Цифровой журнал «Компьютерра» № 191 - Коллектив Авторов

Исполнительный директор Фонда свободного программного обеспечения Джон Салливан (John Sullivan) призывает отказаться от покупки новых iPhone 5S и 5C, мотивируя это явной угрозой приватности:

Мы не можем представить более враждебной реакции на волну обеспокоенности о приватности, нарастающей в мире прямо сейчас, чем представление проприетарного сканера отпечатков пальцев с сетевым доступом как новой функции.

Теперь у Apple будут ваши отпечатки пальцев (фото: John Russell).

Заявление было написано вскоре после скандала, который породил эксперимент криптографа Мэтью Грина (Matthew Green), показавший, что Apple может читать зашифрованную переписку в iMessage: «В Apple могут призывать “думать иначе”, но правила безопасности касаются их тоже», — пишет он в заключение.

Сегодня достаётся даже основанной на ядре Linux ОС Android. Независимый консультант по вопросам информационной безопасности Майкл Хоровиц (Michael Horowitz) написал в своём блоге, что начиная с версии 2.2 все устройства под управлением Android по умолчанию отправляют сохранённые пароли от сетей Wi-Fi и другие приватные данные в дата-центры компании:

Google давно имеет техническую возможность получать пароли от домашних и корпоративных Wi-Fi-сетей. Вряд ли компания желает причинить таким образом вред своим клиентам. Скорее у руководителей просто не было выбора. Они утверждают, что хранят все данные в защищённых дата-центрах и удаляют их со временем, но наверняка прежде их передают АНБ, ЦРУ и ФБР. Если вы хоть раз подключались к беспроводной сети со смартфона или планшета под управлением ОС Android, то спецслужбам даже не потребуются эксплойты, чтобы проникнуть в неё.

Скриншот настроек в Android v.4.2.

В качестве альтернативы Хоровиц упоминает проект Replicant, в рамках которого уже четвёртый год создаётся свободно распространяемая версия Android с открытым исходным кодом.

Открытость ≠ безопасность

Действительно, в свете последних известий о размахе деятельности АНБ многие видят в открытом ПО средство спасения от протрояненных систем и основу доверенных платформ. Однако скептики в очередной раз предостерегают от ложных надежд.

Открытость ещё ничего не значит сама по себе. Порой опытные программисты с трудом читают свои же листинги старых проектов. Эффективный анализ чужого кода и вовсе под силу единицам. Причём совсем не факт, что эти специалисты высокого уровня захотят тратить на это неблагодарное занятие своё время.

Внедрить программную закладку в Linux или *BSD сегодня так же просто, как и в проприетарные ОС. При существующем объёме открытого кода они будут оставаться незамеченными месяцами, если не годами. Истории с переходившими от версии к версии критическими уязвимостями — наглядное тому подтверждение.

К примеру, уязвимость нулевого дня, вызывающая несанкционированное повышение привилегий, существовала в ядрах Linux версий с 2.6.37 до 3.8.8. Иными словами, серьёзную ошибку не замечали около двух с половиной лет.

«Зачем я буду проверять код, если до меня его уже досконально изучили тысячи более опытных волонтёров?» — примерно так думает большинство сторонников open source.

В самом деле, кто из вас лично проверял исходники хотя бы десятка популярных программ? Драйверов? Сколько пользователей вообще загрузили их для ознакомления? Единицы, и уровень их далёк от экспертного.

Впрочем, и специалистам приходится нелегко. Например, в коде хост-контроллера Intel xHCI (hub.c) целых восемь лет существовала ошибка с указанием тайм-аута, приводящая к внезапному отключению многих USB-устройств после выхода из режима ожидания. Баг не просто не замечали так долго. Его прицельно искали программисты Intel и многие члены Linux-сообщества, но не могли найти.

Серьёзный анализ кода часто становится невозможным или неоправданным из-за темпов разработки и разветвлённости направлений оптимизации. Пока вы будете изучать один релиз, напишут два новых.

Доверять [,] нельзя [,] проверять!

Казалось бы, ладно — Linux. Там чёрт ногу сломит, в этом обилии дистрибутивов и их специфике. Есть же более узкоспециализированные операционные системы и защищённые программно-аппаратные решения от уважаемых компаний. Почему бы не довериться им?

Да хотя бы потому, что и в этих продуктах по-прежнему выявляются ошибки, выглядящие как явные программные закладки. Например, не так давно компания Hewlett-Packard подтвердила наличие бэкдоров в своих системах резервного копирования StoreOnce D2D Backup и хранения данных StoreVirtual Storage. Уязвимости, которые невозможно было устранить путём любых изменений конфигурации, существовали на протяжении четырёх лет.

Последний гвоздь в крышку гроба приватности забивает технический эксперт Роберт Погсон (Robert Pogson) из Университета Манитобы. Он сам сторонник концепции open source и считает это направление верным, но при этом спрашивает коллег: «С чего вы вообще взяли, что основные угрозы приватности реализованы на уровне бэкдоров в ОС и приложениях? Есть более удобные и универсальные способы контролировать всех на более низком уровне».

Речь идёт о низкоуровневых функциях современного «умного» железа — сетевых картах с изменяемыми настройками, маршрутизаторах с прошивками на базе полноценной ОС, UEFI с браузером и кучей встроенных утилит, независимой от платформы среды драйверов EBC, технологии Intel vPro, наконец.

Уже давно не удивляет возможность получить удалённый доступ к компьютерам без установки на них не только сетевых драйверов, но и самой операционной системы. Даже удалённое включение «выключенного» компьютера и изменение его BIOS по сети не выглядит чудом. И это только известные штатные функции, верхушка айсберга.

К оглавлению

Пять главных бизнес-моделей продажи цифровой музыки

Олег Нечай

Опубликовано 18 сентября 2013

Восемнадцатого сентября 2013 года Apple наконец-то запускает долгожданный потоковый сервис iTunes Radio: бесплатное веб-радио станет частью мобильной операционной системы iOS 7, пользователи которой смогут создавать собственные «станции» с учётом своих уникальных музыкальных предпочтений. Сервис будет полностью бесплатным, причём подписчики iTunes Match даже не увидят никакой рекламы. Кроме того, веб-радио максимально упростит покупку музыки: слушатель сможет нажать кнопку «Купить» непосредственно во время трансляции понравившейся песни — или найдя её потом в «истории» прослушивания.

Фактически iTunes Radio представляет собой «вариацию на тему» интернет-радиоcервисов вроде Pandora, Spotify или Rhapsody, только для владельцев iPhone и iPad. Именно таким потоковым службам многие эксперты прочат большое будущее. Тем не менее, несмотря на рост популярности стриминговых веб-радиостанций, окупающихся за счёт демонстрации рекламы, многие до сих пор предпочитают скачивать музыку на свои плееры, поэтому тесная интеграция iTunes Radio с собственно iTunes может действительно подстегнуть продажи аудиозаписей через интернет. Так что в лице iTunes Radio та же Pandora может получить очень опасного конкурента.

Модель, реализованная в iTunes Radio, хорошо известна: выбираете жанр или исполнителя или альбом и получаете бесконечный автоматически сгенерированный поток музыки, которая, исходя из заданных критериев, должна вам понравиться. При этом можно отметить песни, которые вас особенно впечатлили или, напротив, треки, которые вы больше не хотели бы слышать никогда. В Apple также обещают эксклюзивные предложения самых свежих релизов и поддержку стриминга не только на мобильных устройствах, но и на настольных компьютерах.

Наблюдатели так давно ожидали появления потокового интернет-радио в исполнении Apple, что его реальный запуск даже теряется на фоне презентации новых iPhone 5S с биометрическим датчиком, а тем более — разноцветных пластмассовых iPhone 5C. Между тем это весьма значительное событие для всей индустрии цифровой музыки: компания, которая изначально сделала ставку именно на продажу легальных аудиозаписей, сегодня пытается стимулировать спрос с помощью бесплатного сервиса, эксплуатирующего принципиально иную бизнес-модель.

Всё больше крупных компаний обращают внимание на этот способ опосредованной продажи записей, при котором вроде бы основная функциональность сервиса предоставляется совершенно бесплатно (или на условиях просмотра рекламы), но сама технология веб-вещания провоцирует слушателя на случайные покупки, сделанные нередко чисто из-за минутного порыва. Поскольку цена отдельного трека очень невелика, такие покупки не станут обузой даже для студенческого бюджета, а в процессе прослушивания веб-радио будет формироваться стойкая привычка приобретать понравившиеся песни.