и мимикрировать под “безопасный сайт” злоумышленнику нужно зарегистрировать другой домен. (Взлом цепочки управления DNS тут не рассматриваем.) Да, домен может быть визуально похож на адрес атакуемого сайта, как в хрестоматийном примере yandex.ru и yanclex.ru, но это другой домен. В случае же с имеющейся инфраструктурой удостоверяющих центров, выдающих SSL-сертификаты, злоумышленник может получить сертификат для того же самого домена. Что, кстати, не исключает тем более беспроблемного получения сертификата для условного yanclex-а. То есть, благодаря особенностям DNS, отличие DANE принципиальное – нельзя зарегистрировать и разместить в глобальной DNS второй домен, точно совпадающий с атакуемым. А вот выпустить без ведома администратора домена SSL-сертификат для него – можно. Естественно, с существенными оговорками, но, опять же, без взлома цепочки доверия. Свежее доказательство – история с TURKTRUST.

Это преимущество DANE.

TURKTRUST – удостоверяющий центр (УЦ), выпустивший левые сертификаты промежуточных УЦ, – публикует некие технические подробности, объясняя, как такое произошло. Это самая правильная реакция.

Они, фактически, в мягких формулировках, признают, что один из сертификатов использовался клиентом в системе инспекции (корпоративного) трафика, для перехвата HTTPS. Этот момент и выплыл наружу, что, естественно, не планировалось. Конечно, не просто поверить, что подходящий для перехвата HTTPS сертификат, к тому же, использовавшийся для такого перехвата, был выпущен в результате настоящей, чисто технической, ошибки. С другой стороны, нельзя исключать, что такое применение сертификату нашёл довольный админ, внезапно заметивший, какое сокровище попало к нему в руки.

Google сообщает, что 24 декабря они при помощи Chrome обнаружили в Сети очередной “левый” сертификат для *.google.com (дополнение: и не только для *.google.com, но и для множества других адресов гугловских сервисов). Сертификат был выпущен “промежуточным” удостоверяющим центром (УЦ), действовавшем от имени TURKTRUST (это известный признанный УЦ, его корень наверняка встроен и в ваш бразер).

Занимательно объяснение TURKTRUST, которое приводят в блоге Google:

“TURKTRUST told us that based on our information, they discovered that, in August 2011, they had mistakenly issued two intermediate CA certificates to organizations that should have instead received regular SSL certificates.”

(TURKTRUST сообщили нам, что, на основании нашей информации, они обнаружили, что в августе 2011 года ошибочно выпустили два сертификата промежуточных УЦ для организаций, которые должны были вместо этого получить рядовые SSL-сертификаты.)

То есть, ключи УЦ, позволяющие выпустить неотличимый от настоящего сертификат для любого домена, болтались где-то в пространстве больше года. Сейчас их случайно заметили. Оказалось – типа, техническая ошибка. Ну, бывает. Прекрасно работает современная инфраструктура SSL, не правда ли?

В рассылке IETF напоминают, что сегодня – 30 лет с момента перехода ARPANET на TCP/IP с более древнего протокола, который назывался NCP (сейчас мало кто вообще о нём слышал). ARPANET – предвестник современной глобальной Сети – перевели на использование группы протоколов TCP/IP с 1 января 1983 года. Собственно, как ни крути, а историю Интернета в современном понимании можно отсчитывать только с этого момента, потому что привычный Интернет – это TCP/IP. В такой трактовке Интернету исполнилось сегодня 30 лет.

Процесс перехода описан в RFC 801, датированным ноябрём 1981 года. Интересно, что в современной Сети остались некоторые другие протоколы (“сервисы”), работавшие в ARPANET до перехода на TCP/IP. Это FTP и Telnet. Настоящие динозавры. Конечно, никакого Веба в те годы не существовало.

Буквально вот только что в корневой зоне DNS появилась DS-запись для ключа зоны .ru. То есть, теперь DNSSEC в .ru есть и работает.

На конференции ITU (МСЭ) готовят некоторую резолюцию, касающуюся взаимоотношения суверенных телекоммуникационных прав государств и Интернета, в котором с закреплением этих прав у многих государств мира есть, так сказать, определённые трудности. Скорее всего, резолюцию примут. Она, так или иначе, будет касаться распределения адресного пространства. Но вот каких-то действенных технических рычагов, способных перераспределить контроль над адресным пространством Интернета, от этого не появится. В общем, посмотрим. Результатов ждать не так долго.

(Занятно, что на этой Всемирной конференции по международной электросвязи уже приключилась заметная авария с доступом к Интернету. Традиция, однако.)

Update (16/12/12): нет, не приняли ничего конкретного в отношении Интернета; ICANN сохраняет статус.

В зоне .ru вчера появились записи DNSKEY, в которых опубликованы ключи KSK и ZSK для зоны, с соответствующей подписью. Следующий шаг – появление DS-записей (тоже с подписями) в корневой зоне DNS. Что, как обещают, должно случиться до конца года.