dxdt.blog: занимательный интернет-журнал

Обсуждают вот взломы аккаунтов на Gmail. Суть такая: вдруг аккаунты некоторых пользователей гугловой почты оказались захвачены кем-то посторонним, и этот кто-то разослал по контактам из адресной книги сомнительные сообщения. При этом пострадавшие пользователи – хорошо подготовлены: используют стойкие пароли, ОС из класса Linux/Unix, по ссылкам не ходят, незнакомые файлы не запускают и так далее. То есть, выходит, что пароли у них увести сложно. Как же были вскрыты аккаунты?

Так вот среди вариантов “вскрытия” почему-то не упоминают сценарий, использующий атаку на уровне маршрутизации. А зря. Какой-нибудь “хакерский” интернет-провайдер, используя известные особенности BGP (протокол, определяющий межсетевую маршрутизацию в Интернете), может увести трафик с дата-центров “Гугла” (точнее – с определённых автономных систем) к себе. Дальше ему остаётся лишь прикинуться Гуглом и преспокойно перехватить сессии авторизации, тем более, что в таком случае можно заставить пользовательские браузеры приходить по http (вместо https, который, чисто в теории, мог бы затруднить подделку). Перехватываться будет часть глобального трафика Интернета, адресованная Гуглу, а вовсе не трафик клиентов провайдера, как можно подумать.

Подобное использование BGP уже давно не является новинкой в Интернете. Вспомните нашумевшую историю, когда пакистанский интернет-провайдер перекрыл Youtube. При этом, чисто технически, все эти “нарушения соглашений”, что с целью блокирования доступа, что с целью перехвата трафика – практически одинаковы. Более того, если особенно хорошо всё спланировать, то трафик, адресованный в чужие автономные системы, можно перехватить и слушать незаметно.

В общем, ждём новинок в обеспечении безопасности маршрутизации.

На “Доменинах” обсуждали судьбу torrents.ru в частности, и разных “торрент-хостингов” – в общем. Историю со снятием делегирования с домена torrents.ru, наверное, знают многие. Поэтому речь не о ней, а о технологических перспективах, про которые забывают.

Перспективы тут такие: скорее всего, в свете предотвращения “потери связности” в “общественных” P2P-сетях на базе Интернета, очень скоро произойдёт окончательный переход на распределённое хранение “адресной” информации о торрентах, об идентификаторах “раздач”. При этом веб, как центральная, по своей природе, технология, от P2P отойдёт в сторону.

Хранение файлов и их “раздача” в P2P-сетях уже организованы в виде распределённой системы (на то оно и P2P, собственно). Как раз отсутствие “центрального узла” повышает надёжность, поэтому разрушить сеть в целом – очень сложно. Удар же по домену, который управляет веб-составляющей современных “торрент-клиентов”, оказывается весьма эффективен – это тот самый “центральный узел”, вырубающий систему целиком. Поэтому и начинать борьбу с сетью с блокирования домена, привязанного к веб-составляющей P2P-сети, – ход очень эффективный.

Логичный ответ с другой стороны уже есть: новые версии протоколов обмена для P2P реализуют работу без центральных трекеров, распределяя хранение индексов “раздач” по группам узлов. Главная проблема тут, кстати, в эффективных алгоритмах “обнаружения сети”, позволяющих новому узлу, обладающему минимальной информацией “о мире”, подключиться к уже действующей системе. Но, собственно, на базе Интернета эта проблема вполне себе разрешима.

А вот блокирование распределённых систем “обработки информации” (ага, таких вот “облачных хостингов”), если узлы-участники используют правильные криптографические механизмы защиты, задача очень и очень непростая. Банальным фильтром трафика – не решается. Естественное направление – ужесточение контроля за использованием самих торрент-клиентов, потому что простая “борьба с доменами” уже оказывается не эффективной.

В общем, близок следующий виток борьбы технологий. И изменения норм пользования Сетью. Поэтому следом за новыми технологиями, вполне вероятно, придут и изменения в законодательстве, причём, в течение ближайших нескольких лет, скорее всего.

Мы (Артемий Ломов и я) заявили на РИФ секцию про новый фундамент Интернета. Описание секции доступно на сайте РИФа. Как видно из описания, это чисто познавательная секция о технологических перспективах. Секция пока что только планируется, так как для включения в программу там ещё нужно собрать голоса и т.п. Но, тем не менее, если кому интересно – приходите, будем рады.

РИФ, впрочем, в этом году платный (даже чтобы голосовать за секции, нужно оплатить участие – такая вот чисто коммерческая логика; поэтому я и не прошу поддержать секцию голосами Update: можно голосовать бесплатно, достаточно просто зарегистрироваться! видимо, в предыдущую попытку был некий сбой, что ввело меня в заблуждение), так что не ясно, что выйдет из форума. Ведь вряд ли даже при платном посещении организаторы (а они – те же) удалят из программы чисто “маркетинговые доклады”, рекламирующие тот или иной сервис или какие-нибудь услуги (“…а вот у нас тут такая кнопка новая появилась”). А ещё ж выставка опять планируется, которая в прошлом году совсем сильно испортила мероприятие. Ну да ладно, посмотрим.

Addon: А для того, чтобы посмотреть – прошу поддержать нашу секцию голосованием. Голосовать можно в разделе “Программа” сайта РИФа.

Ушёл в печать новый номер журнала “Доменные имена”. Тема, конечно, “Домен РФ”. Я в обращении главного редактора так и написал: тему номера выбрать было не сложно, вариантов по значению для отрасли просто не было (и тут не важно, с плюсом или минусом ставить оценки).

Новый номер планируем начать распространять на “Доменинах” – кому интересна тема, приходите (обложку пока не показываю). Как обычно “Доменные имена” можно найти на других профильных мероприятиях (и в офисе RU-CENTER). Тираж – 10 000. Должно многим хватить.

Теперь развитие.

Вот что касается доменов в Интернете, то сейчас сложилась такая устойчивая тенденция на превращение адресного доменного пространства в “плоский мир”. Главный признак – новые домены верхнего уровня (в дополнение к зонам .com, .net, .biz и т.д, и т.п.).

Журналисты часто пишут, что причина ввода новых доменов, дескать, в недостатке адресов. Но это вообще не так. Свободных адресов в действующей DNS просто огромное количество. Для адресации всех существующих веб-ресурсов хватило бы и доменов внутри .com (но разного уровня). Изначально DNS – иерархическая система, поэтому если даже исчерпать пространство в, условно, .ru, то можно использовать какую-нибудь зону типа .net.ru – и наделать там ещё почти столько же имён, сколько и в верхней .ru.

Реальная причина совсем в другом: просто Интернет – теперь коммерческий инструмент. В коммерческом смысле развивать DNS просто некуда, кроме как в плоский вариант, в котором для каждого крупного бренда – свой домен верхнего уровня. Других путей развития нет, а вариант с “замораживанием” доменного пространства в состоянии “как есть” – он не устраивает инвесторов и разросшуюся бюрократию, управляющую Интернетом административными рычагами. Первые (инвесторы) – хотят увеличить прибыль от использования Интернета. Вторые – продолжить реализовывать свои функции по управлению: ну есть же комитеты по выработке предложений и так далее, они должны работать. Итогом движения этой мощной машины из денежных и административных механизмов обязательно станет плоская DNS, где много доменов верхнего уровня типа .google, .canon и так далее.

Других причин, кроме только что описанных, для появления новых доменов верхнего уровня – просто нет. Все задачи решаются в рамках имеющихся доменов. Но и описанных причин – достаточно.

Недостаток адресов ещё чаще упоминается в отношении IP (если кто не знает, то IP – это протокол, являющийся базовым транспортом данных в логической структуре сети Internet). Сейчас ICANN усиленно предлагает переходить на новую версию протокола IPv6 (вместо IPv4), потому что, дескать, адреса IPv4 заканчиваются (действительно, этих адресов из-за ограничения в 4 байта на адрес – существенно меньше, чем в IPv6). В реальности проблемы с адресами, конечно, возникают и возникали раньше, но с ними научились бороться.

Если глянуть глубже, чем пишут в пресс-релизах, то тут ситуация не менее интересная, чем с развитием доменного пространства. IP-адреса, в качестве уникальных идентификаторов узлов Интернета, можно рассматривать с двух концов.

Конец первый – от, например, веб-сайта (веб – сейчас самый важный для стандартного пользователя сервис) к пользователю. В современном Интернете ситуация такова, что пользователь на веб-сайт приходит с какого-нибудь специального “внешнего” IP-адреса интернет-провайдера. При этом в целях экономии адресов большое число пользователей сидят за одним внешним адресом (это позволяют технологии NAT). Веб-сайт может целые города интернет-пользователей видеть как единый узел сети с единственным IP-адресом.

Конец второй – в другую сторону, от пользователя к веб-сайту. В идеальной сети и у пользователя должен был бы быть один уникальный “анонсированный” во вне ( в составе подсети) IP-адрес, и у веб-сайта – тоже один (ну, в простом случае) уникальный IP-адрес. В реальном современно Интернете куча сайтов сидят на одном IP, на виртуальных хостингах – тысячи сайтов разделяют единственный адрес. И ничего – особенности HTTP (протокола, по которому работает веб) позволяют пользователям подключаться к нужным сайтам по имени хоста (по домену, условно говоря).

То есть, адреса экономятся и не видно пока пределов этой экономии, и многочисленные пользователи легко, в прозрачном режиме работают с миллионами сайтов. Всё, в общем-то, не так плохо, несмотря на некоторые трудности с маршрутизацией и на большое количество так называемых анонсов сетей (сейчас не стану пояснять, что это такое – не важно). Зачем же нам IPv6? Ну вот точно не из-за мнимой нехватки адресов.

У IPv6 есть радикальное отличие от IPv4 – новый подход к маршрутизации. Тут можно сделать данный IP-адрес – “мобильным”: он сможет перемещаться между сегментами Сети, сохраняя свою уникальность и связь с неким “домашним” центром, проводящим авторизацию при подключении к Интернету. Что напоминает такая схема? Правильно – роуминг в GSM. Преимущества? Они в возможности реализовать строгую и устойчивую идентификацию пользователя (у него один и тот же IP, где бы и каким образом он не подключался к Сети). Вот это важно. Приплюсуйте сюда новые политики распределения блоков адресов и некоторые криптографические процедуры – и мы оказываемся в совершенно новом Интернете. Впрочем, об этом я писал ранее.

В воскресенье – очередная конспирологическая заметка с шутками и сказками.

Вот сейчас под “социальными сетями” обычно понимают интернет-сервисы типа “Живого журнала”, Facebook, “Одноклассников” и других похожих. Основная особенность тут – построение и постоянное использование участниками сети связей типа “друзья”, “выборок” навроде “что пишут мои друзья” и так далее (думаю, все читатели этой заметки понимают, о чём речь, поэтому не будем вдаваться в подробности).

Все сколь-нибудь популярные сервисы этого рода – “центральные”, то есть работают на группе вполне конкретных серверов, и эти серверы принадлежат той или иной компании, которая имеет полный (технический и административный) контроль над действиями пользователей сети, над контентом, который они генерируют и, соответственно, над связями, которые они строят. Это важный, таки просто ключевой момент, ведь именно это обстоятельство отличает интернетовские социальные сети от аналогичных сетей в офлайне: понятно ведь, что в офлайне никто не может одним рубильником “отключить” всех членов сети в произвольный момент времени. (В офлайне социальные сети – это, например, сообщества фанатов какой-нибудь футбольной команды или, ещё лучше, тайные политические общества.)

Именно штука с центральным управлением переводит интернетовские социальные сети на принципиально новый уровень, если сравнивать с офлайном. Иной уровень – это, конечно, не возможность “отрубить серверы”. Нет. Всё хитрее.

Представим, что над контентом, генерируемым пользователями, ведёт наблюдение группа аналитиков, вооружённых специальными программами-автоматами (лингвистическими и анализирующими связи внутри сообщества). Эта группа строит некоторое новое представление для сети: выделяет связи пользователей “по авторитетности”, определяет стили “онлайн-поведения” и так далее. Результаты наблюдений накапливаются в особой базе данных.

Когда наступает некий “нуль-день”, поведение программного обеспечения серверов социальной сети резко изменяется. Теперь для каждого из пользователей генерируется некоторая “отдельная виртуальность”: сообщения от “друзей” этого пользователя генерируются уже не другими пользователями, а имитирующими их программами-роботами (ботами), которые действуют по алгоритмам, разработанным аналитиками из предыдущего абзаца. Имея полный контроль над контентом и над онлайн-активностью пользователей, не так уж и нереально завалить “френдоленты” потоками сгенерированных сообщений. Можно также подменять сообщения в архивах, оставленные ранее.

Так как на основе автоматизированного анализа предшествовавшей “нуль-дню” сетевой активности построена очень точная модель, то боты смогут генерировать сообщения, очень похожие на те, которые писали реальные пользователи. Смысл акции в том, что деятельность центрально управляемых ботов создаёт нужный информационный фон. Социальные сети в Интернете – традиционный инструмент создания всяких флешмобов. То есть, подходят для “стимулирования” массовых акций.

Понятно, что боты, работающие на центральном сервере, строят нужную отдельную виртуальность для каждого пользователя, учитывая связи этого пользователя, поведение внутри некой “референтной группы”. Вовсе не обязательно, чтобы “тупо подменялись” все сообщения: боты могут лишь иногда вмешиваться, задавая канву, которой следует ведомое сообщество. Ну, правда, не секрет же, что в “жежешечках” и подобных сетях существует вполне предсказуемое по реакции на заявления “гуру” сообщество последователей.

Первый вопрос, который возникает: как же научить ботов писать длинные осмысленные тексты, с заданным смысловым содержанием, да ещё и имитируя при этом живого биологического автора, так, чтобы подозрений не возникло? Такая задача не решена. (Ну разве что за исключением многих и многих дневниковых записок типа “сходил в магазин, купил колбасы, сейчас бутербродов наделаю” – да.) Внимание, фокус: а вовсе не обязательно решать задачу для длинных “авторских текстов”. Поступим проще: уменьшим допустимую длину сообщений в социальной сети.

Что получается?

Правильно – “Твиттер”, самая модная новинка среди социальных сервисов. Обученный на большой выборке “твитов” данного пользователя бот вполне себе справится со 140 символами, используя лишь частотные фразеологические словари и давно известные алгоритмы генерации коротких текстов. При этом “Твиттер” специально позиционируется как среда, где все “следуют” за потоками “изречений” друг друга. Очень удобно. И, вспомните, что сервис уже не раз упоминался в качестве инструмента для быстрой координации офлайновой деятельности социальных сетей.

Подмена информационной реальности с помощью перевода социальных сервисов в режим интеллектуальной эмуляции сообщества – отличный инструмент. Пользователь утром читает, что многие из его друзей просто возмущены каким-нибудь событием в офлайне (события-то может и не было, да), осуждают и намереваются “принять меры”. И вот уже этот пользователь транслирует “информационную тенденцию” дальше.

Ага, есть второй вопрос: а вот как, если этот пользователь начнёт проверять достоверность сообщения по другим каналам, типа, перезвонит по телефону автору “твита”? Ответ: а что, многие обычно проверяют сообщения? Нет, как показывает успешное распространение программ-зловредов с помощью разных ICQ, мало кто проверяет даже совсем неожиданные сообщения. А ведь автоматическая деятельность социальной сети в “нуль-день” будет учитывать “порог неожиданности”, максимально приближая фальшивые сообщения к типичным по стилю (в том числе можно и серии сообщений генерировать, начиная заранее).

Так что подмену реальности не все заметят. А те, кто заметят – их деятельность можно эффективно компенсировать, ведь именно им придётся искать дополнительные каналы оповещения других пользователей о случившемся подлоге. А это проблема.

Вот такая история.

Свежий пример, объясняющий, зачем на клиентской стороне нужна поддержка DNSSEC. На волне интереса к кириллическому домену РФ “Гарант-Парк-Телеком” (ГПТ) предлагает некое “тестирование” работы этого домена. Для “тестирования” как бы создан “первый сайт” в домене РФ под адресом “гарант-парк-телеком.рф”. Это при том, что домена РФ в глобальной DNS пока что нет – он не делегирован.

Журналисты уже (надеюсь, в шутку, а не от недостатка знаний) критикуют производителей браузеров, типа, те не умеют поддерживать кириллицу, потому что “первый сайт” ГПТ ни в каких браузерах не открывается. Вот, “Вебплланета” пишет:

[…] на практике сайт “гарант-парк-телеком.рф” не открывается ни в Internet Explorer, ни в Mozilla Firefox, ни в Chrome или Opera. Очевидно, разработчики браузеров совершенно не спешат включать распознавание кириллоговорящих доменов.

Конечно, сайт не открывается. Но браузеры тут ни при чём – просто в общепринятом сервисе DNS домена РФ нет, поэтому на запросы браузеров об адресации внутри этого домена никто не должен отвечать адресами сайтов. Что предлагает ГПТ? Довольно стандартное решение по созданию “альтернативных доменов верхнего уровня”: провайдерам, желающим “присоединиться к тестированию зоны”, просто нужно изменить настройки сервера DNS:

named.conf:

zone “XN–P1AI” {
type forward;
forward only;
forwarders { 89.111.167.17; };
};

Если излагать обычными словами: DNS-запросы об адресации внутри .РФ от резолверов пользователей провайдера, внёсшего подобные изменения, будут принудительно переправляться на “альтернативный” сервер ГПТ, который станет на них отвечать. Что, вообще говоря, нарушает формальные принципы построения глобальной DNS (но кому есть до этого дело?).

Давно известно, что используя DNS, провайдер может легко поместить своих интернет-пользователей в иной Интернет. Например, в таком Интернете могут работать домены РФ, которые ещё не введены в строй ICANN, а вместо несуществующих доменов, которые пользователь набрал по ошибке, – показываться какие-нибудь рекламные страницы (случай из практики других провайдеров). И только если на клиентской стороне появится DNSSEC, пользователи смогут как-то побороть подобные фокусы, потому что, в таком случае, валидность ответа можно проверить и “отсутствие запрошенного адреса” также удостоверяется.

Официальный кириллический домен для тестирования, созданный по всем правилам, доступен уже давно: http://пример.испытание/

Между тем, корневые серверы DNS начинают отдавать подписанные зоны – то есть, разворачивается DNSSEC (это технология удостоверения адресной информации в DNS с помощью цифровой подписи). 27 января ввели поддержку DNSSEC на L-Root (проверить может каждый, но пока что там ключи “подставные” используются).

К осени форсируют внедрение IPv6, потом потребуют подписывать анонсы BGP (это такой протокол, позволяющий организовать маршрутизацию между, грубо говоря, “независимыми” сетями), так что уже через пару-тройку лет все незаметно окажутся в новом Интернете.

Оказывается, с некоторых пор “Яндекс” ставит на множестве своих страниц, – например, на страницах с поисковой выдачей, – скрытый <iframe>, подгружающий flash-программу. Код этого flash сохраняет на компьютере файл с переданными “Яндексом” данными – расширенный вариант браузерных куки, только поддерживаются эти “куки” flash-плагином, браузер их просто не видит. Понятно, что сохранённый файл потом можно опять прочитать и передать на внешний сервер средствами flash-плагина, таким образом технология применяется для эффективного слежения за пользовательской активностью.

Код со страниц “Яндекса”, который приводит источник данной, весьма занимательной, новости, arkanoid:

<iframe frameBorder=”0″ src=”http://kiks.yandex.ru/su/” style=”width:40px;height:40px;overflow:hidden;position:absolute;left:-40px;top:0;opacity:0″></iframe>

Напомню, что “Яндекс” достаточно давно использует технологии “профилирования” пользователей, с помощью слежения за их активностью. Самый заметный пример: реклама “Яндекс.Директ”, содержание которой привязано, помимо прочего, к истории пользовательских поисковых запросов. Конечно, использование скрытого <iframe> – это, в чём-то, “зловредная” технология. Скажем, аналогичным способом рассаживают троянов через взломанные веб-сайты. Вот так развивается “Яндекс”.

Завершился WebHiTech-2009. WebHiTech – это технологический конкурс сайтов. Победители названы на торжественной церемонии награждения (по ссылке – фотоотчёт), состоявшейся в Москве на этот раз мы сняли пару залов в СДК МАИ; напомню, что в прошлый раз местом проведения послужил “секретный” подземный бункер в центре Москвы).

Конкурс планируется проводить и в следующем году. Кроме того, запланирован целый ряд сопутствующих образовательных и “конференционных” мероприятий. Следите за анонсами.

В комментарии к заметке про конфликт “торговых марок” в кириллическом домене “РФ”, которого пока что и нет в Интернете, торопливый комментатор пишет, что “регистрации уже аннулировали”. Между тем, вчера последовало настоящие развитие истории: заявки удалять уже не планируют, а 10 декабря регистрация должна продолжиться по старым правилам.

Тут нужно напомнить, что по факту шумихи в прессе вокруг захвата коммерчески интересных имён в “РФ” по бросовой цене, Координационный центр (КЦ) опубликовал некоторое “разъяснение”, а также было предложено удалить все уже принятые заявки из реестра. Такое решение и дало повод для радости некоторым интернет-комментаторам: мол, справедливость восторжествует. Теперь же на сайте КЦ размещено сообщение о том, что правила не изменяются, а заявки не удаляются. (Интересно, что предыдущее “разъяснение” удалено из ленты новостей на главной странице сайта КЦ.)

Общий контекст же ситуации такой: ICANN ещё не приняла решения о делегировании домена “РФ”, то есть, данный домен в Интернете ещё не существует, и обязательств по его введению у ICANN нет (даже и не обещали). Но это не мешает доменным войнам разгораться вокруг виртуального “в квадрате” домена “РФ”. Посмотрим, что же скажет ICANN (а это очень дипломатичная организация, между прочим).

Интересная новость (принёс её BugTraq.Ru): Google теперь предлагает открытый для всех пользователей Сети сервис DNS. Достаточно в настройках клиентской машины установить адреса DNS-серверов 8.8.8.8 или/и 8.8.4.4 и преобразованием адресов займётся сервис Google. Использовать такие серверы можно вместо традиционных провайдерских (в большинстве клиентских компьютеров в качестве сервера DNS установлен сервер интернет-провайдера; но это не всегда так).

Возникает резонный вопрос: что даёт обработка DNS-запросов Гуглу? А даёт она очень много подробной статистики о том, какие пользователи куда ходят. Дело в том, что практически всякая активность современного интернет-пользователя в Сети использует DNS-запросы. Поэтому наблюдение над этими запросами позволяет больше знать о “повадках пользователя”.

Конечно, для получения представления о картине “следящей” мощности Google нужно смотреть на введение обработки DNS на фоне того, что уже имеется очень распространённый статистический сервис Google Analytics, установленный на огромном количестве веб-страниц и действует гигантская рекламная сеть, которая также собирает статистику о пользователях. Рекламная сеть и Analytics формируют историю активности пользователей, отслеживая их переходы по разным сайтам.

Более того, у Гугла есть поиск, с историей запросов. А также сервис электронной почты, очень популярный. Потенциально, DNS позволит существенно улучшить разрешающую способность системы “сбора статистики”. Например, “наложение” данных о DNS-запросах на другие сведения об интернет-активности позволяет эффективно различать между собой компьютеры, “спрятанные” за общим IP-адресом и за прокси-серверами.

Нужно, впрочем, отметить, что пока Google не заявлял, что строит некую сверхточную и сверхмощную систему мониторинга и “профилирования” пользователей. Но возможности построения такой системы, несомненно, оказались бы очень полезны для успешной продажи рекламы – а это важный элемент дохода для Гугла.