Рубрика: Риски компьютерных систем

Posted on

Пища для размышлений

(Апрель 2016)

Эту военную технику именуют по-разному. Одни говорят о роботах-убийцах, другие предпочитают термин «системы летальных автономных вооружений». Но как бы это ни называлось, угрозы нового оружия для человечества уже очень серьезны.

Robot-at-war

В середине апреля этого года, в Женеве под эгидой ООН прошла третья «неофициальная встреча экспертов» по проблемам и вопросам вокруг полностью автоматизированных военных систем, способных убивать людей самостоятельно.

Для того, чтобы стало сразу понятно, сколь серьезно воспринимаются ныне такие проблемы, достаточно отметить, что среди специалистов роботы-убийцы расцениваются как «третья великая революция» в военном деле. То есть речь идет о технологии уничтожения, по значимости сравнимой лишь с изобретением пороха и ядерного оружия.

Читать «Пища для размышлений» далее

Posted on

Силы звездастые или Шухер на зоне

(Март 2006)

american-bald-eagle

Популярный в давние советские времена остросюжетный кинофильм “Возвращение Святого Луки” вошел в народную память, главным образом, бессмертной фразой “Как жить, как жить? Кругом одно жулье!”. Особый колорит этому воплю отчаяния придавало то, что исходил он от законченного прохиндея, занимавшегося перепродажей краденых картин.

И хотя события, происходящее ныне в Интернете вокруг бурно расплодившихся шпионских и зловредных программ — spyware & malware — не имеют абсолютно никакой связи с сюжетом старого советского кинодетектива, при попытках их анализа в голове все время почему-то крутится та самая ключевая фраза из фильма…

Читать «Силы звездастые или Шухер на зоне» далее

Posted on

Надежно ли защищены смарт-карты?

(Март 1999)

Одна из наиболее ранних публикаций о крипто-хакинге и обратной инженерной разработке микрочипов.

Smart-cards

По прогнозам фирмы Dataquest, рынок смарт-карт ожидает значительный скачок от нынешних 941 миллиона карт в год до 4,7 миллиардов в 2002 г.

Смарт-карта – инженерно-техническое устройство размером с кредитную карточку, которое содержит миниатюрный компьютерный чип и используется для самых разнообразных целей: от аутентификации пользователя ПК, хранения его криптографических ключей, шифрования электронной почты и вплоть до хранения так называемых «цифровых наличных».

При этом, как достаточно уверенно заявляют официальные представители смарт-картной индустрии,

«чип-карты являются наиболее безопасной из существующих технологий. Их очень сложно вскрывать».

Но так ли это на самом деле?

Читать «Надежно ли защищены смарт-карты?» далее

Posted on

Мягкий TEMPEST

(Ноябрь 1999)

Краткая история технологии «программный Темпест» для защиты компьютеров от компрометирующих излучений.

spy-paranoia

Как поведали британскому журналу «New Scientist» [1] двое ученых из Кембриджского университета, Росс Андерсон и Маркус Кун, программное обеспечение, позволяющее компьютеру принимать радиосигналы, можно использовать и для того, чтобы шпионить за другими компьютерами. Согласно результатам исследований Куна и Андерсона, опасность этого столь велика, что они запатентовали соответствующие методы противодействия.

Спецслужбы уже давно умеют считывать создаваемые на компьютере документы, перехватывая радиочастотные излучения от электронных приборов, но используемое ими приемное и антенное оборудование весьма дорого стоит, да и в магазинах оно не продается.

Однако новое поколение «программных радиоприемников», специально разработанных для того, чтобы позволить компьютеру настраиваться на радиосигналы любого диапазона частот, обещает сделать данный тип радиоперехвата простым и дешевым. Компьютерная плата с подключенной внешней антенной выполняет всю настройку под управлением программного обеспечения и имеет специальный чип цифровой обработки сигнала (Digital Signal Processing, DSP), срезающий шумы.

Как говорит Кун, оборудование, пригодное для того, чтобы заниматься компьютерным радиошпионажем, сейчас стоит, по меньшей мере, тысяч 30 фунтов, «но через пять лет оно будет стоить уже меньше тысячи, и программы к нему будут писать хакеры».

Сам начинавший как пытливый хакер, немец Маркус Кун известен в компьютерном сообществе в основном благодаря работам по демонстрации серьезных слабостей в защите смарт-карт и микроконтроллеров.

Ныне Кун готовит в Кембридже докторскую диссертацию на тему компьютерной безопасности, а попутно, в сотрудничестве с известным криптоэкспертом Россом Андерсоном, они разработали и запатентовали так называемый Soft TEMPEST — набор программ-контрмер, позволяющих управлять побочными электромагнитными сигналами компьютера.

Читать «Мягкий TEMPEST» далее

Posted on

Обратная сторона битмонеты

(Июнь 2011)

Если в интернете появились новые деньги BitCoin, значит, у кого-то их должно быть много. Ушлые жулики, соответственно, не только находят таких людей, но и быстро избавляют  от нажитых запасов.

chk_jschl

Что происходит?

Платежная система BitCoin называет себя «пиринговой валютой» и на основе программ с открытым исходным кодом и реализует полностью децентрализованную криптографическую схему цифровых наличных. Новые виртуальные деньги так и называются – биткойны, то есть «битовые монеты».  (Общий обзор этого интересного и многообещающего проекта можно найти в разделе «Дополнительное чтение».)

В последние месяцы (2011) система BitCoin довольно быстро стала набирать популярность среди пользователей интернета, а обменный курс биткойна, соответственно, начал стремительно расти. Оборотной стороной – причем совершенно естественной и вполне предсказуемой стороной – этой популярности стало то, что Биткойном сильно заинтересовалась та часть публики, которую принято именовать ворами и жуликами.

Первый зарегистрированный случай крупного хищения был отмечен на forum.bitcoin.org , официальном форуме пользователей Bitcoin, 13-го числа текущего месяца.

Один из давнишних участников этого сообщества, известный под экзистенциальным псевдонимом Allinvain (Всенапрасно), в состоянии глубочайшего эмоционального отчаяния известил сограждан, что обнаружил в своем компьютере ужасную вещь – какие-то гады одним махом похитили у него все нажитые в системе деньги, порядка 25 тысяч биткойнов. По текущему курсу обмена эта сумма была эквивалента 500 000 американских долларов, так что крайняя степень отчаяния жертвы была вполне объяснима.

Читать «Обратная сторона битмонеты» далее

Posted on

Мифы и легенды высоких технологий

(Январь 2009)

Disk-Wiping

В мире компьютерной криминалистики довольно часто приходится слышать весьма спорные и сильно различающиеся мнения о необходимом или желательном количестве проходов программы, удаляющей с магнитного жесткого диска информацию. Обычно специальную процедуру, сводящуюся к перезаписи поверх прежней информации случайных последовательностей из нулей и единиц, именуют зачисткой (wiping) или надежным стиранием диска.

С одной стороны, рядом экспертов и даже весьма солидными организациями вроде NIST, американского Института стандартов и технологий, утверждается, что единственного прохода операцией Wipe оказывается достаточно для того, чтобы данные на диске были уничтожены без возможности восстановления.

С другой стороны, многократного применения зачистки требуют давно написанные инструкции министерства обороны США и аналогичных ведомств других стран, а наиболее озабоченные безопасностью специалисты настаивают на десяти или даже 35 проходах (так называемая «схема Гутмана»), поскольку де известны случаи успешного восстановления данных после одного-двух применений вайпинга.

Самым главным, вероятно, камнем преткновения в этих давно идущих спорах является тот неоспоримый факт, что позиционирование головки считывания-записи при каждом новом проходе не является абсолютно точным воспроизведением предыдущих позиций. Иначе говоря, новые данные, записываемые на диск, могут расположиться не в точности на тех же местах, где были расположены первоначальные биты.

А это означает, что в принципе, получив с помощью высокоточной аппаратуры сканирования картину распределения магнитных полей на диске, можно автоматизировать анализ и отделение прежних данных от новых.

Однако то, что справедливо к устройству накопителей на жестких магнитных дисках вообще, далеко не обязательно справедливо в конкретных условиях современной реальной техники. Именно это, собственно, и демонстрирует активно обсуждаемая ныне в Сети статья Крейга Райта (Craig Wright), эксперта по компьютерной криминалистике, который весьма решительно заявляет, что положил конец легенде о недостаточности единственного прохода вайпингом.

Читать «Мифы и легенды высоких технологий» далее

Posted on

Проблема одна — итоги разные

(Март 2007)

whitehat-hackers

В отличие от хакеров криминальных, осмысленно совершающих уголовно наказуемые деяния ради личного обогащения, существенно иной класс хакеров обычных состоит из вполне порядочных людей, занимающихся проблемами компьютерной безопасности по роду профессиональной деятельности и/или по зову сердца.

Но сколь бы разными ни были эти классы, все хакеры, как правило, знают о своем предмете несколько (или сильно) больше, чем остальные. А это многих крайне раздражает, особенно крупные корпорации, чья безопасность оказывается то и дело скомпрометирована каким-нибудь очередным хакерским исследованием.

Два заметных события, только что (2007 г.) произошедшие в США и связанные с работой «хакеров в законе», сильно похожи по существу, однако принципиально различаются по итоговому результату. О причине такого отличия будет сказано в конце, а сначала — о сути происходящего.

Знаменитая конференция Black Hat, традиционно собирающая специалистов по компьютерной безопасности в конце лета в Лас-Вегасе, в последние годы получила специфическое весеннее ответвление — Black Hat Federal. Как можно понять уже по названию, данный форум ориентирован, главным образом, на ИТ-специалистов федеральных органов власти США и организуется, соответственно, в столичном округе Колумбия, в непосредственной близости от Вашингтона.

Но, несмотря на столь солидную «крышу», уже ставшие традиционными для Black Hat громкие скандалы вокруг разоблачительных докладов хакеров теперь добрались из невадской пустыни и до столицы. Несколько лет назад, напомним, в Лас-Вегасе сотрудниками ФБР был арестован россиянин Дмитрий Скляров, делавший доклад о слабостях защиты электронных книг Adobe. В 2005 году корпорация Cisco Systems приложила все силы, чтобы сорвать выступление Майкла Линна (Michael Lynn) о выявленных им уязвимостях в «непробиваемой», якобы, операционной системе IOS.

Теперь же, на Black Hat Federal 2007, те же самые неприятности — с вырыванием соответствующих страниц о докладе из каталога конференции и изъятием сопутствующего CD с презентацией — постигли Криса Пэйджета (Chris Paget). Вся вина Пэйджета и небольшой фирмы IOActive, где он возглавляет подразделение исследований и разработок, заключалась в намерении развернуто продемонстрировать значительные слабости в так называемых proximity-картах транснациональной компании-гиганта HID Global.

HID-clones

Читать «Проблема одна — итоги разные» далее

Posted on

Windows 10 как религия ИТ-деспотий

(Октябрь 2015)

Если смотреть на процесс разворачивания новой ОС от Microsoft не как обычно, а в несколько экзотическом ракурсе, то роль и место Windows 10 в истории человечества начинают выглядеть существенно иначе.

7-spying

Никто, наверное, не станет возражать, что операционная система Windows 10 занимает совершенно особое место среди продуктов Microsoft, выпускавшихся за весь период деятельности этой компании. Гигантской корпорации, подчеркнем, оказавшей сильнейшее влияние не только на приход в нашу жизнь персональных компьютеров, но и вообще на то, как ныне выглядит современное инфотехнологическое общество.

Новая же ОС от Microsoft не просто в корне поменяла традиционные формы распространения ПО, практиковавшиеся компанией на протяжении десятилетий. Windows 10, можно сказать, демонстрирует всем еще и своего рода новый индустриальный стандарт для того, что следует понимать под коммерческой моделью массового ИТ-потребления, носящей название «программное обеспечение как сервис».

Модель эту, естественно, придумали вовсе не в Microsoft, и многими игроками она так или иначе внедряется в глобальной компьютерной сети на протяжении целого ряда лет. Однако именно в Windows 10 оказались плотно сконцентрированы наиболее существенные особенности этой новации – от чисто технологических или экономических аспектов и вплоть до этических и общественно-политических.

А потому именно на примере Windows 10 общество может особо отчетливо увидеть, в какую сторону тут направлен общий вектор развития для человечества. Соответственно, есть возможность задуматься и задаться вопросами. А то ли это направление, куда нам хотелось бы двигаться? И можем ли мы тут что-то изменить?

Правильно поставленный вопрос, как известно, уже содержит в себе основную часть ответа. Но чтобы решать проблему, для начала желательно увидеть ее суть.

0-microsoft-way Читать «Windows 10 как религия ИТ-деспотий» далее

Posted on

Ключ от парадной двери

(Сентябрь 2015)

Странные и удивительные дела творятся ныне вокруг технологии сканирования отпечатков пальцев в смартфонах.

iphone-fingerprint-scanner

С одной стороны, грамотные специалисты по инфобезопасности отлично знают, что дактилоскопическая биометрия может быть легко подделана злоумышленниками. А защита компьютеров и данных с помощью сканера отпечатков пальцев – это скорее средство отпугивания случайных чужаков, нежели надежное средство контроля доступа. Причем все последние исследования дают массу новых подтверждений этим давно установленным фактам.

Глядя же с другой стороны, можно видеть, как именно сейчас в ускоренных темпах раскручиваются глобального масштаба инициативы по массовому внедрению мобильных платежных систем вроде Apple Pay, Android Pay или Samsung Pay. Систем, очевидно конкурирующих друг с другом, однако имеющих одну существенную общую черту. Все они непременно опираются на сканер отпечатка пальца, фигурирующий в качестве ключевой технологии защиты в основе смартфона как цифрового кошелька и базового инструмента для быстрых бесконтактных переводов денег.

Более того, в скандинавской стране Норвегии, устойчиво лидирующей в списках наиболее благополучных и технически передовых государств планеты, сразу несколько ведущих банков объявили в 2015 году о «революционных новациях» в своей работе. Теперь их клиенты могут загружаться в свои онлайновые банковские кабинеты не через традиционную процедуру авторизации, а гораздо проще – с собственного смартфона через сканер отпечатка пальца.

Если принять во внимание, что в этих банках для онлайновой работы с клиентами уже давно применяется достаточно надежная трехчленная процедура идентификации BankID (персональный ID-номер + секретный пароль + одноразовый код доступа, генерируемый компьютером), то нынешний поворот к упрощению проверки личности порождает у специалистов вполне естественные вопросы.

Понятно ведь, что в банках обычно работают опытные и компетентные люди, способные объективно оценивать преимущества и силу одних технологий по сравнению с другими. И если на замену одной форме защиты вводится существенно иная, в традиционных представлениях менее надежная, то это означает, скорее всего, что чего-то тут народу не договаривают.

Читать «Ключ от парадной двери» далее

Posted on

Сеть на колесах

(Март 2010)

Современный автомобиль методично и неуклонно превращается в самодвижущуюся локальную сеть со множеством точек доступа. Естественным следствием чего становятся и новые угрозы безопасности.

digicar

Компания Ford Motor в этом (2010) году выпустит на рынок свои первые машины со встроенной беспроводной сетью WiFi — в качестве элемента фирменной технологии Sync. И в связи с этим обещает, что попутно автомобили станут оснащаться существенно улучшенной системой безопасности для предотвращения потерь данных и компрометации бортовой компьютерной системы через сетевые возможности новых машин.

Технология сервисов Sync [http://www.fordvehicles.com/innovation/sync/] разработана корпорацией Ford совместно с Microsoft и начиная с 2008 года встраивается в большинство моделей Ford, Lincoln и Mercury. Точнее, в качестве стандартной опции этот сервис встроен в наиболее дорогие модели, а для машин подешевле предлагается в качестве дополнительной услуги за ежемесячную абонентскую плату.

Что же касается функциональных возможностей технологии, то среди базовых удобств называются такие: легкое спаривание мобильного телефона с автомобильной электроникой; жесткий диск для цифрового медиаплеера (с DRM-шифруемым контентом для предотвращения бесконтрольного обмена дисками между машинами); защитная опция (valet-mode) для систем навигации, запирающая от посторонних глаз все заранее запрограммированные пункты назначения; противоугонная система блокирования двигателя и возможности бесключевого отпирания-запирания машины.

Читать «Сеть на колесах» далее