книги хакеры / журнал хакер / 194_compressed

Перед сдачей нового «Хакера» в печать я показал обложку журнала администратору нашего паблика ВК и спросил его мнение о теме номера. Практически не задумываясь, он ответил: «Очень круто! Но ведь это наверняка про какой-нибудь Google Car? Нам-то, обычным людям, ничего не грозит. Ведь так?»

Оказывается, большинство людей совершенно не осознают, что даже бюджетный автомобиль пятилетней давности — это точно такой же компьютер, со своей внутренней сетью, своими дырявыми протоколами и программами! И зря. Бортовой компьютер автомобиля — это такой же грей-бокс, как мобильное приложение или десктопная программа. Бери снифер, анализируй, отравляй трафик, проводи MITM... Возможностей для хака хоть отбавляй! Все техники, которые обычно применяются для пентестов, точно так же работают и здесь. И совсем необязательно рождаться с паяльником в зубах, чтобы удаленно захватить внутреннюю сеть автомобиля и на полной скорости повернуть колеса.

Увы, такой кейс — это не просто выдержка из очередного голливудского фильма о хакерах. Защищенность компьютеров сегодня действительно оставляет желать лучшего. Беда в том, что не существует способа решить проблему системно. Если бы речь шла об авиации, достаточно было бы просто ввести новый стандарт и всем централизованно на него перейти. Автопроизводители же не обязаны следовать общим стандартам. Каждый пишет свое собственное закрытое ПО, зачастую руководствуясь никому не ведомыми принципами. И как ты понимаешь, вопросы безопасности нередко стоят не на первом месте. Вот по этой причине мы и получаем неработающее шифрование, открытые протоколы и управление машиной скриптом на Python.

Stay tuned, stay ][!

Илья Русанен, главред ][ @IlyaRusanen

РАСПРОСТРАНЕНИЕ И ПОДПИСКА

Подробная информация по подписке shop.glc.ru, info@glc.ru Отдел распространения

Наталья Алехина (lapina@glc.ru) Адрес для писем: Москва, 109147, а/я 50

Вслучаевозникновениявопросовпо качествупечати:claim@glc.ru. Адресредакции:115280,Москва,ул.ЛенинскаяСлобода,д.19,Омегаплаза.Издатель: ООО «Эрсиа»: 606400, Нижегородская обл., Балахнинский р-н, г. Балахна, Советская пл., д. 13. Учредитель: ООО «Принтер Эдишионс», 614111, Пермский край, г. Пермь, ул. Яблочкова, д. 26. Зарегистрировано в Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзо- ре),свидетельствоПИ№ФС77-56756от29.01.2014года.Отпечатанов типографииScanweb,PL116,Korjalankatu27,45101 Kouvola, Финляндия. Тираж 96 500 экземпляров. Рекомендованная цена — 450 рублей. Мнение редакции не обязательно совпадаетс мнениемавторов.Всематериалыв номерепредоставляютсякакинформацияк размышлению.Лица,использующие данную информацию в противозаконных целях, могут быть привлечены к ответственности. Редакция не несет ответственности за содержание рекламных объявлений в номере. По вопросам лицензирования и получения прав на использование редакционных материалов журнала обращайтесь по адресу: content@glc.ru. © Журнал «Хакер», РФ, 2015

16+

MEGANEWS

Новость

месяца

VR-очки от Microsoft

КРУПНЕЙШИЕ ИГРОКИ РЫНКА НЕ ОТСТАЮТ ОТ ОБЩЕГО ТРЕНДА

Мария«Mifrill»Нефёдова mifrill@real.xakep.ru

По некоторым данным, Microsoft уже потратила на проект HoloLens более 500 миллионов долларов. Первые устройства обещают отгрузить разработчикам уже этим летом.

ХАКЕР 03 /194/ 2015

КАК ХАКНУЛИ ХАКЕРОВ

ОЧЕРЕДНОЕ РАССЛЕДОВАНИЕ БРАЙАНА КРЕБСА

ВSquad, взявшей на себя ответственность за атаку на сервисы Microsoft Xbox Live и Sony PlayStation Network. Хакеры испортили праздники геймерам (дело было как раз в Рождество), а теперь кто-то испортил жизнь самим хакерам; по ин-одном из прошлых номеров журнала мы рассказывали о хак-группе Lizard

формации Брайана Кребса, теперь объектом атаки стали сами Lizard Squad. Неизвестные взломали сайт LizardStresser.su — сервис, где DDoS-атаку на неугодный

ресурс мог заказать любой желающий. Этот же сайт Lizard Squad использовали для координации атак. Кребс отмечает, что DDoS Microsoft и Sony, скорее всего, был просто рекламной акцией данного сервиса. В результате взлома все базы данных пользователей Lizard Stresser, насчитывающие 14 241 человека, были благополучно украдены. Самое замечательное заключается в том, что логины и пароли хранились в формате обычного, незашифрованного текста. Если 14 тысяч человек, решившихся заказать DDoS-атаки, навели кого-то на мысль, что рекламная акция Lizard Stresser удалась, спешу успокоить. Кребс пишет, что всего несколько сотен клиентов имели на счетах хоть какие-то средства, чтобы оплачивать услуги хакеров. Всего на момент кражи Lizard Squad успели заработать порядка 11 тысяч долларов. На момент написания данного текста хакерский сервис не работает, что неудивительно, учитывая недавнюю серию арестов членов группы.

Стоит добавить, что как минимум трое участников Lizard Squad уже арестованы. Власти Великобритании совместно с коллегами из США арестовали 18-летнего Джордана Ли-Бивана и 22-лет- него Винсента Омари. В Финляндии был арестован 17-летний Джулиус Кивимяки.

5

КУДА ЕЩЕ МОЖНО ПРИМЕНИТЬ МОДУЛИ ДЛЯ СМАРТФОНОВ

СЕРВЕРНЫЙ КЛАСТЕР ИЗ ПОДРУЧНЫХ СРЕДСТВ

Вные смартфоны Project Ara, о которых мы уже неоднократно писали, и, вероятно, нас ждет новая, очень интереснаяесьма скоро на рынок выйдут модуль-

веха в развитии мобильных гаджетов. Однако Project Ara далеко не единственные, кто работает в данном направлении и смотрит в будущее. Так, пару месяцев назад финская компания Circular Devices представила собственный прототип модельного смартфона PuzzlePhone. От Project Ara их идея отличается в сторону упрощения — гаджет разделяется всего на три модуля. Главный модуль Brain CPU, «Мозг», содержит основную электронику и камеру. Модуль «Сердце» — вторичную электронику и аккумулятор. Модуль «Хребет» — ЖК-дисплей, динамики и часть корпуса.

Но разработчики PuzzlePhone пошли дальше и предложили идею для использования отработавших свое модулей — можно собрать серверный кластер из «головных» модулей Brain CPU. Circular Devices показали эскизы корпуса PuzzleCluster, в котором предусмотрено место для модулей Brain CPU и модулей с аккумуляторами, из которых собирается источник бесперебойного питания. Авторы гордо пишут, что с такой штукой собирать кластеры сможет любой, прямо у себя дома. Неизвестно, доберется ли данная идея до рынка, но, согласись, это лишь одно из многих интересных решений, которые можно будет реализовать на базе отработавших свое модулей.

ЭВОЛЮЦИЯ ТРОЯНОВВЫМОГАТЕЛЕЙ

ОНИ ДОБРАЛИСЬ ДО САЙТОВ

«Интернет исчезнет. Скоро будет множество IPадресов, гаджетов, сенсоров, носимых устройств, вещей, с которыми можно взаимодействовать. Это

станет частью нашей жизни, вы просто не заметите этого. Представьте, что входите в комнату, а комната интерактивна, и вы можете взаимодействовать с вещами, которые в ней находятся».

ХАКЕР 03 /194/ 2015

930 000 000

Android-юзеров остались без защиты

Хакеры из Rapid7 сообщили,

что Google решила отказаться от выпуска обновлений для WebView (с помощью данного компонента осуществляет-

ся рендеринг веб-страниц в Android). WebView — штука изрядно дырявая, поэтому в Android 4.4 ее заменили на более продвинутый вариант, где меньше багов. Однако пользователи Android 4.3 и ниже теперь остались без патчей, даже критических. А это почти миллиард человек.

12

узлов Tor от Mozilla

В конце прошлого года Mozilla дала старт инициативе Polaris Privacy, направленной на улучшение приватности пользователей в интернете. В рамках данного проекта Mozilla объявила о запуске 12 узлов сети Tor. Интересно, что одним

из условий инициативы было использование самого дешевого оборудования. В итоге прибегли к сетевым коммутаторам Juniper EX4200 и запустили три сервера HP SL170zG6 (48 Гб RAM, 2 Xeon L5640, 2 × 1Gbps NIC).

Компания SailPoint провела опрос среди рядовых сотрудников крупных компаний с целью узнать, готовы ли сотрудники в прямом смысле продать данные фирмы, если к ними обратятся с таким предложением. Результаты опроса капитально подрывают в веру в людей.

Каждый 7-й сотрудник готов продать корпоративные пароли третьим лицам

В среднем опрошенные используют три постоянных пароля для всех сервисов сети вообще, один из них на работе

БРАУЗЕР VIVALDI

СТАРАЯ КОМАНДА OPERA ПРЕДСТАВИЛА НОВЫЙ БРАУЗЕР

Пнаши читатели были поклонниками браузера Opera и многиеолагаю, многие

не смогли принять новую его версию на базе Chromium. Дело даже не в смене движка как такового, а в том, что из Opera после «перерождения» пропали почти все те мелкие и бесконечно удобные фичи, за которые браузер так любили гики.

Спешу порадовать тех, кто так и не нашел идеальной за-

мены «старой Opera» (признаюсь — я как раз в их числе): Йон фон Течнер и еще ряд сотрудников из старой команды Opera представили миру бета-версию браузера Vivaldi, который унаследовал почти все культовые удобства. Кстати, для тех, кто помнит наше недавнее интервью с фон Течнером, эта новость вряд ли стала большим сюрпризом, учитывая, как он отзывался о том, что стало с Opera.

Итак, пара слов о Vivaldi, хотя лучше один раз попробовать (vivaldi.com), чем десять раз прочитать. Да, Vivaldi базируется на движке Chromium, но здесь есть закладки (!) и speed dial, привычная боковая панель, быстрые команды, менеджер закачек, возможность группировки табов и расположения их вертикально и многое другое. Словом, даже сейчас, в бете, Vivaldi уже выглядит полноценным наследником Opera, переняв все лучшее из интерфейса и функциональности.

КТО ПЛАТИТ ADBLOCK PLUS?

Между тем у Adblock Plus появился «собственный» браузер — Maxthon будет поставляться сразу

со встроенной версией блокировщика.

КРУПНЕЙШИЕ КОМПАНИИ ПЛАТЯТ РАЗРАБОТЧИКАМ ADBLOCK PLUS ЗА ТО, ЧТОБЫ ПОПАСТЬ В ИСКЛЮЧЕНИЯ

ы наверняка встречал на самых разных сайтах просьбу отключить Adblock Plus,

Тпотому что реклама — это деньги, и многие сетевые ресурсы существуют только благодаря этому. Представь, как сильно Adblock Plus мешает жить более крупным игрокам сетевого рынка рекламы, оценивающегося в 120 миллиардов долларов.

Издание The Financial Times опубликовало на своих страницах действительно шокирующие цифры. По данным FT, компании Google, Microsoft, Amazon и Taboola давно устали бороться с Adblock Plus и пошли иным путем. Гиганты индустрии обратились напрямую к разработчикам ненавистного расширения для браузеров и тайно заключили с Eyeo сделку. Чтобы добавить в «белый список» объявлений, которые не подвергаются блокировке, Eyeo берет с них плату в размере примерно 30% доходов от рекламы! Даже не хочется пересчитывать эти проценты в реальные деньги, и так ясно, что суммы огромные. Кстати, от комментариев столпы индустрии дружно отказались.

Объявления из белого списка должны соответствовать определенным требованиям, в частности «не нарушать и не искажать просматриваемый пользователем контент» и не скрывать того, что они — реклама. Теперь Eyeo грозят судебными исками медиахолдинги RTL и ProSiebenSat.1, а также французские рекламодатели за подрыв их бизнесмодели. И это, вероятно, только начало.

ХАКЕР 03 /194/ 2015

ХУДШИЕ ПАРОЛИ EVER

Компания SplashData представила обновление своего ежегодного рейтинга самых распространенных, а значит — худших паролей. Подборку составляют, анализируя многочисленные дампы от хакеров, так или иначе утекшие в сеть.