Против угона

(Июнь 2008)

В современные компьютеры очень энергично встраиваются неискоренимые «противоугонные средства». Иначе ту же самую технологию иногда называют «законный руткит». Может он, конечно, и законный, только вот с точки зрения безопасности – все равно – это очень опасный в потенциале руткит-вредонос.

Современные компьютеры-ноутбуки имеют настолько заманчивое сочетание параметров типа размер / цена / рыночный спрос, что их кражи ныне стабильно занимают верхние строчки в полицейской статистике преступлений. По данным американского ФБР, сейчас по меньшей мере один из каждых 10 новых ноутбуков оказывается украден в течение первых 12 месяцев.

При несколько ином пересчете накопленных данных это означает, что за год лишь в одних США похищается порядка 2 миллионов ноутбуков. Откуда самоочевидно, насколько остра сегодня потребность в надежных и эффективных средствах для защиты от компьютерных краж.

На весеннем IDF, Форуме разработчиков Intel, в этом (2008) году проходившем в Шанхае, впервые прозвучало объявление об ATT или новой «противоугонной технологии» корпорации. Короткая аббревиатура расшифровывается как Anti-Theft Technology, а собственно подсистема, реализующая ATT, планируется к встраиванию непосредственно в чипы Intel и должна появиться на рынке уже совсем скоро.

По давно сложившейся традиции, всякий раз, когда речь заходит о новых технологиях безопасности, в Intel категорически не желают раскрывать подробности устройства и функционирования системы. Однако при этом весьма охотно рассказывают о том, какие цели планируется достичь с помощью новых разработок.

ATT, в частности, будет компонентом более широкой и многофункциональной системы под названием «Технология активного управления», подробности о которой приведены во врезке. Главная же цель противоугонной подсистемы – предотвращение как физических краж ноутбуков, так и защита хранимых в них данных путем надежного аппаратного запирания компьютеров в случае их хищения.

По свидетельству Ананда Пашупатхи, директора инициативного планирования в подразделении Intel’s mobile group, технологию ATT намечено запустить на рынок уже в последние месяцы 2008 года. Наиболее вероятно, это будет сделано на уровне микросхем интеловского чипсета или, быть может, дочерней карты (платы расширения, связанной непосредственно с процессором и памятью, минуя общую шину).

[ВРЕЗКА]

Плюсы и минусы активного управления

О новаторской системе администрирования Intel под названием AMT или Active Management Technology, т.е. «технология активного управления», миру впервые было объявлено еще в 2005 году. По сути своей AMT – это встроенная на уровне кодов микросхем (firmware) «операционная подсистема», которая позволяет администратору сети (или другому специалисту) дистанционно отслеживать поведение и управлять работой индивидуальных компьютеров, независимо от установленных на них ОС.

Кроме того, в функции AMT входит такая возможность, как «переадресация IDE» (IDE redirection), позволяющая администратору дистанционно подключить, отключить, отформатировать или переконфигурировать каждый диск по отдельности, а также загрузить операционную систему или запустить нужную программу из других точек сети – опять же независимо от работающей на конкретной машине ОС. Управление функциями AMT и IDE обеспечивает новый контроллер сетевого интерфейса.

Несложно увидеть, что столь богатые в своих возможностях технологии дистанционного администрирования AMT в сочетании с неведомыми функциями DRM (управления цифровыми правами на контент), с недавних пор зашиваемыми в чипы Intel, теоретически могут позволить делать с подключенной к интернету машиной все, что угодно – если, конечно, знать полную функциональность досконально.

Фактически, на рынок выводится новый массовый товар с аппаратно встроенными функциями безопасности, для которых владельцу компьютера недоступны не только механизмы управления, но даже внятная информация о возможностях этой технологии.

По этой причине независимые эксперты по компьютерной безопасности подчеркивают, что выводимая на рынок корпорацией Intel технология AMT – это оружие двойного назначения. Оно может быть очень полезным для знающих специалистов, но одновременно и очень опасным в руках злоумышленников.

Поэтому, ради доверия со стороны пользователей, от Intel все же ждут конкретного разъяснения всех возможностей системы. И обоснований того, каковы гарантии, что весь этот богатый инструментарий не окажется в распоряжении преступников.

[Конец ВРЕЗКИ]

Была ниша, будет сектор

Говоря об общей ситуации с защитой компьютеров от краж, необходимо отметить, что на компьютерном рынке задолго до нынешних инициатив Intel уже сформировалась вполне четко очерченная ниша. В которой узко специализированные компании еще с 1990-х годов занимаются обеспечением безопасности компьютеров – особенно ноутбуков и прочих компактных цифровых гаджетов – конкретно на предмет их возврата при хищениях и случайных потерях.

Список таких компаний на сегодняшний день достаточно велик, поэтому в перечислении их вряд ли есть хоть какой-нибудь смысл. Намного полезнее выбрать несколько разных из наиболее известных, и на их примере показать, насколько широк нынешний диапазон предлагаемых решений проблемы.

Хотя по сути дела все эти решения, в общем-то, сводятся к одному – заранее подсадить в компьютер особую трудновыводимую программу-закладку, с помощью которой утраченный аппарат можно было бы отыскать и/или получить к нему дистанционный доступ через интернет. Основная же, пожалуй, суть различий – в степени участия компаний при возврате похищенного.

Одно из весьма популярных ныне средств этого рода – программа GadgetTrak (www.gadgettrak.com) фирмы WestinTech. К настоящему времени разновидности этой «программы отслеживания» успешно реализованы не только для компьютерных платформ Windows и Mac, но также для мобильных телефонов, аудиоплееров, внешних накопителей и других гаджетов.

Одно из важнейших отличий данного решения от большинства подобных – это полное сохранение приватности клиентов, воспользовавшихся сервисом. Иначе говоря, фирма не ведет никаких баз о своих клиентах, а вся информация, которую сообщает похищенное/утраченное устройство о своем новом хозяине и месте нахождения сразу же пересылается законному владельцу. Оборотной стороной такого подхода, естественно, является то, что все вопросы взаимодействия с полицией на предмет возврата вещи ложатся при этом исключительно на самих клиентов.

Существенно иное решение предлагает фирма Orbicule со своей программой Undercover (www.orbicule.com/undercover/). Если практически все компании подобной направленности практикуют для клиентов абонентскую подписку на обслуживание сроком от года и более, то для использования Undercover достаточно просто купить программу и, после скачивания и установки, зарегистрировать ее на сайте фирмы для включения режима отслеживания. В случае кражи программа-закладка не только сообщает о новом местонахождении компьютера, но также регулярно высылает скриншоты экрана, помогающие установить личность похитителя, а если есть веб-камера – то и фотографии новых владельцев.

Если же по тем или иным причинам быстро вернуть компьютер не удается, в действие вступает «план Б». Программа симулирует выход оборудования из строя, постепенно понижая яркость экрана до полного пропадания картинки и выдачи сигнала о поломке. Когда компьютер фиксирует смену местопребывания (предположительно, попав в ремонтную мастерскую), он всеми доступными способами – визуально и звуком – извещает о том, что был украден и должен быть возвращен владельцу за вознаграждение. При этом фирма Orbicule берет на себя не только выплату суммы вознаграждения, но и формальные процедуры взаимодействия с полицией самых разных стран при возвращении компьютеров. К сожалению, пока столь интересный сервис реализован исключительно для машин Apple.

Наиболее же известной и крупной компанией из занимающихся возвратом украденного стала на сегодняшний день Absolute Software (www.absolute.com), имеющая свыше 2 миллионов постоянных подписчиков. Две наиболее известные программы-закладки этой фирмы, Computrace и LoJack for Laptops, имеют минимум различий в функциональности и по сути дела представляют собой один и тот же продукт, в маркетинговых целях продаваемый под разными именами. Название LoJack было скопировано и куплено у другой фирмы, уже давно и чрезвычайно успешно занимающейся возвратом украденного в совершенно другом секторе рынка — автомобильном (см. врезку).

Программы Absolute делают для компьютеров в общем-то то же самое, что и остальные подобные – геолокация пропаж и помощь полиции в розыске/возврате, – однако реализованы здесь эти функции на особо глубоком уровне. Именно эта фирма, судя по публиковавшимся в прессе материалам, стала первой размещать свои программы в таких местах компьютера, что недоступны для операционной системы – в прошивки BIOS на системной плате и в HPA, «хост-защищенную область» жестких дисков. Этим, понятное дело, обеспечивается особая стойкость закладок к попыткам удаления из компьютера.

Для столь глубокого проникновения в аппаратное обеспечение, компании Absolute потребовалось вступить в непосредственные контакты с изготовителями соответствующего оборудования. Одним из побочных результатов этого сотрудничества стало то, что и создатели BIOS-систем (в частности, самый крупный здесь игрок Phoenix Technologies), и фирмы, выпускающие жесткие диски, тоже активно заинтересовались противоугонными технологиями и начали собственные разработки в данном направлении.

Иначе говоря, с начала 2000-х годов весьма узкая прежде рыночная ниша стала понемногу трансформироваться во вполне отчетливый сектор ИТ-индустрии.

[ВРЕЗКА]

Настоящий LoJack

Противоугонная система «LoJack для компьютеров» названа так в честь куда более известной – главным образом в США – автомобильной системы безопасности LoJack, появившейся на рынке еще до распространения интернета и GPS. За более чем двадцатилетнюю историю своего существования LoJack сумела убедительно продемонстрировать эффективность разработанной технологии, обеспечивая возврат около 90% украденных машин, оборудованных данной системой.

Когда автовладелец покупает LoJack, к нему приезжает специалист из фирмы и устанавливает компактную коробочку с радиопередатчиком в каком-либо из укромных мест автомобиля. Где точно, владельцу машины не сообщается из соображений безопасности, но известно, что для размещения закладки может использоваться множество самых разных мест. Работа устройства подпитывается от бортовой системы автомобиля, поэтому оно всегда остается заряженным.

В обычных условиях эксплуатации машины данное устройство работает в пассивном режиме. В радиодиапазоне FM оно отыскивает станцию с поднесущей частотой, обслуживающей LoJack, и постоянно прослушивает этот канал, ожидая, когда там передадут его собственный номер-идентификатор. Происходит такое, ясное дело, лишь в случае кражи машины.

Если машину угнали в «зоне покрытия» LoJack (это большинство городов США и ряд других стран), то полицейский отчет о краже автоматически копируется в компьютерную систему LoJack, а оттуда поступает команда всем задействованным FM-передатчикам начать трансляцию сообщения с номером-идентификатором данного устройства. Получив это сообщение, устройство переходит в режим радиомаяка и начинает само передавать в эфир сигналы о своей машине.

У фирмы LoJack налажены хорошие связи с полицейскими управлениями больших городов. Компания за собственный счет оборудует патрульные машины полиции аппаратурой LoJack-приемников. Любой автомобиль с работающим радиомаячком LoJack автоматически включает индикаторы тревоги в полицейских машинах, которые получают направление на цель и примерное до нее расстояние. По свидетельству знающих людей, оборудованную системой LoJack полицейскую машину несложно определить визуально – по расположенным квадратом четырем одинаковым антеннам на крыше автомобиля.

Кроме того, в ряде обширных мегаполисов с полицией, имеющей значительные авиаподразделения (вроде Лос-Анджелесского полицейского управления), LoJack-приемниками также оборудованы вертолеты и самолеты. Не секрет, что полиции эта система очень нравится. Во-первых, она повышает процент раскрываемости преступлений, а во-вторых за рулем украденных и задержанных автомобилей нередко оказываются люди, уже находящиеся в полицейском розыске.

[Конец ВРЕЗКИ]

Вступают гиганты

Если специфические функции Computrace для дистанционного отслеживания и управления компьютером фирма Phoenix Technologies начала сама включать в свои BIOS-системы примерно с начала 2004 года, то об аналогичных формах сотрудничества Absolute с изготовителями жестких дисков, в частности Fujitsu, стало известно лишь этой весной.

Кроме того, корпорации, занимающиеся накопителями, вроде той же Fujitsu и Seagate, в последние годы начали выпускать жесткие диски с аппаратно встроенной технологией защиты FDE или Full Drive Encryption, т.е. «полное шифрование привода». Как можно понять уже из названия, это средство на лету зашифровывает все данные при их записи на диск и расшифровывает обратно при считывании, так что получить доступ к хранимой информации могут лишь авторизованные пользователи, знающие пароль.

Что касается FDE, то по мнению корпорации Intel, ныне тоже энергично включившейся в игру на этом поле, эксплуатация таких дисков сопряжена с двумя, по меньшей мере, существенными проблемами. Во-первых, подобный диск можно физически выключить или удалить из ноутбука, оставив компьютер вполне работоспособным. Во-вторых, диски с FDE должны хранить информацию о пароле где-то внутри собственной памяти, что в принципе делает их открытыми для так называемых словарных атак, перебирающих миллионы вероятных паролей с максимально возможной скоростью.

Ну а противоугонная технология Intel ATT, в свою очередь, задумана как многогранное развернутое решение, реализуемое в несколько этапов. На первом из них, в 2008 году, главными свойствами станут возможности выключения похищенной машины и приведение ее в неработоспособное состояние. Причем делать это будет можно не только дистанционно через интернет, но и при отсутствии сетевого подключения – с помощью некоторой зашитой в конструкцию хитрости. Комбинированный подход ATT, запирающий как сам компьютер, так и накопители, подразумевает такую эффективность защиты, чтобы жесткий диск, извлеченный из машины, по-прежнему не работал и при подключении к другому ПК.

О других этапах этого большого проекта подробности будут раскрыты позже, но уже сейчас известно, что при разработке ATT корпорация Intel вступила в партнерские отношения с такими фирмами, как Absolute Software, китайский гигант Lenovo Group (компьютеры IBM), разработчик антивирусных средств McAfee, консорциум Fujitsu Siemens Computers и, конечно же, лидер BIOS-систем Phoenix Technologies.

Согласно информации от Ананда Пашупатхи, ответственность Intel как разработчика ATT сконцентрирована на том, чтобы предоставить надлежащий аппаратный интерфейс для управления ноутбуком как имуществом и управления хранимыми в нем данными. В то время как на всех партнеров возлагаются задачи реального управления и интеграции технологии с другими приложениями.

Особо корпорация отмечает, что непосредственное предоставление технологии ATT потребителям – это уже не ее дело, а OEM-сборщиков. Поскольку всякая противоугонная технология несет в себе мощный шпионский потенциал, по умолчанию функции ATT в новых чипах и платах Intel будут выключены из соображений обеспечения приватности покупателей. В Intel этот момент предпочитают подчеркивать заранее, принимая во внимание очень неприятный урок из 1990-х годов.

Тогда, можно напомнить, компания решили встраивать в каждый микропроцессор Pentium III уникальный код-идентификатор, позволяющий надежно отслеживать в сети любой компьютер на основе такого чипа. В результате тревоги, забитой правозащитниками, и массовых акций протеста, грозивших бойкотом всей продукции корпорации, от идеи уникальных ID пришлось отказаться. А на будущее все подобные технологии стали оговариваться как опции, включаемые по желанию заказчика.

Таким образом, можно видеть, что в совсем недалеком будущем практически все выпускаемые с конвейера компьютеры, особенно мобильные, будут оснащены той или иной противоугонной технологией. В изначально выключенном, скорее всего, состоянии.

Для сборщиков и продавцов компьютеров это будет означать расширение ассортимента предлагаемых вариантов машин, включая развитые возможности защиты и страхования техники от хищений.

Ну а покупателям останется иметь в виду, что вместе с противоугонным средством они приобретают не только удобный и полезный сервис, но и встроенную шпионскую закладку. Которую практически наверняка можно включать дистанционно и без ведома владельца.

[ВРЕЗКА]

Купи слона

Для сетевых администраторов, которые прежде никогда не сталкивались с противоугонными компьютерными средствами типа Computrace / Absolute, первое знакомство может быть далеко не самым приятным. Вот как выглядела, к примеру, совсем недавняя встреча подобного рода в одной из американских фирм.

Два недавно закупленных компьютера от известного бренда вдруг сами по себе стали непрерывно обращаться в интернет, по несколько раз в секунду пытаясь установить связь с сайтом search.namequery.com. Обеспокоенный администратор стал выяснять суть проблемы и обнаружил малоприятные факты. А именно, наличие в машинах программ, которые устанавливаются без разрешения и даже без ведома владельца, получают через сеть команды от неизвестной третьей стороны (вплоть до команд типа «стереть жесткий диск»), и при этом активно сопротивляются удалению.

Один компьютер был абсолютно новым, второй – возрастом меньше года, только что вернувшимся из гарантийного ремонта. После разбирательств с фирмой-поставщиком выяснилось, что обе машины без заказа покупателя оборудованы системой безопасности Computrace. Причем на новой машине эта программа была «случайно» активирована на фабрике, а второй компьютер получил при ремонте системную плату с другого ПК, где Computrace активировал прежний владелец.

Далее последовали контакты уже с сотрудниками службы сопровождения Absolute Computrace, которые заверили, что их программа не имеет ничего общего с вирусами. И что они вполне могут дистанционно деактивировать закладки, если покупателю машин не нравится их продукт. С согласия владельца прошли команды на отключение соответствующих BIOS-компонентов и деинсталляцию ряда файлов из системной папки Windows. На глазах администратора эти файлы действительно исчезли из компьютеров, так что проблему, казалось бы, практически решили.

Но на следующий день все возвратилось к прежнему состоянию. И описанная выше история стала по сути дела ходить кругами. Короче говоря, установить программу-закладку в машину оказывается намного проще, чем ее удалить. А поскольку покупатель компьютера категорически не желает становиться подписчиком навязываемой услуги, у корпораций нет никаких стимулов присылать своих специалистов и избавлять несговорчивых клиентов от их головной боли.

[Конец ВРЕЗКИ]

The END