“Роса”: перенацеливаемая отечественная ОС нового пок

[Mirage]

При этом несовместимое - это не значит сделанное на коленке, нужно делать используя все достижения современной кибернетики и науки об кибербезопасности.

Тогда несовместимость не нужна, т.к. в смысле безопасности ничего не добавляет.
Я не про безопасность от ЦРУ, пытающегося тотально контролировать людей через фейсбук и гугл. А про безопасность от несанкционированного доступа. Так вот, последняя не может быть достигнута с помощью использования несовместимых, запутанных протоколов и стандартов.

А про финансирование от ЦРУ позабавило - гугл давно прибылен, причем более-менее понятно за счет чего, а фейсбук, вроде все еще глубоко убыточен.

Соглашусь, что использование многих сервисов одной компании нежелательно, т.к. слишком много знать будет. Надо диверсифицировать - ОС на телефоне от одной, почта от другой, поиск третьей и т.д. А там пусть договариваются, если хотят тотального контроля.

Вот проблема использования чужого железа (процессоров, коммуникационного оборудования) мне кажется куда актуальнее в смысле безопасности. Во всех смыслах. Если туда ЦРУ что-нибудь не встроило на черный день, то их надо разогнать.

В современной версии электронной почты - это да, работает, т.к. почтовый сервер может работать как угодно. В варианте обсуждаемом лет 15 назад (я не был автором тех идей, а всего навсего очень образно и упрощенно рассказываю один из предлагаемых тогда вариантов, а вариантов предлагалось довольно много, но ни один вариант не прошел) говорилось о том, например, что для отправки более 100-200 писем в сутки, предлагалось написание письменного заявления в адрес провайдера. Все просто, комп заразилса, вирус (бот) отсылает 100 писем и все. Дальше проблема локализована и устранена. На следующий день, все зараженные компы будут вылечены, т.к. без этой операции они будут заблокированы провайдером. Спам рассылка закончится через 1-2 дня, после ее начала.

Вы таки будете смеяться, но сейчас все так и есть. Провайдер быстро блокирует смтп-сервер, если тот занимается массовой рассылкой. И рассылка редко длится больше дня. Но этого хватает.

[debi12345]

Уважаемый alexey38. Может быть Вы не в курсе, что 99.9% спама рассылают бот-сети. Т.е. спам идет с компьютеров зараженных вирусом. Описанная Вами технология не защищает от спама. Увы. Вы будете получать честно подписанные письма, но это будет спам.

Это точно - дым от проводов идет, когда такой бот "трудится" Вообще увы Интернет потихоньку превращается в коммерциализированную помойку - иногда что-то ищешь и чуть до бешенства не доходишь. А "центовых кликунов" а "баннеро-вешателей" нужно больно "кликать" и вешать в реале.
Ну, и проблема уязвимости е-мэйла к спам-технологиям заключается во множестве подменяющих друг друга (на разных этапах RPOP/ETRN-сбора, компоновки и доставки) полей, предназначенных для релэйинга (доставки) сообщений - и поэтом все эти поля считаются легальными. Навскидку-напамять - Path, X-path, ReturnPath, X-ReturnPath. Поэтому например можно "подписаться" реальным пользователем от имени "левого",...

[alexey38]

А еще через три заражены по новой... Да и потом, смысл бот сетей в том, чтобы размазать отсылку писем по большому количеству исходящих адресов. То есть лимит в 100-200 писем никогда не должен превышаться.

Смысл немного в другом. Основной смысл в наличии юридической ответственности.
Есть обычная почта с анонимами, со спамами - все как и сейчас.

А есть другая почта, без анонимов, с ответственностью за спам. Если Вы решили использовать такую почту, то подписываете отдельный письменный договор с провайдером, с отдельно прописанной ответственностью. Заразился Ваш комп ботом, отправил 100 писем - Вас отключили, выписали предупреждение, пока не вылечитесь, опять не подключат. Если Вы через 3 дня опять заражаетесь, то Вам предъявляют штраф, например, 100 баксов. Если Вы спустя неделю очередной раз подхватываете бот, то штраф уже 1000 баксов и т.п.

Основной смысл в возможности юридически предъявить претензию. Когда Вас начнут штрафовать реальными деньгами, то Вы мигом установите такую ОС, с тем набором антивирусных средств и т.п., чтобы больше ни когда такое не случалось. Ситуация как с кредитками и банковскими счетами. Есть реальный риск ущерба - и народ уже думает о безопасности. А когда нет ответственности, то зачем морочить голову разными там линухами, антивирусами и прочей лабудой. Вирус шлет письма - да и без разницы, не мне же шлет. Они там пусть сами решают свои проблемы.

[debi12345]

Вы мигом установите такую ОС, с тем набором антивирусных средств

??? Антивирусы, в том числе платные - огтнюдь не гарантия от заражения вирусами (LNK-Exploit, шурующий в промышленном шпионаже - лет десять был необнаруживаем, или был запрет на его обнаружение потому что он был кому-то нужен - а белорусская команда, обнаружившая этот вирус, об этом запрете просто не знала ). Вот если бы сам провайдер предоставлял такие 100% надежные средсва и выплачивал бы штрафы в случае пропуска вируса...

[vada]

Теперь понятно почему новый стандарт не приняли

предлагалось написание письменного заявления в адрес провайдера.

[alexey38]

??? Антивирусы, в том числе платные - огтнюдь не гарантия от заражения вирусами (LNK-Exploit, шурующий в промышленном шпионаже - лет десять был необнаруживаем, или был запрет на его обнаружение потому что он был кому-то нужен - а белорусская команда, обнаружившая этот вирус, об этом запрете просто не знала ). Вот если бы сам провайдер предоставлял такие 100% надежные средсва и выплачивал бы штрафы в случае пропуска вируса...

Вас никто не заставляет ставить антивирус. Вы можете для отправки электронной почты поставить дешевый отдельный компьютер под линухом, и только на нем работать с почтой. Для игрушек и порнушки используйте винду.
Вот у Вас есть банковский счет, есть банковская карта, если будете небрежно с ними обращаться, то потеряете деньги. Как обеспечить безопасность - Ваше дело, есть 1000 способов, дорогих и дешевых, есть бесплатные способы. Смысл в персональной ответственности.

Добавлено спустя 9 минут 8 секунд:

Теперь понятно почему новый стандарт не приняли

Это был не главный аргумент.
Первоначальная цель была в создании отдельной системы специальной электронной почты для деловой переписки. Никто не покушался на обычную почту.
Что предлагалось 15 лет назад сегодня частично родилось в виде электронной отчетности для налоговой инспекции, когда налоговая инспекция и налогоплательщик могут переписываться и обмениваться документами, однозначно идентифицируя кто отправил, кто не отправил. Но это работает только в конкретной паре. Система банк-клиент - это тоже подобное, но это отельная система. Электронная торговая площадка - это еще одна аналогичная система. Это все работает на уровне двух контрагентов работающих между собой по отдельно заключенному договору. Понадобится электронный обмен с пенсионным фондом - это еще один договор и еще одна система. Нет общей единой системы для работы всех со всеми, а это предлагалось, но было саботирование на очень высоком уровне.

P.S. Кстати про бот сети отсылающие спам в налоговую инспекцию от налогоплательщиков что-то не слышно.

[Mirage]

Это называется электронная цифровая подпись. И отчетность в налоговую и поручения банкам и т.д. И обычным людям тоже ничто не мешает между собой переписываться, используя ЭЦП. Однозначно идентифицируя каждого отправителя. Любой уважающий себя почтовый клиент это умеет.

[Лекс Айрин]

то Вы мигом установите такую ОС, с тем набором антивирусных средств и т.п., чтобы больше ни когда такое не случалось.

Проблема в том, что даже под линуксом, если комп настроен хоть капельку удобно для работы в сети, можно создать гадость мешающую его работе. не зря же сейчас взламывают не сети, а браузеры или плагины к ним.

ЗЫ: и не забываем, что первые зловреды появились отнюдь не для ms-dos.

[amateur]

когда налоговая инспекция и налогоплательщик могут переписываться и обмениваться документами, однозначно идентифицируя кто отправил, кто не отправил

"идилия" .

P.S. Кстати про бот сети отсылающие спам в налоговую инспекцию от налогоплательщиков что-то не слышно.

А зачем бот - если сами проги "работают"... Сам с такими работаю. Поверьте бот отдыхает... Хотя, нет, он памяти жрет меньше, и реагирует быстрее...

[debi12345]

отсылающие спам в налоговую инспекцию от налогоплательщиков что-то не слышно.

Потому что там используется https с принудительной аутенификацией, а не е-мэйл.

Однозначно идентифицируя каждого отправителя. Любой уважающий себя почтовый клиент это умеет.

Умные "боты" отлично умеют отправлять и такие сообщения, если только при подписывании не ипользуется явный запрос пароля ключа

Добавлено спустя 4 минуты 36 секунд:

Вас никто не заставляет ставить антивирус. Вы можете для отправки электронной почты поставить дешевый отдельный компьютер под линухом, и только на нем работать с почтой. Для игрушек и порнушки используйте винду.

1) под линуксом тоже есть вирусы (а в браузерах вовсю резвится JavaScript) и 2) многое бы дал, чтобы увидеть на сайте провайдера требование (во избежание санкций и штрафов) ставить "линуксы" на машины домохозяек

Добавлено спустя 7 минут 45 секунд:

И обычным людям тоже ничто не мешает между собой переписываться, используя ЭЦП. Однозначно идентифицируя каждого отправителя. Любой уважающий себя почтовый клиент это умеет.

Только для этого нужен единый БЕСПЛАТНЫЙ (без абонплаты) национальный сервер сертификатов, ингерирванный с мировыми серверами и повзляющий генерить сертификаты новых клиентов в онлайн-режиме безо всяких заявок и писем. Даже у нас в Узбекистане (где наметилась явная тенценция к бесплатности услуг - потому что люди настолко не хотят платить за [нематериальные] слуги, что просто от них отказываются) этого еще не сделали.

[Лекс Айрин]

...ставить "линуксы" на машины домохозяек

Меня уже спрашивали, могу ли я поставить на машину к человеку линукс. После глобальной зачистки компа от зловредов. Так что, у людей уже размывается установка на "правильную ось". Антивирус стоял и не спас.

[debi12345]

Меня уже спрашивали, могу ли я поставить на машину к человеку линукс. После глобальной зачистки компа от зловредов.

С намерениями встречался неоднократно, а вот с воплощениями - единожды, когда челу понадобился флайт-симлутор, оказавшийся исключительно линуксовым.
Однако на работе мы ставим гибридную конфигурацию - грузится Линукс с двумя сессиями Х-ов (имеем две Х-консоли), в одной из них в виртуальной машине (VirtualBox) стартует полноэкранная WinXP (поправленная на потребление памяти - укладывается в 80МБайт) в режиме "всегда с последнего снэпшота", папка "Мои документы" привязана к домашнему Линукс-каталогу. То есть каких бы вирусов человек не наловил (и той же домашней папки) и какие бы софтинки не понаустанавливал, при следующей перезагрузке тимеет девственно чистую "хрюшу". На редкость живучая, практически неубиваемая конфигурация Но домохозяйка такую конфу сходу врядли поднимет:)

[Лекс Айрин]

debi12345, у меня на работе один человек сидит под убунтой. И больше не горит желанием менять ось на другую. Плюс, виртуальная хрюша, в которой сидит одна прога. Вначале все это было компромиссным решением. Потом прижилось и уже он самостоятельно сопротивляется смене оси. Не нарадуется стабильности.

Но домохозяйка такую конфу сходу вряд ли поднимет:)

Лично я тоже.

[alexey38]

Это называется электронная цифровая подпись. И отчетность в налоговую и поручения банкам и т.д. И обычным людям тоже ничто не мешает между собой переписываться, используя ЭЦП. Однозначно идентифицируя каждого отправителя. Любой уважающий себя почтовый клиент это умеет.

У ЭЦП есть свое назначение, ей отправитель подписывает документ. Но получатель иным способом (вне этого письма) должен иметь ключи, чтобы определить чья эта ЭЦП и не поддельная ли она.
Если я Вам пишу письмо первый раз в жизни, и мы никогда раньше не общались, то моя ЭЦП Вам ни о чем не будет говорить. Точно также если я Вам пришлю письмо на бумаге, со своей личной подписью, Вам она также не будет знакома, и Вы не будете знать настоящая ли она.
Поэтому ЭЦП не подходят для общения множества людей, без участия мегарегулятора (глобального цифрового нотариуса), который бы проверял все ЭЦП в мире, но тогда мегарегулятор будет читать все письма (быть как бы цензором), т.к. без обращения к нему Вы не сможете идентифицировать отправителя. Поэтому 15 лет назад предлагалось не ЭЦП, а другая система, немного похожая, но другая, где на каждом участке переприема может использоваться ЭЦП (отправитель - провайдер А, провайдер А - провайдер Б, провайдер Б - получатель), т.к. все эти стороны попарно между собой имеют взаимоотношения, но ЭЦП отправителя не приходит к получателю, ему достаточно только ЭЦП своего провайдера, и заверения провайдера о том, что в письме верные реквизиты.

Добавлено спустя 7 минут 43 секунды:

Потому что там используется https с принудительной аутенификацией, а не е-мэйл.

е-мэйл - это сокращение от слова электронная почта. Никто не предлагал на базе pop или smtp делать новый вариант почты. Предлагался принцип, перечень обязательных полей, требующих как заполнения, так и ответственности за их содержание. А как Вы будете передавать собственно посылку, уже детали, да хоть на флешке с ногами.

Экспресс-почту отправляли через курьера? Там есть стандартный бланк, курьер проверяет правильность его оформления, нельзя не заполнить некоторые графы, нельзя в них написать всякую лажу. Как дальше идет посылка отправителя уже не волнует. Однозначно понятно, кто отправитель, а кто получатель. Этим экспресс-почта (помимо цены) отличается от письма, которое можно бросить в обычный почтовый ящик в почтовом отделении.

Добавлено спустя 2 минуты 56 секунд:

Умные "боты" отлично умеют отправлять и такие сообщения, если только при подписывании не ипользуется явный запрос пароля ключа

Наличие Вашей персонально ответственности (вплоть до расстрела) побудит Вас избавится от ботов навсегда (ища для этого соответствующие методы и технологии). Сегодня нет ответственности, и нет мотива особо перегревать мозги думая о кибербезопасности.

Добавлено спустя 8 минут 59 секунд:

debi12345, у меня на работе один человек сидит под убунтой. И больше не горит желанием менять ось на другую. Плюс, виртуальная хрюша, в которой сидит одна прога. Вначале все это было компромиссным решением. Потом прижилось и уже он самостоятельно сопротивляется смене оси. Не нарадуется стабильности.

Я некоторым людям ставлю винду (98, ХР и более новомодные), ставлю ПО, настраиваю, немного обучаю, некоторых потом сопровождаю, некоторых не сопровождаю (их никто не сопровождает). В 50% случаев ОС ставится только раз, и до смерти железа компа. В 70% случаев, среди компов, где ОС была установлена 5-10 лет назад она до сих пор стоит не переустановленная. Все работает, все радуются стабильности. Если пользователь не ставит эксперементов с компом, то любая ОСь будет стабильной. На своем компе иногда переустанавливаю ОСь, но не от наличия там ботов, а от осознанных эксперементов. Но экстренно всего раз пришлось себе переустанавливать, в остальных случаях планово. Так что от версии и типа ОС ничего не зависит.

[Mirage]

Поэтому ЭЦП не подходят для общения множества людей, без участия мегарегулятора (глобального цифрового нотариуса), который бы проверял все ЭЦП в мире, но тогда мегарегулятор будет читать все письма (быть как бы цензором), т.к. без обращения к нему Вы не сможете идентифицировать отправителя.

Во-первых утверждение до "т.к." никак не следует из того, что после. Т.е. если будет некий репозиторий, где зарегистрированы все публичные ключи, это не даст кому-то возможность читать письма, тем более что сами письма через репозиторий вообще не проходят.
Во-вторых центральный репозиторий не нужен. Многие компании используют например PGP, но не используют её репозиторий (хотя он там есть). Достаточно отправить публичную часть ключа всем людям в группе. В данном случае сотрудникам.

Кстати, если думаете, что это кому-то нужно, то вот отличная идея для стартапа. Репозиторий ключей поднять проще простого.

Наличие Вашей персонально ответственности (вплоть до расстрела) побудит Вас избавится от ботов навсегда (ища для этого соответствующие методы и технологии). Сегодня нет ответственности, и нет мотива особо перегревать мозги думая о кибербезопасности.

Да, в эпоху банк-клиентов никто не против парочки ботов и троянов на своём компе.