dxdt.blog: занимательный интернет-журнал

Интересно, что так как современный Интернет делают для пользователей, то основные проводники пользовательского трафика (производители браузеров, поисковые машины, производители распространённых ОС) имеют полное право надавить на удостоверяющие центры (УЦ), выпускающие сертификаты SSL, в плане внутренних проверок. Более того, например, могут сговориться, и ввести какую-нибудь сертификацию для самих этих удостоверяющих центров. Потому что даже без поддержки лишь одним распространённым браузером, продавать услуги по выпуску SSL станет проблематично. (Собственно, Mozilla уже выступила с предложением о проверке УЦ.)

Если помните, весной этого года я писал о том, что при использовании социальных сетей (на примере “Твитера”) для манипуляции общественным мнением гораздо важнее “технологии второго порядка”, направленные на манипулирование мнением аналитиков, которые мониторят соц. сети.

Именно для создания поля деятельности подобным технологиям нужно популяризировать в прессе сообщения о существовании технологий создания нужного информационного поля. Логика тут такая: предположим, что противник использует социальные сети для влияния на общественное мнение с помощью “армии ботов”; в качестве ответной меры предлагается: давайте будем как-то мониторить эти сети и тогда мы обнаружим эффекты от работы “армии ботов”.

Ну и вот движение началось, уже в прессе широкого назначения пишут про “сценарии Египта и Туниса” в “Твитере” и Facebook:

“…единственным верным выходом является создание некой системы социального мониторинга, когда о каких-то подозрительных действиях сообщают сами пользователи”.

А это как раз и есть отличный фундамент для применения технологий второго порядка. То что нужно. Процитирую весеннюю записку:

“С помощью автоматизированных механизмов в социальных сетях создаётся такое информационное поле, что простые аналитики, честно и качественно работающие на первом уровне, вполне достоверно извлекают как раз ту информацию, которую посеял специалист, овладевший инструментами второго порядка.”

Получается отличный канал для дезинформации. Тем более, что доверие пользователям, участвующим в “системе мониторинга”, очевидно, будет выше, чем среднему показателю по сети. И их выводы донесут до тех, кто, как говорится, принимает решения. Большая выгода для вбрасывающих информацию.

(Кстати, пока вы не держите в руках исходные нити – всегда на шаг отстаёте, если играть только в одном “информационном поле”.)

На Сryptome выложен некий отчёт Fox-IT об аудите инфраструктуры DigiNotar, по следам взлома. Речь об августовском взломе удостоверяющего центра, когда были выпущены фиктивные SSL-сертификаты для *.google.com и других интересных ресурсов. Никаких технических подробностей в отчёте нет, но занятные моменты присутствуют.

Например, как пишут аудиторы про сети DigiNotar, критически важные сервера там были физически изолированы, но при этом доступны из локальной сети (видимо, имеется в виду некая общая корпоративная сеть, там не совсем понятно из текста) и объединены в единственный домен Windows (да, там использовали Windows, такое решение вполне возможно). Поломавший их специалист как раз и получил права администратора домена и, соответственно, за один раз обрёл доступ сразу ко всем нужным серверам. Удобно. При этом пароль от администраторской учётной записи был, что называется, угадываемым, а общего центрального логирования сетевой активности – не велось. (Вот так. Как обычно – искажённая модель угроз у админов корпоративной ЛВС привела к плачевным результатам.)

Ещё интересна хронология событий в случае с сертификатом *.google.com: 4 августа отмечают поток запросов на проверку отзыва этого сертификата (существует специальный протокол проверки, по которому работают современные браузеры), и только 29 августа сертификат реально отозвали. То есть, длительное время фиктивный сертификат мог работать без проблем.

Сейчас при продвижении коммерческих услуг по предоставлению SSL принято говорить клиентам, что использование сертификатов защищает пользователей веб-ресурсов. Но при имеющемся состоянии инфраструктуры SSL, похоже, рассчитывать на подобную защиту нужно с большой осторожностью: вы купили SSL-сертификат у “уполномоченной” компании и всё правильно на своём веб-сайте настроили, однако против другого взломанного удостоверяющего центра, чей корень встроен в браузеры, ни вы, ни ваш поставщик SSL-услуг, ничего сделать не можете.

Как интересно: оказывается, DigiNotar (удостоверяющий центр, чья система удостоверения была взломана) не уведомил Mozilla Foundation об инциденте, даже несмотря на то, что в рамках атаки на УЦ были выпущены фиктивные сертификаты для домена addons.mozilla.org. Вот такой вот уровень внедрения PKI и систем электронной подписи сейчас. Занятно, что, как пишут, тот же УЦ работает с правительством Голландии по какой-то там местной программе удостоверяющих центров. Это к вопросу об электронном правительстве.

Вообще, вокруг SSL сейчас поднимается заметная шумиха. Наверное, скоро последуют заявления о том, как всё это исправить и как, собственно, улучшить реализацию технологий. При том, что проблема в этот раз уже совсем не на стороне пользователей.

А занятно читать шумиху о том, что хакеры, поломавшие очередной удостоверяющий центр, смогли выпустить даже “сертификаты сайта ЦРУ” или, скажем, “даже сертификаты для доменов com и org”. Ну раз уж есть доступ к соответствующему закрытому ключу, то какая разница, что подписывать? Можно любой домен подписать. И это не будет иметь отношения к HTTPS на сайте ЦРУ.

Да, тут есть проблема: успешное коммерческое развитие SSL привело к тому, что за ключами и центрами следить уже не успевают, поэтому уводить ключи и ломать центры будут и дальше, это понятно. Тем более, что правила хранения ключей нарушаются постоянно.

А из-за того, что в браузерах встроено много корней, автоматическое доверие “левому” сертификату гарантирует, что можно подписать любой домен. Отпечатки ключей пользователи не сверяют. Хуже того, есть некоторое заметное число других источников корневых сертификатов. Например, в корпоративных сетях могут устраивать свои собственные корни и предустанавливать соответствующие сертификаты в браузеры. То же самое относится к некоторым банковским системам и так далее.

При этом очевидно, что для ЦРУ собственный веб-сайт – это лишь веб-сайт, не более того. Странно полагать, что этот сайт как-то там особенно встроен в системы секретной связи и что HTTPS на нём используется для работы с секретными документами. Ну и не применяет никто ключи коммерческих удостоверяющих центров для действительно секретной связи. Для того, чтобы иметь возможность прослушать пользовательский трафик, ну это, да, ладно, ещё можно предположить. А для собственных задач спецслужб – нет, не годятся эти ключи. По той самой причине, что возможен перехват через внешнюю структуру – “общедоступный” удостоверяющий центр.

Публичные сервисы, работающие на базе Интернета, сейчас традиционно не рекомендуют использовать в качестве средств экстренной связи. То есть, “Твиттер” там, или даже электронная почта, это, мол, не проводной телефон и не городская система оповещения о чрезвычайной ситуации. Но на практике жители развитых стран всё больше привыкают к интернетовским коммуникационным сервисам. А в том же “Твиттере”, – например, в Штатах, – уже появились официальные аккаунты с оповещениями экстренных служб.

С одной стороны, Интернет в отдельно взятом местечке довольно хрупок: достаточно дереву повредить электроснабжение помещений провайдера и уже могут быть проблемы. С другой стороны, а кто, собственно, сказал, что на практике другие системы надёжнее? К тому же, интернет-сервисы можно воспринимать как часть многослойной системы с резервированием (то есть, сюда входят и старые телефоны, и радиоприёмники, и сирены с громкоговорителями). Это поможет свыкнуться с тем, что в чрезвычайной ситуации нужен гарантированный доступ к Интернету. И, как следующий шаг, этот самый доступ станут делать действительно надёжным (технологии-то уже есть). А вот насчёт использования именно “Твиттера” остаются сомнения.

Схемы с “электронной демократией”, в рамках которых пользователи голосуют не при помощи бюллетеней, а нажимая кнопку на специальном сайте сейчас будут обсуждать всё чаще. По вполне понятным причинам. Несколько лет назад я писал про то, что главные трудности создания подобных систем вовсе не в самой технической реализации протоколов. Процитирую-ка я ту старую записку (2008-й год) про ботнеты и гипотетические системы чисто электронного интернет-голосования:

В принципе, криптологами предлагались и предлагаются схемы голосования, где выбор остаётся секретным даже при условии хранения и доступности логов. Беда с подобными схемами одна, зато фундаментальная – они вообще не понятны людям без специального образования, соответственно вопрос достоверности результатов для большинства представителей заинтересованных сторон сводится к вопросу о доверии “занудам, разговаривающим непонятными словами о каких-то алгебрах”. Бумажные же бюллетени каждый может пересчитать, даже не математик.

Стартовал приём заявок на конкурс WebHiTech по версии 2011 года. Заявки принимаются до 3 ноября (включительно), потом состоятся два этапа судейства жюри конкурса, которое определит победителей и призёров. О результатах объявим, ориентировочно, в середине декабря.

Среди главных (но при этом незаметных для массовой аудитории) тенденций развития современного Интернета, и Рунета в частности, – создание систем, собирающих подробные данные о пользователях. Посудите сами: продвигают новые счётчики, собирающие статистику по веб-страницам; готовят универсальные системы идентификации пользователей веба; выпускают версии браузеров “от поисковика” с уже встроенным шпионским комплексом; и даже лаборатория Касперского в новой версии своего защитного продукта собирает информацию об активности пользователя (в том числе, как рассказывают, и ссылки из состава просматриваемых веб-страниц) в некие “облачные хранилища”.

Что ж, всё логично: после того, как Интернет в качестве транспорта коммерческой (и, между прочим, политической) активности – построен, важность приобретают средства индивидуализации (это – домены и поисковая выдача) и информация о “привычках” каждого конкретного покупателя (это – системы статистики, фиксирующие активность). Так что все крупные компании подтягиваются, как могут, к этим двум нишам, не только Касперские и “Яндекс”.

Буквально через несколько месяцев, в декабре 2011 года (и январе 2012), можно будет наблюдать реальные результаты такого знакового начинания, как введение многоязычной адресации в доменной системе имён Интернета. Дело в том, что подойдёт срок продления регистрации для многих кириллических доменов .рф. Сколько процентов из них продлят – большой вопрос. Сейчас темпы роста домена постепенно замедляются. В конце 2010 – начале 2011 года, когда ажиотаж прошёл, темпы регистрации вообще упали примерно на два порядка за месяц.

Если в .ru сейчас более 3.3 млн имён, то в .рф – только около 880 тыс. Это свидетельствует о том, что богатое (в теории) разнообразие кириллических имён ещё не востребовано на практике. Да, конечно, нужно учитывать, что домен .ru много лет набирал свои миллионы и сейчас темп регистраций в нём тоже снижается. Но домену .рф, похоже, грозит уже не снижение темпов роста, а заметная убыль числа имён. (Ну если не запустить какую-то программу поддержки.)

Даже технически подкованные пользователи часто уверены, что для того, чтобы увести пароль от некоторого “электронного кошелька” на компьютере обязательно должен сработать вирус (троян). Понятно, что такой технически подкованный пользователь не использует Windows, поэтому полагает, что и вируса у него на компьютере быть не могло (что, впрочем, не до конца верно, но это уже другая история). А кошелёк кто-то посторонний использовал.

При этом, хоть “вирусный метод” – самый массовый, есть и другие способы перехвата паролей. Правда, для того, чтобы они сработали, требуется наличие архитектурных особенностей в системе авторизации “кошелька” (платёжной системы). Так, в теории, злоумышленники могут поломать DNS-сервера интернет-провайдера, изменить адресацию, и в результате клиенты этого провайдера станут вместо настоящего сайта платёжной системы попадать на фишерский сервер, собирающий пароли. При этом домен, для клиентов атакованного провайдера, останется тем же. Если клиент работает через веб и не обучен правильному использованию HTTPS, если не используются дополнительные методы аутентификации (обоюдной), то – всё пропало. Метод с подменой DNS может работать и для специализированных приложений (например, iPhone и т.п.), если они не проводят дополнительной аутентификации.

Есть открытые сети Wi-Fi – тут всё и так понятно. Есть ещё подсадные Wi-Fi сети: тут уже и не только DNS, но и IP-адрес подменить можно. Особенно эффективно для приложений в смартфонах, пользователи которых готовы работать через любую обнаруженную сеть.

Или вот хуже сценарий: прослушивать трафик, идущий к серверам платёжной системы, могут на каком-то другом участке сети, хоть бы и непосредственно в дата-центре (с соседних серверов), если там сетевое оборудование настроено с ошибками и админы мух не ловят. Если ключи/пароли не шифруются, или шифруются с ошибками, то доступ могут увести. Массово. Впрочем, тут уже не будет вины пользователя. Независимо от его технической грамотности/неграмотности.

А основная неприятность-то тут в том, что в пользовательском соглашении наверняка сказано: владелец кошелька “сам виноват” во всех действиях, совершённых с использованием его пароля. Даже если этот пароль передаётся по сетям в открытом виде, потому что так плохо устроена авторизация. При этом для подробного аудита системы авторизации сервиса, которым хочет воспользоваться рядовой интернетчик, уже одной только технической грамотности никак не хватит, нужен ещё и доступ соответствующий.