Коллектив Авторов - Цифровой журнал «Компьютерра» № 191

Сегодня достаётся даже основанной на ядре Linux ОС Android. Независимый консультант по вопросам информационной безопасности Майкл Хоровиц (Michael Horowitz) написалв своём блоге, что начиная с версии 2.2 все устройства под управлением Android по умолчанию отправляют сохранённые пароли от сетей Wi-Fi и другие приватные данные в дата-центры компании:

Google давно имеет техническую возможность получать пароли от домашних и корпоративных Wi-Fi-сетей. Вряд ли компания желает причинить таким образом вред своим клиентам. Скорее у руководителей просто не было выбора. Они утверждают, что хранят все данные в защищённых дата-центрах и удаляют их со временем, но наверняка прежде их передают АНБ, ЦРУ и ФБР. Если вы хоть раз подключались к беспроводной сети со смартфона или планшета под управлением ОС Android, то спецслужбам даже не потребуются эксплойты, чтобы проникнуть в неё.

В качестве альтернативы Хоровиц упоминает проект Replicant, в рамках которого уже четвёртый год создаётся свободно распространяемая версия Android с открытым исходным кодом.

Действительно, в свете последних известий о размахе деятельности АНБ многие видят в открытом ПО средство спасения от протрояненных систем и основу доверенных платформ. Однако скептики в очередной раз предостерегаютот ложных надежд.

Открытость ещё ничего не значит сама по себе. Порой опытные программисты с трудом читают свои же листинги старых проектов. Эффективный анализ чужого кода и вовсе под силу единицам. Причём совсем не факт, что эти специалисты высокого уровня захотят тратить на это неблагодарное занятие своё время.

Внедрить программную закладку в Linux или *BSD сегодня так же просто, как и в проприетарные ОС. При существующем объёме открытого кода они будут оставаться незамеченными месяцами, если не годами. Истории с переходившими от версии к версии критическими уязвимостями — наглядное тому подтверждение.

К примеру, уязвимость нулевого дня, вызывающая несанкционированное повышение привилегий, существовалав ядрах Linux версий с 2.6.37 до 3.8.8. Иными словами, серьёзную ошибку не замечали около двух с половиной лет.

«Зачем я буду проверять код, если до меня его уже досконально изучили тысячи более опытных волонтёров?» — примерно так думает большинство сторонников open source.

В самом деле, кто из вас лично проверял исходники хотя бы десятка популярных программ? Драйверов? Сколько пользователей вообще загрузили их для ознакомления? Единицы, и уровень их далёк от экспертного.

Впрочем, и специалистам приходится нелегко. Например, в коде хост-контроллера Intel xHCI (hub.c) целых восемь лет существовалаошибка с указанием тайм-аута, приводящая к внезапному отключению многих USB-устройств после выхода из режима ожидания. Баг не просто не замечали так долго. Его прицельно искали программисты Intel и многие члены Linux-сообщества, но не могли найти.

Серьёзный анализ кода часто становится невозможным или неоправданным из-за темпов разработки и разветвлённости направлений оптимизации. Пока вы будете изучать один релиз, напишут два новых.

Казалось бы, ладно — Linux. Там чёрт ногу сломит, в этом обилии дистрибутивов и их специфике. Есть же более узкоспециализированные операционные системы и защищённые программно-аппаратные решения от уважаемых компаний. Почему бы не довериться им?

Да хотя бы потому, что и в этих продуктах по-прежнему выявляются ошибки, выглядящие как явные программные закладки. Например, не так давно компания Hewlett-Packard подтвердиланаличие бэкдоров в своих системах резервного копирования StoreOnce D2D Backup и хранения данных StoreVirtual Storage. Уязвимости, которые невозможно было устранить путём любых изменений конфигурации, существовали на протяжении четырёх лет.

Последний гвоздь в крышку гроба приватности забиваеттехнический эксперт Роберт Погсон (Robert Pogson) из Университета Манитобы. Он сам сторонник концепции open source и считает это направление верным, но при этом спрашивает коллег: «С чего вы вообще взяли, что основные угрозы приватности реализованы на уровне бэкдоров в ОС и приложениях? Есть более удобные и универсальные способы контролировать всех на более низком уровне».

Речь идёт о низкоуровневых функциях современного «умного» железа — сетевых картах с изменяемыми настройками, маршрутизаторах с прошивками на базе полноценной ОС, UEFI с браузером и кучей встроенных утилит, независимой от платформы среды драйверов EBC, технологии Intel vPro, наконец.

Уже давно не удивляет возможность получить удалённый доступ к компьютерам без установки на них не только сетевых драйверов, но и самой операционной системы. Даже удалённое включение «выключенного» компьютера и изменение его BIOS по сети не выглядит чудом. И это только известные штатные функции, верхушка айсберга.

К оглавлению

Опубликовано18 сентября 2013

Восемнадцатого сентября 2013 года Apple наконец-то запускает долгожданныйпотоковый сервис iTunes Radio: бесплатное веб-радио станет частью мобильной операционной системы iOS 7, пользователи которой смогут создавать собственные «станции» с учётом своих уникальных музыкальных предпочтений. Сервис будет полностью бесплатным, причём подписчики iTunes Match даже не увидят никакой рекламы. Кроме того, веб-радио максимально упростит покупку музыки: слушатель сможет нажать кнопку «Купить» непосредственно во время трансляции понравившейся песни — или найдя её потом в «истории» прослушивания.

Фактически iTunes Radio представляет собой «вариацию на тему» интернет-радиоcервисов вроде Pandora, Spotify или Rhapsody, только для владельцев iPhone и iPad. Именно таким потоковым службам многие эксперты прочат большое будущее. Тем не менее, несмотря на рост популярностистриминговых веб-радиостанций, окупающихся за счёт демонстрации рекламы, многие до сих пор предпочитают скачивать музыку на свои плееры, поэтому тесная интеграция iTunes Radio с собственно iTunes может действительно подстегнуть продажи аудиозаписей через интернет. Так что в лице iTunes Radio та же Pandora может получить очень опасного конкурента.

Модель, реализованная в iTunes Radio, хорошо известна: выбираете жанр или исполнителя или альбом и получаете бесконечный автоматически сгенерированный поток музыки, которая, исходя из заданных критериев, должна вам понравиться. При этом можно отметить песни, которые вас особенно впечатлили или, напротив, треки, которые вы больше не хотели бы слышать никогда. В Apple также обещают эксклюзивные предложения самых свежих релизов и поддержку стриминга не только на мобильных устройствах, но и на настольных компьютерах.