Читать книгу Журнал PC Magazine/RE №04/2009 - PC Magazine/RE - Страница 1

Раздел подготовил Максим Белоус

Mac OS X: iДоверяй, но iПроверяй

Пользовательский механизм контроля доступа (UAC) – важный элемент безопасности современных ОС. Пользователи Windows Vista и Windows 7 прекрасно c ним знакомы, нечто подобное есть и в Мас OS X. Но, как оказалось, в «яблочной» ОС имеется серьезная уязвимость. Злоумышленник может написать код, который позволит ему изобразить запрос на авторизацию, маскируясь под заведомо доброкачественную программу. А затем… В общем, ничего хорошего.

Уязвимостью в строгом смысле слова проблему все же назвать нельзя. Это скорее недоработка, позволяющая эксплуатировать пресловутый человеческий фактор. Дело в том, что в особо подозрительных случаях (когда запускается программа, намеревающаяся получить доступ к наиболее уязвимым областям системных данных) Mac OS X выводит на экран диалоговое окно, в котором просит ввести пароль.

Тонкость заключается в том, что разработчики системы обозначили весьма широкие пределы, в которых запрашивающая такого разрешения программа может формулировать свой запрос. Многие пользователи «Маков» гордятся тем, что в ИТ-премудростях им в принципе незачем разбираться: система, мол, настолько совершенна, что прекрасно справляется со всеми рутинными задачами сама, а дело человека перед компьютером – свободное творчество.

Таких пользователей появление окошка с надписью вроде «Служба System Preferences требует подтвердить ваш пароль» вряд ли заставит что-либо заподозрить. Это Windows-пользователям приходится регулярно ставить загруженное из Интернета ПО, а владельцы «Маков» от такого по большей части избавлены. А потому не всегда готовы остановиться и подумать: отчего ни с того ни с сего возникла ситуация с запросом пароля? зачем это вдруг понадобились дополнительные привилегии?

Так что «троянские кони» для компьютеров Apple получают в свое распоряжение еще один инструмент взлома оборонительного периметра системы. Самый, как показывает пример легендарного Кевина Митника, эффективный: человеческий фактор.

Похоже, что идея компьютера как полноценного инструмента для полностью неподготовленного пользователя все-таки утопична по сути. Чем сложнее инструмент, тем лучше надо его знать, чтобы что-то путное с его помощью создавать. В противном случае – и дела не сделаешь, и инструмент испортишь.

Постное ИТ-меню

Традиционным религиям в современных условиях приходится несладко. То вдруг выясняется, что Земля все-таки вертится, то медики начинают заниматься клонированием, то высокие технологии становятся внезапно неотъемлемой частью жизни…

Определить Интернет в ведение избранного специально для этого цели святого – еще полдела. Куда важнее понять, как ИТ-реалии согласуются с традиционными церковными догмами. Верующих мучает вопрос: как пользоваться высокими технологиями в Великий Пост и при этом не согрешить? Занятный ответ предлагают католические иерархи.

Руководители итальянских епархий обратились к Папе с предложением подновить официально оглашаемые с церковных кафедр правила поведения в период поста. Ведь новые технологии означают и новые искушения для пользующихся ими добрых католиков. А противостоять искушениям лучше вооружившись увесистой папской буллой.

Предложения епископов сводятся к ограничению использования всевозможных ИТ-приспособлений, отдаляющих, по их мнению, людей друг от друга. Так, например, предлагается сократить обмен SMS в период Великого Поста, а по пятницам и вовсе отказываться от этого способа связи.

Священники Турина предложили воздерживаться на весь срок поста от просмотра телепрограмм. Их коллеги из Тренто подошли к проблеме еще более системно, обнародовав календарь, согласно которому каждую неделю в этот важный для христиан период следует отказываться от пользования теми или иными технологиями.

Впрочем, католический пост в сравнении с православным не так уж и строг: даже в период Великого Поста католики всего лишь не едят мяса по пятницам. Разумеется, больше времени уделяют молитвам и всевозможным самоограничениям, но до православного накала самоотвержения все-таки не доходят. Поэтому если аналогичные предложения выдвинут православные священники, можно ожидать, что рекомендациями отказаться от прослушивания музыки на неделю дело не ограничится.

Жертвы ботнетов

Британские ученые (в данном случае ИТ-специалисты) не перестают поражать мир новизной подходов к исследуемым проблемам. Создатели популярной телепередачи BBC Click в сотрудничестве с такими специалистами провели эксперимент, суть которого сводится к тому, чтобы «в прямом эфире» продемонстрировать рождение ботнета. В роли «морских свинок» выступают случайно выбранные пользователи. Цель – показать, насколько беззащитны перед спланированными атаками большинство составляющих Сеть персональных компьютеров и серверов. Специально разработанное вирусное ПО заражало компьютеры посетителей чатов, и эти ПК впоследствии образовали ботнет, который, в свою очередь, был использован для организации DDoS-атаки на заранее подготовленный сервер.

Выстроить свой ботнет, состоявший на пике его активности примерно из 22 тыс. машин, специалистам программы Click удалось до смешного просто. Использовавшийся для этого инструментарий без труда можно найти на форумах «черных хакеров» и в пиринговых сетях.

Заражение производилось с применением давно известных уязвимостей одного популярного браузера, из-за которых щелчок по ссылке на сайт-ловушку прямо в окне чата незамедлительно приводит к загрузке вредоносного сценария.

Объединенные в ботнет компьютеры использовались сначала для организации спамовой рассылки по специально заведенным электронным адресам, а затем и для проведения DDoS-атаки на сервер компании Prevx, занимающейся вопросами Интернет-безопасности, – разумеется, с ее ведома и согласия.

Как отметили эксперты из Prevx (для вывода в офлайн их сервера потребовалось, кстати, объединить усилия всего лишь шестидесяти машин из состава ботнета), DDoS-атаки на сайты небольших торгующих в Интернете компаний составляют заметную долю всех регистрируемых в Великобритании киберпреступлений. Преступники, не давая такому сайту работать в штатном режиме, выходят на связь с его владельцем и требуют от него отступных за прекращение атаки и возвращение возможности нормально заниматься бизнесом в Сети.

Доступ к личной информации пользователей машин, которые вошли в состав ботнета, не производился, – об этом организаторы очередного эксперимента Click заявили со всей определенностью. Кстати, у той же Prevx есть сведения, что контроль над компьютерами из стран ЕС, угодившими в состав ботнетов настоящих «черных хакеров», может быть перепродан затем другим киберзлоумышленникам.

Цена такой сделки достигает 1000 долл. за компьютер – не в последнюю очередь потому, что на жестком диске такого ПК может находиться ценная финансовая и коммерческая информация.

Более того, специалисты Click связались со всеми незадачливыми владельцами ПК, попавших в состав ботнета, и посоветовали им обращать больше внимания на безопасность своих компьютеров. Как минимум – активировать те функции защиты, которые предоставляет сама операционная система (хотя бы встроенный брандмауэр Windows Vista или XP). А еще лучше – обзавестись специализированным антивирусным и антихакерским ПО.

Пятерка за Starcraft

Калифорнийский университет в Беркли – известная кузница американских ИТ-кадров. Там готовят молодых специалистов по множеству направлений, востребованных в современной ИТ-индустрии.

Недавно их перечень пополнился еще одним, не самым пока привычным. В Беркли теперь читают курс по стратегической компьютерной игре в реальном времени – знаменитой Starcraft, разработанной компанией Blizzard.

Судя по описанию, курс будет содержать детальное изложение боевой механики игры – как в теоретическом ее аспекте, так и в плане практического воплощения. Как известно, Starcraft наряду с Warcraft RTS отличается поразительным игровым балансом, что позволило ей стать одной из дисциплин официальных киберспортивных состязаний во всем мире.

Студентам, желающим ввести в свое учебное расписание занятия по Starcraft, рекомендуется предварительно прослушать курсы дифференциальных уравнений и вычислительной математики, – это позволит глубже вникнуть в секреты игровой механики.

В числе целей, которые ставит перед собой новый курс университета Беркли, – развитие у студентов критического мышления и привычки к принятию эффективных решений за ограниченное время; упрочение теоретической базы, необходимой для самостоятельной разработки компьютерных игр.

Впрочем, Starcraft – это еще цветочки. Студентам отделения массовых коммуникаций тайваньского университета Провиденс предлагают прослушать курс по изучению и анализу порнографических фильмов. Любопытно, существуют ли проблемы с посещаемостью лекций и семинаров этого курса?