Зеркало Рунета

SSL (от английского Secure Socket Layer – уровень защищенных сокетов) – защищенный протокол передачи данных. Он был разработан в 1996 году в компании Netscape и очень скоро стал очень популярным при обмене защищенными данными в Интернет.

В настоящее время данный протокол встроен в абсолютное большинство браузеров и веб-серверов. При работе он использует ассиметричную криптографическую систему с открытым ключом шифрования RSA.

Для того, чтобы осуществить соединение с сервером по протоколу SSL, необходимо, чтобы на сервере был установлен цифровой сертификат – файл, уникальным образом идентифицирующий серверы и обращающихся к ним машины-клиенты. Это некий электронный паспорт, проводящий аутентификацию сервера перед тем, как установить SSL-соединение. В обычной практике цифровые сертификаты подписываются и заверяются третьими сторонами, обычно компанией Thawte – всемирно известным центром сертификации.

Цифровой сертификат выдается только конкретной организации, у которой существует конкретная привязка к определенному домену.

За счет использования аутентификации и шифрования протокол SSL и обеспечивает безопасный обмен данными в сети.

Какие действия нужно предпринять, чтобы узнать, поддерживает ли ваш браузер обмен данными по SSL-протоколу и имеет ли веб-сайт цифровой сертификат? В первую очередь посмотрите на строку состояния браузера – если там присутствует небольшое изображение замочка, то цифровой сертификат имеется.

Другой признак – это строка адреса в браузере. Если установлено защищенное соединение, то первые символы в браузерной адресной строке сменятся с «http://» или «ftp://» на «https://» и «ftps://» соответственно.

Цифровой SSL-сертификат позволяет получить следующую информацию о сервере:

• Фирма – владелец сертификата.
• Город регистрации фирмы-владельца домена и цифрового сертификата.
• Срок действия цифрового сертификата.

Если пользователь посещает веб-сайт, для которого имеется действующий цифровой сертификат, пользователю выведется соответствующее сообщение с предложением установить защищенное соединение и возможностью отказа от этого. При установке защищенного соединения все данные, передаваемые от пользователя на сервер, будут зашифрованы.

На этом мы заканчиваем рассмотрение защищенного протокола передачи данных в сети Интернет SSL и особенности его использования.

Данная операционная система является свободно распространяемой и некоммерческой UNIX-подобной ОС. Плюс к этому она еще и является многоплатформенной.

В операционной системе OpenBSD поддерживается бинарная эмуляция программ других операционных систем: Solaris, FreeBSD, Linux (большинство версий), BSD/OS, SunOS и некоторых других.

Приобрести OpenBSD возможно либо скачав установочный дистрибутив с одного из многочисленных ФТП-серверов, либо заказав диски по почте за небольшую плату (по России она составляет порядка пары сотен рублей – мелочь).

Финансирование OpenBSD идет за счет продажи компакт-дисков, различных постеров и футболок с эмблемами и логотипами OpenBSD.

Самым свежим релизом на сегодняшний день является версия 4.7 (данный релиз вышел 19 мая 2010 года).

Итак, расскажем об этой замечательной операционной системе поподробнее.

Все возрастающий в последнее время интерес к ОС Linux не оставил в тени и операционные системы ряда BSD, в том числе и OpenBSD.

До недавнего времени наибольшее распространение данные операционные системы получили в роли различных интернет-серверов и в качестве настольных операционных систем использовались крайне редко, в основном редкими энтузиастами-одиночками.

В данной статье мы постараемся рассмотреть вопросы, касающиеся данной ОС, ее достоинствах и недостатках.

История OpenBSD началась в 1995 году. В начале 90-х годов прошлого века в университете Беркли (США) были созданы открытые BSD-системы: FreeBSD и NetBSD. На их основе и появилась OpenBSD. С тех пор данные операционные системы развиваются параллельно, хотя сходство их друг с другом остается весьма заметным и сейчас.

В общем-то вопрос выбора той или иной операционной системы линии BSD является иррациональным – все они доказали свою жизнеспособность, и выбор может быть определен только какими-то специфическими задачами, решаемых ОС.

Основоположником и главой проекта развития OpenBSD является Тео де Раадт, он был и одним из основоположников NetBSD.

Разрабатывался и разрабатывается проект с целью максимально обеспечить информационную безопасность. Вследствие этого данная операционная система используется чаще всего в межсетевых экранах (брандмауэрах).

В основном операционная система OpenBSD ориентирована на Intel-совместимые компьютеры, но при наличии желания ее можно установить и на другие платформы.

К сожалению, источников информации по OpenBSD в Интернете гораздо меньше, чем хотелось бы, но надеюсь, ситуация в скором будущем изменится к лучшему.

Установка OpenBSD довольна проста, хотя и присутствуют некоторые нюансы.

Так, данную операционную систему возможно установить как с компакт-диска (в настоящее время установочный дистрибутив продукта распространяется на трех CD-дисках), так и с помощью загрузочной дискеты. Но есть и еще одна возможность установки: если у Вас присутствует высокоскоростное подключение к Интернет, то OpenBSD можно установить прямо с официального FTP-сервера с помощью так называемой системы портов. Данная система позволяет постоянно поддерживать операционную систему в актуальном состоянии и быть постоянно уверенным, что у Вас на компьютере установлена ее последняя версия.

Сама инсталляция проходит в текстовом режиме, и требует при этом только информации о разметке диска, устанавливаемых пакетах и минимальных последующих настройках. Проходит она очень быстро. Необходимые Вам в дальнейшем для работы инсталляционные пакеты можно найти на дисках с дистрибутивом или скачать из Интернета.

Система информационной безопасности в OpenBSD реализована на очень высоком уровне: никакой код не может попасть в систему случайно, все события протоколируются.

Также огромное внимание разработчики уделяют простоте кода и качеству документации по продукту. Любая, даже мелкая ошибка в man-руководстве считается серьезной и немедленно по обнаружении исправляется.

При работе с данной операционной системой следует учитывать, что и лицензия, под которой она распространяется, и усилия разработчиков, максимально направлены на то, чтобы сделать и оставить ее (операционную систему) максимально открытой и свободной в распространении. Несвободный код в системе не используется абсолютно. Ранее из нее были удалены целые участки кода, которые не отвечали принципам лицензирования свободно распространяемого программного обеспечения.

В общем, попробуйте установить данную операционку, и если Вы в ней разберетесь и научитесь работать на хорошем, профессиональном уровне, Вы не пожалеете о времени, проведенном за этим увлекательным занятием. Дерзайте, и наши Вам наилучшие пожелания!

XSS атака является одним из любимейших видов атак у хакеров. В данной статье мы постараемся в доступной форме разъяснить, что эта за вид атак, как они реализуемы, какие у них последствия, и как же от них уберечься.

Аббревиатура XSS расшифровывается как Cross Site Scripting, или «межсайтовый скриптинг». При этом первую букву С заменили на Х вследствие того, что аббревиатура CSS уже занята, обозначает «Каскадные таблицы стилей» и применяется в веб-программировании.

XSS атака – это атака на уязвимость, которая существует на сервере, позволяющая внедрить в генерируемую сервером HTML-страницу некий произвольный код, в котором может быть вообще все что угодно и передавать этот код в качестве значения переменной, фильтрация по которой не работает, то есть сервер не проверяет данную переменную на наличие в ней запрещенных знаков –, <, >, ’, ”. Значение данной переменной передается от генерируемой HTML-страницы на сервер в скрипт, ее вызвавший путем отправки запроса.

А далее начинается самое интересное для хакера. РНР-скрипт в ответ на данный запрос генерирует HTML-страницу, в которой отображаются значения требующихся хакеру переменных, и отправляет данную страницу на браузер хакера.

То есть, говоря проще, XSS атака – это атака с помощью уязвимостей на сервере на компьютеры клиентов.

XSS атака чаще всего используется для кражи Cookies (или куки, как их произносят по-русски). В них хранится информация о сессии пребывания пользователя на сайтах, что и бывает нужным хакерам для перехвата управления личными данными пользователя на сайте в пределах, пока сессия не будет закрыта сервером, на котором размещен сайт. Помимо этого в Cookies хранится зашифрованный пароль, под которым пользователь входит на данный сайт, и при наличии необходимых утилит и желания хакерам не доставляет особого труда расшифровать данный пароль. А чем это чревато, думаю, всем понятно.

Чаще всего, как я упоминал выше, XSS атаки используются для кражи cookies (в народе – куки). В них хранятся сессии пребывания пользователя на том или ином сайте, этим злоумышленник и пользуется. Таким способом можно находится, например, на форуме, под аккаунтом другого человека. Так же cookies содержат зашифрованный пароль к аккаунту пользователя, который “сетевой хулиган” может с легкостью расшифровать и получить постоянный и ничем неограниченный доступ.

Теперь опишем другие возможности XSS атак (конечно при условии их успешного проведения).

1. Возможно при открытии страницы вызвать открытие большого количества ненужных пользователю окон.
2. Возможна вообще переадресация на другой сайт (например, на сайт конкурента).
3. Существует возможность загрузки на компьютер пользователя скрипта с произвольным кодом (даже вредоносного) путем внедрения ссылки на исполняемый скрипт со стороннего сервера.
4. Зачастую происходит кража личной информации с компьютера пользователя, помимо Cookies в качестве объекта кражи выступает информация о посещенных сайтах, о версии браузера и операционной системе, установленной на компьютере пользователя, да к тому же еще и плюсуется IP-адрес компьютера пользователя.
5. XSS атака может быть проведена не только через сайт, но и через уязвимости в используемом программном обеспечении (в частности, через браузеры). Поэтому рекомендуем почаще обновлять используемое программное обеспечение.
6. Также возможно проведение XSS атак через использование SQL-кода.

Как мы видим из всего вышесказанного, возможностей у XSS атак достаточно много. Злоумышленник может овладеть вашей личной информацией вплоть до получения паролей доступа к сайтам, а это очень неприятно. К тому же XSS атака наносит вред исключительно клиентским машинам, оставляя сервер в полностью рабочем состоянии, и у администрации различных серверов порой мало стимулов устанавливать защиту от этого вида атак.

По данным Википедии XSS на сегодняшний день составляют около 15% всех обнаруженных уязвимостей.

Различают XSS атаки двух видов: активные и пассивные. При первом виде атаки вредоносный скрипт хранится на сервере и начинает свою деятельность при загрузке страницы сайта в браузере клиента. При втором виде атак скрипт не хранится на сервере и вредоносное действие начинает выполняться только в случае какого-либо действия пользователя, например, при нажатии на сформированную ссылку.

Напоследок дадим несколько советов веб-программистам и администраторам по предотвращению проведения XSS атак.

1. Запретите включение напрямую параметров $_GET, $_POST, $_COOKIE в генерируемую HTML-страницу. Рекомендуем использовать альтернативные функции и параметры.
2. Запретите загрузку произвольных файлов на сервер во избежание загрузки вредоносных скриптов. В частности, рекомендуется запретить загрузку на сервер файлов различных типов скриптов и HTML-страниц.
3. Все загруженные файлы храните в базе данных, а не в файловой системе. Структуры данных это не нарушает (даже наоборот), а вот возникающих проблем может быть при использовании этого подхода значительно меньше.
4. Расширяя функциональность своего сайта, помните, что при этом возрастает возможность проведения XSS атак, так что расширяйте ее с крайней осторожностью и все время тестируйте.

Есть такие люди – хакеры. С этим все понятно. Но есть еще и Российские хакеры. Вот о них мы сейчас и поговорим.

Весь компьютерный мир живет в опасении, что их взломают именно российские хакеры, от которых не действуют никакие защиты и прочие ухищрения. Их считают наиболее опасными киберпреступниками современности. Так ли это на самом деле, мы сейчас и посмотрим.

Даже в среде хакеров принято считать, что выходцы из России являются лучшими хакерами. Хотя при этом нужно учесть, что западные компьютерщики получили доступ к персональным компьютерам еще в 80-е годы, а наши – только в 90-е, и то в большинстве во второй их половине.

Причин к таким сверхспособностям российских хакеров существует несколько. Основная кроется в образовании. В институтах и университетах советского периода готовили действительно профессионалов. Но в лихие 90-е годы они неожиданно оказываются за бортом жизни, стали ненужными технические специалисты, а возникла необходимость во всяких менеджерах, брокерах и прочих барыгах.

Им ничего не оставалось делать, как выживать и приспосабливаться к изменившимся условиям жизни. И они весьма в этом преуспели.

Чтобы выжить и хоть немного содержать семьи, российские самородки-технари стали потихоньку взламывать различные западные банки, системы обмена и прочие связанные с финансами ресурсы.

А тут еще и Билл Гейтс выпустил русифицированную версию своей Windows-95. И стоила она около 300 долларов. Ну, российские хакеры и тут подсуетились и растиражировали ее по гораздо более низкой цене за копию. Билл Гейтс недосчитался миллионов и миллиардов.

Первым известным во всем мире российским хакером стал знаменитый Владимир Левин, который в 1994 году на диалапном модемном соединении смог обойти системы защиты американского Ситибанка и увести оттуда порядка 10 миллионов американских же долларов. Хотя его впоследствии и поймали и впаяли за это срок, но в мире это прозвучало: «российские хакеры». На них стали посматривать с опаской и явным уважением.

А хакеры тем временем продолжали свою деятельность и проникали в самые защищенные уголки правительственных и банковских учреждений, ставя спецслужбы в тупик.

Несколько позже двое российских хакеров из Челябинска умудрились заработать (именно заработать, а не украсть) некоторые суммы денег, взламывая различные финансовые учреждения в США, а затем сообщая о найденных уязвимостях администрации данных ресурсов и предлагая за вознаграждение «залатать» их. В итоге они стали известными консультантами ко компьютерной и сетевой безопасности.

Самый известный и масштабный рекорд в области онлайн-мошенничества тоже принадлежит хакерам из России. Они смогли вытянуть у скандинавской банковской группы около 8 миллионов шведских крон, получив доступ к счетам клиентов. Данный рекорд побить пока никто из западных и восточных хакеров не может.

Объектами наиболее выгодных хакерам атак хакеров являются различные банковские системы дистанционного облуживания и получение персональной информации пользователей в различных электронных платежных системах.

Если в начале 21 века российские хакеры атаковали в основном банковские системы западных стран, то к настоящему моменту все поменялось. Объектами атак вссе чаще становятся наши отечественные банковские системы. Причина этого является довольно простой: в последнее десятилетие стремительно развилась банковская система, появилось много видов электронных валют, вовсю применяются пластиковые банковские карты.

При этом как компании, так и физические лица оказались не готовы к защите своих данных от хакеров, а итогом всего этого явились многомиллионные убытки.

Причиной безграмотности является зачастую простое желание администрации различных компаний сэкономить денежные средства, при этом они не понимают, что могут в будущем лишиться гораздо большей суммы.

На одном из сайтов, посвященных хакерству, висит такой лозунг: «Нет сайтов, которые нельзя взломать!». С этим конечно трудно не согласиться, но это вовсе не значит, что свою конфиденциальную информацию не нужно защищать.

Так кто же они такие – пресловутые российские хакеры? Это обычные люди, в основном молодого возраста, которые не просто любят сидеть за компьютером, а любят изучать, как же все работает и каким образом можно все взять под свое управление.

Какие же средства противопоставить хакерам, чтобы уберечь свои личные данные и конфиденциальные данные различных организаций. Один из самых известных в мире специалистов по антивирусной защите – Евгений Касперский, основатель «Лаборатории Касперского» — выступает за жесткое регулирование Интернета и введение взамен анонимности некоего подобия интернет-паспорта.

Но сомнительно, что даже введение таких строгих мер приведет к тому, что хакеры исчезнут с лица земли. Рано или поздно найдутся способы обхода любой защиты.

Так что хакеры на данный момент все равно находятся на полшага впереди даже самых продвинутых спецслужб и всячески способствуют прогрессу, в особенности в области информационной безопасности.

Различные системы электронных валют становятся все более и более популярным средством совершать платежи и делать покупки. Помимо этого в основном при посредстве электронных кошельков осуществляются расчеты между фрилансерами.

Но находятся люди, которые задумываются, а нельзя ли как-нибудь поиметь немного денег в инвалюте или родных рублях просто так, ничего при этом не делая, чтобы деньги приходили за красивые глазки? Ответ – НЕТ!!!

В данной статье мы опишем наиболее популярные приемы, которые используют webmoney мошенники.

Итак, способ первый. «Волшебный» кошелек. На различных сайтах, форумах и в рассылках спама по электронной почте периодически появляется сообщение примерно следующего содержания (текст постоянно варьируется, но смысл остается тем же): «Я бывший работник и один из авторов проекта и всей системы WebMoney. Я поругался с руководством и меня выгнали. Теперь я хочу отомстить им с вашей помощью. Открою вам страшную тайну: в системе существует несколько «волшебных» кошельков, послав на которые небольшую сумму денег, через короткое время вы получите удвоенную (утроенную) сумму от посланной суммы. Номер этого кошелька следующий…». Ну, итог в данном случае один: Вы посылаете деньги, и они исчезают, хотя бывали случаи, когда мошенники для того, чтобы повысить свою популярность, в первое время исправно удваивали (утраивали) полученные суммы. Но в итоге все равно деньги доверчивых «вкладчиков» пропадали, а обогащались на этом одни мошенники.

Способ второй. Попрошайничество. Приходит письмо следующего содержания: «Я очень хороший (мой кот Тузик, собачка Бобик, канарейка Вася и прочее). Но злой папа (мама, брат, дядя, сосед и т.д.) грозится всех их, включая меня, убить (отдать кому-нибудь), если я не отдам им некоторую сумму в электронных деньгах. Мне не хватает совсем немного (пишется сколько). Помогите пожалуйста, вышлите посильную вам сумму на кошелек номер…». Результат конечно же будет таким, как и в первом случае, деньги попадут аферистам.

Способ №3. Взлом WebMoney.

Вам предлагают купить за те же WebMoney программу, которая посредством неизвестно чего взламывает систему WebMoney и позволяет владельцу данной чудо-программы обогатиться чуть ли не в считанные минуты. Результат сделки по данной программе однозначен: кидалово, да еще и благодарите, если вам вместо программы не пришлют какого-нибудь свежеиспеченного трояна, который даже еще и антивирусами не палится, который уведет у вас все ваши кровно заработанные электронные деньги.

Способ №4. 6 WMZ за пару минут.

Данный вид мошенничества состоит в том, что вам предлагается сыграть в определенном казино по определенной методике, обещая вам выигрыш в 6 WMZ.

Суть состоит в том, что вы конечно проиграете, но при этом не просто так, а мошенник получит с казино по партнерской программе половину проигранной вами суммы.

Способ №5. Ваш кошелек будет заблокирован в случае, если вы не вышлете нам определенную сумму.

Вам приходит письмо от якобы Администрации сервиса WebMoney. В нем они настоятельно предлагают Вам перечислить некоторую сумму на тот кошелек, номер которого они вам прислали. Если вы этого не сделаете, то они заблокируют ваш кошелек со всей накопленной на нем суммой.

Способ №6. Пирамида.

В данном случае вам предлагается обогатиться. Суть в следующем: вы посылаете на номера кошельков, которые указаны в письме, по определенной сумме денег, после чего вычеркиваете последний номер в списке и вписываете туда свой номер кошелька. После этого рассылаете данное письмо максимальному числу друзей, коллег и знакомых (те в свою очередь своим коллегам и знакомым) и ждете, когда на ваш кошелек начнут поступать баснословные прибыли.

Способ №7. Обмен валют.

Сообщения о данном виде «обогащения» периодически всплывают то на одном, то на другом форуме. Суть их такова: автор поста взахлеб рассказывает, как он нашел отличный обменник (дается ссылка), на котором можно обменять WMR на WMZ по выгодному курсу. Потом на обычном обменнике можно эти валюты обменять назад и наварить на этом немного денег. Как уверяет автор, дело практически беспроигрышное. Но как только доверчивый читатель данного поста пройдет по ссылке и начнет менять деньги, обмен прекращается на том месте, где он посылает деньги на обмен. В ответ, как вы понимаете, тишина.

Способ №8. Вклады под хороший процент.

Вам предлагается вложить в какой-либо проект энную сумму денег под хороший процент. Прикрывают все это дело работой на валютных биржах, Форексе, трейдерстве и прочем. Доверчивый пользователь вкладывает свои потом заработанные денюжки, а в ответ, как и во всех прошлых способах обмана – тишина.

Способ №9. Набор текстов различной тематики на дому.

Такие объявления встречаются либо на сайтах, либо на форумах, посвященных фрилансу. Заключается он в том, что некий издательский дом расширяет количество работающих с ним сотрудников и предлагает всем желающим поучаствовать в том, что нужно набирать тексты, которые будут вам присланы (они написаны от руки и отсканированы), на вашем домашнем компьютере и полученные результаты требуется отсылать в данный издательский дом. Но чтобы администрация издательского дома могла убедиться, что вы не мошенник и не кините их с работой, вам предлагается заплатить им некоторую сумму залога – обычно небольшая сумма – 100-150 рублей. Взамен вам обещаются золотые горы и прииски при них, но как только вы отошлете сумму залога, всякая переписка с вами прекращается.

Способ №10. Работа по перечислению денег.

Заключается данный способ обмана в следующем: каким-то образом (электронная почта, форумы или сайты с бесплатных хостингов) дается информация, что некая компания производит набор сотрудников. При этом обязанности данных сотрудников будут заключаться в переводе денег, полученных от компании, на указанные в инструкции кошельки. Для того, чтобы начать работать, соискателю вакансии требуется послать деньги на указанный компанией кошелек за якобы оформленный Персональный аттестат WebMoney (при этом дается перечень удобств, которые у вас будут при наличии Персонального аттестата). Вроде сумма и небольшая, но если ее послать на указанный кошелек, то ни аттестата, ни денег, ни компании-работодателя вы больше не увидите.

Вот в принципе и все наиболее распространенные способы обмана в Интернете при посредстве системы WebMoney.

Надеемся, что приведенная информация поможет вам избежать многих подводных камней в мире интернет-работы и бизнесе.

Удачи, и будьте бдительны, ведь Webmoney мошенники только и мечтают о ваших деньгах 🙂