Цифровой журнал «Компьютерра» № 190 - Коллектив Авторов

Разумеется, находится и множество других желающих обвинить создателя Shodan Джона Мэтерли в облегчении работы хакеров — точно так же, как Голливуд обвиняет Pirate Bay в содействии пиратству. На это Mэтерли неизменно отвечает, что ответственность должны нести сами производители незащищённых устройств. Он не считает Shodan угрозой: опасны электростанции, подключённые к интернету.

При желании американские власти могут с лёгкостью привлечь Мэтерли к ответственности на основании «Акта о компьютерном мошенничестве и злоупотреблениях» (Computer Fraud and Abuse Act, CFAA) 1986 года, который прямо запрещает неавторизованный доступ к компьютерным системам, чем, собственно говоря, и занимается в автоматическом режиме поисковик Shodan. Однако против этого выступают вполне законопослушные граждане и организации, включая экспертов по сетевым технологиям и компаний, специализирующихся на кибербезопасности. По их мнению, Shodan помогает выявлять критичные уязвимости и выводить на чистую воду недобросовестных производителей оборудования и программного обеспечения, не уделяющих надлежащего внимания средствам безопасности своей продукции.

* * *

Есть множество способов защититься от несанкционированных подключений с помощью Shodan. Прежде всего никогда не забывайте менять пароли по умолчанию на любых устройствах с доступом в интернет. Во-вторых, далеко не вся сетевая электроника на самом деле требует обязательного подключения к интернету: те же камеры безопасности могут прекрасно работать в пределах защищённой локальной сети. Наконец, можно воспользоваться Shodan для проверки уязвимости ваших устройств: просто введите в поисковую строку запрос «net:IP-AДРЕС» c IP-адресами соответствующих девайсов.

К оглавлению

Приватность не прощается! Какие именно криптоинструменты сломало АНБ и как конкретно защитить себя

Евгений Золотов

Опубликовано 09 сентября 2013

Минувшая неделя принесла две одинаково долгожданные, но полярно окрашенные новости. Первая — хорошая — заключается в разгадке невиданного всплеска активности в сети TOR: три миллиона человек, пришедшие в неё по состоянию на субботнее утро, оказались не пользователями анонимизированного веб-браузера от The Pirate Bay, но и не искусственно созданными АНБ роботами-клиентами (обе версии рассматривались в материале «Загадка TOR в свете откровений Эдварда Сноудена»). Получилось проще: TOR задействовали под свои нужды авторы вируса Mevade.A — довольно старой уже поделки (первые случаи заражения относятся к 2009 году), модифицированной сейчас с прицелом на большую скрытность. Mevade научили принимать управляющие сигналы через TOR-подпространство, так что компьютеры, им заражённые, а равно и узлы, управляющие бот-сетью Mevade, теперь сложнее отследить.

Кстати, в TOR становится поспокойней: наплыв новых клиентов прекратился, наблюдается даже некоторый отток.

Для самой TOR это известие не такое уж и приятное, потому что, перегруженная запросами (в TOR число узлов, поддерживающих работу сети, намного меньше числа пользователей), она работает хуже. Однако на фоне очередной порции компромата, извлечённого журналистами и спецами по ИТ-безопасности из предоставленных Эдвардом Сноуденом материалов, случившееся с TOR кажется всего лишь забавным происшествием. А работа по изучению файлов Сноудена продолжается, и на минувшей неделе там был найден довольно подробный ответ на один из главных вопросов, поставленных этим летом. Помните аналогию с сумеречной зоной, в которой все мы невольно оказались (см. там же, в «Откровениях…»)? Неделю назад мы не знали, можем ли ещё полагаться на стойкую криптографию. Сегодня — знаем: можем, но с очень большими оговорками. АНБ совместно с британскими (GCHQ), австралийскими и новозеландскими коллегами, в том числе в рамках проекта под кодовым именем Bullrun, смогло обойти, воспрепятствовать применению или ослабить значительную часть инструментов и некоторые алгоритмы стойкого крипто, применяемые в сети Интернет.

Поскольку объём полезной информации, вскрывшейся за последние дни, весьма велик, я попробую конкретизировать найденное в четырёх пунктах — и если упущу что-то важное, то буду признателен за дополнения/поправки в комментариях.

Итак, во-первых, найдены подтверждения прямым текстом тому, что вендоров программного и аппаратного обеспечения принуждают встраивать в свои продукты «чёрные ходы», посредством которых спецслужбы получают доступ к данным до шифрования. Это отчасти повторяет то, что уже было известно по проекту PRISM, но добавляет новых тёмных красок: теперь ясно, что давят не только на гигантов интернет-бизнеса, но вообще на множество компаний, как американских, так и иностранных. Отечественными (в смысле — для упомянутых выше государств) производителями вообще крутят как хотят, вплоть того, что вендора вынуждают имплантировать в поставляемое оборудование аппаратные закладки, когда поступает заказ от интересного спецслужбам клиента.

На волне спровоцированной Сноуденом паранойи всплывают чудесные проекты. Например, смартфон Quasar IV от стартапа QSAlpha (со дня на день на него начнут собирать деньги через Kickstarter) может стать первым популярным мобильным устройством, спроектированным с прицелом на защищённость. Стойкое крипто, отсутствие цифровых следов, свой апп-стор с утверждёнными приложениями и прочее помогут пользователям сохранить приватность. Увы, Android в качестве операционки, кажется, перечёркивает любые достоинства: буквально в последние часы перед публикацией этой колонки стало известно, что немцы (Der Spiegel) в тех же сноуденовских материалах раскопали свидетельства взлома АНБ всех массовых мобильных платформ.

Во-вторых, производителей принуждают выдавать (а в случае невозможности к принуждению — выкрадывают) приватные криптографические ключи, необходимые для декодирования потоков данных конкретных программных и аппаратных продуктов. Полученные ключи складируются в базу данных Key Provisioning Service, откуда по необходимости извлекаются самим АНБ и его партнёрами.

В-третьих, АНБ и прочие оказывают давление на разработчиков и институты стандартизации (в том числе NIST) с целью ослабления криптографических алгоритмов, используемых в Сети. В ход идут плохие генераторы случайных чисел, странные константы (в частности в криптографии с эллиптическими кривыми) и прочее подобное.

Наконец, в-четвёртых, АНБ и партнёры не стесняются вербовать или внедрять скрытых агентов в телекомы по всему миру — и таким образом получают доступ в самые труднодоступные места, к самым сложным из интересующих их целей.

Таковы вкратце свежие находки из архива Сноудена, обнародованные под конец прошлой недели газетами The Guardian, New York Times и некоммерческой ProPublica. И если начистоту, то первое, что чувствуешь после изучения десятка оригинальных статей и пересказов, — это бешенство: среди тысяч слов почти ни одного имени или названия. Однако отсутствие конкретики — не случайность. Официальные лица (по всей видимости, от правительств США и Великобритании), ссылаясь на возможный вред для национальных интересов, настаивали на том, чтобы вообще ничего не публиковать. Издатели уважили просьбу наполовину: материалы увидели свет, но без имён. Таким образом, показать пальцем на конкретного вендора или продукт и сказать «Виновен!» не получится. Но, как утверждает минимум один (и весьма авторитетный) эксперт, можно исходить из обобщения. Если вы используете SSL/HTTPS, SSH, VPN (в том числе организуемые аппаратно), интернет-телефонию или шифрованные чаты, предполагайте, что ваш трафик перлюстрируется АНБ и её партнёрами. И тогда следующий вопрос, которым вы зададитесь, — это как укрыться от всепроникающего ока спецслужб?

Шнайер рекомендует Linux вместо Windows, а его замечание относительно связи «эллиптической» криптографии и АНБ заставляет вспомнить про Bitcoin, где как раз используется один из таких алгоритмов…

Упомянутый эксперт — всем известный Брюс Шнайер. Теперь он помогает Guardian разбирать сноуденовские материалы и, опираясь на найденное в последние дни, считает возможным подвести черту трёхмесячному скандалу. Его рассуждения просты. Пусть мы не знаем имён сотрудничающих компаний и названий скомпрометированных продуктов, зато знаем, что АНБ атакует чаще всего не конкретные компьютеры (это практикуется, но редко, ибо дорого), а интернет-магистрали и площадки, куда стекается трафик, а равно и то, что стойкое крипто «снимается» преимущественно не в лоб (то есть сами математические схемы по-прежнему неуязвимы), а через слабости в конкретных реализациях/инструментах. Исходя из этого, он даёт четыре совета, которые будут практически полезны для каждого, обеспокоенного ИТ-приватностью.