PC Magazine/RE - Журнал PC Magazine/RE №06/2008

Особенность новой идеи в том, что покупатель разрекламированного на сайте товара получает в качестве бонуса не скидку, а живые деньги – в виде перевода на свой банковский счет, классического чека или трансферта через систему PayPal. Для рекламодателей ситуация также меняется: вместо привычной схемы «оплата за клик», действующей в том числе и в рекламном движке Google, они будут работать по правилу «оплата за заказ». Такой подход обещает им сокращение издержек, ведь платить рекламной площадке (Live Search, в данном случае) придется только после оформления реальной сделки с привлеченным через сайт пользователем.

Однако в любом случае последнее слово останется не за онлайновыми покупателями, не за рекламодателями или самой корпорацией, а за всей массой серферов в целом. Вопрос в том, настолько ли привлекательной окажется для них поисковая система Microsoft, чтобы уверенно состязаться с Google. Даже лучшая во всем виртуальном мире бизнес-идея не сработает в условиях низкой посещаемости онлайнового ресурса – и именно поэтому Microsoft жизненно необходима сейчас покупка если не всей Yahoo! целиком, то хотя бы значительной части ее акций. Иначе успешно противостоять популярности Google, на которую накладывается и успешность его модели контекстной онлайновой рекламы, так и не удастся.

Конференция по ИТ-безопасности EUSecWest, которая прошла в Лондоне, гарантировала как минимум одну сенсацию – показательное выступление Рича Смита, главы подразделения по исследованию угроз и атакующих технологий в HP Systems Security Lab. Будет продемонстрирован совершенно новый (или хорошо забытый старый?) тип сетевой атаки, результатом которого оказывается физическое повреждение компьютерного «железа».

Сам Рич Смит предпочитает называть PDoS-атаку флэшингом (phlashing), подчеркивая этим, что уязвимы к ней прежде всего перезаписываемые BIOS современных компьютеров, ради удобства пользователей допускающие обновление микропрограмм в «горячем» режиме. Созданная исследователем утилита PhlashDance действительно способна сделать жизнь системных администраторов погорячее: она предназначена как для демонстрации самой возможности PDoS-атаки, т. е. удаленной перезаписи (вплоть до перманентной порчи) флэш-BIOS подключенных к сети компьютеров, так и для своевременного распознавания такого рода атак.

Строго говоря, компьютеры как таковые – не самая лакомая мишень для флэшинга. В современных сетях хватает устройств – маршрутизаторов и коммутаторов, – не просто несущих доступные для перезаписи флэш-BIOS, но априори допускающих удаленное обновление своего микрокода. В отличие от ПК и серверов, таким устройствам администраторы уделяют обычно меньше внимания: не слишком часто детально проверяют их состояние (работает – и ладно), пренебрегают регулярным резервированием настроек… Да и «заплаты» безопасности от разработчиков сетевой инфраструктуры появляются не слишком часто. Да о чем вообще говорить, когда немало нерадивых администраторов при наладке сети даже не удосуживаются сменить стандартный пароль для доступа к маршрутизатору!

Помимо применения флэшинга для вывода атакуемой сети из строя, атака может использоваться и для тонкой модификации микропрограмм сетевого оборудования, с тем чтобы предоставить атакующему идеально сокрытую от ленивых «админов» лазейку в локальную сеть. Впрочем, как полагают специалисты по компьютерной безопасности, «боевого» применения подобных атак можно пока не опасаться. Будем надеяться, что выигранное Ричем Смитом у «черных хакеров» время и разработчики сетевого оборудования, и системные администраторы потратят с пользой.

Американская компания Traversal Technology принимает предварительные заказы на свою первую разработку – графическую плату под неброским названием OGD1P. Суровые «железные» хакеры от атлантического до тихоокеанского побережья в нетерпении потирают руки.

Суть их восторженного предвкушения несколько проясняется, если добавить, что OGD1P – устройство, созданное в духе концепции открытого кода (и открытой «железной» архитектуры), к тому же допускающее настройку умелым пользователем под собственные нужды в самых широких пределах.

Перечень технических характеристик платы явно указывает осведомленному специалисту на то, для чего ее разработчики тратили в течение нескольких лет время и силы, в то время как на полках магазинов сменялись все новые поколения продукции NVIDIA и ATI. OGP в названии устройства – сокращение от Open Graphics Project. Основные модули OGD1P – Lattice LFXP10 FPGA и Xilinx Spartan-III XC3S4000 FPGA, программируемые вентильные логические матрицы, позволяющие владельцу платы самому формировать внутреннюю архитектуру «железа» исключительно программными средствами.

FPGA-устройства созданы специально для разработки новейших подходов к архитектуре сложных полупроводниковых модулей (в том числе и графических плат); фактически это тестовые технологические стенды в масштабах стандартных микросхем.

С точки зрения сообщества открытого кода, FPGA – идеальная площадка для хакерских (в самом корневом смысле слова) игр. На базе программируемой вентильной матрицы можно динамически создавать графические процессоры с заранее заданными свойствами – в одном случае потребуется, скажем, усилить шейдерную производительность; для решения другой задачи – бросить все ресурсы микросхемы на обсчет вершин.

Точно так же динамически (и без затруднений патентного характера) будут создаваться и драйверы для виртуализированных графических плат, работающие в любой избранной программистом ОС.

Первый коммерческий образец «открытого АО» (по аналогии с «открытым ПО») ценой в 1500 долл. потребует от своего потенциального обладателя недюжинных познаний в полупроводниковой архитектуре и программировании, так что ожидать широкого распространения таких плат вряд ли стоит.

И кстати, графической платой разработка Open Graphisc Project называется с известной долей произвольности. Вентильную матрицу можно запрограммировать на работу в качестве хоть физического акселератора, хоть криптографического модуля, – нашлись бы только желание и способности.

Завсегдатаи популярной социальной сети Vkontakte.ru «подверглись вирусной атаке». От вируса пострадали более полумиллиона пользователей Vkontakte, беспечно кликнувших по ссылке на некую картинку. Ссылка на самом деле запускала на исполнение сценарий, о вредоносности которого в Сети ходят сейчас противоречивые слухи, но который в любом случае не должен был бы сработать, если бы не давний «баг» в коде службы Vkontakte, с ликвидацией которого администрация сайта слишком задержалась.