dxdt.blog: занимательный интернет-журнал

Кстати, успешный вброс истории о том, как браузер Chrome отсылает содержимое (да, именно, они так и написали) веб-страниц из закрытых интарнетов в Google для индексации, – см. например, бурное обсуждение на roem.ru, где активность поддержала редакция, – это неплохой задел в подготовке почвы для обоснования разработки “своего безопасного браузера”. То есть, потом, в рамках информационной кампании, можно ссылаться: были публикации в специализированной прессе, “продемонстрировавшие нам”, ну и так далее.

В общем, нужно последить за новостями. Это интересно.

Интересную штуку сделали Mike Tassey и Richard Perkins: беспилотник, обнаруживающий и анализирующий точки доступа Wi-Fi с воздуха. Да и не только Wi-Fi: как пишут, бортовое оборудование умеет прикидываться базовой станцией GSM и перехватывать трафик мобильных телефонов. При этом всё реализовано на открытых платформах: ОС – Linux (тут, как известно, есть богатый инструментарий для, так сказать, радиоприложений); система управления, автопилот – на Arduino (проект ArduPilot).

В общем, это такой “кустарный” беспилотник, использующий общедоступные технологии и способный решать задачи радиоэлектронной разведки. А если чуть развить идею, то и задачи партизанской РЭБ такая платформа решает: разработчиками сразу заявлено, что на борту есть ПО для взлома защищённых сетей Wi-Fi, что не должно удивлять, если учесть наличие отличного инструментария под Linux.

Вот именно поэтому сейчас набирает популярность тема средств перехвата небольших беспилотных летательных аппаратов. Но это уже другая история.

Наверное, многие уже слышали про популярную сейчас охоту за утечками персональных данных в поисковиках. Тут очень весело читать, как следом за пресс-службой “Яндекса” в тематических СМИ поминают веб-мастерам файл robots.txt, обвиняя в том, что веб-мастера, дескать, не подготовили “правильное описание сайта”. Robots.txt никак не является инструментом для разграничения доступа на веб-сайте. И не может оправдать слишком любопытного бота, выкладывающего данные из закрытых разделов серверов в общий доступ.

Если посмотреть на ситуацию с технической стороны, то элементы URL-а (грубо говоря, вся часть после имени хоста) – это специальные параметры, предназначенные для изменения состояния веб-сервера. Веб-сервер – это программа, которая извлекает с диска некоторые файлы. Доступны ли эти файлы всем обратившимся на сервер, не доступны ли – регулируется это вовсе не неким robots.txt. В современной веб-разработке вполне себе нормальна передача секретных ключей доступа в параметрах URL-ов. Ну так вот сложилось. Например, так передают одноразовые ключи в системах восстановления паролей по e-mail. И это правильно, потому что является эффективным и безопасным методом, учитывающим подготовку и технические возможности среднего пользователя. Особенно актуально для сайтов, ориентированных на массового клиента.

Эти ключи в составе “адреса веб-страницы” – определяют уровень доступа к файлам или функциям сайта через веб-сервер. То есть, это команды не для “поискового паука”, а для веб-сервера. В современной технологической традиции команды эквивалентны вводу логина/пароля и полностью входят в состав секретного URL, который, впрочем, тоже можно “индексировать” поисковым роботом, предварительно стянув где-нибудь. А robots.txt тут ни при чём. Более того, довольно логично, что веб-мастер решает не указывать даже часть секретного адреса в этом общедоступном файле.

(Да, а ещё можно устроить робота-паука так, что он станет подбирать ключи в URI; надеемся, что “Яндекс” так не поступает.)

Поэтому, когда “Яндекс” или другой поисковик индексируют “секретные URL”, которые узнали тем или иным способом, – их действия, в общем-то, аналогичны ситуации, когда робот-паук передаёт веб-серверу с помощью метода POST логин и пароль. И не нужно тут пенять на веб-мастера, что он robots.txt не написал.

В контексте обсуждения нового российского закона о защите персональных данных теперь сетуют, что использование общих (предписанных законом) схем защиты информации, якобы, делает всю систему более уязвимой. Довольно странно это слышать.

Давайте предположим, что многие организации используют равно одну и ту же систему защиты (хотя, в законе речь о несколько другой ситуации, но в нашем случае не так это важно). Да, очевидно, если в этой системе есть грубая типовая уязвимость, то её можно применить “на всех пользователей” по шаблону. Всё, типа, плохо. Примерно так и рассуждают. Но ведь из банального наблюдения “о шаблоне” вовсе не следует, во-первых, что тиражируемая уязвимость обязательно есть в предложенной стандартной системе; и, во-вторых, что “самопальные” системы, сконструированные вне предписанных рекомендаций, не будут содержать уязвимостей.

Более того, уязвимости в стандартной системе (схеме), не обязательно являются легко тиражируемыми. Напротив, они могут зависеть от, так сказать, окружения и условий эксплуатации. А в “самопальной” системе защиты разработчики легко наделают шаблонных уязвимостей, что регулярно демонстрируется на практике.

Другими словами, использование стандартной, рекомендованной некоторыми подзаконными актами, системы защиты информации, ну никак не добавляет уязвимостей, по сравнению с ситуацией, в которой каждый делает свой вариант. А если учитывать уровень подготовки в области ИТ и защиты информации средней компании, то станет понятно, что ситуацию вообще сложно ухудшить. (Вспомните все эти пароли в открытом виде и тому подобные неприятные фокусы.) Главное, чтобы рекомендованная система была добротной и проходила аудит.

Интересно, как нужно строить “безопасную” новую сеть поверх Интернета? (Да, такие предложения уже звучали несколько лет назад, а сейчас будут выдвигаться всё шире.) Понятно, что озвучиваемые в прессе идеи связаны с тремя узнаваемыми элементами: с Вебом, с доменами, и с “интернетом по паспорту”. Например, про специальную безопасную доменную зону верхнего уровня, типа .safe или .secure – уже лет пять говорят. И, скорее всего, что-то такое запустят в течение пары лет. Будет ли решение популярным, в этом вопрос.

С другой стороны, уже есть и DNSSEC, и HTTPS, и надёжные обратные зоны в .arpa – так что, во-первых, можно сделать “безопасной” любую доменную зону, хоть третьего уровня; во-вторых, можно обеспечить идентификацию хостов + идентификацию пользователей (обратная зона+электронные подписи в прямой DNS+связанный с тем же субъектом сертификат для доступа к веб-сайтам). Решит ли это проблему? Вряд ли. Потому что нужно как-то донести информацию о преимуществах до конечного пользователя, чтобы он надавил на провайдеров и они сподобились поддерживать новые технологии. Сделать это сложно. Пользователи могут не понимать, чего от них хотят.

Если же просто ввести тот или иной .secure, то может так получиться, что пользователи воспримут именно это текстовое окончание .secure в адресной строке как гарантию безопасности. Как обычно. Ну и злоумышленники кинутся подделывать адреса соответствующим образом, ведь, ни DNSSEC, ни даже https, для массового пользователя всё ещё не работают на практике. (Если с https ситуация ещё более или менее движется в сторону положительной, то с DNSSEC совсем худо.)

Да, можно придумать программное обеспечение, которое эффективно противодействует средствам идентификации пользователей Веба из предыдущей записки. Такое ПО должно быть интегрировано с браузером и некоторыми компонентами ОС, отвечающими за установление соединений и работу с DNS. Принцип маскировки: прыжки между наборами профилей, сгенерированных с помощью анализа “неанонимизированных” компьютеров, и случайное изменение параметров, служащих для построения “отпечатков” (хороший пример: время исполнения тех или иных скриптов, а также время загрузки файлов со сторонних серверов – сюда можно подмешивать нераздражающие пользователя задержки). А ключевой момент в том, чтобы поведение самого защитного ПО не являлось идентифицирующим признаком. Скажем, очевидно, что если вы пользуетесь редким браузером с уникальной (модифицированной) строкой User-Agent, то, собственно, других признаков для идентификации уже и не нужно.

Интересно, что не выйдет использовать один стандартный и распространённый профиль-отпечаток, скопированный с какой-нибудь типичной рабочей станции под управлением Windows: ведь если такой профиль существует и не обладает высокой степенью уникальности, то это просто означает, что системы идентификации не работают. Ну а тогда, спрашивается, зачем огород городить? Более того, нельзя использовать искусственно созданный стандартный “отпечаток”, тиражируя его по всем пользователям вашего защитного ПО. Во-первых, такой отпечаток будет являться отличным демаскирующим признаком; во-вторых, число пользователей ПО должно быть изначально очень велико, иначе различить их можно будет очень просто, всего лишь добавив какой-нибудь один сетевой признак (например, данные геолокации IP-адреса). Да, конечно, можно использовать TOR для доступа к Сети, и такой комплект обеспечит хорошую защиту от идентификации, но это не тот случай – слишком медленно, слишком сложно для обычного пользователя.

Собственно, именно обычность пользователя и накладывает серьёзные ограничения на возможности по созданию такого массового ПО. Вот системы идентификации, они вполне понятно кому нужны – рекламным агентствам, массовым коммерческим интернет-сервисам (контенкстная реклама, социальные сети и т.п., и т.д.). Такой характер спроса фактически гарантирует коммерческую успешность, как сейчас можно говорить: “монетизацию обещает”. А ПО для маскировки – кому оно нужно? Уж точно не перечисленным только что ключевым игрокам интернет-рынка, которые сейчас заказывают музыку. Возможно, такое защитное ПО требуется для работы сотрудникам специальных служб, или, скажем, представителям дипломатического корпуса. Но это точно не массовый пользователь.

Вот хороший пример, показывающий корни интереса к идентификации. Предположим, у вас есть коммерческий веб-сайт, продающий некоторые услуги/товары (скажем, интернет-магазин), и вы поставили на этот сайт счётчик крупной внешней системы статистики, владельцы которой числят в активах популярную систему контекстной рекламы (примеры: Google, “Яндекс”). Приготовьтесь к тому, что только из-за наличия счётчика вы гарантированно теряете клиентов (несколько процентов, как минимум). Почему? Потому что сеть контекстной рекламы будет показывать заинтересованным посетителям вашего сайта рекламу ваших конкурентов. На то она и сеть с “таргетингом”. Посетители, понятно, определяются по информации счётчика и по оставленным этим счётчиком кукам. Реклама при этом следует за посетителем на других сайтах (это каждый может проверить сам, на примере сети “Яндекса”). Тут мало того, что точная идентификация пользователя крайне полезна, так ещё и далеко не каждый владелец коммерческого веб-сайта задумывается о таком побочном эффекте от безобидных счётчиков и систем статистики.

Кстати, всё больше появляется громко анонсируемых сервисов, предлагающих идентификацию пользовательских устройств, подключенных к Интернету. (Например, сейчас пишут про некий проект BlueCava, который предлагает подобную идентификацию.) Речь, конечно, не о банальной записи IP-адресов и куки-файлов, а о некоторых более развитых технологиях, позволяющих отличить один компьютер от другого.

То есть, интересно решение, которое основывается только на анализе параметров устройства “снаружи”, скажем, со стороны веб-сайта, и работает для подавляющего большинства сочетаний ОС/браузер/аппаратура. Практические демонстрации решений, идентифицирующих с той или иной точностью браузеры (но не компьютеры) вне зависимости от кук и IP-адресов, известны уже несколько лет. Хороший пример – Panopticlick. Попробуем разобраться, какие вообще есть источники информации для подобной идентификации.

Понятно, что информация о типе, настройке и “комплектации” конкретного браузера, то есть, о доступных дополнениях,”плагинах”, о шрифтах, о поддержке Javascript, об установленном разрешении экрана, плюс о типе используемой операционной системы – всё это позволяет составить некоторый “отпечаток”. Нельзя сказать, что такой отпечаток всегда будет строго уникальным, но “повторяемость” его на практике довольно низка.

Для уточнения нужно двигаться дальше. Точнее – глубже. Можно попытаться использовать параметры, привязанные к оборудованию. Скажем, как уже предлагалось, “дрейф” системных часов, в компьютерах, которые не синхронизируются по времени. Можно попытаться определить тип процессора и характеристики производительности. Как? Например, замеряя скорость выполнения функций, написанных на том же Javascript (скорость существенно зависит от браузера, впрочем) или внутри Flash. Кстати, наверняка широкое поле деятельности тут предложит HTML5.

Понятно, что даже если IP-адреса устройства меняются, то оно всё равно соединяется с веб-сайтом по TCP – поэтому особенности реализации этого протокола, которые можно измерить со стороны сервера, тоже нужно положить в копилку источников информации.

Современные смартфоны содержат набор дополнительных сервисных устройств, информация от которых также может поступать через браузер на удалённый сервер. Например, GPS. Особенности конкретных реализаций интерфейсов вполне себе могут дать дополнительные биты информации для уточнения уникальности устройства.

При этом остаётся только надеяться, что те же смартфоны не передают своих уникальных идентификаторов веб-серверам – потому что в таком случае задача идентификации оказывается решена со всей доступной точностью.

(А заказчиками идентификации не обязательно являются рекламные агентства. Другое очевидное применение: детектирование подозрительных действий при использовании, скажем, банковской системы.)

Получилось продолжение продолжения. Я понял, что нужно подчеркнуть важный момент: использование “Твитера” (например) в конкурентной разведке вовсе не подразумевает только прямую охоту на какие-то случайно раскрытые в сообщениях корпоративные секреты. Ну это был бы слишком прямой подход. В практике анализа наверняка полезны как раз косвенные признаки: распределение “твитов” сотрудников по времени (читай, характеристики потока), изменения (во времени, опять же) тематики “твитов”, изменения типов обмена сообщениями (а там бывают ссылки, “ретвиты”, ответы, “технические” сообщения от дополнительных сервисов, типа приложений на смартфоне, Foursquare и др.). Для массового автоматизированного “Твитера” статистика всех этих характеристик, взятая по сотрудникам, позволяет наблюдать, к примеру, реакцию внутри коллектива на какую-нибудь новость, на публичное сообщение от конкурентов (в том числе, специально подготовленное). Можно выявить “внешние” информационные каналы, отслеживаемые сотрудниками. И так далее. А мониторить сообщения исключительно в надежде, что прямо разболтают “секрет” – ну в таком случае скорее можно налететь на дезинформацию, чем что-то полезное выудить. Эффективность не та получается.

В продолжение записки об обнаружении офлайновых событий из онлайна: да, конечно, для дальновидного технолога описанные методики анализа потоков сообщений интересны только в ключе понимания того, как отправить исследователям ложные сигналы. Другими словами, методики наверняка изучают. Для того, чтобы разработать инструменты второго поколения, позволяющие вызывать ложные срабатывания детекторов.

Впрочем, такие инструменты гораздо более дорогостоящие. Если запустить успешный анализ “твитов” можно на одном сервере, то для создания обманки потребуется ещё и пул аккаунтов-ботов, создающих нужный информационный фон.

Кстати, вовсе не обязательно такой событийный мониторинг сообщений в, например, “Твитере” имеет отношение к “геополитическим” проблемам. На более мелких масштабах мониторинг помогает выявлять процессы внутри коммерческих компаний в рамках конкурентной разведки. И тут уже только измерение скорости появления “твитов” от сотрудников той или иной фирмы способно дать ценную информацию. Об этом забывают.

Интересно, что запрещать сотрудникам писать в “Твиттер” – неверный метод: во-первых, непонятно, как реализовать запрет технически; во-вторых, излишне строгие ограничения только создают дополнительные угрозы. Поэтому противодействовать аналитическим службам конкурентам можно только с помощью сокрытия и маскировки активности в социальных сетях, с помощью создания шума. Собственно, метод известный: нельзя запретить вести голосовые переговоры на совещании, это излишне строгое ограничение, а вот задавить каналы возможных утечек из помещения помехами – самое оно. В интернетовских соцсетях действовать нужно так же. И именно инструменты, позволяющие создавать такую интеллектуальную маскировку, наиболее перспективны.

Да, очевидно, что использование одним пользователем одинакового пароля для нескольких сервисов – это плохо. Мало того, что могут специально заманить пользователя на некий специальный ресурс, а там предложить зарегистрироваться и выведать “стандартный” пароль, так ещё теперь пароли массово утекают из-за безалаберности администрации вполне добропорядочных ресурсов, не планировавших что-то там “взламывать” самостоятельно. Часто, во взломанной базе аккаунтов содержатся ещё и адреса e-mail. Если использован общий пароль, то злоумышленник уже знает к какому почтовому ящику данный пароль подходит.

Наивные методики конструирования запоминающихся паролей сильно портят ситуацию, если суммируются с проблемами в области обеспечения безопасности того или иного популярного сервиса. Так, многие и многие используют в качестве пароля номер своего мобильного телефона. Получается, что такой пользователь не просто “раскрыл пароль”, но ещё и довольно точно обозначил себя персонально, сообщив, так сказать, контактные данные. Личный телефонный номер, идущий в одном пакете с доступом к почтовым сообщениям, личной переписке на форуме – это просто клад для специалистов в социальной инженерии. Пользователи полагают, что некий абстрактный “взломщик” не знает их номера телефона (некоторые используют отдельный, “особо личный” номер), и этим обеспечивается “секретность”. Выходит, что в современной практике Интернета ситуация обращается: действительно не знавший данного пользователя “собиратель баз аккаунтов” получает тот самый номер, и теперь уже как бы с пользователем хорошо знаком.

(А кроме того, неприятно, что на дворе уже 21 век, а некоторые массовые интернет-сервисы продолжают пароли в открытом виде хранить, ну как при царе Горохе. Модель угроз у них, видишь ли, другая, искажённая до потери связи с реальностью.)

Введённую больше года назад “паспортизацию” доменов .RU – отменяют. В новых правилах регистрации убрали требование о “проверке” паспортов. Напомню, что изначально (в Координационном центре) ввели процедуру, подразумевашую отправку неких “сканов” по электронной почте, без личного присутствия владельца паспорта, что не имеет смысла: злоумышленник скан может нарисовать в графическом редакторе. Я об этом подробно писал.

Неплохо, конечно, что исправляют ошибки создатели правил в КЦ. Теперь, возможно, “сканы” перестанут рассылать, а введённая процедура, фактически, признана неэффективной и не имеющей смысла. А плохо то, что опять создали поле для неприятностей добропорядочным пользователям – администраторам доменов. Очевидно, злоумышленники “сканы” своих паспортов не высылали никуда. А вот добропорядочных пользователей вынудили раздать сканы своих подлинных паспортов в непонятные базы (требовалось же где-то сохранять полученные сканы), да ещё и часто через открытые каналы связи. При этом, данная “коллекция сканов” – уже отфильтрована, содержит только сканы администраторов доменов. И теперь “вдруг оказалось”, что мера эта лишняя, не нужная. Неприятно. Тем более, что всё было понятно с самого начала.