Журнал PC Magazine/RE №04/2009

Пользовательский механизм контроля доступа (UAC) – важный элемент безопасности современных ОС. Пользователи Windows Vista

и Windows 7 прекрасно c ним знакомы, нечто подобное есть и в Мас OS X. Но, как оказалось, в «яблочной» ОС имеется серьезная уязвимость. Злоумышленник может написать код, который позволит ему изобразить запрос на авторизацию, маскируясь под заведомо доброкачественную программу. А затем… В общем, ничего хорошего.

Уязвимостью в строгом смысле слова проблему все же назвать нельзя. Это скорее недоработка, позволяющая эксплуатировать пресловутый человеческий фактор. Дело в том, что в особо подозрительных случаях (когда запускается программа, намеревающаяся получить доступ к наиболее уязвимым областям системных данных) Mac OS X выводит на экран диалоговое окно, в котором просит ввести пароль.

Тонкость заключается в том, что разработчики системы обозначили весьма широкие пределы, в которых запрашивающая такого разрешения программа может формулировать свой запрос. Многие пользователи «Маков» гордятся тем, что в ИТ-премудростях им в принципе незачем разбираться: система, мол, настолько совершенна, что прекрасно справляется со всеми рутинными задачами сама, а дело человека перед компьютером – свободное творчество.

Таких пользователей появление окошка с надписью вроде «Служба System Preferences требует подтвердить ваш пароль» вряд ли заставит что-либо заподозрить. Это Windows-пользователям приходится регулярно ставить загруженное из Интернета ПО, а владельцы «Маков» от такого по большей части избавлены. А потому не всегда готовы остановиться и подумать: отчего ни с того ни с сего возникла ситуация с запросом пароля? зачем это вдруг понадобились дополнительные привилегии?

Так что «троянские кони» для компьютеров Apple получают в свое распоряжение еще один инструмент взлома оборонительного периметра системы. Самый, как показывает пример легендарного Кевина Митника, эффективный: человеческий фактор.

Похоже, что идея компьютера как полноценного инструмента для полностью неподготовленного пользователя все-таки утопична по сути. Чем сложнее инструмент, тем лучше надо его знать, чтобы что-то путное с его помощью создавать. В противном случае – и дела не сделаешь, и инструмент испортишь.

Традиционным религиям в современных условиях приходится несладко. То вдруг выясняется, что Земля все-таки вертится, то медики начинают заниматься клонированием, то высокие технологии становятся внезапно неотъемлемой частью жизни…

Определить Интернет в ведение избранного специально для этого цели святого – еще полдела. Куда важнее понять, как ИТ-реалии согласуются с традиционными церковными догмами. Верующих мучает вопрос: как пользоваться высокими технологиями в Великий Пост и при этом не согрешить? Занятный ответ предлагают католические иерархи.

Руководители итальянских епархий обратились к Папе с предложением подновить официально оглашаемые с церковных кафедр правила поведения в период поста. Ведь новые технологии означают и новые искушения для пользующихся ими добрых католиков. А противостоять искушениям лучше вооружившись увесистой папской буллой.

Предложения епископов сводятся к ограничению использования всевозможных ИТ-приспособлений, отдаляющих, по их мнению, людей друг от друга. Так, например, предлагается сократить обмен SMS в период Великого Поста, а по пятницам и вовсе отказываться от этого способа связи.

Священники Турина предложили воздерживаться на весь срок поста от просмотра телепрограмм. Их коллеги из Тренто подошли к проблеме еще более системно, обнародовав календарь, согласно которому каждую неделю в этот важный для христиан период следует отказываться от пользования теми или иными технологиями.

Впрочем, католический пост в сравнении с православным не так уж и строг: даже в период Великого Поста католики всего лишь не едят мяса по пятницам. Разумеется, больше времени уделяют молитвам и всевозможным самоограничениям, но до православного накала самоотвержения все-таки не доходят. Поэтому если аналогичные предложения выдвинут православные священники, можно ожидать, что рекомендациями отказаться от прослушивания музыки на неделю дело не ограничится.

Британские ученые (в данном случае ИТ-специалисты) не перестают поражать мир новизной подходов к исследуемым проблемам. Создатели популярной телепередачи BBC Click в сотрудничестве с такими специалистами провели эксперимент, суть которого сводится к тому, чтобы «в прямом эфире» продемонстрировать рождение ботнета. В роли «морских свинок» выступают случайно выбранные пользователи. Цель – показать, насколько беззащитны перед спланированными атаками большинство составляющих Сеть персональных компьютеров и серверов. Специально разработанное вирусное ПО заражало компьютеры посетителей чатов, и эти ПК впоследствии образовали ботнет, который, в свою очередь, был использован для организации DDoS-атаки на заранее подготовленный сервер.

Выстроить свой ботнет, состоявший на пике его активности примерно из 22 тыс. машин, специалистам программы Click удалось до смешного просто. Использовавшийся для этого инструментарий без труда можно найти на форумах «черных хакеров» и в пиринговых сетях.

Заражение производилось с применением давно известных уязвимостей одного популярного браузера, из-за которых щелчок по ссылке на сайт-ловушку прямо в окне чата незамедлительно приводит к загрузке вредоносного сценария.

Объединенные в ботнет компьютеры использовались сначала для организации спамовой рассылки по специально заведенным электронным адресам, а затем и для проведения DDoS-атаки на сервер компании Prevx, занимающейся вопросами Интернет-безопасности, – разумеется, с ее ведома и согласия.

Как отметили эксперты из Prevx (для вывода в офлайн их сервера потребовалось, кстати, объединить усилия всего лишь шестидесяти машин из состава ботнета), DDoS-атаки на сайты небольших торгующих в Интернете компаний составляют заметную долю всех регистрируемых в Великобритании киберпреступлений. Преступники, не давая такому сайту работать в штатном режиме, выходят на связь с его владельцем и требуют от него отступных за прекращение атаки и возвращение возможности нормально заниматься бизнесом в Сети.