Стандартная образовательная жуть

Писал отзыв на пособие по основам информационных технологий (ИТ) для студентов/курсантов по специальности "Пожарная безопасность" (отзыв нужен для присвоения грифа МЧС России).

Первое, с чего я всегда начинаю экспертизу, - смотрю стандарт по специальности (я понимаю, что не все так делают, но это кажется разумным). Стандарт от 14 января 2011 года, то есть "свежачок". Хотя теперь уже непонятно, что свежачок, а что - нет. Когда-то (и не в лохматые годы, а в 2008) на сайте www.edu.ru было две основные ссылки: стандарты по перечню и стандартны по ОКСО (общероссийскому классификатору специальностей). Да и предыдущий стандарт по той же специальности был, если не ошибаюсь, от 2010 года - раньше у нас как-то по пять лет проходило между поколениями, а не один.

Гляжу в стандарт, гляжу в пособие... Мрак и ужас. Я понимаю, что ИТ нужны всем, но ведь всем нужна разная глубина, и плавают все в разных местах.

Согласно стандарту, специалисты-пожарники должны владеть в части ИТ следующими компетенциями (как это стало модно называть - раньше это просто были "знания, умения, навыки" и фактически, на самом деле, ничего не изменилось):

• знать основы современных информационных технологий;
• уметь применять современные информационные технологии в профессиональной деятельности;
• владеть навыками работы в локальных и глобальных сетях, компьютерных программах для создания текстовых и табличных документов, графических изображений, компьютерных моделей и программ, баз данных.

Первые две позиции не рассматриваем, ибо они ни о чем - вода. Согласно третьей, нормальный такой добротный пользователь должен получиться, что, как мне кажется, вполне обосновано.

Что же мы видим в пособии? А вот что:

• «Введение в информационные технологии. Теоретические основы информатики» – материал раздела «Информатики» компьютерной науки, в частности, по системам счисления, многократно повторяемый в сотнях пособий, хоть как-то связанных с ИТ, и совершенно не нужный пользователю-неспециалисту в области разработки программного обеспечения.
• «Основные принципы организации и функционирования ЭВМ» – часть раздела «Архитектура вычислительных систем» компьютерной науки, включая принципы "Фон-Неймана" (который, согласно всем канонам, вообще-то, "фон Нейман", ибо: 1) никогда такие имена не пишутся через дефис - либо слитно, либо раздельно, и 2) слова не слились, а в таком случае "фон" пишется отдельно и со строчной буквы), организацию работы процессора, памяти и т. д., непредусмотренный и ненужный слушателям специальности «Пожарная безопасность» (если кто-то в этом сомневается, пусть кинет в меня камень).
• «Локальные и глобальные сети» - HTML-верстка, каскадные таблицы стилей и пр.
• «Язык программирования» и «Технология программирования. Программирование в среде Delphi» - Turbo Pascal и Delphi во всей красе (среди прочего среда разработки Delphi на сегодняшний день во многом вытеснена более современными средствами, например Microsoft C#, и сам Вирт уже много лет назад перешел с Turbo Pascal на Oberon, хотя дело и не в этом).

Восторг! Я так и вижу будущих специалистов-пожарников, которые мучаются всем вышеперечисленным на младших курсах вуза, чтобы потом никогда этим не заниматься в профессиональной деятельности. Зато документы и таблицы в любом государственном органе имеют хождение в таком виде, что иногда приходится тратить по полдня, только чтобы привести их в божеское состояние, чтобы с ними можно было работать.

Некоторые коллеги указали мне (в ходе конструктивного диалога, суть которого сводилась к тому, что, с их точки зрения, все хорошо и правильно) на примерную программу обучения, дополняющую стандарт. В примерной программе расписаны дидактические единицы, которые раньше были в стандарте и зачем-то были оттуда впоследствии вынесены. Вузам рекомендуется разрабатывать пособия и свои местные учебные программы в соответствии с этой примерной. Примерная программа это тоже клёвый аттракцион. К сожалению, не смог ее сейчас найти, но зато мне ее вчера показали, а память у меня хорошая. Там были фразы, наподобие: "Основы современных информационных технологий. Моделирование. Различные вычислительные технологии. Базы данных и СУБД. Сети и защита информации". Все это в рамках одной единственной дисциплины, поскольку только одна дисциплина в стандарте связана напрямую с ИТ. Сам же текст в программе - это "бред сивой кобылы", куча слабонесвязанных, обтекаемых формулировок, которые специалист в области ИТ никогда не запихнет в один абзац. Но что самое интересное, пособие не удовлетворяет и им тоже.

Отвлечемся на секунду от стандартов и программ. Постараемся просто ответить на один простой вопрос: разработчики пособия, попавшего мне под руку, они что действительно считают, что HTML, CSS, Turbo Pascal и Delphi - вот все это, оно действительно необходимо специалисту-пожарнику? А в здравом уме в это, вообще, можно верить? Или они предпочитают не задумываться? Или они запихивают все, что смогли наковырять, чтобы было что рассказывать, чтобы было, чем занять преподавателей, и черт с ним, что этот материал никак не соотносится со специальностью?

Ребята, так нельзя! Нельзя хвалить Фурсенко и реформу образования, потом в курилках ругать Фурсенко и реформу образования, потом жаловаться на сокращение аудиторных часов, а потом забивать имеющиеся всем, что попадется! Этот пример очень четко показывает, что у нас проблема не в Министре образования, а в каждом отдельном человеке, который образованием так или иначе занимается (а помимо составителей таких вот пособий, есть еще и заведующий кафедрой, и декан/директор института, и проректор по учебному процессу, и ректор). И то же самое касается всех остальных областей жизнедеятельности: науки, экономики, семьи, любой работы, искусства и т. д. И вот если каждый конкретный специалист осознает меру и радиус своей ответственности, думаю, что при любом правительстве у нас будет лучше. Я пытаюсь думать и стараюсь делать, чего и вам желаю.

Да кому нужны эти файлы - 2

Только что дописал статью для журнала "Защита информации. Inside". Первая статья с предсказуемым названием "Да кому нужны эти файлы" вышла 2,5 года назад. Область для меня не совсем профильная, но оказалось интересно проанализировать с точки зрения здравого смысла, как и что в области информационной опасности происходит. Статья была опубликована на портале МОО "Информация для всех", а позже поступило предложение от редактора журнала (статья, конечно, была для него переработана). Вот теперь работа в продолжение той старой будет опубликована в том же журнале ориентировочно осенью. Пока что предлагаю набор выдержек.

Знаменитый психолог-бихевиорист Эрик Берн в свое время предложил использовать для изучения мира в целом и отдельных явлений в частности метод, который можно назвать «Взглядом марсианина». Суть его такова: предположим, что на Землю спустился представитель внеземной цивилизации, который в состоянии понимать нашу местную речь, наши действия, обладает схожей логикой, и, в то же время, он свободен от эмоций и не знает истории возникновения тех или иных феноменов, а потому ситуацию видит «такой, какова она есть». По области информационной безопасности такой взгляд полезен, потому что он позволяет оценить происходящее в целом и в отрыве от интересов тех или иных групп «землян».

Интернет на сегодняшний день перестал быть информационной магистралью, а компьютер перестал быть инструментом для обработки информации. Винсент Серф, один из разработчиков стека протоколов TCP/IP, на лекции в Москве в конце 2010 года в какой-то момент воскликнул: «Поймите: мы думали, что это эксперимент»! Сегодня этот эксперимент представляет собой электронного Франкенштейна: что-то для работы, что-то для общения, что-то для удовольствия и что-то для отрыва от реальности.

Я часто применяю выражение «момента выбора»: вот ты работаешь со своими файлами, и ты защищен, а вот ты вставляешь чужую «флешку», и ты уже уязвим. Даже вне зависимости от того, установлено ли на компьютере антивирусное ПО, важно засечь «момент выбора» (в данном случае перед вставкой носителя в USB-порт), остановиться, как перед дорожным знаком «STOP», взвесить все за и против, оценить уровень опасности, а потом уже продолжать действовать.

Есть еще один аспект: я отношусь к тому поколению людей, которые, обучаясь работе с компьютером, еще видели и чувствовали сам компьютер, то есть «железо» и отдельные программы. Сегодняшние, более молодые, рожденные уже при Интернете пользователи, да и не только они, часто воспринимают компьютер иначе: они видят электронные письма, электронные книги, услуги, социальные сети и мгновенные сообщения. В такой ситуации «момент выбора» определить еще сложнее, потому что из общения людей посредством компьютера фактически исчезает сам компьютер (а заражаются именно компьютеры, а не социальные сети).

На сайте Facebook давно имеется функция поиска друзей по содержимому ваших почтовых ящиков: сайт предлагает ввести логин и пароль от ящика (не имеющего к Facebook-у никакого отношения, а располагающегося, например, на mail.ru), после чего просматривает его в попытке найти людей, зарегистрированных на самом Facebook-е. На самом деле, это даже более серьезная проблема, чем кажется на первый взгляд. Раньше можно было сказать: «Не вводите на одном сайте аутентификации от другого» и дополнить эту рекомендацию убийственным слоганом: «Если на сайте вы видите такое предложение, значит, вы имеете дело с мошенниками»! Благодаря Facebook-у это убийственное дополнение-слоган потеряло свою однозначность и «убийственность», ведь нельзя утверждать, что организаторы этой социальной сети – мошенники. Нельзя также утверждать, что они аккумулируют и продают логины и пароли от почтовых ящиков на сторону. Но кто может поручиться, что эти данные не хранятся, что, если они хранятся, то в зашифрованном виде, что завтра хранилище с ними не будет взломано, а сами они не утекут в неизвестном направлении? – Никто.

Ну и далее по тексту... Это так - спойлеры. :)

Я вообще заметил интересную штуку: политическая власть и СМИ создали вокруг ИТ (и не только) такую ауру крутости и "продвинутости", что даже иногда веришь. Тем не менее, когда ты работаешь внутри всего этого (ИТ) или ты просто нормальный человек с глазами, ты как-то иногда "очухиваешься" и думаешь: "Минутку, а где вот это все, о чем говорится-то? Разве я не должен все это видеть на улицах? Разве мне не должно как-то полегчать по жизни, учитывая, что главной целью технического прогресса должно быть, по идее, мое как гражданина страны и местного жителя общества благополучие"?

Открыто-закрытые социальные сети

Консорциум Всемирной паутины (W3C) опубликовал доклад по итогам работы группы экспертов по «социальной паутине» – A Standards-based, Open and Privacy-aware Social Web. Припозднился я с этим документом, но вниманием обойти никак не мог.

Для начала приведу несколько важных тезисов из документа (далеко не все из них революционны… на самом деле, ни одного революционного среди них нет, но нужно же на что-то опереться):

• Наличие каких-либо возможностей социализации (создания профиля, общения, публикации пользовательского контента и т.д.) стало сегодня де-факто стандартом для любого сайта.
• Обеспечение присутствия в том или ином виде на популярных социальных веб-ресурсах стало необходимым для компаний и активных индивидов.
• Несмотря на то, что в рамках различных социальных интернет-сервисов разработано множество способов общения, каждая социальная сеть использует свою терминологию, свои подходы к профилированию, свою политику использования предоставленных данных и так далее. То есть отсутствуют общепринятые стандарты, а это создает большие проблемы с обеспечением хранения и обработки данных с точки зрения таких концепций как приватность и безопасность особенно в условиях тренда миграции и объединения информации о конкретном пользователе из разных сервисов (заголовки моих постов в Blogspot автоматически уходят в Twitter, откуда публикуются в Facebook; сам Facebook предлагает выдать ему пароли от почтовых ящиков и служб мгновенного обмена сообщениями, чтобы поискать моих знакомых и т.д.).
• Во многих случаях требования обеспечения приватности/безопасности данных и мобильности этих данных (возможности передачи их из сервиса в сервис) являются противоречащими друг другу.
• Даже если сайт обещает (и возможно способен сдерживать обещания) обращаться с вашими данными подобающим образом, повсеместные проблемы юзабилити (термин из документа – я предпочел бы термин «проблемы взаимодействия») и «разрешительные умолчания» значительно осложняют жизнь пользователя.
• Авторы документа предлагают W3C рассмотреть возможности интеграции функций по ведению профиля пользователя непосредственно в его локальный браузер, откуда информация будет передаваться социальным сервисам.

Дальше не стану цитировать – суть, полагаю, ясна. Мне всегда нравилось обличительно писать о попытках решения нетехнических проблем техническими путями, призывать к личной ответственности и будить здравый смысл. Причем я это делаю не с позиции «ничего у вас не выйдет» (неконструктивный пессимизм), а с совершенно иной: обяжут ли всех владельцев социальных сетей следовать правилам на бумаге и деле или нет – это все-таки в большой степени не зависит от рядового пользователя, а вот ответственно обращаться со своими собственными данными – это в его власти. Судите сами. Для отправленных в Интернет в любом виде, с любой целью и любым путем персональных данных, а также для настройки параметров, связанных с их сокрытием или открытой публикацией, характерно несколько проблем:

• Проблема «плевка в колодец». Одна ошибка, одна неснятая галочка по умолчанию, один клик в одну кнопку и все – ваши радикальные высказывания, фотографии с вашего далеко не первого юбилея, где вы в обнимку с 18-летней подругой, изображения вас до и после липосакции становятся доступными значительно более широкой аудитории, чем вы ожидали. В определенном смысле это событие перманентно – где-нибудь, где не нужно, эти сведения обязательно осядут, и отозвать их будет невозможно; вы навсегда войдете в историю с лицом в салате.
• Проблема «неадекватного доверия». Будем честны: мы отдаем свои персональные данные бездушной машине, связанной с бездушной сетью, связанной с другой бездушной машиной или машинами, за которыми сидят, возможно, вполне одухотворенные люди, чьи интересы совершенно отличны от наших. На какую безопасность и приватность мы в принципе рассчитываем? Максимум, на что можно рассчитывать в таких условиях – это на иллюзию таковой.
• Проблема «неадекватных требований». Интернет – это информационная сеть, это инструмент для поиска, хранения и обработки информации. Социальный веб – это инструмент для общения. Молоток – это инструмент для забивания гвоздей, и никто не требует, чтобы в него был встроен предохранитель, не позволяющий оному разбивать пальцы или головы.
• Проблема «вечных данных». Данные в Интернете хранятся вечно – об этом уже говорилось. Даже если с нового 2011 года (или «старого» нового 2011 года) будут приняты всевозможные исчерпывающие правила по обращению с данными пользователей, и их можно будет вводить внутри собственного браузера, а обрабатываться они должны так, чтобы комар носу не подточил, то коснется ли это старых данных, уже живущих своей жизнью в опубликованных закрытых базах данных, в списках рассылки и прочих приятных местах? Разумеется, нет. Те, кого вы лично не интересуете, не расстанутся с ними, чтобы не терять контент с сайта, а те, кто собирается использовать ваши данные с той или иной целью, не расстанутся с ними и подавно.
• Проблема «эксгибиционизма». Неплохо бы понимать, что если вы пьяным и голым выскочили на оживленную улицу, то проблема не в том, что вы на улице, и не в том, что она оживленная… проблема в том, что вы голый и пьяный. Это, конечно, аналогия – к Интернету каждый может приблизить ее самостоятельно. Люди, вообще-то, должны отвечать за свои поступки, слова… и данные. Ответственного обращения с ними, как мне кажется, сначала разумнее требовать от их автора/обладателя, а потом уже от всех остальных.

P.S. С новым годом!

Вологда

Был в Вологде, привет всем вологодским коллегам. Встречался с председателем регионального отделения "Росспаса" Виктором Ивановичем Ковальковым (на фото справа), ректором Вологодского государственного технического университета Соколовым Л.И., председателем Вологодского регионального отделения Российского географического общества Максутовой Н.К. Замечательный город, замечательные люди, отличные профессионалы - знают свое дело. Большое им всем спасибо.

Но больше всего, конечно, поразил университет: по долгу службы и профилю я все чаще бываю в вузах многопрофильных или экономических. Не хочется говорить относительно наличия/отсутствия практических и научных разработок в этих учреждениях - не все я видел, да и не везде бывал, огульно хаять не хочу, а потому расскажу только о том, как было в ВолГУ.

Повествует мне Леонид Иванович про работу научную, я сижу, впитываю, пью чай, восторгаюсь, что и озвучиваю. "Это еще не все," - говорит ректор и разворачивает передо мной альбомчик с надписью "2010". - "Это то, что мы сделали и сейчас делаем в 2010 году, все это есть на сайте - мы каждый год выкладываем планы и разработки". А в альбомчике страниц 100 и на каждой странице... "Это добавки к асфальту, чтобы не вспучивался... Это та же технология, но для повышения устойчивости зданий и сооружений... Это мобильный фильтр на автомашине, чтобы в случае ЧС цистернами не возить... Это устройство (с виду термос) - оно для получение воды из воздуха, расчетная мощность где-то стакан за 5 часов - работаем".

И компьютер в кабинете у ректора стоит и активно используется.

"Поймите, мы думали, что это эксперимент!" - Винсент Серф об Интернете

26 августа во дворе "Института медиа, архитектуры и дизайна "Стрелка" вице-президент и главный проповедник Интернета в Google, разработчик протоколов TCP/IP и базовой архитектуры Интернета (конечно, тогда он не был Интернетом) - Винт Серф (полное имя - Винтон Грей Серф, Vinton Gray Cerf) выступал перед многочисленными собравшимися.

Доклад, который, надо сказать, имел большой успех, был посвящен современному состоянию и перспективам развития Интернета: расширению аудитории, доменам на национальных языках, RFID, а также разработке протоколов для "Вселенской сети" (сообщения между планетами). В сущности, все эти темы освещаются в различных СМИ, я не буду дублировать, мне больше понравилась та часть мероприятия, где докладчику задавались вопросы. Общее впечатление от действа: господин Серф сказал довольно мало нового, но зато (и это прекрасно) очень много правильного! Совершенно здравомыслящий господин - редкое явление. Я просто процитирую некоторые его рассуждения с указанием, там где это необходимо, тех вопросов, в ответ на которые оные рассуждения возникли.

Вопрос: Как Вы думаете, не существует ли опасности чрезмерной зависимости человечества от информации и того, что люди будут в какой-то момент ею перегружены?

Ответ: Мы уже перегружены, и информация, которой сегодня огромное количество, она уже есть, и она никуда не уйдет, не денется. Но с другой стороны, Вас же не интересует вся эта информация. Например, когда Вы ищете что-то через Google, Вас же интересует что-то конкретное. Вы не видели всех фильмов, которые есть, и не читали всех журналов. На самом деле, мне интересно, как бы проходила наша дискуссия во времена Гутенберга в XV веке. Представьте себе, что я прихожу к Вам и говорю: "Я могу печатать книги, тысячи и тысячи книг!", а Вы отвечаете: "Нет, хватит, не надо так много - я не смогу все это прочитать"! Сегодня мы используем компьютеры, чтобы фильтровать информацию, выбирать нужное. Разве можно было представить себе совсем недавно, что какое-то механическое, электронное устройство может помогать нам в этом?

Вопрос: Не считаете ли Вы, что введение имен доменов на национальных языках приведет к дроблению Интернета?

Ответ: Нет, скорее наоборот. Задумайтесь, ведь существует множество языков, в том числе, русский, китайский, где не используется латиница. Проблемы с интернационализацией и написанием решаются регистрацией домена и на национальном языке, и на латинице. А Интернет должен быть открытым, в том числе и для всех языков, какие только существуют на свете.

Далее последовал вопрос от работника, по всем признакам, академической сферы. Вывод о профессиональной принадлежности вопрошающего я делаю на основе значительного опыта, потому, что вопрос, являясь важным, - он касался ограничений на распространение информации со стороны культуры - был сформулирован так, что создалось отчетливое впечатление, что задающий не слышал ничего из говорившегося ранее ("Вы глубоко погрузили нас в технические детали, а нужно о людях подумать..."), а также представлял собой, скорее, смесь из утверждений и вопроса, нежели чистый вопрос. Любой, кто читал лекции или присутствовал/выступал на достаточном количестве конференций, знает, о чем я говорю, - такие люди иногда появляются неизвестно откуда.

Мне понравился ответ Серфа: Пытаться ограничить распространение информации по тем или иным причинам сегодня - это все равно, что встать на пути цунами и сказать ему: "Стой"!

Вопрос: В те далекие годы, стали бы Вы изобретать Интернет, зная, во что это выльется, а если бы стали, то что бы Вы изменили, обладая сегодняшними знаниями?

Ответ: Наверное, единственное, что я бы изменил - это количество бит в IP-адресе. Поймите, тогда мы думали, что это эксперимент. Мы и подумать не могли, что нам будет не хватать 32 бит и 4 с лишним миллиардов адресов. Но Вы представляете, как сложно было бы в этом кого-нибудь убедить в то время, даже понимай мы это?

Вот такое было мероприятие. Даже несмотря на то, что я простудился где-то в процессе, впечатления весьма положительные. Давно я не слушал лекций и докладов и очень рад, что первым докладчиком после такого моего перерыва оказался именно Серф - "отец-основатель Интернета".

Редакторские будни: куда девать идеи или комментарии к текстам 2

В качестве примера уместного комментария от редакции, приведу тот, который родился при работе над статьей О.С. Бондаренко, Е.А. Малиновская "Имитационная модель "хакер-администратор" (будет опубликована в "Прикладной информатике" №4 2010). Конечно, это черновой вариант в том смысле, что слова, выражения и объем будут поправлены перед включением в номер, но, в целом, тема и содержание вполне соответствуют. По-моему, я достаточно четко и лаконично определил место темы статьи в картине информационной безопасности как области компьютерной науки и отрасли.

От редакции: На компьютерную информационную безопасность и ее «естественного врага» – компьютерную преступность можно смотреть по-разному.

Взгляд на эти вещи человека, который никогда не сидел за компьютером и впервые собирается это сделать, – это либо «взгляд сквозь стену», если он ничего не знает ни о безопасности, ни об опасности, либо «взгляд в бездну», если он запуган мифами на эту тему.

С точки зрения обычного пользователя-неспециалиста, безопасность/преступность ассоциируются с состоянием его персонального компьютера или мобильного устройства (хотя необходимость опасаться за свои мобильные устройства еще не в полной мере осознана общественностью – это вопрос нескольких ближайших лет), а также со взломом учетных записей, кражей других персональных данных, исчезновением денег со счетов, ознакомлением его или ее детей с неподходящим для них контентом и тем, установлены ли на устройстве программные средства защиты от всего этого. И по сей день последний вопрос часто задается после того, как некие неприятности уже случились. Также по-прежнему встречаются случаи предельной безответственности по отношению к необходимости защиты своих данных или данных работодателя и случаи предельного заблуждения на этот счет: «Раз нет ни одного средства защиты, надежного на 100%, значит, нет смысла использовать ни одно из них» (здесь в качестве контраргумента напрашивается аналогия с противозачаточными средствами).

С точки зрения бизнесменов – потребителей услуг информационной безопасности, она – необходимая составляющая успешной деятельности (хотя понимается каждым отдельным потребителем по-своему).

С точки зрения бизнесменов – производителей указанных услуг, а также с позиции специализированных преступных организаций информационная безопасность / компьютерная преступность – это рынок, это отрасль (две отрасли), это технические средства, это умелые специалисты, действующие и с той, и с другой стороны и большие деньги.

С точки зрения любого взятого наугад специалиста по информационным технологиям, информационная безопасность является очень важной составляющей его работы, в которой он хорошо разбирается, хотя эта самооценка часто является завышенной. Настоящие специалисты именно в этой конкретной области компьютерной науки и практики применения вычислительной техники знают, что безопасность состоит не только из дисциплины в части изобретения и хранения паролей, определения подозрительных писем с гиперссылками «на глаз», самостоятельного тестирования своих сайтов на «прочность» и принятой в компании политики безопасности (в отсутствие которой можно с уверенностью говорить о том, что никакие меры безопасности не предусмотрены вообще). Она также состоит из формальных математических методов проверки стойкости шифров и оценки защищенности программного обеспечения, математических и инструментальных моделей, деревьев угроз и уязвимостей, обратной инженерии обнаруженных, то есть пойманных «зловредов» – вредоносного программного обеспечения (по выражению одного из представителей «Лаборатории Касперского») и многого другого.

Оценка защищенности или уязвимости той или иной системы – это одна из главных задач компьютерной информационной безопасности. Многие разработчики и потребители соответствующих услуг, а также ученые привлекают сторонних или своих специалистов для целенаправленного взлома тех или иных систем. Это проверка систем «на прочность» в условиях максимально приближенных к реальным – система атакуется до тех пор, пока не удается реализовать угрозу (взломать систему) или пока взломщик не сдается. Такой метод оценки защищенности систем впечатляет, однако что с позиции науки, что на практике он не слишком эффективен – один сеанс взлома занимает много времени, проверка может завершиться лишь с двумя взаимоисключающими результатами: «брешь найдена» и «брешь не найдена». Ни тот, ни другой не говорит о том, что система защищена в достаточной степени (определение этой степени в каком-либо виде – отдельная трудная задача). Таким образом, подход к оценке безопасности компьютерных систем на основе имитационных (в частности) моделей, которого придерживаются авторы данной статьи, во многих случаях (и в общем случае) представляется более уместным. Существуют сложности с составлением достаточно полных моделей угроз и методов защиты/реагирования на них, но параметры модели изменить проще, чем параметры людей – взломщиков и администраторов, а прогнать модель можно значительно быстрее, чем дождаться результатов от них.

Треснувший рупор-2: депутаты о законе, регулирующем Интернет, или "на кого Бог пошлет"

25 февраля на сайте Лента.Ру появились результаты пресс-конференции в онлайн-формате, которую давала член Комитета Госдумы по информационной политике, информационным технологиям и связи Ольга Носкова. Заявленной темой конференции был проект закона о регулировании правовых отношений в Интернете (Какие нормы будут содержаться в законопроекте? Каким станет Рунет в случае его принятия? Что законодатели понимают под регулированием Интернета?). Когда проходила сама конференция, я сказать, к сожалению, не могу - видел только итог. Впрочем, и итога мне хватило с лихвой.

Событие, в общем-то, рядовое, а я не падок до комментариев наподобие "этот сказал вот это". Однако же сие феерическое локальное действо очень хорошо подходит в качестве миниатюрной модели глобальной политики нашего государства и понимания им современной ситуации вокруг информационных технологий.

Коротко говоря, мне непонятно, зачем давать пресс-конференцию по вопросам, в которых ты однозначно некомпетентен (и зачем организовывать такую конференцию с точки зрения СМИ). Речь не идет о том, что госпожа Носкова - журналист и кандидат филологических наук, а не хакер, хотя это тоже не плюс. Дело в том, что она, хоть и является членом профильного Комитета Госдумы, тем не менее, не является непосредственным разработчиком проекта закона (и говорит о его авторах в третьем лице).

В основном вопросы касались либо норм, которые будут заложены в новый закон, либо квалификации людей, его разрабатывающих. В силу опосредованности отношения г-жи Носковой к проекту она, естественно, не смогла ответить однозначно ни на один из этих вопросов. Ее риторика включала такие слова и выражения, как:

• "Скорее такие законодательные акты – это защита и общества, и пользователей..."
• "Вопрос обсуждается. Дождемся проекта."
• "Проект, который мы будем обсуждать, должен ответить на самые главные принципиальные вопросы..."
• "Соглашусь с вами, попытки были, возможно, очередную попытку ждет более счастливая судьба." - Это в ответ на замечание о том, что ни один существенный закон в обсуждаемой области так и не был принят.
• Многочисленные "надеюсь", "думаю", "сомневаюсь" и т.д.
• "Гражданское общество, где ты? Сторонники безграничной свободы очень громкоголосы. А вот тех, кто хотел бы детей защитить от порно, почти не слышно." - Здесь не соглашусь, поскольку нас, например, в рамках МОО "ИДВ" очень даже слышно, в частности, нас слышно в Общественной палате и в программах а-ля "Чистый Интернет" и других. Просто нужно слушать...
• "Надеюсь, что наш путь не китайский и не иранский."
• "Во всяком случае, мы бы этого не хотели." - Это в ответ на вопрос о том, не станет ли этот законопроект губительным для российского хостинг-бизнеса... Хорошенькое дело. Может быть, я параноик, но у меня априорное "нам бы этого не хотелось" почему-то однозначно ассоциируется с апостериорным "ну вот, к сожалению, так получилось".
• "Хотелось бы, чтобы законопроект предусмотрел защиту интернет-сообщества, пользователей и общества в целом от этих рисков."

В общем как-то так.

В рамках конференции первая же пара вопрос-ответ вызвала у меня недоумение. Цитата:

Вопрос:
Николай [16.02 06:57]
Каким определением интернета будет оперировать принимаемый закон.
Да и как надо писать термин, на Ваш взгляд, (привычным как в тексте перед вопросами, или с большой буквы, как объявили филологи)
Ответ:
Здравствуйте. Как я понимаю, многие вопросы, в том числе и об определении понятия "Интернет", даны с опережением. Только тогда, когда будем иметь перед обсуждением на рабочей группе сам текст закона, мы обсудим и предлагаемое авторами определение. И с вами им поделимся.
На мой взгляд, правы филологи.

По-моему, первое с чем нужно определяться при разработке любого норматива, так это с терминами. В противном случае в законе гипотетически может быть написано, что "под зелеными собаками по тексту подразумеваются красные кошки, которые должны вести себя, как синие овцы, за которыми должны наблюдать хостеры". Согласен, жесткая метафора, но справедливая. Обращаю внимание: в вопросе спрашивалось не "что будет регулировать закон", а "каким определением он будет оперировать". То есть речь идет не о том, насколько далеко продвинутся самоотверженные законодатели, а о том, понимают ли они вообще, над чем работают? Интернет появился не вчера или позавчера - он существует много лет, независимо от того, как его называть. Поэтому перед какими угодно работами по регулированию Интернета, нужно было дать, а точнее, сформулировать, определение, отражающее суть явления, и для этого нужна не фантазия, а квалификация. Таким образом, первый же ответ госпожи Носковой на первый же вопрос полностью убил во мне веру в нечто конструктивное в связи с новым законом.

С чем я согласен, так это с тем, что отдельно стоящее слово "Интернет" нужно писать с большой буквы: на мой взгляд, мы получим основания писать его с маленькой не раньше, чем начнем писать "сеть мтс", "сеть билайн" или "сеть мегафон" (применительно к сетям, а не к компаниям).

Отдельная тема - это многофазовый спор о том, какую квалификацию должны иметь разработчики закона. Эта тема всплывала несколько раз. Вот некоторые реплики госпожи Носковой:

Боюсь, что у нас с вами могут быть разные представления о достаточности знаний, квалификации и других качествах депутатов, работающих над законами в ГД. Да и депутаты очень разные. Для того и привлекаем к работе над законами высокого уровня специалистов, они в составе рабочей группы и генерируют идеи и тексты. А в нашем случае – мы обращаемся и будем обращаться к широчайшему кругу экспертов.

а) Вы действительно считаете, что для написания правил дорожного движения надо закончить автофак? Или можно быть юристом?
б) Есть такие, обладающие очень реальным опытом работы в современной IT-индустрии. Рабочая группа состоит не только из депутатов.

Здравствуйте. Да, МГУ, факультет журналистики, кандидат филологических наук. Плохо? Если бы за плечами был технический вуз, вам было бы приятней? Проект закона пишут юристы. Квалифицированные. Я координирую деятельность рабочей группы, куда входят специалисты разного образования и опыта. Большей частью - хорошо известные в своих сферах.

Уважаемый Михаил, мне всегда казалось, что законы - это юридическая, а не техническая инструкция по пользованию железом.

Во-первых, стоило бы определиться, на что делать упор в ответах: на то, что есть эксперты, или на то, что они не нужны! С моей точки зрения, первый вариант продуктивнее. В этом случае мотив высказываний был бы таким: "Мы не специалисты, мы юристы, филологи и так далее, но избиратели вверили нам разработку законов, и, желая выдать качественный продукт, мы компенсируем свое незнание специфики за счет привлечения многочисленных высококвалифицированных экспертов". Из слов же госпожи Носковой складывается другая песня: "Ну раз уж вы все так обеспокоены, мы привлекли несколько безымянных людей из сферы информационных технологий, хотя законы все равно пишем мы, и вы получите то, что получите".

Во-вторых, по пункту а) второй из приведенных реплик: нет, быть только юристом категорически нельзя! Это касается и ПДД, и Интернета. Фактически, когда водитель думает, что "вот здесь можно повернуть, и ничего не случится", несмотря на то, что поворот запрещен - он и пишет ПДД сам для себя. Последствия таких действий может наблюдать любой житель крупного города чуть ли не каждый день по дороге на работу. Страдают от этого не только сами горе-водители-законотворцы. В случае же с Интернетом - он изначально создавался как среда передачи данных, его природа - это сетевые протоколы, оборудование, программы и т.д., то есть его техническая сторона является основополагающей, и большинство неприятностей, которые сегодня имеют место, связаны именно с ней. Что касается Интернета как социального явления, то оно имеет длинную историю, множество этапов, вех, о которых нужно иметь представление. Когда юристы неграмотные в ИТ-сфере пишут для нее законы, получаются такие творения, которые мы сегодня имеем. Можно открыть любой закон, так или иначе касающийся сферы компьютеров или телекоммуникаций, и убедиться в том, что он изобилует белыми пятнами, двусмысленными формулировками, нормами, которые невозможно применять в силу технической специфики, и прочими артефактами или атавизмами.

Юрист, который не умеет водить, не должен писать ПДД. Однако в случае с автомобилями есть хоть какая-то всеми признанная детерминированность: умеешь водить/не умеешь водить. А что в случае Интернета означает "водить"? Понимают ли это законодатели? Сомневаюсь, поскольку не дано даже определение самого Интернета. Однозначно могу сказать, что не каждый, открывший Яндекс, - водитель.

Выводы: В части законотворчества в области регулирования отношений в Интернете у творцов наблюдается неопределенность с базовой терминологией, полное непонимание характеров и состава участников интернет-сообщества, дефицит профильных специалистов, а также понимания необходимости в них. Как следствие, работа ведется вслепую с опорой на некие гипотетические благие намерения, которыми, как всем известно... Удручающе. Я, честно говоря, совсем не такие процессы имел в виду, когда говорил о том, что государство должно заниматься ЗА-КО-НО-ДА-ТЕЛЬ-СТВОМ.

Квази-шпионаж за настоящие деньги 2: SMS-перехват

Тема реальности, законности и этичности услуг по так называемому SMS-перехвату, поднятая в этом блоге Игорем Семёновым, постепенно получает свое развитие на разных уровнях и кормится всякими новостями:

• Межрегиональная общественная организация «Национальный совет социальной информации» и моя "родная" Межрегиональная общественная организация в поддержку развития информационного общества «Информация для всех» (МОО ИДВ) создали Экспертную комиссию по вопросам нравственности социальной информации, первое заседание которой состоится 5 февраля и будет посвящено в том числе и вопросам "SMS-перехвата".
  
• Общественное движение "Мы - петербуржцы" в конце года готовило письма на эту тему в Генеральную прокуратуру РФ, МВД РФ, Роскомнадзор, Прокуратуру СПб, Отд К ГУВД СПб, Управление Роскомнадзора по Санкт-Петербургу и Ленинградской области.
  
• Карстен Нол (Karsten Nohl), опубликовавший недавно информацию об недостаточной защищенности алгоритма шифрования A5/1, используемого в сотовой связи стандарта GSM, дал по этому поводу интервью изданию CNET. Российское издание 3DNews любезно опубликовало русский перевод этого интервью, из которого явствует, что связь стандарта GSM уязвима к несанкционированному прослушиванию и давно; дешевых и доступных всем подряд способов перехвата звонков и SMS в сетях GSM нет, не было и не предвидится; активно рекламируемые в последнее время посредством спама услуги по перехвату чужих SMS – мошенничество, не имеющее ничего общего с реальными техническими возможностями.

Это лишь малая часть последних событий связанных с темой SMS-перехвата. В конце прошлого года в рамках работы в МОО ИДВ я составил небольшой документ с разъяснениями, но, поскольку родная организация несколько "тормозит", позволю себе "выпустить" этот опус от своего лица. Текст приведен далее.

«SMS-перехват» без прикрас

Что мы видим?

Рекламные объявления, баннеры на сайтах и откровенный спам с предложениями платных услуг по перехвату чужих SMS-сообщений или определению местонахождения человека через имеющийся при нем сотовый телефон. Детали описания подобных услуг могут быть различными, включая их разные наименования, предложения скачать платное программное обеспечение, наличие подробных инструкций по его применению или их отсутствие, оговорки, двусмысленные формулировки и тому подобное. Неизменно одно – предложение заплатить за то, чтобы ознакомиться с чужой перепиской.

На самом деле: технический взгляд

На сегодняшний день большая часть мобильных телефонов работает в системе GSM (англ. Global System for Mobile communications – глобальная система мобильной связи). Разговор или сообщение передается от аппарата мобильной связи к базовой станции («вышке»), а от нее далее по внутренней сети, включающей коммутатор, к другой станции и, наконец, к аппарату собеседника/получателя сообщения. Сигнал, будь он изначально голосом или текстом, передается в цифровой форме. При передаче этого сигнала от абонента к базовой станции применяется потоковый шифр A5, а для аутентификации абонента – A3. Обе системы представляют собой системы шифрования с секретным ключом. Ключи шифрования, идентификационный номер абонента, идентификаторы сетей, которыми разрешено пользоваться абоненту, и другие данные хранятся на SIM-карте, получаемой у оператора сотовой связи и вставляемой в телефон. Помимо прочего, в процессе разговора при ослаблении сигнала телефон может переключаться между обслуживающими его базовыми станциями. В сети, соединяющей базовые станции с коммуникатором, сигнал передается в открытом виде, однако и для его передачи используется сжатие, а также методы частотного, временного, пространственного и кодового мультиплексирования, что значительно затрудняет анализ потока. Алгоритм шифрования A5/1, используемый в сетях 2G действительно уязвим. Это связано с использованием 64-битного ключа, который слишком короток при сегодняшних вычислительных мощностях. Однако для прослушивания разговора / прочтения SMS необходимо в начале записать звонок с использованием радиооборудования (следуя за объектом в радиусе 1 км для перехвата потока данных в одном направлении и близко к объекту для перехвата двусторонней передачи), а затем расшифровать его на компьютере. Алгоритм A5/3, используемый в сетях 3G, на сегодняшний день считается безопасным. Из всего сказанного можно сделать вывод, что прослушивание конкретного разговора или «отлов» сообщения с / на конкретный мобильный телефон извне, хоть и возможно теоретически, представляет собой сложную и довольно дорогую в решении задачу. Извне значительно проще подключиться к городскому телефону жертвы, чем к мобильному, к тому же городской телефон не нужно «преследовать». Представить себе рядового злоумышленника или ревнивую жену, которая, следуя за вами, с помощью своего мобильного телефона без каких бы то ни было дополнительных условий ловит каждое слово и букву, произносимые или набираемые вами на своем телефоне довольно трудно. Радио-перехват – это, очевидно, не то, что предлагают операторы такого рода «услуг» за 8-12 руб. Что касается других возможностей чтения сообщений с чужих мобильных телефонов, то это можно сделать тремя способами:

• на стороне оператора;
  
• посредством дубликата SIM-карты;
  
• непосредственно на телефоне.

На стороне оператора действительно имеется техническая возможность читать любые SMS любых абонентов, кроме того, такая возможность предоставляется по программе СОРМ (средства оперативно-розыскных мероприятий) спецслужбам. Однако открыто рекламироваться в Интернет и оплачиваться посредством SMS такие услуги, конечно, не могут. Для дублирования SIM-карты необходим однократный доступ к телефону жертвы (что само по себе усложняет процедуру.), а также специальное оборудование и навыки. Кроме того, в сотовых сетях действует правило «кто последний, тот и прав». То есть, если вы вставите дубликат SIM-карты в свой телефон, вам действительно будут приходить SMS жертвы, но у самой жертвы телефон отключится от сотовой сети. Раздосадованный абонент, скорее всего, перезагрузит телефон, и теперь уже отключенным окажется горе-шпион, то есть вы. Наконец - перехват на телефоне. Согласно нашему анализу в большинстве случаев рекламируемые услуги по SMS-перехвату предполагают именно такой вариант. Для этого также нужно заполучить сам телефон. Далее, необходимо установить на этот телефон некую программу, которая будет считывать отправляемые и получаемые SMS и отсылать куда-либо, например, на ваш телефон. По сути это напоминает установку на ваш персональный компьютер вредоносного программного обеспечения, которое отсылает злоумышленнику ваши пароли и тому подобную информацию. Такая программа должна запускаться автоматически при каждой перезагрузке телефона и работать скрытно для пользователя. Для обычных телефонов с платформой J2ME эта задача разрешимая, но нетривиальная, для некоторых моделей просто невозможная. Со «смартфонами» все несколько проще. Разработка и поддержка такого рода ПО – достаточно сложна. Создать программу, которая будет работать на всех телефонах – практически невозможно. Однако на сайтах с предложением услуг по «перехвату» практически никогда не предлагается выбрать модель телефона или хотя бы его систему. Надежных и при этом скрытных методов перехвата SMS любого номера любого оператора, которые были бы доступны открыто, не существует. На многочисленных сайтах, предлагающих подобные услуги, вам предложат отправить SMS на различные короткие номера, где спишут со счета столько, сколько смогут, а потом оставят ни с чем: либо выдастся какая-нибудь маловразумительная «техническая ошибка» и предложение заново произвести оплату для следующей попытки, либо выдадут поддельные безличные SMS, не имеющие никакого отношения к цели перехвата. Большинство из этих утверждений относится и к «сервисам» определения местоположения абонентов, хотя и с некоторыми дополнениями. Прежде всего, у сотовых операторов «МТС» и «Мегафон» есть сервисы («МТС-поиск» и «Мегафон-Навигатор», соответственно), которые позволяют определять местоположение абонента по базовой станции подключения. Точность такого определения может достигать одного километра, а задержки при перемещении цели - до получаса. Для подключения сервиса требуется отправить с телефона абонента, чьи координаты требуется определять, SMS на специальный номер, после чего ввести особый код, который придет в ответ. В целом это действительно работающий вариант, однако, эта услуга будет отображаться в личном кабинете абонента, а это делает слежку не такой уж незаметной. Второй вариант касается определения координат при помощи специальной программы, установленной на самом устройстве. Помимо всех сложностей, упомянутых выше для случая перехвата SMS, есть еще хитрость с определением координат. Для устройств с модулем GPS все довольно просто, хотя, в случае постоянного отслеживания местоположения, батарея на «смартфоне» садиться довольно быстро. Что касается случая без GPS, то существует способ определения примерного местоположения по номеру обслуживающей базовой станции, но он дает довольно низкую точность, работает примерно для 40% всех сотовых телефонов и довольно трудоемок в реализации.

На самом деле: юридический взгляд

Деяние	Содержит признаки…
Отслеживание перемещений субъекта	статьи 137 УК РФ «Нарушение неприкосновенности частной жизни».
«Перехват» чужих SMS и/или разговоров	статьи 137 УК РФ «Нарушение неприкосновенности частной жизни», а также статьи 138 УК РФ «Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений».
Изготовление дубликата SIM-карты	статьи 272 УК РФ «Неправомерный доступ к компьютерной информации».
Установка на мобильное устройство другого пользователя следящей программы или программы, ретранслирующей переговоры или SMS	статьи 272 УК РФ «Неправомерный доступ к компьютерной информации», а также статьи 273 УК РФ «Создание, использование и распространение вредоносных программ для ЭВМ».
Предоставление недостоверной или неполной информации об услуге «перехвата»	нарушения закона «О рекламе», в частности, статьи 5 «Общие требования к рекламе», пунктов 3 и 4.

P.S. Помещу сюда ссылку на официальный вариант, когда и если он появится.

Переменная облачность: информационная безопасность при использовании облачных вычислений

Говоря совсем просто, «облачные вычисления» – это работа на своем компьютере со своими данными, реально находящимися и обрабатываемыми «где-то там», в Интернет. Это парадигма распределения вычислительных ресурсов, хранилищ и программного обеспечения между пользовательским компьютером и сервером в Сети, подразумевающая, что практически все делается сервером. Пользователю же доступен лишь интерфейс для взаимодействия с данными (часть из которых кэшируется на его компьютере для более быстрого доступа), и он может даже не знать ни точно, ни в общем и не заботиться о том, где именно в Сети «лежат» его файлы, какова тактовая частота и количество ядер в обрабатывающих эти данные процессоров, и каким программным обеспечением они обрабатываются. Для него все выглядит практически так же, как если бы он работал с локальным документом, на локальном ПК, только ПК в случае использования «облачных вычислений» может быть куда дешевле и «слабее», поскольку кроме сетевых пересылок, приема ввода от пользователя и отображения документа, он, в общем-то, может больше ничего и не делать.

Вот простой пример: большое количество моих документов хранится не на моем компьютере, а в сервисе Google Docs (где бы он реально ни находился). Я работаю с ними, не видя никаких файлов – просто выбираю название документа в веб-браузере и в нем же редактирую. Я могу дать доступ на чтение или чтение/редактирование этих документов своим друзьям и коллегам, вместо того, чтобы пересылать им отдельные файлы DOCX (иногда весьма немаленькие – на сегодняшний день размер файла с моей книгой «Реальность 2.0b», над которой я продолжаю работать, составляет уже 6 мегабайт, но встречаются файлы и по 30), просить их обязательно использовать режим рецензирования, чтобы можно было понять, что им не понравилось, а затем пытаться разобраться в перекрестных исправлениях и исправлениях в разных файлах (мне далеко не всегда нравится, как работает объединение исправлений в Word) или получать негодующие заявления от коллег о том, что они используют OpenOffice, в котором режима рецензирования нет. Google дает нам возможность совместно работать с документами независимо от того, что мы не входим в какую-то одну локальную сеть какой-либо компании – все происходит при посредничестве Интернет. Еще один плюс такого рода сервиса – я действительно вижу документы, а не файлы, что куда лучше с точки зрения человеко-машинного взаимодействия:

В мире цифровых технологий мышление, основанное на моделях реализации, сильнее всего проявляется свою мерзкую сущность в области управления файлами и в понятии "сохранение". Если вы когда-нибудь пытались научить свою маму обращаться с компьютером, то знаете, что слово трудно является недостаточно выразительным для того, чтобы передать всю серьезность проблемы. Начало не сулит ничего плохого: "Запусти текстовый редактор и набери письмо". Это вполне понятное для нее действие - то же самое, что писать на бумаге. Но, закончив писать, вы щелкаете по кнопке Закрыть - и появляется диалоговое окно с вопросом: "Сохранить изменения?" Вы оба раздосадованы. Она смотрит на вас и спрашивает: "Что это означает? Все ли в порядке?" (Купер А., Рейман Р., Кронин Д. Алан Купер об интерфейсе. Основы проектирования взаимодействия. - СПб.: Символ-Плюс, 2009).

Однако сейчас речь не об этом.

Другой пример: закладки в том же Google. Мой день обычно начинается с того, что я просматриваю сайты новостей (с некоторых пор еще и сайты с вакансиями), выясняю, какие компьютерные игры появились в магазинах «Gamepark», «Gamepost» и «ВИДЕОИГР.NET», а также отдаю должное Дилберту и его автору Скотту Адамсу. Закладки с адресами всех нужных сайтов занесены в мой домашний компьютер, но что, если я НЕ дома (на работе, в транспорте, в другом городе) за чужим компьютером, а утренний план-график соблюсти хочется? Вот в этот момент и проявляется ценность закладок Google, которые хранятся не на локальном компьютере, а в Сети. Мне нужно просто зайти на Goggle, авторизоваться и ву-аля – все загруженные мною на сайт закладки будут доступны с любой машины.

Такие вот «бытовые облака» имеют массу применений – реальных и потенциальных. Для отдельного пользователя подобные возможности могут быть настолько полезны, что Google дозрела до показа Chrome OS – своей операционной системы для людей, проводящих в Интернет большую часть своей жизни. Центром ОС является подключение к Интернет и браузер. Все остальные компоненты вторичны.

Однако облачные вычисления нужны не только «частникам», но и компаниям – передача функций по хранению, доставке и обработке данных вовне в этом случае – услуга, «аутсорсинг». Компания-клиент не вникает в то, как все это делается – это задача компании-провайдера (тех, кто «нагоняет облака»).

Сам термин «облако» появился в качестве метафоры – Интернет часто изображали на инфраструктурных схемах в виде облака, а английский оригинал слова – cloud – используется еще и в значении «рассеянный».

В своем документе «Cloud Computing. Benefits, risks and recommendations for information security» («Облачные вычисления. Преимущества, риски и рекомендации по информационной безопасности») Европейское агентство по сетям и информационной безопасности (European Network and Information Security Agency - ENISA) систематизировало основные плюсы и минусы облачных вычислений.

Я не стану все перечислять (оригинал по объему составляет всего 123 страницы, а с выжимкой основных мыслей можно ознакомиться на страницах с 4-ой по 10-ю). Отмечу лишь, что рекомендации по применению и развитию услуг в сфере облачных вычислений касаются укрепления законодательной, теоретической базы и базы доверия пользователей к провайдерам, а вот в части преимуществ и рисков все намного интереснее.

С моей точки зрения развитие и распространение облачных услуг вытаскивает «на свет Божий», на первый план все проблемы информационной безопасности, о которых мы не думали, не хотели, не могли или боялись думать. Судите сами: да, я храню документы в Google Docs: эссе, резюме, рецензии и так далее. Существует ли между мной и Google какое-то соглашение, подразумевающее, что Google:

• не будет без моего ведома распространять, изменять или удалять мои документы?
• обеспечит мне доступ к ним в режиме 24/7?
• не имеет сотрудников, которые злонамеренны по отношению ко мне лично?
• обеспечит возможность миграции моих документов туда, куда я захочу при необходимости или хотя бы возможность сохранить их на локальный диск?
• обеспечит возможность работать действительно из любой точки мира с любого компьютера и из любого браузера (при работе с документами через Microsoft Internet Explorer в прошлом наблюдались проблемы – не знаю, как сейчас, поскольку давно перешел на Chrome)?

Поскольку я не плачу Google, сомневаюсь, что все так радужно, идеально и без оговорок, но даже буде какое-то соглашение имелось, я все равно его не помню, поскольку не читал. Я могу себе это позволить, поскольку эссе, резюме, рецензии не представляют для меня большой конфиденциальной ценности, скорее уж наоборот – чем больше людей их прочитает, тем известнее я буду. Однако если бы мне понадобилось сохранить в облаке реквизиты банковских счетов и другие подобные данные, я бы не смог относиться к этому вопросу с подобной легкостью – я изучал бы договора, соглашения и правила, я требовал бы гарантий безопасности – у меня просто не было бы другого выхода, я вынужден был бы это делать. Это касается и отдельных пользователей и компаний.

Облачные вычисления неизбежно переворачивают наши представления об информационной безопасности с ног на голову: обычно, если ценные в той или иной мере данные «уплывают» с вашего компьютера в Интернет (без вашего ведома), это означает, что вы уже прокололись в плане безопасности, но процесс взаимодействия с вычислительными облаками начинается с того, что такие данные уплывают в Сеть (в известном направлении, но в неизвестный физический пункт назначения), причем по вашему решению и под вашим контролем – «момент выбора», о котором я ранее говорил, четко определен – вы принимаете решение о миграции данных, а значит, будете требовать гарантий и оценивать степень доверия к ним.

Выражаясь словами странной миссис Сэвидж из одноименной пьесы Джона Патрика (в постановке театра кукол им. С.В.Образцова):

Они будут копать!

Технология (или парадигма) облачных вычислений, на мой взгляд, ближе всех других подвела пользователей к необходимости приобретения знаний в области информационной безопасности и осознанию ответственности за собственные решения.

Квази-шпионаж за настоящие деньги

Это гостевой пост Игоря Семёнова - моего друга, опытного разработчика ПО (в том числе для мобильных устройств), создателя и бессменного администратора портала для программистов Progz.ru. Как все тексты Игоря: конкретен, лаконичен и практичен. Ну, а за некоторые лексические обороты извините - авторские они... и весьма к месту.

Хотелось бы рассказать о двух ставших популярными в последнее время методах "развода лохов": "перехвате" SMS и определении местоположения человека по номеру сотового. Спам с предложениями подобных услуг валом сыпется на почту, в ICQ, везде где можно и нельзя висят банеры. Даже привередливый Google AdSense был замечен в рекламе этих "сервисов".

Не претендуя на полноту, хотелось бы прояснить некоторые вещи относительно этих относительно честных способов отъема денег (О.Бендер - И.Ильф, Е. Петров "Двенадцать стульев"). Сразу оговорюсь: т.к. текст предназначен не для профессионалов, некоторые технические аспекты намеренно упрощены для лучшего понимания материала.

Начнем с "сервиса" перехвата SMS. Чисто технически я представляю себе три возможности осуществить такой перехват:

• на стороне оператора;
• непосредственно на телефоне;
• посредством дубликата SIM-карты.

Вариант в радио-перехватом я не рассматриваю, т.к., во-первых, он технически очень сложен и дорог, а во-вторых, подразумевает, что Вы будете носиться за объектом слежки с парой десятков килограмм сложного оборудования, а этого нигде в рекламе не упоминается.

Итак, рассмотрим варианты по порядку.

На стороне оператора действительно имеется техническая возможность читать любые SMS любых абонентов, кроме того, такая возможность предоставляется по программе СОРМ (средства оперативно-розыскных мероприятий) спецслужбам. Понятно также, что в нашем неидеальном государстве потенциально такая услуга может быть оказана и частным лицам. Однако, открыто рекламироваться в Интернет и оплачиваться посредством SMS такие услуги не могут по определению! Вы где-нибудь видели рекламу: "Отправь SMS - получи права!"? Тут же все намного более серьезно.

Далее - перехват на самом телефоне. Прежде всего, нужно заполучить сам телефон - а это само по себе усложняет процедуру. Далее, нужно установить на этот телефон некую программу, которая будет SMS-ки считывать и куда-нибудь отсылать. Притом, программу, которая запускается автоматически при каждой перезагрузке телефона и работает скрытно для пользователя. Для обычных телефонов с J2ME (попросту говоря, с Явой) это вообще задача нетривиальная, для некоторых моделей просто невозможная. Со смартфонами все несколько проще, но тоже не сахар. Разработка и поддержка такого рода ПО - занятие не для слабонервных. Создать программу, которая будет работать на всех телефонах - утопичная мечта. На сайтах же лохотронщиков нигде не предлагается выбрать модель телефона или хотя бы его систему - предлагается только заплатить.

И наконец, дублирование "симки". Для этого также нужен доступ к телефону жертвы. Кроме того, в сотовых сетях действует правило "кто последний, тот и папа". То есть, если вы вставите дубликат "симки" в свой телефон, вам действительно будут приходить SMS-ки жертвы, но у самой жертвы телефон отключится от сотовой сети. Раздосадованный абонент скорее всего перезагрузит телефон, и теперь уже отключенным окажется горе-шпион - Вы.

Подытоживая: надежных и скрытных методов перехвата SMS любого номера любого оператора, которые были бы доступны открыто, просто не существует. На многочисленных сайтах, предлагающих подобные услуги, Вам предложат отправить SMS на различные короткие номера, где спишут со счета сколько смогут, а потом оставят ни с чем: либо выдастся какая-нибудь маловразумительная "техническая ошибка" и предложение заново произвести оплату для следующей попытки, либо выдадут поддельные безличные SMS-ки, не имеющие никакого отношения к цели перехвата.

Большинство из этих утверждений относятся и к "сервисам" определения местоположения абонентов. Однако тут есть несколько "но".

Прежде всего, у сотовых операторов МТС и Мегафон есть сервисы (МТС-поиск и Мегафон-Навигатор), которые позволяют определять местоположение абонента по базовой станции подключения. Точность такого определения может быть до 1 км, а задержки при перемещении - до получаса. Для подключения сервиса требуется отправить с телефона абонента, чьи координаты собираетесь определять, SMS на специальный номер, после чего ввести особый код, который придет в ответ. В целом это действительно вариант, однако, эта услуга будет отображаться в личном кабинете абонента, а это делает слежку не такой уж незаметной.

Второй момент касается определения координат при помощи специальной программы, установленной на самом устройстве. Помимо всех сложностей, упомянутых выше для случая перехвата SMS-ок, есть еще хитрость с определением координат. Для GPS-устройств все просто и гладко, хотя, в случае постоянного отслеживания местоположения, батарея на смартфоне будет садиться довольно быстро. Что касается случая без GPS, то существует способ определения примерного местоположения по номеру вышки (т.н. CellID), но он дает довольно низкую точность, работает примерно для 40% всех сотовых телефонов и довольно трудоемок в реализации.

В сухом остатке: многочисленные рекламируемые "сервисы" по перехвату SMS и определению местоположения - не более чем мошенничество или, по-простому, лохотрон.

Напоследок, хотелось бы порассуждать, почему же, несмотря на явность обмана абонентов, такие "сервисы" множатся не по дням, а по часам, увеличивая в геометрической прогрессии число отзывов об обмане на различных форумах? Единственные, кто реально имеет техническую возможность пресечь это безобразие - это сотовые операторы, ведь в конечном итоге все платежи проходят через них. Почему же тогда они не могут оперативно разоблачать мошенников и возвращать обманутым абонентам их кровные денежки?

Моя версия ситуации такова: операторам это просто невыгодно, т.к. они получают "некислые" прибыли в результате этого мошенничества, при этом оставаясь как бы не при делах. Ведь, насколько мне известно, сотовый оператор получает в районе 60%-80% от стоимости всех SMS-платежей.