| Интересный факт |
| Перфокарты, которые использовали в качестве средств ввода и вывода информации на самых ранних компьютерах, были спроектированы шириной в 80 колонок. Чтобы было удобнее переносить программы, первые дисплеи также были рассчитаны на ширину строки в 80 символов. Когда появилась электронная почта, первые протоколы для неё снова оперировали 80-символьными строками. И хотя мониторы с тех пор сильно прогрессировали, почти все популярные почтовые системы до сих пор разбивают строки по 80 символов для обеспечения совместимости со старыми программами. Даже бинарные файлы конвертируются с помощью MIME base64 в строки из букв и цифр длиной не более 80 символов. Можно сказать, что программы изменяют пересылаемые нами видеофайлы для совместимости с перфокартами. |
|
|
|
| «Дыры» в Mail.ru заставляют закрыть шантажом |
 Отчаявшись ждать, пока Mail.ru закроет критические уязвимости, специалист, обнаруживший проблемы, опубликовал их описания и скрипты. По его словам, если Mail.ru исправится, дальнейший список «дыр» опубликован не будет. Эксперты по безопасности говорят, что наплевательское отношение к веб-безопасности — обычное явление в российских компаниях.
Mail.ru не может закрыть «дыры», описание которых передали в компанию месяц назад. Обнаруживший уязвимости сервисов Mail.ru Илья А. отчаявшись ждать, пока Mail.ru устранит уязвимости, выложил их описания в открытый доступ. Он рассказал CNews, что выявил «дыры» в безопасности, когда готовился к собеседованию на руководящую позицию в Mail.ru.
Передав информацию об уязвимостях в аппарат технического директора Mail.ru, и убедившись на собеседовании, что информация получена, спустя четыре недели, он отметил, что «дыры» в безопасности не закрыты. После этого Илья публиковал их описание в популярном ИТ-блоге. Помимо собственно описания «дыр», он привел в постинге готовые скрипты, нужные для эксплуатации уязвимостей. CNews воздерживается от ссылки на постинг, чтобы снизить шанс использования уязвимостей потенциальными злоумышленниками.
Использование самой безобидной из четырех «дыр» удаляет письма пользователя по мере их прочтения. Вторая позволяет организовать спам-рассылку средствами Mail.ru, третья предназначена для уничтожения всех записей в сервисе «Еженедельник» Mail.ru. Наконец, с помощью четвертой злоумышленник получает возможность заблокировать чужой аккаунт в сервисе Деньги.Mail.ru. Илья говорит, что две из четырех уязвимостей сравнительно безобидны (он называет их «шалостями»), и критичны только уязвимости ежедневника, который может повлиять на имидж компании, и в «Деньгах.Mail.ru», «по причине того, что это сервис управляющий деньгами».
По словам Ильи, единственный мотив, который он преследовал при публикации скриптов, — поторопить компанию с закрыванием «дыр», имеющихся в работающих сервисах. «Я хотел объяснить руководству Mail.ru, что надо больше думать о безопасности пользователя».
Илья рассказал CNews, что публикация скриптов была сделана с добрыми намерениями, и привел в подтверждение этого два довода. Во-первых, перед публикацией скриптов, «как это принято в мире ИТ-безопасности», выждал четыре недели. Во-вторых, он дает Mail.ru шанс исправится. По словам Ильи А., он описал не все найденные им уязвимости Mail.ru. Однако, если компания оперативно закроет уже существующие «дыры», он не будет торопиться с обнародованием остальных. По его словам, описание уязвимостей имеется у руководства портала, хотя ему «при встрече показалось, что им совсем не интересна эта тема».
Специалистов по безопасности беспокоят не столько уязвимости, сколько реакция на них российских топ-менеджеров. Член совета директоров «Диалог-наука» и эксперт по корпоративной безопасности Андрей Масалович заметил, что эти «уязвимости действительно работают». Однако, нужно опасаться не столько «дырок, которые бывают всегда», а безразличного отношения ко вновь находимым уязвимостям в руководстве российских компаний вообще и в Mail.ru в частности.
Очень тревожно, говорит Масалович, что слова «и чо?» — стали классическим ответом корпоративных топ-менеджеров, когда им указывают на критические уязвимости на их сайтах. По его опыту, такая характерная реакция не зависит от размера и репутации компании: ему приходилось видеть, как дыры, о которых он несколько месяцев назад уведомлял, в том числе и менеджмент международных корпораций, не закрыты до сих пор.
По его словам, единственный случай адекватной реакции на найденную уязвимость относится к его обращению в Администрацию президента, которая после его сообщения убрала с критического адреса документ под грифом «Для служебного пользования».
Отдельную тревогу у Масаловича, вызвал тот факт, что обнародованные сегодня «дыры» совершенно типичны. «Mail.ru легко могла бы их обнаружить и закрыть, протестировав свои продукты перед запуском. Однако, дыры существуют, и это заставляет предположить, что Mail.ru свои сервисы перед запуском не тестирует».
К моменту публикации этого материала, Mail.ru не смогла предоставить комментарий к сложившейся ситуации.
Cnews, 13.09.2010 |
 admin 14.09.2010 01:20 ·
0 комментариев · 
|
|
| Комментарии |
|
Нет комментариев
|
|
| Добавить комментарий |
|
Пожалуйста, зайдите на сайт для добавления комментария.
|
|
| Рейтинг |
|
Рейтинг доступен только для зарегистрированных пользователей.
Для участия в голосовании по рейтингу, пожалуйста, зайдите на сайт через форму входа или зарегистрируйтесь.
Нет данных для оценки
|
|
|
| Гость |
Забыли пароль? Запросите новый
|
|
| Афоризм |
Загадка: что такое «86, smopuim»?
Ответ: «windows '98» вверх ногами. |
|
|
| Случайный анекдот |
Сидит хакер со своей девчонкой в комнате, хакер за компом, девчонка на кресле. Хакер что-то делает, а девочка хочет привлечь его внимание:
— А у нас вчера под окнами НЛО завис...
Хакер (не отрываясь от компа):
— Надо было UNIX ставить, под окнами все виснет... |
|
|
Счетчики
|
|
|
|
|
Навигация
Библиотека
Download
Сотрудничество
О ...
