Є в Штатах такий собі інститут SANS Software Security Institute , котрий, як видно з назви, займається проблемами написання безпечного коду. Проаналізувавши біля 7 тисяч різних вразливостей вони вирішили написати на базі цього екзамени з 4 напрямків програмування -- C/C++, Java/J2EE, Perl/PHP, .NET/ASP . Екзамени випробують у Вашингтоні і після цього будуть розповсюдять по світу. Питання в основному складатимуться із шматків коду, де потрібно буде ліквідувати вразливість. Після успішного складання іспиту буде видаватися сертифікат. Можливо це знайде поширення і в нас, особливо y software компаніях та програмістах які прагнуть підвищити свою самокваліфікацію. Особисто я вважаю, що кращого засобу при написанні якісного коду ніж презeрватив не існує. Мережі не потрібні аматори, котрі прочитавши брошурку чи якусь книжку, роблять із себе великих програмерів, а якість їхньої роботи бажає тільки кращого.

Продовжуючи доменну тему, Європа запропонувала ICANN створити для банків та фінансових організацій окремий домен -- .bank, .safe, .sure . Основну ціль яку ставлять банки, так це уберігання клієнта від шахраїв. Домен будуть видавати тільки після проходження певної процедури. Фактично, схема буде такою самою як і з .gov .
Це вже наступна спроба банків перейти на наступний рівень безпеки роботи з клієнтами в Інтернет. Спочатку висувалась ідея модифікації веб-браузера – при відвідуванні безпечних сайтів фінансових структур, адресна стрічка браузера забарвлюється у зелений колір. Але щось ідея заглохла. Тепер банки хочуть мати окремий домен. ICANN наразі не подає жодних коментарів на цю тему. Особисто мені ця ідея сподобалась. Цей хід може значно скоротити кількість шахраїв. Оскільки, Україна теоретично рухається в Європу то напевне нам такого домену давати не будуть, ну це за умови що взагалі буде створено такий домен.

Якось вчора так склалось життя, що довелось мені згадувати своє раннє дитинство і встановлювати сервер FreeBSD 6.1 . От ніби і в садок ходив, і в школі вчився, але після встановлення MYSQL 4.0.25 не міг його запустити. Встановив потім 5 версію – те саме. А в принципі, судячи із відгуків різних маньяків 4-й MYSQL працює значно стабільніше. Я ще зі свого народження підсів на нього і на 5-й ще переходити не збираюсь. В матеріалі мова піде про те, що мені довелось пережити щоб підняти MYSQL.
А почну із того, що встановлював я не з портів. Після встановлення спершу потрібно залізти у /usr/local/share/mysql і знайти 3 файли : mysql-small.cnf , mysql – medium.cnf, mysql-large.cnf . Як сі можна здогадати це типові конфігураційні файли для MYSQL . З назви видно, що кожен містить налаштування в залежності від схеми використання СУБД. Я особисто, вибрав 2-й файл та перейменував його у my.cnf. Щоб ці налаштування зробити глобальними потрібно скопіювати файл у /etc. Далі, через текстовий редактор проглядаємо налаштування. Єдине, що потрібно там змінити, так це розкоментувати стрічки: log-bin=mysql-bin; server-id=1. Ці стрічки відповідають за схему використання серверу – master чи slave. В даному випадку я визначив використання MYSQL у master режимі. Починаючи з freebsd 5 сокет mysql розміщений у файлі /tmp, тому його потрібно відкрити для запису(chmod 777 /tmp). Заходимо у /etc/rc.conf і прописуємо стрічку mysql_enable=”YES”( це автоматичний запуск СУБД після перезавантаження). Ну і в кінці потрібно змінити власника /var/db/mysql ( chown –R mysql:mysql /var/db/mysql). При встановленні MYSQL створюється користувач mysql та група до якої він належить mysql . Коли ми створюємо базу даних, то відповідно створюється файл з такою ж назвою ( поняття каталога у freebsd не існує!) у /var/db/mysql. Оскільки mysql запускається під користувачем mysql, то він повинен мати права на запис у цей файл. Перезавантажуємся і працюємо в СУБД. В даному матеріалі я упустив ті ерори , що видавала мені система і ті матюки, які я давав їй у відповідь. Фактично у таких випадках весь аналіз здійснюється по логах, які формує система. MYSQL записує всі свої помилки у /var/db/mysql/.err. Я вже близько року бавлюся із серверами і найгірше, те що не існує повноціного матеріалу, який би дозволив побувати сервер. Офіційна документація тільки до якогось демона зазвичай складає кілька десятків сторінок і не завжди є час її читати. Ще літом в мене виникла ідея написання такої книжки, але мені просто ліньки це робити, а особливо набирати. Тому шукаю привабливу дівчину, котра б могла це для мене зробити

У даному матеріалі мова піде про загальні алгоритми проектування розподіленої обчислювальної мережі з повністю визначеною інформацією про її об’єкти. Метою написання матеріалу є виключення можливості роботи алгоритмів віддаленого пошуку.
Однією із причин успішної атаки на розподілену обчислювальну мережу (ОМ) є відсутність інформації про доступ до віддаленого об’єкту. І тому, якщо на початку створення ОМ таку інформацію повність визначити, то це може суттєво скоротити серію атак на цю мережу. Але при високій кількості таких об’єктів, таку мережу побудувати практично не реально.
Сцена поступово освічується місячним сяйвом. Так, що становиться видно перший алгоритм, що базується на використанні інформаційно-пошукового сервера, та другий із використанням широкомовного запиту. Раптом зверху падає кінець і по ньому швидко з’їжджає хакер і дає _____ другому алгоритму. Хакер:

Пригадується, ще за часів життя короля Косяка, саме того який віддав свою Маріхуанну-Прекрасну і півцарства за Івана-Наркомана, був тоді галімий Інтернет без DNS серверів. І означало се, що доводилось тоді користуватись 32-розрядними ІР-адресами. Але знайшлися мудреці, котрі створили текстовий файл із відповідністю імен комп’ютерів до їх ІР-адрес – так званий host file. І абгрейдився цей файл кожного разу і передавався він від одного компа до іншого і тільки заради того, щоб юзер міг собі замість 127.0.0.1 набрати у стрічці браузера чарівне слово localhost. Але мережа росла, наркомани розмножувались і постала тоді необхідність у створенні єдиного інформаційного сервісу котрий б здійснював перевід мнемонічно зрозумілих імен у ІР-адреси та навпаки. І постала тоді доменна служба імен DNS (Domain Name Server) зі своїм спеціяльно створеним протоколом. Тоді всі зібрались, ширку прийняли, димедрол ковтнули, траву скурили та й вирішили, що буде працювати тоді цей DNS та ще й за таким алгоритмом :

Компанія Google розпочинає створення програми, що здатна перекачувати величезні масиви даних. Перше застосування вона знайде для передавання інформації об’ємом до 120 терабайт на базі вже прокладених (створених) мереж. Програма буде відкритою і розрахована на застосування у науковій сфері. Наразі буде розроблятися клієнтська версія, а згодом і серверна. Компанія вже надіслала сотні вінчестерів у наукові заклади для збору інформації. Передбачається, що найбільше застосування програма отримає у сфері біології, генетики, географії. Можливо у подальшому, зібрана інформація буде доступною всім бажаючим.
Це колосальний прорив у сфері ІТ. Маючи єдине сховище даних, що стосується якоїсь проблеми, наукові заклади можуть вирішувати ці проблеми спільно. Врешті вся інформація буде міститися в одному місці. Пригадуються ті часи, коли ходив з дискетою у 5 дюймів і дивився на неї, як зараз на флешку у 8 Гб. Навіть старий анекдот пригадався: « У моєї бабці досі є Євангеліє 1800 року випуску, - Супер! Певно ще на 5-дюймових дискетах.»

[13:31] ВОНО: піпл, дайте ай-пі якогось придурка!!
[13:32] Хтось: 127.0.0.1
[13:32] ВОНО: дякую!
[13:32] ВОНО: зараз він здохне
[13:33] ** ВОНО вийшло з чату
А щоб вияснити прізвище та ім’я ВОНО необхідно прочитати даний матеріал до кінця. Я наведу перелік простих сигнатур котрі залишаються в логах після спроб взлому веб-сервера. Вони охоплюють перелік поширених дір сервера apache, а також можуть використовуватись для аналізу захищеності веб-проектів.

А почну я мабуть із найбільш поширеної вразливості – переповнення буферу. При такій вразливості стрічка може мати вигляд : http://ip-host/cgi-bin/test?type= 1111111111(256 разів).

Якщо веб-сервер запущений під root то зловмисник може отримати повний доступ до системи. Тобто, якщо у логах знайдете стрічку такого типу, значить сервер тестувався на предмет переповнення буферу.
Використання «<?»
Передбачає спробу внесення РНР коду. Наприклад : http://ір-host/andr.php=<? passthru("id");?> , при чому запит може бути написаний у 16-й системі числення.

Використання «<» та « >»
Символи передбачають перенаправлення вводу-виводу у файл. Приклад : "http://ip-host/andr.php=Hello" . Це належить до атаки типу SSI (Server Side Include).

Використання «!». Може статися халепа, якщо користувач натисне на таке посилання http://ip-host1/andr.php= . У такому разі файли зільються докупи andr.php та andr-bad.php, стануть одним цілим. Це також SSI.
При такій стрічці : http://ір-host/andr.php= зловмисник запустить команду id . А при такій http://ip-host/andr.php= взагалі приєднає файл із паролями .htpasswd. За замовчуванням apache не повинен бачити і мати доступ до файлів, що починаються із .ht . Проте тут ситуація трохи інша і SSI обходить цю заборону.

Використання «|». В Юнікс ця команда передбачає виконання кількох команд одночасно. Команду можна використати, наприклад, так : http://ip-host/cgi-bin/andr.cgi?page=cat%20access_log|grep%20-i%20"andr"
Використання «%00»
Це є 16-ве представлення нульового байту. Використувається для емуляції запиту іншого файлу : http://ip-host/cgi-bin/andr.cgi?page=../../../../etc/motd%00.html . Вразливість використвується при дозволених запитах виду http://ip-host/cgi-bin/andr.cgi?page=index.html .
Використання «.» «..» «...»
Ця сигнатура використовується для зміни директорії на сайті. Її найчастіше використовують у CGI дірах. Наприклад http://ip-host/cgi-bin/andr.cgi?file=../../../../etc/mount

Більшість систем-аналізаторів запитів досліджує їх «прямо», пропускаючи семантичне навантаження. Тобто, якщо представити запит у 16-й системі числення то більшість IDS можуть такий запит пропустити. І в результаті получається як в тім анекдоті : «Один процесор іншому – Які ті люди є тупими. Бешкетуємо ми, а гримають вони по моніторам.»

Тобто при створенні веб-проектів не варто використовувати тільки засоби захисту, які пропонує сервер. Цей комплект необхідно доповнити ще й своєю системою захисту. І нехай connect буде з вами ...

Складається враження, що MYSQL хоче відмовитись від принципів вільного ПЗ. Після версії 5.0.27 ( а зараз є 5.0.30) вже не можна скачати бінарники. Інтернетом поповзли чутки, про те що компанія по трохи переводить користувачів на платну версію БД ( а це щорічно 5000 дол) . Що тут цікаво, так це те, що обидві версії (платна та безкоштовна) компілюються з одного і того ж коду. Тільки як запевняють, розробники, платна версія працює значно стабільніше. Компанія також поширила авторське право на весь програмний код, що дозволяє їй у будь-яку хвилину змінювати умови ліцензії. То як в тім анекдоті: «Вам каву чи чай?»,- «Каву», -«Не вгадали – чай».

На сьогодні виділяють 3 базові класи для роботи із відбитками пальців. Перший клас базується на порівнянні візерунку відбитків. Алгоритм працює за наступною схемою. Відскановане зображення розбивається на множину секцій ( чим менша секція, тим вища точність). Місцезнаходження папіляру у цій секції описується певною синусоїдою ( початковий зсув фази, напрям поширення). Потім порівнюються хвильове представлення відповідних секцій шаблону та відсканованого зображення.
Другим класом є кореляційне порівняння. Коли два відбитки накладаються один на інший та проводиться розрахунок кореляції між відповідними пікселями. Зображення можна зміщати та повертати.

Цього разу я спробую провести короткий огляд біометричних систем.

На перше місце я б поставив сканери сітківки ока. Інфрачервоний промінь малої інтенсивності скеровується на зіницю для фотографування малюнку, який утворюють кровоносні судини. Коштує така цяця біля 500 дол. Сканери такого типу вважаються найкращими. З цього ж класу можна придбати трохи таньші системи (десь 300 дол), але менш надійніші. Такі системи записують картинку плям та прожилок поверхні ока. Вони є менш надійними. Якщо зробити фотографію ока з високим розширенням, то такий сканер можна обійти. Пригадується, як у якомусь фільмі для того, щоб обійти сканер злочинцю довелось виколупати очі авторизованій особі.

За повідомленням zdnet.ru Oracle спробувала придбати MYSQL. Генеральний директор Мартен Мікос підтвердив цей факт, але не повідомив коли це було і за скільки. Він бажає, щоб компанія залишилась незалежною.
Зараз пішла якась масова тенденція до впрвадження open-source projects. ІВМ запропонувала безкоштовну DB2, WebSphere community edition . Зараз ведуться розробки компаніями Ingres та EnterpriseDB над створенням СУБД з відкритим кодом.
СУБД MYSQL поповнює свій арсенал більш потужнішими функціями, але твердженням її шефа вони не хочуть конкурувати із Oracle. Як відомо MYSQL є безкоштовною для не комерційних проектів і 200 долярів треба заплатити за використання у комерційних цілях. СУБД широко використовується у масових та дешевих проектах. СУБД Oracle закорінилось у потужних та великих системах. Компанія Oracle у 2005 році вже придбала InnoDB та Sleepycat (компанії СУБД з відкритим кодом). Зараз вони ще й хочуть купити сервер JBoss. Правильно говорить народне прислів’я – краще переспати, ніж недоїсти.

Як сказав свого часу Тарас Бульба свому сину: «Чим я тебе породив – тим я тебе і вб’ю». Це я про Microsoft та Vista. Аліса Шевченко на http://www.viruslist.com у своїй статті «Microsoft Vista против вирусов: кто кого?» ставить під сумнів всю безпеку середовища цієї ОС. Слід зауважити, що кубіта працює на Лабораторію Касперського. Ясна річ, що якби вона написала, що Vista така хороша ОС, що їй не потрібно ані антивіруса, ані файєрвола її стаття була б підписаною вже як «Аліса Шевченко. Шукаю роботу». Оскільки Касперський також хоче урвати шмат грошей від Vista. І якби я належав до працедавців, то на роботу я б її взяв.
Свого часу я вже згадував про технологію захисту ядра від модифікацій у Vista – PatchGuard. Правда тоді я забув добавити, що технологія ця працює тільки для 64-розрядної машини та цю фігню можна відключити. При чому, як її відключити та використовувати – написано до мене.

« Мене задовбали трамваї і колії, кондуктори дибіли і профілакторії». Цей уривок із пісні «Олені» дуже гарно описав мої відчуття, коли я вкотре прочитав статтю на одному шанованому порталі про шкідливість застосування мови РНР. Знову вискочила цифра 43% ( саме стільки РНР-коду містить вразливості ). Та хіба винна та балярина, що їй мішає те, що мішає поганому танцюристу. От там використовують РНР і у них є недоліки і звісно тут винна мова програмування, а не програміст. Як противагу можна сказати, щоб відкрили код Windows і тоді чітко буде видно, чи винна мова програмування? Прочитавши одну мудру книжку, мудрий код писати не навчишся. Потрібно постійно пильнувати про всі події пов’язані із РНР, виявленні недоліки, підходи до побудови програмного коду. У даному матеріалі я спробую навести базові помилки із безпеки, які роблять початківці.

Ціль яку ставить автор висвітлюючи даний матеріал полягає у організації кращого захисту розроблених веб проектів, а не способів їх взлому .
Це вразливість, яка існує через недосконалість чи відсутність механізму провірки даних отриманих від користувача. Наприклад, маючи наступну адресу http://site.ua/site.php?id=01 повинна завантажитись якась сторінка. Але якщо після знаку рівності користувач вкаже будь-які символи (наприклад ...php?id= test, .php?id=01’, .php?id=10 …) і в результаті все одно завантажиться дана сторінка, то сайт на 90% може бути взломаний через sql ін’єкцію, оскільки не проводиться фільтрування отриманого від користувача параметру. В гіршому випадку отримаєте повідомлення про помилку, в кращому - пустий результат. Наприклад, .php?id=10 – повинно би повернути пустий sql запит, а .php?id=10” – помилку. В основному, ціль яка ставиться при використанні sql ін’єкції полягає у отриманні доступу до бази даних (зазвичай це MYSQL, безкоштовна для не комерційних проектів та надійна СУБД). Для розуміння наступних дій необхідні деякі знання із побудови запитів до БД. Так для визначення який номер стовпця виводить на сторінку інформацію достатньо виконати запит типу /test.php?id=10+union+select+’test’,null,null/* чи /test.php?id=10+union+select+null,’test’,null/*. Якщо з бази читається кілька параметрів то необхідно знайти той, що має тип text . А ці запити потрібно виконувати доки не побачимо слово test у потрібному місці. Одною із цікавих властивостей MYSQL є перетворення числового типу даних до будь-якого іншого, без породження при цьому помилки. Це майже як у РНР, змінній не присвоюється певний тип даних, що можна можна використати при взломі сайту, простим перевизначенням цієї змінної ( наприклад, присвоїти їй якусь адресу скрипта) . Цю властивість можна використати при такому запиті, де лапки можуть фільтруватися .php?id=10+union+select+1,2,3/* . Ім’я таблиці можна отримати наступним запитом .php?id=01+union+select+null,null,null+from+table1/* . Так можна часом знайти таблицю з ім’ям users, passwords etc і працювати вже безпосереньо з нею. Назви стовпців в таблиці вичисляються так .php?id=10+union+select+null,row1,null+from+table1/* . Якщо користувач має права на select то в результаті запиту .php?id=10+union+select+null,mysql.user.password,null+from+mysql.user/* можна отримати хеш пароля, який потім розшифровується.

Kurt Grutzmacher (фахівець з області комп’ютерної безпеки) в свому блозі розповів як йому вдалось попасти на конференцію Macworld. Вхід на цю конференцію коштує 1700 $ . Сайт Macworld , за його словами, мав занадто низький рівень захисту і йому без проблем вдалося його взломати. А взломаний сайт був через неякісний JavaScript код. Під час відвідин сайту, він вже містив перелік під назвою "Priority Codes", котрий і був взломаний за 10 сек. Наступного дня про недоліки захисту він розповів IDG World Expo організатору Macworld . Компанія на це не відреагувала. Це мені нагадало історію, коли в Естонії, нещодавно, школяр посів перше місце з математики. Але в кінці, жюрі засумнівались у правдивості його перемоги.

А почалося все із проекту StopBadware.org власником якого є Berkman Center for Internet and Society (входить у склад Гарвардської школи права) і Internet Institute (Оксфордський університет), а також компанії Google, Sun Microsystems и Lenovo. Суть проету полягає у виявленні шкідливого ПЗ в інтернет. Коли користувач, в результаті пошуку, отримав у Google перелік сайтів, то декотрі з них можуть бути помічені як небезпечні. І додатково юзеру з’являється повідомлення про те, що відвідини цього сайту може спричинити шкоду вашому комп’ютеру. Адреса сайту не блокується, але щоб туди попасти в браузері адресу потрібно набирати руцями. От і посипався шквал протестів на Google Groups, за те що алгоритм виявлення цих сайтів є не ефективний. Занадто часто звичайні сайти помічались як небезпечні. Google Groups проблему коментувати відмовилась, проте зголосився StopBadware.org . Хлопці пообіцяли переглянути свої рішення. Дослівно це прозвучало десь так. "Ми розуміємо на скільки це може бути неприємно і часто власники сайтів самі і не знають, що їх сайт містить чи якось пов’язаний із шкідливим ПЗ". Якщо хтось попав в цю категорію, пишіть заявки за адресою appeals@stopbadware.org .

У Linux Kernel версії до 2.6.19.2 була віднайдена вразливість( рівень небезпеки низький). Належить вразливість до серії атака на відмову системи. Атака реалізується через функцію zlib_inflate(), що відповідає за обробку певних видів даних. Для реалізації вразливості необхідно сформувати cramfs образ, що спричинить відмову обслуговування системи. До цієї категорії належить і вразливість, що виникає при обробці семафорів функції mincore(). При використанні цієї функції на нерозмічених сторінках система може зависнути. Ну і націкавіша вразливість існує через те, що ядро некоректно обробляє пошкоджені структури даних в Ext2. Через спеціяльно сформований образ система знову зависає. Слід зауважити, що всі вразливості працюють тільки для локального користувача. Для вирішення цих проблем необхідно поставити ядро 2.6.19.2 , а стягнути його можна за адресою www.kernel.org.

Ну вже зовсім нещодавно на конференції CES 2007 Microsoft представила Windows Home Server (WHS). Ця операційка це гібрид всіх версій Windows, де в основі все таки лежить Windows Server 2003. Основне призначення – бути їй вдома і керувати мультимедіа та клієнтськими машинами.
Цікаво, що простий смертний не зможе прийти до магазину і купити собі цю ОС. При розробці Microsoft співпрацювала із НР( до цього вони мали HP MediaSmart Server) і коли ви будете купувати сервер НР то до нього і додасться WHS. А вихід планується на кінець літа.
Перше, що мене вражає так це МІНІМАЛЬНІ системні вимоги : 1ГГц процесора, 512 Мб операційки, 80Гб вінчестер, Ethernet .
В Home Server забрали Active Directory хоча сама синхронізація користувацьких облікових записів та паролей є. Клієнти зможуть зберігати свої файли за рахунок технології WHS Drive Extender (звичайнісіньке добавляння дисків ATA/SATA, USB/Firewire, тільки тепер цей процес ось так називається ). Дані від збоїв захищені за рахунок зазеркалювання (не RAID). Розподіл файлів здійснюється SMB протоколом (слава Linux). Присутньою є також технологія Single Instance Store, що використовується для зберігання даних. Суть полягає в тому, що виключно зміни добавляються до backup, зменшуючи його в розмірі та пришвидшуючи архівування. Це той самий інкрементальний backup, тільки знову назвали це по іншому. Коли Home Server помре, то в комп’ютер потрібно запхати пілюлю у вигляді компакт диску ( але не чистий, а той що додається до ОС) і чисто теоретично всі дані можна відновити. Є реалізований Remote Administration через ІЕ.

Лабораторія iDefense Labs оголосила конкурс на взлом Vista та Internet Explorer 7. Конкурс триватиме до 31 березня. В кінці 6 переможців повинні отримати від 8 до 12 тис. долярів. Експлойт буде оцінюватися за оформленою до нього документацією та якістю коду. Він повинен ломати без допомоги сторонніх та додаткових програм. Хочу сказати, що я не знайшов переконливих гарантій отримання цих грошей. Тут або 8 000$ або 8 років без права переписки. Але те, що на облік поставлять це без сумніву. Проте все ж шанси взлому зараз звісно є великі. За повідомленням аналітика Gartner Майкла Сільвера (Michael Silver) Vista не готова до масового випуску. Нагадаю, що ще не готові тисячі драйверів до різних пристроїв.

В кінці року минулого компанія з назвою BATM Advanced Communications випустила в світ детектор брехні призначений для інтернет-користувачів. Його можна використати, наприклад, при спілкуванні через інтернет в реальному часі. В програмі застосували складний механізм, що аналізує найменші зміни тембру мови, її тональності, швидкості, а також унікальні психологічні алгоритми, що дозволяють з визначеною ймовірністю сказати чи говорить людина правду. Програма працює за наступною схемою. Після підключення до каналу зв’язку необхідно зачекати 15 секунд для стабілізації голосових сигналів та вивчити особливості мови людини, що говорить. Потім програма в реальному часі скаже чи говорить людина правду. Результат виводиться у вигляді поліграфу чи за рівнем – зелений (абсолютна правда) або червоний ( абсолютна брехня). Точність роботи програми становить 90%. Під час своєї роботи програма повідомляє особу, для якої проводиться прослуховування, про те що її голос аналізується системою LieDetector. Качнути програму можна за адресою http://www.kishkish.com/liedetector/. Але не все так просто. Умовою користування програми є володіння програмою Skype 3.0 (19 мб). І коли буде йти до/від вас дзвінок то на передній фон і вискочить віконце детектора. Зауважу, що LieDetector не .ехе програма, це модуль до Skype 3.0 .