dxdt.blog: занимательный интернет-журнал

Популярная сейчас тема: электронное голосование, да не простое, а через Интернет. Речь не об интернет-опросах, а о настоящем, государственном голосовании на выборах. То есть вместо посещения избирательного участка голосуют с домашнего (или офисного?) компьютера. Понятно, что наиболее привлекательный “транспорт связи” в таком случае – Интернет.

Вообще у подобных схем электронного голосования есть одна очень важная, определяющая, особенность, о которой забывают. Как ни странно, особенность эта довольно хорошо изучена на примере систем контекстной интернет-рекламы. (Правда, не слишком радостные результаты изучения, в случае с интернет-рекламой, как-то не очень популяризируют.) Так вот, особенность в том, что люди не могут голосовать через Интернет – через Интернет голосуют только компьютеры.

Как так? Очень просто: именно компьютер подключен к Сети, поэтому центр сбора и обработки результатов получает “сигнал” именно от компьютера. Что там за человеческий гражданин находился в момент голосования за компьютером, и находился ли он там вообще – об этом ничего не известно.

Да, можно раздать гражданам специальное программное обеспечение (ПО) на избирательных участках. Но если на участке наблюдатели видят, как гражданин размещается в кабине для принятия решения, то в случае интернет-голосования определить, кто там использовал голосовательное ПО – нет возможности.

Понятно, что выбор конкретного голосовальщика можно зашифровать во время передачи по публичным сетям (а Интернет, конечно, делает такую передачу обязательной). Можно практически исключить повторную подачу голоса и изменение результатов злоумышленниками “на лету”. С тайной голосования, правда, возникают трудности: простое решение не даёт никакой анонимности, так как сессии процесса голосования могут сохраняться на многих промежуточных узлах.

В принципе, криптологами предлагались и предлагаются схемы голосования, где выбор остаётся секретным даже при условии хранения и доступности логов. Беда с подобными схемами одна, зато фундаментальная – они вообще не понятны людям без специального образования, соответственно вопрос достоверности результатов для большинства представителей заинтересованных сторон сводится к вопросу о доверии “занудам, разговаривающим непонятными словами о каких-то алгебрах”. Бумажные же бюллетени каждый может пересчитать, даже не математик.

Фиксирование легитимности конкретного голосования, в случае с интернет-подходом, вообще просто провальный момент. И даже не обязательно гражданин осознанно “торгует голосом” и передал кому-то свои реквизиты. Предположим, что домашний компьютер, которым этот гражданин собирается воспользоваться для голосования, заражён вирусом и является частью ботнета. Это специальный вирус, специальный ботнет, настроенные именно для голосований. Когда пользователь вводит какие-то там свои персональные ключи, а программное обеспечение для голосования подключается к центру избирательного комитета, то троянский код просто изменяет ввод пользователя в нужную владельцу ботнета сторону.

Тут важно понимать, что в случае достаточно продвинутого хакерского кода практически нет способов противодействия “перехвату волеизъявления” на стороне голосующего компьютера. Из-за того что между человеком и центром приёма результатов всегда есть неизвестный компьютер, весьма затруднительно проверить, что выбор сделал гражданин, а не хакерская программа, обманувшая гражданина. Особенно если такая проверка должна сохранять тайну голосования. При этом программа злоумышленников может “всплывать” на уровень выше всяких программных систем контроля и защиты, оказываясь строго между человеком и интерфейсом специального ПО голосования. (Собственно, так работают различные сниферы паролей.)

Если в схеме задействован достаточно большой ботнет, то его силами можно довольно быстро набрать нужный материал для анализа используемых в данных конкретных “электронных выборах” протоколов и ключей, что поможет эффективному вредительству. (Понятно, кстати, что протоколы должны бы быть заранее открыты для публики.)

А вот заразить троянцем деревянную кабинку для голосования или бумажный бюллетень, вроде бы, пока хакеры не умеют. Такие дела.

Между прочим, IPv6 затруднит деятельность владельцев ботнетов. И дело тут не в безопасности протокола. Просто, весомая часть деяттельности хакера-ботнетчика – “организационная” работа с IP-адресами. А IPv6 – делает адреса трудночитаемыми, если сравнивать с IPv4. Выходит, что инфраструктура усложняется, понимание её потребует больше времени, больше интеллектуальных усилий, а это всё затруднения.

С другой стороны, учитывая современный уровень ботнетостроения, с его визуальным средами и “тулзами”, с его саморастущими “фермами зомби”, вряд ли стоит расчитывать на то, что злые хакеры не преодолеют трудности восприятия IPv6. Преодолели же они в своё время появление сложных многорежимных процессоров от Intel (i386 имеются в виду).

Как и прежде, в околоинтернетовских статьях сообщают, что по веб-страницам ходят роботы и собирают адреса электронной почты, а адреса эти роботы узнают по символу ‘@’. Оказывается, до сих пор множество пользователей “шифруют” свои адреса, опубликованные на веб-страницах, подставляя вместо @ иные символы, выходит что-то вроде этого: “info (at) vezdehod.ru”. Типа, обманули глупого робота.

При этом роботы уже давно умеют узнавать и “(at)”, и “(dog)”, и “-gav-“, и “-nospam-“, и всё такое прочее – потому что вообще нет проблем добавить небольшой словарь в код бота, обходящего веб-страницы.

В реальности восстание роботов только ожидается через несколько десятков лет. В Интернете всё быстрее. Здесь роботы уже играют одну из определяющих ролей в пользовательской навигации. Думаю, понятно, что речь о программах-роботах, используемых интернетовскими поисковиками: поисковые машины служат “интерфейсом к контенту” Интернета для масс рядовых пользователей, при этом в крупнейших поисковых системах собирают информацию о веб-страницах и ранжируют её не люди, но роботы. Куда робот посоветовал, туда пользователь и отправился – вот что получается.

А раз роботы поисковиков потребляют контент с веб-страниц, то, понятно, специалисты, старающиеся направить поисковый трафик (из посетителей) в нужное русло, также будут использовать роботов. Эти роботы автоматически генерируют контент, пригодный для скармливания поисковикам. Они нужны поисковым оптимизаторам.

Роботы-генераторы могут как собирать тексты на заданную тему “с нуля”, так и “перефразировать” готовые тексты с тех или иных сайтов (такие вот есть “роботы-рерайтеры”). И в первом, и во втором случае используются специальные словари. Тексты по качеству, с точки зрения человека, варьируются от полной бессмыслицы до более или менее читабельной чепухи. С точки зрения других роботов, не понимающих смысла, тексты выглядят очень похожими, а обычно неотличимыми от текстов, написанных человеком. Неплохой и понятный пример подобного робогенератора текстов: “Яндекс.Рефераты” (там же есть и яндексовский генератор стихов Пушкина). Другие примеры реализаций можно в изобилии найти в Google. Например, по запросам “генератор статей” и “синонимайзер текстов“.

Тут нужно иметь в виду, что для поисковой оптимизации важны не только тексты, но и ссылки. Ссылки также раскладывают по массивам сайтов и страниц специальные роботы – но это отдельная тема.

Почему работают роботы? Потому что они дешевле, чем копирайтер. Работа с роботами может быть массовой, и “на круг” прибыль больше.

Что получается? Получается, что контент Интернета для одних роботов генерируют другие роботы, а результаты борьбы пожинают массовые пользователи, путешествующие по ссылкам. Если поисследовать веб-страницы, формирующие ссылочную структуру для сайтов, оптимизированных под коммерчески интересные поисковые запросы, то окажется, что робогенераторы контента тут уже имеют неплохую долю.

Следующий шаг восстания роботов – генерация текстов, более или менее полезных пользователю. Это ниша всевозможных автоматических “агрегаторов новостей” и так называемых “робоСМИ”. Например, робоСМИ собирают новости и статьи с разных сайтов, сортируют собранное по базе ключевых слов (по тематике), автоматически генерируют по шаблонам анонсы и публикуют получившуюся “информационную ленту”. Часто результат не сильно хуже общего уровня массовых текстов по данной тематике в Интернете (в Рунете, если хотите). Тут ведь ещё играет важную роль общее падение уровня авторских публикаций в Сети, особенно по темам, интересным более или менее широкой аудитории – а это не обязательно “сплетни про знаменитостей”, годятся и “новости из мира гаджетов”.

Предположим, что отдельное коммерческое робоСМИ не привлекает особенно большой аудитории и, таким образом, не приносит большого дохода. Но ведь и затраты на подобных роботов – минимальные: роботы – не редакция, роботов можно разводить “на ферме” сотнями, автоматизировав не только генерацию текстов и развёртывание сайтов по интересным “ключевым словам”, но даже регистрацию доменов для новых “проектов”. Ключевые слова, темы “на ферму” закидывает “фермер”, просматривающий тенденции в офлайне. Так что минимальный доход с одного роботизированного контент-генератора можно компенсировать большим числом этих генераторов, которые работают сами по себе, не требуя много внимания.

Есть и тенденция следующего уровня: для первичного “удобрения” всё равно нужны тексты, сгенерированные людьми. При этом качество и ценность этих текстов не так уж важны: переработка и массовость – компенсируют недостатки сырья. Значит в систему, для питания роботов, требуется заманить некоторое количество человеческих авторов (точнее – “авторов”). С экономической точки зрения лучше, если заманивать тоже будут роботы. То есть программа-бот рассылает по почте приглашения потенциальным авторам, даже, возможно, ведёт переписку, с целью убедить автора зарегистрироваться на “фабрике удобрений” и “вести там авторский блог”, бесплатно, конечно. Результаты блогерства скармливаются роботам и – система работает эффективнее.

Вот так. А виной всему не развитие технологий, а “кризис ответственности” в Сети. Результатом, кстати, станет какой-нибудь новый Интернет.

А вот интересная цитата:

В ближайшее время в RU-CERT планируется создание черного списка интернет-провайдеров, через которых совершаются киберпреступления.

Понятно, что большое число кибератак (киберпреступлений) имеет своим источником сеть того или иного провайдера. При этом, конечно, обычно используются машины-зомби, сидящие в этих сетях. Впрочем, есть и провайдеры, которые размещают в своих сетях центры управления ботнетами и всякие фишерские и спамерские сайты. Даже есть такая “бизнес-модель”, если тут можно использовать этот термин, – предоставление “абузоустойчивого” хостинга всяким сомнительным сайтам.

Вообще, если подобный список появится, то провайдеры, возможно, начнут лучше следить за зомби в своих сетях, а возможно – просто будет очередная проблема, типа спамерских чёрных списков.

(Есть, кстати, уже прецеденты, когда сомнительных провайдеров, “хостящих” сайты злоумышленников, лишали “аплинков” (каналов “наружу”) и, таким образом, задавливали.)

В ЖЖ я провожу опрос по теме: “Когда Google обгонит “Яндекс” в Рунете“.

Итак, кириллический домен РФ – утверждён ICANN:

В столице Египта на 33 конференции ICANN официально утвержден российский национальный кириллический домен верхнего уровня. Как и ожидалось, им стал домен “РФ”. Определен и администратор домена – Координационный центр домена RU.

Кто там сомневался? Пишите в комментарии.

Жюри определило победителей конкурса WebHiTech, список – на сайте конкурса.

Известно, что разные картиночные капчи (CAPTCHA) используют в Интернете с целью отличить просто компьютер от компьютера, управляемого человеком. Например для того, чтобы какие-то действия на сайте были доступны только человеку, а не программе-боту. Сейчас капчи стали настолько “попсовым явлением”, что то и дело появляются реализации, которые программе-боту решить проще, чем человеку.

Рассмотрим пример. На сайте народного голосования “Премии Рунета” есть капча, как бы защищающая голосовалку от накрутки. Капча выглядит так (ниже – две картинки, в масштабе 1:1 и увеличенная):

Итак, человеку тут придётся разглядывать мелкие “цифири”, ломая глаза, и выполнять арифметическое действие.

Между тем, с помощью настроенной программы-бота капча ломается очень быстро. Основная уязвимость капчи в том, что пикселы цифр там всегда чёрные, в фоне же чёрные пикселы не встречаются. При этом цифры выводятся в известной области изображения (одной и той же, как я понимаю) простым шрифтом, без всяких искажений. Ключевой момент алгоритма решения данной капчи: делается простой перебор масок цифр 0-9 (так сказать, из библиотеки, сгенерированных на основе того же шрифта) по изображению, с обнаружением максимально совпадающих масок. Понятно, что даже не нужно делать сегментацию – значащие пикселы уже отмечены “контрастным” цветом (RGB: 0.0.0).

Тип операции (+/-) определяется аналогично. Правда, придётся поискать начальный пиксел знака операции. После чего только одно арифметическое действие отделяет программу бота от решения капчи.

Понятно, что один раз налаженная программа сможет решать такие капчи моментально даже на средненьком по производительности компьютере. Но самое смешное то, что эти капчи можно сгенерировать и прорешать заранее, сложив в базу хеши и ответы. После чего конкретная задача-капча решается ещё быстрее.

Update (27/10/2008): “Премия”, наконец-то, поменяла капчу на более стойкую. Исправляются, это не может не радовать.

В этой записке – картинка, на которой стенд хорошо известного проекта – социальной сети “Одноклассники”. В заголовке стенда, установленного на выставке RIW-2008, можно видеть надпись: “Одноклассники.ру”. (Надо заметить, что такую надпись “Одноклассники” не только на стенде показывают, но и в разной рекламе.)

У сколь-нибудь знакомого с распределением адресов в доменной системе имён человека сразу возникает вопрос: почему “Одноклассники” – в домене Парагвая? Действительно, .py (PY) – это парагвайский национальный домен.

Да-да, понятно, конечно, что имелось в виду русское “ру”. Но дело-то в другом. Сейчас IDN (доменные имена с символами национальных алфавитов) набирают популярность в самых разных доменных зонах. Вот и в Парагвае введут регистрацию IDN. Благодаря оригинальности мышления маркетологов, продвигающих некоторые бренды, у фишеров возникнет раздольное поле для деятельности. Регистрирует для своих тёмных дел фишер домен “одноклассники.py” на кириллице, в домене Парагвая. Как уже несложно заметить даже в рамках текста этой записки, графически такой адрес вообще неотличим от того бренда, который написан на фризе стенда “Одноклассников”. Дальнейшее использование парагвайского адреса зависит только от фантазии фишера. А у них с фантазией всё в порядке.

И ладно бы привычка использовать такую “фонетическую” запись адресов сайтов была свойственна только “Одноклассникам”. Но на деле-то очень многие компании пишут адреса в рекламе и СМИ таким неверным образом.

Что делать? Вообще, некоторым компаниям, видимо, придётся придумать способ зарегистрировать доменное имя в парагвайской зоне, чтобы опередить фишеров. Ну, конечно, когда (и если) в PY включат регистрацию IDN. А более верное решение – переходить к иной форме записи. С латиницей. Или сразу готовить бренд для домена РФ.

В блоге Андрея Шипилова: “История о том, как сервис SMI2.ru захотел обокрасть российских домейнеров“.