Коллектив Авторов - Цифровой журнал «Компьютерра» № 220 Страница 12

Вот почему зафиксированные сигналы спасатели скромно называют «акустическим событием» и настаивают, что считать их доказательством обнаружения чёрных ящиков пока нельзя.

Всё это сильно замедляет поиски. Корабли, прочёсывающие сейчас оконечность южной дуги, спускают под воду «электронное ухо» (Towed Pinger Locator) и тянут его на тросе на высоте в километр от дна и значительном удалении от себя; при этом сам корабль идёт семимильным зигзагом со скоростью пешехода, покрывая за день менее 200 квадратных километров. Такими темпами поиски могут растянуться на месяцы и даже годы. Но хуже того: гидроакустический маяк работает от батареи, имеющей лишь месячный ресурс (плюс пять суток в данном конкретном случае, если верить производителю). Таким образом, уже к концу этой недели чёрные ящики MH370 замолчат. После чего придётся исследовать дно сонаром — и молиться, чтобы обломки самолёта оказались достаточно крупными.

Примечательно, что вопрос, нужен ли гражданской авиации чёрный ящик, транслирующий «системную» информацию с борта в реальном времени (вспомните «Технологии вчерашнего дня»), более не считается теоретическим. Поиски MH370 уже стали самыми дорогими за всю историю авиакатастроф: в них участвовали или участвуют 26 стран (Россия тоже, как минимум через спутник «Ресурс-П»), истрачено около $50 млн (и это оптимистичная оценка, не учитывающая косвенных расходов), а в перспективе сумма может вырасти до сотен миллионов. И не забывайте о мучениях, которым подверглись родственники пропавших пассажиров: представьте, что чувствуют они после месяца ожиданий и регулярно обманываемых надежд!

Так что Международная ассоциация воздушного транспорта (IATA) уже создала рабочую группу (а Малайзия собирается создать аналогичную при ООН) для претворения давно витающей в воздухе идеи в жизнь. Можно полагать, что уже к исходу десятилетия каждый гражданский авиалайнер будет оснащён оборудованием, позволяющим наблюдателям на земле точно знать о текущем местоположении и состоянии всех бортовых систем.

Плохо, что времени на поиск чёрных ящиков почти не осталось. Когда батареи пингеров иссякнут, в ход пойдёт теория вероятностей: все версии катастрофы будут совмещены на одной «вероятностной» карте — и поиски, сосредоточившись в наиболее «горячих» районах, перейдут в долгосрочную фазу. Самописцы в конце концов отыщут: как минимум Малайзия, Китай и Австралия не намерены прекращать поисковые работы. Но до тех пор нам остаётся только гадать, что же случилось на борту.

Окончательно не отвергнута ни террористическая версия (иранцы с чужими паспортами), ни пожар — после которого все, включая пилотов, потеряли сознание и самолёт оказался предоставлен сам себе. Кстати, предположение о пожаре позволяет задуматься и о следующем витке эволюции авиационных технологий: управляй MH370 робот, катастрофы, возможно, удалось бы избежать.

К оглавлению

Ошибка в пакете OpenSSL поставила под удар 2/3 серверов

Андрей Васильков

Опубликовано 08 апреля 2014

Седьмого апреля вышел бюллетень по безопасности CVE-2014—0160, из которого стало известно о длительном существовании критической уязвимости в криптографическом пакете OpenSSL.

Обнаружилось, что алгоритмы реализации протоколов TLS и SSL в большинстве используемых сегодня версий OpenSSL некорректно обрабатывают пакеты расширения Heartbeat (из-за чего ошибка получила название HeartBleed). Это позволяет злоумышленникам получить удалённый доступ к конфиденциальной информации из оперативной памяти активного сетевого процесса за пределами буфера.

Удивительно, но критическую уязвимость не замечали на протяжении двух лет. Ей подвержены все версии OpenSSL от 1.0.1 до 1.0.1f включительно, а также 1.0.2-beta1. 

В результате допущенной ошибки в них   Уязвимые версии криптографического пакета OpenSSL с марта 2012 года входят в состав многих дистрибутивов ОС семейства BSD и практически всех ОС Linux ветвей Debian, RedHat и Slackware.не проверяется фактическая длина в записи SSLv3. Это позволяет прочитать без авторизации до 64 Кбайт из оперативной памяти процесса на подключённом клиенте или сервере за каждое обращение. Во многих случаях этого оказывается достаточно для получения ключей, паролей или других секретных данных.

В первую очередь ошибка затрагивает серверы Apache, nginx, проект Tor (через веб-сервер https://www.torproject.org), а также многие веб-сайты, использующие протокол HTTPS, даже если доступ к ним осуществляется по VPN.

По данным W3Techs, под управлением Apache сегодня работают 60,7% всех сайтов интернета. Написанный Игорем Сысоевым HTTP и почтовый сервер nginx обслуживает около 18% популярных российских сайтов, включая «Яндекс», Mail.Ru, «Рамблер» и «ВКонтакте».

По оценке издания ArsTechnica, критическая уязвимость в OpenSSL   Особенно важен тот факт, что атака с использованием данной уязвимости не оставляет никаких следов в логах сервера, поэтому не существует способа достоверно узнать, воспользовался ли кто-то   Уязвимость в OpenSSL была обнаружена экспертами из фирмы Codenomicon в начале апреля. Факт её существования подтверждён независимым исследованием исходного кода библиотеки ssl/d1_both.c, проведённым группой под руководством специалиста по вопросам безопасности компании Google Нила Мехты (Neel Mehta).затронула в общей сложности более двух третей сайтов в мире. «Возможно, нам следует выкинуть наш SSL-сертификат и получить новый», — пишут в блоге проекта Tor. этой ошибкой.

«Ради проверки мы решили взломать сами себя, — рассказывает Мехта. — Мы смогли получить секретные ключи, используемые для сертификатов X.509, имена пользователей и их пароли, перехватить мгновенные сообщения и электронные письма, прочесть критически важные для бизнеса документы».

Патч для OpenSSL был выпущен Ником Салливаном (Nick Sullivan) — системным программистом компании CloudFlare. Ему помогали программист Google Адам Лэнгли (Adam Langley) и советник по безопасности The OpenSSL Project Бодо Мюллер (Bodo Moeller).

Наиболее важная часть исправлений коснулась добавления проверки длины полезной нагрузки.

/* Read type and payload length first */ if (1 + 2 + 16 > s->s3->rrec.length) return 0; /* silently discard */

Они же придержали опубликование официального бюллетеня с описанием ошибки до её исправления. Однако по результатам своих исследований группа Мехта вынесла крайне неутешительный прогноз: поскольку уязвимость существовала давно и факты о её эксплуатации получить невозможно, её уже могут скрыто использовать для получения несанкционированного доступа и создания других обходных путей на будущее. Поэтому, считают эксперты Google, проблема НСД останется актуальной даже после установки патча.

Пока в бюллетене и распространённых информационных сообщениях официально советуют предпринять следующие шаги:

установить исправленную версию OpenSSL 1.0.1g или 1.0.2-beta2 либо перекомпилировать пакет OpenSSL с ключом OPENSSL_NO_HEARTBEATS;

перевыпустить SSL-сертификат;

использовать приманки (honeypot), имитирующие наличие серверов с уязвимым пакетом OpenSSL, и проверять подключения к ним.

К оглавлению

Уроки «кубинского Твиттера»: кто на самом деле стоит за Facebook, Google, другими ИТ-гигантами?

Евгений Золотов

Опубликовано 07 апреля 2014

Я скептически отношусь к разделяемой многими конспирологической теории о «правительственном следе в родословной ИТ-гигантов». Подозревать Facebook или Google в том, что они появились на свет как тайный проект американских спецслужб для глобальной слежки, подозревать в том же, но с китайской стороны, Huawei Technologies кажется мне не столько глупым, сколько бесполезным. Какой прок от таких рассуждений, что практически полезного можно из них вынести? Разве что потешить самолюбие. Граничащее же с паранойей любопытство способно завести ой как далеко — и совсем недавно все желающие могли убедиться в этом на примере уже упомянутой Huawei: какие-токак оказалось, пытаясь найти хоть доказательства вины, американские «партнёры» сами прибегали к грязным методам шпионажа.