schegloff's Journal
 
[Most Recent Entries] [Calendar View] [Friends View]

Saturday, September 29th, 2007

    Time Event
    4:09p
    О взломах - 2 1/2, или Зачем нам троян? Нам троян не нужен!
    В предыдущей заметке я запугивал всех Pinch'ем, а дальше собирался рассказать о способах его (и ему подобных) доставки на атакуемый компьютер. Однако последние новости подсказали, что существуют куда более элегантные способы своровать Вашу приватную информацию.

    Начнем с самого простого - для любителей vkontakte.ru. Если зайти СЮДА, то можно увидеть самую обычную страницу авторизации на этом самом VKontakte. Однако не спешите вводить имя и пароль: это всего лишь пример технологии фишинга - создания зловредной страницы, изымающей у пользователя пароли и использующие их затем по своему усмотрению. В приведенной демке зловредная страница меняла имя пользователя на Ya Krevedko. В результате за несколько часов 11 сентября - Супер! Сейчас в фконтакте 107 Креведков. :)).

    А теперь о более сложном и свежем случае - уязвимости разрекламированного на днях почтового сервиса GMail. Позавчера [info]sinodov@lj сообщил о ней ЖЖ-сообществу: Исследователь GNU Citizen Petko Petkov обнаружил уязвимость в Gmail, которая позволяет похищать переписку жертвы. Идея на редкость изящна: пользуясь тем очевидным фактом, что GMail открывается как правило в одном из многочисленных окон браузера, зловредный софт осуществляет классическую Cross-Site Request Forgery (Подделку HTTP-запросов) и от имени пользователя устанавливает в его персональную конфигурацию GMail фильтр, который и берет на себя пересылку всей последующей почты злоумышленнику.

    Подробности со скриншотами: Google GMail E-mail Hijack Technique. Справедливости ради замечу, что выложенный там эксплойт на моем gmail не сработал - то ли Google уже пофиксил уязвимость, то ли я не умею правильно пользоваться эксплойтами.

    Таким образом, развитие веб-браузеров привело к ситуации, когда очень многие пакости можно сделать, используя встроенные средства HTML, JavaScript, ActiveX и многочисленных подключаемых расширений. В частности, самым популярным средством доставки троянов в августе 2007 года стал Trojan Fake Codec. Загрузчик попросту предлагает пользователю установить специальный кодек для просмотра "вкусного" видео - и пользователь, привыкший к нынешнему безмерному разнообразию форматов, легко соглашается, пуская троян на свою машину.

    Словом, "только постоянное совершенствование в боевых искусствах гарантирует долгую и счастливую жизнь" (с) Брюс Ли / Роберт Асприн :)))
    6:42p
    Жизнь после БГХ, или Даешь блогосферу 2.0
    Ну вот, отпуск закончился, роман отослан в издательство, демка выложена на http://www.schegloff.narod.ru/ (только 10 глав, заранее предупреждаю, что по сравнению с бетой изменения небольшие, сил не было). Что дальше?

    А дальше я собираюсь заняться "третьей мировой" всерьез. Составить карту местности, разведать расположение сил противника, собрать собственную армию, ввязаться в бой, а там посмотрим. Задача лет примерно на десять, потому как более короткими проектами (средний роман писался 2 года) заниматься уже не интересно. И в связи с такой продолжительностью проекта возникает вопрос: а как он будет представлен в Сети?

    Достаточны ли ресурсы LJ и вообще блогосферы для поддержки подобной затеи? Просуществует ли LJ в нынешнем виде еще хотя бы пару лет? Смогут ли standalone-блоги заменить ЖЖ-атмосферу? Какое программное обеспечение потребуется для координации совместных действий людей, мотивированных не кнутом и не деньгами? Вопросы, вопросы... потому и 10 лет выделил.

    Развивать проект я пока планирую методом "от болта". В машиностроении есть такой (шуточный) способ рисовать чертежи - первым изображать какой-нибудь малозначащий болтик, а потом к нему привязывать всю весьма сложную конструкцию. Вот только в случае "третьей мировой" таких "болтов" будет много. Сегодня мое внимание привлекла заметка (и даже декларация!) [info]pisma-izdaleka@lj Про бэкапы ЖЖ.

    Вот он, первый болт проекта: связь в нашей армии. Сегодня мы общаемся путем комментирования записей. Предположим, противник применил тяжелую артиллерию и ликвидировал блоги ключевых участников. Архивы остались, аккаунты утеряны; как восстановить управление войсками? Увы-с: раскритиковав существующие средства архивации, [info]pisma-izdaleka@lj уже в ТЗ на новый проект прямо признает:

    1) Записи будут восстанавливаться под новыми ID. Это значит, что ссылки на ваши посты работать не будут.
    2) Коменты восстанавливаются под новыми ID, более того, нельзя восстановить их от имени автора, если автор - не хозяин журнала....
    Еще тонкий момент - когда вы восстанавливаете коменты от своего имени, вы вольны (по крайней мере технически), менять тексты.


    Таким образом, даже при уровне квалификации уважаемого [info]pisma-izdaleka@lj нет технической возможности восстановить связность хранившейся в блогах типа LJ информации. Ну все равно как если бы рации в танках заработали, а вот записи о длинах волн и шифровальные чипы начисто исчезли. В мирное время куда ни шло, но я-то к третьей мировой готовлюсь!

    Отсюда вывод: движок LJ, основанный на моно-серверной архитектуре и не имеющий даже функции восстановления из бэкапа, непригоден для создания долгосрочной и защищенной блогосферы (Блогосферу-2.0). Фактически, я пришел к тому же выводу, что и [info]sartac@lj:

    2. ЖЖ стагнирует. Мы вкладываемся в новые проекты, на базе ЖЖ ничего развивать не будем.
    Причины: ограничения технологии, политика СУП - Фабрик. Первая причина весомее, конечно.
    Фактически, в записи представлено ТЗ на блогосферу нового поколения. Рекомендую.

    Итак, даешь Блогосферу 2.0. Но как? :) Насколько мне известно, основное нау-хау LJ - сплошная (а не RSS!) френд-лента - до сих пор не повторена ни в одном из standalone движков. Поддержку репутаций (не путать с высосанным из пальцев разработчиков яндекс-рейтингом), кармы предлагают лишь серверные решения типа форумов или коллективных журналов (хабрахабр, не к ночи будь помянут) - которые заведомо неприемлемы в силу легкости уничтожения вместе с сервером (или перехвата управления). Если же посмотреть на судьбу NetProjectJournal - http://www.npj.ru/ - то и вовсе становится грустно. Где она, Блогосфера 2.0?

    У кого какие соображения, поделитесь. А я пока подумаю над расширенным ТЗ.

    << Previous Day 2007/09/29
    [Calendar]
    Next Day >>

Типа сайт Щеглова   About LJ.Rossia.org