Рейтинг
0.00

Безопасность

Безопасность


Блог в котором освещаются вопросы безопасности в контексте применения и использования технологий облачных вычислений.

Администраторы (1)
ahaidukov
Модераторы (0)
Модераторов здесь не замечено
Читатели (6)
cloudzone cloudmen Rainbolt NuVashee Maloy rtcloud

Optic Nerve – телекран в каждый дом?

Безопасность
OpticNerveПосле того как начался шпионский скандал, связанный с массовой слежкой разведслужб Великобритании и США над практически всем остальным миром, упоминания о романе Дж. Оруэлла «1984» неоднократно мелькали в прессе. Действительно, роман-антиутопия, действие которого происходило кстати говоря на территории Великобритании, в котором все действия граждан до последнего чиха контролировались государством во главе с зловещим Большим Братом и даже мысль о неповиновении считалась преступлением. Этот роман подарил миру несколько новых слов и понятий, неожиданно оказавшихся весьма актуальными уже в новом, XXI столетии – новояз, мыслепреступления, Большой Брат, телекраны… похоже чтобы для того чтобы «сказку сделать былью» в XX веке просто не хватало средств.

Взять хотя бы «телекраны». В романе «1984» так назывались телеэкраны, которые были установлены в каждом доме и каждой квартире, через которые невидимый, но всевидящий «Большой брат» наблюдал за людьми (в телекраны были встроены камеры наблюдения). Наблюдение за человеком в его собственном доме – кошмар для западного общества, помешанного на тайне личной жизни. И тем не менее такой «всевидящий глаз» есть уже почти в каждом доме и каждой квартире. Это компьютер, оборудованный веб-камерой. Сейчас практически все ноутбуки оснащаются микрофонами с веб-камерам, они есть в смартфонах, подключены к значительному количеству настольников… и все это подключено к интернету. Скайп, Viber, Google Hangouts,Yahoo и многочисленные другие сервисы предоставили миллионам людей говорить и видеть людей на другой стороне земли совершенно бесплатно, их популярность все время растет. И вот к этому источнику информации и подключилась британская разведслужба GCHQ.

Читать дальше →

Защита данных в облаке: с чего начать

Безопасность
Защита данных в облакеКогда мы говорим о защите данных в облаке, то мы подразумеваем… Простого ответа на этот вопрос нет, так как он в значительной степени возникает из тех инструментов и технологий, которые используются. С точки зрения ИТ-специалистов, обилие потенциальных векторов атаки делает защиту облачных систем куда как более сложной, чем защиту традиционных систем. Но это совсем не значит, что нужно планировать защиту от всех этих факторов — при первоначальной формулировке модели угроз значительная их часть отсеивается.

Логика такова:

Во-первых, нужно понимать, какие модели защиты данных могут применяться в облаке.
Во-вторых, определиться какие из задач защиты информации будут решаться своими силами, а какие — передаваться на аутсорсинг.
И в-третьих, нужен хотя бы приблизительный список инструментов, которые будут использоваться при переносе данных в облако.

И на основе этих суждений определяются задачи, которые будут решаться — внутри компании и извне.

Читать дальше →

Где притаились подводные грабли, или 6 вопросов, которые стоит задать себе или своему облачному провайдеру

Безопасность
Вопросы облачному провайдеруBYOD «стучится в наши сердца» и серверы, зачастую корпоративные… Удобство использования, отсутствие альтернатив, необходимость быстрого решения проблем, наконец, банальная лень — все это, причины по которым все больше и больше конфиденциальных данных оказываются в частных облаках, куда их приносят сотрудники. Иногда простота «жизни» в публичном облаке («вы только нажимаете на кнопку») берет верх над соображениями безопасности, иногда это вопрос экономии на персонале и инфраструктуре. Впрочем, это не так важно…

Часто ли вы читаете условия предоставления услуг? Ну, те длинные стены текста которые все проматывают/прокликивают чтобы побыстрее перейти к установке приложения/регистрации в сервисе и так далее. Это стало привычкой — вредной привычкой. Иногда, а когда дело касается выбора сервиса не для личного пользования — всегда, стоит читать все, в том числе и написанное мелким шрифтом. Чем мельче шрифт, тем больше могут быть проблемы в будущем.

Возьмем, например, когда проведенную акцию от Mail.ru, в рамках которой бесплатно обещали 1 Тб пространства в облаке. Много места — это хорошо, однако при внимательном прочтении лицензионного соглашения там обнаруживаются такие пункты, как – разрешение на использование хранимого контента — в частности, профессиональным фотографам размещать данные в таких хранилищах не рекомендуется, или другой пункт, который дает Mail.ru право в любой момент без предупреждения удалять любой контент, который «нарушает и/или может нарушать законодательство Российской Федерации, положения настоящего Соглашения, права других Лицензиатов или третьих лиц, причинять им вред или угрожать безопасности». В такую формулировку при желании можно впихнуть что угодно.

Впрочем, аналогичные пункты можно найти и в соглашениях других провайдеров.

Читать дальше →

Интервью с администратором Silk Road 2.0

Безопасность
Silk Road 2.0Silk Road — подпольный рынок, на котором можно найти все что угодно. От марихуаны до оружия, если это производится на продажу и это нельзя найти в легальной продаже, скорее всего это можно найти там. Точнее можно было раньше — до того как ФБР арестовала человека, который, предположительно, руководил Silk Road, администрировал работу, платил за серверы и так далее. Его звали Росс Ульбрихт и сейчас он под арестом по обвинениям, которые включают заказ на убийство нескольких людей, которые распространяли конфиденциальные сведения о Silk Road и самом Ульбрихте. Можно с уверенностью утверждать, что в ближайшее время он на свободу не выйдет, особенно учитывая что ФБР получило доступ к кошельку Silk Road, который был основным источником средств Ульбрихта.

Но его дело живет. Хотя сам сайт — торговая площадка для совершения операций — был закрыт, но форумы, которые были основным местом общения сообщества, образовавшегося вокруг Silk Road остались. На этих форумах сразу нашлось несколько индивидуумов, которые пожелали заполнить образовавшийся пробел. Идея Silk Road 2.0 витала в воздухе, но ситуация была непростая.

До сих пор никто не знает как ФБР вышло на Ульбрихта. Некоторые сведения указывают на то, что он был неосторожен и допустил утечку информации, которая раскрывала его истинную личность, но многие не исключают вероятности наличия внедренных ФБР агентов среди персонала Silk Road. Паранойя царит на форумах, где не редки предположения и обвинения друг друга в работе «кротами» на правоохранительные агентства и дискуссии относительно того, какие из клонов Silk Road на самом деле приманки, созданные правоохранителями органами и наиболее эффективных способов анонимизации личности и в интернете (и все это на сайте который располагается в так называемой Dark Web — сегменте интернета который не индексируется поисковыми системами доступен только через анонимизирующую сеть TOR). Некоторые даже предполагают что ФБР не отключило серверы форумов Silk Road только для того чтобы продолжить шпионить и собирать информацию о его обитателях. И все же, некоторые собрали достаточно доверия и средств чтобы запустить рыночные процессы снова, предположительно, на этот раз с большими предосторожностями.

Ars Technica недавно взяло интервью у администратора Silk Road 2.0, который также называет себя Dread Pirate Roberts. Кстати, DPR — имя персонажа из романа The Princess Bride. Пират, который передавал свое дело по наследству другому человеку вместе с неизменным именем и личиной, который продолжал начатое им. Люди менялись но персонаж продолжал жить (на самом деле, имя так хорошо подходит сложившейся ситуации, что поневоле думаешь, уж не предвидел ли Ульбрихт свою судьбу?..). Мы попытаемся понять мотивацию и логику человека, который(ая/ые — нет никакой возможности знать, он это, она или даже один человек или группа людей) стоит за крупнейшим нелегальным интернет-рынком в мире. Что движет им? На эти вопросы попробует ответить интервью.

Читать дальше →

Жизнь под колпаком PRISM: как новые условия работы повлияют на знакомые программы и сервисы

Безопасность
Правила «игры в безопасность» изменились. Собственно говоря, для большинства разработчиков, новость о слежении с помощью PRISM была не очень-то и новостью. О том что данные их клиентов собираются, все знали и так – не было только весомых доказательств этого факта. Теперь же они появились.

Эта область довольно давно оставалась морально – и легально – серой для многих крупных сервис-провайдеров. Они были обязаны предоставлять данные о своих клиентах по запросу правоохранительных органов, но это требовало ордера суда и данные предоставлялись только в каком-то диапазоне (временном, конкретные адресаты переписки, и т.д.). Сейчас стремительно распространяется практика «харвестинга» данных, при которой правоохранительными органами, без ведома пользователей, добываются целые «пласты» данных. Это опасно тем, что в архиве переписки за несколько лет с очень большой вероятностью можно найти хоть что-то, дискридитирующее человека, если не по одной статье, то по другой. Принцип «был бы человек, а статья найдется» верен даже в самых демократических странах, если вы достаточно насолили власть предержащим.

Что это меняет? Прежде всего, правила взаимодействия с интернетом и сервисами. То, что ранее не шифровалось, будет шифроваться, и сами методы шифрования изменятся. Критически важные данные необходимо будет держать на собственных аппаратных мощностях (любопытно наблюдать как парадигма облачных вычислений переворачивается вверх дном буквально через считанные годы после ее принятия) или, если выигрыш от использования облаков существенен, в облачных, но полностью зашифрованным. В идеале, облачный сервис должен располагать минимумом информации (за пределами чисто технических характеристик), которая касается клиента.

Читать дальше →

Биометрия и защита информации: долгая дорога в массы

Безопасность
Биометрия и защита информации

Сканеры отпечатков пальцев, радужной оболочки глаза и тому подобная техника знакомы большинству из нас в основном по шпионским фильмам и представляются этаким эталоном надежности и безопасности. Пароли ненадежны, небезопасны, они взламываются, теряются и могут нас подвести десятками разных способов. Нескончаемая череда взломов и утечек данных, которым подвержены как крупные компании так и отдельные пользователи, заставляет задуматься, чем можно заменить пароли, которые, очевидно, отжили свой век.

Решение должно быть одновременно простым в пользовании, удобным для запоминания (в идеале — не требовать от пользователя запоминания чего бы то ни было вообще), надежно идентифицировать личность и быть труднодоступным для подделки или кражи. Такое количество, зачастую взаимно противоречащих друг другу, требований замедляло поиск оптимального решения и всем приходилось довольствоваться компромиссным – паролем. Но насколько оптимальным решением является биометрическая идентификация и насколько она далека от повсеместного использования?

Читать дальше →

Мультифакторная авторизация

Безопасность
Мультифакторная авторизацияЭтот год начался в вереницы громких взломов и компьютерных атак на крупные, популярные ресурсы известных корпораций. Реальность наших дней такова, что от атаки не застрахован никто, а уязвимости существуют везде. Чем сложнее становится интернет, тем меньше наша способность уследить за уязвимостями в разных его компонентах, а самым слабым звеном, как правило, является стык – системы авторизации. Они же зачастую становятся объектами атаки хакеров.

Похищена личность, просьба вернуть за вознаграждение


Случаи «кражи личности» пока что не так распространены, но и тех случаев, которые произошли, достаточно, чтобы озаботиться сохранностью наших личных данных в хранимых на просторах сети. Сейчас любой, чья жизнь (профессиональная карьера, заработки) накрепко связана с интернетом оставляет в нем много следов и определенную часть «себя» – цифровую идентичность, «аватар», представляющий нас в информационном пространстве.

Читать дальше →

Всевидящее око SHODAN

Безопасность
Shodan - поисковая система нового поколенияМне уже приходилось писать об «Интернете вещей» – сети, которую будут составлять и в которой будут обмениваться данными многочисленные устройства, подключенные к интернет – умные дома и их содержимое, бытовая техника, на более общем уровне – городская инфраструктура, скажем, светофоры и так далее. Я указал на удобство, которое такая структура принесла бы в нашу повседневную жизнь, но также указал и на потенциальное количество угроз для безопасности – от удаленного шпионажа в поистине беспрецедентном масштабе, до полноценных терактов (если атакующему удастся получить доступ к жизненно важной инфраструктуре). Все это я рассматривал как прогнозы на перспективу более или менее отдаленного будущего, когда такие системы получат распространение. Однако, я забыл, что в некотором смысле, это будущее уже давно наступило…

Ведь если рассматривать «Интернет вещей» именно как совокупность всех устройств, подключенных к интернет, то их число является значительным и сейчас, и продолжает расти. Камеры наблюдения, маршрутизаторы, компьютеры и множество разнообразного оборудования подключено к сети уже сейчас, образуя прототип «Интернета вещей» и давая неплохое представление о том, что будет представлять из себя это пространство через несколько лет, когда количество адресов увеличится. И эта картина весьма неприглядна. Обычному пользователю она не видна, ведь традиционные поисковые системы посылают запросы конкретным компьютерам, но при этом сами компьютеры их не интересуют – только сайты, которые расположены на подключенном к интернету «железе». Поисковик видит аппаратные узлы сети, физические машины и их адреса, но не показывает это в поисковой выдаче, потому что это пользователю не интересно, его интересует контент. Но не все поисковики работают таким образом. Есть и весьма интересные исключения. Об одном из таких необычных проектов мы сегодня и поговорим.

Читать дальше →

Занимательная география, или как PRISM (и не только) должен заставить вас подумать дважды о том, где расположены ваши серверы

Безопасность
Облачный мирИ действительно, где они могут быть расположены? Для подавляющего большинства компаний ответ прост – в серверной. Локальное хранение данных десятилетиями было, а во многих случаях и сейчас остается, единственным способом обеспечить надежность и отзывчивость корпоративных вычислительных мощностей. Это изменилось – возможность получения доступа и обработки данных изменила ландшафт корпоративной ИТ.

«Будущее ИТ – в облаке!» — уверенно провозглашают… главным образом облачные вендоры. И аналитика. Но у первых есть корыстный интерес, а вторые могут ошибаться. Некоторые особенности облачного ИТ получают слишком мало освещения, хотя того наверняка заслуживают. И недавний скандал с утечкой секретных материалов АНБ в прессу может пролить на эти особенности свет.

Читать дальше →

Призма всевидящего ока: программа PRISM и что она значит для будущего облачного бизнеса

Безопасность
PRISMВсего несколько дней назад произошло событие, которое может иметь важные и далеко идущие последствия для всего облачного бизнеса.

В газете Washington Post был опубликован материал, который рассказал всему миру о шпионской программе PRISM, которая создавалась и внедрялась в американских компаниях, таких как крупные операторы связи (Verizon) и ИТ-компании (Microsoft, Google, Apple) с целью сбора информации о их клиентах.

Заказчиком программы является АНБ (Агентство Национальной Безопасности США) – организации, которая в основном занимается ведением радиоразведки, решением задач защиты данных и криптографии. АНБ является ключевой структурой в составе Разведывательного сообщества США, сейчас эта организация влиятельней, пожалуй, даже ЦРУ, и ее значимость продолжает увеличиваться.

Программа PRISM работала уже несколько лет к тому моменту когда о ее существовании стало известно публике. И эта новость может стать сильнейшим ударом для облачных компаний, которые ориентировались на сотрудничество с бизнес-структурами, особенно в США.

Читать дальше →