dxdt.blog: занимательный интернет-журнал

Интересно, что при обсуждении веб-стандартов очень часто приходится слышать от разработчиков, что, “если я сделал сайт, оттестировал и он одинаково отображается во всех браузерах, то это – работа, а стандарты не нужны вообще”. В принципе, понятно: корень распространённости такого мнения в историческом происхождении современной “веб-разработческой” среды, сильно не хватает там системного образования “по профилю”.

Между тем, подготовленный разработчик сайтов должен бы знать: веб-стандарты придуманы для того, чтобы новые браузеры, – которые “опытный” разработчик никак не имел возможности протестировать, – также могли корректно отображать уже разработанные сайты. Веб-стандарты – они делают всю систему разработки открытой для развития. То есть, соблюдение стандартов позволяет и разработчикам браузеров делать хорошие и универсальные (относительно веб-сайтов) продукты.

Судите сами: бравый разработчик, якобы “оттестировавший сайт во всех браузерах” – даже если и мог это сделать, с оговоркой о “распространённых браузерах”, то только для актуальных на момент тестирования версий, и, скорее всего, на сильно ограниченном наборе сочетаний ОС+браузер. А через месяц выйдет новая версия браузера, и в ней сайт этого разработчика будет успешно “разъезжаться”. Особенно, если новый браузер тоже не придерживается стандартов.

Наверное, разработчик веб-сайта может договориться с разработчиком браузера о том, как же связка этих двух элементов будет работать. В принципе, такая “договорённость” не обязательно должна происходить в виде личной встречи и “согласования позиций сторон”. Разработчику веб-сайта достаточно принять к сведению и исполнению пункты документации, опубликованной разработчиком веб-браузера. В результате как раз и появляется “закрытая система”, где все ждут новой документации и не знают, как уже работающий сайт поведёт себя через год. Развивать веб-разработку в такой связке – неоправданно сложно, если вообще возможно.

Забавно, что мало у кого вызывает протест наличие стандартов, например, на бытовое электропитание. Между тем, эти стандарты позволяют переехать с имеющимся телевизором в новую квартиру в другом городе и сохранить при этом работоспособность телевизора в плане его питания “от розетки”. Вряд ли самим веб-разработчикам, заявляющим, что “оттестировал во всех браузерах”, понравилось бы сперва “оттестировать” телевизор “во всех домах”, навесив на бедный электронный агрегат десяток дополнительных трансформаторов и дюжину тумблеров вида “[if IE 6]”, а через полгода выяснить, что в новой квартире электропитание подаётся в формате “605V/173Hz” и поэтому телевизор при включении неожиданно взорвался.

Так что задача веб-стандартов, в том, чтобы цикл разработки был предсказуемым, а разработанный в 2009 году веб-сайт мог бы корректно выводиться и в специальном 3D-браузере, который придумают в Бразилии к ноябрю 2012 года. И такая же ситуация со стандартами вообще, а не только с веб-стандартами. Просто, другие стандарты обеспечивают разработку других продуктов, например, самолётов.

Есть экзотические домены, среди них – mobi. Для этого домена сейчас продвигают на рынок специальную технологию, которая автоматом переносит сайты из общепринятого формата в прокрустово ложе требований сайтов .mobi, – про что сегодня представители администратора mobi рассказали на пресс-конференции в Москве.

Домен mobi появился как специальный сегмент адресного пространства, служащий для размещения ресурсов, предназначенных для мобильных устройств, а точнее – для пользователей, по тем или иным причинам предпочитающих просматривать “интернет-контент” с помощью мобильных телефонов. Требуется, чтобы ресурсы, размещаемые под доменом .mobi, – например, веб-сайты, – были специально оптимизированы для показа на экранах мобильных телефонов и смартфонов. Действительно, до сих пор при просмотре веба с рядового мобильника – возникают трудности с отображением страниц.

Вообще, предложение охватить оригинальным доменом новый сектор технологий – оно очень неплохо смотрелось в заявках, подававшихся в ICANN несколько лет назад в рамках процесса добавления доменов верхнего уровня.

Заявка mobi тогда прошла все инстанции, и домен запустили. Регистрация имён общедоступна с 2006 года. При этом, что удивительно, многие интернет-пользователи и по сей день о домене mobi не слышали. У домена mobi проблема с популярностью. Возможно, при подаче заявки расчёт был сделан на производителей мобильных телефонов. Мол, производители так устроят популярные модели, что к всякому короткому интернет-адресу, набираемому в мобильном браузере, будет автоматически добавляться .mobi. (Набрать адрес сайта с клавиатуры мобильника – это ж отдельная проблема.) В таком случае размещать что-то под доменом mobi было бы весьма привлекательно для поставщиков контента.

Но развитие сложилось сильно иначе. Вместо урезания веба, расширились возможности телефонных аппаратов. (Удивительно, конечно, что кто-то сомневался в таком исходе. Ведь перед глазами живой пример – персональные компьютеры. Но речь сейчас о другом.) Итак, теперь у карманных коммуникаторов всё меньше и меньше ограничений по просмотру веба. На многих устройствах работают вполне полноценные браузеры. Производителей интересного контента мучает вопрос: а зачем тратить силы на создание, по сути, дополнительного представления для контента в домене .mobi, если пользователь и так может просмотреть нормальный веб-сайт под доменом .com с современного коммуникатора? А пользователю устаревшего сотового телефона, как нетрудно догадаться, мобильный Интернет вообще не интересен. В результате, домен .mobi живёт плохо, регистраций там мало.

Но выделенное доменное пространство настойчиво требует коммерческого развития. И администраторы mobi выдвигают на сцену дополнительные технологии, призванные как-то привязать непослушных производителей контента к экзотическому домену. Instant Mobilizer – это такой “шлюз”, который автоматически извлекает страницы полноценного веб-сайта, сжимает-урезает их содержимое и показывает результат под выбранным доменом .mobi. То есть, требуется только зарегистрировать домен .mobi, докупить услугу Instant Mobilizer, привязать её к уже имеющемуся сайту и – адаптированный для мобильника сайт под доменом .mobi станет отображаться сам собой. Тратить силы на создание специальной версии не нужно.

Впрочем, что-то вся эта кухня напоминает, да? Правильно – Opera Mini (то же самое предварительное преобразование веб-страниц сторонним сервером). То есть не очень новая штука, к сожалению. При этом с привязкой к домену .mobi.

Понятны тут несколько вещей:

Во-первых, да, в общем случае, запустить сайт под доменом .mobi с Instant Mobilizer – проще (но некоторые сайты через него не заработают). При этом на вопрос “А зачем?” ответа всё равно нет.

Во-вторых, понятно, что владельцы сервиса, как и в случае с Opera Mini, получают интересную статистику по использованию Интернета. С одной оговоркой: сервис должен обрести популярность. Тут, конечно, никак не обойтись без помощи регистраторов доменов, которые могут постараться спасти mobi.

В-третьих, очередная попытка переломить мощный ход прогресса и продолжать действовать в канве запихивания веб-сайтов в некие узкие рамки “мобильных устройств с ограниченными возможностями” – это, всё же, стратегически не лучшее решение. Просто потому, что сами мобильные устройства развиваются, адаптируются под нормальный веб, и всё ближе к настольным компьютерам по возможностям. Взгляните хотя бы на суперпопулярные нетбуки с полноценными, в прикладном смысле, ОС.

Посмотрим, что там с Instant Mobilizer станет через год.

Такие дела.

Стартовал технологический конкурс веб-сайтов WebHiTech. Выдвигайте на конкурс сайты. Если, конечно, в их коде, как минимум, в первой строке прописан <!DOCTYPE…> – иначе, шансы нулевые, даже на преодоление предварительного отбора.

Конкурс становится ежегодным. Потому что уже второй раз проводим. (А кто-то сомневался, хе-хе.) В этом году есть изменения в правилах, в составе жюри.

Планируем новую оригинальную церемонию вручения. В прошлый раз, между прочим, для закрытой церемонии награждения победителей WebHiTech арендовали целый “секретный” военный подземный бункер в центре Москвы. Вот так: фоторепортаж.

(Update: Угу, с первого раза < > – преобразовались плохо, поэтому <!DOCTYPE…> увидели лишь те, кто знает где искать. Сейчас поправил. Кстати, на прошлом WebHiTech была секретная номинация, описание которой оргкомитет умело спрятал внутри кода страниц сайта webhitech.ru. Для настоящих кодокопателей номинация.)

Ботнеты бывают построенными на основе заражённых “троянами” пользовательских компьютеров – то есть, зомби-машины работают помимо воли их пользователей. А могут быть и ботнеты, построенные пользователями, добровольно поделившимися своими вычислительными и сетевыми ресурсами. Это такие добровольцы, энтузиасты, поддерживающие ту или иную атаку в Сети. (Примеры, подтверждающие практическую осуществимость расклада – проекты по распределённым вычислениям.)

Скажем, “социальные сервисы” (соц. сети в Интернете) уже используются в качестве инструмента для политической борьбы (примеры – в прессе). Методы и средства тут вообще-то не отличаются от “киберополчения”, просто инструментарий несколько другой природы. Но главное, что этот инструментарий – “центральный”: раздаётся владельцами сервиса. В прошлом году, кстати, мы наблюдали живой пример, когда одна из крупнейших российских социальных сетей легко силами пользователей свалила построенную без учёта подобных “атак” систему “народного голосования” Премии Рунета.

Акции вида “а давайте заспамим им голосовалку”, проводимые крупными по аудитории веб-ресурсами, вообще давно известны, уже достаточно много лет. Механизм тут, опять же, типичный для “киберополчения”: в качестве “оружия” выступает браузер, команды поступают из центра, действия выполняют заинтересованные добровольцы. Отличие от упоминавшихся ботнетов – минимальное, не хватает только специального ПО вместо браузера. Так что в социально-организационном плане всё уже работает в реальности.

Влияние Интернета, как коммуникационной среды, растёт не по дням, а по часам. Так что логичным продолжением как раз является появление более профессионально оснащённых групп добровольцев: способы проведения распределённых DoS-атак сейчас хорошо документированы, как и алгоритмы, нужные для создания специального ПО.

При этом, вступить в ряды “киберополчения” очень просто: достаточно зайти на веб-сайт, скачать программу, которая автоматически активируется. Есть даже более простой вариант (он, кстати, в ходу): зайти браузером на специальную веб-страницу, сконструированную таким образом, что браузер начинает автоматически открывать и обновлять URLы с атакуемых сайтов (делается, скажем, с использованием фреймов и т.п.). Так что, в принципе, и ПО не нужно скачивать.

Ботнет, за которым стоят люди, это гораздо более гибкая штука, чем ботнет из программ-роботов: программы – они негибкие и плохо работают в “агрессивной среде”; люди же могут импровизировать. Всё это, между прочим, интересно с точки зрения систем электронного голосования.

Рейтинг CMS от iTrack – довольно странный: не приводят количества сайтов в выборке (типа, 2 млн доменов второго уровня .RU обошли, хотя там не все делегированы, много сайтов на третьего уровня доменах) и не публикуют, на скольких сайтах из выборки установлены коммерческие CMS. Без этих данных рейтинг бесполезен.

Особенно забавно выглядит “подробное” описание методики: не публикуется список “сигнатур”; куча странных для изложения методики исследования фраз, типа “…учитывались домены, ответившие в течение 4 секунд на запрос по адресу http://domain.ru.” (какой запрос? почему в течение 4 секунд? что значит – “ответивший домен”? и т.п., и т.д.) Очень сомнительно.

Впрочем, довольно занимательна вот какая “аппроксимация”: S.Builder пишет на сайте, что на их CMS сделано более 3500 сайтов. Предположим, что сайтов 3500, и это всё сайты на доменах второго уровня в .ru (наилучший для рейтинга вариант). В рейтинге iTrack у S.Builder – 4% от всех коммерческих CMS. Это даёт оценку количества всех сайтов на коммерческих CMS в 87500 (понятно, что всё приблизительно). То есть, если продолжать в терминах рейтинга iTrack, общая доля всех платных CMS – всего около 4.4% от объёма сайтов. В десять раз меньше, чем у WordPress, например. (Реально, я думаю, платных российских CMS использует ещё меньше, чем 4% от всех сайтов.)

Кросс-пост отсюда: http://1.dxdt.ru/2009/07/20/

Новые правила регистрации доменов .RU – опубликовали, с разъяснениями про “предоставление документов”. В общем-то, вполне ожидаемо, метод предоставления копий “удостоверяющих данные” документов отдан на откуп регистраторам:

“Порядок и способы передачи документов регламентируются регистратором. По усмотрению регистратора для идентификации администратор может предоставлять простые копии документов, однако регистратор вправе затребовать предоставление нотариально заверенных копий документов.”

Интересно, когда начнут работать по “сканам”, присланным по электронной почте, как быстро найдётся специалист, который зарегистрирует домен на Васю Пупкина, прислав отличный “скан” “паспорта”?

Про то, почему было бы очень смешно работать с электронными “сканами” и при этом говорить про документальное подтверждение данных и “паспортизацию” – я писал не так давно.

Многие, наверное, слышали, что с ближайшей осени, возможно, регистрация доменов .RU будет осуществляться “по паспорту”. Сейчас при регистрации .RU тоже требуется указывать паспортные данные администратора домена, но так как договоры заключаются в форме публичной оферты (грубо говоря, через веб-форму в Интернете), то некоторые администраторы доменов указывают фиктивные персональные данные. Ну, например, “Иванов Иван Иванович, номер паспорта 12345, тел. 0000000”, и т.п., и т.д. При заключении договора корректность данных не проверяется и домен оказывается оформлен “на кого угодно”.

Идея с паспортизацией, по логике её возникновения, по выдвигавшимся аргументам – направлена на избавление от подобных “левых” регистраций. Строго говоря, речь не о самом паспорте, а о построении системы аутентификации администраторов доменов. И вот многие слышали про “домены по паспорту”, и при этом продолжают рассуждать о каких-то “сканах” паспортов, присылаемых “по e-mail, по факсу”. Это плохо, потому что неверно.

Обратите внимание, что с точки зрения построения системы аутентификации администраторов, ситуация с пересылкой “сканов” – она вообще ничем не отличается от сложившейся сейчас. Просто, вместо того, чтобы вводить “левые” данные в веб-форму, нужно будет эти же левые данные вывести в JPEG, сгенерировав полный “скан” паспорта. То есть, изменяется только “кодирование”, а система остаётся той же самой.

При этом, добропорядочные клиенты и сейчас указывают в веб-форме договора настоящие данные. А недобропорядочные – они смогут легко сгенерировать “скан”. Обрабатывающие документы сотрудники не являются экспертами по анализу цифровых изображений с целью выявления подделок. В общем, новую схему аутентификации совсем нельзя построить лишь на пересылке каких-то там “сканов” – в таком случае изменяется только механизм, а схема остаётся старая, действующая сейчас, без аутентификации.

О чём же может идти речь в реальности? Вот о чём: в цепочке обработки персональных данных администраторов вводится новое обязательное звено, которое проверяет соответствие персональных данных тому лицу, которое их предъявляет. Собственно, это и есть аутентификация. Звено появляется в самом начале цепочки, ближе к клиенту.

Сотрудник компании-регистратора или, например, нотариус, непосредственно удостоверяют личность администратора, попросив его предъявить паспорт. Не “скан отправить факсом”, а вот лично предъявить паспорт в офисе (сверяется фото в паспорте с присутствующим тут же клиентом). Схема известная, да.

Вот действительно разумный способ ввести “домены по паспорту”. И, видимо, единственный реальный способ (так как технологии ЭЦП не достаточно распространены). А просто переводить на “сканы” – это очень смешно, не более.

Вот.

P.S. А ещё, обсуждение этой темы показало, что многие путаются в “двух соснах”: в идентификации и аутентификации. Объясняю популярно: идентификация – это когда звонит по телефону мужской голос и в ответ на ваш вопрос “А хто ето?” представляется Петром Ивановичем Булкиным, старшим сантехником по подъезду; аутентификация – это когда уже назвавшийся Булкиным мужской голос может ещё и правильно назвать девичью фамилию консьержки, а также другие пароли, известные только настоящему Петру Ивановичу, в результате вы более или менее уверены, что разговариваете действительно с сантехником Булкиным. Ну, просто голос у него претерпел аберрацию.

В адресном пространстве тесно. Говорят, что хороших доменов вообще не осталось. Вот по ссылке ниже (papyrus.ru) группа специалистов будет делиться неплохими свободными доменами, а точнее – доменными идеями. Получается такой список интересных доменных имён, которые доступны для регистрации (по whois) на момент опубликования.

(Кросс-пост отсюда: http://1.dxdt.ru/2009/06/17/.)

Сегодня немного “техничная” записка. Есть такой положительно оцениваемый админами и, очевидно, отличный продукт: веб-сервер nginx, единолично поддерживаемый автором – Игорем Сысоевым. Nginx очень популярен, используется массово.

Ну, думаю, понятно, что как всякий нормальный “интернетовский” серверный продукт nginx работает на платформе Unix/Linux. И вот на ReMIX в этом году Сысоев анонсировал бинарную версию nginx для Windows.

Что в этом особенно интересного?

А вот что: есть такая технология в DNS, называется fast-flux. В рамках этой технологии штатными средствами DNS быстро меняется соответствие конкретного доменного имени и IP-адреса сервера. Я как-нибудь напишу про fast-flux в подробностях, сейчас важен лишь один момент: fast-flux активно используется злоумышленниками для размещения вредоносного и просто “неправового” контента в Интернете. Злоумышленникам, fast-flux, применяемый вместе с ботнетом, позволяет скрывать следы и преодолевать провайдерские фильтры, блокирующие доступ по IP-адресам.

Важно: при этом сама технология fast-flux – не является “зловредной”, не использует какие-то уязвимости в DNS, а вполне “легитимна”. Но злоумышленники нашли ей своё применение.

Я только что упомянул ботнет, важный для “зловредного” fast-flux: элементы этого ботнета либо сами раздают “нехороший контент”, либо работают proxy, то есть, передают запросы-ответы между клиентом и каким-то скрытым веб-сервером, где плохой контент лежит. И в первой, и во второй схеме требуется специальное ПО на заражённой машине: веб-сервер, либо реверсивный proxy. Нужно ли говорить, что nginx отлично работает и в первой роли, и во второй? Наверное, нет – сами догадались. (При этом nginx ещё умеет и нагрузку балансировать, и кешировать.)

Специалисты из рабочей группы ICANN, занимающейся fast-flux, включили nginx, отвечающий на http-запросы под “исследуемым доменом”, в список признаков “злонамеренного fast-flux”. Это произошло ещё до выхода Windows-версии nginx. И казалось странным. Но, вообще говоря, появление такого пункта указывало на то, что в Сети есть некоторое заметное число захваченных злоумышленниками unix-серверов.

Ну да, уязвимости есть в разных ОС.

При этом, естественно, подавляющая масса компьютеров, составляющих ботнет работает под управлением Windows.

Для хостингов, для нагруженных серверов веб-сайтов – ОС линейки Windows пока не актуальны. Но, понятно, для Microsoft, особенно в Рунете, портирование nginx под Windows – это важное событие: MS активно пробирается на “хостинговый” рынок. Поэтому, можно предположить, что Microsoft активно поддерживала идею пересаживания nginx на дополнительную платформу (хотя, сам автор nginx говорил на ReMIX, что исходная задумка очень старая; но факты таковы: бета-версия появилась только в 2009 году и анонсировалась на майкрософтовской конференции).

Если взглянуть на практическую сторону: довольно сложно придумать, где бы, на каком бы узле системы предоставления услуг типичного современного хостинг-провайдера windows-nginx мог с выгодой крутиться (за исключением, разве что, windows-хостеров). Дело в том, что там же везде и давно FreeBSD, ну или что-то близкородственное. И nginx давно есть.

Зато вот для использования в ботнетах, работающих на fast-flux, где Windows безоговорочно лидирует – очень кстати соответствующий “бинарник” nginx. Вот такой выходит неожиданный поворот.

Ещё раз отмечу, чтобы избежать кривотолков: nginx – очевидно, хороший эффективный рабочий инструмент, который злоумышленники просто возьмут на вооружение. (Nginx даже гораздо “легитимнее” fast-flux, если так можно сравнивать.) А интересным аспектом здесь будет то, у кого же больше окажется востребована версия nginx под Windows.

В конце апреля “Би-Би-Си” процитировали штатовского полковника (Charlie Williamson), который в выступлении по радио высказывался за создание “официальных” ботнетов (ну, почему-то именно ботнетов) и средств нападения в киберпространстве Интернета.

Понятно, конечно, что использование термина “ботнет” можно воспринимать как утрированный пример, приведённый полковником для публики. Но вообще – ситуация интересная, ведь понятно, что такие публичные заявления не делаются на пустом месте. Вспомним известный вариант: самая распространённая в мире персональных компьютеров ОС – разработана, тиражируется в США и автоматически ходит обновляться на серверы, подконтрольные известной штатовской “микропрограммной” компании. Ну чем не потенциальный ботнет? И даже не нужно находить уязвимости.

Другой момент (обсуждающийся в речах пентагоновских “спикеров”): если появятся “официальные” программы-зловреды, лицензированные на деятельность в интересах правительства США, то как будет решаться вопрос с производителями антивирусного ПО? Надо же им будет как-то выдавать сигнатуры “своих” агентов и регулировать “взаимодействие”. (При этом, как и пишут/говорят, нелицензированные зловреды уже используются специальными службами – ну и это не удивительно, конечно.)

Ещё интереснее: как будут взаимодействовать с независимыми разработчиками, которые возьмут лицензированные штатами зловреды, исследуют их и выпустят бесплатное противодействующее ПО? Наверное, нужно будет как-то поправлять законы в США?

(В скобках поясню: имея в руках рычаги управления адресным пространством Интернета, вообще довольно странно желать именно ботнет; можно же любую по мощности атаку в Интернете провести, используя штатные средства. Скажем, даже и какую-то чужую действующую атаку можно переправить по другому адресу. То есть, ботнет – это абсурд, в данном контексте. Поэтому намёки, всё ж, делаются именно на компьютерные зловреды, действующие по лицензии штатовского правительства. Ведь для скрытного проникновения на атакуемые системы обычные средства управления Интернетом не годятся – у них избирательности недостаточно.)

Кстати, сейчас довольно громко обсуждают будущее ICANN (это контролирующая распределение всего адресного пространства Интернета штатовская организация) и то, сохранят ли США контроль над Интернетом в ближайшее время.

Вообще, странно сомневаться, что сохранят. Нужно иметь в виду, что сейчас в руках штатовских организаций все технические рычаги по управлению Сетью. Например, файл корневой зоны DNS не только проходит утверждение в Минторге США, если были внесены изменения, но и распространяется по корневым серверам из единого сервера-источника, контролируемого штатовской компанией. Штатовские телекоммуникационные компании контролируют многие ключевые точки обмена трафиком в Интернете. Более того, на большинстве этих точек в качестве базового оборудования используются маршрутизаторы, изготовленные, опять же, штатовскими компаниями (понятно, что они контролируют ПО, работающее в этих маршрутизаторах, и осуществляют наладку-поддержку).

Вокруг такой инфраструктуры, имея дипломатический опыт, можно без труда выстраивать любой “общественный интерфейс”, даже и как бы международный. Главное – не выпускать из рук реальные рычаги.

Например, в ICANN тоже есть представители самых разных государств в комитетах. ICANN то и дело затевает разнообразные “публичные общественные обсуждения”. Но решения всё равно утверждает Минторг США.

Вообще, если взглянуть внимательнее на то, как строго штатовский минторг контролирует процедуру внедрения DNSSEC, становится ясно: там отлично понимают устройство реальных механизмов управления Глобальной Сетью и выпускать их из-под контроля не собираются.