Продолжение шпионских страстей

А такая схема не идет?...Скажем, взять десяток-другой фоток категории XXX, запрятать в них данные и отослать через инет-кафе.

 

Условно идет. Условия следующие.
Минимальная интернет-грамотность агента.
Представь, чел собаку съел скажем на конструировании и расчете военной техники. Но по интернет-шифрованию и защите инфы он полный профан. Причем явно не молодой и -] хуже обучаемый. Кроме того, любой агент скажет вербовщику: на х.я мне эти головняки с изучением всей гнилой интернет-фигни. Пока я буду этот интернет-онанизьм изучать, по своей специальности отстану. Давай, шевели булками и пусть твое ми-6 сделает мне такую волшебную коробочку, что даст при минимуме моих усилий максимум надежности.
Небольшой объем передаваемой информации.
Недавно через модем отправлял на мыло.ру 10 мегов джуи-книг. Заняло час с копейками. А если бы они были встроены в джипег - файлы ну скажем 1 к 10? Получилось бы 100 мегов и 10 часов времени. -] Весьма подозрительно. А в WI-FI камень эти 100 мегов можно слить за секунды (если он не глючит от рентгеновских лучей контрразведки )

С другой стороны, мне не понятно, что это там такое большое сливают через камни? Альбомы карт и снимков? Планы коммуникаций? Или видеосъемки с секретных объектов ...

Формат jpeg указан от балды. Можно баловаться с *.mp3 - там большая размерность подозрений не вызовет. Сделать файл похуже по битрейту, а взамен впихнуть полмегабайта инфы. В тексте - это очень много.

Ты немного смягчил эти условия, но все равно они остались в силе. Если какой-нибудь немолодой секретный работник будет посиживать в интернет-кафе, то он будет выделятся среди своих коллег. И это заметит контрразведка.
Кроме того, ведь наверняка не тексты шли через камень. А какие-то карты, картинки или массивы цифровой инфы объемами в как минимум в десятки мегов.
Корень проблемы - объем передаваемой инфы. Единицы бит можно и из дома передавать - переставляя кактус, включая-выключая свет и дергая шторы . Сотни килобайт - через интернет -кафе. А сотни мегабайт - только по высокоскоростному каналу, коии наперечет (т.ч. у "кровавой гэбни"). А камень - это и есть высокоскоростной канал вроде WI-FI.

Ты немного смягчил эти условия, но все равно они остались в силе. Если какой-нибудь немолодой секретный работник будет посиживать в интернет-кафе, то он будет выделятся среди своих коллег. И это заметит контрразведка.

 

В принципе, да. Но это только в том случае, если он "под колпаком". Можно установить знакомство с админом клуба и за некое бабло иметь осведомителя - не интересовался ли кто. Да и логи потрет получше.

Кроме того, ведь наверняка не тексты шли через камень. А какие-то карты, картинки или массивы цифровой инфы объемами в как минимум в десятки мегов.

 

Ну, этого мы не знаем, где была область "интересов" этого шпиона. Но иногда тексты куда важнее любых картинок.

Корень проблемы - объем передаваемой инфы. Единицы бит можно и из дома передавать - переставляя кактус, включая-выключая свет и дергая шторы . Сотни килобайт - через интернет -кафе. А сотни мегабайт - только по высокоскоростному каналу, коии наперечет (т.ч. у "кровавой кэбни"). А камень - это и есть высокоскоростной канал вроде WI-FI.

 

В интернет-кафе часто DSL-каналы есть. По крайней мере, у нас в Питере есть.

U235] Для слежки - не надо. Никто вообще не запрещает добропорядочному гражданину ходить весь день следом за другим гражданином и даже снимать его видео и фото.

Не знаю, как в России, но в США запрещено. Вторжение в частную жизнь называется. И детективы имеют специальную лицензию. Недавно с нашей улицы пинками прогнали рипоцессора — мужика, который забирает машины (к примеру), за которые не платят. Приперся, поставил к соседке на стоянку машину и пошел высматривать. Соседка попросила машину нафиг убрать с ее земли — тот огрызнулся. Ну она полицию и вызвала. Приехал офицер и сказал мужику — если не уберешь, то тебя арестую. И вообще, прежде чем ходить по нашему городку и высматривать сначала сообщи нам, а то мы тебя по жалобам людей в каталажку заберем на денек.

U235] Главное, чтобы он чего-то более угрожающего и незаконного не делал. Слежка не запрещена законом не то что оперативным службам, а даже частным лицам.

Опять — может в России. В США даже не всем бизнесам можно. А сейчас еще и закон ввели, что, если не обеспечишь защиту от хакеров, то платить будешь — вон как раз на лимонов одну контору оштрафовали, да еще 20 лет каждые два года проверять ее будут, и еще фонд на 5 лимонов попросили сделать, что, если найдутся пострадавшие от пропавшей информации люди — им убытки из этого фонда выплатить.

U235] Даже если Вас самих за этим делом поймают правохранительные органы, то ничего сделать не смогут: только пожурить слегка и, возможно, отобрать отснятый материал.

Тюрьма в США за это дело. Второй раз — уже рецедевист.

U235] Наружное наблюдение - вполне легальный и практически ничем не регулируемый метод оперативной работы. Тут никаких санкций не нужно:

Я-то, если помните, спрашивал про установку камер внутри, микрофончиков на личном компе и т.д.

U235] достаточно заявки бригаде наружного наблюдения. Санкцию желетельно получать только если материалы наружного наблюдения планируется использовать в суде, чтобы потом адвокаты эти материалы в суде как незаконно полученные не отвели.

Опять, в США, если сделано с нарушением закона, то это не может быть использовано в суде.

U235] А вот на проникновение в жилище и "прослушку" санкцию по закону требуется все-таки получить. На практике этим не особо заморачиваются: сначала залезут и поставят, а уже потом, если материал интересный, то оформят санкцию, чтобы полученный в дальнейшем материал можно было использовать на следствии и в суде. Тут работает принцип "не пойман - не вор".

Здесь за такое можно и работу потерять, и обеспечить безбедное существование наблюдаемому. А оно вылезет — не сейчас, так потом. И пойдут суды чередом.

U235] Жучок ведь не расскажет, кто его поставил, а дело по этому факту передадут на расследование все той же контрразведке, как попытку шпионажа против носителя государственных секретов.

Это мечта спецслуб. Только здесь, разрешение не выдают задним числом — все-таки есть специальные люди. А, если доказательства будут получены до санкции — что будет....

U235] С секретоносителями вообще все проще: они бумагу подписывают, в которой дают согласие на проведение в отношении них спецмероприятий органами контрразведки. Даже если чекисты запалятся и попадутся с поличным прямо на квартире, то ничего им не будет: проводили спецмероприятие, на которое дал согласие владелец квартиры.

Здесь частная жизнь охраняется немного лучше. Хотя, конечно, ты бумаги тоже подписываешь. Но копать начинают с твоего разрешения. Я тут уже рассказывал, как у меня проходило собеседование с местным ФБРовцем, который как раз копался в прошлом моего друга именно для оформления доступа к большим секретам.


U235] Да видел я их, а TLS-сервер даже настраивал. Еще с центром сертификации кувыркался. Мы кой-какую систему делали на базе российского криптопровадера, котороый ГОСТовские алгоритмы реализует. Кстати сертифицирована вся майкрософтовская криптография только по категориям КС, т.е. для защиты коммерческой информации. Для защиты государственных секретов ее применять категорически запрещено. Там используются специальные шифровальные программы.

Так ее никто и не применяет.


U235] Блин, я ее и пытался объяснить. На домашнем компьютере IPSec нафиг не нужен. Для такой категории интернетчиков шифрование ограничивается пользовательским уровням. Их максимум - это SSL и TLS. Если с домашнего компьютера идет IPSec, то это уже необычно. Если этот IPSec идет за границу, то это просто крайне необычно, только парашюта за спиной и не хватает.

Пардоньте, но IPSec встроен в линь на уровне ядра, врочем, и во фряхе он тоже есть — тут японцы постарались. И винда его поддерживает на уровне драйвера. Просто, когда инсталяцию делаете, то не поленитесь и установите его. Но это было про то, что, IPSec — он сетевого уровня. И заграницу часто ходить не надо. Можно и поближе, а оттуда еще раз. Кроме того, как уже говорил Сергей — есть ящик на gmail — далее посмотрите на страничку http://mail.google.com/support/bin/answer.py?answer=13287 и на страничку http://mail.google.com/support/... — и вы поймете, что клиенты мыловые передают трафик SMTP и POP3 по шифрованным каналам. Т.е. всех пользователей gmail, имеющих доступ к секретам, надо считать врагами. Не многова-то ли будет врагов?


U235] Подавляющее большинство реализует VPN так, как его предлагает мастер создания подключения в винде.

Да окститесь. Посмотрите на OpenVPN - Open Source VPN, на клиенты Nortel-а — наша контора именно последним пользуется и не просто его рекомендует, а создала полиси, что он основной и единственно правильный для нашей конторы.

U235] На минимальных настройках. И только немногие настраивают VPN с сильным шифрованием, тем паче что скорость канала такое шифрование режет просто зверски

Во-первых, IPSec все-таки использует сильную криптографию. Во-вторых, он не пропускную способность режет, а грузит процессор. Скажем, на моем AMD 64 я даже не чувствую этого — менее одного процента.

U235] и для организации более-менее приличного по скорости канала с хорошей криптозащитой нужен вообще-то аппаратный шифратор, т.к. производительности процессора не хватит. Обычно для этого юзают какие-нибудь PCI-платы со специализированым криптопроцессором, либо ставят отдельный комп исключительно под криптошлюз.

Вы говорите про каналы очень большой емкости. Поверте, что для канала в 512kbps простого пня хватает за глаза. А это канал дает возможность перекачать мегабайт менее, чем за минуту.

U235] Достаточно. Только для пользователя домашнего компьютера это как чесать левой рукой правое ухо. Так никто не делает. Они пользуют TLS и SSL

Эти ребята уровнем выше. Никто не мешает и для них применять сильные криптомодули. Еще раз — в США Вы не получите доступа к банкам, страховкам, покупкам, если у Вас нет сильного модуля. Я понимаю, что это США, но и в Японии, вроде так, и в Англии.

А такая схема не идет? Есть отключенный от сети комп с программой кодировщиком. Шпион кодирует информацию, а потом просто идет в интернет-кафе и отсылает ее...

Где-то на одном из сайтов, посвященных софтверу, видел программу-кодировщик, которая записывает инфу небольших размеров в картинки формата jpeg. Скажем, взять десяток-другой фоток категории XXX, запрятать в них данные и отослать через инет-кафе.

 

Конечно, идет. Про это и толкуем, что мыльный сервер — это тот самый секретный ящик. Что файл шифруется ранее, а туда закидывается уже шифрованным, а забирается другим человеком.

---

lenivec] Ты немного смягчил эти условия, но все равно они остались в силе. Если какой-нибудь немолодой секретный работник будет посиживать в интернет-кафе, то он будет выделятся среди своих коллег. И это заметит контрразведка.

С какой стати? Что, секретным работникам нельзя пользоваться интернетом? Я понимаю, что времена СССР этим и привлекательны, но сейчас это уже не так.

lenivec] Кроме того, ведь наверняка не тексты шли через камень. А какие-то карты, картинки или массивы цифровой инфы объемами в как минимум в десятки мегов.

Ну, чертежи, в векторном формате или в разных файлах со сжатием занимают меньше места. Кроме того, я не верю, что за пару секунд, что передавали через камень, шли десятки мегов.

lenivec] Корень проблемы - объем передаваемой инфы. Единицы бит можно и из дома передавать - переставляя кактус, включая-выключая свет и дергая шторы . Сотни килобайт - через интернет -кафе. А сотни мегабайт - только по высокоскоростному каналу, коии наперечет (т.ч. у "кровавой гэбни"). А камень - это и есть высокоскоростной канал вроде WI-FI.

Подсчитайте, сколько можно передать за 2 секунды даже по WiFi.

AGRESSOR] В принципе, да. Но это только в том случае, если он "под колпаком". Можно установить знакомство с админом клуба и за некое бабло иметь осведомителя - не интересовался ли кто. Да и логи потрет получше.

О, человек понял. Если клиент под колпаком, то ему тягаться с госмашиной практически невозможно. Поэтому сюда и идти не надо. Не понятно, почему, почти все спорщики начинают уже с этой точки. В то время, как Сергей, и я, и Zeus говорим, что выделить трудно. И доказать на этом фоне, что надо вломится в квартиру и установить жучки, а, заодно, и пальцики в тиски — не получается.


AGRESSOR] Ну, этого мы не знаем, где была область "интересов" этого шпиона. Но иногда тексты куда важнее любых картинок.


AGRESSOR] В интернет-кафе часто DSL-каналы есть. По крайней мере, у нас в Питере есть.

Правильно говоришь. Об этом и речь. Поэтому придется брать все эти кафе под колпак, а потом мониторить всех людей туда приходящих, а заодно и их трафик. Только тогда на каждого приходящего надо будет по многу агентов. Поэтому картинка вырисовывается интересная — население будет состоять из 1% пользующихся кафе и что-то делающих, а 99% будут за ними следить.

Не знаю, как в России, но в США запрещено.

И в России запрещено, только не проконтроллируете Вы это никак. Сложно в суде прижать за слежку.

Тюрьма в США за это дело. Второй раз — уже рецедевист.

Если бы все было так просто, то всех папарацци давно бы уже пересажали. Но даже с ними ничего сделать не получается. А че? Может я фотограф-любитель? Хожу, фотографирую городские пейзажи. Я че, виноват, что какой-то псих постоянно в кадр лезет, а потом еще на меня бросается и в полицию тащит. Еще и виноватым возможно окажетесь и заплатите сыщику за побитую физиономию и засвеченную фотопленку.

Я-то, если помните, спрашивал про установку камер внутри, микрофончиков на личном компе и т.д.

Тут нужно, но если речь идет не о сборе материалов для суда, а об оперативной проверке, чтобы определиться как работать, то обычно не заморачиваются

Опять, в США, если сделано с нарушением закона, то это не может быть использовано в суде.

У нас тоже, но никто не мешает выяснив, что с ним чего-то нечисто, получить санкцию и в дальнейшем уже все полученные доказательства закреплять юридически

Здесь за такое можно и работу потерять, и обеспечить безбедное существование наблюдаемому. А оно вылезет — не сейчас, так потом. И пойдут суды чередом.

Это если попадешься. Если проникновение в жилище оганизуется спецслужбами, то застать их с поличным на квартире почти невозможно: в случае чего группа прикрытия или слухачи, висящие на телефонах соседей и каналах связи полиции кричат по рации "Атас!" и группа проникновения валит с квартиры. В самом худшем варианте имеем взлом квартиры, который повиснет безнадежным "висяком" на тамошних полицаях. Обнаружение же установленных подслушивающих устройств ничем установившему их не грозит. Железо не расскажет, кто его поставил. А распространена подобная спецтехника сейчас даже в России. Вот и гадай, кто тебе "жучка" посадил: контрразведка, бандиты, конурирующая фирма или иностранная разведка.

Это мечта спецслуб. Только здесь, разрешение не выдают задним числом — все-таки есть специальные люди. А, если доказательства будут получены до санкции — что будет....

И у нас не выдают. Просто придя за санкцией, опера скромно умалчивают, что слежка уже давно началась. А после того как санкция получена, получить требуемые доказательства - дело техники. Над только немножко подождать, ну или если ждать неохота, то спровоцировать ситуацию, в которой агент себя раскроет. Если Вы думаете, что ФБР так не работает, то глубоко ошибаетесь. Совершенно так же они работают, просто обычно не попадаются.

Здесь частная жизнь охраняется немного лучше. Хотя, конечно, ты бумаги тоже подписываешь. Но копать начинают с твоего разрешения. Я тут уже рассказывал, как у меня проходило собеседование с местным ФБРовцем, который как раз копался в прошлом моего друга именно для оформления доступа к большим секретам.

Сомневаюсь, чтобы у того же Эймса ФБРовцы разрешения спрашивали

Так ее никто и не применяет.

Ну здрасьте, приехали. Посмотрите хотя бы что за сертификаты и с какой разрядностью ключа бегают на тот же любимый Ваш gmail.com . Как раз майкрософтовский криптопровайдер SSL-ем и задействуется. Сертификаты Х.509 то смотреть умеете?

Пардоньте, но IPSec встроен в линь на уровне ядра, врочем, и во фряхе он тоже есть — тут японцы постарались. И винда его поддерживает на уровне драйвера. Просто, когда инсталяцию делаете, то не поленитесь и установите его. Но это было про то, что, IPSec — он сетевого уровня. И заграницу часто ходить не надо. Можно и поближе, а оттуда еще раз. Кроме того, как уже говорил Сергей — есть ящик на gmail — далее посмотрите на страничку http://mail.google.com/support/bin/answer.py?answer=13287 и на страничку http://mail.google.com/support/... — и вы поймете, что клиенты мыловые передают трафик SMTP и POP3 по шифрованным каналам. Т.е. всех пользователей gmail, имеющих доступ к секретам, надо считать врагами. Не многова-то ли будет врагов?

Да прекрасно я знаю, что IPSec в винду встроен. А вот много ли, к примеру, из присутствующих здесь на форуме знают, что это такое и, главное, сумеют его в винде корректно настроить. Он ведь щелчком по интернет-странице не открывается. Его пользователю самому настраивать надо, причем залезая туда, куда подавляющее большинство пользователей интернета никогда не лазит. И опять же вопрос: зачем человеку явно настраивать IPSec-туннель на заграничный адрес? Тут уже просто случайным щелчком по интернет странице или почтой и покупками существование такого канала не объяснишь.

Да окститесь. Посмотрите на OpenVPN - Open Source VPN, на клиенты Nortel-а — наша контора именно последним пользуется и не просто его рекомендует, а создала полиси, что он основной и единственно правильный для нашей конторы.

Если специальное криптографическое ПО устанавливать, то это просто кричать будет, что с человеком чего-то не того. Домашние компьютеры обычно так не защищают.

Во-первых, IPSec все-таки использует сильную криптографию. Во-вторых, он не пропускную способность режет, а грузит процессор. Скажем, на моем AMD 64 я даже не чувствую этого — менее одного процента.

Ну попробуйте в винде не устанавливая стороннего ПО настроить IPSec на чем-нибудь кроме майкрософтовской реализации DES и 3DES, а я посмеюсь, как это у Вас получится. Там невозможно сторонний криптопровайдер для шифрования по IPSec выбрать. Только то, что майкрософт предлагает.

Вы говорите про каналы очень большой емкости. Поверте, что для канала в 512kbps простого пня хватает за глаза. А это канал дает возможность перекачать мегабайт менее, чем за минуту.

Какая большая емкость? Обычный оффисный Ethernet 10 - уже проблема, если сильная криптография в канале.

Эти ребята уровнем выше. Никто не мешает и для них применять сильные криптомодули. Еще раз — в США Вы не получите доступа к банкам, страховкам, покупкам, если у Вас нет сильного модуля. Я понимаю, что это США, но и в Японии, вроде так, и в Англии.

Это то понятно, но вот если страничка какой-нибудь он-лайн игры или чата вдруг запрашивает сильный криптомодуль, то это уже подозрительно.

U235] И в России запрещено, только не проконтроллируете Вы это никак. Сложно в суде прижать за слежку.

А здесь просто рассуждают — данные насобирал, хочешь предъявить — покажи причину. Если причина неубедительная, то в суде эти данные выкидываются.

U235] Если бы все было так просто, то всех папарацци давно бы уже пересажали. Но даже с ними ничего сделать не получается.

А их постоянно судят. И они постоянно проигрывают. Не абсолютно всегда — больно дело хлопотное и времени требует. Но посмотрите на Майкла Дугласа и Катерину Зету Джонс — они получили на этом деле не один десяток лимонов. И судят всегда по любому поводу. А проиграли намного меньше.

U235] А че? Может я фотограф-любитель? Хожу, фотографирую городские пейзажи. Я че, виноват, что какой-то псих постоянно в кадр лезет, а потом еще на меня бросается и в полицию тащит. Еще и виноватым возможно окажетесь и заплатите сыщику за побитую физиономию и засвеченную фотопленку.

Нифига. Если постоянно оказываешься в том месте, где и те, кого снимаешь, то это рассматривается по-другому. Smoking Gun, так сказать.


U235] Тут нужно, но если речь идет не о сборе материалов для суда, а об оперативной проверке, чтобы определиться как работать, то обычно не заморачиваются

Здесь намного сложнее — можно влететь по полной. А этого никто не хочет. Кроме того, аппаратура обнаружения здесь намного доступнее. Есть службы, которые это делают — частные.


U235] У нас тоже, но никто не мешает выяснив, что с ним чего-то нечисто, получить санкцию и в дальнейшем уже все полученные доказательства закреплять юридически

За незаконное выяснение все списывают с подследственного. Вся работа на смарку. Посмотрите, как ругаются полицейские, а заодно, как Буш пытается отбрехаться от своих приказов по прослушке. При грамотной раскрутке — это мина в руках демократов. Более того, республиканцы раскололись уже на два лагеря.

U235] Это если попадешься. Если проникновение в жилище оганизуется спецслужбами, то застать их с поличным на квартире почти невозможно: в случае чего группа прикрытия или слухачи, висящие на телефонах соседей и каналах связи полиции кричат по рации "Атас!" и группа проникновения валит с квартиры.

Если человек найдет, то мало не покажется. А искать есть кому. И вот, если найдет, то считай, что шпион потерян — не смогут его засудить.

U235] В самом худшем варианте имеем взлом квартиры, который повиснет безнадежным "висяком" на тамошних полицаях. Обнаружение же установленных подслушивающих устройств ничем установившему их не грозит.

Грозит. Что есть у этих ребят — это более-менее известно. Клинто ЦРУ и ФБР разогнал — как раз дали повод на них наехать.

U235] Железо не расскажет, кто его поставил. А распространена подобная спецтехника сейчас даже в России. Вот и гадай, кто тебе "жучка" посадил: контрразведка, бандиты, конурирующая фирма или иностранная разведка.

А не надо, после этого жилище будут охранять. Кроме того, жить надо в тех местах, которые называются crime watch neiborhoods — позвонят и расскажут. Я вон поинтересовался один раз — какого хрена ко мне приезжала машина от электрической компании, когда я не заказывал — сколько шухеру было :o (правда потом разобрались, оказалось, что жена с водопроводчиками перепутала). И у соседей всегда интересуюсь, если вижу любую аварийку или большую машину — что случилось. Если он не заказывал, то идет звонок в полицию и т.д. Просто незнакомые люди, ходящие по улице вызывают интерес и их обсуждают. Так что группа прикрытия или что другое, но это замечается с большой долей вероятности.


U235] И у нас не выдают. Просто придя за санкцией, опера скромно умалчивают, что слежка уже давно началась. А после того как санкция получена, получить требуемые доказательства - дело техники. Над только немножко подождать, ну или если ждать неохота, то спровоцировать ситуацию, в которой агент себя раскроет. Если Вы думаете, что ФБР так не работает, то глубоко ошибаетесь. Совершенно так же они работают, просто обычно не попадаются.

А с датами как? Или шьем дело белыми нитками? У товарища может быть алиби 100% на другие дни. И ФБР все-таки работает в основном по закону. Есть у меня знакомые там и оперативники, и программисты. Жопу подставлять никто не хочет. Вот ЦРУ-шники и NSAшики более наглый народ. Скажем, у одного знакомого NSA бывшего агента есть до сих пор телефон, по которому он может позвонить и его приедут-прилетят вызволять. Он еще носителем секретов является.


U235] Сомневаюсь, чтобы у того же Эймса ФБРовцы разрешения спрашивали

ФБР 60-х — это не то, что 70-х, уж совсем не то, что 80-х. А в 90-х оно уже чуть ли не мертвое было.

U235] Ну здрасьте, приехали. Посмотрите хотя бы что за сертификаты и с какой разрядностью ключа бегают на тот же любимый Ваш gmail.com . Как раз майкрософтовский криптопровайдер SSL-ем и задействуется. Сертификаты Х.509 то смотреть умеете?

А посмотреть — это подойдет keytool-Key and Certificate Management Tool ?
Или Вы имели ввиду через mmc? Тогда Вам сюда — http://msdn.microsoft.com/.../21eb7fb5-bd11-4cce-be0c-7b3d0cd14acb.asp

Кроме того, они выданы Thawte и включают RSA 4096 битовый ключ, что сильно слабым никак не назовешь. Я бы сказал наоборот. Посмотрите на прикрепленные картинки.

Сертификаты от моей компании — все 2048.

Кстати, викпедия рулит — whttp://en.wikipedia.org/wiki/X.509

Еще одно кстати — http://msdn.microsoft.com/.../1011e2ed-f3b0-4f3b-a5b7-8e1d8ae476d8.asp показывают как сгенерить для форточек и свои сертификаты.

U235] Да прекрасно я знаю, что IPSec в винду встроен. А вот много ли, к примеру, из присутствующих здесь на форуме знают, что это такое и, главное, сумеют его в винде корректно настроить. Он ведь щелчком по интернет-странице не открывается. Его пользователю самому настраивать надо, причем залезая туда, куда подавляющее большинство пользователей интернета никогда не лазит. И опять же вопрос: зачем человеку явно настраивать IPSec-туннель на заграничный адрес? Тут уже просто случайным щелчком по интернет странице или почтой и покупками существование такого канала не объяснишь.

У Вас явно СССР-ное мышление. Это становится нормой по всему миру.

U235] Если специальное криптографическое ПО устанавливать, то это просто кричать будет, что с человеком чего-то не того. Домашние компьютеры обычно так не защищают.

Вы обалдели? Защищают. Так же как и завещания при жизни составляют, документы в банках хранят и другие вещи делают.


U235] Ну попробуйте в винде не устанавливая стороннего ПО настроить IPSec на чем-нибудь кроме майкрософтовской реализации DES и 3DES, а я посмеюсь, как это у Вас получится. Там невозможно сторонний криптопровайдер для шифрования по IPSec выбрать. Только то, что майкрософт предлагает.


http://www.microsoft.com/technet/prodtechnol/.../deployment/ipsec.mspx

Далее, с провайдерами тут интересно — приложение может само выбирать. Гляньте сюда — http://www.microsoft.com/technet/.../trans/windowsnet/wnet0702.mspx — там есть вопросик про AES или как его еще называют Rijndael.


А вот здесь — http://swforum.sun.com/jive/thread.jspa?threadID=15520&tstart=30 — интересная дискуссия по-поводу провайдеров. Обращю ваше внимание на третье сообщение:
Thank you for the advice. Unfortunately, since the cryptographic providers are extracted directly from the browser, and different IE browsers contain different providers, I need to be sure that I populate the list with options that I'm certain the browser will accept.

И вовсе не из списка, постовляемых майкрософтом.

U235] Какая большая емкость? Обычный оффисный Ethernet 10 - уже проблема, если сильная криптография в канале.

Это проблема на слабых машинах. Возьмите пень на 3ГГц и вы ее не почувствуете. Кроме того, у кого есть канал в инет на 10 мегабит? Я же не зря привел цифру в 512 кбпс.


U235] Это то понятно, но вот если страничка какой-нибудь он-лайн игры или чата вдруг запрашивает сильный криптомодуль, то это уже подозрительно.

Да это стандарт здесь — де-факто. Делаешь на хостинге, а у них сильная — потому как, если мерчант какой-то пострадает по их вине, то им платить. Берешь Апаче с OpenSSL — и там ставится на автомате сильная. Только сертификаты успевай генери.

---

Кстати, почему-то всякие разные интересные организации во всех странах не доверяют свои секреты схемам с открытым ключом

 

Это как раз понятно. Математически не доказано, что не существует алгоритма, который не позволил бы их эффективно колоть. На эти грабли наступали уже в 50-е. Тогда думали, что задача эквивалентная укладке ранца очень эффективный криптоалгоритм. Действительно, задача сложная и NP-полная (если склероз не изменяет) для точного решения. Но тут нашли приближенный алгоритм, который давал решение в несколько раз хуже оптимального. Но, зато после такого решения позволил применить метод грубой силы (перебора, грубо говоря).

Проблема не в канале - т.к. понятно, что каналы высокоскоростные доступны и официально и неофициально... а подключиться к чужому каналу - это не проблема ...
Проблемы для всякого супостата или обортня - подача инфы на канал - т.е. именно здесь могут повязать . По этому эпизоду доказывают шпиену, что он не прав... Отсюда камни всякие и другие устройства съема и передачи информации...

2Mishka:
Насколько я помню, решение сверхрастущего рюкзака NP-полной задачей не является. А простое наращивание ключа RSA всё же не будет давать действительно гарантированной сложности, поскольку ведь на самом деле всякое может быть, IMHO конечно . А вот ещё есть очень интересные результаты некой конторы Matta Security Ltd, которая посредством анализа траффика полностью воспроизвела структуру компьютерной сети ЦРУ. Также несомненно человеческий фактор ещё во времена ВМВ вполне проявил себя в этой области, так что интернет получается очень агресивная среда для подобных действий .

Да прекрасно я знаю, что IPSec в винду встроен. А вот много ли, к примеру, из присутствующих здесь на форуме знают, что это такое и, главное, сумеют его в винде корректно настроить. Он ведь щелчком по интернет-странице не открывается. Его пользователю самому настраивать надо, причем залезая туда, куда подавляющее большинство пользователей интернета никогда не лазит. И опять же вопрос: зачем человеку явно настраивать IPSec-туннель на заграничный адрес? Тут уже просто случайным щелчком по интернет странице или почтой и покупками существование такого канала не объяснишь.

 

OK, лично меня вы убедили - в России профилактической прослушкой канала можно выявить подозрительных. Это не значит, что такое продлится сколько-нибудь долго и не значит, что в других странах, вроде США, это можно сделать. Но это безусловно значит, что "беспроводной камень" имеет некоторые преимущества перед интернетом, а соответственно, он вполне мог быть, британские агенты его (может быть) установили и ФСБ его (может быть) действительно нашла. Вы были правы, а я был неправ.

ЗЫ История о наглом и очевидном (хотя и непрямом) обвинении всех(большинства) НПО в шпионской деятельности не становится от этого красивее ничуть.

Сергей-4030, ещё слово о политике в Компьютерном - выпишу "балл".

А так- ну слава Богу, что вы наконец поняли, что "с мест" виднее.

Сергей-4030, ещё слово о политике в Компьютерном - выпишу "балл".

 

А что, мне нужно было на два сообщения разбить и ссылки друг на друга ставить?

А так- ну слава Богу, что вы наконец поняли, что "с мест" виднее.

 

Ничего про "с мест" я не говорил. U235 привел хорошие доводы - вот поэтому я с ним согласился. Ваши, скажем, доводы о том, что 300 человек в институте не знают, что такое SSL, а потому его и вовсе нет - неубедительны независимо от того, "с мест" это, или не с мест.

Сергей 4030+=1 балл - обсуждение модерирования, злостный оффтопик ("политика" в тематическом форуме после предупреждения). Политику следует обсуждать в политическом форумек, здесь- только технические аспекты, об этом было сказано не раз, ЕМНИП.

А так, конечно - воля ваша - решать, какого размера выборки репрезентативны, а какого нет. "Если данные в теорию не укладываются, тем хуже для данных".

А так, конечно - воля ваша - решать, какого размера выборки репрезентативны, а какого нет. "Если данные в теорию не укладываются, тем хуже для данных".

 

Какие там выборки, господин Vale? Вы считаете, что я был сражен статистикой мнений? Вы считаете, что если сто человек из России скажут "дважды два - пять" - то я должен считать, что в России дважды два - пять? Я повторяю - оснований доверять и вам и U235 у меня особых не было, мне были интересны доказательства. Вы свои мнения не доказывали, U235 - доказывал вполне убедительно. Теперь (кроме вопроса форума) у меня лично появились некоторые основания чуть больше доверять U235, хотя, разумеется, еще вовсе не столько, чтобы слепо верить во всем. Вот и все, ничего личного.

ЗЫ Надеюсь, содержание моего ответа достаточно по теме, чтобы не переносить его в Политику?

Форумы Авиабазы

]]]А защищенными протоколами пользуется 50% тех, кто выходит в интернет раз в неделю и 95% тех, кто входит каждый день
]]Будьте так добры, подтверждение этому дайте "в студию".
]Нет подтверждения.

Сергей 4030+=1 балл - высказывание заведомо ложных утверждений.

Долги надо возвращать. Если разговор не закончен, я буду дотошен и памятлив. Обсуждать не советую.

А моя статистика - проста. Я админю внутренний сервак института, и знаю, сколько компьютерно грамотных людей - в лучшем биологическом институте города. Я знаю ситуацию в паре других институтов. Моя оценка верна, я думаю, с приличной точностью (повторюсь - про то, что такое защищённые протоколы - знает не более 10% людей, пользующихся Интернетом в России, а пользуются ими постоянно не более 5% ) Готов удвоить эти цифры, но скорее их надо поделить - не на 2, так на 5, а вторую - так, наверное, и на 10 делить надо.

Сергей 4030+=1 балл - высказывание заведомо ложных утверждений.
Долги надо возвращать. Если разговор не закончен, я буду дотошен и памятлив. Обсуждать не советую.

 

Ах, как страшно-то. Кстати, а можно вас спросить - вы вахтером не работали? Чисто в рамках темы. Или для этого надо топик открыть в "Политическом"? Впрочем, вам же все равно, где флейм открыть - хоть здесь, хоть здесь, хоть в политическом - только б ваши комплексы потешить. Чего вы ко мне цепляетесь все время, какие-то намеки дурацкие, "мы-то знаем, вам-то не скажем"? Ну, не нравитесь вы мне, да, вызвано это вашими наездами на ровном месте, но не все ли равно, чем вызваны - я-то к вам не цепляюсь по этом поводу, правда?

---

В частности - если вы не заметили, ваш ничего не значаший пост #63 вызвал флейм. И такое с вами встречается сплошь и рядом. Не хотите пост № 63 в политику перебросить, случаем?

Сергей-4030 +=1 балл за обсуждение модерирования, флуд, переходы на личности.

Сергей, я уверяю вас, вы не первый, кто пробовал проверить, сколько я могу выписать штрафов. Политикой занимайтесь в Политике, наездами на личность - в Персоналиях Авиабазы, здесь - КОМПЬЮТЕРНЫЙ подфорум.

Сергей, я уверяю вас, вы не первый, кто пробовал проверить, сколько я могу выписать штрафов.

 

Да неужели же кому-то интересно проверять? Вы сильно переоцениваете вашу персону.

Сергей-4030+=1 балл оффтопик (реально будет выписан как только позволит движок форума)

Vale] Долги надо возвращать. Если разговор не закончен, я буду дотошен и памятлив. Обсуждать не советую.

Извини, Вале, но Россия далеко в попе по интернетизации. Скажем, практически 100% в США, Западной Европе (здесь немного с натяжкой, но Англия, Франция, Германия, Испания, Италия, Финляндия, Швеция и Норвегия входят в их число) и Японии с Кореей, Гонконгом, Сингапуром, да думаю и Австралия, пользуются криптографией (из Латинской Америки у меня есть немного инфы по Бразилии, т.к. там есть у нас офисы и я общаюсь с девочками оттуда). Поскольку в этих странах доступ к банковским счетам, покупка по инету, доступ к различной личной информации (телефоны, кабеля, электричество, вода и т.д.) идут по протоколам с шифрацией. Поэтому оценка достаточно справедливы.

Vale] А моя статистика - проста. Я админю внутренний сервак института, и знаю, сколько компьютерно грамотных людей - в лучшем биологическом институте города.

Ты подменяешь понятия — грамотности и пользования. Самолетами летают много миллионов пассажиров, а вот как летает самолет — теорию, знают очень мало.

Vale] Я знаю ситуацию в паре других институтов. Моя оценка верна, я думаю, с приличной точностью (повторюсь - про то, что такое защищённые протоколы - знает не более 10% людей, пользующихся Интернетом в России, а пользуются ими постоянно не более 5% ) Готов удвоить эти цифры, но скорее их надо поделить - не на 2, так на 5, а вторую - так, наверное, и на 10 делить надо.

Твоя оценка верна:
1. Только для грамотности — это отношению к делу не имеет.
2. И даже сейчас — справедлива только в отношении России.

---

2Mishka:
Насколько я помню, решение сверхрастущего рюкзака NP-полной задачей не является. А простое наращивание ключа RSA всё же не будет давать действительно гарантированной сложности, поскольку ведь на самом деле всякое может быть, IMHO конечно . А вот ещё есть очень интересные результаты некой конторы Matta Security Ltd, которая посредством анализа траффика полностью воспроизвела структуру компьютерной сети ЦРУ. Также несомненно человеческий фактор ещё во времена ВМВ вполне проявил себя в этой области, так что интернет получается очень агресивная среда для подобных действий .

 

Точное решение? Я не помню, но, мне кажеться, что алгоритма для точного решения приличной сходимости нет. Но тут могу забыть. Я этим делом уже 20 лет не занимаюсь как.

Контора воспроизвела логическую структуру. Да и то не особо точно. Но подход правильный. Менделеевский, я бы сказал. Правда, они воспроизвели только открытую часть сети.

Я понимаю - что "в Европах" всё не совсем так.. Но речь шла, во-1, из контекста - о России.

Во-2... ну как тебе сказать. Вот я читаю TheRegister.co.uk - и как-то затрудняюсь сказать, что на Западе грамотность - она НАМНОГО повыше. Дело в том, что как я понимаю, на Западе ещё больше, чем в России, учат не "программировать", а "пользоваться".

И туча домохозяек ни ухом ни рылом в криптопротоколах.
Но у меня нет никаких данных о том, какой процент юзеров работает через шифрованные соединения на Западе - и у меня есть стойкие сомнения, что этот процент много выше, чем в России. Ну, плюнув в потолок , я скажу, что по моим представлениям, на Западе процентов 20-30 и-нет юзеров раз- другой в неделю лезут на https сайты, а процентов 5-10 - через день, при этом и те и другие на обычные сайты ходят в разы чаще. То есть, я думаю, что и на западе, отбросив шифрованную связь с заведомо известными банками, и известными и-нет магазинами, а также удалённую работу с известными IP - можно вычленить довольно небольшую часть трафика, на которую стоит обратить внимание. Это будет значительно труднее, чем в России ( всяческие legalese - оставим юристам), но у меня нет впечатления, что это будет невозможно. То есть мне кажется, что вы стандарты принятые в вашей среде, где вы крутитесь, переносите на весь остальной И-нет, и это, наверное, не абсолютно корректно.

Кстати, добавлю ещё соображение, почему "камень" лучше "интернет-канала".
Потому что процесс передачи данных может быть под контролем разведки. То ли резидент, которого агент не знает, то ли второй камень с видеокамерой, то ли видеокамера с телевиком в километре от закладки - да пусть что угодно... но если к камню подошёл НЕ НАШ человек, и сбросил данные от НАШЕГО, либо это был НАШ человек, но вёл себя странно - то есть повод задуматься, а нет ли двойной игры...
С интернет-каналом такое как минимум затруднительно, ПМСМ.

Vale] Во-2... ну как тебе сказать. Вот я читаю TheRegister.co.uk - и как-то затрудняюсь сказать, что на Западе грамотность - она НАМНОГО повыше. Дело в том, что как я понимаю, на Западе ещё больше, чем в России, учат не "программировать", а "пользоваться".

Правильно. Но именно это делает утверждение Сергея справедливым. Он сказал, что "пользуются", а не "понимют" или "знают как оно работает".


Vale] И туча домохозяек ни ухом ни рылом в криптопротоколах.

Им это и не надо. Всегда большинство людей не понимает в вещах, которыми оно пользуется.

Vale] Но у меня нет никаких данных о том, какой процент юзеров работает через шифрованные соединения на Западе - и у меня есть стойкие сомнения, что этот процент много выше, чем в России.

Они пользуются ежедневно. Посмотри на тот же gmail, hotmail, yahoo — кто имеет ящик и проходит аутенфикацию — тот уже пользуется, понимаешь? Любые газеты, у которых есть доступ онлайн — у них тоже регистрация (посмотри на тот же http://www.livejournal.com/login.bml — стандартная регистрация по шифрованному протоколу — я совневаюсь, что кто-то из пользователей меняет ее на нешифрованную, если только его к этому не вынуждают). IETF как раз толкает идею сделать такие протоколы как можно более стандартными (если можно так выразиться) и прозрачными для обычного пользователя.

Vale] Ну, плюнув в потолок , я скажу, что по моим представлениям, на Западе процентов 20-30 и-нет юзеров раз- другой в неделю лезут на https сайты, а процентов 5-10 - через день, при этом и те и другие на обычные сайты ходят в разы чаще.

Я думаю, что ты воспринял утверждение как то, что они постоянно пользуются. Такого сказано не было. Более того, была даже высказана идея, что во время регистрации и будет передоваться информация на специальный сайт. Скажем, отчет, занимающий несколько страниц текста (из расчета 2 кило на страницу) сжатый и зашифрованный (останется 1 килобайт) через канал 128 кб в секунду (около 16 кБ в секунду) будет передаваться сколько? Даже через модем это будет передаваться несколько секунд или десятков секунд.

Vale] То есть, я думаю, что и на западе, отбросив шифрованную связь с заведомо известными банками, и известными и-нет магазинами, а также удалённую работу с известными IP - можно вычленить довольно небольшую часть трафика, на которую стоит обратить внимание.

Я думаю, что ты не прав — всякие управления своей персональной информацией на любом сайте идет по защищенному протоколу. Скажем, я покупаю кофе в Gevalia — все оформления подписок, моей кредитной карточки, имени, адреса идет по шифрованному каналу. Аналогично с всеми моими провайдерами — Telerama, Verizon, Adelphia. Все большие провайдеры дают свободное место для организации своей странички. Место можно купить так же. Вот управление данными аккаунта идет по шифрованному каналу — это стандарт. Поэтому переключение с нешифрованного трафика на шифрованный происходит постоянно. С точки зрения браузера это отмечается иконкой замка (закрыт-открыт) и сменой префикса http-https. Ну еще предупреждениями от браузера, что страничка содержит смешаный контент — если браузер настроен на это. Самое смешное, что почти все файерволы пропускаю порт 443 (https) на выход и через это дело великолепно устанавливается тунель.

Vale] Это будет значительно труднее, чем в России ( всяческие legalese - оставим юристам), но у меня нет впечатления, что это будет невозможно. То есть мне кажется, что вы стандарты принятые в вашей среде, где вы крутитесь, переносите на весь остальной И-нет, и это, наверное, не абсолютно корректно.

Как говорил один из манагеров моей компании — наша задача выпускать холодильники, а не космические корабли. Простой Вася-балбес и не должен подозревать, что там и как — он нажимает кнопку, дергает за ручку, а оно работает. Для него все выглядит просто. Это и определяет успех продукта на рынке. Точно так же задача IT отдела состоит в том, чтобы обеспечить эту безопасность для пользователей, которые не понимают что и как. У нас на 17,000 человек это дело понимают и знают как это работает — ну 1,000 максимум. Но все в компании находятся в домене с полной аутенфикацией, с обязательными сменами пароля через месяц, запоминанием последних 7 паролей и невозможностью пользоваться простыми паролями. Сеть поделена на сегменты и подсеть финансового отдела вынесена в шифрованный VPN (при этом финасовое подразделение ни шиша в этом не смыслет).

Vale] Кстати, добавлю ещё соображение, почему "камень" лучше "интернет-канала".
Потому что процесс передачи данных может быть под контролем разведки.

Это справедливо и для камня. Что и случилось в обсуждаемом случае — их сняли на пленку всех.

Vale] То ли резидент, которого агент не знает, то ли второй камень с видеокамерой, то ли видеокамера с телевиком в километре от закладки - да пусть что угодно... но если к камню подошёл НЕ НАШ человек, и сбросил данные от НАШЕГО, либо это был НАШ человек, но вёл себя странно - то есть повод задуматься, а нет ли двойной игры...

Не, здесь ты послушай U235 — протокол обмена при камне — он достаточно четко оговорен и не зря. Если подошел не наш и сбросил данные от нашего — это уже провал.

Vale] С интернет-каналом такое как минимум затруднительно, ПМСМ.

Интернет канал имеет другое преимущество — они доступны, их много, адресатов до хрена, и всю деятельность каждого человека не хватит рессурсов проверить. Это как с RSA — может и найдется что, но сейчас неизвестно.

Ну, насчёт камня мы с тобой друг друга поняли.

А насчёт русских реалий - так я не один случай знаю, когда бухгалтерия госпредприятия сидит в открытую в инете... общается незашифрованным трафиком.... Не скажу где (нет, не в "ящике"), но я думаю, таких мест до фига. Вероятность, наверное, выше 0.25 для бюджетных госпредприятий мелкого и среднего калибра. Там, где на нормального сисадмина денег нет. У нас вроде так такое придавили недавно - но сколько сил ушло - уф.

Вот тебе, бабушка, и "информационная безопасность".

Я попробую суммировать.
Радиозакладка, т.е. "камень" хороша тем, что чтобы её сменить - требуется лишь дать агенту новый приборчик связи, возможна аутентификация агента, и не требуется его высокой квалификации, и плоха тем,что если она обнаружена - агент "засвечивается"..

Шифровнанный интернет канал хорош тем, что в условиях, когда таких каналов много, его фиг найдешь. И плох тем, что если доля шифрованного трафика мала - он сам по себе "светится", плюс требует достаточно высокой квалификации агента.

Вот и всё. Соответственно, выбор англичанами канала связи через "закладку" в конкретно наших условиях для меня выглядит вполне оправданным.