В системах документооборота с использованием терминального доступа, например, по технологии Citrix, возникает потребность подписывать документы в удалённом режиме. Причем по соображениям безопасности и ограничения канала передавать подписываемый документ на сторону пользователя не хочется. Просмотреть документ пользователь может через терминальную сессию, по которой сам документ не передаётся, но только его изображение, которое в некоторых случаях может быть компактнее. По требованиям безопасности также не стоит передавать секретный ключ сертификата на сервер, где обрабатывается документ. Как же в таких условиях подписать документ?

Ответ прост - подписывать секретным ключом нужно не сам документ, но его хеш. В такой схеме криптографическая хеш-функция отрабатывает на сервере и результат его работы передается через терминальную сессию на клиент, где пользователь с помощью своего ключа зашифровывает хеш и передает его обратно на сервер, где он присоединяется к документу. Схема полностью соответствует требованиям ФЗ-152 и другим нормативам, поскольку секретный ключ не покидает устройства пользователя. Только важно для подписания использовать сертифицированные библиотеки, причем как на сервере, так и на клиенте.

В частности, компания "Газинформсервис" реализовала подобную схему подписи в своем продукте из линейки "Блокхост", который предназначен для работы в терминальном режиме. Документы не покидают сервера, а терминальные клиенты подписывают хеши документов, передаваемые на устройства по специальному протоколу, разработанному Citrix для реализации подобных дополнительных функций при терминальном доступе. В качестве библиотек шифрования с обоих сторон используется "КриптоПро CSP", который на сервере генерирует криптографический хеш, а на клиенте подписывает документ с использованием криптографического ключа.

Обеспечение информационной безопасность - одна из задач государственного управления. Конечно, компании должны сами и самостоятельно обеспечивать безопасность информации своих клиентов, но государство в принципе имеет право установить хотя бы минимальные требования по безопасности предоставляемых услуг. Такие требования есть уже в банковской сфере, причем как международные - PCI DSS - так и российские, установленные Центробанком. Однако в России есть и другие отрасли, в которых информационная безопасность не менее важна - это связь.

Большинство атак сейчас совершается сейчас с использованием телематических сетей, в том числе и с использованием единой сети связи общего пользования - Интернет. При этом операторы по закону, ограничены в возможности защиты клиентов - закон предписывает им не вмешиваться в передаваемую информацию. Однако, если один клиент нападает на другого, разве не вправе оператор вмешаться? Попытаемся разобраться в этом вопросе.

Вот что написано в основном законе, который регламентирует отношения в отрасли связи, ФЗ-126 "О связи" в статье 12 пункт 2:

Для сетей электросвязи, составляющих единую сеть электросвязи Российской Федерации, федеральный орган исполнительной власти в области связи:

определяет порядок их взаимодействия, а в предусмотренных законодательством Российской Федерации случаях - порядок централизованного управления сетью связи общего пользования;

в зависимости от категорий сетей связи (за исключением сетей связи специального назначения, а также выделенных и технологических сетей связи, если они не присоединены к сети связи общего пользования) устанавливает требования к их проектированию, построению, эксплуатации, управлению ими или нумерации, применяемым средствам связи, организационно-техническому обеспечению устойчивого функционирования сетей связи, в том числе в чрезвычайных ситуациях, защиты сетей связи от несанкционированного доступа к ним и передаваемой по ним информации, порядку ввода сетей связи в эксплуатацию;

устанавливает в соответствии с законодательством Российской Федерации об обеспечении единства измерений обязательные метрологические требования к измерениям, выполняемым при эксплуатации сети связи общего пользования, и к применяемым средствам измерений в целях обеспечения целостности и устойчивости функционирования сети связи общего пользования.

Таким образом, государство в соответствии с законом "О связи" также должно обеспечивать также и целостность единой сети электросвязи и её устойчивость, для чего может предъявлять определённые требования к операторам. Что же подразумевается под этими характеристиками? Вот, как определены целостность и устойчивость в приложении к Приказу министерства связи с номером 113 от 27 сентября 2007 года:

2. Организационно-техническое обеспечение устойчивого функционирования сети связи общего пользования представляет собой совокупность требований и мероприятий, направленных на поддержание:

1) целостности сети связи общего пользования как способности взаимодействия входящих в ее состав сетей связи, при котором становится возможным установление соединения и (или) передача информации между пользователями услугами связи;

2) устойчивости сети связи общего пользования как ее способности сохранять свою целостность в условиях эксплуатации, соответствующих установленным в документации производителя, при отказе части элементов сети связи и возвращаться в исходное состояние (надежность сети связи), а также в условиях внешних дестабилизирующих воздействий природного и техногенного характера (живучесть сети связи).

Здесь следует отметить, что целостность подразумевает обеспечение взаимодействия устройств пользователей услуг связи. Операторы же должны как минимум обеспечивать защиту от DoS-атак, не ссылаясь на то, что они предоставляют услуги как есть. Необходимость обеспечить сохранение целостности (устойчивость) в том числе и от дестабилизирующих воздействий техногенного характера, позволяет обязать операторов не только предотвращать DoS-атаку блокированием, но и выполнять некоторые превентивные действия. В частности, сейчас DoS организуется с помощью зомби-сетей, поэтому для сохранения целостности единой сети связи операторам необходимо также пресекать коммуникации зомби с управляющим центром, выявлять сами управляющие центры и организовывать очистку от вредоносных программ клиентов.

Следует отметить, что целостность сети необходима и для обеспечения доступности веб-серверов, тоесть операторы, по идее, должны помогать своим клиентам в защите и от фишинга, и от воровства паролей, и от вредоносных программ, и от большинства сетевых атак. Для этого необходимо обеспечить устойчивую работу таких сервисов как DNS, возможно с внедрением DNSSec. Кроме того, необходима PKI-инфраструкта для распространения сертификатов SSL. В целом, желательно, чтобы государство поддерживало наиболее важные инфраструктур обеспечения целостности сети связи - например, реестр командных серверов зомби-сетей. Возможно, при координации защитных действий провадеров государству и удастся снизить уровень вредоносной активности в Интернет, улучшив тем самым целостность и устойчивость российских телекоммуникационных сетей.

Недавно институт SANS обнародовал плакат, где собраны 20 наиболее важных инструментов для контроля безопасности корпоративной среды. Причем они названы в порядке убывания важности - первые самые важные, а чем ближе к концу списка, тем необходимость инструментов уменьшается. В этом посте приведу только те инструменты, которые необходимы для обеспечения защиты информационных активов.

1. Инвентаризация авторизованных и неавторизованных устройств. Программное обеспечение обнаруживает устройства, пдключаемые к корпоративной сети, причем как санкционированно, так и без разрешения. Инструмент относится к категории базовых, без внедрения которого обеспечение безопасности вообще невозможно. Выделяют два типа таких приложений: просто инвентаризация устройств и управление  их защищенностью и контроль доступа к сети (NAP). Из предложенных на плакате подуктов  в России доступны Nmap (Open Source), QualysGuard (Qualys), ISE (Cisco).
   
2. Инвентаризация авторизованного и неавторизованного программного обеспечения. Инструмент необходим для определения установленного программного обеспечения, причём как разрешенного, так и запрещённого. Это также базовый инструмент, без внедрения которого сложно говорить о защите корпоративной среды. Здесь также выделено два уровня реализации: учёт с установкой обновлений и инструменыт для удаления неразрешённого ПО. Институт предлагает следующие продукты этого класса: Tivoli Endpoint Manager (IBM), System Center (Microsoft), QualysGuard Policy Compliance Module (Qualys), SolidCore (McAfee).
   
3. Безопасное управление конфигурациями для мобильных компьютеров, рабочих станций и серверов. Эта категория продуктов относится к классу инструментов системного управления, но только с повышенными требованиями к безопасности этого процесса. Продукты этой категории позволяют централизованно управлять защитой мобильных компьютеров, рабочих станций и серверов. Они обеспечивают изменение конфигураций для улучшения защищённости и выявляют несанкционированные изменения. К этой категории относятся Tivoli Endpoint Manager (IBM), System Center (Microsoft), QualysGuard (Qualys), CSP (Symantec), Configuration Manager (VMware).
   
4. Управление уязвимостями и конфигурациями. Продукты этой категории предназначены для постоянного поиска дефектов безопасности и небезопасных конфигураций. Его наличие необходимо для обеспечения безопасного развития информационной среды предприятия. SANS к таким инструментам поиска уязвимостей предъявляет требование по поиску и устранению дефектов в течении 48 часов. В качестве производителей институт предлагает использовать Vulnarability Managment Services (Dell), Vulnarability & Remediation Manager (McAfee), OpenVAS (Open Source), QualysGuard (Qualys), CCS (Symantec). В России к этому классу можно отнести продукт Max Patrol компании Positive Software.
   
5. Защита от вредоносного ПО. Механизмы этого класса обеспечивают работу в операционной системе только безопасных программ, которые полезны как отдельным сотрудникам, так и предприятию в целом. Выделяется два типа таких инструментов: защита от вредоносных программ и контроль установленных приложений. На плакат попали только продукты, которые позволяют работать с крупными информационными системами. В частности, к ним относятся Admin Kit ("Лаборатория Касперского"), ePolicy Orchestrator (McAfee), Forefront и System Center (Microsoft), Endpoint Protection (Sophos), SEP (Symantec), Control Manager (Trend Micro), SolidCore (McAfee).
   
6. Инструменты для тестирования ПО. Эти инструменты предназначены для определения безопасности того или иного программного обеспечения, которое может быть сделано методом статического или динамического анализа. Обычно эти инструменты используются для сертификации программ, однако в случае использования в компании продуктов заказной разработки, эти инструменты также необходимы для контроля качества представленного разработчиком кода. К этим инструментам относятся следующие продукты: Managed Web App Firewall и Web Application Testing (Dell), Fortify 360 и WebInspect (HP), Ounce Labs Core и Appscan (IBM), QualysGuard WAS (Qualys).
   
7. Контроль беспроводных устройств. Это продукты для контроля корпоративной беспроводной сети - блокирование посторонних устройств в сети и предотвращение попыток вторжения через неё. В России этой темой практически не занимаются, просто выделяя беспроводной сегмент во внешнюю сеть. Поэтому и из доступных продуктов есть только aWIPS и CleanAir компании Cisco.
   
8. Безопасное управление сетевыми устройствами.Это продукты, которые обеспечивают безопасное управление корпоративными маршрутизаторами, коммутаторами и межсетевыми экранами. Они должны не просто управлять конфигурацией устройства, но и контролировать насколько получившаяся конфигурация соответствует корпоративной политике безопасности. Из приведённого на плакате списка в России не присутствует ни один продукт.
   
9. Инструменты для контроля сетевых портов, протоколов и сервисов. Это программное обеспечение занимается проверкой сетевой конфигурации, наличия открытых портов и использования посторонних протоколов взаимодействия. Здесь выделяется два типа продуктов: сканеры, обнаруживающие нарушения в сетевой конфигурации, и экраны уровня приложений, которые блокируют посторонние протоколы и сервисы. Из списка можно привести BSA Visibility и FoundScan (McAfee), QualysGuard (Qualys), CSS (Symantec), 2200 (CheckPoint), ASA (Cisco), SonicWall (Dell), FortiGate (Fortinet), SRX и vGW (Juniper), Polo Alto NGFW (Polo Alto Network).
   
10. Контроль административных привилегий. Администраторы информационных систем часто имеют достаточно широкие полномочия и получают возможность вольно или невольно нарушать правила информационной безопасности. Поэтому в компании должны быть механизмы, которые с одной стороны позволяли бы контролировать действия администраторов, а с другой не давали администраторам возможность нарушить работу средств защиты. Для решения этой проблемы SANS предлагает следующие продукты: eDMZ (Dell), ArcSight ESM и ArcSight Itentify View (HP), System Center и Active Directory (Microsoft), CCS (Symantec).
    
11. Защита периметра. Это шлюзовые устройства, которые обеспечивают защиту от внешних атак через сетевые соединения. Разделяются два класса подобных устройств: межсетвой экран, который обеспечивает проверку статических коммуникаций по портам и протоколам, и система предотвращения вторжений. Собственно, сейчас устройства второго типа называют ещё межсетевыми экранами нового покаления. SANS предлагает пользоваться устройствами 2200 ( Check Point), ASA (Cisco), SonicWall (Dell), ForiGate (Fortinet), SRX и vGW (Juniper), Polo Alto NGFW (Polo Alto), XPS (Fidelis), TippingPoint (HP), Network IPS (IBM), Network Security Platform (McAfee), Snort (Open Source).
    

Этот список содержит только основные элементы защиты. Причем, первые пять относятся к первому уровню внедрения, которые должны быть установлены для обеспечения работы более высокоуровневых средств защиты. В частности, шестая  и седьмая категория относится ко второму уровню, восьмая и девятая к третьему, а остальные - к четвертому. Приведённый список явно неполон - я выбирал только те названия, которые сам знал. Кроме того, в России есть и свои продукты для каждой категории - было бы интересно узнать какие.

Компания Digital Security выпустила отчёт, в котором привела результаты своего исследования мобильных клиентов российских банков. Причём исследовались только бесплатные клиенты, которые работают под управлением операционных систем iOS и Android. Таких клиентов набралось 40, и для них были реализации для обоих операционных систем. Хотелось бы несколько слов сказать о используемой в отчёте терминологии - она, по моему мнению, не соответствует тому, что специалисты компании сделали.

В пояснении сказано, что проводился статистически анализ методом чёрного ящика. Этот термин нужно пояснить, поскольку в практике исследования метод исследования чёрного ящика предусматривает, что на вход изучаемого объекта подаются определённые сигналы, а по полученным реакциям делается вывод о свойствах объекта. Понятно, что такой анализ может быть только динамическим - исследуемый объект должен отреагировать на воздействие. В то же время в практике пентестов исследование методом чёрного ящика означает, что исследователь ни чего заранее не знает о объекте тестирования - все данные получаются в процессе тестирования. Конечно, для специалистов по проведению пентестов такой термин кажется вполне понятным, но для ИТ-специалистов в "статистическом анализе методом чёрного ящика" есть определенные противоречия.

Интереснее другой аспект - методика тестирования, приведенная в отчёте, подразумевает следующее: приложение изучили на предмет наличия в нём небезопасных компонент, и за каждую небезопасную библиотеку назначали штрафные очки. При этом совсем не сказано о том, проводилось ли реальное исследование возможности эксплуатации этой уязвимости. Наиболее показательным примером является наличие в клиенте встроенной базы SQLite. В отчёте явно предполагается, что если эта база используется, то приложение уязвимо для SQL-инъекций, хотя для того, чтобы внедрить свой код злоумышленник должен как минимум перехватить сессию связи и навязать клиентскому приложению свои данные. Понятно, что такая атака блокируется, например, использованием SSL с взаимной аутентификацией или хотя бы контролем целостности передаваемых сервером данных. В отчёте же совершенно нет сведений о том, какой процент из использующих SQLite не использует при этом SSL. В то же время указывается, что по меньшей мере 26 продукта шифруют канал связи.

Те же претензии можно предъявить к уязвимости доступа к файлам - если хранятся локальные данные, то получить к ним доступ может другое приложение. Однако не говорится о том насколько критичные данные хранятся в этих файлах. К тому же данные в них вполне могут шифроваться - исследования на этот счёт также явно не проводилось. Аналогично, и защита SSL - в отчёте явно предполагается, что если этот протокол не используется, то злоумышленник может вмешаться в работу системы, однако вполне возможно, что данные по открытому каналу передаются в шифрованном виде с криптографическим контролем целостности - вмешаться в такой сеанс не намного проще, чем в стандартный SSL. Такая же ситуация с уязвимостью XXE - внедрение посторонних XML-объектов в сеанс. Создаётся ощущение, что любое мобильное приложение, которое использует для обмена с сервером формат XML уже уязвимо, хотя обмен данными, вполне возможно, также был прикрыт SSL или другим механизмом контроля целостности - у злоумышленника просто не было возможности встроить свой XML в сеанс общения сайта с сервером.

Тем не менее, отчёт в целом полезен для отрасли. Хотя он и не выясняет конкретных уязвимостей, но только указывает разработчикам на отклонение от лучших практик: правильное использование SSL, контроль целостности передаваемой информации, использование правильных методов межпроцессорного взаимодействия, проверка на взлом защиты устройства, фильтрация посторонней информации в XML и ответах сервера. Хотя конкретных уязвимостей там не опубликовано, но есть стимул для разработчиков подобных мобильных клиентов позаботиться о использовании лучших практик по защите своего мобильного банкинга до того, как им заинтересуются профессиональные мошенники - тогда это будет делать уже поздно.

Мобильные устройства сейчас становятся всё более популярны, поэтому не использовать их становится всё труднее. Однако, я не очень люблю такие одиозные решения как iPad - для моей семьи они представляют экономическую опасность. Поэтому из соображений безопасности ;-) я решил выбрать наиболее популярную платформу - Android. Однако я не собираюсь использовать андроидфон, который сделать безопасным, похоже, невозможно, поэтому остановился на планшете, причём без поддержки 3G - расходы на мобильный Интернет я считаю плохо контролируемыми (опять же экономическая безопасность). Поэтому я и остановился на наиболее дешёвом планшете Texet моего любимого размера A5 (с семидюймовым экраном), который имеет только Wi-Fi и стоит всего 4 тыс. руб.

Естественно, что активировать свою сберовскую карточку в магазине приложений Google Play я не собираюсь из той же экономической безопасности - ему только дай свои реквизиты! Собственно, даже если кто-то и подсадит мне на мобильное устройство какую-нибудь зверушку, максимум, что она может сделать опасного заблокировать его и уничтожить еще не синхронизированные данные. Все данные с устройства я сохраняю в облачных сервисах, и пока ещё не слышал, чтобы вредоносные программы могли в них поселиться. Поэтому если зверушка и заблокирует работу устройства, то будет достаточно просто перезалить операционную систему и восстановить все приложения. Естественно, я включил сохранение параметров установленных приложений в хранилище Google, чтобы в случае чего восстановить их. Впрочем, пока проверять работу сервиса восстановления мне не приходилось - возможно это тема для отдельного поста.

Но главный пункт моей политики безопасности - не пользоваться браузером, ибо он слишком сложен и, по моим представлениям, является основным источником угроз. Для работы с социальными сетями я, естественно, использую соответствующие приложения, но проблемы возникают при чтении новостей и ссылок из социальных сетей. Для новостей я использую Google Reader (и очень не хочу чтобы он прекратил существование), для которого собрал наиболее интересные RSS-потоки, загружаю новые посты и читаю их off-line. Однако в постах есть ещё ссылки на сторонние ресурсы, которые по умолчанию загружаются в браузере. Чтобы исключить и этот компонент я установил клиент Pocket, который позволяет загружать URL во время подключения, а потом просматривать странички в off-line. Главное, что он принимает ссылки от Reader и других приложений, а в момент подключения к Wi-Fi загружает их на планшет.

Мне могут возразить, что все мобильные приложения для планшета на самом деле построены на базе того же HTML и по своей сути практически являются специфическими браузерами. Это действительно так - основным направлением разработки современных приложений является создание их на JavaScript, который можно исполнять на самых разнообразных платформах. Однако использование таких специализированных браузеров более безопасно, чем универсального. Дело в том, что возможности каждого их них ограничены соответствующим ресурсом самой мобильной платформы - выход за его пределы приводит к вызову меню для передачи запроса в Pocket. Кроме того, каждое такое приложение хранит локально свои данные и получить к ним доступ с постороннего сайта или другого приложения достаточно сложно. При восстановлении приложения из резервной копии оно (по обещаниям производителя) должно восстанавливаться вместе с настройками. Таким образом, можно утверждать, что специализированное мобильное приложение будет более безопасным, чем универсальный браузер - это одно их общих правил безопасности.

Дистанционное банковское обслуживание (ДБО) сейчас развивается стремительно. Приводятся цифры оборота только за первое полугодие 2010 года в 101 трлн. руб. Понятно, что эти деньги привлекают мошенников, которые всеми силами стараются вмешаться в работу этих платёжных сервисов. Банки отвечают совершенствование систем защиты: использованием электронных подписей, двухфакторной аутентификации, аппартаных модулей для проверки реквизитов платежей и подтверждением транзакций по SMS. Таким образом, мобильные платформы втягиваются в это противостояние, поскольку становятся частью защиты ДБО.

Следует отметить, что использование мобильных телефонов в качестве средства подтверждения платежа предлагают практически все производители систем для организации дистанционного банковского обслуживания. Причём у всех производителей это средство защиты, поставляемое по умолчанию - остальные технологии, такие как одноразовые пароли и электронная подпись, нужно устанавливать и интегрировать отдельно. Связано это с тем, что все другие средства подтверждения платежа требуют от клиента покупки дополнительного устройства, в то время как мобильные телефоны есть практически у всех.

В то же время уже появились троянские программы для мобильных платформ, которые позводяют злоумышленнику перехватывать SMS-подтверждения банка и отсылать ответные сообщения якобы от имени пользователя ДБО. Таким образом, злоумышленники научились синхронизировать троянские программы для мобильных платформ и для традиционных операционных систем. То есть самая дешёвая защита может на деле обернуться новым витком гонки вооружений. Собственно, такие производители как "Лаборатория Касперского" предлагают свои корпоративные продукты для защиты банковских мобильных приложений, в том числе и для исключения подобных типов атак.

Таким образом, мобильный банкинг является продолжением системы ДБО, которые сейчас атакуют наиболее активно и целенаправлено. Банки же предлагают клиентам, у которых уже есть мобильный телефон для подтверждения транзакций дополнительные функции уже по формированию платежей. В результате, эти приложения стали привлекательной мишенью для хакеров.  Забавно, что наиболее простым способом защиты мобильного банкинга является использование "простофонов" типа Nokia 3310. На него невозможно установить никакое дополнительное вредоносное программное обеспечение, в то же время SMS-сообщения для подтверждения транзакций он вполне может получать и отправлять. Если же банковская система будет ориентированна в основном на SMS, то и взломать её будет сложнее - клонирование SIM-карты или мошенничество с её заменой всё-таки пока сложнее, чем заражение мобильной платформы троянской программой.

Совсем недавно мне казалось, что термин Big Data - исключительно маркетинговый. Мне казалось, при обработке больших данных используются те же методы, что и при работе с любыми другими. Только методы эти требуют оптимизации и распараллеливания для работе на больших кластерных компьютерах. Из этого я делал вывод, что безопасность и большие данные существуют в перпендикулярных плоскостях, то есть, конечно, защищать большие данные нужно, но особенных методов защиты для этого использовать не нужно. Ну, а сами большие данные использовать для безопасности бессмысленно, поскольку они все-равно долго считаются.

Однако, как оказалось моё первое впечатление о технологиях, объединяемых термином "Большие данные", оказалось ошибочным. Под ними подразумевают такие методы обработки сырой информации, которые позволяют оперативно делать массовые операции над большим массивом данных. При этом технологии по прежнему не позволяют обработать все данные - они предназначены для выделения из большого массива неструктурированных данных ключевых сведений и оперативного принятия решений по такому беглому анализу.

Для примера рассмотрим систему видеонаблюдения, которая генерирует достаточно большой объём данных. Просто, обычно большая часть информации теряется - систему настраивают на фиксацию и запоминание только определенных действий. Однако полностью обработать видеопоток со всех камер в гипермаркете и выявить по нему вора система пока не в состоянии. Дело в том, что для автоматического предотвращения краж нужно, чтобы система обработки могла проследить путь каждого посетителя по магазину, зафиксировать какие товары он брал, какие товары у него в коляске лежат, за какие он заплатил, а какие где-нибудь выложил. Причем сделать это система должна за то время пока покупатель рассчитывается, чтобы успеть предупредить сотрудника безопасности о возможном воровстве. Именно для решения примерно таких задачи и предназначены технологии из набора больших данных.

Дело в том, что для решения описанной задачи нужно не просто записывать в видеоархив определенные действия посетителей, но успевать распознавать их, их действия по наполнению корзины, их действия по выкладыванию товаров, а главное успеть сверить сведения о взятых товарах и об оплаченных. Конечно, мне возразят, что подобную систему  защиты нужно делать не так - нужны радиометки на каждом товаре, считыватели на каждом коридоре и финальный считыватель после кассы - именно для этого и придумана технология RFID. Это будет правда - ту же задачу можно решить проще, но будет ли она при этом решена эффективнее, а, главное, универсальнее?

Существование баз данных уязвимостей, таких как CVS или NVD, провоцирует исследователей сравнивать количество обнаруженных дыр в разных продуктах, их качество и другие параметры, делая какие-то выводы о защищенности того или иного продукта. Однако, читая такие исследования и анализируя их результаты, каждый раз задаёшься вопросом: а если в продукте обнаружено много ошибок и все они устранены, то этот продукт более защищен или наоборот? Ведь если предположить, что качество программирования примерно одинаковое, и разработчики допустили примерно одинаковое число ошибок, то чем больше их найдено и устранено, тем меньше их осталось.

Большое число найденных ошибок также не может говорить и о качестве программирования. Дело в том, что большинство продуктов невозможно полностью проанализировать - у общественности нет доступа к их исходным кодам. Поэтому обнаруживаются ошибки, которые приводят к падению приложения или операционной системы, а это далеко не все возможные ошибки. Собственно, именно поэтому в проектах с открытыми кодами обнаруживается больше ошибок, но их уровень достаточно низкий. В то же время, в закрытых продуктах обнаруживаются в основном критические ошибки - их меньше, но они более заметны, поскольку приводят к падению приложения.

Собственно, такие же выводы сделала из анализа базы уязвимостей компания Sourcefire (частичный русский перевод), которая поддерживает разработку проектов с открытыми кодами систему обнаружения атак Snort и антивирус ClamAV. Правда, она анализировала данные об уязвимостях за 25 лет - с 1988 года, но выводы укладываются в приведённую выше логику. Кроме того, закрытые продукты разделяются по версиям, а OpenSource - почему-то оценивается целиком. В частности, все базы данных по уязвимостям отдельно учитывают версии Windows, хотя все уязвимости Linux всех версий сваливают в одну кучу. К тому же комплект поставки операционных систем также разный - в дистрибутивах Linux есть много дополнительных программ, таких как базы данных, офисные пакеты, игры и многое другое. Однако, если взять только ядро Linux, то оно имеет значительно меньшую функциональность, чем Windows. В частности, графическая оболочка в ядро Linux не входит, а из Windows её вырезать практически невозможно. В результате, прямое сравнение результатов по обнаруженным ошибкам говорит очень мало.

Более показательна скорость, с которой ошибки исправляются. И здесь хорошим примером является прошедший недавно конкурс Pwd2Own, на котором были взломаны три браузера Firefox, Chrome  и Internet Explorer, а также модули расширения от компаний Adobe и Oracle (Java). Во всех были обнаружены ошибки, позволившие взломать продукты, однако только Mozilla (производитель Firefox) и Google (производитель Chrome) исправили ошибки в течении первых суток, Microsoft, в соответствии со свои правилами, обновит свой браузер 12 марта (в течении недели), а о планах обновления модулей других компаний пока ни чего не известно. Причём в приведённых выше базах данных по уязвимостям частично есть данные по времени исправления, однако эти данные почему-то ни кто не анализирует.

К 2020 году планируется все автомобили должны быть оснащены терминалами системы Экстренного Реагирования на Аварии (ЭРА-ГЛОНАСС), которые будут сообщать в центр данные о местоположении автомобиля, а также о срабатывании различных датчиков. Обязательными являются тревожная кнопка, которую автовладелец может нажать в любой момент, внутренний акселерометр и датчик аварии. Однако производители устройств могут подключать дополнительные датчики - вплоть до считывателя данных с диагностической шины автомобиля.

Прежде, чем говорить о информационных рисках, которые принесёт такое нововведение, следует немного сказать о преимуществах. Когда во всех автомобилях будут установлены подобные устройства, а ТС без модуля будет признаваться технически неисправными, то это позволит автоматически определять аварии, угоны и даже проводить дистанционную диагностику автотранспорта. При этом технология опирается на мобильную связь стандарта GSM, на самый простой её вариант - голос. Данные из ТС в центр будут поступать в виде специальных сообщений MSD, которые центром будут расшифровываться, преобразовываться в XML и рассылаться во все заинтересованные системы. При этом сигнал передается в виде тонового набора в голосовом канале - эта разработка была реализована в европейской системе eCall, а наша система будет с ней совместима, но в российской системе передача сообщений может дублироваться и по SMS.

В системе появляются следующие элементы, которые могут быть подвержены нападению:

• Терминал. Скорее всего, наиболее популярны будут модели устройств на базе какой-нибудь мобильной платформу - скорее всего не iOS. А если предположить, что их в основном будут делать в Китае, то велика вероятность, что в этих устройствах будет установлен Android. Именно такие устройства, которые будут похожи на современные навигаторы, и будут основными для подобных терминалов, поскольку их будут продвигать и страховщики, и охранники, и телевизионщики, и сами производители автомобилей. Понятно, что к тому времени, когда эти устройства станут обязательными, платформу научаться взламывать. Впрочем, основным вектором атаки, скорее всего, будут троянцы, устанавливаемые на устройство самими пользователями.
  
• Канал связи. Устройства будут подключаться по GSM-каналу, причем через специального виртуального оператора "ЭРА-ГЛОНАСС", что позволит атаковать терминалы в том числе и через мобильную сеть. В частности, вполне возможна атака с фальшивой базовой станцией. Следует отметить, что взломом в данном случае можно также считать и вывод из строя связи, поскольку если устройство не сможет сообщить в центр данные, например, о взломе дверного замка, то и система не сработает как должно. А продукты для глушения GSM-сигналов сейчас достаточно распространены.
  
• Сама система. Поскольку система завязана на SIM-карту, то физический взлом терминала и установка его SIM-карты в любой смартфон позволит навязать системе совсем другую информацию об автомобиле. Вполне возможно, что и само сообщение MSD также можно будет подделать, что позволит обойтись без физического доступа к терминалу, и, например, дистанционно сымитировать угон.

Постараемся представить насколько такая системы может быть опасна и какие риски она порождает?

• Слежка. Первая угроза, которая приходит в голову - это контроль за перемещениями человека в его личном автотранспорте. Минимальная система, скорее всего, будет срабатывать только  в случае чрезвычайных ситуаций, поскольку постоянно посылать сообщения - накладно. Поэтому предотвращать угон такая система не будет. Скорее всего защита от угона - это будет дополнительная услуга, предоставляемая за дополнительную плату. Однако при взломе терминала вполне могут возникнуть проблема со слежкой.
  
• Сюрпризы. Процессоры, управляющий двигателем и бортовой электроникой, традиционно разделены, поэтому взлом терминала не всегда будет эквивалентен получению контроля над автомобилем. Тем не менее, удаленный взлом устройства, возможно, позволит злоумышленникам получить доступ к навигационной информации, мультимедийной системе, климат-контролю и другим не менее важным бортовым системам автомобиля. Вполне возможно, что появится новый тип нападений на автомобилиста, который позволит злоумышленникам реализовывать самые разнообразные модели получения денег с автовладельцев от выкупа за разблокирование музыкального центра до доступа к кошельку, через который оплачиваются дополнительные услуги, поставляемые на устройство.
  
• Угон. Вполне возможно, что старыми методами угнать машину безнаказанно будет непросто, поскольку терминалы будут сообщать о местоположении автомобиля в правоохранительные органы. Однако наверняка появятся новые способы угона, которые позволят делать это в том числе и при помощи сети. Например, взломав навигационную систему автомобиля дистанционно по сети, хакеры смогут так подкорректировать маршрут большегрузной машины, чтобы она приехала сама к их складу.

Таким образом, решая одни проблемы новые технологии приводят к появлению других, не менее сложных. При этом стоит заранее озаботиться будущими проблемами безопасности и по мере создания продуктов постоянно помнить о них. Вполне возможно, что сейчас ещё можно избежать проблем, используя для построения продуктов для работы с "ЭРА-ГЛОНАСС" продукты, которые будут более защищены от внешних угроз, чем популярные сейчас мобильные платформы.

Этот блог достаточно давно использовался как инструмент подготовки новостей, но потом для этой задачи "Открытыми системами" была разработана собственная система публикации, которая сейчас расположена на сайте OSP,  и поэтому этот блог был заброшен. Некоторое время я пытался реализовать собственный блог на том же движке, куда была перенесена лента новостей, но результат мне не понравился, поэтому в конце концов я принял решение восстановить работу этого блога.

Впрочем, это не единственная причина, по которой я возобновил именно этот блог. Важнее то, что этот блог фактически является частью движка блогов LiveInternet, который интегрирован в систему публикации "Открытых систем" на уровне DNS. С другой стороны сам LiveInternet интегрирован с сервисом дневников Evernote,  который имеет приложения для подготовки заметок и управления ими в том числе и на мобильных платформах. Это позволило мне организовать процесс подготовки публикации в блог без лишнего копипаста - передачу информации между элементами системы делают роботы, что немаловажно для эффективности публикации постов. Реализовать аналогичную систему своими силами - проблематично, поэтому я и решил восстановить этот блог.

В дальнейшем, я надеюсь интегрировать его в свой центр компетенции по информационной безопасности "Антивирусный центр",  куда собирается информация по теме, опубликована на других страницах сайта. Конечно можно было бы удалить все записи, которые находятся ниже и начать с чистого листа, но мне жаль это делать. Хотя сами новости - товар скоропортящийся, и сейчас опубликованные далее сведения не представляют большой ценности, тем не менее они уже имеют историческую ценность.

Вредонос Rustock.C и спам-провайдер McCola были тесно связаны друг с другом. Здесь ссылки на историю их обнаружения.

На руткит Rustock нашлась управа
"Лаборатория Касперского" о неуловимом рутките
Хостинг-провайдера отключили от интернета за распространение спама

Освобождение программистов во время кризиса может привести усилению активности мошенников и преступников - они смогут привлекать более профессиональных специалистов. Об усилении вредоносной активности может говорить, например, вирусная эпидемия, которая началась 13 января. О ней можно прочитать в предыдущем посте.

Ситуацию уже прокомментировал Сергей Гордейчик, технический директор Positive Technologies:

Вредоносное ПО - только вершина айсберга. Речь может идти об усложнении мошеннических схем, более продуманных атаках, изощрённых инструментах. Здесь нет ничего специфичного для ИТ. Заработки снижаются, люди начинают искать подработки, зачастую находят их в "серой" зоне рынка. Причём исполнитель может и не догадываться (или закрывать глаза) на то, как будут использоваться результаты его труда. Вот пример:

Работаю я на обычном заказном программировании. Был заказчик, который представился как магазин электроники, ну и ему нужна была почтовая система. Написал, деньги получил, все пучком. А потом жопа - выяснилось, что товарищ этот - не магазин электроники а фишер, и моей почтовой прогой свой фишинг-спам рассылал. Причем, веселуха - нашли это не наши менты (вот сюрприз был бы), а штатовские им про это сообщили, и меня назвали чуть ли не "мозгом преступной группы" (тк техническая часть моя использовалась). Причём фишер серьёзный - наворовал не один лям.

Первоисточник: http://www.securitylab.ru/forum/forum23/topic47563/messages/

Тоже самое происходит повсеместно. Только одни срезают метры проводов для сдачи на цветмет, другие участвуют в сомнительных проектах. Еще раз повторюсь, не всегда осознано. Ну пишет человек "перехватчик Winsock и анализатор протокола HTTPS", какая ему разница куда его встроит заказчик - в сетевой анализатор или банковский троян?

Так что программистам стоит следить за тем, на кого он работает, а иначе могут возникнуть проблемы при въезде в США.

Новый год начался с эпидемии нового червя. Она может стать самой массовой за всю историю вредоносной активности. По данным компании F-Secure, которая именует вредоноса как Downadup, в пятницу червь заразил около 9 млн. компьютеров по всему миру. Специалисты компании Panda Security, которые называют этого же червя Conficker, отметили, что эпидемию вызвала третья модификация вредоноса. Первые заражения этим вредоносным кодом были зафиксированы в конце ноября прошлого года. Однако в базе данных "Лаборатории Касперского", где данный червь значиться как Kido.bt, запись датирована 2 января 2009 года. Компания Dr. Web, антивирус которого определяет данного червя как Shadow или Autorunner.5555, утверждает, что червь использует сложный полиморфный механизм для скрытия своего присутствия в системе.

Червь распространяется на съемных носителях и прописывает свой автозапуск в файле autorun.inf в том числе и на жестких дисках. Кроме того, он использует для проникновения на компьютеры уязвимость в протоколе RPC, которая описана Microsoft в бюллетене MS08-067 и имеет соответствующие исправления. Червь также навпространяется по сети с помощью протокола SMB, пытаясь подобрать пароли для открытых каталогов.

После проникновения на компьютер червь пытается заразить процессы rundll32.exe, svchost.exe и explorer.exe, перехватывая работу с DNS-системой для блокировки доступа к сайтам антивирусных компаний, а кроме того, прячется в папке RECYCLER, куда операционная система складывает удаленные документы. По оценкам экспертов основная цель нового червя - создать зомби-сеть для дальнейшей перепродажи.

Компания F-Secure контролирует распространение червя. Так 13 января было зафиксировано 2,5 млн. зараженных компьютеров, 14 января - 3,5, а уже 16 января - 9 млн. Правда, по статистике компании Panda Security количество заражений червем в пятницу и субботу было примерно одинаковым, а уже в воскресенье наметилась тенденция к снижению числа обнаруженных вредоносов. При этом F-Secure проанализировала IP-адреса зараженных компьютеров и обнаружила, что лидерами в данной эпидемии являются страны Китай (38277 зараженных IP), Бразилия (34814 заражений), Россия (24,526) и Индия (16,497), то есть под ударом оказались страны БРИК.

Вообще создается ощущение, что таблица заражения вирусом скорее является таблицей уровня пиратства в странах. Похоже, заражаются только компьютеры, на которых установлены пиратские версии ОС и антивирусов. Вот комментарий, который оставил в форуме "Лаборатории Касперского" пользователь под именем juma:

Слушай, вот предсталяешь у меня 5 сеток то есть 5 совершенно разных кантор, в четырех из них настроено все просто идиально: лицензионная ОС Windows на каждой рабочей станции с включенных автообновлением, "Касперский" корпаративная лицензия как на станциях так и на серваках с тем же лицензионным 2003 сервером, железобетонный фаервол. Автозагрузка с флэшек не отключена, так как считаю это бесполезным. В итоге в этих 4х конторах из пяти вирусов нет и не было, только юзеры приносили на флешках, но каспер их тут же удалял. У юзеров права ограничены. ВИРУСОВ НЕТ и НЕ БУДЕТ. А вот с пятой конторой я сам накосячил и признаю это - каспер стоял только на половине машин, в общей сложности их там 50 штук, как следствие вирус проник туда без особого труда, да и то смог распростаниться только лишь на половину рабочих мест потому как на все остальные машины касперский с легкостью предотвращал атаки. Не было качественного фаервола там была бы катастрофа, а так вирь просто посидел денек, поперегружал сетку, да я его за выходные выкурили и заплатки накатил, да и лицензии касперского прикупил...

Компания Digital Security открыла сайт, на котором публикует свои исследования по найденным компанией уязвимостям в различных продуктах. В основном это касается CMS-систем RunCMS, Blogcms, phpCMS, Azucar CMS, Pluck CMS и других, хотя есть публикации по дырам в базах Oracle и SAP Netviewer. Первые уязвимости датируются декабрем 2007 года.
Компания также занимается публикацией эксплойтов к исправленным уязвимостям Oracle и RunCMS. Эта дейстельность более молодая - первый эксплойт для Oracle датируется 21 декабря 2008 года.
Собственно, Илья Медведовский ещё на InfoSecurity 2008 хвалился тем, что они набрали штат исследователей по безопасности - тогда же они опубликовали первый доклад по исследованию безопасности СУБД Oracle. Я попросил прокомментировать ситуацию Сергея Гордейчика, технического директора Positive Technologies. Его компания компания также проводила аналогичные исследования, но с определенного момента перестала это делать. Он ответил примерно следующее: "Публикация сведений о дырах в ПО крупных производителей может привести к проблемам с этими компаниями. Мы этого не хотим, поэтому общаемся напрямую с производителями, не публикуя конкретные результаты наших исследований." Его ответ подробнее был опубликован мною ранее под названием "Позитивные" исследования.

Термин "квантовая криптография" прочно входит в обиход, а технология, которая за ним лежит часто представляется как идеальная защита передаваемых данных. Однако это не так. У технологии есть существенные архитектурные изъяны, которые могут свести на нет все усилия разработчиков.
Следует сказать несколько слов о самой технологии. Она использует для шифрования принцип неопределённости Шрёдингера. При шифровании генерируется две связанные частицы, для которых известна какая-нибудь общая характеристика. Например, реакция построена так, что у одной спин должен быть положительный, а у другой отрицательный. Однако в соответствии с принципом неопределённости невозможно определить текущее значение у данной частицы. Для шифрования используется одна частица, у которой выбранная характеристика фиксируется. Далее сообщение передаётся по открытым канала, но расшифровать его можно с помощью другой частицы пары, но сам факт измерения ее спина во время дешифровки приводит к изменению значения характеристики в соответствии с принципом неопределённости, то есть эту же частицу невозможно повторно использовать для декодирования.
Если коротко, то в квантовой криптографии в качестве ключа используется частица, характеристика которой полностью меняется после декодирования, то есть ключ уничтожается в соответствии с принципом неопределённости. При этом в современных системах эта частица передаётся по тем же каналам, что и информация, поскольку для шифрования используются фотоны - у них нет спина, но есть другие характеристики, по которым можно "связать" два фотона. То есть КЛЮЧ ПЕРЕДАЁТСЯ ПО ТОМУ ЖЕ КАНАЛУ, ЧТО И ИНФОРМАЦИЯ. Это все-равно, что продавать замки со встроенным ключом. Причём технологически фотоны невозможно сохранить, чтобы передать по другому каналу, то есть это свойство архитектурно присущее квантовой криптографии, основанной на фотонах.
Собственно, уже это свойство технологии делает ее прямой противоположностью криптографии, которая, как известно, 1) не зависит от канала передачи данных, 2) требует отчуждения ключа шифрования от зашифрованного текста и передачи его независимо. Собственно, именно это свойство позволило Витфилду Диффи, который соавтор алгоритма Диффи-Хелмана, ещё в 2006 году сказать, что "квантовая криптография не является криптографией" (это было во время моего интервью для журнала "Открытые системы").
Из указанной выше архитектурной (я бы даже сказал "физической") дыры в технологии квантовой криптографии следует невозможность распознать атаку типа "человек посредине". Если кто-то между отправителем и получателем вклинится в канал, расшифрует сообщение с помощью передаваемого ключа, прочитает его и зашифрует обратно на собственном ключе, то определить такую ситуацию мы не можем, потому что физически не имеем возможности сравнить отправленную частицу-ключ с полученной. В то же время квантовой криптографии с открытым ключом пока не придумали.
К тому же на канал, защищённый квантовой криптографией, можно элементарно организовать DoS-атаку. В результате, в самый ответственный момент линия связи, стоимостью в несколько тыс. долл., просто перестанет работать "в соответствии с законом физики".
То есть не стоит говорить о квантовой криптографии как об идеальном средстве защиты передаваемой информации, но следует помнить о ее ограничениях.

Учебный центр "Информзащиты" опубликовал результаты тестирования сканеров на семинаре в рамках ВКСС-2008. Победителями оказались MaxPatrol и Nessus 3.2.1. Полные релультаты ниже.



Результаты озвучивал Владимир Лепихин. Вот его комментарии к результатам:
MaxPatrol и Nessus 3.2.1

• Качественная идентификация сервисов и приложений
  
• Полнота базы и её адекватность поставленной задаче
  
• Качественный анализ версий приложений с учётом
  операционных систем, дистрибутивов и различных
  «ответвлений»
  
• Использование разных источников
  (базы уязвимостей, уведомления и бюллетени «вендоров»)
  

Отставание Nessus

• Развитие в сторону «локальных» или системных проверок
  
• Использование меньшего числа источников информации об
  уязвимостях
  

Shadow Security Scanner

• Значительный процент ложных срабатываний
  
• Значительный процент пропусков по причине особенностей
  реализации
  
• Использование базы securityfocus
  
• Существенный процент ошибок реализации
  

Internet Scanner

• Небольшое количество проверок
  
• «Слабая» идентификация сервисов и приложений
  
• Значительный процент «морально» устаревших проверок
  
• Ориентация на windows-системы
  

NetClarity Auditor

• Программно-аппаратный комплекс («железо»+Linux+Nessus)
  
• За основу взята не самая удачная ветвь сканера Nessus
  
• Нет возможности задать перечень портов
  
• Не очень понятно позиционирование системы
  

Retina

• «В меру качественный и удачный продукт»
  
• Тенденции в сторону «локальных» проверок
  
• Невысокий процент ложных срабатываний
  
• Идентификация сервисов и приложений реализована
  «средне»
  

Учебный центр официально опубликовал результаты тестирования - пресс-релиз об этом можно найти по адресу http://www.itsecurity.ru/news/reliase/2008/12_22_08.htm. На этот отчёт аналитики Positive Technologies выпустили свой пресс-релиз.

Компания "Лаборатория Касперского" опубликовала в своем блоге сообщение Олега Зайцева об обнаружении на сайте страховой компании "АльфаСтрахование" троянской программы. Причем в сообщении был приведен фрагмент вредоносного текста, интегрированный в сайт.

Не говоря уж о том, что потенциальный злоумышленник вполне может на основе данного текста написать свой вредоносный фрагмент, мне кажется такое поведение вирусных аналитиков уважаемой компании не совсем этичным. Было бы корректней вначале связаться с администрацией сайта и передать ей информацию о найденном вредоносе, а сообщение публиковать только после устранения ошибки. К тому же у "АльфаСтрахования", похоже, вполне компетентные администраторы - в тот же день они исправили сайт и даже сообщили об этом в новости.

Недавно в посте я приводил правила, которым следует компания Positive Technologies в случае обнаружения уязвимости. Было бы только правильно, чтобы этим правилам следовали и антивирусные компании с случае обнаружения вредоносных вкраплений в сайты коммерческих компаний и особенно порталов.

Компания Symantec провела пресс-конференцию, на которой представила свой отчет по черному рынку информации. К сожалению, на пресс-конференции было сказано несколько неточностей, которые могут быть транслированы другими журналистами в своих статьях.
На конференции было сказано, что источником информации для анализа является сеть сенсоров Symantec, которые разбросаны по всему миру. На самом деле это не так. В самом отчете написано, что данные для анализа были взяты с открытых IRC-каналов и Web-форумов, куда сотрудники Symantec регулярно наведывались и анализировали написанные там сообщения. Как я понимаю, тестовых закупок они не делали.
Так же на конференции было сказано, что данные как по черному рынку информации, так и по черному рынку ПО были получены с июля 2007 по июнь 2008. Однако это так же не соответствует истине. В самом тексте отчета явно сказано, что в указанный период анализировался только черный рынок информации, в то время как пиратское ПО контролировалось только с июля по сентябрь 2008 года. Причем способ контроля был следующий - специалисты Symantec получали доступ к доступным файлобменным сетям и смотрели, что в них есть. Если там распространялись копии легальных продуктов, то это считалось пиратством.

Оказывается Symantec - это аббревиатура по первым слогам от synergy-man-technology, что, видимо, означает синергию человека и технологий. Название красивое, однако в применении к информационной безопасности возникает забавная ассоциация, если вспомнить, что men-in-the-middle. Вот эти "люди посредине" выпустили новый отчёт, который называется Symantec Report on the Underground Economy:.

Задал тут как-то я Сергею Гордейчику, техническому директору Positive Technologies вопрос о проведении их командой исследования на уязвимости различных продуктов. Он мне ответил следующее:

Мы ежегодно собираем, анализируем и публикуем Статистику уязвимостей Web-приложений: http://www.ptsecurity.ru/stat2007.asp , http://www.ptsecurity.ru/webstat2006.asp, отчет будет готов и за 2008 год.

При этом, мы в Positive Technologies ответственно относится к результатам исследований в области безопасности, и используемая политика разглашения направлена на минимизацию возможного ущерба от нецелевого использования этой информации.

Наш подход в этом вопросе:

1. Обязательно связываемся в вендором и работаем над устранением проблем.

2. Публикация информации об уязвимости осуществляется вендором.

3. Мы предпочитаем публиковать статистические данные.

4. Детальная информация публикуется только в случае, если мы считаем её неординарной, например, если это новый класс атак (http://www.ptsecurity.ru/wepoff.asp, http://www.securitylab.ru/analytics/312606.php), либо они затрагивают большое количество клиентов http://www.securitylab.ru/analytics/283136.php, либо затрагивают «неординарные» области http://www.ptsecurity.ru/webwids.asp .

Собственно, они уже опубликовали новое исследование работы XSS-фильтра в IE 8b - с ним можно ознакомиться здесь.