Игорь Ашманов на линии

Хорошо про Канделаки высказался. И вежливо, и по существу. Когда ее уже чем-нибудь займут, в чем она понимает, а не так, что она специалист во всем сразу. К образованию ее вообще подпускать нельзя.

Кому: Xan, #59

> Утекает инфа - через унитаз!
> Надо в унитазе шредер ставить!!!

Не шредер, но измельчитель! Впрочем, я не большой специалист в системах безопасности, пусть меня поправят.

Кому: Vader, #11

> Ты хотя бы приблизительно представляешь сложность поиска возможных "закладок" в десятках миллионов строк кода и вероятность их обнаружения?

А в чём, собсна, проблема? Кто в здравом уме будет использовать Windows для госбезопасности или стратегического планирования? Оставить эту нишу домашним пользователям для веб-серфинга и писанины в бложики. Для госслужащих ввести что-нибудь более защищённое и собственной разработки. Примерно как в Китае последовательно вводится система собственной разработки Red Flag Linux и процессор Longsoon на базе заброшенного американцами MIPS. Систему пишем сами - гарантия от "закладок" со стороны любых Корпораций Бобра. Процессор тоже свой. В результате АНБ от досады сгрызёт все канцелярские принадлежности на своих столах.

Кому: Щербина307, #55

> Человек может болеть чем нибудь хитрым. А электронные базы у нас регулярно воруют. Вопрос конфеденциальности встанет ребром.

Шифровать личные базы двумя ключами. Один ключ у врача, другой у пациента. В виде его же отпечатка пальца или ещё каких биометрических данных.

Кому: Цитата, #1

> Тем, в частности, что последовательно придерживается непопулярных у людей из IT-индустрии антилиберальных взглядов и, будучи неслабым полемистом, с удовольствием эти взгляды отстаивает.

Антилиберальных, это очень интересно.

> Но Сноуден показал нам, что это не так, что система по умолчанию – плохая. Кто-то должен предписать производителям ставить на устройства, поставляемые в страну, защитные модули, которые блокируют отдачу данных.

До Сноудена это было непонятно?

> Задача очень сложная, чтобы ее решить, нужно совершить прорыв, подобный индустриализации при Сталине. Мне кажется, нужно воссоздать имеющиеся у нас десятки научных городков.

И как это сделать без "Сталина"?

> Электронный идентификатор все равно будет создан, это ясно. Государство могло бы создать его человечным способом. Чтобы он был бесшовно связан с электронной медицинской картой, госуслугами и т.д.

Как АНБ и прочие будут рады. Не надо будет долго искать и собирать информацию, всё для неё собрали и подготовили.
Или другая проблема возникла, набрал в нужной программе -"почка здоровая одинокий мужчина" и тебе сразу выдадут где на отшибе живёт одинокий мужчина со здоровой почкой.
Ах, да скажут оппоненты, это-же гостайна. Да тайна, стоить будет несколько дороже, чем по ЖКО искать одиноких с хорошей квартирой. И ведь не засветишь свою рожу в этих ЖКО.

Ну и улучшат ли все эти новшества медицинское обслуживание? Ну, ответ очевиден- нисколько. Может только для узкого круга олигархов и их обслуги.

> Если будет государственная воля снова начать культурный, образовательный подъем всех без исключения – он начнется не с нуля.

И откуда она может взяться?

> Это не оптимизм. Я считаю, что все события происходят в мире идей. Что такие вещи, как реальная экономика, скажем, время создания своего процессора или начало/окончание кризиса – зависят от мира идей.

Это антилеберализм?

Ашманов как-то постарел сильно за год.

Дмитрий Юрьевич зрит в корень!
С наступающим!

Кому: Стропорез, #103

> А в чём, собсна, проблема? Кто в здравом уме будет использовать Windows для госбезопасности или стратегического планирования? Оставить эту нишу домашним пользователям для веб-серфинга и писанины в бложики. Для госслужащих ввести что-нибудь более защищённое и собственной разработки.

Используют вовсю, камрад. Уж просто поверь. Однако, следует заметить, что если происходит такое использование, то системы, использующие, скажем Windows, запрещено подключать к сетям передачи данных общего пользования. В отечестве есть много защищенных ОС. В том числе и на базе Linux, и сертифицированных у соответствующих регуляторов. Однако есть несколько крупных проблем:
- например поддержка оборудования - элементная база то все равно буржуйская. А пока ОС переделают из буржуйского прототипа, пока ОС пройдет испытания и получит сертификат - успевает часто устареть. Драйвера нужны новые уже.
- неудобство использования и сопровождения - все-таки Linux предполагает некие отличные от Windows базовые навыки. Плюс ПО под Linux часто похуже, чем для Windows, взять то же OpenOffice, к примеру.
- дополнительная защита - например появляется масса элементов защиты, таких как электронные замки, средства криптозащиты, мандатная модель разграничения прав доступа и т.п. Все это предполагает обычно использование дополнительных паролей, предъявления ключей, смарткарт, сертификатов, знания и умения использовать возможности защиты, все такое.
Поэтому пользователи таких систем обычно ворчат (мягко говоря), ведь им еще и работать надо, функциональные задачи выполнять. А тут еще про массу посторонних вещей надо знать, помнить, и их соблюдать. Например даже носители и печать на принтер - уже не так просто выполняется, как в обычной системе. Все это часто превращает в мучения работу пользователей в защищенных системах. Ведь чем больше защиты, чем менее удобно пользоваться и наоборот.
Но по основной мысли - совершенно согласен с тобой, камрад. Требуется доверенные ПО и элементная база. Плюс масса всего еще. Нельзя сказать, что ничего не делается. Делается, и многое. Просто процесс этот сложный не быстрый.

А че б не поставить на все гос. компы Альт Линукс? Версия СПТ 6 сертифицирована ФСТЭКом. Вай нот?

Кому: злой лосось, #5

> Добьют они нашу медицину они электронными историями болезней.

Не надо вот этого, камрад. Я, например, безумно рад, что теперь и я могу прочитать рецепт, потому что он распечатан на принтере, а не записан жуткой тайнописью, понятной только колдунам в белом.

Кому: д`Алматинец, #109

Так просто невозможно, камрад.
Ну, во-первых, он не единственный такой дистрибутив. Есть еще несколько.
Во-вторых, сертификат ФСТЭК на него истекает в апреле 2014 года, именно этот линукс просто не успеют поставить. Сертификат истечет раньше, чем можно будет все везде поставить и настроить. Нужно более свежее и функциональное изделие.
В-третьих, сертификат на него, выдан в 2011 году, это значит, что изделие создавалось в 2010 году. Значит, поддерживается железо 2010 года максимум. Много ли найдется компов и периферии, который он сейчас поддерживает? Не уверен, что он поддерживает современное железо, хотя бы двухлетней давности.
В-четвертых, что делать, например, с военными? У них своя система сертификации, отличная от ФСТЭК.
В-пятых, сертификат выдан для применения по уровню 1В максимум. Что делать там, где информация более важная?
Это навскидку. Есть еще масса масса подводных камней.
Для того, чтобы сделать так, как ты предлагаешь, нужно сперва как минимум принимать решения по унификации нормативной базы, то есть совершенствовать законодательство. А это можно сделать только на самом высоком политическом уровне.

Толково говорит.

Кому: Щербина307, #55

> С электронной мед картой думаю не так всё однозначно.

А уж как будут рады работодатели.

Кому: ysy, #48

> Средний программист (такой как я) тысяч 10 - 20, зависит от сложности и структуры.

Это на каком языке, на русском что ли? Ты занимаешься разработкой операционных систем?

>Случаи с ассемблерами и машинными командами не рассматриваем.

А на чем по-твоему написаны все низкоуровневые вещи в ОС, такие как загрузчики, работа с прерываниями, сопроцессорами?
Ну допустим ассемблеры мы не берем, хотя в ОС кода на асме хватает.
Ну допустим C, который по-большому счету и есть кроссплатформенный ассемблер.
Ну допустим С++, как превалирующий в коде винды, где доступна вся арифметика указателей, благодаря чему тебе даже код в явном виде на ассемблере писать не надо, чтобы получить те же возможности.

Ты точно понимаешь о какого рода программах идет речь? Сами MS в своей же ОС баги то найти не могут, годами. А ты тут нам телеги про поиск специально скрытых закладок двигаешь.

> Только для поиска закладок сидеть и читать строки кода не нужно.

Конечно нет, надо в гугле набрать команду "Windows.Закладка.Найти()".

> Именно поэтому сопоставив сентенции о 100 миллионах долларах на поиск закладок в Виндоус и о том что "Сколково работает" становится смешно.

Ну ты хоть расскажи чем занимаешься, а то вдруг мы несправедливо накинулись на тебя, как Фомы неверующие, а ты например очень известный в узких кругах контрибьютор какой-нибудь OpenBSD и постоянный участник конференций Black Hat.

Кому: Cyberness, #114

> Кому: ysy, #48
>
> > Средний программист (такой как я) тысяч 10 - 20, зависит от сложности и структуры.

> Ну ты хоть расскажи чем занимаешься

Есть мнение, камрад, что он троллингом занимается. Например в бюро переводов принято считать, что стандартная страница текста - это 1800 знаков (30 строк по 60 знаков). Если взять 30 тыс. строк кода, то на анализ уйдет больше 16 часов, при скорости анализа 1 страница в минуту, и при 30 строках на страницу. Понятно, без перекуров, выходов в туалет, еды, отдыха и т.п. Сразу становится ясно, что он хуевый программист, а не средний, как гордо заявляет. Ибо качественно проанализировать чужой код со скоростью страница в минуту на любом языке программирования практически невозможно. Пусть попробует хотя бы английский текст не на языке программирования без ошибок просто прочитать в течение 16 часов в сутки. А потом гордо троллить.

Кому: Хайван, #82

> Камрад ты не прав .
> Среди технарей в РАЗЫ меньше эльфов ,чем среди гуманитариев .

Особенно это на хабре заметно, угу. Натуральный заповедник.

Кому: Стропорез, #103

> В результате АНБ от досады сгрызёт все канцелярские принадлежности на своих столах.

Причём, все канцелярские принадлежности - китайского производства!

Кому: Cyberness, #114

> Конечно нет, надо в гугле набрать команду "Windows.Закладка.Найти()".

Чтобы точно сработало, надо искать так: "Windows Закладка Найти() ББВ".

Кому: Щербина307, #2

> [сидя в шапочке из фольги, заклеивает камеру в ноуте]
>
> Один пиксель чёрным сделал!!

Работает ли шапочка из фольги без подтулейного устройства из провода ПШ?

Кому: Босой, #9

> Человек в целом говорит верные вещи, но местами "Остапа несет", читаю как юморестку.

Некоторые "профи" явно уверены, что закладка в коде оформленна функцией. Угу.

Кому: Dragonmaster, #116

> Особенно это на хабре заметно, угу. Натуральный заповедник.
>

Хабр годами выхолащивается на эту тему. Тролли-любимчики денискина постоянно вбрасывают любую политическую шнягу, лишь бы обложить страну. А стоит высказаться чуток вне русла основного стада - ты кандидат на бан.

И при всем при этом хозяин ресурса виляет задом на тему аполитичности.

Кому: slwin, #120

> И при всем при этом хозяин ресурса виляет задом на тему аполитичности.

Имхо, кстати, хабр заметно политизировался за последние два года. И да, там технари, большей частью (имхо) умные, частью бизнесмены. И да, кровавый рЫжым там (преимущественно) не любят.

По сабжу, (личное мнение, конечно) считаю что все эти призывы строить "цифровой суверенитет" напропалую - совершенно губительны для страны.

Дело тут не во всемирном заговоре, а в том, что ИТ может быть дешевым только при массовом производстве и широкой международной кооперации. Можно и иначе (см. космические микрухи), но выходит дико дорого (см. космические микрухи).
Невозможно сделать с нуля роутер за $10, целиком "отечественное" устройство будет стоить $10000, и то, если обязать всех его покупать.

У нас и так сейчас в стране огромная проблема "закрытости". Если тебе для НИОКР нужно несколько микрух и плат ввезти - подумай четырежды, начинать ли вообще, успеешь ли и уложишься ли в бюджет. Особенно, если тебе нужно ввезти компоненты легально.
Потому что с небольшими вариациями через небезысвестный пример с 3D принтером проходит каждое (!) не бытовое устройство и в итоге плата ценой $5 будет стоить после ввоза $500. Ввоз при этом займет пару месяцев (если без заковык). А иногда легельный ввоз и просто невозможен, так как нотификацию должен производитель делать (по крайней мере апостиль), а ему оно надо, за $5-то?

Вот и выходит потом, что "русский айфон" стоит в 3 раза дороже и работает в 4 раза хуже.
Зато бумаг-то заполнено (и денег уплочено) - ого-го!

Кому: kkbl, #115

> Есть мнение, камрад, что он троллингом занимается.

Сразу видно специалиста. Мастерски определил хуёвость. Ты это написал с какой целью? Блеснуть знаниями о количестве знаков в переводах?


Кому: Cyberness, #114

> > Это на каком языке, на русском что ли? Ты занимаешься разработкой операционных систем?

Я занимаюсь браузерами. В них очень много кода. Как показывает опыт, поиск нужного, конкретного места о котором я ничего не знаю, кроме того, что оно должно где-то быть, у меня занимает день.
О поиске закладок. Может я чего то не понимаю, если так, то прошу разъяснить, но лично я бы начал анализ с поиска места которое, к примеру, пишет в сеть. Поставил бы там лог и смотрел бы кто, когда и зачем его зовёт. Что в этом сложного и зачем сидеть и читать сто мильёнов строк кода за сто мильёнов денег?
Точно так же и поиск бага. Когда ты знаешь что он есть и как его воспроизвести, ты его найдёшь очень быстро.

Страсти какие. Такое впечатление, что о существовании АНБ, до сноуденовских откровений, никто и не догадывался.

Кому: ysy, #122

> О поиске закладок. Может я чего то не понимаю, если так, то прошу разъяснить, но лично я бы начал анализ с поиска места которое, к примеру, пишет в сеть

Когда лог сработает будет уже поздно. Ты попробуй без лога закладку найти, простым анализом исходника (про дизассемблер я молчу). Думаю, это будет похоже на поиск ошибки с неизвестным адресом и стеком при недоступной трассировке. 20 тыс строк в день на таких условиях - это что-то из ряда фантастики.

Кому: ysy, #122

> Я занимаюсь браузерами. В них очень много кода.

Прямо самими браузерами? Или своими PHP скриптами?

> Как показывает опыт, поиск нужного, конкретного места о котором я ничего не знаю, кроме того, что оно должно где-то быть, у меня занимает день.

Есть разница между поиском яркого фонаря на темной улице и черной кошки там же.

Следующий шаг - людей закрыть. Ну, чтобы не утекало ничего.И чтобы там не заражались, а то вернется и будет ждать команду ОТТУДА.

А так да, хороший пример эльфа, причем не технаря однозначно и беды от таких гораздо больше, ибо все техническое в подавляющем случае пасует перед административным. Да и только слепой не увидит результаты работы профессиональных руководителей по всем направлениям...
Но в целом, направление трудов понятное. Не зарплаты ж спецам платить. Так, ведь, ни на сочи ни на дачи не хватит.

Кому: akochubey, #121

> У нас и так сейчас в стране огромная проблема "закрытости". Если тебе для НИОКР нужно несколько микрух и плат ввезти - подумай четырежды, начинать ли вообще, успеешь ли и уложишься ли в бюджет. Особенно, если тебе нужно ввезти компоненты легально.

Бред. Вы просто не умеете заполнять бумажки для таможни. У них там, по большому счёту, есть несколько требований к железкам неизвестного назначения, которые требуется выполнить. Ну типа - если какую-то редкую видеокамеру специализированную везёте, то она не должна снимать при освещённости ниже чего-то там и иметь скорострельность выше чего-то там. С целью - запретить ввоз спецоборудования для слежки мимо разрешительных органов. Набираем спецификации от официального производителя, переводим, прикладываем к документам на товар - вуа-ля! Всё проезжает за неделю без гемороев.

Плавали, знаем. Надо только один раз насобачиться это правильно заполнять.

PS: В Германии, кстати, если официально везти такие штуки через границу со всеми накладными - ровно те же геморои.

PPS: 3D принтеры к нам ввозят легально целый ряд контор. Они просто умеют правильно заполнять эти самые бумаги, что ты ввозишь офисное оборудование, а не станок для производства пистолетов, незаметных для металлодетекторов. Статью на Хабре читал, автор - ни хрена не понимает в общении с таможней. Мы ввозили некоторое редкое оборудование через ту же самую Пулковскую таможню, никаких проблем - всё разрешалось максимум за 3 итерации дополнительных спецификаций с объяснениями.

Кому: WSerg, #124

> Думаю, это будет похоже на поиск ошибки с неизвестным адресом и стеком при недоступной трассировке

А так, мне кажется, всё проще. Такое найти невозможно). Даже имея стек очень трудно. А в данной задаче даже само наличие ошибки не доказано. Я то исхожу из приведённого г-ном Ашмановым сценария о студенте, который что-то делает на компьютере, а тот в ЦРУ всякое интересное про него шлёт. Причём шлёт постоянно, а не единоразово.
В целом, я думаю, грамотная закладка (ну такая, чтоб в час Ч выключила все канпутеры врага) должна быть аппаратной. Что, опять же, если и позволит её найти, то без чтения миллионов строк кода.

Кому: akochubey, #125

> Прямо самими браузерами? Или своими PHP скриптами?

Прямо самими.

> Есть разница между поиском яркого фонаря на темной улице и черной кошки там же.

Особенно если её там нет). Согласен, да. Тут действительно нужно грамотно сформулировать задачу. Понять что может представлять из себя закладка и что она может делать. А потом уже оценивать трудозатраты на возможности доказательства её наличия/отсутствия и, собственно, на сам поиск.
Меня просто несколько удивил подход Ашманова к проблеме.

Кому: ysy, #128

> А так, мне кажется, всё проще. Такое найти невозможно). Даже имея стек очень трудно

Возможно, но крайне трудоемко. И чем хуже документирован код, тем сложнее.

> Я то исхожу из приведённого г-ном Ашмановым сценария о студенте, который что-то делает на компьютере, а тот в ЦРУ всякое интересное про него шлёт. Причём шлёт постоянно, а не единоразово.

Это как раз ерунда, по моему мнению.
Судя по последним событиям со stuxnet наиболее опасные закладки в установленном оборудовании на режимных объектах, инициируемые "от пинка", т.е. спящие до сигнала. Могут быть как программные, так и аппаратные.

Кому: felix_d, #13

> При всем уважении и многих правильных идеях,трафик сейчас такой что его по сорм3 проблематично хранить, не то что 20 лет.

Хранить весь трафик и даром не надо, есть более эффективные методы. Но даже если бы все упиралось в большое хранилище, кое у кого такие ресурсы уже есть. См. сюда https://archive.org/web/

Кому: ysy, #122

> О поиске закладок. Может я чего то не понимаю, если так, то прошу разъяснить, но лично я бы начал анализ с поиска места которое, к примеру, пишет в сеть.

Это в художественной литературе про хакеров так. Для постоянного шпионажа проще купить кого-нибудь. Одмина, например, который просто обеспечит недостаточную степень защиты сетевой инфраструктуры административно-техническими средствами. Или начальника какого, который нужную инфу тупо будет сливать. Закладки могут быть самые что ни на есть деструктивные. И в один прекрасный момент... Я в войну России и США в обозримом будущем не верю. Но атака на какую-нибудь конкретную сферу, например, атомную промышленность и потом крики "нельзя доверять дикарям производить опасные_для_всей_Земли_на_которой_жить_нашим_детям_тигры_вымирают_ледники_тают ядрёные компоненты!!". Пример Ирана ещё свеж. Или ракета там какая с ГЛОНАСС спутниками (внезапно!) упадёт. У майкрософта не только ось для домохозяек есть, но и различные инструменты для прошивки микроконтроллеров, например. Цепочкой использовать_уязвимость_в_какой-нибудь_оси/инструменте -> использовать_закладку_в_какой-нибудь_оси/инструменте -> кого-то_купили -> где-то_украли -> где-то_недоглядели -> повторить_по_кругу можно много добиться. Догнать США в ИТ технологиях никто не предлагает, в обозримом будущем это просто невозможно. Но использовать что-то своё в ключевых моментах вполне по силам, если на то будет политическая воля. Примерно об этом Ашманов в популярном виде и говорит.

Кому: Basilevs, #127

> Бред. Вы просто не умеете заполнять бумажки для таможни.

Возможно.

Но вот стоит простая задача - привезти отладочную плату с ПЛИС. Плис Xilinx, отладка сама - другой конторы. В описании платы черным по белому - одно из применений: криптография. Имеющаяся нотификация на "ПЛИС Xilinx и отладочные платы на их основе" не подходит - производитель платы-то другой.

Производитель торгует ими по всему миру прямо через сайт, платы недорогие ($500). Вряд ли мне удастся договориться с ним о предоставлении легализованной (! в наше консульство идти?) доверенности на представление его интересов для получения нотификации.

> 3D принтеры к нам ввозят легально целый ряд контор

Таможня такая таможня.

Похожими отладками (жаль, не подходят) тоже торгует целый ряд контор. При этом нотификации нет ни на одну, хотя по закону - должны быть на каждую.

"Есть тысяча и один способ пройти таможню". Есть ли среди них легальный - хз.

И самое главное - на кой черт это вообще нужно? На любом калькуляторе сейчас можно невзламываемый криптообмен поднять, было бы желание.

Кому: WSerg, #130

> инициируемые "от пинка", т.е. спящие до сигнала. Могут быть как программные, так и аппаратные.

А откуда возьмётся сигнал? Если верить Ашманову - с пролетающей ракеты. На мой взгляд - это из той же серии что WiFi передатчики в утюгах из Китая. (если не так, то поправьте, плиз).
Лично мне кроме как из внешней сети - ничего на ум не приходит. А если так, то он будет каким-то сетевым пакетом. Тогда мы можем взять код, посмотреть кто и как обрабатывает пакеты, и потом смотреть дальше - кто и как зовёт того, кто обрабатывает пакеты итд. Наверное даже можно автоматизировать). Разве при таком подходе оно не найдётся?


Кому: Bobrov, #132

> Но использовать что-то своё в ключевых моментах вполне по силам, если на то будет политическая воля. Примерно об этом Ашманов в популярном виде и говорит.

Я же не спорю о том, что угроза есть, и что с ней надо бороться. Это всем и так понятно, особенно, думаю, ответственным за это людям.
Меня удивили слова Ашманова о том, как он эту угрозу описывает, что, в купе с упоминанием Сколкова, породило сомнения в его компетенциях. Ну или просто статья чистый популизм.

Кому: ysy, #134

> А откуда возьмётся сигнал? Если верить Ашманову - с пролетающей ракеты. На мой взгляд - это из той же серии что WiFi передатчики в утюгах из Китая. (если не так, то поправьте, плиз).
> Лично мне кроме как из внешней сети - ничего на ум не приходит.

Почитай про stuxnet.
Внешней сети на режимных объектах нет. Точнее, не должно быть физического соединения между внешней сетью (информационной) и внутренней (рабочей) - это если делать по уму.
Потому выдать сигнал может либо диверсант, либо - в случае закладки с участием аппаратуры - спутник/самолет/ракета. Правда, на мой взгляд, последнее ненадежно.

> Тогда мы можем взять код, посмотреть кто и как обрабатывает пакеты, и потом смотреть дальше - кто и как зовёт того, кто обрабатывает пакеты итд. Наверное даже можно автоматизировать). Разве при таком подходе оно не найдётся?

Такой подход можно использовать только для регулярных событий.

Кому: ysy, #122

С той целью, чтобы ты сперва подумал. А потом бы писал.
А по факту анализа кода на НДВ, как это происходит, зачем и по каким методикам - я сильно больше тебя знаю.
Так что про анализ чужого кода в 20-40 тыс строк в день - не надо заливать.

Кому: ysy, #134

> А откуда возьмётся сигнал?

Откуда-нибудь. Зацитирую себя же "использовать_уязвимость_в_какой-нибудь_оси/инструменте -> использовать_закладку_в_какой-нибудь_оси/инструменте -> кого-то_купили -> где-то_украли -> где-то_недоглядели -> повторить_по_кругу".
Начальник какой с большой головой подцепит свой айфон подзарядится по usb шнуру не к тому компьютеру, а подчинённый зассыт запретить. Нужный человек в нужный момент завсегда найдётся, хоть бы и не за деньги, а по идеологическим соображением (ИТ-специалисты - это очень либеральная среда) или просто из глупости/распи..ва. Нормально Ашманов угрозу описывает, закладка может ждать своего часа сколь угодно долго. Виндоус закрытая и очень большая система, провести её эффективный анализ не под силу даже самим мелкомягким, поэтому и приходится тестировать_на_пользователях*зачёркнуто* анализировать беспрерывно и патчить, патчить, патчить. Кроме того, о том, что такое винда, знают все, поэтому в популярных изданиях приводить в качестве примера логично именно её. В Сколково тоже есть толковые проекты, а то можно договориться, что всё - гавно и тлен, и вообще ничего не делать, накрываться простынёй.

Кому: WSerg, #135

> Почитай про stuxnet.
> Внешней сети на режимных объектах нет. Точнее, не должно быть физического соединения между внешней сетью (информационной) и внутренней (рабочей) - это если делать по уму.

Бегло прочитал на Вики. Пишут что пролазит через дырки в Виндос и портит сименсовские библиотеки. В приватную сеть заносится на флешке (вот, кстати, где слабое место то). Я правильно понимаю, что искомая закладка - это как раз дырки в Виндос, через которые он лазил? Если так, то неужели это реально сложно, имея исходные коды и контакт с их создателем обезопасится от подобного? Сеть то приватная. Нам же наверняка нужен от неё весьма ограниченный функционал.

Кому: ysy, #138

> Бегло прочитал на Вики.

Рассказываю. Вирус поражает прошивку сименсовских микроконтроллеров. Поражает, собственно, при прошивке. Прошивают в винде, не помню только в какой, "закладка", собственно, в винде. Жаловаться на Микрософт "дикарям из тоталитарных стран", как ты понимаешь, некому. Бороться с "людьми с флешками" тоже нужно, но всех не заборишь, устранить причину эффективнее.

Кому: ysy, #138

> Я правильно понимаю, что искомая закладка - это как раз дырки в Виндос, через которые он лазил?

Считается, что не закладка, а "дырка в безопасности", коих у майкрософта и без закладок навалом. А там кто нам правду скажет - может, Израиль подкупил сотрудников МС для создания эксплойта, или кто-то из МС слил инфу об непочиненом эксплойте.

> Если так, то неужели это реально сложно, имея исходные коды и контакт с их создателем обезопасится от подобного?

У тебя исходники последних виндовсов есть? Или ты знаешь где скачать?
Судя по последним 10 лет наблюдения за продукцией МС, они не заинтересованы в создании идеально работающей ОС. Так что эта музыка с эксплойтами будет вечной.

Кому: kkbl, #136

> > С той целью, чтобы ты сперва подумал. А потом бы писал.

Вы так спугнёте молодого гения.
И не будет вам никто по 20 тыщ строк в день исследовать. Будете потом искать дарования - а и нетути их, все браузеры подались писать.

Кому: ysy, #134

> Если верить Ашманову - с пролетающей ракеты.

И даже марку ракеты не назвал!
Ты всё понимаешь буквально?
Имеется в виду, что неизвестно, когда и каким образом могут быть активированы закладки.

Да, и если ты не знаешь: анализ аппаратных закладок ничуть не проще анализа программных.

Кому: Garul, #123

> Такое впечатление, что о существовании АНБ, до сноуденовских откровений, никто и не догадывался.

Тут, скорее, дело не в догадках о существовании АНБ, а о размахе деятельности. Если уж Меркель и другим союзничкам шаблон в клочья порвало.

Что то тред пошел не туда - закладки-раскладки. Гасспада, позвольте вбросить!

По-моему самое спорное утверждение Ашманова вот:

Кому: Цитата, #1

> Если мы начнём исправлять наш мир идей, объяснять себе, что у нас свои правила жизни – что у нас есть цель – справедливость, что, например, мы не фильтруем людей, не стараемся выбрать только одного талантливого и ему подать социальный лифт, а хотим, чтобы все жили хорошо – и если у нас сформируется уверенность, что мы не случайно собрались все в этом месте с ужасным климатом, все изменится как по волшебству.
>

Я двумя руками за, но я не понимаю как это обеспечить. Ведь те самые,которые умные, о которых как говорил сам Ашманов выше "умнее, предприимчивее, живее, круче, чем тот курс, где я учился в 1978-1983" попытаются получить от жизни больше других, даже если для этого потребуется сломать СССР v2.0. Курс Ашманова же сломал первую версию. И пропаганда русского мира не очень поможет, как не помог кодекс строителя коммунизма.

Похоже, Ашманов то ли не хочет говорить, то ли не понимает, что то, что он называет англоскасонским миром не сильно навязано чьей-либо культурой, это скорее естественно сложившееся положение вещей. Джунгли. Как оттуда выманить лысую обезьяну не понятно. И даже если ее вытащить за рудимент хвоста, сколько ей про космические корабли, которые бороздят просторы Большого театра не рассказывай, обезъяна эта все равно будет смотреть в первобытный лес.

Кому: ysy, #122

> но лично я бы начал анализ с поиска места которое, к примеру, пишет в сеть.

Ну, т.е. мы уже говорим о том, что код надо не просто прочесть, но и подифицировать, запустить в отладчике или просто запустить и смотреть в лог чего оно там пишет. Т.е. это все сильно снижает скорость анализа кода, а занимаемся мы не просто чтением кода вслух с выражением, а именно анализом.
Хорошо, а если оно ничего не пишет? Ну или пишет не регулярно, а только по выходным? Что делать будем?
Или так, а если оно пишет очено-очень много всего и из очень разных мест программы? Я понимаю, можно конечно снифером трафик перехватывать и анализировать каждый посланный пакет, но насколько это эффективно? По-моему еще хуже, чем код анализировать.
Пошли дальше: а кто собственно сказал, что вызвать функцию, которая посылает что-то в сеть можно только одним способом, который реализован в нашем языке программирования? Кто сказал, что закладка обязательно должна пользоваться стандартными функциями для работы с сокетами? Реализация ведь может быть другой, а функцию можно вызвать просто записав в стек аргументы и сделав jmp по нужному адресу.
Да и вообще, а кто сказал, что оно должно что-то писать? Это может быть обычная уязвимость где-нибудь в сетевом драйвере, какой-нибудь эксплойт, которым просто нужно воспользоваться.

Ты, как разработчик браузеров наверняка в курсе про уязвимости в них, которые путем формирования страницы определенного содержания или наличия определенного джава-скрипта на странице, позволяют получить неавторизованный доступ к ОС и выполнить на ней произвольный код. Так объясни же мне, почему при наличии исходников, все эти дыры до сих пор не пофикшены и появляется все больше новых?

Кому: nArano, #17

> но очень интересно, если бы из подобных технарей, разных профилей,
> сформировать "высшие эшелоны власти", что бы вышло?

Возможно - технофашизм. [кс]

Кому: Basilevs, #127

> Бред. Вы просто не умеете заполнять бумажки для таможни.

Ну да, конечно бред. Недавно на том же хабре была статья от парнишки, пытавшегося приобрести 3D принтер, поищи. Познавательны комментарии граждан из аппарата президента в твиттере, после прочтения статьи. Типа: "да это ад натурально".

Ашманов упомянул ИТМО, так половину студентов ИТМО, можно отчислить без проблем.