книги хакеры / журнал хакер / специальные выпуски / Специальный выпуск 30_Optimized

hang

e

C

E

X

-

d

F

i

t

P

D

o

NOW!

r

BUY

to

w

m

w Click

o

w

.

.c

e PHILIPS НАСТУПАЕТ

p

df

g

n

-xcha

и для кого не секрет, что ком-

пания Creative, подавив всех

Íконкурентов (в том числе ку-

да более удачный на тот момент

Aureal Vortex) прочно обоснова-

лась на рынке звуковых карт и тем

самым стала очень похожа на

Microsoft. Но похоже, что теперь

ние DTS и Dolby Digital. Первыми

бор, конечно, не для новой звуко-

Creative придется поделиться пиро-

карту смогут оценить европейцы,

вой карты, а для более дешевых

гом, имя которому рынок :). Philips -

начало продаж намечается на май,

систем, зато второй комплект как

известный производитель электро-

примерная стоимость 100 евро.

нельзя лучше подходит для

ники и бытовой техники - выпустила

Но это не единственная новинка.

Aurilium.

внешнюю звуковую карту стандар-

Philips не стала ограничиваться вы-

Он включает себя 6 колонок (систе-

та 5.1, имя новинки PSC805 Aurilium.

пуском своей звуковой карты, и

ма 5.1), сабвуфер 100 Ватт и пять са-

Новинка, судя по всем своим харак-

вслед за ней выпустила два набора

теллитов по 20 Ватт.

теристикам, является прямым кон-

акустики - это Acoustic A3 Fusion

Новая акустика предположительно

курентом Extigy от Creative. Карта

310 è Acoustic A3 Fusion 610. Ïåð-

появится в то же время, что и зву-

работает с 24-битным звуком, подк-

вый комплект включает в себя 3 ко-

ковая карта и будет продаваться по

лючается к компьютеру с помощью

лонки системы 2.1. Заявленная

100 и 270 евро соответственно.

интерфейса USB 2.0. Новинка под-

мощность сабвуфера 20 Ватт, а

E

держивает аппаратное декодирова-

двух сателлитов - 6 Ватт. Этот на-

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
НОВОСТИ/HARD
				to	BUY
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

DELIVERY SPEZial

МУЛЬТИМЕДИЙНЫЕ НОУТБУКИ ОТ FUJITSU

		Серия безусловно интересная,
		хотя ее мультимедийность весь-
		ма относительна. Новинка вы-
		полнена в трехуровневом корпу-
		се на основе процессора Mobile
		Pentium 4-M с частотой 1,6 Ггц
		(чипсет i845MP). Ноутбуки обла-
		дают 15-дюмовым экраном и ви-
		деокартой на основе Radeon
		7500 c 8 Мб памяти (что-то мало-
		âàòî). Åùå åñòü CD-ROM, DVD èëè
		DVD/CD-RW привод, 3.5 диско-
		вод, винчестер от 20 до 40 Гб,
ебезизвестная компания		256 Мб памяти DDR266 расширя-
Fujitsu объявила о начале		емой до 512 Мб, двумя слотами
Íвыпуска мультимедийных		PC card Type II или одним Type III.
All-in-One моделей линейки		Все ноутбуки имеют полный на-
LifeBook C, основанных на про-		бор современных интерфейсов:
цессорах Mobile Intel Pentium 4		S-video выход, оптический циф-
Processor-M.		ровой SPDIF интерфейс, порт

IEEE 1394, четыре порта USB, модем, Ethernet. В мае планируется поставка версий с WiFi совместимым беспроводным LAN (IEEE 802.11b) интерфейсом.

LifeBook C Series поставляются с установленной Microsoft Windows XP Home Edition или Professional Edition, за всю эту роскошь хотят $2000. Не совсем понятно назначение новой линейки, тот кто хочет хорошую, мультимедийную машину, купит себе обычный настольный компьютер, причем сэкономив при этом половину этих денег.

E

НОВОЕ ПОКОЛЕНИЕ ВЫБИРАЕТ WESTERN DIGITAL

			фер. А вот о дизайне необходимо
			рассказать	подробнее.	Новый
			винчестер упакован в прозрач-
			ный, пластиковый корпус и имеет
			по бокам две лампы. Как видно на
			фотографии,	новинка выглядит
			весьма стильно, а в темноте (во
			время ночных бдений за компью-
			тером) зрелище будет		просто
			фантастическое. Можно спорить,
			что в нашей стране первыми по-
			купателями будут фанаты компь-
			ютерного моддинга. Вид отмоден-
			ного компьютера – зрелище само
estern Digital, постепенно		данных. На этот раз компания со-	по себе весьма впечатлительное,
восстанавливающая свой		общила о начале выпуска новой	а если рядом будет стоять такое
Wавторитет на Российском		версии внешних FireWire/USB 2.0	устройство... просто нет слов. В
рынке (раньше винчестеры этой		жестких дисков. Новинка отлича-	комплект поставки входят: 1,8 м
конторы безбожно сыпались и		ется от старой модели в основном	кабель FireWire, 1,8 м кабель USB
ломались), не забывает о своих		емкостью, она на 50 Гбайт боль-	2.0, адаптер питания и руковод-
пользователях и постоянно об-		ше (всего 250 Гбайт). Как и у	ство пользователя.
новляет свою продукцию новыми		предшественника, у нового вин-			E
линейками устройств хранения		честера восьмимегабайтный бу-

	05(30) 2003		page	009

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

НОВОСТИ/WEB

w Click

to

BUY

m

.co

http://www.till.ru/library

w.

w

p

g

df

n

e

-xcha

DELIVERY
SPEZial
	Каталог электронных библиотек
	екстовые ресурсы ру-
	íåòà	от Кузнецова".
	"ÒÑàéò	оправдывает
	свое название. На нем собраны
	ссылки практически на все извест-
	ные текстовые ресурсы – электрон-
	ные библиотеки, он-лайн версии
	газет и журналов, сайты изда-
	тельств, книжные магазины, поис-
	ковики по библиотекам и т.д. К то-
	му же все это хорошо структуриро-
	вано. Одних русскоязычных биб-
	лиотек представлено 302 штуки!
	Кроме библиотек русских текстов
	есть небольшое количество и ре-
	сурсов с английскими и францу-
	зскими текстами.
	Сам сайт существует уже около
	четырех лет, что для рунета не-
	мало, но при этом не особо из-
	вестен, так что будет полезен		E
	многим отчаявшимся...

http://www.soft-obzor.ru

Âсайт для тех, кому нужны как раз новые, а не старыепродолжение темы софта -

версии программ.

Soft-obzor.ru - сайт довольно молодой, но уже хорошо себя зарекомендовавший. Здесь в виде довольно частых выпусков-обозре- нийрассматриваютсяновыеверсии программ, приводятся прямые ссылки на программы, поддерживаемые операционки, размер, интерфейсидругое.Выпускивнушительных размеров и со скриншотами.

Кроме выпусков на сайте есть и постоянные разделы - статьи о программах, драйвера, каталог

софта, обзоры игр.

E

				hang		e
			C				E
		X
		-						d
		F							t
		D							i
									r
	P					NOW!			o
					BUY
				to
http://www.translation.langenberg.com	w Click							.co		m
		w.
	w
		p					g
			df			n		e
				-x cha

тот сайт переводит всегда. И не Ýтолькоснемецкого.Единственная его "проблема" - он сам англоязычный. На сайте собраны формы с лучших мировых он-лайн переводчиков. С русского на кучу языков и на русский - легко! Французский, английский, итальянский, португальский, испанский... еще с десяток! Хотя качество перевода с русского не блещет. В общем, в закладки. :) Кроме того, есть полезн ая штучка - Identify Language. Всем понятно? Тебе пришло письмо на тарабарском языке, ты вводишь его в форму, и тебе гово-

рят,чтоэтозаязык. Естьнесколькоформочекпопереводуцелых web-страниц. А вводишь только URL! Длязнатоковмировыхсайтов-переводчи- ковбудетинтересно,чтоздесьестьформы отFreetranslation.com,отWorldLingo.com,от

"Был у нас толмач немчин, ему переводить - а он лыка не вяжет!" (с)

TranslationExperts,Google,Altavistaидругих. И это только один раздел сайта! Там же можно найти подобный раздел с картами городов, стран и массу другой инфы. Но,конечно,по-английски.

E

http://www.dosgames.ru

меня ностальгия по старым
играм... Если для тебя слова
ÓDoom2, Civilization, Prince of
Persia, Wolfenstein 3D тоже много
значат и тебе хочется поиграть в ста-
рые добрые игры - этот сайт для тебя.
Многие из них уже давно стали ле-
гендами, а по некоторым и книги на-
писаны! Да-да, всем срочно читать
"Принц госплана" Пелевина ;-).
На Dosgames.ru можно легко
		Ностальгия по старым играм...
скачать все эти хиты прошлого
столетия ;-).
Игры рассортированы по жанрам,	лайновых игр, чит-кодов к играм,
ведется Top10 - список самых попу-	обои по мотивам известных игр и
лярных игр - и список новых поступ-	многое другое.
лений. Для сравнительно большо-	Можно подписаться на рассылку и
го размера игр выложена для ска-	еженедельно получать новости о
чивания демо-версия игры.	свежепоступивших играх.
Еще на сайте выложена куча он-		E

http://www.aimatrix.nm.ru

Ñсборником статей (как практи- ческих, так и теоретических)айт в основном является

на разные темы. Основные разделы - компьютерные темы, астрономия, бытовые темы, искусственный интеллект, нейронные микросхемы.

Все эти разделы представлены очень широко, новые статьи появляются часто, астрономические статьи, в частности, написаны так, что будут интересны как интересующимся, так и всем "для общего развития". Здесь обсуждается много интересных спорных вопросов - о солнечной системе, о возникновении жизни на земле, о тунгусском метеорите, отдельные статьи о всех планетах солнечной системы.

В разделе компьютерных статей из

Искусственный интеллект в домашних условиях

последних можно отметить практи- ческие руководства по программированию на Delphi, статьи об алгоритмах сжатия видео, о создании игр, "советы и подсказки по работе

ñ Windows".

E

	page	010		05(30) 2003

			hang		e
		C				E
	X
	-						d
	F							t
	D							i
								r
P					NOW!			o
				BUY
			to
w Click								m
	w.							.chttp://www.oldversion.como
w
	p					g
		df			n		e
			-xcha

Íобо всем. Никогда не сталкивался с ситуацией,азвание сайта говорит

когда новая супер-пупер-версия программы отказывается работать, а старая с сервера разработчика давно исчезла? Но даже если нет таких проблем, иногда неплохо и поприкалываться ;-). Покажи другу на своем компе WinAMP версии 0.20 весом... в 200 килобайт. А старую добрую 98-ую "аську" не хочется поюзать? Правда, говорят, ICQ-шни- ки уже очень не любят таких... :(. В общем, Oldversion.com - своего рода антикварная лавка, в которой можно найти привычные нам программы, но начиная с самых первых версий!

Кроме содержания сайт и оформлен очень стильно и интересно.

Старый софт лучше новых двух

Линки на программы содержатся в воображаемом "окне" Program Manager из Windows 3.11. Помнящие былые времена меня поймут. Сам сайт англоязычный, расположен на буржуйском сервере, так что проги качаются очень хо-

рошо и быстро.

E

http://www.aferizm.ru

òîò ñàéò äëÿ òåõ, êòî "Ý не хочет оказаться "лохом"." Так себя величают сами авторы сайта. В

общем, они правы. Сайт посвящен всяческой подробной информации о обманах, подделках, криминале.

Насайтесобранаинформацияоспособах обмана при покупке-продаже жилья, автомобиля, обмене валюты, аренде квартир, найме на работу и трудоустройстве за рубежом.

Тут можно узнать, как отличить поддельные доллары, фальшивое золото. Интересная информация с реальными фактами о финансовых, виртуальных и других "пирамидах", о аферах с пластиковыми картами и целителях-самозванцах.

Ìû íå ëîõè, ëîõè íå ìû!

Плюс еще масса статей и ссылок на статьи об аферах, преступлениях, "чудесах" и рассказы о жуликах прошлых лет и веков.

Сайт часто обновляется и удобен

при просмотре.

E

http://www.dimonka.de

	есмотря на явный немец-
	кий адрес сайта, он рус-
	Íскоязычен и будет инте-
	ресен мно-о-огим читателям.
	"Клуб ословодов-любителей" -
	так именует его владелец. Мно-
	гие уже поняли почему, для ос-
	тальных - поясняю. На сайте
	приводятся ссылки на музыку,
	фильмы, игры и тому подобное,
	доступные для скачивания че-
		Клуб ословодов-любителей p2p-шных сетей
	ðåç p2p-ñåòè òèïà Gnutella. Ïîì-
	нишь, как называлась одна из
	первых программ для этих се-	переведенные фильмы и вполне
	тей? Правильно, eDonkey. В	может соревноваться с извест-
	простонародии - "осел".	íûì Sharereactor.ru.
	Сайт обновляется каждый день,	E
	содержит уйму ссылок на уже

				hang		e
			C				E
		X
		-						d
		F							t
		D							i
									r
	P					NOW!			o
	НОВОСТИ/WEB
				to	BUY
	w Click									m
http://www.shelek.com/club								.co
		w.
	w
		p					g
			df			n		e
				-x cha

		SPEZial
		DELIVERY
	"Весельчак У" - портал программистов

Îщийся сайт для програм- мистов. На сайте - массатличный, часто обновляю-

разных статей по программированию, несколько очень посещаемых форумов, примеры программ, обзоры софта, новости из мира программинга и многое другое.

Из недавно появившихся - очень интересный практический цикл статей по написанию драйверов. В рамках портала существует специальная баннерная сеть, показывающая баннеры только компьютерных сайтов. Сайт постоянно развивается, есть вакансии авторов как старых разделов, так и для только создающихся.

Для владельцев компьютерных сайтов - хостинг по сни-

женным ценам.

E

http://ww2avia.by.ru

Первым делом мы испортим самолеты...

Îвторой мировой войны. Представлена краткая èí-тличный сайт об авиации

формация о самолетах Германии,

СССР, США, Великобритании и Японии, принятых на вооружение в годы войны. Технические характеристики, история создания и проектирования, небольшая фотогалерея - все это здесь.

Кромеэтого,насайтеестьглоссарий с объяснением основных терминов. Сайт в стадии развития, но много любопытного нашел даже я, абсолютно не увлекающийся авиацией.

Исторические материалы...

E

	05(30) 2003		page	011

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

НОВОСТИ/HACKING TOOLS

w Click

to

BUY

m

w

Èìÿ: Socks Chains 3.6 (build 113)

w

o

.

.c

p

d

x h

e

Платформа: win (âñå)

g

f-

c an

Политика: Shareware

Весит: 2100 Êá

Âåá: http://www.ufasoft.com/socks

мхо, лучшая программа в сво-

ем роде. Тем более, что лекар-

DELIVERY

Èство к ней можно взять в Сети

без напрягов. Если ты еще не понял,

о каком виде софта идет речь, попу-

лярно объясняю - работа с прокси-

SPEZial

серверами.Навернякатычасточитал

внашемжурналеиИнтернете,чтоха-

кер для заметания следов юзал це-

почку проксей и т.д. А вот с помощью

чего эту самую цепочку построить?

Можно просто в настройках сетевой

проги (браузера, аськи etc) выста-

витьадреспроксика,новедьвеголо-

гах будет лежать твой реальный IP.

Но вот спасение! Socks Chains умеет

строить цепочки проксей практичес-

ки без ограничении по количеству

серверов, правда чем больше, тем

скоростьниже,нозаанонимностьна-

до платить. Socks Chains работает с

SOCKS 4 и 5, а также с одним TCP-со-

					hang		e
				C				E
		X
	-								d
	F									t
	D									i
										r
P							NOW!			o
						BUY
					to
w Click											m
w
										o
	w
	.								.c
		p						g
				df			n		e
					-x cha

единением, например с HTTP, IRC и	манда отдается на шелл с одного ад-
т.д. А вот для Ftp нужно два соедине-	реса, но проходя разные цепочки
ния, так что тут ждет облом :(. Но за-	проксей, вычислить тебя просто не-
бей на FTP, ибо в софт заложена неп-	возможно. Вот тебе и универсальная
лохая возможность смены цепочки	динамическая маскировка :).
развэнцатьсекунд.Когдакаждаяко-	E

Èìÿ: Cain and Abel 2.5		:). Сниффер действительно очень
Платформа: win (âñå)
Политика: Freeware		качественный – он умеет перехва-
Весит: 2100 Êá		тывать пароли, spoof`ить не толь-
Âåá: http://www.oxid.it/		ко IP-адреса, но и MAC с DNS. Так-
		же имеется Cracker, так что дело
чень хорошая утилита из		только во времени и хорошем
разряда "сниффер, а также		словаре. Снова шампунь и опо-
Îвсе в одном" :). Прога		ласкиватель в одном флаконе :).
действительно очень стоящая,		Кроме всего вышеперечисленно-
показывает, например, все plain		го Cain and Abel умеет распозна-
text`овые логины и пароли для		вать множество моделей маршру-
ресурсов, на которых ты зареген.		тизаторов и роутеров и даже (!!!)
Впрочем, достать их из конфигов		менять некоторые настройки уда-
Эксплорера несложно, но сама		ленно. Как он это делает – загад-
возможность сделать это не отхо-		ка, но видимо авторы проги неп-
дя от кассы выглядит соблазни-		лохо шарят в дырках вшитого в
тельной. Сам сниффер будет па-		железяки ПО. Ну и в качестве бо-
хать только после установки		нуса простенький Traceroute и
WinpCap (http://winpcap.polito.it)		возможность делать дамп LSA за-
версии 2.3 и выше, но тут не стоит		писей :). Не забывай, что все это
париться со скачиванием, так как		чудо еще и абсолютно 4free. Хотя
библиотека идет в дистрибутиве.		весит дай боже...
Редко такое бывает, но в этом		E
случае разработчики не дремлют

Èìÿ: SQLTools 1.0

Платформа: win (âñå) Политика: Freeware Весит: 84 Êá

Âåá: http://www.xfocus.org, http://www.opengram.com

Ðутилит для SQL-хакера. Распространяется, есте-еальный набор важных

ственно, бесплатно :). В архив входит пять тулз, два коротеньких примера словарей и файл помощи. Первая утилита это SQL Ping, предназначена для поиска и определения версии SQL сервака на удаленном компьютере. SQL Scanner нужен, если тебе просто надо найти сервак, вводи диапазон адресов и жди. SQL Cracker предназначен для перебора паролей для SQL-доступа. Опять же бегом на поиски большого словаря. Последние две тулзы - скомпиленные версии нашумевших эксплоитов. Первый - SQL Dos Storm 2 для реализации DoS-атаки, следствием которой будет уход в даун SQLсервера, и второй - тоже роняет сервак, но уже переполнением буфера. Такие пироги.

E

	page	012		05(30) 2003

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

Èìÿ:o

K9 Robota 1.0

w

.

.c

p

d

x h

e

Платформа: win (âñå)

f-

g

c an

Политика: Freeware

Весит: 197 Êá

Âåá: http://www.robota.net

еплохая программа для пас-

сивного определения удален-

Íной операционной системы.

То есть если тебе позарез надо уз-

нать, что за ось стоит у того ламера

(на том серваке), то совсем необяза-

но сообщит, что мы, к примеру, имеем

тельнохитровытраханномастурбиро-

вать в окошке шелла. Для более

дело с линуксом :). Пальцем в небо,

продвинутого шпионажа использует-

конечно, но лучше, чем ничего :). Зато

ся технология распознавания "отпе-

про винду расскажет много – если ув-

чатков".Деловтом,чтоукаждойОси

лекаешься нюкингом, то проблема

есть свое определенное значение па-

выбора (IGMP или SMB) стоять боль-

раметров пакета (TTL, размер окна).

ше не будет. Robota весит децл, фри-

Так вот, Robota посылает тестовый

варна, так что можешь спокойно ка-

запрос и по обратным пакетам смот-

чать для самостоятельного тестиро-

рит, что же там такое стоит. Распозна-

вания и оценки.

ет не очень много систем, но уверен-

E

				hang			e
			C					E
		X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
НОВОСТИ/HACKING TOOLS
	w Click			to	BUY
											m
Èìÿ: Internet Maniac 1.2b	w								.c
		w.
		p						g		o
Платформа: win (âñå)			df				n		e
				-x cha
Политика: Freeware (за давностию лет)
Весит: 54 Êá
Âåá: www.yandex.ru/
yandsearch?text=internet+maniac
						DELIVERY SPEZial

					е могу назвать упоминание
					об этой софтине полноцен-
					Íной новостью, но все же :).
					Забывать старый добрый софт ни-
					коим образом нельзя, особенно
					если он дает фору новому :). Од-
				ним из таких желанных раритетов
Èìÿ: Zebedee Secure Tunnel 2.4.1					и является многострадальный IM.
Платформа: win (âñå), unix/linux					Нельзя сказать, что он делает
Политика: Freeware				что-то особенное - просто с его по-
Весит: 2100 Êá					мощью можно автоматизировать
Âåá: http://www.winton.org.uk/zebedee/					все функции, для которых надо
					либо юзать Start->Run->cmd, либо
рога для создания защи-					грузить какого-нибудь гиганта all-
щенного TCP или UPD со-					in-one. Он умеет пинговать, трейс-
Ïединения между двумя					рутить, ресолвить IP, фингерить,
машинами. Работает из команд-					хуизить и сканить :). Помимо всего
ной строки, но грамотный хелп					прочего в нем есть клиентик для
сразу ответит на все вопросы.				проверки РОР3 почтовых аккаун-
Огромный плюс - это возмож-					тов, сверялка времени и пара con-
ность работы под виндой и ник-					nect-listen. Возвращай брови со
сами, открытый код и отсутствие					лба на законное место - connect
багов (по крайней мере таковых					позволяет послать кому угодно
замечено не было). В качестве		предлагает слить с официаль-			что угодно в любой порт (можно
эксперимента было установлено					юзать как шелл), а listen наоборот
ftp-соединение между двумя ма-		ной паги исходники и намутить			ждет данных в порте :). Плюс ко
шинами из одной локалки, а за-		какую-нибудь свою примочку.		всему перечисленному, через ме-
тем все это послушалось сниф-		Так что дерзай! Это, конечно, не			нюху доступны еще несколько
фером. Результат впечатляет.		навороченный SSL, но альтерна-			справочных пунктов - IP, MAC,
Ничего разумного сниффер не		тива вполне достойная. Тем бо-			WinSock и текущие соединения
выдал :). Еще в плюсы сразу же		лее, что SSL придется прикручи-			локального компа, а также чекер
записываем то, что прога замет-		вать к веб-серверу потипу Апа-			скорости и генератор UDP-паке-
но не влияет на скорость коннек-		ча, а этот абсолютно автономен.			тов. И все это удовольствие в
та и при выставлении нужных		Так что если тебе надо перека-		удобном интерфейсе весит всего
параметров еще и сжимает дан-		чать по сети офигенную эксклю-		100 кило (50 в архиве). Так что
ные перед передачей по защи-		зивную порнушку, юзай Зебедай.		закрываем глаза на то, что проге
щенному туннелю. Настроек			E	уже 4 года и качаем :). Не помеша-
Zebedee имеет очень много, но					åò â Quick Launch'e...
если тебе и этого мало, то автор					E

	05(30) 2003		page	013

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

RTFM

Àббревиатура RTFM расшифровывается

как Read The Following Materials, хотя, нам, конеч- но, ближе Read The Fucking Manual. В этой рубрике собраны все статьи с теорети- ческой инфой по теме номера. Внимание! Для комфортного чтения необходимо освободить 50 Kb кэш-памяти первого уровня Центрального Мозгового Устройства.

Content:

Веб под замком	14
Прикроем дыры тела	20

ВЕБ ПОД ЗАМКОМ

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

ТЕХНОЛОГИИ СОЗДАНИЯ ЗАЩИЩЕННЫХ СОЕДИНЕНИЙ

Kirion ([e-mail])

Ну что, создал уже свой мегамодный портал? Все просто ломится от скриптов, флэша и прочего PHP :). А после предыдущего номера ты наверняка решил создать левый Интернет-магазин :).

Âозможно, ты также решишь хранить на нем важную инфу или использо-

вать его для секретной переписки. И тут во весь рост встает проблема безопасности...

ЛАЗУТЧИК СО СНИФФЕРОМ

Не секрет, что безопасности в протоколах TCP/IP нет. Что FTP-соединение, что HTTP-соединение может быть перехвачено, прочитано и искажено. Конечно, если это Джон Смит, заходящий по паролю на порносайт, то особой опасности перехват его пароля не несет (ну подумаешь, заплатит еще раз :)). А вот если это номер кредитки Джона Смита, по которой он регистрировался на этом сайте, - это уже интереснее. В моей локальной сети огромное коли- чество умников, вечно сниффающих траффик - попрощайтесь с мылом, аськой, ником на ирке, сайтом. Еще не страшно? Конфиденциальность и секретность нужны всем, особенно в свете всеобщей борьбы с терроризмом и небывалой активизации спецслужб в плане контроля над личной жизнью граждан :). Над вопросом обеспечения конфиденциальности данных при переда- че по сети крупные компании задумались достаточно давно. Технологии для шифрования были - надо было приспособить их для Интернета. Результатом работы стал официальный протокол Secure HTTP (RFC 2660), однако он не получил особой распространенности. А все потому, что компания Netscape разработала протокол SSL (Secure Socket Layers), который и получил наибольшую популярность и распространение (что неудивительно, если вспомнить, какой браузер был лидером долгие годы :)). Популярность SSL также определила его независимость от платформы и программной реализации. Протокол был разработан на принципах переносимости и не зависит от приложений, в составе которых он используется. Кроме того, хотя сам протокол и непрозра- чен для приложений, поверх него могут

накладываться и другие протоколы, например для увеличения степени защиты или для применения SSL в другой области. То есть если в проге нет поддержки SSL - ни фига у тебя работать не будет. А если поддержка есть - то ты можешь забыть, что SSL вообще существует, и использовать любые протоколы прикладного уровня (модель ISO/OSI, куда же мы без нее), например - проверять почту, лазить по FTP, смотреть чужие ресурсы через NetBios, ну и естественно - работать с HTTP. Во всех этих протоколах можно применять SSL для шифрования данных. Можно еще и дополнительную защиту прикрутить - протокол это позволяет. Если хочешь - можешь сравнить две реализации безопасного протокола: про Secure HTTP можно почитать на www.faqs.org/rfcs/rfc2660.html,

à ïðî SSL íà home.netscape.com/eng/ ssl3/draft302.txt. Знание технического английского приветствуется (можешь перевести и отослать мне - получишь приз :)).

БОЖЕСТВЕННАЯ АСИММЕТРИЯ

Криптография существует давно. За долгие годы было разработано множество систем шифрования, однако все они имели один существенный недостаток: они были симметричные. То есть для шифровки и расшифровки информации используется один и тот же ключ. При передаче данных мы сталкиваемся с двумя проблемами: во-первых, нужно передать ключ всем нужным участникам, а без надежного канала это небезопасно, а во-вторых, нам понадобится большое количество ключей для разных каналов (ты ведь не собираешься выделять один и тот же ключ для своей девушки Оли и своей другой девушки Маши :)). Проблемы были решены с появлением технологии асимметричного шифрования (появилась она всего-то лет 20 назад). Принцип асимметричного шифрования в том, что существует пара ключей: открытый и закрытый. Зашифровав информацию

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Российский центр сертификации от РБК

открытым ключом, ты можешь расшифровать ее только закрытым, причем по открытому ключу невозможно (или очень и очень сложно) узнать закрытый ключ.

Одним из первых практически применимых алгоритмов стал алгоритм RSA (назван по инициалам создателей: R.Rivest, A.Shamir, L.Adleman). Математи- ческий принцип на самом деле несложен, но чтобы не загружать твои бедные компьютерные мозги еще и формулами :), попытаюсь объяснить «на пальцах». Имеются два числа: наш открытый и закрытый ключи. Они математически связаны с некоторым третьим числом, однако никак не связаны между собой. Открытый ключ доступен любому человеку, его можно разослать всем друзьям, повесить на паге и т.д. - с его помощью будет шифроваться инфа. Над информацией производится необратимая математическая операция с помощью открытого ключа и третьего числа (необратимая - это значит по открытому ключу, третьему числу и результату нельзя будет узнать исходные данные). Обратная же операция возможна только с использованием математической зависимости между закрытым ключом и третьим числом. Еще не уснул? Если все же горишь математическим любопытством - загляни на врезку, там все объяснено в формулах.

Но не все так гладко. Есть чисто техническая проблема: операция шифрования большого количества информации по асимметрич- ным алгоритмам требует значи- тельных вычислительных мощностей. Процесс расшифровки тоже занимает довольно много времени. В принципе, это не

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

RTFM/ВЕБ ПОД ЗАМКОМ

w Click

to

BUY

m

w

w

o

n(=p*q). Выбираем число e (e<n),

.

-x cha

.c

p

g

df

n

e

такое, что НОД(e,(p-1)(q-1))=1, то

есть у числа e и числа (p-1)(q-1) не

должно быть общих делителей

(НОД - наибольший общий дели-

тель). Решаем в целых числах

уравнение e*d+(p-1)(q-1)*y=1.

Здесь неизвестными являются

переменные d и y. Два числа (e,n)

- это открытый ключ, размещай,

ТУЛЗЫ-ВЕБ

где хочешь. Число d - это и есть

закрытый ключ, который позво-

лит расшифровывать все, что за-

шифровано с помощью пары чи-

сел (e,n). Смотри на скрин с фор-

мулами и читай дальше. При

шифровании инфа разделяется

на блоки, к каждому из которых

применяется операция из пункта

(1), где m - инфа, а с - шифрован-

Есть чисто

ная инфа. Операция возведения

техническая

проблема:

в степень по модулю простого

операция ши-

числа является необратимой ма-

фрования

большого ко-

тематической задачей. Обратная

личества ин-

ей задача носит название «лога-

формации по

очень страшно, но мы-то серфим

рифмирование в конечном поле»

асимметрич-

ным алгорит-

в Инете. Нам же не хочется си-

и является значительно более

мам требует

деть на выделенке и иметь ско-

сложной. Даже если некто знает

значитель-

ных вычисли-

рость, как на поганом момеде в

числа e и n, то по c прочесть ис-

тельных

районе с шаговой АТС :). Реше-

ходные сообщения m он не мо-

мощностей.

ние нашлось простое и элегант-

жет никак, кроме как полным пе-

ное: уже давно есть симметрич-

ребором m. Все бы было совсем

ные шифры, которые не предс-

плохо, если бы не теорема Эйле-

тавляют сложности для совре-

ра, частный случай которой утве-

менных компов. Каждый раз при

рждает, что если число n предс-

установлении соединения гене-

тавимо в виде двух простых чи-

рируется симметричный ключ

сел p и q, то для любого x имеет

(ключ сеанса), которым непосред-

место равенство (1). Для дешиф-

ственно шифруется инфа. Он, в

ровки информации воспользуем-

свою очередь, шифруется откры-

ся этой формулой. Возведем обе

тым ключом и передается по ка-

ее части в степень (-y). Получит-

налу связи. Так еще и дополни-

ся равенство (2). Теперь умно-

тельную защиту имеем в виде

жим обе ее части на x: результат

ключа сеанса, который каждый

смотри под пунктом (3). А пос-

раз новый.

кольку у нас есть равенство

e*d+(p-1)(q-1)*y=1, òî åñòü e*d=(-

ПРИМЕРНЫЙ АЛГОРИТМ ШИФ-

y)(p-1)(q-1)+1. Отсюда следует ра-

РОВАНИЯ RSA

венство (5). Применим это к на-

Конечно,

Берем два простых числа p и q.

шему шифрованному сообще-

åñëè ýòî

Äæîí Ñìèò,

Вычисляем их произведение

заходящий по

паролю на

порносайт, то

особой опас-

ности перех-

âàò åãî ïàðî-

ля не несет

(ну подума-

ешь, запла-

òèò åùå ðàç

:)).

Сайт VerSign - крупнейшего центра сертификации

	page
05(30) 2003		015

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w

Click

m

w

w

o

.

.c

p

g

df

n

e

-xcha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

корневые центры сертификации

Click

to

m

w

o

w

w

.

.c

и далее по ступенькам к личным

-x cha

p

g

df

n

e

сертификатам. Корневой центр

подписывает свой сертификат

сам, а все последующие - у пре-

дыдущих центров. Сертификаты

выдаются на определенное вре-

мя (как правило, на год). Кроме

того, сертификационные центры

должны вести список отозванных

сертификатов, недействительных

сертификатов, сертификатов, ли-

шившихся доверия. Естественно,

они делают это не бесплатно. Так

сертификат на год у РосБизнес-

Хранилище сертификатов в IE

Консалтинга (как филиала

Thawte) стоит около 200 баков. А

нию: получим пункт (6). Все лег-

вот сертификат у VeriSign (пожа-

ко, правда :)?

луй, самая известная компания в

данном секторе) стоит под 1000.

ЧЕЛ, ПОДПИШИ МНЕ

За что такие деньги? А за дове-

СЕРТИФИКАТ!

рие! Представь, что ты задался

Однако есть и еще одна пробле-

целью найти телефон Дани Ше-

ма, и связана она уже не с техни-

повалова. Ты можешь пойти на

кой, а с человеческим фактором.

рынок и купить телефонную базу

Итак, тебе нужно связаться с

России, а можешь довериться со-

важным человеком, ты находишь

седке тете Клаве, которая обяза-

в сети его открытый ключ, шиф-

тельно сообщит его тебе вместе с

руешь сообщение, посылаешь...

кучей сплетен и свежих новостей

Стоп! А откуда ты знаешь, что

:). База стоит денег, а тетя Клава

открытый ключ именно его? А

даст тебе инфу бесплатно, толь-

вдруг это злобный недруг, кото-

ко вот если ты дозвонишься не

рый перехватил чужой мыльник и

Дане, а в приемную ФСБ - я не

теперь постит везде свой откры-

виноват :). Так какому сертифи-

тый ключ :). Проблема однознач-

кату ты будешь больше дове-

ного определения соответствия

рять: подписанному уважаемой

Шифрование RSA в формулах

человека (группы людей, организации, мыльника, сайта и т.д.) и его открытого ключа - это довольно серьезная проблема. Решилась она с введением сертификатов и сертификационных центров (Certificate Authority, CA).

Сертификат устанавливает связь между открытым ключом и реквизитами его владельца, как то: адресом электронной почты, названием организации (именем), географическим местоположением, а также некоторыми параметрами самого ключа (алгоритм шифрования, ограничения, тип ключа) и сертификата. Каждый сертификат подписывается уполномоченной организацией - CA. Существует иерархия CA - наверху находятся так называемые

мировой организацией или безымянным админом в соседней конторе?

Сертификаты можно применять не только для защиты сайта, но и для защиты мыла (с помощью надстройки secure MIME), для защиты исходников (если ты программер) и, что важно, для цифровой подписи. Цифровая подпись - вещь нужная: при передаче информации по сети получатель (да и сам отправитель) должен быть уверен, что чел, от которого пришла инфа, - тот, за кого он себя выдает, и что информация не была искажена (умышленно или случайно). Первая проблема решается асимметричным шифрованием наоборот, то есть сообщение шифруется закрытым клю-

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

Click

÷îì.m

Соответственно, расшифро-

w

w

o

w

.

.c

-xcha

p

вать его можно только открытым

g

df

n

e

ключом, а он прописан в сертификате вместе с реквизитами владельца.

Вторая же проблема решается тем, что шифруется не само сообщение (еще не забыл, что это трудоемкий процесс?), а хэшфункция от этого сообщения. Что такое хэш-функция? Это функция, обладающая бесконеч- ной областью определения, но конечной областью значения и одной интересной особенностью: даже при небольшом изменении входного значения значение функции меняется радикально. Основное назначение хэш-функ- ций в криптографии - это генерация ключей на основе коротких и запоминаемых паролей (слабо запомнить 16 шестнадцатерич- ных разрядов?). Применительно к цифровой подписи это означа- ет, что если содержание сообщения изменится на пару байт, то изменится и хэш-функция от текста, причем кардинально. Сообщение уже невозможно будет расшифровать, а значит - невозможно подделать. Убедился в

Один из корневых сертификатов VeriSign

том, что цифровая подпись рульная вещь? Только не спеши бежать ее получать. Благодаря нашей Государственной Думе использование цифровой подписи разрешается только государственным органам и корпорациям, да и то с разрешения ФАПСИ (ну, теперь, вероятно, ФСБ). При- чем выдать тебе ее должен центр, сертифицированный тоже ФАПСИ. А алгоритмы шифрования несовместимы с европейскими. И почему у нас все через задницу :(?

SSL В ДЕЙСТВИИ

Вернемся к самому SSL. Что же происходит, когда ты видишь символ замка в углу своего ослика? Ну, во-первых, ты коннектишься к 443 порту (стандартно) сервака, а URL принимает вид https://. Если сертификат сервера не относится к числу доверенных (а таких великое множество

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

RTFM/ВЕБ ПОД ЗАМКОМ

- доверенными являются только

Click

to

BUY

m

w

w

o

w

.

.c

сертификаты от известных CA;

-x cha

p

g

df

n

e

загляни в «свойства обозревате-

ля > содержание > сертифика-

ты»), то браузер выдаст предуп-

реждение и предложит устано-

вить сертификат в хранилище,

чтобы в дальнейшем не беспоко-

ить людей по мелочам. Тут, кста-

ти, стоит отметить, что 128-раз-

рядный ключ поддерживается

ТУЛЗЫ-ВЕБ

только в IE для США и Канады,

так как по законам США запре-

щен экспорт сложных криптосис-

тем. Остальным же придется до-

вольствоваться 40-разрядными

ключами, которые вполне реаль-

но расшифровать, причем не

прибегая к сильно дорогостоя-

щей технике. Привет всем поль-

зователям лицензионных рус-

ративной сети на основе Win2k с

ских виндов :). После установки

Active Directory, то лучше выб-

соединения происходит так на-

рать продукт от мелкомягких. Ес-

зываемый SSL Handshaking: сер-

ли же ты будешь пользоваться

вер и браузер посылают друг

Апачем (все равно, под какую

другу приветствия, содержащие

платформу) - то выбирай

в себе необходимую информа-

OpenSSL. MCS 2.0 входит в пос-

Благодаря

цию для установления безопас-

тавку Win2k advanced server. Ва-

Äóìå èñ-

пользование

ного соединения - вроде версии

риантов установки много. Нумбер

цифровой

протокола, идентификатора сес-

ван: лезем в «установка и удале-

подписи раз-

решается

сии, способа шифрования, мето-

ние программ > компоненты

только госу-

да компрессии и тому подобных

Windows». Там выбираем «Служ-

дарственным

вещей. Далее генерируется ключ

органам и

корпорациям,

сессии, шифруется открытым

äà è òî ñ

ключом и отсылается серверу.

разрешения

ФАПСИ.

Все, безопасное соединение ус-

тановлено. Кроме того, сервер

может потребовать от клиента

его собственный сертификат, та-

кая модель безопасности тоже

используется, но в основном в

корпоративных сетях: делать на

всех пользователей сертифика-

ты - это ни времени, ни денег не

напасешься.

СЕРТИФИКАЦИЯ И УСТАНОВКА

Ну а теперь, когда ты оконча- тельно созрел к установке SSL на свой проект, потрем о процедуре получения сертификата. Будешь ли ты подписывать его сам или решишь раскошелиться на подпись в CA - это неважно. Сгенерировать собственный сертификат тебе придется либо с помощью OpenSSL, либо с помощью Microsoft Cerificate Services. Если ты используешь для сайта ISS или тебе нужен сертификат для работы в корпо-

Импортируем сертификат

Управление сертификатами в одной консоли

ба сертификации». Если в сети имеется Active directory, то будет предложено создать сертификат для работы в корпоративной сети (подозреваю, что тебе это на фиг не нужно :)). В любом случае нас будут интересовать только два последних пункта: создание корневого сертификата и создание подчиненного сертификата. Если решил подписывать все сам - выбирай первый пункт. Далее внимательно заполняй все поля формы и сохрани сертификат в файл - еще пригодится. После всей процедуры на компе стартует MSC, и ты сможешь сам подписывать сертификаты другим людям. Можешь даже брать с них деньги :). А можешь легко прикрутить его к работающему на том же компе IIS. Способ нумбер ту: если в сети уже есть работающая служба MSC, то ты можешь обратиться к ней через оснастку «Сертификаты» (пуск > выпол-

Итак, тебе нужно связаться с важным человеком, ты находишь в сети его открытый ключ, шифруешь сообщение, посылаешь...

Стоп! А откуда ты знаешь, что открытый ключ именно его?

	page
05(30) 2003		017

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

RTFM/ВЕБ ПОД ЗАМКОМ

to

BUY

Click

m

íèòü > certmgr.msc) èëè ñ ïî-

w

o

w

w

.

.c

-xcha

мощью браузера, введя что-то

p

g

df

n

e

вроде http://имя сервера/CertSrv.

Заполняешь анкету, сохраняешь

сертификат.

ВЕБ-ТУЛЗЫ

Сейчас почти у всех платных хостингов есть поддержка SSL.

С мелкомягкими закончили, перейдем к OpenSSL. Эту прогу можно скачать в исходниках с www.openssl.org. Естественно, она предназначена для юниха, однако на сайте есть инструкции, что надо поменять в исходниках, чтобы они откомпилились под виндами. OpenSSL - прога для командной строки. Поддерживает SSL 3.0 и кучу алгоритмов шифрования. Фактически это стандарт. Если ты собираешься использовать OpenSSL вместе с Апачем на своем компе, то придется зайти на www.modssl.org. ModSSL - это интерфейс OpenSSL для Апача. Если хоть раз прикручивал модули (тот же modperl, например) - разберешься, в крайнем случае заглянешь в документацию. Только сначала нужно собрать OpenSSL. Если тебе совсем уж в лом изучать документацию, можно скачать с сайта разработчика перловый скрипт (CA.pl), облегчающий создание и подпись сертификатов. Но лучше все же почитать про все возможности командной строки, дабы правильно выбрать формат ключа, разрядность и т.д. В общем случае нам надо сгенерировать ключ, потом создать запрос на получение сертификата, а потом его подписать. Можно это сделать так: «openssl genrsa -out key.pem 1024» - сгенерировали 1024-разрядный ключ по алгоритму RSA в формате pem. «openssl req -new -key key.pem -out req.pem» - создали

ModSSL - интерфейс OpenSSL для Apache

					hang		e
				C				E
		X
	-								d
	F									t
	D									i
										r
P							NOW!			o
						BUY
					to
w Click											m
w
	w									o
	.								.c
		p						g
				df			n		e
					-x cha

Да здравствуют GPL проекты! Сайт OpenSSL

запрос в формате pem (тут придется отвечать на вопросы про реквизиты; не стоит тупо шутить - это потом увидят все люди, устанавливающие твой сертификат). «openssl x509 -days 365 - req -in req.pem -signkey key.pem - out cert.pem» - подписали свой сертификат на год. Можно было все сделать и в одной команде: «openssl req -x509 -days 365 - newkey rsa:1024 -keyout key.pem -out req.pem». Возможностей очень много: тут и куча видов шифрования, и перевод в другие форматы и алгоритмы. Хотя, скорее всего, тебе понадобятся только генерация да подпись.

Сертификат мы создали, но что нам с ним делать на хостинге? Не волнуйся, почти у всех платных хостингов есть поддержка SSL. Если найдешь подобную услугу на бесплатных хостингах, напиши

- буду благодарен. Где-то SSL включен в стоимость, где-то нужно платить отдельно. Более того, некоторые хостинги предлагают услуги CA по льготным ценам - может, и решишься отдать свои кровные 100 баксов :). Загрузка собственного сертификата и назначение защищенных страниц происходит, как правило, из стандартного админского интерфейса. Кроме того, я бы посоветовал использовать сертификат при лич- ной переписке - The bat прекрасно умеет использовать не только PGP, но и Secure MIME (то бишь сертификаты). Тем более, что это удобнее (как мне кажется).

ТОТАЛЬНАЯ БЕЗОПАСНОСТЬ

В наше безумное время проблемы конфиденциальности и безопасности стоят так остро, как никогда. Некоторые мои знакомые, еще пару лет назад не воспринимавшие серьезно использование средств шифрования в домашних условиях, теперь полностью перешли на шифрованную переписку. Рано или поздно нам всем придется делать себе электронную подпись. «Каждая кухарка должна уметь пользоваться PGP». Поддержка SSL есть почти на всех почтовых серверах, на всех хостингах. И это только на- чало. Уже довольно давно продвигаются протоколы IPsec, PPTP, L2TP, обеспечивающие шифрование на сетевом и канальном уровнях (модель OSI помнишь?), которые прозрачны для приложений. То есть написание сетевых программ, использующих безопасные соединения, станет намного проще. Мы движемся в новый мир, мир тотальной безопасности. Только вот почему мне от этого становится не по себе?

E

	page
		018	05(30) 2003