Коллектив Авторов - Цифровой журнал «Компьютерра» № 221

Поэтому — вопрос пятый: что делать? Самый популярный совет — менять пароли немедленно — одновременно и самый вредный. Ведь если администратор сервера ошибку не исправил, смена пароля не поможет! Его могут украсть так же легко — и даже хуже того: его украдут с большей вероятностью, потому что он засветится в оперативной памяти сервера, когда вы будете его менять. Так вот: если Google, Microsoft, Yahoo!, Deutsche Bank, PayPal и некоторые другие (примерно каждый десятый) озаботились обновлением версии OpenSSL и отзывом старых (возможно скомпрометированных) сертификатов (упоминавшиеся выше тайные криптоключи, несколько упрощая, это часть сертификата сайта — его «удостоверения личности»: браузер проверяет такое удостоверение при подключении и подсвечивает адрес зелёным, если проверка прошла успешно), то сотни тысяч других веб-ресурсов ничего не исправляли. Так что сетяне сейчас стали заложниками своих любимых сайтов.

Что касается мобильных устройств и приложений, с ними проще. Их по крайней мере можно проверить самому с помощью как минимум одной программы-сканера: Heartbleed Scannerот Bluebox. И обновить операционную систему, обновить или удалить уязвимые приложения.

Менять ли пароли к веб-сайтам? Да, но только после того, как вы увидите явное оповещение от администратора конкретного веб-ресурса: мы устранили проблему или ей не подвержены, меняйте! Правильным же поведением в случае, если администрация молчит, будет воздержаться от посещения данного конкретного сайта. Ваш пароль не засветится в памяти сервера — а значит, вы снизите риск того, что его украдут.

И прежде, чем поставить точку, давайте разберём ещё пару косвенных вопросов. Опровергает ли случившееся известное утверждение, что пользователи свободного программного обеспечения более защищены от ошибок, чем пользователи проприетарного софта? Отнюдь. Действительно, внести коррективы в свободный код может практически каждый желающий — и именно так в OpenSSL и появилась ошибка Heartbleed: в предновогодние денёчки конца 2011-го некто немец Роберт Зегельман добавил в OpenSSL новые фишки, но не заметил, что одну из переменных оставил непроверенной... Проверяющие ошибку тоже пропустили — и так она попала в релиз, состоявшийся весной 2012-го. Лишь два года спустя кто-то обнаружил её, изучая исходники OpenSSL.

Плохо? Да. Однако представьте, сколько времени та же ошибка оставалась бы неизвестной широкой публике, если бы OpenSSL была проприетарной, то есть имела исходные тексты, доступные только разработчику! И сколько пришлось бы ждать заплатку!

А вот с вопросом, не была ли Heartbleed внедрена умышленно, ещё предстоит разобраться. Кто такой Роберт Зегельман? 31-летний немецкий учёный, одна из работ которого — ирония судьбы! — посвящена защите интернет-коммуникаций. Кто помогал ему писать тот код, кто его проверял, не было ли там подозрительных обстоятельств? Эта часть истории пока остаётся ненаписанной.

К оглавлению

Опубликовано18 апреля 2014

Всеведущий словарь Merriam-Webster любезно говорит нам, что слово cyborg (существо, чьё тело содержит электронные или механические устройства, придающие владельцу дополнительные способности), образованное от cyb ernetic + org anism, впервые было употреблено в английском в 1960 году. Вскоре оно проникло и к нам. Но вот настоящих киборгов пока что нет нигде, несмотря на бурное развитие информационных технологий. И сейчас устранением данной недоработки занялась организация, неоднократно доказывавшая свою эффективность в развитии прорывных технологий, — Агентство передовых оборонных исследовательских проектов (Defense Advanced Research Projects Agency, DARPA).

И вот для этой цели в рамках агентства создаетсябюрократическая на первый взгляд структура, получившая название Управление биологических технологий. Но на самом деле за бухгалтерским названием clearinghouse прячется центр перспективных исследований в области изучения мозга, биотехнологий и эпидемиологии. Задачами его будет разработка технологий подключения мозга к компьютерам, создание искусственных биологических материалов и разработка детекторов перспективного биологического оружия.

Да простят автора биологи и медики, на территорию которых он вторгается в очередной раз, но очень похоже, что общей чертой всех тех исследований, которые возьмётся организовывать, координировать и оплачивать Управление биологических технологий, станет применение к биомедицинским исследованиям и разработкам методов, характерных для инженерных дисциплин вообще и информационных технологий в частности. То есть не ждать милостей от природы — что тщетно после всего нами с ней сделанного, — а взять их силой.