dxdt.blog: занимательный интернет-журнал

А кстати, есть некоторое разнообразие способов, которыми можно тайно вывозить важных людей с практически любых территорий. И тут, конечно, подводные лодки – среди самых ценных инструментов. Особенно, если это специальные подводные лодки, которые могут тихо и на хорошей глубине уйти от берега, увозя на борту несколько человек.

Ни автомобиль, ни, тем более, самолёт (вертолёт) не обладают нужным набором характеристик. Автомобиль довольно просто перехватить. Да и обнаружить его – не такая уж сложная для спецслужб мощной державы задача (дороги, мониторинг с воздуха, блок-посты). С летательными аппаратами ещё хуже. Обнаруживаются, опять же, просто: достаточно ввести режим закрытой для полётов зоны над нужной территорией; перехватываются – легко, если у вас есть господство в воздухе, так как летательному аппарату просто некуда деваться, кроме как на землю.

А с подводной лодкой всё не так: затянуть подходы к побережью сетями и сенсорами – тут нужно существенное время на подготовку. А кроме того, сенсоры могут быть испорчены или демонтированы (либо они вообще пропустят грамотно сконструированный подводный аппарат мимо, незаметив). Преследование под водой также задача очень непростая, визуального контакта нет, точно определить координаты малозаметной цели – сложно. Есть много мест, где аппарат может хорошо спрятаться, отлежаться. Главное, чтобы персону смогли доставить к берегу. Это проблема.

Как и прогнозировали, новых веяний на МАКС-2011 не заметно. Видимо, следом за самой отраслью авиасалон тоже заморозился. Правда, в этом году вернулись штатовские ВВС, со своей не очень актуальной экспозицей (“набор для провинции”), в составе которой, естественно, отсутствовали новейшие истребители. Возможно потому, что всё равно на их полёты наложен запрет, а возможно – и по другим причинам.

Т-50 показывают в воздухе. Издалека и недолго, но показывают. Правильно. При этом на стенде в павильоне сохраняется изобилие макетов, среди которых есть новые, в том числе, муляжи бортового оборудования, созданного, как пишут, для Т-50.

(А в субботу и воскресенье – ещё и погода сильно всё подпортила.)

Сейчас самое интересное, что касается МАКС, – это его будущее. Станут ли и дальше проводить салон в Жуковском? Или таки изменят формат и, соответственно, перенесут действо в другой город? Подходящих площадок, правда, пока не просматривается. Ну, скажем, далеко не везде могут принять А380, а для МАКСа – это был один из немногих, насущно необходимых, “новых” экспонатов:

Посмотрим. Как-то изменять формат всё равно придётся, потому что устаревают уже даже макеты.

Вот, оказывается, у НПО им. Лавочкина замечательные планы по обеспечению исследования планет солнечной системы. Пишут, что запланированы полёты межпланетных станций и к Венере, и к Марсу, и ещё дальше. Само собой, Луну тоже не обошли вниманием. Сейчас львиную долю подобных исследований весьма успешно осуществляют аппараты NASA, есть ещё небольшое количество европейских зондов (да, ещё нужно упомянуть японское агентство – но там как-то совсем скромные результаты). Российские аппараты, к сожалению, отсутствуют. Уже много лет. Поэтому не ясно, что там с накопленным в СССР опытом – сохранили ли его?

Самое занятное, в СМИ рассказывают о настолько амбициозных проектах, что их реализация и для NASA-то, имеющего в своём распоряжении нечто вроде отлаженного научно-технического конвейера, выглядит крайне сложной. Один только проект станции для полёта к Венере чего стоит: пишут, что эта станция включает в свой состав и орбитальный аппарат, и посадочный модуль, и атмосферные зонды. Возможно, конечно, что это стандартное преувеличение – как там было в первоисточнике-то? Ну или просто – фантастика. Впрочем, посмотрим.

А вот будет совсем уж неправильно, если полёты ПАК ФА (который Т-50) на авиасалоне МАКС-2011 отменят (а то тут рассылают такие слухи). Да и даже если ограничат полёты по дням проведения – тоже это как-то неправильно. Вообще, из-за ПАК ФА в этом году появился шанс на авиасалоне хоть что-то новое показать: ведь ранее нигде на публичных мероприятиях этот самолёт не летал. То есть, получается преимущество перед крупнейшими авиасалонами мира. (Понятно, что не показывать Т-50 на общедоступной статической стоянке – это не так страшно: ладно, что там разглядывать-то.)

Как уже подсказывают в комментариях, китайский строящийся авианосец вывели в море, для испытаний, пока что. Основной вопрос, кстати, не в том, может ли китайский авианосец ходить самостоятельно, а в том, есть ли в Китае уже технологии для того, чтобы сделать этот авианосец настоящим. То есть, нужно научиться выполнять с борта корабля полёты. В принципе, непреодолимых проблем с копированием соответствующих советских истребителей в 21 веке не должно уже быть (разве что вот традиционные трудности с производством двигателей, да).

О рисках, связанных с внедрением гипотетическим интернет-гигантом, браузера-шпиона: при верном планировании и качественной реализации плана, особых репутационных рисков нет, их преувеличивают. Такова реальность Интернета.

Посудите сами. Возьмём схему из предыдущей записки. Грамотное воплощение её в программном коде будет содержать всего два-три критичных момента: подмешивание текста страниц (с перекодированием) в значения передаваемых на сторонний сервер “технических параметров”; псевдослучайную выборку фрагментов страниц (по плану); приём ответов и стартовых команд от центрального сервера, опять же, с элементом случайности (необязательный пункт). Всё это реально представить в виде ошибок разработчиков, а весь механизм, в случае чего, признать уязвимостью. Официальная реакция могла бы быть такой: “…обнаружена уязвимость, связанная с использованием буферов данных, которая в некоторых случаях могла приводить к утечке информации о содержании страниц, просматриваемых пользователем”. Ну и т.д., и т.п. Уязвимость исправлена. Особого вреда репутации производителя браузера – нет. Находили уязвимости и похуже.

Но, опять же, из этого не следует вывод, что Chrome собирает контент “секретных” страниц. Потому что не обязательно же реализовывать каждую придумку, которая не несёт с собой особых рисков, и тратить таким образом ресурсы. (И это наблюдение не про то, что нужно “обязательно делать собственный браузер”.)

Кстати, успешный вброс истории о том, как браузер Chrome отсылает содержимое (да, именно, они так и написали) веб-страниц из закрытых интарнетов в Google для индексации, – см. например, бурное обсуждение на roem.ru, где активность поддержала редакция, – это неплохой задел в подготовке почвы для обоснования разработки “своего безопасного браузера”. То есть, потом, в рамках информационной кампании, можно ссылаться: были публикации в специализированной прессе, “продемонстрировавшие нам”, ну и так далее.

В общем, нужно последить за новостями. Это интересно.

По результатам запуска перспективного высотного дирижабля (или таки активного стратостата?) официально пишут, что испытания прошли с проблемами: высоты в 60 тыс. футов достичь не удалось, полёт прервали по команде с земли на высоте около 30 тыс. футов. Аппарат, так сказать, контролируемо упал где-то в лесах Пенсильвании. Впрочем, на то он и опытный образец. Доделают и исправят. Одно ясно: возвращение дирижаблей в строй уже не за горами.

Наверное, многие уже слышали про популярную сейчас охоту за утечками персональных данных в поисковиках. Тут очень весело читать, как следом за пресс-службой “Яндекса” в тематических СМИ поминают веб-мастерам файл robots.txt, обвиняя в том, что веб-мастера, дескать, не подготовили “правильное описание сайта”. Robots.txt никак не является инструментом для разграничения доступа на веб-сайте. И не может оправдать слишком любопытного бота, выкладывающего данные из закрытых разделов серверов в общий доступ.

Если посмотреть на ситуацию с технической стороны, то элементы URL-а (грубо говоря, вся часть после имени хоста) – это специальные параметры, предназначенные для изменения состояния веб-сервера. Веб-сервер – это программа, которая извлекает с диска некоторые файлы. Доступны ли эти файлы всем обратившимся на сервер, не доступны ли – регулируется это вовсе не неким robots.txt. В современной веб-разработке вполне себе нормальна передача секретных ключей доступа в параметрах URL-ов. Ну так вот сложилось. Например, так передают одноразовые ключи в системах восстановления паролей по e-mail. И это правильно, потому что является эффективным и безопасным методом, учитывающим подготовку и технические возможности среднего пользователя. Особенно актуально для сайтов, ориентированных на массового клиента.

Эти ключи в составе “адреса веб-страницы” – определяют уровень доступа к файлам или функциям сайта через веб-сервер. То есть, это команды не для “поискового паука”, а для веб-сервера. В современной технологической традиции команды эквивалентны вводу логина/пароля и полностью входят в состав секретного URL, который, впрочем, тоже можно “индексировать” поисковым роботом, предварительно стянув где-нибудь. А robots.txt тут ни при чём. Более того, довольно логично, что веб-мастер решает не указывать даже часть секретного адреса в этом общедоступном файле.

(Да, а ещё можно устроить робота-паука так, что он станет подбирать ключи в URI; надеемся, что “Яндекс” так не поступает.)

Поэтому, когда “Яндекс” или другой поисковик индексируют “секретные URL”, которые узнали тем или иным способом, – их действия, в общем-то, аналогичны ситуации, когда робот-паук передаёт веб-серверу с помощью метода POST логин и пароль. И не нужно тут пенять на веб-мастера, что он robots.txt не написал.

Вот на Aviation Week пишут, что Израиль договорился по поводу поставок F-35: разрешат перепрограммировать бортовое оборудование так, чтобы работали дополнительные системы местного производства. Публичная предыстория касается степени закрытости бортовых систем F-35 для владельцев этих самолётов. А закрытость, возможно, связана с тем, что самолёт накапливает данные о его применении, и позже они передаются только головной компании (ну, скажем, в центр “Локхид-Мартин”).

Это к вопросу о котроле и проверке чужих технологий. Если самолёт передаётся полностью, то должна быть полная документация, ракрывающая устройство. При этом технически устройство-то можно раскрыть, но программное обеспечение подписать своими ключами и запретить обновления/изменения. Что получается: документация есть, она полная, да, и как раз по ней выходит, что самолёт “программно” привязан к производителю, поэтому поменять “в настройках” ничего нельзя, как нельзя поставить собственное оборудование. Для производителя идеальный вариант. Но потребителям не всем нравится.

Сейчас вот бурно обсуждают растиражированное заявление представителя Microsoft о том, что корпорация раскроет для специальных служб исходные коды Skype. (Такое раскрытие – это обычная разумная практика: если исходные коды ПО хороши, то вообще нет смысла их прятать, ага.) Сложилась какая-то путаница с отношением этого факта “потенциального раскрытия” к алгоритмам шифрования Skype (как известно, шифрование в этом инструменте голосовой связи давно являлось одним из инструментов маркетингового продвижения). Алгоритм шифрования тоже нет никакого смысла скрывать. Это хорошо, если используется опубликованный алгоритм. Плохо, если некий “секретный”. Очевидно, что используемый алгоритм можно восстановить по исходникам – не понятно, зачем об этом сообщают, как о новости. Хитрость-то не в этом.

Хитрость в том, что исходники сильно упрощают обнаружение дефектов в реализации добротного алгоритма шифрования (дефектов, намеренно внесённых или из-за ошибки разработчиков – не так важно). Дефекты в реализации могут позволить провести вскрытие шифрованного трафика малыми силами, вне зависимости от того, насколько стоек исходный алгоритм.

То есть, можно использовать хоть четырёхкилобитный ключ, но если при этом все значения битов ключа из-за ошибки в коде, через кривой буфер, утекают в “шифрованный” трафик – стойкость ключа уже не имеет значения: достаточно знать, в каких позициях зашифрованных блоков брать значения ключевых битов. И эти позиции можно легко вычислить, имея на руках исходный код. Впрочем, в данном сильно утрированном примере, можно всё вычислить и без исходников, просто подсовывая в программу заданные, правильно подобранные ключи/открытые тексты и выполняя анализ результатов шифрования.

Другими словами, если Skype был кривым внутри, в смысле криптографии, то и раскрытие/нераскрытие исходников никак ситуацию для пользователей не ухудшит (разве что улучшит, кстати, если ПО будет получать соответствующие сертификаты).