Психология безопасности

(Август 2008)

О человеческом факторе в защите компьютеров, сетей и самого человека.

psy-sec

В самый разгар лета (2008) Массачусетский технологический институт, США, стал местом проведения весьма неординарной конференции под названием «Первый междисциплинарный семинар по безопасности и человеческому поведению» или кратко SHB 08 (от Security and Human Behavior, подробности см. www.cl.cam.ac.uk/~rja14/shb08/agenda.html).

Количество участников мероприятия было очень небольшим, меньше полусотни. А о существовании такой конференции весь остальной мир узнал лишь вместе с ее началом – из блогов организаторов да нескольких статей специально приглашенных журналистов.

Собственно говоря, и абсолютно каждый из участников семинара получил на него индивидуальное приглашение от организаторов. Но замечательна данная встреча, конечно же, вовсе не этой «секретностью».

Читать «Психология безопасности» далее

Великий инакомыслящий

(Март 2001)

Мало кому в двадцатом веке удавалось с таким постоянством бросать вызов человеческому разуму, как это делал Фред Хойл и его многочисленные книги.

Fred-H

В февральском, 2001 года номере журнала Scientific American опубликована заметка «Большой взрыв: шутка или истина?», авторы которой в очередной раз обращаются к одной из самых сложных, возможно, проблем современной космологии да и всей науки вообще: «Как произошла наша Вселенная?».

Ответа на этот вопрос, понятное дело, статья не дает, но зато приводится в ней один весьма занятный факт, редко кем упоминаемый, а потому, очевидно, и малоизвестный.

Термин «большой взрыв», которым именуется наиболее общепринятая на сегодняшний день теория происхождения всего сущего, появился на свет в начале 1950 года.

Подарил же его миру, сам того не желая, тогда еще сравнительно молодой английский космолог с весьма оригинальной и впечатляюще четкой манерой суждений, ныне известный всему миру как сэр Фред Хойл — патриарх астрофизики, талантливый математик, автор более 40 примечательных книг, от научно-популярных и чисто научных монографий до фантастических романов, театральных пьес и даже либретто для оперы.

fred_hoyle_bbc

В 1950-м году до всего этого было еще далеко, однако уже тогда проявлявший свои разносторонние таланты Хойл был не только ученым в Кембридже, но также автором и ведущим цикла субботних радиопередач по Третьей программе Би-би-си. Эти посвященные науке передачи возникли на радио довольно спонтанно, однако имели бешеный успех у публики и входили в верхние строчки национального рейтинга популярности.

И вот в суматошной обстановке последней передачи цикла, буквально на лету, у Хойла и родился глумливый термин «big bang», или «большой взрыв». В намерение ученого ни в коем случае не входило одобрение этой теоретической концепции. Совсем даже напротив — под этим несерьезным именем Хойл намеревался ее похоронить.

Читать «Великий инакомыслящий» далее

Искусство защиты по Андерсону

(Март 2001)

Большинство систем безопасности не срабатывает так, как положено, не по той причине, что их механизмы защиты слабы, а из-за неправильного применения этих механизмов. Желательно представлять, как выглядит правильное использование средств защиты.

Sec-Eng-1st-Ed

Американским издательством Wiley со дня на день должна быть выпущена в продажу интереснейшая книга Росса Андерсона «Инженерия безопасности. Руководство по созданию надежных распределенных систем» (Ross Anderson, «Security Engineering: A Guide to Building Dependable Distributed Systems», 2001, John Wiley & Sons, 640 pages).

Выход книги ожидался еще в феврале (2001), но что-то там застопорилось и срок слегка перенесли. Но это, впрочем, абсолютно несущественно. Главное — привлечь к публикации внимание интересующейся общественности, поскольку ничего похожего отдельной книгой пока что в мире не выходило.

RJA-1990-s

Англичанин Росс Андерсон — личность в мире защиты информации весьма известная, поскольку с начала 90-х ученый каждый год публикует яркие и заметные исследовательские работы. Около десяти лет он работает в Компьютерной лаборатории Кембриджского университета, последние лет пять здесь же в Кембридже читает студентам лекции по криптографии и компьютерной безопасности.

Самый замечательный дар Андерсона, наверное, это умение взглянуть на задачу «по-другому», что практически всегда позволяет ему вскрыть какие-то новые, ранее не освещавшиеся аспекты проблем безопасности, касается ли дело именно компьютеров или же каким-то образом примыкающих областей.

Читать «Искусство защиты по Андерсону» далее

Карты, деньги, дежавю

(Ноябрь 2012)

На криптографической конференции CHES 2012, в сентябре этого года проходившей в г. Лувен, Бельгия, была представлена работа о серьезных слабостях, выявленных учеными-исследователями в системе банковских платежных карт EMV, в народе более известных как «Чип-и-ПИН».

emv-card

На CHES 2012 (название конференции можно расшифровать как «Криптографические встроенные системы и аппаратура») доклад об очередной компрометации EMV сделал Стивен Мердок – как представитель целой исследовательской команды из Компьютерной лаборатории Кембриджского университета.

Эту знаменитую в кругах инфобезопасности лабораторию с середины 1990-х годов возглавляет профессор Росс Андерсон – не только очень авторитетный криптограф-практик вообще, но и неустанный критик, в частности, банковских систем защиты информации. Выявлением всевозможных слабостей в этих системах (плюс конструктивными предложениями по их усилению, естественно) Андерсон и его соратники занимаются вот уже около четверти века.

Новейшая их аналитическая работа, посвященная очередным уязвимостям в системе платежных чип-карт EMV, сфокусирована на таких мошеннических манипуляциях с техникой, которые по своему итоговому эффекту эквивалентны клонированию. Имеет смысл этот момент подчеркнуть: речь идет не о физическом изготовлении клона карты, а о махинациях, оставляющих в лог-файлах платежных систем такие следы, которые оставляет за собой либо полный клон карты, либо вообще оригинал.

Принимая во внимание тот факт, что технология EMV была специально разработана в конце 1990-х годов для того, чтобы эффективно противостоять клонированию традиционных банковских карт с магнитной полоской, можно представить, сколь серьезного внимания общества должны заслуживать нынешние открытия кембриджских ученых.

Читать «Карты, деньги, дежавю» далее

Игры патриархов

(Март 2003)

— Мы велики! Мы свободны! Мы достойны восхищения, как ни один народ в джунглях! Мы все так говорим — значит, это правда!

<…>

— Вы слышите меня, бандерлоги? Хорошо ли вам видно?
— Мы видим тебя, о Каа!
— Бандерлоги, можете ли вы шевельнуть рукой или ногой без моего приказа?
— Без твоего слова мы не можем шевельнуться, о Каа!
—Хорошо! Подойдите на один шаг ближе ко мне… Еще ближе!..

Киплинг. «Охота Каа»

kaa-hunt

В рассылках известного Интернет-форума Cypherpunks, где об инфотехнологиях и политике по преимуществу дискутирует нонконформистская американская интеллигенция, недавно появилось следующее наблюдение, констатированное с долей изумления.

Совершенно очевидно, что США решительно намерены вступить в серьезную войну: на раскрутку военных действий уже потрачена уйма денег, в район Персидского залива стянута куча военных кораблей, сто тысяч солдат переброшены к границам Ирака, ну и так далее. Однако законодательная власть страны в столь критический момент истории демонстрирует полнейшее бездействие.

Словно загипнотизированные ура-патриотической пропагандой, конгрессмены не решаются обсуждать широкомасштабные военные приготовления президентской команды, не говоря уже о необходимом по американским законам официальном объявлении войны…

*  *  *

Но здесь, однако, речь пойдет совсем о другом. Данный пример был выбран лишь потому, что чрезвычайно наглядно демонстрирует эффективность умелых манипуляций массовым сознанием, будь то сознание рядовой публики или сознание наделенных, казалось бы, властью политиков-парламентариев.

При желании и наличии определенных навыков можно, оказывается, заставить людей видеть лишь «то, что надо» и абсолютно не замечать «что не надо». И в итоге, хотя вокруг в изобилии происходят вещи, воистину достойные удивления и серьезных размышлений, публика действительно ничего не замечает.

Для убедительного подтверждения этого тезиса будет полезно привести несколько показательных примеров (так или иначе связанных со сферами информационных и высоких технологий) из жизни США за последние года три. Имеет смысл сразу обратить внимание на очень почтенный возраст всех действующих лиц.

Так — победим!

В ноябре 2000 года практически безвестный семидесятилетний предприниматель-пенсионер Дэн Коласси (Dan Colussy) совершил небывалое экономическое чудо — спас от неминуемой, казалось, гибели подчистую разорившийся космический проект Iridium, задолжавший кредиторам больше 6 миллиардов долларов.

Одно лишь обслуживание созвездия из 66 спутников глобальной мобильной связи стоило компании Motorola около 50 млн. долларов в месяц, отчего было принято решение разорительные аппараты сжечь в атмосфере, а их останки утопить в океане.

iridium-Colus

Но тут на сцене появляется некий «ветеран авиационных линий Дэн Коласси, в свое время руководивший компаниями Canadian Pacific Airlines и Pan American World Airlines», и на корню выкупает гигантское многомиллиардное предприятие (армада спутников, наземная сеть станций, вся недвижимость и вся интеллектуальная собственность компании) за мизерные 6,5 млн. долларов наличными и за обещание заплатить еще 18,5 миллиона потом, попозже.

За этот самоотверженный поступок американский суд по банкротствам освобождает предпринимателя от всех долгов старой компании Iridium LLC, а новая компания Iridium Satellite начинает чудесное возрождение провалившейся дорогостоящей затеи.

Читать «Игры патриархов» далее

Найти иголку в океане

(Май 2011)

Отыскать посреди океана на глубине около 4 км «черный ящик» давно и загадочно погибшего самолета – это, несомненно, подвиг исследователей. А кроме того, еще и чрезвычайно непростая техническая задача.

remus-launch

Во Францию доставлены для исследований поднятые со дна океана бортовые самописцы   авиалайнера  Air France 447, два года тому назад (в 2009) потерпевшего катастрофу при весьма загадочных обстоятельствах.

cockpit-recorder-AF447 Читать «Найти иголку в океане» далее

Тайны личности Бора

(Ноябрь 2001)

Семья знаменитого ученого решила рассекретить давние тайны из его личного архива.

bohr-heisenberg

В конце сентября (2001) в Копенгагене проходила довольно необычная конференция “Об истории и драмах науки”. В рамках этого форума с примечательным объявлением выступил представитель семьи Нильса Бора, решившей рассекретить важные документы из архива величайшего датского ученого.

Волею судьбы и собственного характера этот человек, наряду с Альбертом Эйнштейном и Вернером Гейзенбергом сыгравший ключевую роль в формировании облика физики XX века, оказался весьма интенсивно вовлеченным и в сложнейшие политические перипетии бурного столетия.

После смерти Бора в 1962 году его семья приняла решение на 50 лет засекретить часть богатейших личных архивов ученого, имевшего обыкновение фиксировать на бумаге все, над чем он размышлял, не говоря уже о черновиках переписки. Личные записи поневоле затрагивают и множество известных деятелей, с которыми доводилось общаться Бору, поэтому по-человечески вполне объяснимо решение семьи, не пожелавшей предавать материалы широкой огласке при жизни большинства из этих людей.

Однако есть в жизни Нильса Бора один совершенно особенный момент —  одновременно чрезвычайно интересный и покрытый плотной завесой тайны, — который  на протяжении уже многих десятилетий все никак не дает покоя историкам науки…

Читать «Тайны личности Бора» далее

Еще раз про Дубаи

(Март 2010)

Историю о том, как полиция г. Дубаи с помощью инфотехнологий сделала беспрецедентно открытым для публики свое расследование вокруг убийства палестинского боевика, будут включать в учебники полицейских академий.

DUBAI-HAMAS

В середине марта (2010) во французском городе Лион, где находится штаб-квартира Интерпола, проходила ежегодная Конференция Глав Национальных Бюро этой международной правоохранительной организации.

Как правило, в качестве глав национальных бюро Интерпола выступают какие-нибудь высокие начальники местной полиции. И «звездой» нынешней конференции оказался генерал-майор Хамис аль-Мазейна (Khamis al Mazeina), заместитель начальника полиции г. Дубаи, ОАЭ, сделавший обстоятельный доклад об их нашумевшем по всему миру недавнем расследовании вокруг убийства Махмуда аль-Мабхуха.

Один из лидеров палестинской организации ХАМАС, руководивший в ней крылом боевиков al-Qassam Brigades, Махмуд аль-Мабхух был убит в своем номере отеля в г. Дубаи 19 января этого года (подробности истории см. здесь).

В беспрецедентно открытом расследовании этого преступления дубайская полиция сделала общедоступными для СМИ и публики значительные объемы записей от камер видеонаблюдения, опубликовала имена и фотографии всех установленных подозреваемых, сопроводив их подробными паспортными данными.

Хотя быстро выяснилось, что паспорта и личности подозреваемых были поддельными, по результатам этого расследования полиция Дубаи уверенно и однозначно обвинила в преступлении Mossad, разведывательную службу Израиля.

Лекция же генерала аль-Мазейны на конференции Интерпола в подробностях рассказала о тех действиях полиции, что были предприняты для быстрого установления личностей подозреваемых, включая детали их паспортных данных и номера кредитных карт, о характерных шаблонах в использовании преступниками мобильной связи, о выявленных на месте преступления образцах ДНК и о показаниях свидетелей.

Дубайское расследование очень интенсивно и на всех этапах опиралось на современные инфотехнологии, причем завершить его удалось весьма быстро. Всего за месяц полицией были надежно установлены участники большой команды из почти 30 человек, осуществивших весьма изощренную операцию по устранению аль-Мабхуха.

Доклад генерала об этом расследовании вызвал у участников форума большой интерес, а явно удовлетворенный своим выступлением аль-Мазейна чуть позже сообщил, что уже «несколько стран» запросили у Интерпола технические подробности о ходе следствия — «чтобы включить это дело в учебные курсы своих полицейских академий».

Помимо профессионалов из полицейских структур всю эту историю, конечно же, весьма интенсивно обсуждают и средства массовой информации.

Высказываются в прессе и интернете на данный счет все, кому не лень, причем в подавляющем большинстве преобладает такая точка зрения, что для Mossad эта история равносильна если и не провалу, то очень большой неудаче.

(Хотя за руку израильтян тут никто не поймал, практически никто не сомневается, что убийство действительно совершено людьми из Mossad.)

В связи с этим особенно интересно было бы услышать, что думают о произошедшем сами шпионы.

В силу специфики своей профессии такие люди обычно избегают публичных заявлений, однако пан-арабскому агентству новостей Аль-Джазира каким-то образом удалось получить комментарий от вполне авторитетного шпиона Роберта Гренье (Robert Grenier) — шефа резидентуры ЦРУ США в Исламабаде с 1999 по 2002 год, а затем директора контр-террористического центра ЦРУ.

И вот что он пишет, практически дословно.

Читать «Еще раз про Дубаи» далее

#gotofail: Ошибка или Умысел?

(Март 2014)

Недавний гранд-прокол Apple с обеспечением безопасности своих ОС породил тучу весьма неудобных вопросов к корпорации. Важнейший из них звучит просто: была ли это случайность или же чье-то вредительство? И самое грустное, что действия Apple выглядят очень нехорошо фактически при любом варианте ответа на данный вопрос.

apple-fail

Почти идеальная закладка?

Когда мир вступил в «Эпоху Эдварда Сноудена», сообщество компьютерной безопасности оказалось, без преувеличения, шокировано и подавлено реальными масштабами того, насколько глубоко скомпрометированы спецслужбами чуть ли не все общераспространенные средства защиты информации.

По сути дела, оказалось так, что доверять тут нельзя никому и ничему, а изощренные шпионские закладки или «бэкдоры» спецслужб могут обнаруживаться в абсолютно любых компьютерных устройствах, программах и средствах связи.

Иначе говоря, теперь и независимым авторитетным экспертам по защите информации волей-неволей приходится ставить себя на место компетентных правительственных органов – дабы лучше представлять себе возможные модели атак и злоупотреблений, к примеру. И вот, один из таких широко известных специалистов, американский крипто-гуру Брюс Шнайер, осенью 2013 сформулировал в этом ключе следующую любопытную идею.

Рассуждая «как шпион» о наилучших путях к разработке и реализации программного бэкдора, Шнайер предложил три главных особенности-характеристики для «действительно хорошей закладки»:

  1. Низкие шансы на обнаружение;
  2. Минимальный уровень заговора для практической реализации;
  3. Высокая степень правдоподобности для отрицания умысла в случае обнаружения.

Об этой своей концепции Брюс Шнайер сразу же вспомнил ныне, когда миру стало известно о той критически серьезной уязвимости, что обнаружена в защите операционных систем Apple – мобильной iOS и OSX для десктопов и ноутбуков.

Потому что эта дыра – или даже скорее дырища – которую корпорация Apple латала в последнюю неделю февраля своими новыми релизами ПО, по компетентному мнению Шнайера представляет собой «превосходный пример» именно такой действительно хорошей закладки.

Читать «#gotofail: Ошибка или Умысел?» далее

Клиппер, шкипер, фриц и…

(Март 2004)

Плывет клиппер, на клиппере шкипер, у шкипера триппер.  (каламбур из бородатого цикла анекдотов про поручика Ржевского)

nsalisten

Ровно 11 лет назад, в апреле 1993 года президент США Билл Клинтон довольно сильно удивил своих соотечественников, объявив о намерении повсеместно ввести в стране новые принципы шифрования – с так называемым депонированием криптоключа (key escrow) у третьей, “доверяемой” стороны.

Говоря по-простому, это означало, что в близком будущем буквально все – граждане, фирмы, организации и государственные ведомства – в случае засекречивания своих коммуникаций должны будут использовать лишь такие криптосредства, которые без проблем смогут расшифровать правоохранительные органы (взяв нужный ключ у той самой мифической всеобще доверяемой третьей стороны).

Поскольку первой ласточкой этой технологии стала микросхема “Clipper chip”, заблаговременно разработанная в АНБ США и реализующая данную идею для телефонов, то и вся бесславная эпопея с внедрением депонирования ключей осталась в памяти человечества как “история с клиппер-чипом”.

Читать «Клиппер, шкипер, фриц и…» далее