Хакинг и хакеры — Страница 4

9 мая, 20159 мая, 2015

Э-выборы в Эст-Индии

(Май 2014)

Как и все прочие компьютеры, электронные системы голосования в высшей степени уязвимы для хакерских атак. Поэтому вопрос доверия к таким системам пытаются переносить из сугубо технической области в сферы «национальной гордости»…

Казалось бы, что общего может быть между совсем небольшой – с населением менее полутора миллиона человек – балтийской республикой и огромной державой Азии с народонаселением в тысячу раз большим, достигшим уже порядка 1,3 миллиарда?

А общим между ними оказывается то, что Эстония и Индия – это на сегодняшний день две самые (по мнению их властей) «передовые на планете демократии» в деле электронного голосования.

Читать «Э-выборы в Эст-Индии» далее

12 апреля, 201516 апреля, 2015

Инженерия Науки

(Апрель 2014)

О том, что инакомыслящие — также известные как хакеры — крайне полезны в области укрепления инфобезопасности, наслышаны, наверное, все. А вот идея о том, что подобная категория людей жизненно необходима еще и для развития науки, пока что звучит довольно редко. (Текст весьма большой и разветвленный, предупреждение на всякий случай.)

= 1 =

В марте нынешнего (2014) года имели место два почти синхронных события – на первый взгляд, абсолютно никак друг с другом не связанных и примечательных просто сами по себе.

Но в действительности, как известно (т.е. о чем ныне в курсе уже практически все, кто не в танке), любые события этого мира так или иначе находятся между собой в тесных или не очень тесных, но взаимосвязях. Выявление же глубоких, однако пока что не очевидных связей, соответственно, позволяет обнаружить и некие скрытые до поры тенденции развития. А значит – более аккуратно прогнозировать будущее. Ну а кому не интересно, что ожидает нас в будущем?

Короче говоря, речь идет о таких двух событиях.

Читать «Инженерия Науки» далее

2 февраля, 20152 февраля, 2015

Слабость это сила

(Декабрь 2010)

Откровенно слабая криптография в автомобилях и телефонах – как повод для разговора о специфической ситуации с защитой информации.

Согласно статистическим данным, не так давно опубликованным немецкой страховой ассоциацией GDV, в 2009 году количество угонов автомобилей на территории Германии вновь начало возрастать. Этот факт выглядит особенно неприятным по той причине, что в течение 15 предыдущих лет цифры автоугонов по стране неуклонно снижались.

С другой стороны, перелом в тенденции никак нельзя считать неожиданным, поскольку темпы снижения числа угонов последние годы неуклонно падали. Так, если в 2006 число похищенных машин по сравнению с предыдущим годом снизилось больше чем на 20%, то в 2007 – уже на 13%, а в 2008 – всего на 2,2%.

Понятно, что за столь отчетливой динамикой должны стоять какие-то вполне конкретные причины. В итоговом отчете страховой индустрии предпочли этой темы не касаться, ограничившись лишь сухими калькуляциями потерь, согласно которым в ФРГ общая сумма выплаченных за угоны компенсаций в 2010 г. возросла на 15,9 процентов до суммы порядка 315 миллионов евро.

Если же говорить о специалистах по системам безопасности, то для них обозначившаяся картина с ростом автоугонов выглядит вполне объяснимой. А чтобы и для всех остальных эта картина стала понятнее, надо просто чуть повнимательнее присмотреться к нынешнему положению дел с противоугонными технологиями.

Читать «Слабость это сила» далее

23 января, 201523 января, 2015

UEFI как SNAFU

(Январь 2015)

Вольный перевод этих устоявшихся буквосочетаний на русский означает текущее состояние дел в одной конкретной области инфобезопасности: «С защитой BIOS в компьютерах ситуация нормальная – все профукано нафиг»…

В компьютерной индустрии – также как в армии и в спецслужбах – страсть как любят применять всевозможные аббревиатуры. Любовь эта нередко бьет через край, и людей слабонервных доводит до бешенства. Ну а другим постоянно дает поводы поупражняться в остроумии.

Когда, скажем, на рынке появилось очередное чудо инфотехнологий под названием PCMCIA, то кто-то с юмором тут же расшифровал это спотыкучее буквосочетание так: People Cannot Memorize Computer Industry Abbreviations, то есть «Люди не способны запоминать аббревиатуры компьютерной индустрии». Шутка явно удалась, так что вскоре для той же самой вещи нашлось имя получше – просто «PC Card».

Но в общем и целом, впрочем, тучи всевозможных аббревиатур здесь были, есть и наверняка будут оставаться впредь. Ибо они неотъемлемой частью входят в технический жаргон профессионалов, а значит, пока есть специалисты, живет и этот птичий язык сокращений. Куда, кстати, органично входят не только технические, но и «ситуационные», так сказать, общечеловеческие крылатые выражения. Типа знаменитого SNAFU.

Местом и датой рождения этого не очень приличного термина принято считать американскую армию в начале 1940-х годов. Когда страна еще не вступила в войну, а скучающие призывники-резервисты на одной из баз развлекались тем, что для стандартных 5-буквенных групп в шифрованной телеграфной переписке придумывали свою собственную «расшифровку». Типа того, что сочетание букв НПЯСК в шифртексте следует читать как «Наш Полковник Ярдли Сущий Козёл».

Аналогично, для группы вида SNAFU придумали расшифровку «Situation Normal All Fucked Up» (ситуация нормальная – всем п***ц). Примерно тогда же случился разгром флота США в Пёрл-Харборе, подходящее новое словечко стало само вертеться на языке, пошло гулять по вооруженным силам, затем попало в прессу, а оттуда и в общий лексикон…

На сегодняшний день у термина «snafu» имеется собственная позиция практически в любом словаре современного английского языка – в культурно завуалированном, так сказать, значении «неразбериха, путаница». Однако, применительно к конкретной ситуации вокруг защиты компьютерной подсистемы BIOS и ее сравнительно новой инкарнации под названием UEFI, слово SNAFU куда больше подходит в своем грубо первозданном, очищенном от окультуривания виде.

Читать «UEFI как SNAFU» далее

19 декабря, 201419 декабря, 2014

Авто-ISAC в мире иллюзий

(Декабрь 2014)

Среди гигантского количества новых слов и жаргонизмов, постоянно наполняющих наш лексикон с подачи инфотехнологий, время от времени бывает полезно выделить какое-нибудь одно – свежее и пока не затертое. И поразмышлять над тем, что же за вещи и процессы в нашем обществе оно, собственно, отражает.

Вот, скажем, в течение прошедшего 2014 года одним из новых терминов, все чаще мелькающих в ИТ-новостях, стало коротенькое слово ISAC – как сокращение от Information Sharing and Analysis Center, что по-русски означает «Центр анализа и обмена информацией».

Исходная суть этого буквосочетания выглядит совершенно замечательно. Перед лицом всяческих кибер-угроз, нарастающих со стороны разного рода злоумышленников, в деловом мире происходит консолидация. То есть остро конкурирующие, как правило, компании той или иной отрасли договариваются друг с другом, дабы объединиться для совместного отпора общим врагам.

И коллективными усилиями создают отраслевой ISAC – где все участвующие стороны совершенно добровольно предоставляют в общее пользование известные им образцы кибер-атак, а в итоге совместных анализов и обменов информацией будут отыскиваться средства противодействия всем новым угрозам.

Так, по крайней мере, замысел ISAC выглядит в теории. А на практике для воплощения этих идей в глобальном масштабе уже созданы или формируются подобного рода отраслевые Центры инфобезопасности в самых разных областях – от банковско-финансовой сферы и сетей розничной торговли до нефтепромышленного сектора и автомобильной индустрии.

И вот об одном из них, получившем название Auto-ISAC и относящемся, ясное дело, к миру производителей автомобилей, хотелось бы рассказать поподробнее. Во-первых, потому что для конечных потребителей их современная машина – это, фактически, мобильная сеть персональных компьютеров на колесах.

А, во-вторых, самое главное, тут особо отчетливо можно увидеть, сколь запредельно далеко теория компьютерной безопасности расходится с практикой и реалиями нашей жизни.

Читать «Авто-ISAC в мире иллюзий» далее

11 декабря, 201411 декабря, 2014

История одного преступления

(Май 2007)

Судьбе было угодно так, чтобы технология AACS, защищающая видеоконтент высокой четкости на дисках HD DVD и Blu-Ray, стала на сегодня главным символом противостояния между индустрией и потребителями.

Ибо индустрия уверена, что лишь владельцы прав на контент могут решать, как этим счастьем следует пользоваться. Потребители же, честно заплатившие за товар конкретные деньги, склонны считать, что могут распоряжаться купленной вещью так, как сочтут нужным.

В доводах каждой из сторон есть свои резоны, но когда потребителям приходится вскрывать защиту контента для того, чтобы просто посмотреть купленный фильм или сделать резервную копию, то далеко не очевидно, какую из сторон здесь следует считать пострадавшей.

Предсказания оракулов

Технология AACS родилась, как говаривали в старину, под несчастливой звездой. То, что ничего хорошего из этой затеи не выйдет и выйти не может в принципе, специалистам было ясно с самого начала.

Например, читатели журнала IEEE Spectrum, предназначенного для ИТ-профессионалов, еще в январе 2005 года — за несколько месяцев до публикации спецификаций AACS — общим голосованием выбрали эту технологию как наиболее вероятного кандидата на самый серьезный провал в индустрии ближайших лет.

Причин для столь категоричного пессимизма было множество, но самая главная — это бесславное фиаско всех предыдущих технологий подобного рода, пытающихся оградить от копирования файлы. Иными словами — то, что по самой природе своей создано именно для простого и удобного хранения / переноса / размножения информации.

Читать «История одного преступления» далее

9 октября, 20149 октября, 2014

Экстрасенсы от криптографии

(Октябрь 2014)

О чрезвычайно тонкой, практически неразличимой грани между искусством крипто-хакинга и паранормальными феноменами экстрасенсов (в народе именуемыми волшебством).

Обыкновенное чудо

Идеи о том, что современные достижения науки и техники для людей прошлого выглядели бы словно поразительные чудеса и волшебная магия, уже давно воспринимаются как затертый штамп. Но при этом, что любопытно, и на сегодняшний день хватает таких технологий, которые не только широкая публика, но даже и специалисты в большинстве своем воспринимают с сильнейшим недоверием – то ли это изощренный обман, то ли и впрямь нечто сверхъестественное…

Особенно отчетливо данный парадокс можно наблюдать в области компьютерного хакинга. И для наглядного примера тому достаточно упомянуть пару примечательных работ, вызвавших повышенное внимание хакерско-криптографического сообщества в последние месяцы – на конференциях в США и Южной Корее.

Читать «Экстрасенсы от криптографии» далее

12 сентября, 201413 августа, 2021

Мужчины с ошеломительным оснащением

Фрагмент книги «Гигабайты власти» (2004) с компиляцией материалов 1999-2002 годов, посвященных теме TEMPEST

В безбрежном море научно‑исследовательских публикаций, посвященных технологиям связи и компьютерной обработки информации, время от времени появляются любопытные статьи, существенно раздвигающие представления общества о шпионских возможностях современной техники.

Нельзя сказать, что происходит это часто, но вот в начале 2002 г., к примеру, в Интернете были опубликованы сразу две новые работы, в которых эффектно продемонстрированы неизвестные прежде методы дистанционного съема информации с экранов мониторов и другого компьютерного оборудования.

Читать «Мужчины с ошеломительным оснащением» далее

2 сентября, 20142 сентября, 2014

Чума на ваши USB

(Август 2014)

Очередное открытие хакерского сообщества — угроза под названием BadUSB — совсем не случайно своим именем напоминает о BadBIOS. Природа у этих напастей, по существу, одна и та же.

По давней хакерской традиции на месяц август приходится один из главных ежегодных форумов этого сообщества — конференция Black Hat / Def Con в Лас-Вегасе, США. Среди множества докладов, как это повелось, непременно находятся и такие, о которых СМИ шумят особенно сильно — причем в данном случае практически всегда шум идет по делу, а не ради дешевой сенсационности.

В этом году еще за неделю до начала Black Hat USA особый резонанс в Интернете и компьютерной прессе получил анонс доклада под названием «BadUSB — об аксессуарах, обратившихся во зло». Авторами исследования являются германские хакеры Карстен Ноль и Якоб Лелль (Karsten Nohl, Jakob Lell) из берлинской фирмы инфобезопасности Security Research Labs.

Если в двух словах, то авторы работы тотально скомпрометировали повсеместно распространенную технологию USB — продемонстрировав такой самовоспроизводящийся вирус, который распространяется по каналам USB, невидим для стандартных средств антивирусной защиты, а самое главное, для которого сегодня в принципе нет эффективных средств борьбы и уничтожения.

Читать «Чума на ваши USB» далее

28 августа, 201428 августа, 2014

«Никто кроме нас»

(Август 2014)

Продукция корпорации Apple продолжает оставаться особенной во всем — и в элегантном дизайне, и в удобствах для пользователей, и в специфических хитростях, ослабляющих защиту их информации. Не успел затихнуть громкий скандал вокруг «ошибки кода #gotofail«, как в iOS обнаружился еще целый букет закладок-бэкдоров.

Ныне всем уже, наверное, известно, сколь сложной и практически невыполнимой задачей является надежная защита информации в компьютере. Невыполнимой по той, в первую очередь, причине, что в эпоху «после Сноудена» доверие к любым коммерческим средствам инфобезопасности оказалось подорвано в самом корне. На фундаментальной, можно сказать, основе.

Ну какое тут, в самом деле, может быть доверие, когда документально и достоверно стало известно, что любые средства инфобезопасности, имеющиеся на рынке, абсолютно целенаправленно и на постоянной основе искусственно ослабляются. Причем зачастую делают это сами же изготовители – дабы облегчать доступ к данным для тех, «кому надо». То есть для могущественных инстанций, представляющих закон и государство.

Конечно же, в обществе по сию пору идут горячие дебаты относительно того, где именно должна проходить грань между «законным» доступом к данным (строго по предписанию суда) и «незаконным» шпионажем (когда просто берут все, до чего могут дотянуться). Но как бы там ни было, умышленное и тотальное ослабление средств инфозащиты – это очевидный и неоспоримый факт.

Ну а поскольку прямо и честно в таких вещах признаваться не принято, всегда интересно разбираться, как именно подобного рода трюки с ослаблением безопасности и криптографии происходят в каждом конкретном случае. Особенно, когда речь идет о какой-нибудь супер-успешной и знаменитой ИТ-компании. Типа, скажем, корпорации Apple…

Читать ««Никто кроме нас»» далее