Компьютерра - Журнал «Компьютерра» № 11 от 21 марта 2006 года

Впрочем, не исключено, что скоро написание книжек «Взлом Mac за двадцать минут» станет не таким уж простым делом: встревоженная нынешней ситуацией, Apple рвет когти. В середине марта на свет появился второй в нынешнем году патч Mac OS X, который эксперты по безопасности расценивают как «экстремально критичный» — подобного титула заплатки удостаиваются очень редко. Как заявляют представители компании, комплект Security Update 2006-002 ликвидирует два десятка серьезных дыр, касающихся веб-браузера Safari, почтовика Apple Mail и интернет-пейджера iChat. Среди прочих «вылечен» такой серьезный баг, как ошибка переполнения буфера в почтовой программе, позволяющая запускать вредоносный код. Устранена дыра в обработке JavaScript, через которую скрипты открывают удаленные файлы, минуя систему безопасности. Не осталось незамеченным и явление первого «яблочного» червя Loompa: теперь при попытке распаковать пришедший по каналам iChat архивный файл система предупреждает о возможных последствиях столь опрометчивого шага.

Пожалуй, предусмотрительные эппловцы не зря помечают номер патча трехзначным числом — ныне Mac OS X представляет собой настоящий клондайк для хакеров. Пока рыночная доля яблочного пирога была не столь велика, серьезные «искатели блох» обходили ее стороной, но после портирования на процессоры Intel ситуация коренным образом изменилась. Не исключено, что отныне программистам Apple придется латать дырявый «Макинтош» не реже, чем Microsoft заменяет разбитые стекла в своих «Форточках». — Д.К.

Разработчики GPG, популярной криптопрограммы с открытыми исходниками, известной также под именами GnuPG и GNU Privacy Guard, извещают о паре выявленных в коде серьезных багов, которые снижают безопасность криптографии. Обнаруженные слабости теоретически позволяют злоумышленнику незаметно делать собственные вставки в контент, защищаемый цифровой подписью, либо подделывать подписи файлов. Потенциальной угрозе подвержены все версии программы, предшествовавшие 1.4.2.2.

GPG родилась как проект германских программистов, решивших создать бесплатный аналог ушедшей в коммерцию PGP. Программа быстро завоевала популярность и сегодня входит во многие дистрибутивы таких операционных систем, как FreeBSD, OpenBSD и многочисленные разновидности Linux. Оба нынешних бага в GPG обнаружил Тавис Орманди (Tavis Ormandy) из команды программистов-разработчиков, отвечающих за безопасность ОС Gentoo Linux.

Распространители дистрибутивов Linux и Unix часто используют цифровую подпись GPG для подтверждения подлинности выпускаемых обновлений, а также для верификации рассылки почтовых сообщений о выявленных проблемах с безопасностью. Обнаруженные Тависом Орманди баги позволяют встраивать в электронное письмо или подписываемые файлы дополнительные пакеты, так что проверяющая подписи программа эти вставки «как бы не замечает» и подтверждает подлинность полученной корреспонденции. Поэтому все системы, распространяющие дистрибутивы с опорой на GPG, нуждаются в обновлении программы до версии 1.4.2.2 или выше. Подробно ознакомиться с выявленными в GnuPG слабостями можно по этому адресу. — Б.К.

На ежегодной «Конференции по всепроникающему компьютингу и коммуникациям» (IEEE PerCom), проходившей в итальянском городе Пиза, группа исследователей из Свободного университета Амстердама представила доклад о выявленной ими новой уязвимости систем на основе RFID, чипов радиочастотной идентификации. Ученые продемонстрировали на практике, что все шире внедряемые RFID-метки, приходящие на смену традиционным штрих-кодам, точно так же подвержены угрозам вирусных инфекций, как и любое другое компьютерное устройство.

Вплоть до последнего времени предполагалось, что мизерный объем памяти большинства RFID-чипов сам по себе является гарантией вирусного иммунитета этой технологии. Однако голландцы показали, что и этого объема вполне достаточно для внедрения злонамеренного кода. Когда этот код вместе с остальной информацией считывает прибор-ридер, подключенный к компьютерной базе, то дальше происходит заражение системы и перенос вируса на все последующие RFID-чипы, обрабатываемые и программируемые ридером. Иными словами, имеются все условия для распространения инфекции.

Опасность подобного сценария демонстрируется на примере аэропорта Лас-Вегаса, где ежемесячно обрабатывается два миллиона единиц багажа пассажиров. С мая 2006 года администрация аэропорта намерена прикреплять к чемоданам, сумкам и тюкам RFID-метки для ускорения обработки всей этой клади. И если всего лишь один злоумышленник приклеит к своему чемодану зараженную вирусом RFID-метку, то скоро система автоматизированного учета и сортировки рухнет. Тем же вирусом будут заражены чипы идентификации на всех прошедших обработку чемоданах. По прибытии в пункты назначения этот багаж может быть просканирован RFID-системой других аэропортов, так что теоретически эпидемия способна быстро распространяться по всему миру… Как это часто бывает с изобретением еще не существующих угроз, у придумавших RFID-вирус ученых уже имеется разработанное ими же средство борьбы с подобной заразой, которое (вкупе со взаимовыгодным сотрудничеством) предлагается заинтересованным лицам на сайте www.rfidgu-ardian.org. — Б.К.

Американские журналисты из газеты Chicago Tribune продемонстрировали то, о чем специалисты по защите информации предупреждают давным-давно: крупные централизованные базы, собирающие данные из открытых источников, а затем продающие всевозможную информацию о людях, являются обоюдоострым оружием. Они могут быть очень удобным подспорьем для спецслужб, составляющих профиль на заинтересовавшего их или вызывающего подозрение человека. Но эти же базы могут с успехом разоблачать и сотрудников разведки, работающих под прикрытием ради успешного выполнения задач и нередко просто ради сохранения жизни в опасных операциях.

Журналисты решили проверить, сколько тайн ЦРУ — находящихся «под крышей» агентов, засекреченных зданий и прочих объектов, телефонов и т. д. — можно раскрыть с помощью Интернета, пользуясь услугами платных и бесплатных баз. В итоге было «вычислено» 2653 сотрудника ЦРУ (из которых лишь 160 официально называют себя аналитиками и представителями администрации разведки), полсотни внутренних телефонов Управления, а также множество секретных объектов в Чикаго, штатах Флорида, Пенсильвания и Вашингтон. Сделано все это на основе перекрестного изучения таких доступных источников, как телефонные справочники, налоговые документы на недвижимость, списки избирателей, судебные решения и деловые бумаги корпораций.