Архив рубрики: IMHO

>Zverdvd не работает ssl

>

Именно по такому поисковому запросу на мой блог однажды пришел некто из интернета. Для тех, кто (ну, вдруг) не в курсе, поясню:

  • Zverdvd это пиратская самопальная сборка Windows с набором пиратских же приложений на нем. Посреди пиратских приложений в таких сборках частенько мелькают различные зловредные куски – трояны и иже с ними.
  • SSL это такая специальная технология, призванная помочь пользователю сохранить свои данные в секрете и не только. Насколько хорошо эта технология работает – вопрос другой, но тем не менее.

После того, как сопоставишь эти два настолько вот наглядно, остается только один вопрос – а почему так мало народа ко мне приходит по таким запросам? Все-таки беречь данные у нас пользователь не любит. Может, и хранить особо нечего?

>Сервисы и халявщики.

>

Пришла вдруг в голову мысль: а ведь переходам к сервисам, облакам и прочим модным словам мы, возможно, обязаны халявщикам. Да-да, именно тем, кто ноет, что брать деньги за кучку байтов – неправильно. Ведь людям зарабатывать все равно как-то надо, поэтому и было придумано, скажем облако, чтобы брать деньги не за байты, а за услугу по предоставлению доступа к ним. Ведь как оно будет, возможно, в не столь отдаленном будущем: у пользователя есть железка, выданная ему абсолютно бесплатно или за чисто символическую плату (кто скажет, что это бред, пусть вспомнит iPhone: кое-где он продавался за 1 доллар, но при этом с совершенно жутким договором впридачу). В железке уже есть какой-то софт (производителя которого знают лишь гики навроде меня – никому не интересно, кто написал что-то там внутри – MS, Apple или “свободные каменщики”), который, по больщому счету предоставляет лишь доступ к облаку. При этом, как правило железка даже не имеет локального хранилища данных, так как везде предполагаются каналы, достаточные для доставки любого контента быстро и качественно (тоже далеко не фантастика уже) и наличие безлимитного тарифа. А вот тариф – это уже интересно:

1) Базовый позволяет, скажем, звонить, серфить и хранить гиг документов в облаке.

2) Понавороченнее, скажем, позволяет составлять и прослушивать один плейлист на 100 мелодий единовременно из некоего набора доступных. Захотел новую песню – удали из списка старую.

3) Еще один дает возможность построить уже три плейлиста по 300 песен…

4) Опция к тарифу дает возможность скачать и установить (ой… Локальных хранилищ-то нет… Тогда “проиграть из сети”) на приставку любую одну игру.

5) Очень крутой тариф позволяет еще и делиться с друзьями всем открытым в данный момент в своем облаке….

Ну и так далее. И все на помесячной оплате, что, на самом деле, в итоге, может оказаться дороже, чем купить один раз. А может и дешевле. Но всяко удобнее и обеспечит постоянный финансовый приток тем, кто контент создает. При этом пиратам останется очень немногое и достаточно сложное. Если говорить, скажем, о фильмах, то только экранки или снятие сигнала идушего с приставки на телефизор (или вообще сигнала идущего на экран внутри телевизора), потому что скачать из облака можно только пользуясь бесплатным девайсом с встроенным надежным хранилищем сертификата, девайс идет в комплекте с телевизором и обмен между ними так же закодирован. Да и проигрывать пиратское станет возможным только после взлома девайсотелевизора, что лишит пользователя к облачным ресурсам, как в случае с XBox, например.

В общем, господа пираты как бы загоняют нас всех железной рукой в облако. Пойдем?

>Vista UAC: почему не выключать.

>

Да-да, я все же решил наступить на любимую мозоль IT сообщества. Такого количества нареканий не вызывала на моей памяти ни одна особенность ОС. Эпитеты даются от "великолепный" "ублюдочный" до "выключить его к чертовой бабушке". Самое проблематичное, что объяснить, как это работает, и каким образом Вас защищает без погружения в пучины океана сложные для любого непрограммиста рассуждения почти невозможно. Зато "неудобства" видны сразу, потому что как только мы пытаемся запустить приложение, которое написано без учета UAC, устаревшее приложение, некачественно написанное приложение или произвести административное действие — вот оно — UAC тут как тут. Однако сегодня можно привести понятный всем пример. Хотя и не удержусь, чтобы не проехаться по "неудобствам"

Если говорить о программах, то здесь все ясно — на самом деле нужно обращаться в поддержку программы и требовать версию, которая поддерживает UAC. В некоторых случаях, конечно, придется терпеть, потому что замены нет и не будет. Но таких случаев не так чтобы много.

Что касается административных действий… Я, как системный администратор даже не работе не так часто встречаюсь с необходимостью оных. Несколько инструментов у меня запущены весь день, остальные запускаются не так чтобы часто. Потому мне лично UAC просто помогает: нет необходимости производить дополнительные манипуляции, чтобы запустить нужные утилиты под учетной записью администратора (да-да, я работаю под обычным пользователем) — да здравствует легко и удобно применяемый принцип наименьших привилегий!!! =)

Однако вернемся, наконец, к тому, с чего я начал: сегодня мы можем показать наглядно, как нас может защитить UAC. Собственно, мне даже показывать ничего не придется, достаточно привести ссылку на статью в PCWorld, которая описывает результаты некоего теста, проведенного вполне уважаемой организацией — AVTest.org.  В этом тесте вполне очевидно проявила себя состоятельность UAC (несмотря на то, что цель теста была совершенно иной — испытание anti rootkit средств). Мало того, что встать на Vista смогли только 6 руткитов из 30 (что, само по себе ни о чем не говорит — ну не выпустили пока достаточного количества руткитов для Vista — еще успеют), так эти шесть вредоносных комплексов еще и смогли быть установленными на Vista только после выключения UAC. Отсюда вывод — выключите UAC — снизите защиту. Думаю, что хоть теперь это достаточно очевидно =)

Если же кто-то заинтересуется непосредственно тем, которое из антизловредных программ лучше вправляется с руткитами — добро пожаловать для прочтения самого отчета.

>ИТ безопасность без компьютеров.

>

Сразу хотелось бы рассказать, о чем этот заголовок. Дело в том, что при словах "информационная безопасность" мы почему-то представляем себе серверную, компьютер, хакера, ищущего уязвимость в декомпилированном коде. В лучшем случае это злоумышленник с краденым ноутбуком. Никто не думает, как правило, о том, что информация существует во многих других формах, не только в компьютерном/цифровом виде.

Что я имею в виду? В данном конкретном случае все, что мы сообщаем о себе другим людям. Сообщаем добровольно, не задумываясь о ее безопасности просто потому, что уже привычно ассоциируем опасность с компьютерным миром. Например, паспортные данные в великом множестве разнообразнейших организаций. Вы можете возразить: милиция, мол, и прочие власти и так могут все мои данные получить и вряд ли кому-то отдадут их просто так (момент, возможно, спорный, но сейчас не об этом). Однако здесь мы упускаем тот факт, что ежедневно мы вовлечены в различные отношения не только с организациями и людьми, но и с различными коммерческими и прочими заведениями. Возьмем пример из жизни, который отнюдь не гипотетичен.

Представим себе, что Вы решили пойти в некий фитнес клуб "Супер-Пупер-Мега-Вселенная-Фитнеса". Пришли, оформили договор и стали ходить. Одна незадача: так как в клубе большой наплыв посетителей, то клубную карту Вам пообещали выдать через пару недель, а пока Вы ходите в клуб и получаете ключи от раздевалки под залог Вашего договора. Вроде бы и ничего страшного, хотя отдавать свой документ как-то не очень хочется. Только вот спустя неделю после тренировки Вы обнаруживаете, что Вам выдали чужой договор. А Ваш, вообще говоря, выдали другому совершенно незнакомому Вам человеку. А в договоре все Ваши паспортные данные, телефон, адрес, возможно даже место работы (если Вы были настолько неосторожны, что написали его) и телефоны — мобильный, рабочий и прочее…

Конечно же, совершенно не обязательно, что человек, которому выдали по ошибке Ваши документы — злоумышленник. Вовсе необязательно, что он сможет и захочет что-то с этим сделать. Однако это только один пример, который я наблюдал. А все может быть и совершенно по-другому. И суть, конечно, не в том, что нужно никому ничего не давать.

Суть в том, что опасность раскрытия конфиденциальной информации не всегда происходит от компьютера. Мы живем, распространяя информацию и не имея над ней дальнейшего контроля, поэтому нужно стараться сводить этот "выхлоп" к минимуму и ограничивать информацию, выдаваемую организациям, не имеющим внятной политики конфиденциальности.

>UPD: MacOS будут ломать?

>Однако, вынужден поправиться: уязвимость оказалась не в OS и даже не в браузере. Она в Apple QuickTime. Так что этой уязвимости подвержены практически все браузеры, поддерживающие Java и с установленным QuickTime. Избавиться от этой уязвимости пока можно только отключением Java. Так что пример я выбрал неудачный, что однако не меняет моего отношения к моему видению проблемы.

Исходный пост: Alexander Trofimov: MacOS будут ломать?

>MacOS будут ломать?

>

www.SecurityFocus.com сообщила о том, что на конференции CanSecWest в Ванкувере (Канада) был за два часа взломан встроенный в MacOS браузер Safari. При этом сразу же после того, как был выпущен патч, устраняющий 25 уязвимостей. Кроме того, securityfocus говорит о том, что приз был слишком маленьким, чтобы привлечь большое число взломщиков: MacBook Pro приблизительно эквивалентен $3000, а действующая уязвимость может стоить от 5000 до 20000.

Правда, взломщикам, насколько я понял, не удалось получить права root – они получили только права пользователя, однако все это я пишу не чтобы позлорадствовать, а чтобы сказать еще раз: количество уязвимостей зависит не только от «качества» программистов или архитектуры ОС. Оно зависит еще и от популярности ОС. Чем выше популярность и, следовательно, стоимость данных, расположенных на компьютерах под управлением конкретной ОС, тем выше число интересующихся этими данными и активно занимающихся поиском уязвимостей.

Так что возрастание популярности MacOS (вот стану богатым и тоже куплю себе PowerBook =) ) может «выйти боком» пользователям этой, без преувеличения, великолепной платформы.