Печально известный баг Heartbleed, найденный в библиотеке OpenSSL, потряс индустрию программного обеспечения. Он также показал некоторые заблуждения о мире открытого софта.

1) Закон Линуса

«При достаточном количестве глаз баги выплывают на поверхность», — Эрик Рэймонд.

Закон Линуса утверждает, что с достаточным количеством пользователей и достаточным количеством разработчиков, проверяющих код, ошибки в открытом коде будут найдены и постепенно исправлены, результатом чего станет более правильный и безопасный код в сравнении с закрытым/проприетарным программным обеспечением.

Книга «Факты и заблуждения профессионального программирования» ссылается на это как на восьмое заблуждение. В книге цитируется исследование, утверждающее, что частота, с которой находятся новые баги, не увеличивается линейно с количеством проверяющих. Я считаю, что факт того, что люди плохо справляются с поиском багов в программном обеспечении, должен быть очевиден любому разработчику. В то время, как очевидные баги типа синтаксических проблем или использования антипаттернов можно легко выловить на этапе проверки кода, многие другие баги могут быть раскрыты только при использовании программы.

11 апреля исследователи компании CloudFlare опубликовали в своём блоге статью «Answering the Critical Question: Can You Get Private SSL Keys Using Heartbleed?», в которой они задались вопросом, возможно ли извлечь приватные ключи, используя нашумевшую уязвимость Heartbleed. Попытка извлечь из оперативной памяти сервера приватный ключ не увенчалась успехом. В итоге исследователи пришли к выводу, что кража SSL-сертификатов с помощью Heartbleed маловероятна:

Мы считаем, что кража приватных ключей на большинстве серверов NGINX по крайней мере крайне затруднительна и, вероятно, невозможна. Мы уверены, что даже при использовании Apache, который, как мы считаем, может быть чуть более уязвимым, и который мы в CloudFlare не используем, вероятность раскрытия SSL-ключей с помощью уязвимости Heartbleed крайне мала. Это одна из немногих хороших новостей за эту неделю.

Несколько интернет-СМИ уже растиражировали это исследование (пример) и на его основе уверенно заявили, что кража приватных ключей с помощью Heartbleed невозможна. Как оказалось, исследователи CloudFlare были неправы.

Агентству национальной безопасности было известно о уязвимости, которая недавно получила название Heartbleed, на протяжении двух последних лет. Также АНБ регулярно использовало эту уязвимость для получения доступа к желаемой информации. Об этом изданию Bloomberg стало известно от двух неназываемых людей.

Тем не менее, представители АНБ в ответ на публикацию этих данных заявили, что с багом CVE-2014-0160 эксперты агентства ознакомились лишь после массового распространения информации о нём в СМИ. Heartbleed — пожалуй, наиболее опасная уязвимость в истории Интернета, ей были затронуты основы безопасности приблизительно двух третей всех веб-сайтов.

С помощью этой уязвимости злоумышленник может получить доступ к областям оперативной памяти целевого сервера, что даёт ему возможность украсть пароли пользователей и приватные ключи. Брюс Шнайер, эксперт по информационной безопасности, оценил степень опасности уязвимости по десятибалльной шкале в 11 баллов. Разработчик, допустивший ошибку и ставший автором этой уязвимости, утверждает, что сделал это по невнимательности.

FizzBuzz

Когда я подавал заявку на вступление в Hacker School, я столкнулся со следующей задачкой:

Напишите программу, которая выводит числа от 1 до 100 (включительно). Если число делится на 3, выведите Fizz вместо числа. Если оно делится на 5, выведите Buzz. Если оно делится как на 3, так и 5, выведите FizzBuzz. Вы можете использовать любой язык программирования.

(С тех пор сотрудники Hacker School слегка изменили задачку, скорее всего, для того, чтобы затруднить её решение с помощью интернет-поисковиков. Я намеренно не включил сюда изменённое условие, чтобы минимизировать эффект моего поста на гуглобельность.)

Задачка довольно проста и не требует обдумывания, поэтому хорошо подходит как пример для разных языков и стилей программирования словно Hello, World или задача на поиск чисел Фибоначчи.

9 апреля от руководства «Дропбокса» стало известно, что к совету директоров компании присоединилась Кондолиза Райс. Среди причин, которые побудили к этому, Дрю Хьюстон перечислил детали её научной карьеры — в 1981—1987 годах Райс занимала пост доцента Стэнфордского университета, а с 2007 года она является его проректором. Также Райс входила в советы директоров ряда других компаний, например, «Хьюлетт-Паккард» и «РЭНД Корпорейшн». Конечно, на пространстве бывшего СССР она наиболее хорошо известна как 66-й государственный секретарь США, что подразумевает, что она управляла Госдепартаментом США в период с 2005 по 2009 год. Наиболее вероятно, что таким образом в «Дропбоксе» готовятся к первому первичному размещению (IPO), и человек уровня Райс может им в этом сильно пригодиться.

Разумеется, ответной реакцией части интернет-пользователей на подобное решение стало негодование. В Сети даже появился сайт «Drop Dropbox» («Дропни «Дропбокс»), который вкратце рассказывает о том, почему клиентам популярного облачного хранилища следует бойкотировать сервис.

Ситуация, при которой в совет директоров какой-либо американской частной компании входят бывшие политики или, если говорить конкретней, представители определённой партии, не является причиной этого отторжения. К примеру, демократ Эл Гор входит в совет директоров «Эппла» и является неофициальным советником-менеджером «Гугла».

C января этого года Билл Макклоски вместе с Дэвидом Андерсоном работали над тем, чтобы сделать «Файерфокс» мультипроцессовым, в этом им помогали Том Шустер (evilpie), Фелипе Гомез и Марк Хаммонд. И теперь настал момент, когда они хотели бы узнать мнение сообщества о проделанной работе.

В «Файерфоксе» всегда использовалась однопроцессовая модель построения. Интерес к изменениям в области распараллеливания подстегнул выход браузера «Хром», в нём использовались один процесс для интерфейса и отдельные процессы для работы с контентом веб-страниц. (Тем не менее за шесть месяцев до «Хрома» несколько процессов начал использовать «Интернет эксплорер 8».) Вскоре, примеру «Хрома» последовали и некоторые другие браузеры, «Мозилла» начала проект Electrolysis для адаптации движка «Гекко» к использованию нескольких процессов.

Что вынуждает «Мозиллу» переключаться на подобную модель построения своего браузера? В первую очередь это производительность и отзывчивость. Основной целью является уменьшение подвисания (jank), проявляющегося при стандартных операциях — загрузке особенно крупной страницы, наборе текста в веб-форме или прокрутке перегруженной элементами страницы.

С помощью собственного инструмента для проведения автоматизированных тестирований веб-приложений в различных окружениях Selenium компания Sauce Labs получает большие объёмы статистических данных о множестве ошибок. Часто ошибки возникают не из-за плохого кода, не плохого соединения и не из-за заряженных микрочастиц из открытого космоса, а из-за «падения» браузера. Разумеется, в этом случае браузер будет перезапущен, но нам интересна ведомая компанией статистика аварийных завершений, по которой можно судить о надёжности тех или иных браузеров.



Два года назад, в августе 2011 года, Sauce Labs уже публиковала подобную, пусть и менее детальную статистику на основании миллионов тестов, которые провели клиенты компании. Результаты оказались несколько предсказуемыми, но было несколько удивительных моментов.

Конечно же, Internet Explorer 6 оказался среди худших браузеров, и даже его более новые версии не блистали надёжностью. «Непадающим» в 2011 году оказался Firefox, хотя не хуже был и Google Chrome с его постоянными обновлениями, не оставляющими пользователя с нестабильной версией. По результатам тестов неплохо себя показал и Opera.

К сожалению, в отличие от обычных полупроводников, находящих широкое практическое применение, графен, материал, на который в последнее время возлагаются большие надежды, не имеет запрещённой зоны, что означает сложности или полную невозможность построения транзистора нового поколения на его основе. Гуаньсюн Лю и его коллеги заявили, что они нашли обходной путь, отличный от используемого в обычных транзисторах.

За последние пять десятков лет развитие кремниевой электроники во многом происходит благодаря уменьшению отдельных компонентов на кристалле. Однако, всему есть свои пределы, и эксперты считают, что подобное продлится не далее 2026 года. Учёные всего мира находятся в активном поиске материала, способного заменить кремний, и часто взоры обращаются на графен.

В полупроводниках, используемых в транзисторах, существуют, как и в любых твёрдых материалах, зона энергии, в которой электроны могут свободно течь, что делает их проводником и «открывает» их, и зона, в которой их движение невозможно, что вызывает «закрытие». Для открытия и перехода в состояние зоны проводимости требуется относительно малое количество энергии. Именно эти свойства определяют принципы и характеристики полупроводниковых транзисторов. Однако, отсутствие у графена запрещенной зоны серьёзно ограничивает его использование в качестве транзистора: у графена нет областей энергии, которыми не может обладать электрон в кристалле. На практике это означает невозможность «отключить» графеновый транзистор.

В номере журнала «Форбс» от 2-ого сентября 2013 года будет опубликована интересная статья: журналисту издания удалось взять интервью у главы крупнейшей онлайн-биржи по продаже наркотических веществ и препаратов — «Шёлковый путь». Механизмы работы площадки обеспечиваются анонимными сетями с луковой маршрутизацией и криптографически защищенной валютой «Биткойн».

Далось это действительно не без труда: предприниматель уровня Ужасного пирата Робертса не имеет права доверять ни незнакомцам, ни телефонным линиям, ни сетям мгновенного обмена сообщениями. Бесмысленно искать его контакты в «Скайпе» или пытаться устроить личную встречу: как заявил оператор площадки, он не контактирует в оффлайне даже с самыми доверенными лицами, и предложение встретиться в некой стране за пределами США было решительно отвергнуто. За владельцем «Шёлкового пути» ведётся охота на межгосударственном уровне, и он не может позволить себе рисковать.

Общение происходило исключительно посредством системы сообщений и форума сайта, владельцем которого является Ужасный пират Робертс. Доступ к нему осуществлялся как и к любому .onion-сайту — через систему «Тор». Сетевое знакомство журналиста «Форбса» с человеком, выбравшим себе никнейм по имени персонажа романа Уильяма Голдмана (хотя, скорее это имя следовало бы трактовать как nom de guerre, боевой псевдоним) длилось восемь месяцев. Но общение не было постоянным: в один момент после вопиюще некорректного вопроса о его настоящем имени и гражданстве Ужасный пират прервал контакт на месяц.

В понедельник представители компании «Самсунг электроникс» заявили о начале производства трёхмерных вертикальных микросхем NAND. В чипах флэш-памяти нового типа благодаря структуре из слоёв кремния достигаются лучшие характеристики в сравнении с двумерными чипами; согласно заявлению корейской компании надёжность увеличится в 2—10 раз, а производительность процесса записи — в два раза. Таким образом, «Самсунг» стала первой компанией в мире, запустившей массовое прозводство 3Д-чипов NAND-памяти.

Новая технология будет использоваться в широком круге задач, в том числе и для создания твёрдотельных накопителей объемом от 128 гигабайт до 1 терабайта. Продольная плотность записи новых микросхем составляет 128 бит, и они построены на основе технологии объемной памяти с ловушкой заряда (3D Charge Trap Flash). Обычная Charge Trap Flash впервые была представлена «Самсунгом» ещё в 2006 году.

Количество вертикальных слоёв микросхем достигает 24, но их толщина измеряется нанометрами, поэтому даже в микрометровом масштабе утолщение не будет заметно. Эксперты отмечают, что пределы количества слоёв пока неизвестны: сегодня это 24, в следующем поколении будет 32, а затем и это число увеличится.

Globacore, компания, специализирующаяся на производстве крупноформатных мультитач-мониторов и на интерфейсах, анонсировала римейк игры Paperboy. Игра PaperDude по мотивам бессмертной классики 1984 года использует множество современных технологий: сенсор движения Kinect и наиболее многообещающие очки виртуальной реальности Oculus Rift.

PaperDude базируется на движке Unity, модели для него были выполнены в 3D Studio и затекстурированы в редакторе Photoshop. Как демонстрируется в приведенном выше видеоролике, игрок крутит педали велотренажёра, выполняет наведение на цель, в чём ему помогает низкое время отклика и круговой обзор Oculus Rift, и делает бросок виртуальным свёртком газеты, который фиксируется сенсором движения Kinect. Датчик KickR получает вращение педалей и задаёт скорость движения в игре. KickR также может быть запрограммирован на затруднение хода или даже остановку при наезде на препятствие. Для его соединения с компьютером приходится использовать Bluetooth-канал iPad.

Побывавший в одной из самых закрытых стран мира турист поделился с IDG News Service информацией об интернет-планшете, который он приобрёл на родине идеологии чучхе. Технические характеристики и предустановленное программное обеспечение лишний раз напоминают про политический курс изоляции КНДР.

Устройство под названием «Самиийон» (вероятно, название дано в честь одноименного города) — уже третий планшет, выпущенный в Северной Корее. Скорее всего, он производится за пределами страны, технические возможности КНДР не позволяют выпускать потребительскую электронику, хотя государство в состоянии готовить для закупленного «железа» собственный софт. Впервые он был продемонстрирован на промышленной выставке в Пхеньяне в сентябре прошлого года. Говорили о нём и по северокорейскому телевидению, но мало кто из зарубежных туристов мог видеть его вблизи.

История приобретения была предельно проста: турист, предпочитающий называться лишь именем Майкл, заметил устройство в магазине подарков в ресторане и был немало удивлён этому. Скучающий в ожидании курящей части группы Майкл спросил, может ли он сфотографировать устройство. Шутя, он даже задал вопрос, не продаётся ли планшет. К его удивлению, ответ был положительным, цена составила всего 200 долларов США. (Для сравнения: средняя зарплата гражданина КНДР составляет менее 100 долларов. Для обычного жителя «Самиийон» представляет предмет роскоши.)

На прошедшей в Лас-Вегасе конференции Black Hat с особым заявлением выступили четверо исследователей кибербезопасности: Алекс Стеймос, Том Риттер, Томас Птачек и Джавед Сэмюель. Суть их просьбы сводилась к следующему: существующие алгоритмы, лежащие в основе современной криптографии, могут находиться в опасности прогресса решения математических задач, поэтому всем нам следует отказаться от существующих SSL-сертификатов в пользу более новых методов криптографии.

Общеизвестно, что в основе асиметричной криптографии лежит два ключа: один может зашифровать данные, другой используется для их расшифровки. Это возможно благодаря свойствам односторонних функций. Предполагается, что некоторые математические операции трудны и могут быть выполнены лишь за экспоненциальное время, то есть за время, возрастающее экспоненциально при линейном увеличении размерности задачи. Однако, существование таких функций, то есть свойство экспоненциального возрастания сложности так и остаётся недоказанной гипотезой.

Существует ненулевая вероятность того, что в будущем найдётся подобное решение, возможное за полиномиальное время, что сулит криптографический апокалипсис. Суть доклада квартета исследователей сводилась к тому, что этот момент может быть не так отдалён от настоящего времени, в то время как альтернативные и более современные методы криптографии не имеют большого распространения.

В техническом блоге «Спотифая» было опубликовано интересное исследование на тему взлома аккаунтов сервиса путём использования особенностей канонизации вводимых пользователем данных. Это стало возможным благодаря тому, чем спотифаевцы гордятся, — полностью юникодному логину. К примеру, пользователь легко может иметь снеговика в качестве имени аккаунта, если он того пожелает. Реализация подобного, впрочем, с самого начала доставляла некоторые неудобства.

Несколько лет назад в Великую пятницу на форуме техподдержки было опубликовано сообщение о возможности взлома любого аккаунта на сервисе. Представитель компании попросил продемонстрировать это на примере его собственного аккаунта, и через несколько минут ему был задан новый пароль и создан новый плейлист. Это немедленно привлекло внимание нескольких сотрудников, вынужденных провести Пасху в попытках закрыть «дыру». В связи с особенностями уязвимости регистрация новых аккаунтов была временно закрыта.

Хакер действовал следующим образом: желая взломать аккаунт с именем, скажем, bigbird, он регистрировал аккаунт с именем ᴮᴵᴳᴮᴵᴿᴰ (в Пайтоне эта строчка выглядит как u’\u1d2e\u1d35\u1d33\u1d2e\u1d35\u1d3f\u1d30′). После запроса ссылки на сброс пароля задавался новый пароль, который подходил к аккаунту bigbird.

Однажды на пикнике я заметил математиков, толпящихся возле игры, интереса к которой я ожидал меньше всего: крестики-нолики.

Вы могли и сами заметить, что игра крестики-нолики смертельно скучна. В ней нет места творческой идее или внезапному озарению. Хорошие игроки всегда играют вничью. Игра неизбежно идёт примерно так:



Но математики на пикнике играли в более изощренную версию игры. В каждой из клеток на квадратном поле они нарисовали поле поменьше:

Во время закрытой встречи в Капитолии сотрудники Агентства национальной безопасности признали, что для прослушивания внутренних телефонных звонков в США им не требуется соответствующее решение суда. Об этом сообщил представитель Нью-Йорка в Конгрессе от Демократической партии США Джеррольд Надлер; он буквально заявил, что детали могут быть прослушаны «лишь на основе решения аналитика».

В случае возникновения необходимости получения доступа к данным достаточно решения специалиста АНБ, всё производится без каких-либо особых правовых санкций. Вероятно, что прослушкой занимаются тысячи низкопоставленных сотрудников, что допускается правовой интерпретацией Минюста США. Поскольку к электронным письмам, СМС и сообщениям интернет-мессенджеров предъявляются те же стандарты, что и к телефонным звонкам, АНБ, скорее всего, также имеет доступ и к текстовым сообщениям без разрешения судебных инстанций.

Раскрытая информация позволяет заключить, что сделанное Эдвардом Сноуденом заявление о том, что он с Гавайев мог прослушивать кого угодно, от американского обывателя до президента США, вполне правдоподобно. Тогда Эдвард упоминал, что не у всех аналитиков есть такая возможность.

Дмитрий Евтеев, ранее находивший ошибки в безопасности настроек индексирования сайта заказа железнодорожных билетов, не так давно продемонстрировал в своём блоге особенность в построении систем восстановления пароля, которая при совпадении нескольких условий позволяла узнать номер мобильного телефона любого пользователя, имеющего аккаунты в двух-трёх популярных сервисах социальных сетей. На данный момент уязвимость частично исправлена.

Некоторое время назад «В Контакте» требовал на добровольной основе (а по сути — принудительно заставил) своих пользователей зарегистрировать номер мобильного телефона для возможности в будущем быстро восстановить доступ к аккаунту. В некотором роде это также помогло решить проблему массовых спам-рассылок внутри сайта.

«В Контакте» обещает, что телефонный номер «нигде не выводится». Но это совсем не так, достаточно адреса электронной почты жертвы, и злоумышленник мог получить первые семь цифр номера.

Впервые с момента раскрытия своей личности как информатора о проекте PRISM Эдвард Сноуден дал часовое интервью. Сноуден смог заинтересовать гонконгское издание South China Morning Post заявлением о том, что американские разведслужбы с 2009 года производят взломы китайских компьютеров. По просьбе ньюсмейкера газета не будет раскрывать то, как было проведено интервью.

Эдвард, в частности, заявил, что АНБ произвела более 61 тыс. операций компьютерного взлома по всему миру, из них сотни были нацелены на объекты в Китае. Среди целей в Гонконге были Китайский университет Гонконга, официальные лица, предприятия и студенты города: «Мы взламываем магистральные сетевые узлы (по сути, огромные интернет-роутеры), что даёт нам доступ к коммуникациям сотен тысяч компьютеров без необходимости взлома каждого из них.»

Сноуден заявил, что он хотел продемонстрировать лицемерие правительства США, которое заявляет о том, что, в отличие от своих врагов, они лишь защищаются, и что гражданская инфраструктура не является их целью. Он считает, что для нераспространения этой информации они будут использовать любые средства, вплоть до дипломатического запугивания.

Нам всем известен почти единственный недостаток современных быстрых модулей оперативной памяти — энергозависимость, в свою очередь у долговременных накопителей оставляет желать лучшего скорость работы. Прототип памяти нового типа, описанный в Nature Communications, совмещает в себе как скорость, неизнашиваемость и низкое энергопотребление, так и энергонезависимость.

Память нового типа была построена на основе феррита висмута материаловедом Калифорнийского университета в Беркли Рамамуроти Рамешем и специалистом по материалам-оксидам в Наньянском технологическом университете в Сингапуре Юнлинь Ваном.

Обычные нули и единицы битов компьютерной памяти могут быть представлены ферритом висмута как одно из двух состояний поляризации. Переключение между ними возможно при приложении напряжения благодаря физическому явлению сегнетоэлектричества. Ферроэлектрическая ОЗУ на основе других материалов уже представлена на рынке, и её скорость работы высока. Но технология не получила широкого распространения потому, что электрический сигнал, используемый для чтения бита, сбрасывает его, поэтому данные приходится каждый раз перезаписывать заново. В перспективе это ведёт к ухудшению надёжности.

Рамеш и Ван нашли способ использования одного из свойств феррита висмута для чтения массивов памяти без разрушения информации. В 2009 году исследователи в Ратгерском университете продемонстрировали, что материал обладает фотоэллектрическими свойствами в области видимого спектра. Это означает, что при освещении материала создаётся электрическое напряжение, размер которого к тому же зависит от состояния поляризации. Это напряжение можно регистрировать, в то же время яркий свет не меняет состояние поляризации материала и не сбрасывает записанной на него информации.

Впервые с момента начала тестирования устройства (апрель 2012 года) гугл-очки были полностью разобраны. Хакеров, скорее всего, останавливали угрозы отключать очки при нарушении условий использования и высокая цена устройства — 1500 долларов, но в данном случае помог Натан Сейдл, глава Sparkfun Electronics, покупку и разборку производили Стар Симпсон и Скотт Торборг.

Получение очков — непростая задача, поскольку на данный момент они доступны далеко не всем, а лишь разработчикам приложений для новой платформы. Выдача производится всего в трёх точках на всю территорию США: в Маунтин-Вью (штат Калифорния), Лос-Анджелесе и Нью-Йорке; около студий Google Glass в этих городах можно постоянно видеть бесцельно бродящих людей, привыкающих к «Глассу».

Счастливчику назначается время, и по прибытии его встречает сотрудник «Гугла» с букетом мимоз. Гугловец помогает выбрать желаемый цвет устройства (угольно-тёмный, мандариновый, сланцевый, белый или небесно голубой) и в течении 45 минут объясняет, как пользоваться очками, в том числе показывает, как подключить другой телефон и связать аккаунт «Гугла».