dxdt.ru: занимательный интернет-журнал

На сервисе ТЦИ audit.statdom.ru добавлена проверка поддержки криптосистемы X25519Kyber768 на TLS-узлах (HTTPS).

Официальные сопроводительные документы, касающиеся запрета продуктов “Лаборатории Касперского” в Штатах, уже доступны (на странице по ссылке – блок внизу, справа). Однако все моменты, которые могли бы оказаться минимально интересными с технической точки зрения (Appendix A) – аккуратно вырезаны (с пометкой “Business Confidential Information”). Поэтому ничего содержательно нового там всё равно не просматривается, но тенденция – показательная.

(Дополнение: о чём-то, типа предполагаемой “сборки из исходников”, можно догадаться по контексту, но, всё же, это было и так понятно.)

На сайте журнала “Интернет изнутри” доступен свежий номер в формате PDF. Отдельно порекомендую статью «Квантовые коммуникации: “пик хайпа” или “плато продуктивности” с точки зрения дилетанта» (с. 31) и, конечно, исключительный рассказ из первых рук про историю РосНИИРОС и домена RU (с. 59).

Утечки по побочным каналам (ПЭМИН) в видеокамерах смартфонов, веб-камерах и в прочих цифровых камерах, вызванные работой интерфейса передачи данных от приёмной матрицы. Не то чтобы это было неожиданностью: канал известен, для компьютерных мониторов аналогичный канал является типовым при оценке защищённости помещений и рабочих мест с ПК. Однако тут исследователи пишут об успешном приёме и декодировании утечки видеосигнала, – иногда, на расстоянии в несколько метров, – с использованием самого рядового оборудования: ноутбука и недорогого SDR-приёмника. Есть сайт EM Eye с подробным описанием и примерами кода, а также исходная публикация.

Методы защиты всё те же: шумогенератор, экранирование, ну и переход на не столь “прозрачные” протоколы передачи данных – тут эффективно внесение псевдослучайного “шума” на уровне кодирования прямо в аппаратный интерфейс.

(via)

В журнале “Интернет изнутри” опубликована моя статья “Постквантовая криптография и практика TLS в браузерах”. Статья, в основном, про то, как “квантовые вычисления” связаны с теоретико-информационной криптографией, и как это влияет на TLS в архитектурном смысле, но также рассмотрен свежий пример с Kyber768 в браузере Chrome.

Цитата:

“Квантовые вычисления в философском смысле – это попытка получить доступ на самом низком, самом прямом и «железячном» уровне к центральному «процессору» (ЦПУ) вселенных, то есть, к необозримому «чипу», на котором, возможно, окружающая действительность исполняется в режиме виртуализации. Это неплохо соответствует фольклорной интерпретации термина «квантовый» в отношении компьютера: элементы полупроводниковых чипов, находящихся внутри этого ящика, становились всё меньше и меньше, и вот, за гонкой нанометровых технологий, ситуация проваливается в квантовые элементы – получите квантовый компьютер. И действительно, пусть сам предполагаемый принцип квантовых вычислений не имеет ничего общего с уменьшением линейных размеров полупроводниковых вентилей и законами Мура, попытки физической реализации квантовых вычислителей уже сейчас подразумевают управление отдельными атомами. Если квантовый компьютер сделать не получится, эти наработки наверняка пригодятся для дальнейшей миниатюризации компьютеров классических. Что же касается теоретико-информационной криптографии, то она, похоже, выигрывает и тут.”

Касательно свежей истории с обнаружением закладки/бэкдора (CVE-2024-3094) в пакете xz (liblzma), которая на системах с systemd/glibc, потенциально, протягивалась в sshd: понятно, что такого может быть ещё много в уже массово используемых библиотеках, но всё равно это весьма неплохая и практическая демонстрация того, что подобное удаётся быстро обнаружить силами сообщества. По этой теме я не так давно писал, что, во-первых, добавление закладок и прочего вредоносного кода – это совсем не какая-то особенность Open Source; во-вторых – доступность исходников связана с возможностями по добавлению и обнаружению вредоносного кода, но вовсе не так прямо, как часто говорят и пишут.

В конце 2022 года я добавил в DNS для dxdt.ru HTTPS-запись, которая тогда была описана в черновике RFC. В ноябре 2023 года черновик стал RFC 9460, где определяется способ публикации в DNS дополнительной информации о параметрах подключения к сервисам, связанным с данным именем. Например, это могут быть параметры для TLS/HTTPS, в том числе, ключи (см. ECH). Особенность использования DNS тут в том, что параметры можно получить до подключения, это, в свою очередь, позволяет устанавливать скрытые подключения.

В LibreSSL версии 3.9.0 полностью удалена поддержка криптосистем ГОСТ (шифр, подпись и хеш-функция) – код убрали из состава компилируемых модулей. В соответствующем комментарии сказано, что причина в низком качестве имеющегося кода, который, к тому же, мешает коду в других модулях, и что разработчики не против поддержки ГОСТ-криптосистем пакетом LibreSSL, но этот код должен быть качественным и у него должен быть мейнтейнер.

Пишут, что использование десятичной точки “отмечено на 150 лет раньше, чем считалось ранее” (то есть, между 1441 и 1450 годами). Кое-где новость даже пересказывают так, что это “десятичные дроби были открыты на 150 лет раньше” – хотя, казалось бы, какое отношение десятичная точка в записи имеет к обыкновенным дробям (а там, всё же, даже не про дедекиндовы сечения речь) или, предположим, к использованию отношений натуральных чисел в Древнем Египте?

Занятно, что более древняя шумерская система записи чисел вообще использовала “плавающую точку”, почти что как в современных компьютерных представлениях, вплоть до того, что интерпретация ещё более размыта. Но, естественно, речь в исходном сообщении про вполне конкретный случай – именно про десятичную (основание 10), именно про точку (не про позиционные системы счисления), так что, в общем, логично.

Забавный заголовок новости на SpaceNews.com: “AI company developing software to detect hypersonic missiles from space” (“ИИ-компания разрабатывает программное обеспечение для обнаружения гиперзвуковых ракет из космоса”). Думаю, понятно, почему заголовок забавный: это, фактически, художественный пересказ ключевого события из фантастической кинематографической ленты (даже из разных лент), так как речь-то в сообщении про заказ от штатовского SDA – профильного военного агентства.

В целом, конечно, оценивая картину в современных традициях Нового Средневековья, можно уже и допустить, что реально разрешат использовать непрозрачный машинный перебор со случайным результатом в качестве системы детектирования ракетных угроз. Но, всё же, пока что нельзя полностью исключать, что это такой способ поддержать общий “хайп”, так как определение “с использованием ИИ” слишком размыто – под ИИ можно без труда подвести вполне детерминированные линейные фильтры, собранные в пару слоёв. А про то, что спутники с ИК-сенсорами, согласованно действующие на низкой орбите, представляют собой новый этап в развитии космических средств наблюдения, я писал некоторое время назад, и не раз.

На сайте Gramota.ru заработала озвучка омографов (я некоторое время назад приводил примеры), при этом поменялся формат вывода статей о словах. А вот странный “метасловарь” – так и остаётся странным: запрос “ключом” так и приводит к бесполезному выводу блока о слове “крючок”. Казалось бы, это вот прямо самое тематическое направление в разработке, какое только можно придумать для подобного сайта-сервиса. И тем не менее – “крючок” вместо “ключа”, что делает “метасловарь” бесполезным.

Если вы думаете, что “ключом” и “крючок” тут только для того, чтобы зацепиться, то вы ошибаетесь: на запрос “краном” – данный сервис выводит, как и раньше, “рань” и “каноэ”. “Метасловарь” это модно, однако немного напоминает восприятие ИИ LLM, когда не хватило памяти и видеокарт. Лучше – сделать “постсловарь”.