dxdt.ru: занимательный интернет-журнал

Потихоньку развиваю nox.su (это иллюстрация использования DNSSEC, которую я планирую показывать на семинарах по теме): дополнил описание, поменял ключи (теперь два ZSK, как положено), опубликовал файлы зон (исходный и с подписями). Как и раньше, все доступно на сайте.

Addon: вообще, как и ожидалось, по сравнению с поддержкой обычной доменной зоны, поддержка DNSSEC значительно сложнее. Более того, если говорить о корпоративном рынке, о рынке сопровождения веб-проектов, то DNSSEC сильно увеличивает шансы передачи поддержки DNS “на сторону”, к тем, кто будет предоставлять подобную услугу профессионально. И сейчас-то поддержка доменных зон довольно экзотическая вещь, с кучей малоизвестных тонкостей, которые готовы породить большие проблемы. А DNSSEC поднимает планку примерно на порядок.

Помните известную идею про “незапертую консоль”? То есть, оставленный без присмотра компьютер, на котором только что был выполнен логин добросовестным пользователем – и теперь система доступна проходившему мимо злодею? Вот в DARPA озаботились постройкой инструмента, позволяющего непрерывно мониторить, кто там за компьютером работает: тот же человек, у которого есть соответствующий доступ, или уже другой человек.

Для решения задачи предлагается вычислять некую поведенческую (“когнитивную”, как вариант названия) сигнатуру. Без использования специальной аппаратуры, на первом этапе. Сигнатуру можно строить, основываясь, например, на наблюдении за вот такими характеристиками использования компьютера:

• работа с клавиатурой, мышью;
• движение взгляда по экрану (скорость, способ чтения);
• методика поиска информации (ключевые слова, построение запроса);
• методика отбора информации (выделение слов, терминов и так далее);
• структура методов коммуникации (электронная почта, всякие IM).

Ну и, очевидно, придумают ещё всяких признаков.

На основе анализа перечисленных особенностей определяется индивидуальная сигнатура пользователя, которую в DARPA называют биометрической. Анализ может проводить ПО, установленное на компьютере локально. Ну а сама сигнатура служит для аутентификации. Одно из применений – дополнение к паролям, используемым при входе в систему.

Ни чуть не менее интересна такая технология системам контекстной рекламы и банкам – для определения ботов, занимающихся всякого вида “фродом” (злонамеренной имитацией деятельности реальных пользователей с целью незаконного вывода денежных средств).

Кстати, данная технология является разновидностью давней идеи об обнаружении “офлайновых событий” с помощью удалённого анализа статистики использования компьютерной техники, я писал об этом некоторое время назад.

Понятно, что есть куча других, не менее интересных, практических направлений использования столь замечательной технологии, если она будет создана. Пока что DARPA публикует только сообщение о том, что такие разработки требуются агентству. Исходный документ с описанием задачи – доступен на сайте FBO.

Интересно придумать побочные каналы передачи информации, которые могут уже по причине своей “побочности” служить хорошей основой для стеганографии, сокрытия самого факта передачи информации. Речь о сценарии, когда кто-то (пусть это будет персонаж шпионского романа), находящийся, допустим, под наблюдением, скрытно передаёт данные третьей стороне.

Вообще, всякие наводки/излучения, с которыми борются, защищая информацию, годятся для организации подобного скрытого канала. Просто достаточно естественную наводку не блокировать. Скажем, годится сеть электропитания компьютера: в таком случае принимающая сторона ставит “прослушивающее” оборудование на линию, а тот, кто информацию передаёт, просто просматривает определённые файлы на своём компьютере – всё как обычно. Понятно, что есть куча сходных ЭМ-вариантов: сигнал, транслируемый монитором; наводки от принтера и так далее.

Есть в меру литературная идея с “передатчиком”, модулирующим свет лампы освещения в квартире: специальная лампа незаметно мерцает, мерцание представляет собой шумоподобный сигнал, передающий информацию; принимается утечка с помощью небольшого телескопа, который установлен в припаркованном на улице автомобиле. Проблема тут одна: слишком медленный канал получается, так как лампы освещения – это не лазерные стробоскопы.

Едва ли не идеальное решение – Wi-Fi. Источник достаточно мощный, частота высокая. Можно намеренно поставить жучок в точку доступа. Жучок подмешивает в сигнал “дополнительную нагрузку” – то есть, организует спланированную утечку, работающую без всякого вмешательства пользователя, который, как обычно, просто работает с документами на своём компьютере.

Наверняка, есть ещё немало занятных идей.

Есть большой комплекс технологических проблем, связанных с прослушиванием спецслужбами чужих подводных кабелей. Чрезвычайно сложно уже только установить оборудование для прослушивания: водолазам нужно работать на большой глубине, да ещё, возможно, в чужих территориальных водах, куда требуется скрытно прибыть и так далее. Для решения подобных задач используют специальные подводные аппараты, в том числе, большие подводные лодки. Интересно, что после того, как оборудование на кабель установили, возникает ещё одна большая проблема: как получать копируемую системой прослушивания информацию? То есть, а как, собственно, организовать утечку? (Кстати, по определению, утечка информации имеет место только в том случае, если информация попала к атакующей кабель стороне; само наличие постороннего оборудования утечку не создаёт.)

Транслировать под водой сигналы чрезвычайно сложно. Можно, конечно, вести запись, и периодически приходить, менять кассеты силами тех же пловцов. Но время реакции выходит слишком большим: многие перехваченные сведения успеют полностью потерять свою ценность. Секретные сведения, имеющие, так сказать, стратегическое значение на длительном отрезке времени, вообще не обязательно передаются по подобным кабелям: есть же и другие средства связи. Так что отсутствие оперативной доставки информации сильно снижает привлекательность рискованной операции по установке подводного оборудования. Идеальным решением был бы ещё один кабель, протянутый прямо в центр сбора и обработки. Но кто ж подпишется под такой тривиальной схемой, выдающей установщика оборудования с головой?

Поэтому используются решения с промежуточным звеном, которое соединяет, – пусть и при помощи длинного оптоволоконного кабеля, – аппаратуру съёма информации с аппаратурой ретранслятора. Ретранслятор размещается где-то в международных водах и может представлять собой небольшой буй, передающий в эфир “ненаправленный” сигнал, не выдающий явно сторону, прослушивающую кабель. А может, есть какие-то другие варианты, более изящные?

Продолжим тему восстановления недоуничтоженных шредером документов. В комментариях к прошлой записке jno подтверждает, что восстановить простую “лапшу” – возможно. Напомню, что “лапша” – это вариант, в котором шредер разрезает лист на множество одинаковых узких полос, в одном из направлений, например, вдоль. Вообще, почему-то часто в ответ на вопрос о том, сколько вариантов потребуется перебрать для восстановления документа, разрезанного на n аккуратных полосок, приходится слышать о числе n! – очень много, да. Естественно, если бы это было так на практике, то для уверенного уничтожения оказалось бы достаточно резать листы вдоль на, скажем, 29 полосок (любой ширины, заметьте!). К счастью исследователей мусора, всё обстоит иначе, и факториал, задающий верхний предел для перестановок полосок, тут не играет решающей роли.

Из-за того, что в исходном документе содержится некоторая дополнительная структура, для восстановления не нужно перебирать все варианты перестановок. Так, если вы можете точно определить, что две данные полоски были (или не были) соседними (даже без выяснения правый или левый “сосед” обнаружился), то сложность восстановления всего документа из “лапши” не превысит n². Занятно, что восстановление чистого белого листа оказывается более проблематичным, чем листа с текстом. Если, конечно, предполагать, что в качестве опорной структуры используется начертание букв и строк текста (или некий рисунок). С другой стороны, зачем восстанавливать чистый лист?

Полезную информацию могут нести и сведения о том, как именно шредер режет бумагу. Кроме простой “лапши” есть набор других методов: например, полоски могут разрезаться на множество кусков в поперечном направлении. Если все шаги резаков задаются равными интервалами, то документ оказывается преобразован в некоторую “матрицу”, размеры изображений-элементов в которой равны. И этот вариант самый лучший. Потому что если шредер режет лист в куски произвольных (нерегулярных) размеров, то собрать их может оказаться проще: размеры и форма исходного листа известны, так что появляется дополнительная информация о возможном расположении каждого из найденных фрагментов. (В случае с регулярной сеткой – все фрагменты, с точки зрения только расположения, взаимозаменяемы, это понятно.)

И, конечно, можно устроить шредер так, что восстановить документ будет невозможно: достаточно измельчать бумагу в труху, пусть и механическим способом.

Занятное состязание DARPA провело осенью прошлого года: участникам предлагалось восстановить информацию, содержащуюся в порезанных шредером записках (и зарисовках), сделанных от руки. То есть, основная идея там в том, чтобы показать, что при помощи современных информационных технологий и, связанных с ними, методов совместной работы, можно восстановить сведения из “уничтоженных” документов. Очевидно, шредер – один из типичных инструментов уничтожения бумаг. Как обычно, условия соревнования изящны: предлагалось не просто прочитать исходный текст, а решить некоторые задачи, использовав информацию из восстановленного документа в качестве исходных данных. Например, требовалось определить географическое положение места, описанного в документе, и так далее.

Состязание началось 27 октября, а ответы на все пять головоломок от команды-победителя были получены 2 декабря. Недолго, если учитывать, что как минимум две задачи выглядят довольно сложными из-за тщательности “уничтожения” исходного документа. В общем, очередной раз подтвердился хорошо известный факт: для уничтожения бумажного документа – его нужно дотла сжигать в камине (ну или в особой бочке, ага). Да. И тщательно измельчать образовавшийся пепел.

Подробности и исходные задачи – на специальном сайте.

Спустя примерно месяц, я вновь собрал SSL-сертификаты с серверов, на которые указывают домены .ru. Методика описана в прошлой записке по этой теме. Кратко повторю основные моменты: на первом этапе делается попытка определить адрес сервера (A-запись) для каждого из делегированных доменов (учитывая www.) в зоне .ru; из найденных серверов с уникальными IP выбираются те, у которых открыт 443-й порт (https); на заключительном этапе каждый из отобранных серверов опрашиваются на предмет SSL-сертификатов путём открытия https-сессии; собранные сертификаты разбираются при помощи OpenSSL.

В результатах “много цифр”, поэтому прячу под “Читать полностью”.

Читать полностью

Очень удобно, когда имя сети Wi-Fi (SSID) говорит само за себя, то есть, содержит прямое указание на “административную” принадлежность: avtosalon-gorod, bank-takoyto, cafe-apelsin. У удобства есть обратная сторона: всякие современные мобильные устройства, поддерживающие Wi-Fi, пытаясь найти знакомую точку доступа, передают в эфир имена сетей, к которым они раньше подключались.

То есть, наблюдая при помощи доступного “снифера” пакеты, отправляемые в эфир, можно легко определить, где бывает обладатель того или иного мобильного устройства (коммуникатора, планшета, ноутбука). Ну хорошо, точнее: где он подключается к Wi-Fi. А для особо активных устройств, “анонсирующих” множество известных им сетей, можно проделать обратную операцию – “угадать” владельца устройства, используя некоторую дополнительную информацию.

(Кроме того, список известных устройству сетей, очевидно, годится для того, чтобы это устройство заманить в специально подготовленную сеть.)

Записка про DNSSEC в реальности Интернета получила хорошее продолжение.

Благодаря поддержке RU-CENTER, – персональное спасибо Павлу Ильичеву, – содействию ФРИ (Фонд Развития Интернет – администратор домена SU) и ТЦИ (Технический Центр Интернет – оператор реестра), домен nox.su, который я привожу в пример в прошлой записке по теме, подписан по всем правилам. Cоответствующая DS-запись внесена в зону .su без проблем. (Для того, чтобы посмотреть на результат, можно воспользоваться всё тем же инструментом от VeriSign.)

Так что технология DNSSEC в домене с особым статусом SU начала разворачиваться на практике. Это хорошо. Насколько я понимаю, nox.su стал первым подписанным доменом второго уровня в .su. Зато теперь не нужно перебираться в .org с экспериментами: .su, при всех особенностях, вполне себе российский домен.