Створена методична інструкція не претендує ні на що. Можливо існує інший (простіший, надійніший, швидший та ін.) шлях встановлення Dspace. Прошу пишіть та створюйте конкуренцію. У методичці наводяться основні кроки по встановленню Dspace, вони не описані, також тут нема опису додаткових можливостей ПЗ яке забезпечує працездатність Dspace. Якщо у Вас виникли якісь розумні запитання чи пропозиції щодо розширення цієї методички, зауваження щодо змісту чи Вам просто важко у душі - пишіть на е-мейл: oai@lp.edu.ua . Також відкрився перспективний бібліотечний портал за адресою http://library.ridne.net ¬– приєднуйтесь, беріть участь у обговоренні проблем бібліотеки, проблем інформатизації бібліотеки та інше що пов’язане з бібліотекою. Щиро Ваш Андрухів Андрій.
Гендерный дисбаланс. Марина Комиссарова
Вимоги до встановлення:
а) Комп’ютер;
б) Людина з базовими знаннями UNIX, LINUX систем;
в) Internet.

1. Встановлюємо FreeBSD 7.2;
2. Для редактування файлів конфігурації та для спрощення роботи в ОС спочатку встановимо файловий менеджер Midnight Commander (MC). Для цього переходимо у файл з портами: # cd /usr/ports/misc/mc. Виконуємо команду: # make install clean. Якщо Інтернет проходить через проксі сервер то у файлі .cshrc додаємо стрічку setenv HTTP_PROXY ip_address:port. Додати цю стрічку можна через текстовий редактор VI. Для цього виконуємо наступні дії: # vi .cshrc .В результаті ми потрапимо у середовище VI. Для вводу стрічки, що пропише параметри проксі натиснемо клавішу Іш (Input) та вводимо setenv HTTP_PROXY ip_address:port. Після закінчення вводу натискаємо клавішу Esc. Для збереження результату натиснемо комбінацію :wq. Це дозволило вийти з редактора VI зі збереженням файлу. Перезавантажуємо комп’ютер.

2. Перекомпіляція ядра

Створена методична інструкція не претендує ні на що. Можливо існує інший (простіший, надійніший, швидший та ін.) шлях встановлення Dspace. Прошу пишіть та створюйте конкуренцію. У методичці наводяться основні кроки по встановленню Dspace, вони не описані, також тут нема опису додаткових можливостей ПЗ яке забезпечує працездатність Dspace. Якщо у Вас виникли якісь розумні запитання чи пропозиції щодо розширення цієї методички, зауваження щодо змісту чи Вам просто важко у душі - пишіть на е-мейл: oai@lp.edu.ua . Також відкрився перспективний бібліотечний портал за адресою http://library.ridne.net ¬– приєднуйтесь, беріть участь у обговоренні проблем бібліотеки, проблем інформатизації бібліотеки та інше що пов’язане з бібліотекою. Щиро Ваш Андрухів Андрій.

Вимоги до встановлення:
а) Комп’ютер;
б) Людина з базовими знаннями UNIX, LINUX систем;
в) Internet.

1. Встановлюємо FreeBSD 7.2;
2. Для редактування файлів конфігурації та для спрощення роботи в ОС спочатку встановимо файловий менеджер Midnight Commander (MC). Для цього переходимо у файл з портами: # cd /usr/ports/misc/mc. Виконуємо команду: # make install clean. Якщо Інтернет проходить через проксі сервер то у файлі .cshrc додаємо стрічку setenv HTTP_PROXY ip_address:port. Додати цю стрічку можна через текстовий редактор VI. Для цього виконуємо наступні дії: # vi .cshrc .В результаті ми потрапимо у середовище VI. Для вводу стрічки, що пропише параметри проксі натиснемо клавішу Іш (Input) та вводимо setenv HTTP_PROXY ip_address:port. Після закінчення вводу натискаємо клавішу Esc. Для збереження результату натиснемо комбінацію :wq. Це дозволило вийти з редактора VI зі збереженням файлу. Перезавантажуємо комп’ютер.

2. Перекомпіляція ядра

У березні вийшла у світ нова версія безкоштовної відкритої електронної системи управління електронним репозитарієм Dspace 1.5 . Попередньою версією була Dspace 1.4.2. Перші труднощі, які виникають із встановленням системи це зміна послідовості компіляції коду та тепер обов"язковим повинна бути наявність Інтернету. Після компіляції та встановлення Інтернет не є обов"язковим для роботи системи. Був трохи змінений і дизайн. Мною були розроблені детальні методичні вказівки щодо встановлення системи на оперційну систему FreeBSD 7.0 . Тому якщо в когось виникали труднощі із встановленням - прошу звертатись. Контакти наведені на http://it.ridne.net/user/123

Вчора у НУ "ЛП" відбувся успішний захист докторської дисертації керівника та розробника проекту ridne.net . Тому від імені учасників, користувачів, відвідувачів холдингу ridne.net приношу щире привітання Пелещишину Андрію Миколайовичу.
Виник даний проект приблизно 6 років тому. І зараз він є навпрочуд успішним та популярним. У дисертації були представлені науково обгрунтовані методи та засоби по популяризації та фактично створенню успішних холдингів. Це перший в Україні захист докторської дисертації по тематиці WWW. Висловлюю надію, що даний проект буде існувати і далі та успішно розвиватись.

Щось цим пасмурним вечором згадалася мені весна, коли сніг розстанув, на дворі вже проблискувало тепле сонечко, в Естонії проводили акцію перезахоронення радянських вояків і у зв’язку з протестом невідомих ( ну, це офіційно невідомих) була здійснена потужна DoS-атака на найпотужніший банк країни SEB Eesti Uhispank та газету Eesti Paevaleht.
DoS- атака ( атака на відмову в обслуговуванні) це скерування великої кількості запитів на веб-сервер. Зазвичай така атака проводиться роботами-ботами і призводить до зупинки роботи сервера. Середня вартість такої атаки на українському ринку складає 60-80 дольців.
Зазвичай DoS атака зупиняється блокуванням ІР-адреси атакуючої машини, проте зазвичай доводиться відключати цілі фрагменти мережі, жертвуючи потенційною аудиторією, що може відвідати сайти. Такі атаки проводяться бот-мережами, вважається, що зараз у бот-мережі задіяно біля 150 млн. комп’ютерів.

Реформуванню та зміні підлягають не тільки системи глобального пошуку, а й системи локального пошуку, інакше кажучи системи пошуку інформації у корпоративних системах. Системи такого типу дозволяють знайти фактично довільну інформацію – починаючи із текстових документів і закінчуючи вмістом кешу браузера, але, нагадую, в межах корпоративної системи. Основними постачальниками таких продуктів є Google, Yandex та ін. Пригадується, як кілька років тому на ринку тільки з’явився Google Desktop. Майже кілька днів по тому його встигли оголосити потенційно небезпечною програмою, через те що він проводив індексацію всіх поштових повідомлень, і цим самим можна було обійти пароль до поштової скриньки. Потім у системі Google Mini була віднайдена вразливість, в результаті якої можна було виконати сценарій чи html-код. Єдине що радує в роботі такого монстра, як Google це оперативна робота. Вразливості у програмних продуктах і так доволі рідко знаходять, так ще й реакція на них є блискавичною. Після виходу у світ Google Desktop 2 знову посипались обвинувачення на адресу цього продукту, який надавав доступ до закритої інформації. Але потім виявилось що це даремно, оскільки вразливість була у Internet Explorer. Підсумовуючи ці випадки, важливо замітити, що найбільша загроза яка виникає при використанні пошуковців такого типу – це втрата конфеденційної інформації. Але чи є тут вина таких пошуковців. Частково так, через помилки допущені при написанні таких програм. Проте основна вина все ж лежить на керівниках, відповідальних за безпеку інформаційної системи. Якщо є відсутньою система фільтрації документів, що відправляється у зовнішній світ, якщо немає контролю підключення до USB портів, якщо до конфеденційної інфрмації має доступ будь-яка особа то це вина аж ніяк не пошуковця.

До 15 жовтня проводиться набір статтей у вісник "Комп"ютерні системи та мережі" Національного університету "Львівська політехніка" Інституту комп"ютерних технологій автоматики та метрології кафедри "Електронні обчилювальні машини". Вісник має статус ВАК, а тому і статті слід оформляти згідно вимог. З питань оформлення та прийому статті звертатись на поштову скриньку andrie83@gmail.com до Андрухіва Андрія( додаткова контактна інформація за адресою http://it.ridne.net/user/123)

Зараз існує ціла серія програмних сканерів безпеки які цілком якісно можуть провести діагностику захисту сервера. В більшості серверів сканер видає повідомлення про наявність(функціонування) методу trace. Чомусь прийнято вважати, що це діра в захисті і її можна використати для взламування. Це правда, але часково. Метод TRACE призначений для діагностики мережі. Принцип роботи приблизно наступний – клієнт відсилає серверу певну інформацію, а сервер у свою чергу відпраляє отриману інформацію назад. Якщо в результаті була отримана видозмінена інформація – що десь не спрацювало. Проте цей метод був використаний для здійснення XSS атак: в TRACE запиті на сервер передаються кукіси, якщо вони є. Тому можна запит перехватити і витягнути звідти все що потрібно.

Цього разу як доповнення до Google Earth компанія випустила Google Sky. Користувачі сервісу мають тепер змогу побачити супутникові знимки Землі із пристойним розширенням. Крім цього, як стверджує Reuters можна побачити біля 100 млн зірок і 200 млн галактик. Всі знимки для Google Sky надала Digital Sky Survey, каліфорнійська обсерваторія Паломар та центр астрономії Об’єднаного Королівства.
Нагадаю, що створити такий сервіс Google хотіла вже давно. Першими спробами були карти Місяця та Марса.

Якось нещодавно довелось мені зустрітись із проблемою недовіри користувачам. Проблема є тривіальною, проте програмери роблять стільки помилок, що аж волосся випадає, при чому не тільки в мене. У даному випадку я наведу приклад від якого можна відштовхуватись і на його базі буде представлена концепція взаємодії з користувачами. А суть проста, як двері – не довіряти нікому, навіть якщо користувачем є рідна мама. Наприклад є така форма

1.form action=log.php method=GET
2.input maxlength=10 type=”input” name=”username”>Username /input
3./form

От ніби класична форма, яку завше використовують(тут ще повинні бути розставлені символи < та >, але фільтр it.ridne.net їх не пропускав, тому я їх видалив, скористайтесь фантазією і поставте їх де потрібно). Але вона містить потенційну вразливість. І полягає вона в обмеженні довжини до 10 символів(2-а стрічка). Справа в тому, що це обмеження спрацьовує на стороні клієнта, а не сервера. Це означає, що я можу : використати браузер який нехтує параметром maxlength , можу написати свій браузер який буде нехтувати цей параметр і зрештою направити наступний url :

Але перед тим як дати опис тої фігні хотілося б дати опис програм для пошуку точок входу у програму. Для застарілої Windows NT перелік засобів для перегляду реєстра і файлової системи розміщені за адресою http://www.sysinternals.com . Найбільш популярні програми це filemon та regmon. Інший тип програм це АРІ монітори. Ці програми підключаються до певних викликів АРІ і дозволяють визначити, які параметри передаються цим викликам.
Для зміни викликів функцій АРІ можна використати програму Failure Simulation Tool компанії Cigital. Програма FST працює між програмою і DLL за допомогою перезапису таблиці адрес переривань. Завдяки такому підходу видно, які функції АРІ викликаються і які параметри передаються. Програму можна використовувати для генерації рапорту про помилки в програмах. А якщо є помилки – то програма швидше ламається. Цей відступ був для загального розвитку, просто щось собі нагадалось.

У матеріалі мова йтиме про слабкості фільтрів вхідних даних при роботі з веб-серверами. Так наприклад, стрічки http://server/dir\..\..\..\winnt та http://server/dir/../../../winnt є еквівалентними. А це означає, що якщо проходить фільтрація символу «/» то я спокійно використаю символ «\» . А ще існує така річ як кодування url, utf-8, Unicode. Наприклад, стрічка, еквівалентна до попередньої прийме вигляд http://server/dir\..%5C..%5C..\winnt ( %5C те саме що і символ «\»). Багато фільтрів виконують пошук мета символів, але можуть пропустити деякі з них при наявності символу ESC . Він, зазвичай, встановлюється на початку керуючої послідовності символів. Без цього символу керуюча послідовність буде перетворена на інший символ:

Ще колись в давні часи постало питання виміру програмного забезпечення. І найкраще для цього підійшла одиниця – кількість стрічок коду. Відповідно до цього критерію ввели поняття кількості помилок на 1000 стрічок коду. Це значення повинне лежати в діапазоні від 5 до 50. Системи, що пройшли контроль якості (Quality Assurance) повинні містити не більше ніж 5 помилок на 1000 стрічок коду. Зараз програмне забезпечення тільки ускладнюється і значно зростає в об’ємі. Так наприклад, система Netscape містить 17 млн. стрічок коду, космічна станція – 40 млн., windows 95 – 5млн., windows xp – 40млн., Linux – 5млн. Для наведених систем частота помилок коливається від 5 до 50 на 1000 стрічок коду. Подивившись на цю статистику найбільш приємний той факт, що Linux потенційно стабільніший від windows xp у 8 разів.

При аналізі та пошуку вразливих місць у програмах використовується кілька підходів. В даному випадку я наведу найпростіший. Схема роботи буде проста як двері. Компанія Rational створила програму Purify для динамічного дослідження програмного забезпечення. Ось її і будемо використовувати. За допомогою програми Hailstorm запускаємо процес внесення помилок у SQL Server 7 і за допомогою Purify будемо відслідковувати стан програми. Враховуючи, що у даному СУБД більше помилок, ніж стрічок з програмним кодом, використаємо хоча б одну з них. Наприклад, при внесенні некоректних даних в пакет протоколу SQL Server виникає проблема затирання даних в пам’яті. Збій проходить в результаті неправильної обробки даних. SQL сервер приймає запити по 1443 порту. Для цього порту жодних специфікацій не існує. Направимо на цей порт випадкові дані( нехай це будуть згенеровані цифри) з інтенсивністю 20 пакетів в секунду. SQL Server буде сприймати ці пакети без жодних проблем. Вхідні дані обробляються різними фрагментами коду. Фактично ці фрагменти виконують читання заголовків протоколу. Через деякий час Purify вкаже на виникнення помилки і на зміну даних у пам’яті. Такого роду помилка призводить до відмови в роботі сервера. І як результат нашої роботи ми отримаємо звіт програми Heilstorm, а програма Purify вкаже на точне місце в програмному коді, де міститься помилка. Як використовувати цю помилку вже залежить не від мене. Якби мені довелось б піти іншим шляхом ( наприклад, вводяться в програму дані і досліджується фрагмент коду, що відповідає за обробку цих даних) напевне це зайняло б у мене кілька днів. Наведений метод є ефективний хіба для продуктів мікрософту, де помилка помилку поганяє. Для нормального програмного забезпечення існують складніші методи та підходи до взламування.

За повідомленням компанії Calyptix Security у програмному забезпеченні мережних пристроїв багатьох відомих виробників віднайдена серйозна вразливість. Це вразливість, що дозволяє реалізацію CSRF атак. Суть атаки полягає у можливості контролювання атакуємий пристрій шляхом генерації запиту від імені авторизованого користувача. Для реалізації такої атаки на мережний пристрій потрібно заставити користувача, що має доступ до пристрою, під’єднатися через до пристрою через веб-інтерфейс і в цей момент відкрити в браузері сформований певним чином сайт.
Атакам такого типу можуть підлягати апаратні брандмауери, маршрутизатори, мережні принтери та ін. Через вразливість можна створювати нові облікові записи, змінювати паролі користувачів, налаштування. Найцікавіше тут, те що виробники мережних пристроїв чомусь не збираються виправляти помилки програмного забезпечення (крім Check Point Software Technologies, яка блискавично відреагувала на виявлення вразливості і відразу її ліквідувала ). Інші компанії намагаються відмовчатися.

У даному матеріалі буде розглянуто найновішу концепцію захисту інформації у банківській інформаційній системі.
Спочатку створюється база працівників банку. І відповідно кожному з них надається індивідуальний ідентифікатор та пароль(зазвичай це робить адміністратор). По цьому ідентифікатору визначаються права доступу у банківську мережу та привілеї роботи. Далі адміністратором визначається перелік можливих робочих місць користувача, при цьому мережний ідентифікатор та пароль користувачу не повідомляються. Натомість користувач отримує спеціальний ключ у вигляді елементу Touch Memory, де криптографічно записано паспорт ключа, мережний ідентифікатор та пароль, пароль входу у банківську систему. Для автентифікації користувача створена спеціальна програма, що контролює ввід пароля, читає елемент Touch Memory і здійснює криптографічний контроль вмісту пам’яті ключа, проводить ідентифікацію користувача, і надає доступ до мережі відповідно до прав та привілеїв. Передача даних по каналам зв’язку забезпечується комбінованою криптографічною системою. Платіжні документи клієнта, банк отримує виключно при наявності цифрового підпису( криптосистема з відкритим ключем). Захист пересилання файлу з платіжними документами забезпечується криптосистемою із закритим ключем. Ну а носієм закритого ключа клієнта банку є елемент Touch Memory.
При такій організації захисту визначені дві вразливості – адміністратор та програма, що проводить ідентифікацію користувачів. Проблемою також є втрата чи передача іншій особі елементу Touch Memory.

А почну я із файлу /etc/inetd.conf. Звідти необхідно видалити все, що не використовується сервером( зокрема команди shell,exec,login). У файлах /etc/rc.* , /usr/local/etc/rc.d/ міститься весь перелік програм, що запускаються. Тому його потрібно проаналізувати і також забрати весь непотріб. У файлі /etc/rc.conf виставити параметр tcp_extensions=”NO” для запобігання DoS атакам. Хоча тут все залежить від версії ядра. У старіших версіях цей параметр прописувався при перекомпіляції ядра, у новіших – його винесли у вказаний файл. Для контролю за цілісністю сервера можна використовувати готові утиліти – tripwire, mtree . Мені ліньки їх описувати, тому детальніше про на лаштування і роботу цих демонів можна нарити в Інтернет.

Міністр освіти Російської Федерації трішки пообіцяв до першого вересня забезпечити всі школи ліцензійним ПЗ. А це становить 650 000 компутерів, з них 98% використовують піратську вінду і все що з нею пов’язано. Міністерство провело переговори з Microsoft (а також Adobe Systems, Corel Draw, Лабораторией Касперского, «Доктор Веб»” і «RarLab») для визначення пільгової ціни на програмні продукти. І як результат получилось 353 рублі на один комп’ютер в рік. Міністерству ця пропозиція підійшла. Але в гру вмішалось міністерство економіки. Перший зам запропонував перейти на Лінукс, що скоротить витрати до 150 рублів в рік. Але потрібно зробити великий одноразовий грошовий вклад для адаптації шкільних програм під цю операційку і відповідно на навчання вчителів. А причина таких дій проста як двері – фактично вся країна попаде у монопольну залежність від Майкрософт. Тепер треба почекати, чим це все закінчиться.

Розглянуто методи ідентифікації особи за відбитками пальців. Приведено класичний підхід до проведення ідентифікації та на його основі здійснено аналіз модифікацій різних його частин. Виділено проблеми, які виникають на різних етапах у систем ідентифікації.

Вступ

Біометрія, як наука вивчення математичних або статистичних властивостей у фізіологічних і поведінкових людських характеристиках, широко використовується у сфері захисту інформації. Використання відбитків пальців в якості біометрії є одним з найстаріших методів автоматизоматизованої ідентифікації особи і водночас найбільш поширеною в наш час. До числа факторів, які сприяють поширенню використання систем такого типу можна віднести: незначні розміри та вартість апаратури для обробки зображень відбитків пальців, високопродуктивне апаратне забезпечення, степінь та швидкість розпізнавання, що відповідають вимогам програмного забезпечення, різкий ріст та розвиток мережних технологій та Інтернету, а також усвідомлення необхідності простих, базових методів захисту та безпеки інформації.

Зараз мережею і людьми поповзли чутки про можливість поповнення свого рахунку за допомогою якоїсь хакерської програми. Перша це звичайний вірус. Після його активації з’являється попередження, що якщо користувач не заплатить гроші хакеру, то вся інформація на вінчестері буде втрачена. І після проплати користувач отримує код, що зупинить роботу програми. Друга програма більш цікавіша. Це не вірус. З’явилась невідома група людей, що назвала себе Invisible group Software та пропонує людям, як вони самі називають, українські нелегальні програми. Побачити це можна на http://ukr.sitesled.com/download.html . Наразі пропонується 2 програми: UA-ID – програма, що виводить інформацію про людину з її ідентифікаційного коду, а саме дату народження та стать. Програма реально працює, на собі провіряв; та програма з назвою KyivstarGSM – для поповнення свого рахунку мобільного телефону з тарифними планами Kyivstar, Djuse. З цією вже виникли проблеми. Скачати можна тільки демоверсію. Оригінал коштує 80 дольців. Заплатіть гроші і вам вишлють код активації. Демоверсія не генерує останніх 4 цифр коду поповнення рахунку. Програма працює за наступною схемою – користувач вибирає суму номіналу поповнення рахунку (25, 50, 100, 300) і натискає кнопку генерування коду. Я спробував ризикнути і запустив 2 програми на свому компі і що найгірше, він ще працює і наразі жодних збоїв я не зафіксував, хоча і не користуюсь антивірусами.