Архив рубрики: Риски компьютерных систем

Большие Данные как большие риски

Все и повсюду, массово и с пользой накапливают гигантские базы данных. Беда в том, что никто и нигде не знает, как эти горы данных защищать от злоупотреблений.

Проблемы разные – суть одна

В ленту текущих новостей из разных концов планеты недавно попали три сообщения, рассказывающие о существенно разных, казалось бы, проблемах у людей и властей в связи с особенностями новейших инфотехнологий. Единственное, на первый взгляд, что их объединяет – это общая тема рисков и угроз, с которыми сталкивается общество по мере все более масштабного освоения Больших Данных.

Но вот если, однако, с этими неприятностями начать разбираться чуть внимательнее, то довольно быстро становится ясно, что на самом деле речь тут везде идет о разных сторонах одной и той же гранд-проблемы. Такого рода серьезные вещи обычно принято именовать «системными дефектами конструкции». Специалисты-профессионалы об этой беде отлично знают, конечно же. Вот только как это дело эффективно лечить – вопрос более чем дискуссионный… Ибо варианты ответов-решений сильно зависят от того, кому они адресованы.

Иначе говоря, владельцы баз с Большими Данными трактуют безопасность системы по-одному; профессионалы ИТ-сектора, занимающиеся разработкой и анализом защиты подобных систем, видят проблемы очевидно по-другому; ну а те люди, чьи персональные данные накапливаются и обрабатываются в этих системах в гигантских количествах, представляют себе заботу об их личной, чувствительной к разглашениям информации существенно по-третьему.

Проиллюстрировать суть возникающих здесь проблем и коллизий, ясное дело, удобнее всего на живых примерах. А потому самое время процитировать сообщения из ленты текущих новостей.

Читать далее Большие Данные как большие риски

Послушай клавиш перебор

Пара тесно связанных сюжетов о новостях шпионских технологий – про добычу информации из компьютерных устройств по акустическим сигналам работы клавиатуры.

(Май 2004)

На проходившем в калифорнийском городе Окленде «Симпозиуме по безопасности и приватности» (9-12 мая 2004) интересный доклад представил наш соотечественник Дмитрий Асонов, работающий ныне в Олмейденском исследовательском центре IBM. Совместная работа Асонова и Ракеша Агравала наглядно демонстрирует, насколько просто можно дистанционно снимать информацию с компьютера по звукам нажимаемых на клавиатуре кнопок.

Результаты исследования обобщены в статье «Акустические излучения клавиатуры» (D. Asonov and R. Agrawal. «Keyboard Acoustic Emanations». Proc. of 2004 IEEE Symposium on Security and Privacy, Oakland, CA. 2004). Электронную версию данной работы можно найти в Интернет-архиве (web.archive.org, PDF).

Исследуя различные виды клавиатур, Асонов и Агравал установили, что фактически каждая кнопка на панели – будь то клавиатура любого компьютера, телефона или даже банкомата – издает при нажатии звук с сугубо индивидуальными характеристиками. А все, что требуется для эффективного распознавания такого рода акустических сигнатур, – это оборудование на сумму порядка 200 долларов: микрофоны, цифровая обработки звука и программа искусственной нейросети для ПК.

Читать далее Послушай клавиш перебор

Активность на уровне тюрьмы

(Август 2011)

Среди обильного урожая плодов, порожденных компьютерным супер-червем Stuxnet, ныне обозначилась еще и реальная угроза для охраны мест заключения. Но хотя проблема налицо – к ответственности привлекать некого. Как обычно в подобных делах.

Хакерская конференция DefCon, каждый август проходящая в Лас-Вегасе, по давно сложившейся традиции устраивается в тандеме с более пестрым форумом Black Hat USA. Хотя и докладчики, и участники на этих двух мероприятиях естественным образом пересекаются, тематика DefCon значительно четче ориентирована на интересы государственных ведомств.

Среди выступлений нынешней, 19-й по счету, конференции 7 августа (2011) ожидается доклад на весьма редкую тему – о недавно выявленных серьезнейших слабостях ИТ-систем, обеспечивающих безопасность тюрем и прочих исправительных учреждений. Доклад делает весьма солидный исследовательский коллектив авторов, многие годы работающих в области обеспечения физической и инфотехнологической безопасности для государственных учреждений США.

Результаты докладываемой на форуме работы имеют самое непосредственное отношение к компьютерному червю Stuxnet, поскольку заложенные в эту вредоносную программу идеи и возможности с равным успехом можно применять, как выясняется, не только против иранской ядерной программы, но и против электронной техники, обеспечивающей безопасность практически всех американских тюрем.

Но прежде, чем переходить к содержательной части этого познавательного доклада, имеет смысл обратить внимание на два довольно загадочных «шпионских» сюжета, почти никак, казалось бы, не связанных с данной темой.

Читать далее Активность на уровне тюрьмы

RFID многоликая

(Ноябрь 2003)

Первая часть большой подборки материалов – о массовом приходе в нашу жизнь технологии RFID.

rfid-hall

В ноябре 2003 года почти одновременно в разных точках планеты прошли два независимых друг от друга мероприятия, тесно связанных, тем не менее, единым предметом обсуждения.

Сначала, 15 ноября в Массачусетском технологическом институте, США, прошел семинар «RFID и приватность» (от RadioFrequency IDentification — технология радиочастотной идентификации), в дискуссиях которого приняли участие ученые-разработчики, представители продвигающих технологию компаний, правозащитники и журналисты. Подобный научно-практический семинар организован впервые, однако актуальность его очевидна практически для всех, кто понимает, сколь серьезную угрозу тайне личной жизни представляют новейшие технологии бесконтактной идентификации и базы данных на этой основе.

Всего несколькими днями позже, 20-21 ноября, по другую сторону Атлантики, в парижском отеле «Шарль де Голль» состоялся большой международный конгресс ID World 2003. Под общим девизом «Революция идентификации в реальном и цифровом мирах» участники форума обсуждали достижения и перспективы бурно развивающихся ныне технологий RFID, биометрии, смарт-карт, а также в целом сбор информации на основе этих технологий.

Поскольку оба форума прошли практически в одно время, прежде всего бросилось в глаза то, сколь по-разному оценивают технологию бизнес-круги в зависимости от места, где она обсуждается.

На семинаре в МТИ много выступали правозащитники, рассказывавшие о лицемерии, двуличности и лжи, сопровождающих внедрение новых технологий идентификации. А представители бизнеса, в свою очередь, напирали на то, сколь сильно преувеличивают неспециалисты опасности чипов идентификации, сколь слабым и подверженным помехам является излучение RFID, как много способов сделать чип бездействующим и сколь легко его блокируют всякие материалы — от жидкостей и человеческого тела до пластмасс и фольги.[1]

Ну, а на парижском конгрессе ID World доклады рисовали совсем другую захватывающую картину: победного шествия новаций едва ли не во всех мыслимых сферах — от торговли и учета производства до охраны объектов.

rfid-tags

Читать далее RFID многоликая

Из хроники хайтек-паспортизации

Подборка кратких новостей за период 2004-2006 гг. — о хитростях и проколах в повсеместном внедрении новых удостоверений личности с чипами и биометрией.

passports-w-biometr

Все страньше и страньше

(Сентябрь 2004)

Эпопея с обязательным включением биометрической идентифицирующей информации в документы всех лиц, пересекающих границы США, получила новый, несколько неожиданный оборот. Госдепартамент США завершил в августе рассмотрение всех вариантов «биометрической» модификации новых американских загранпаспортов и принял решение в пользу наименее надежного из всех вариантов – опознания личности по лицу.

Читать далее Из хроники хайтек-паспортизации

Консервирование скоропортящихся продуктов

(Март 2002)

О попытках решения крайне нетривиальной проблемы – как обеспечить долгосрочное хранение информации в цифровую эпоху.

«Капсула времени», заложенная в 2000 г. в Нью-Йоркском музее естественной истории и среди прочего содержащая диск HD-Rosetta

 

Повальная  компьютеризация нашей жизни и тотальный перевод в цифровую форму всего, что поддается оцифровке, — эти человеческие порывы становятся, похоже, наиболее характерной особенностью эпохи высоких технологий. Причем предпринимаются такого рода шаги (как правило) весьма торопливо, беспорядочно и спонтанно, без критического осмысления уже накопленного опыта и тщательных оценок возможных будущих последствий.

К счастью, вынесенная в скобки ремарка чрезвычайно важна,  поскольку ныне «правила» начинают понемногу изменяться, и все больше людей проникаются важностью идеи обеспечения долговечного хранения оцифрованной информации.

Так, в Великобритании первая неделя весны (2002 г) ознаменовалась рождением межведомственной «Коалиции цифровой сохранности» или кратко DPC (Digital Preservation Coalition) — первой общенациональной организации, поставившей перед собой цель «обеспечить, чтобы порождаемая нами цифровая информация не утрачивалась для нынешнего и будущих поколений».

Среди главных организаторов Коалиции можно упомянуть государственный архив страны Public Record Office (PRO), Британскую библиотеку, Лондонский университет и Объединенный комитет по информационным системам образовательных учреждений (JISC). А одним из важнейших побудительных стимулов к созданию DPC стал фактический крах крупномасштабного мультимедийно-компьютерного проекта 16-летней давности под названием «BBC Domesday Project».

Читать далее Консервирование скоропортящихся продуктов

Смарт-карты: что показало вскрытие

(Сентябрь 2003)

Обзор методов взлома «самой безопасной» компьютерной технологии – как финал большой трехчастевой подборки материалов о защите платного ТВ (другие части см. тут: текст 1, текст 2).

camtamper

Индустрия смарт-карт переживает ныне период мощного расцвета. В 2002 году по всему миру было продано чуть меньше 2 миллиардов интеллектуальных карточек со встроенным микрочипом, а в ближайшие годы ожидается рост этих цифр в разы.

Причины тому просты, коль скоро области применения смарт-карт все время расширяются: от телефонной карты до жетона аутентификации пользователя ПК, от «электронного кошелька» для хранения цифровых наличных и до цифрового паспорта-идентификатора граждан.

Массовое внедрение смарт-карт в повседневную жизнь сопровождается непременными заверениями официальных представителей индустрии о том, что чип-карты – это наиболее безопасная из существующих на сегодня технологий, их, де, очень сложно, практически невозможно вскрывать. Однако так ли обстоят дела на самом деле?

Типичная смарт-карта – это 8-битный микропроцессор, постоянное запоминающее устройство или (ROM), оперативная память (RAM), электрически перепрограммируемая память (EEPROM или FLASH, где, в частности хранится криптографический ключевой материал), последовательные вход и выход. Все это хозяйство размещается в одном чипе, заключенном в корпус – обычно, пластиковую карту размером с кредитку.

Нравится это кому-то или нет, но вскрытие смарт-карт – явление весьма давнее и распространенное повсеместно. Как свидетельствуют специалисты, примерно с 1994 года практически все типы смарт-карточных чипов, использовавшихся, к примеру, в европейских, а затем в американских и азиатских системах платного ТВ, были успешно вскрыты кракерами методами обратной инженерной разработки.

Скомпрометированные секреты карт – схема и ключевой материал – затем продавались на черном рынке в виде нелегальных клон-карт для просмотра закрытых ТВ-каналов без оплаты компании-вещателю. Меньше освещенной в прессе остается такая деятельность, как подделка телефонных смарт-карт или электронных кошельков, однако известно, что и в этой области далеко не все в порядке с противодействием взлому.

Индустрии приходится регулярно заниматься обновлением технологий защиты процессора смарт-карт, кракеры в ответ разрабатывают более изощренные методы вскрытия, так что это состязание еще далеко не закончено.

Смарт-карты в своих потенциальных возможностях имеют целый ряд очень важных преимуществ в сравнении с другими технологиями. Обладая собственным процессором и памятью, они могут участвовать в криптографических протоколах обмена информацией, и, в отличие от карточек с магнитной полоской, здесь хранимые данные можно защищать от неавторизованного доступа.

Беда лишь в том, что реальная стойкость этой защиты очень часто переоценивается. Далее будет представлен краткий обзор наиболее важных технологий, используемых при вскрытии смарт-карт.

Эта информация важна для любого человека, желающего получить реальное представление о том, как происходит вскрытие защищенных устройств и каких затрат это стоит. Естественно, тщательное изучение применяемых методов вскрытия позволяет вырабатывать адекватные контрмеры и создавать намного более эффективную защиту смарт-карт.

Читать далее Смарт-карты: что показало вскрытие