Секреты и ложь. Безопасность данных в цифровом мире
Шрифт:
Кроме того, SSL не обеспечивает защиты данных на сервере. В начале 2000 года хакеры неоднократно взламывали веб-сайты и крали информацию: номера кредитных карт, информацию о лицевых счетах и многое другое. SSL не в состоянии это предотвратить.
На унифицированный указатель информационного ресурса (URL) направлен целый ряд атак, некоторые из них рассчитаны на ошибку пользователя, а некоторые – просто на его необразованность. Первый класс – это атаки, при которых разные серверы крадут трафик друг у друга. Может быть, на ваш взгляд, это ерунда – зачем веб-сайту, продающему водопроводное оборудование, трафик веб-сайта финансовых новостей, – но некоторые сайты, например порнографические, таким образом хотят повысить посещаемость своих страниц.
Один из способов получить чужой трафик – обмануть поисковую машину. Машины поиска в большинстве
Создатели некоторых веб-сайтов идут еще дальше, используя переключатели страниц. Подстраивая свои ключевые слова и мета-теги (встроенные в веб-страницы команды, которые сообщают поисковой машине параметры страницы), эти сайты обманывают поисковую машину, которая не отличает их от популярных вебсайтов и при выводе результата помещает их непосредственно перед этими популярными сайтами. Ничего не подозревающие пользователи загружают поддельный сайт вместо настоящего. Главным образом, такую тактику применяли создатели порнографических сайтов, чтобы привлечь посетителей, но вы можете себе представить взлом по типу переключателя страниц, при котором поддельный сайт еще и выглядит как настоящий. Это было бы неприятной проблемой.
Атаки такого рода не ограничиваются веб-страницами и поисковыми машинами. Небольшие компании иногда включают в свои пресс-релизы название и эмблему более крупной компании, и в результате люди, которые ищут ту большую компанию, получат и этот пресс-релиз. Это называется столкновением наименований (ticker symbols mashing) и может выглядеть примерно так: «SmallCompany com объявила, что ее новая программа не имеет ничего общего с Microsoft». Даже при описании лота на аукционе eBay используются слова, которые будут притягивать к нему поиск: «Этот дешевый свитер (не Прада, не Армани) красного цвета».
Возвращаясь к Веб, отмечу, что одним из способов подобных атак является регистрация сайтов, имена которых похожи на имена популярных сайтов. Этим занимаются тайпсквоттеры («пираты» опечаток). Например, адрес wwwpainewebber com (без точки, вместо www painewebber com) приведет кого-то на порнографический сайт. Люди, которые неправильно набрали название страховой компании (Geigo вместо Geico), окажутся на сайте, которым владеет Progressive Insurance. (Эти атаки, происходящие в результате опечаток пользователя, скорее всего, уже никому не повредят; во время написания книги проходили несколько судебных процессов как раз по такому поводу.) [33]
33
Тайпсквоттинг как способ имитировать заведомо посещаемый домен легален с точки зрения закона. В русском секторе Интернета он процветает. Можно перечислить тысячи интересных и забавных случаев, но не менее любопытна его разновидность, которую можно отнести к столкновению интересов. Это включение в описательные поля страницы или прямо в ее состав текста, рассчитанного на ошибки набора пользователей при запросах к поисковым системам. Здесь тоже можно говорить бесконечно, но я приведу нетривиальный пример. На сайте одного переводческого агентства есть страничка «помощи», полный текст которой гласит: «Преводов, перводов, пеерводов: Если Вы ошиблись, и вместо бюро переводов набрали в поиске бюро перводов или бюро пеерводов или бюро преводов или бюро переводо, то это не повод, чтобы не посетить сайт бюро переводов Flarus (www flarus ru)». И тут же ссылки на купить, заказать и т. д. На практике такие вещи срабатывают эффективнее первородного тайпсквоттинга. – Примеч. ред.
Подобные инциденты могут возникать и спонтанно. Компания eToys попыталась возбудить судебный процесс против группы артистов etoy, несмотря на
Все перечисленные выше случаи не относятся к киберсквоттингу. Этим термином обозначают регистрацию имени домена, которое может представлять интерес для кого-то. Например, кому-то другому, но не мне принадлежат имена applied-cryptography com и applied-cryptography com, а именно так называется моя первая книга [34] .
34
В США с киберсквоттингом борются посредством Антикиберсквоттерского законодательного акта о защите потребителей (1999 год, не предусматривает наказания за тайпосквоттинг). В России право на имя регулируется с 10 апреля 2002 года документом «Регламент и тарифы на услуги по регистрации доменов второго уровня в зоне *.ru», согласно которому споры о доменных именах решает суд. На практике положительных сдвигов мало везде. Процессы вспыхивают в момент, когда какая-нибудь звезда, выходя в Сеть, обнаруживает, что домен уже занят. Таким образом отвоевали свои имена Мадонна, Джулия Роберте, Изабель Аджани, известные рок-группы и др. Ничего не вышло у Стинга из-за неудачного имени, так как суд посчитал, что это английское слово. Кибертайпсквоттер миллионер-владелец порносайтов Цуккарини проиграл ряд тяжб, в том числе вернул утраченное актеру Кевину Спейси. Но в запасе у него остались тысячи других зарегистрированных доменов. Кибер-сквоттинг приобретает гигантские масштабы, так, например, рекорд по количеству доменов, осуществляющих переадресацию на один и тот же узел, принадлежит порносайту – 4525 имен на апрель 2002 года. – Примеч. ред.
Веб-спуфинг (Web-spoofing), или получение доступа обманным путем, – еще один вариант мошенничества в Интернете. Подделывая адреса URL на сайте клиента, злоумышленник может вынудить жертву всегда совершать поиск через определенный сайт. Этот сайт, которым владеет злоумышленник, может перехватывать весь сеанс поиска жертвы. Злоумышленник может сохранить записи о том, на какие сайты заходила его жертва, ее различные учетные записи, пароли и т. п. Злоумышленник может также слегка изменять различные страницы, например менять адрес отправления купленного жертвой продукта.
Такая атака возможна даже при SSL-связи. Как я отмечал ранее, SSL гарантирует только то, что канал связи недоступен посторонним. А если секретная связь установлена со злоумышленником, это мало поможет. Несколько других трюков облегчают нападение, поэтому выключение JavaScript в браузере дает некую защиту. Некоторые веб-сайты, например AskJeeves, усугубляют проблему, размещая у себя веб-страницы других людей и представляя их информацию как свою. В момент написания книги не было данных о существовании такого рода атак «в диком виде».
Cookies – это программная хитрость, встроенная в браузеры Всемирной Сети изобретательными программистами. По своей сути cookies – это небольшие порции информации, которую веб-сервер поставляет браузеру. Браузер сохраняет эти данные на компьютере пользователя и отсылает их на сервер всякий раз, когда браузер возвращается к серверу. Cookies позволяют сделать массу полезных и хороших вещей. Но, к сожалению, они также допускают множество разрушительных действий. В первую очередь я объясню, как они работают, а затем расскажу о проблемах, с ними связанных.
HTTP – по сути, протокол, не идентифицирующий пользователя. Это значит, что сервер не знает, кто с ним работает. Сервер просто обслуживает веб-страницы. Браузер запрашивает веб-страницу – сервер ему ее выдает. Сервер не имеет представления, тот ли это браузер, что и раньше, или другой – ему все равно. Такой подход замечательно работает для простых, статических веб-сайтов, содержащих только страницы с фиксированным содержанием.
Сложные веб-сайты имеют динамическое устройство. На веб-сайтах розничной торговли есть «корзины», с которыми вы перемещаетесь при просмотре сайта. На информационных сайтах с платным доступом имя пользователя и пароль требуется вводить при переходе со страницы на страницу. (На мой взгляд, утомительно набирать имя пользователя и пароль каждый раз, когда я хочу посмотреть еще одну статью на веб-сайте New York Times.) Cookies дают возможность управиться с этим.