В октябре 2012г. эксперты начали расследoвание серии атак на компьютерные сети междунaродных дипломатических представительств. В процессе изучения этих инцидeнтов специалисты обнаружили масштабную кибершпионскую сеть. По итoгам ее анализа эксперты к выводу, что оперaция под кодовым названием "Красный октябрь" началась eще в 2007г. и продолжается до сих пор.
Как сообщили в "Лабoратории Касперского", основной целью киберпрeступников стали дипломатические и правительственные структуры по всeму миру. Однако среди жертв также встречаются научно-исследoвательские институты, компании, занимающиеся вопросами энeргетики, в том числе ядерной, космические агентства, a также торговые предприятия. Создатели "Красногo октября" разработали собственное вредонoсное программное обеспечение (ПО), имeющее уникальную модульную архитектуру, состоящую из вредоносных рaсширений, модулей, предназначенных для кражи информации.
> Эээ, там кто-то тихо обманул принцип Бергофского?
Специально прогуглил, оказалось - худлит. Занятный аргумент. В статье Википедии, где "принцип" упоминается, написано, в чём ошибка креативного автора.
Ну и эта, вместо Брауна рекомендую по данному вопросу Шеннона.
> Ну да, я писал про математическое несовершенство шифров.
Существует и практически используется совершенный шифр.
> Поясни свою мысль, очень аргументы интересны.
Мысль очень простая: фраза "грамотная целевая атака" может всё что угодно означать. Такими аморфными аргументами можно всё что угодно обосновать, только практического смысла в них - никакого. В криптоанализе и вообще в области защиты информации всегда оговаривается тип угроз ("атак"), и исследуется защищённость от чётко сформулированных угроз, а не от непонятно чего.
> Обезопасить от системных дыр линукс проще - исходники то есть.
>
> Сказки это все.
Подписываюсь, камрад. Как-бы, даже, не наоборот.
Но, боюсь, у экспертов мозг не выдержит такого откровения.
Экспертам не приходит в голову простая мысль о недостатках децентрализованной (мягко говоря) модели разработки, принятой в GNU/Linux.
И об огромном количестве диалектов этой системы.
> Файрвол, даже самый простой, но грамотно настроенный не так-то просто обойти.
> На то он и - файрволл.
Камрад, иногда не требуется что-то воровать. Иногда очень действенно, если, скажем сайт конкурента просто перестанет отвечать на запросы. А защититься от таких вещей - невозможно в принципе, пока сети базируются на современных протоколах передачи данных. С точки зрения науки - и факт кражи информации и факт прекращения правомерного доступа к информации - является фактом несанкционированного доступа, то есть взломом, проще говоря. А устроить атаку типа отказа в обслуживании - намноооооого проще, чем украсть.
> Для этого нужен штат кодеров. И возникает охеренная проблема - взяли и увезли главного программиста Васю в лес. Вася знает систему сверху донизу. Это не просто лазейка в безопасности, это черная дыра из космоса.
Ну, если процесс разработки существет так, что этот самый "главный программист" существует - то да.
Поэтому процессы разработки чего-то с серьёзными требованиями по безопасности строятся так, что такого человека, "знающего систему сверху донизу" не существует. То есть даже архитекторы системы не знают и не имеют права знать реализации некоторых компонент.
> Файрвол, даже самый простой, но грамотно настроенный не так-то просто обойти.
Задача "обойти файервол" бывает только для развлечения или в качестве лабораторной работы (условно).
Реальные задачи состоят в краже/порче файлов, например. Для этого вовсе не обязательно именно ломать и именно файервол.
Тогда должен понимать, что совершенные шифры (по Шеннону) таковыми являются с массой оговорок. Например, с точки зрения шифрования только одной шифрограммы одним ключом. При шифровании другой шифрограммы - требуется новый ключ. При использовании одного ключа для нескольких шифрограмм - таковыми не являются. И еще - если я правильно помню Шеннона, то для шифрования бесконечной шифрограммы требуется бесконечный же ключ.
> Поэтому процессы разработки чего-то с серьёзными требованиями по безопасности строятся так, что такого человека, "знающего систему сверху донизу" не существует. То есть даже архитекторы системы не знают и не имеют права знать реализации некоторых компонент.
Что-то с серьёзными требованиями по безопасности строится не на основе того, что части системы засекречены, а на основе того, что безопасность осуществляется, даже если строение системы полностью известно противнику. Это называется принципом Керкгоффса и известно уже второе столетие.
> Прежде чем бросаться в переборы, полезно в вике статью "Невзламываемый шифр" посмотреть.
Смотрел не только википедию, если что. Математическая модель существует, да.
Устойчивая практическая реализация, на сколько мне известно - нет.
Все упирается в несовершенство при создании, физические ограничения, и вопросы постоянной и стойкой передачи ключей другому абоненту.
> для шифрования бесконечной шифрограммы требуется бесконечный же ключ.
В жизни ничего бесконечного не бывает. Поэтому одноразовые шифроблокноты давно и с успехом применяются разными разведками, более того, уже во Вторую Мировую американцы на этом принципе построили систему засекречивания голосовой связи.
> Поддерживаю. Насмотрятся фильмов типа "Хакеры", где файрволы любые ломают\рушат на раз-два - и всё. Значит, все остальное в реальной жизни также просто поломать и пролезть куда хочешь...
> Файрвол, даже самый простой, но грамотно настроенный не так-то просто обойти.
> На то он и - файрволл
-да и мне кажется, что нужно знать что ты ищешь и где это искать. Не будешь ведь копировать содержимое всех винтов всех компов в локалке. Хотя в фильмах все проще - нужная папка называется "TopSecret"
> В жизни ничего бесконечного не бывает. Поэтому одноразовые шифроблокноты давно и с успехом применяются разными разведками, более того, уже во Вторую Мировую американцы на этом принципе построили систему засекречивания голосовой связи.
Я говорил о применении всего этого в компьютерных технологиях. Где все эти вопросы реализованы сильно хуже, чем в разведке. Соглашусь, что симметричные шифры с одноразовыми паролями имеют уязвимость только при компрометации ключа. Но на сколько мне известно, такие вещи еще не реализовали приемлимо в сфере ИТ.
> А у меня другой академический интерес. Кто догадался и кто разрешил провести интернет на объекты ядерных и космических агентств?
Про ядерные и космические объекты ничего не знаю. А в нормальных банках внутренняя сеть полностью физически развязана с интернетом. То есть интернет есть, но только на отдельных компах. То, как почта перекидывается между этими двумя сетками - особая песня.
> Что-то с серьёзными требованиями по безопасности строится не на основе того, что части системы засекречены, а на основе того, что безопасность осуществляется, даже если строение системы полностью известно противнику. Это называется принципом Керкгоффса и известно уже второе столетие.
Да, для шифрования и систем ограничения доступа это корректно. Согласен.
> А в нормальных банках внутренняя сеть полностью физически развязана с интернетом. То есть интернет есть, но только на отдельных компах. То, как почта перекидывается между этими двумя сетками - особая песня.
У банка цели другие, сотрудникам действительно может потребоваться связаться с кем то вне банка. А вот с закрытых объектов что то в инет слать, это как то совсем странно. Поэтому, я подвергаю сомнению целесообразность наличия любой связи с интернетом на таких объектах сомнению. В том числе, и мобильный глушить надо.
> Но на сколько мне известно, такие вещи еще не реализовали приемлимо в сфере ИТ.
Ты смотришь не с той стороны. Сфера ИТ сама по себе не является полностью замкнутой в части безопасности информации. Она даже основной не является, на самом деле. Основной является корпоративная политика и дисциплина персонала, тогда можно элементарными средствами обеспечить безопасность информации от любых мыслимых угроз. Но такая политика и дисциплина являются весьма дорогими и муторными вещами, поэтому на них просто забивают и утешают себя тем, что "мы поставим волшебную систему защиты, и она нас от всего защитит". Ну а "сфера ИТ" рада стараться в подгоне таких систем, более того, активно их впаривает и агитирует за такой безумный подход. Компания Касперского и любой производитель "антивирусов" - в том числе.
> Полностью криптостойких систем не существует. Если есть сеть наружу, ее можно поломать. Вопрос все так же в деньгах и времени. Тут начинаются качели кто больше заплатит - тот, кто прячет информацию, или тот, кто ее хочет своровать.
Тут речь шла об ИТ, вот я и кинулся защищать, совсем оставив за скобками массу вещей.
Особенно из области практического применения некоторых шифросредств, с которыми сам же и работал в свое время. :)
> Особенно из области практического применения некоторых шифросредств
А мог бы ты подробнее рассказать, о каких шифросредствах идет речь. Просто я тоже этой областью занимаюсь и не сказал бы, что используемые сейчас в IT шифросредства, такая ерунда которую прям взял и перебором сломал.
Про интернет не знаю, а мобильники и фотоаппараты на АЭС в соответствующих помещениях запрещены. Так говорят те, кто с АЭСами как-то связан. Как обеспечивается - не в курсе.
> А мог бы ты подробнее рассказать, о каких шифросредствах идет речь.
Тут не про ИТ вообще говорил виду, а про связь. Ну а из известных в ИТ говорил не о том, что они ерунда, а о том, что атаке перебором подвержены изделия. Какие? Ну в обжем, любая реализация. Те же самые изделия криптоком, криптопро, типа того. Ну и некоторые, про которые не буду говорить. Если только м449 или м450 ничего не скажет.
> А у меня другой академический интерес. Кто догадался и кто разрешил провести интернет на объекты ядерных и космических агентств?
Его там быть не должно. Более того внутренняя сеть на таких объектах должна быть только волоконно-оптической по нормам безопасности, и еще куча всяких ограничений. Но это в госструктурах, как там все обстоит в Роскосмосе и Росатоме - не знаю.
> Про интернет не знаю, а мобильники и фотоаппараты на АЭС в соответствующих помещениях запрещены. Так говорят те, кто с АЭСами как-то связан. Как обеспечивается - не в курсе.
Про эксплуатацию врать не буду точно не знаю, а при монтаже и наладке инет с сотовыми используется на УРА.
В спец помещениях (БЩУ например) ничего глушить и не надо - армирование с бетонированием лучше всяких глушилок действует. Внутренних сетей на АЭС много и они одна от другой физически независимы. Если что-то и можно поломать - то только изнутри или подсадить чего при наладке.
Гораздо интереснее дела на подстанциях. Они территориально разнесены, а управление все выводится на центральный пульт. АРМ дежурного - тупо виндовс со спец программкой и если кто-то на флешке чего "интересное" принесет, то всякое может быть. Кстати один из резервных каналов связи АСУТП на подстанциях - GSM.
Но в любом случае все первичные защиты собираются на спец оборудовании которое "заразить" может или изготовитель или наладчик с релейщиком, но это только при физическом контакте, на АРМ оно смотрит только через сухие контакты реле или стандартную токовую петлю. В своей практике еще ни разу не видел чтобы тот функционал который закладывают Сименс, АББ и прочие буржуи в свою аппаратуру (типа управление выключателями через инет или смс) использовался на таких объектах.
> для установки которoй письма содержали эксплойты, использовавшие уязвимости в Microsoft Office
Неоднократно проходили новости, как американское правительство сотрудничает с владельцами крупных сервисов в Интернете (фейсбук, твиттер, жж), для продвижения Свободы и Демократии по планете.
Если я правильно понимаю, упомянутые уязвимости в продукты майкрософта могли быть заложены намеренно. Или это уже совсем конспирология?
Новости
VIP
