dxdt.blog: занимательный интернет-журнал

Если обретёт популярность идея, – озвученная даже в ООН, – о том, что доступ к Интернету находится в ряду основных прав человека, то возникнет интересный феномен “гуманитарного Интернета”. То есть, массовый доступ будут организовывать силами развитых стран в тех государствах, где собственными силами не справились. Но, конечно, при необходимости. Интересен вот какой аспект: формальные лозунги о доступе – они не связаны с действительным проникновением Интернета, потому что не понятно, как доступ измерить. Ну вот есть некий доступ к местным сайтам по списку и права человека, таким образом, не нарушаются.

Благодаря бурному развитию технологий, методы определения местонахождения интернет-пользователя, обратившегося, например, к вашему интернет-сервису, приобрели чрезвычайную гибкость и эффективность. Если собрать методы вместе, то получается примерно вот такой (от простого к сложному) расклад.

Самое простое, это поиск IP-адреса пользователя в той или иной “геолокационной” базе. Такие базы содержат сведения о том, в какой регион выделялся данный IP-адрес. Так как первоисточником тут являются интернет-регистратуры, а уточнения часто делаются лишь по информации от провайдеров, то точность низкая. Определить местоположение “до дома” не выйдет.

Есть способы, позволяющие координаты уточнить. Не менее простой, чем запрос в “геобазу”, способ: можно прямо попросить пользователя самостоятельно указать собственное местоположение (есть популярные сервисы в Интернете, предлагающие передать такую информацию). А можно запросить точные данные автоматически, если у пользователя устройство, с которого он ходит по просторам глобальной Сети, оборудовано приёмником GPS или другим инструментом для определения собственных координат. Ну, да, понятно, что пользователь должен там какие-то соглашения принять – но вряд ли многие отказываются. Таким способом работают провайдеры сервисов для разных приложений в смартфонах. И тут требуется собственная база данных, куда записывается собранная информация.

Другой вариант: со стороны сервера можно построить (“оттрассировать”) сетевой маршрут до клиентскогого IP-адреса (с некоторой точностью, понятно). Если точно известно местоположение последнего перед клиентом узла, то можно предположить, что и клиент где-то неподалёку от этого узла находится. Опять же, работает не во всех случаях, но в большинстве.

Дальше эффективность можно повышать, комбинируя собранные данные. Например, если у нас уже есть несколько IP-адресов, с известными координатами и сетевыми маршрутами, при этом у других адресов конечные точки маршрутов такие же, то логично предположить, что эти адреса расположены там же, где и ранее исследованные. Для уточнения логично использовать маршруты, построенные из разных точек Сети (реализуется несложно, достаточно арендовать серверы в различных дата-центрах по всему миру). При этом, о положении других адресов можно было узнать от пользователей, или от приложений, работающих на устройствах таких добрых пользователей.

Геопривязку не требуется ограничивать IP-адресами. Подходят другие уникальные идентификаторы, например, куки, выданные пользователям какого-то сервиса. Собственно, куки хорошо дополняют IP-адреса.

Другой дополняющий фактор – время. Время передачи пакетов между клиентом и сервером также связано с их относительным географическим положением. Правда, так как топология здесь задаётся сетью передачи данных, то само по себе измерение времени точных данных о местоположении пользователя не даст, но при использовании дополнительных сведений позволит сильно уточнить координаты.

Ещё один источник сведений, правда, косвенный, это DNS. Так как обычный пользовательский компьютер выполняет поиск в DNS при помощи резолвера доступного в данный момент интернет-провайдера, и эти резолверы могут меняться, то, отслеживая запросы на подконтрольных NS (серверах имён), можно вычислить и провайдера, и дополнительные сведения о местоположении пользователя. Такой подход особенно помогает, если пользователь ходит из-за NAT, то есть, снаружи виден под некоторым “общим” IP-адресом.

И, похоже, это ещё не все способы.

Зарисовки практического освоения IPv6. 8 июня проводится всемирный день IPv6. Соответственно, нужно подготовиться. Что выясняется: во-первых, шишки набиваются при внедрении нового протокола на пользовательских рабочих местах; в теории всё ПО (в том числе ОС) готово и должно работать, на практике оказывается, что по отдельности работает, а вот чтобы вместе – нет, тут наблюдаются неожиданные эффекты, типа автоматического получения ОС Windows сразу нескольких адресов для одного интерфейса, потому что так были восприняты анонсы ближайшего роутера.

Во-вторых, админы пока не воспринимают новый протокол как неотъемлемую часть админской реальности: нужно понимать, что в ближайшие годы придётся жить с двумя протоколами, соответственно нужно “задвоить” все навыки и прикладные настройки. На практике выходит, что для одного и того же прикладного использования (например, отправка электронной почты), где IPv4-доступ настроен раньше, при вводе IPv6 внести соответствующие изменения в контроль доступа забывают. Хотя, казалось бы, для одной и той же физической машины, получившей IPv6 в дополнение к v4, нужно автоматом сохранить все прикладные доступы.

В-третьих, очень интересной станет жизнь у веб-разработчиков: у многих скриптов будет начисто сносить крышу после того, как веб-сервер вместо привычных IPv4 принесёт в переменные окружения новую запись новых адресов. Там проблем уже сейчас просматривается много, а ещё больше запрятано внутри всяких фильтров и валидаторов. Ещё веселья добавит только что упомянутый факт, что речь не идёт о пересаживании с v4 на v6 – будет сразу два протокола.

И текущий расклад подтверждает простую мысль: дешевле всего будет строить IPv6-инфраструктуру с нуля, а не обновлять существующую.

Вот.

А между прочим, если смотреть с точки зрения конечного пользователя, то Интернет не такая уж распределённая и устойчивая сеть. С доменами – понятно. Но даже на уровне базовых протоколов (TCP/IP) сейчас у конечного пользователя всегда есть только один (в редчайших случаях – два) шлюз для соединения с этим самым Интернетом. То есть, подключение – центральное.

Да, с ноутбуком и Wi-Fi можно мигрировать между разными услугами доступа, разными сетями, но это несколько другой уровень обеспечения связности. Кстати, ввод IPv6 и создание плотного “поля” подключения к Сети может сделать доступ для конечного пользователя действительно распределённым, но, боюсь, только в теории. (Да и внедрение IPv6 идёт с жутким скрипом, единственный эффект от которого в том, что адреса IPv4 могут стать дорогим удовольствием для провайдеров, которые при этом всё равно останутся на старом протоколе.)

Занятно: в консорциуме W3C недавно создана рабочая группа, задача которой состоит в создании API и стандартов для прямых межбраузерных коммуникаций. Прямых – в том смысле, что браузеры для связи на прикладном уровне не используют промежуточных (центральных) серверов. Получается децентрализованная система, построенная на базе самих браузеров, и таким образом реализующая некий сервис для пользователей (идейно это всё аналогично сетям P2P, понятно).

Так, в описании задач упомянутой группы сказано про аудио-, видеосвязь между пользователями. Можно вспомнить, что в Skype как минимум для установления соединения необходим центральный сервер. Есть системы коммуникаций на базе Интернета (всякие ICQ тому пример), которые вообще работают только через центральный сервер. В W3C думают над P2P-заменой такому безобразию.

Возможно, аудио-, видеосвязь станут тут только началом. Если вообще что-то придумают, конечно. Интересно, что такие сервисы в некотором роде формируют противовес всяким новомодным “облачным решениям”: вся техническая база находится на пользовательском компьютере и при наличии некоторой “среды связи” такой пользователь может общаться с другими. С другой стороны, пользователи всё равно зависят от поставщика услуг связи (“центра”): кто-то ведь им предоставил доступ к Интернету?

(Тему подсказал Vladimir Dyuzhev.)

Доменов верхнего уровня всё больше и больше становится. Посмотрим, как можно использовать новые домены для фильтрации контента на пользовательском компьютере. Например, .XXX – никак не помогает. Потому что сайты с соответствующим контентом есть во многих других зонах. Проблема тут в том, что чёрные списки в качестве способа фильтрации здесь не работают. Факт известный. Попытка блокировать контент “для взрослых” внесением в чёрный список .XXX – заведомо провальная.

Но можно обратить схему и увидеть, что отлично работает фильтрация по белому списку. Напомню, что в этом случае блокируется доступ ко всем ресурсам, кроме внесённых в белый список. Вывод: нужно заводить тематические домены, регистрация имён в которых будет строгой, сопряжённой с проверками. Тогда, при необходимости введения ограничений, можно очень просто реализовать надёжную фильтрацию по имени домена верхнего уровня, допуская только проверенные сайты для просмотра. По такому пути идёт КЦ домена .РФ со своей инициативой .ДЕТИ – тут как раз можно на школьных компьютерах настроить доступ только к этому домену и радоваться универсальной эффективной фильтрации малыми силами. (Главное, чтобы коммерция не победила и за регистрацией действительно строго следили. Следить придётся не только на втором уровне доменных имён, иначе от фильтрации толку не будет вообще. Скорее всего, должны допускаться только собственные сервера имён администратора зоны.) Совершенно аналогичная ситуация с доменной зоной .BANK, например. (Или есть уже старый работающий пример: GOV.)

С другой стороны, понятно, что и белый, и чёрный списки можно строить без учёта доменов верхнего уровня, а вносить в списки полные адреса ресурсов. Такие списки есть. Более того, можно сделать “белый” домен второго уровня и фильтровать по нему с равно тем же технологическим успехом. Но тогда не оказывается задействована тенденция “плоского Интернета” – и, как результат, все подобные инициативы “второго уровня” так на первые места и не выходят, а затухают, кто быстро, кто чуть медленнее. (У доменных “списков” подобного рода есть важное преимущество: число имён в домене может свободно расти, постоянно обновлять что-то, синхронизировать полные перечни имён, на фильтрующем компьютере не потребуется, всё делает DNS.)

Заметьте, что в случае с белым списком сайтов, привязанным к домену верхнего уровня, появляется отличная возможность продвигать имена в этом домене в массы уже существующих ресурсов. Приобрести дополнительное имя, позволяющее с гарантией увеличить доступность ресурса – это привлекательный вариант.

(Кстати, в случае с ХХХ – вряд ли кто-то захочет отказаться от раскрученного имени, чтобы попасть в чёрный список и оказаться заведомо зафильтрованным.)

Часто в разных СМИ и даже в презентациях на популярных конференциях можно услышать про ботнеты, насчитывающие миллионы компьютеров. (Например, на РИФе называли кто 30 млн, кто 50 млн – в общем, получается, кто больше.)

Похоже, проблема тут вот в чём: благодаря резко возросшей вычислительной мощности миллион уже кажется не таким большим числом. Интересно, оставив в стороне степень достоверности оценок численности ботнетов (как там генерят эти стат. данные? кто знает, кто знает…), прикинуть, как может жить ботнет из миллиона компьютеров. Прикинуть можно на примере элементарных действий для такого ботнета.

Итак, если узлы ботнета-миллионника в течение суток придут равномерным потоком в центр за новыми указаниями, то это будет – около 12 запросов в секунду, минимум. Нужно брать место в дата-центре или арендовать мощности в сервисах типа Amazon EC. А для того, чтобы боты приходили в центр равномерно – должен быть реализован очень хитрый алгоритм распределения нагрузки.

Если узлы ботнета-миллионника обмениваются данными внутри и каждый перешлёт десяти другим один килобайт, то – трафик составит около 10 Гб. То есть, это такиой примерный трафик, который должен пройти по сетям, если ботнет обновляется по правильной технологии разновидности P2P. В зависимости от топологии размещения узлов ботнета и частоты обмена пакетами такой трафик может быть хорошо заметен в статистике интернет-провайдеров. Хотя, конечно, не является заметным в масштабах Интернета. Продолжим про трафик и вычислим 10 гигабайт другим способом: если для заражения одного компьютера требуется разовая пересылка кода червя, а этот код занимает 10 килобайт (сейчас “черви длинные”), то опять будут потрачены те же 10 Гб, состоящие только из данных программного кода. И никто из антивирусных компаний, выходит, не смог ничего выудить?

Инвертируем 12 запросов в секунду, упоминавшиеся двумя абзацами выше: если черви, формирующие этот ботнет, рассаживались на новый компьютер раз в секунду, то для набора миллиона потребуется около 12 суток. Предположим, что заражение проходило, например, в течение полугода, хорошо. Как всё это время координировалось управление растущим ботнетом? Вероятно, для такого устойчивого роста нужна какая-то собственная ICANN внутри ботнета.

И это только теоретический устойчивый ботнет с числом узлов в миллион. Понятно, что для 30 млн – ситуация принципиально иная: рост сложности управления в подобных случаях не линеен.

Насколько можно преуспеть в реальности, показывает опыт добровольных сетей распределённых вычислений. Даже учитывая полное доверие и желание сотрудничать со стороны участников – сетей-миллионников здесь практически нет, и все те, которые есть, растут из старых, годами хорошо раскручиваемых, проектов, например, SETI@Home. Но в большинстве случаев, хороший результат – сотня тысяч участников.

Кстати, ввод в строй домена XXX – это заведомый повод расколоть доступ к глобальной DNS, потому что целый ряд стран будут просто вынуждены этот домен блокировать силами провайдеров (хотя бы формально). А это домен, находящийся непосредственно в корневой зоне – момент важный. Так что нововведение прямо способствует нарушению связности и той самой “стабильности системы адресации”, о которой должна в первую очередь заботиться ICANN. Интересно, кто и как подобную карту против ICANN разыграет.

Недавно в прессе широко обсуждались некие “DDoS-атаки”, в результате которых был недоступен сервис LiveJournal.com (то есть, ЖЖ). Правда, про связь атак с недоступностью сервиса как-то очень смутно рассказывали и журналисты, и представители самого ЖЖ. Но речь не об этом. Речь о том, что в СМИ быстро пришли к выводу, что, якобы, DDoS – это такой инструмент для прекращения доступа пользователей к кому-то неугодному сервису. Вывод очень спорный, если только речь не идёт о небольшой домашней страничке. Но интересно поразмыслить над тем, каким методом, и кто может эффективно прекращать доступ к веб-ресурсам.

В случае с DDoS – основная ошибка вот в чём: DDoS решает немного другую задачу – он “останавливает” сервисы атакуемого, а то, что пользователи теряют доступ к ним, это очевидный “побочный эффект”. Другими словами: нужно бы решать задачу прекращения доступа пользователей к ресурсу, а DDoS-ом пытаются для этого остановить сам ресурс – но это другая задача. Из-за того, что DDoS решает не ту задачу и происходят всякие сбои – то атаку зафильтруют, то сервера перенесут, то каналы расширят. В результате “закрываемый” ресурс то всплывает, то падает, это все обсуждают. В общем, какая-то PR-акция выходит, которая даёт обратный эффект, привлекает внимание.

Да, понятно, конечно, что кроме DDoS может не быть способов у конкретного исполнителя. Это очевидно, поэтому не очень интересно. (Но и зачем тогда браться за DDoS, если эффект известен?) Не менее очевидны куда более серьёзные варианты с корректировкой маршрутизации провайдерами интернет-доступа – трафик, адресованный неугодному ресурсу, начинает литься в какую-нибудь “чёрную дыру”. Технология известная, иногда применяемая на практике, там где позволяют принципы управления Сетью. Поэтому порассуждаем об одном маловероятном, зато более эффективном способе.

Итак, серьёзные игроки должны решать прямую задачу – прекращать доступ пользователей. Самое эффективное решение тут находится на клиентском компьютере. Если браузер перестанет ходить на указанные веб-ресурсы, то без всякого DDoS-а посетители информации с блокируемого сайта не получат. А серверы его пусть крутятся, да и паразитным трафиком не нужно каналы заливать – экологичное решение. Вопрос: кто обладает возможностями по массовому блокированию доступа к веб-ресурсу с пользовательского ПК? Да все те производители ПО, которые имеют возможность управлять поведением этого ПК. Например, ресурс можно внести в список вредоносных сайтов в браузере, либо в антивирусном ПО, массово установленном у пользователей. Практика стандартная, вредоносных веб-сайтов действительно немало. (Кстати, антивирусы, бывает, вносят в списки “потенциально опасных” всякие безвредные программы, сомнительного, с точки зрения разработчиков антивирусов, назначения.)

В результате без всякого DDoS ресурс фактически отключен.

Между прочим, с переходом на IPv6 вот что интересно. Есть оборудование, которое IPv6 не умеет. Хуже того, есть большое количество провайдерской инженерной инфраструктуры (включающей персонал), которая не умеет IPv6. При этом IPv4-адресов – действительно осталось в официальной доступности мало, потому что активно продавливают переход на шестую версию. А это всё неплохие предпосылки для возникновения теневого рынка IPv4.

Почему? Потому что можно и устаревшее оборудование использовать, – а хоть бы даже купив его подешевле у более продвинутых провайдеров (хотя, конечно, тут есть серьёзные оговорки, но всё равно – занятный вариант). И потому, что некоторые организации держат большие пулы IPv4. Ну и третий стимул, тоже понятный: для мелких и средних провайдеров услуг гораздо дешевле растить инфраструктуру с помощью хорошо освоенных инструментов, чем с трудом вкладываться в новое и непонятное.

Впрочем, в теневой рынок IP верится с трудом. Но если он и мог бы где-то возникнуть, то, наверное, в развивающихся странах, где невелико проникновение Интернета.

В блоге на сайте “Ведомостей” Игорь Ашманов пишет про недавнюю историю с “запретом” Gmail и Skype. В заметке есть занятное высказывание, контекст его – обсуждение инфраструктурных рисков для государства, связанных с Интернетом, цитирую:

Пока браузеры делаются не у нас, через браузер с компьютером можно сделать почти все.

Вот как, выходит. Сильно, да? На мой взгляд, если рассуждать с точки зрения “сделать что-то с компьютером”, то нет разницы, где “делаются браузеры”. Ну то есть происхождение браузера не связано с тем, можно как-то через него отключить (к примеру) компьютер или нет. Значение имеет аудит кода, если уж на то пошло. А сделать браузер с закладкой можно и у нас, и “не у нас”, одинаково успешно.

Похоже, что происхождение подобных предостережений кроется вот в чём. Есть смысл в использовании при создании военной техники элементов, производимых государством самостоятельно. Такая автономность позволит, если вдруг что, обслуживать эти вооружения собственными силами, находясь в изоляции. Разумно? Да, очень разумно, если есть технологическая возможность поступать подобным образом. Но при этом на практике большинство государств закупает зарубежную военную технику и системы, в том числе, сложные системы ПВО и авиацию. Понятно, что зенитно-ракетный комплекс ПВО – это вам не какой-то там браузер для просмотра веб-страничек. И тем не менее – закупают.

Так вот, можно попытаться переводить этот принцип “военной элементной базы” на браузеры, предназначенные для исследования Интернета, созданного и контролируемого США. Правда, это больше похоже на доведение до абсурда. Но, тем не менее, вот эксперты в “Ведомостях” предлагают такое на голубом глазу. Странно читать подобное.