dxdt.blog: занимательный интернет-журнал

Кстати, а всё равно многие удивляются, услышав, что можно определить какой именно (физический) передатчик работает в радиоэфире, слушая передачу специальным оборудованием. Между тем, это всего лишь вопрос сбора сигнатур. И речь не о “стиле радиста”, конечно. А, например, о коротковолновой станции или о WiFi.

Каждый передатчик имеет свои физические особенности. Как известно, основная их часть лежит в, так сказать, частотной области: нелинейные процессы, связанные с преобразованием сигналов в электронных устройствах, лучше всего проявляются при преобразовании частот, генерации задающих “чистых” сигналов и т.п..

Фиксируя эти особенности специальным приёмником с достаточно высоким “разрешением”, можно построить сигнатуры, которые позже позволят понять, что в эфире работает другое устройство, даже если оно передаёт то же самое сообщение (тот же сигнал), что и предыдущий передатчик. Более того, передача повторов как раз делает узнавание передатчика более простым: сравнивать отличия динамических характеристик легче.

В отношении кириллицы в именах доменов часто используют аналогию с многоязычными именами файлов в операционных системах. Мол, вот ввели же кириллические (и многоязычные) имена файлов. Это плохая аналогия. Почему? Прежде всего потому, что домены – это не файлы. Их имена вводятся и используются иначе.

Во-первых, кириллические адреса вводятся не в DNS, а чисто на клиентской стороне. Так что сами доменные зоны как были “латинскими”, так и остались. Зато появился дополнительный уровень представления, который, к тому же, с точки зрения технического специалиста (админа, например), расщепляет множество доменных имён на два класса – “традиционные” и “в кракозябрах” (то есть, кодированные в Punycode).

Во-вторых, домены адресуют группы разнородных ресурсов, доступных для неопределённого круга “клиентов” (DNS – глобальная система). При этом сами интернет-ресурсы в своей работе постоянно используют доменные имена для “обратных” ссылок (базовые URL для веб-сайтов, адреса e-mail, доступ с терминалов и т.д., и т.п.). Файлы – это объекты более “локальные”, наружу, конечно, передаются, но обязательно через какой-то “шлюз” (например, через веб-сервер). Даже директории (вполне себе файлы, да), адресующие группы объектов в файловой системе, это не эквиваленты доменов в современном Интернете.

Практическое проявление описанных различий сейчас хорошо видно на веб-сайтах, которые бодро перешли на кириллицу в адресах. Например, документ с описанием домена РФ на сайте Координационного центра (администратора этого домена) имеет вот такой URL: http://кц.рф/ru/domains/domenrf/. Посмотрите сами, где здесь домены и где “файлы”, которые уже давно допускают использование многоязычия.

Это я не к тому, что адреса на кириллице плохо. Просто ситуация – сильно отличается от случая с именами файлов.

На сайте Координационного центра (это администратор доменов RU и РФ) читаем в новости замечательное (ключевой фрагмент я выделил):

По результатам тестирования работы первых кириллических доменов в разных браузерах были выявлены не только технические проблемы браузеров, но и зашитые в них бизнес-процессы, включая переадресацию написанных кириллицей слов на домен .COM или на страницу поиска вместо корректного отображения кириллического доменного имени.

Уж не знаю, что там за такое тестирование было, но новость, да, сногсшибательная. “Бизнес-процессы”, зашитые в браузеры. Вот как. Например, бухгалтерский учёт, зашитый в браузер. (Ну и вообще там понять что-то в тексте трудно. Даже браузеры названы с ошибками.)

В одной из прошлых заметок я писал (правда, больше в шутку) о скрытых (навязанных) вычислениях, которые могут проводить распространённые ОС в рамках процедуры получения обновлений. Результаты этих вычислений, понятно, могут использоваться производителями ОС: грех же не воспользоваться миллионами бесплатных часов машинного времени.

Интересно, что навязать пользовательскому компьютеру такие вычисления можно и без доступа к системе обновлений. Логичное решение – посещаемый веб-сайт. Конечно, можно что угодно запрограммировать на JavaScript и отправлять результаты подсчётов на сервер после загрузки страницы, или даже считать всё время, пока страница загружена, а результаты отправлять асинхронно, с помощью AJAX. Но JavaScript – медленный, да и решение получается слишком банальное.

Изящное решение могло бы быть вот каким: навязанная вычислительная задача “зашивается” в рендеринг веб-страниц. Например, когда браузер размещает в окне визуальные блоки, определяемые специально подготовленным CSS-ом (таблицами разметки страниц), он решает задачи, близкие к комбинаторным (ведь позиционирование блоков может быть относительным и абсолютным, с разной глубиной, с разным выравниванием и т.п.).

CSS-ы можно генерить разные при каждом обращении браузера. В каждый экземпляр CSS-ов транслируется кусочек задачи, кусочек навязанных вычислений. Получить информацию об итоговом расположении блоков сложнее, нужно привязывать всё к каким-нибудь фоновым картинкам. Возникают вопросы: кто-то уже такое делал? Выгодно ли это в вычислительном плане, относительно затрат на формирование CSS-ов?

Интересно, что “Яндекс” мог бы первым из крупных проектов выкатить полностью кириллическую адресацию. Вот у них в “Словарях” уже можно кириллицу использовать в URLе (http://slovari.yandex.ru/слово/), и есть домен яндекс.рф, в том числе с поддоменом словари.яндекс.рф. Но пока почему-то там редиректы понаставлены. А пора бы уже запустить полноценную версию.

На видео, которое доступно про ссылке ниже, испытания F-35 с коротким взлётом. При внимательном просмотре там можно увидеть некий небольшой предмет, который c большой скоростью вылетает из-под самолёта. Как пишут в блоге The DEW Line, реактивная струя двигателя F-35 выбила из полосы и подняла в воздух резиновое уплотнительное кольцо от осветителя – посадочного огня. Такой вот очередной пример старых сложностей с эксплуатацией самолётов вертикального взлёта: даже неплохо державшиеся на своих местах раньше вещи улетают в неожиданных направлениях. Понятно, что такая резинка может сильно повредить самолёт, если залетит, например, в воздухозаборник, или застрянет в элементах шасси. Видео:

В продолжение темы про привязку авторизации к адресам e-mail. Как должна работать правильная напоминалка пароля от того или иного интернет-сервиса по e-mail?

Очевидно, нельзя высылать почтой пароль (новый/старый) в открытом виде. Высылать нужно специальную ссылку на интерфейс смены пароля. Ссылка работает по https и содержит одноразовый ключ, действующий определённое время. К счастью, эта схема уже фактически стала стандартным вариантом. Тем не менее, иногда можно от разработчиков услышать возражения такого типа: какая разница, что высылать, сам пароль или ссылку? если кто-то посторонний читает почту, то он одинаковым образом сможет получить и то, и другое. Возражение ошибочное. Схема со ссылкой существенно безопаснее. Судите сами.

Ссылка – одноразовая (там одноразовый ключ). Значит, если её первым использует легитимный получатель, то для злоумышленника она бесполезна. Использованные ссылки можно смело сохранять в почтовых архивах. Сравните с хранением письма, содержащего пароль в открытом виде (а часто письма как раз сохраняются месяцами и годами). Разовое использование ссылки (или, что эквивалентно, её устаревание) гарантированно делает безопасными все “следы” этой ссылки в тех многочисленных логах, в которых она могла засветиться.

Если же первым в применении ссылки окажется злоумышленник, то добросовестный пользователь получает шанс узнать об этом, когда попытается задействовать ссылку второй раз. (Интерфейс напоминалки должен быть устроен таким образом, что нельзя имитировать повторную работу со ссылкой.) Более того, логирование записей о запросах к напоминалке и об использовании выданных ссылок, позволяет получить дополнительную информацию для проведения расследования.

А в дополнение к одноразовым ссылкам нужна капча в самом интерфейсе смены пароля.

Ещё один существенный оффтопик. Думаю, читателям dxdt.ru хорошо известно, что есть категории людей, которые, в силу рода деятельности, избегают использовать слово “последний”, в значении времени события, в определённых контекстах. При этом для “людей нормальных” слово “последний” в этих же смыслах/контекстах смотрится естественно. Примеры: нельзя говорить “последний прыжок” или “последний полёт” и т.п., хоть и имеется в виду лишь последний по времени. Ну, вы сами знаете. В этих случаях принято говорить “крайний”, а не “последний”.

Вот интересно в этом разрезе читаются тексты на российском сайте компании Mitsubishi. Они там почему-то пишут именно “последний”, но так, что, на фоне проблем авторынка, и не догадаться, в каком они значении “последний” используют. Например, в описании “обновок” про L200 читаем буквально следующее:

Новинка получила оригинальные фары, решетку радиатора и бампер. В последних автомобилях модели L200 будет возможность выбрать один из двух типов кузова – Double Cab и Club Cab.

Или вот, про непонятный автомобильчик Mitsubishi ASX на официальном сайте пишут совсем уж многозначительно:

Mitsubishi ASX – это последний автомобиль, разработанный на средней платформе проекта MMC “Project Global”.

Действительно – последний? А ссылка с “последний автомобиль” – на страницу новинок ведёт. Оригинально.

Так ли хороши дела у Mitsubishi? А ограничения на использование слов, они ж не на пустом месте появляются, да.

Всё, больше сегодня оффтопиков не будет. Этот – крайний.

У меня вот взникли некоторые сомнения по доступности сайта dxdt.ru для интернет-пользователей. Какой-то распределённый мониторинг я, понятно, делать пока не хочу (ну это уж слишком избыточно). Вместо этого я прошу: если вы часто сталкиваетесь с тем, что сайт недоступен, то, пожалуйста, напишите что-то об этом в комменты к данной записи. (Писать комментарий к этой заметке нужно только в том случае, если замечаете проблемы – таким образом, получится некий количественный индикатор; я всё ж думаю, что проблем-то нет, поэтому и предлагаю обратную позитивную шкалу.) Спасибо!

Как часто пишут, мобильный телефон может быть “анонимизирован”: сам аппарат приобретается “с рук” на рынке, и там же, без регистрации паспорта, покупается SIM-карта (хотя такие “симки” продаваться, вообще-то, не должны, но, тем не менее). Стандартные методы идентификации абонента GSM на таком телефонном аппарате не работают, по понятным причинам. Вопрос: а как тогда можно вычислить реального абонента, при условии участия оператора (операторов) связи?

Понятно, что сработает наружное наблюдение в сумме со специальным оборудованием, перехватывающим уникальный идентификатор аппарата (а он обязательно есть, иначе телефон не сможет осуществлять вызовы в сети GSM) из эфира. Логика не сложная: оператор связи выдаёт примерное местоположение абонента, дальше работает “наружка”, уточняя данные на месте визуально (если это место людное). Но это непростой по организации способ.

Можно воспользоваться анализом служебного GSM-трафика. Суть сводится вот к чему. Наверняка у разыскиваемого абонента есть другой, вполне официальный мобильный телефонный аппарат. Требуется найти этот аппарат, и идентифицировать абонента по нему. Предположим, что оператор связи ведёт подробные логи перемещения аппаратов между сотами и логи звонков этих аппаратов (доставки/отправки SMS, передачи данных и т.п.). В общем, понятно, что такие логи нужны и на практике имеются за какой-то период.

Теперь, автоматический анализатор логов ищет пары телефонов, которые часто синхронно перемещаются между сотами (вероятно, идентифицируемый абонент носит оба телефона при себе) по одному пути. Тут важно, что выборка будет уменьшаться с ростом длины последовательности сот (базовых станций), в которых телефоны регистрировались одновременно: путь между сотами определяет перемещение абонента; сам путь формируется, исходя из некоторого временного интервала. Задача выглядит вычислительно сложной, если учесть, что телефонов в сети миллионы и базовых станций тоже очень много.

Однако всё можно упростить, взяв в качестве исходной “сигнатуры” для поиска логи перемещений и звонков для идентифицируемого “анонимного” телефона. Информация о звонках (и использовании аппарата вообще) нужна для того, чтобы из получившейся выборки по истории перемещения удалить записи, соответствующие аппаратам, по которым разговаривали одновременно с разговором по “анонимному” телефону. Использование анонимного аппарата только для передачи данных или для приёма SMS-ок – задачу обнаружения, конечно, сильно усложняет.

Понятно, что можно хорошо развить метод, добавив ещё поведенческих признаков (кросс-звонки, длительность разговора и т.п.). Всё строится на анализе логов с помощью автоматизированных инструментов, никаких записей разговоров не требуется.

Так как отечественных самолётов нет:

Госкорпорация “Ростехнологии” перечислила американской компании “Боинг” аванс за 50 среднемагистральных самолетов в размере около 5 млн дол, сообщил на Петербургском международном экономическом форуме первый заместитель гендиректора госкорпорации Алексей Алешин.

(АРМС-ТАСС)

Пассажиров же нужно на чём-то возить. “Боинг” – это неплохой выбор.

Кстати, для военно-транспортных применений (на замену Ил-76) – есть неплохие европейские варианты (ну и более мощные штатовские – C-5 и т.д.).