https://support.qbpro.ru/index.php?action=history&feed=atom&title=%D0%A1%D0%B0%D0%B9%D1%82_%D0%BA%D0%BE%D1%82%D0%BE%D1%80%D1%8B%D0%B9_%D0%BD%D0%B5%D0%BB%D1%8C%D0%B7%D1%8F_%D0%B7%D0%B0%D0%BA%D1%80%D1%8B%D1%82%D1%8C 2026-04-03T20:21:54Z История изменений этой страницы в вики MediaWiki 1.38.1 https://support.qbpro.ru/index.php?title=%D0%A1%D0%B0%D0%B9%D1%82_%D0%BA%D0%BE%D1%82%D0%BE%D1%80%D1%8B%D0%B9_%D0%BD%D0%B5%D0%BB%D1%8C%D0%B7%D1%8F_%D0%B7%D0%B0%D0%BA%D1%80%D1%8B%D1%82%D1%8C&diff=878&oldid=prev 2013-09-09T19:56:49Z

<p>Новая страница: «==&#039;&#039;&#039;Информационная безопасность / Революция 2.0 — как сделать сайт, который невозможно зак…»</p> <p><b>Новая страница</b></p><div>=='''Информационная безопасность / Революция 2.0 — как сделать сайт, который невозможно закрыть'''== <br /> <br /> Так уж повелось, что правительству разных стран (будем говорить о ближайших:<br /> Россия, РБ и Украина) не нравится, когда люди выражают свое мнение. Примером<br /> тому может служить недавнее закрытие группы вконтакте «Революция». Наиболее<br /> понятная причина по которой это было сделано следует (ИМХО) из комментария: &quot;Их<br /> (Vkontakte) интересуют только деньги, так что выбор ясен и прост: либо<br /> ограничение доступа во всю социалку со стороны Беларуси и минус бабки либо<br /> удаление одной группы&quot;. Но в этом топике я хочу поразмышлять на тему — а<br /> насколько сложно сделать такой сайт, который невозможно будет закрыть?<br /> <br /> <br /> <br /> Для начала определимся какой сайт нас интересует. Во-первых, глядя на VK, ЖЖ и<br /> другие веб-сайты можно сказать одно совершенно ясно: размещать группу<br /> «Революция» на таких сайтах нельзя. Группа может быть закрыта модераторами,<br /> администраторами под давлением различных сил, с нарушением законодательства. Как<br /> это работает мы уже все прекрасно знаем. В этом свете свободой Интернета тут не<br /> пахнет.<br /> <br /> Поэтому выход один: использовать свой собственный веб-сайт, размещенный на<br /> разных серверах. Причем, для движка сайта можно использовать любой форум.<br /> Главное чтобы это было просто, можно сделать вход через Facebook, Google и т.д.<br /> Самый важный пункт на этом этапе — мы должны иметь емайлы всех<br /> зарегистрированных пользователей. Почему — скажу далее. Сайт должен размещаться<br /> на своем собственном сервере. Подойдет, кстати, и виртуальный хостинг.<br /> <br /> И если подумать, то способы закрытия такого сайта могут быть следующими:<br /> <br /> а) отключение сервера по IP адресу (не важно как, в датацентре, либо на основных<br /> маршрутизаторах)<br /> <br /> б) отключение доменного имени<br /> <br /> К счастью, Интернет разрабатывался как отказоустойчивая сеть. И это нам поможет<br /> при организации сайта, который невозможно будет закрыть.<br /> <br /> Итак, рассмотрим эти два пункта и углубимся немного в мат.часть, чтобы<br /> проанализировать — как можно избежать закрытия и сделать более или менее<br /> децентрализованный сайт своими силами. Хочется сразу сказать, что самый хороший<br /> способ — это простой способ. Поэтому вместо построения пиринговой<br /> децентрализованной сети мы остановимся на том, что может сделать каждый школьник<br /> уже завтра.<br /> <br /> Итак, отключение сервера по запросу товарища полковника в датацентр. Решение<br /> этой проблемы довольно простое — переносим сервер в какую-нибудь Германию,<br /> Швецию или другую лояльную к цивилизованным гражданам страну.<br /> <br /> Второй способ защиты IP адреса нашего сервера состоит в скрытии IP. Для этого<br /> можно использовать решения типа load balancer. Такие решения работают очень<br /> просто, даже существует множество хостингов, которые предоставляют подобные<br /> услуги. Для скрытия IP адреса мы просто изменяем IP в панели управления нашего<br /> домена на адрес load balancer'а. И, соответственно, настраиваем наш load<br /> balancer таким образом, чтобы он коннектился к нашему серверу. Можно также<br /> настроить кеширование DNS таким образом, чтобы каждый раз разным пользователям<br /> выдавался разный IP load balancer'ов.<br /> <br /> Можно самому создать свои несколько load balancer'ов на разных хостингах,<br /> установив туда софт типа HAProxy. Этими простыми действиями мы скроем реальный<br /> IP адрес нашего сервера. Этот способ является также простым способом избежать<br /> бана на маршрутизаторах. Жалобы кровавой гэбни падут только на сами load<br /> balancer'ы. Но их будет уже несколько, и в разных местах. К тому же, мы можем<br /> легко задавать IP адреса новых load balancer'ов в панели управлении нашего<br /> домена.<br /> <br /> И тут мы подходим ко второму, самому важному пункту. Отключение доменного имени.<br /> Во-первых, в этом вопросе очень важно выбрать правильного регистратора. Не<br /> использовать RuCenter. И стоит ли говорить о том, что домен не должен быть в<br /> зоне .ru, .by, .ua? Нам надо зарегистрировать домен с запоминающимся названием<br /> (а это важно, чтобы можно было всегда продиктовать название по телефону) в зонах<br /> com, net, org. Можно также .me. Я бы порекомендовал регистратора Moniker, как<br /> проявившего себя наиболее адекватным в тяжелых случаях.<br /> <br /> На данный момент самый простой рецепт звучит так: сделать форум, публичный<br /> движок, хостинг в другой стране, домен не-RU, регистратор Moniker. Думаю, что<br /> этого бы хватило участникам группы Вконтакте «Революция» на случай закрытия. Тут<br /> важную роль играет e-mail человека. Т.к. почтовые сервера сами по себе<br /> децентрализованные, то можно разослать сообщение вида «наша группа была закрыта,<br /> продолжаем общение на сайте viva-la-libertad.me, просьба оповестить всех<br /> знакомых».<br /> <br /> Но у нас по-прежнему узким звеном остается доменное имя. Как сделать так, чтобы<br /> доменное имя нельзя было закрыть? К счастью, решение есть. Оно, может быть и не<br /> очень красивое, но вполне действенное и самое главное — простое в реализации.<br /> Примем тот факт, что наше доменное имя могут закрыть. И на Moniker мы никак не<br /> сможем повлиять. Что делать дальше?<br /> <br /> К сожалению, если вы не подготовились к закрытию, то у меня для вас плохие<br /> новости. Максимум что можно сделать — разослать емайлы пользователям, мол мы<br /> находимся на новом адресе. Но этот адрес тоже могут закрыть. Пользователи могут<br /> устать переключать адреса и в голове будет каша. Нам нужно сделать так, чтобы<br /> адрес у пользователей нашего сайта был доступен всегда. Они всегда должны<br /> заходить на viva-la-libertad.me, и видеть все тот же любимый и рабочий форум.<br /> Как это сделать?<br /> <br /> Вспомним за что отвечает служба DNS? За преобразование имен в IP адреса. В файле<br /> C:\Windows\System32\drivers\etc\hosts мы можем назначить любому доменному имени<br /> любой IP. Другими словами, задача сводится к тому, чтобы в этом файле всегда<br /> оставался рабочий IP адрес нашего форума. Но как это сделать? Ведь руками не<br /> будешь вписывать этот адрес каждый раз.<br /> <br /> Сделать это немного сложнее, чем все предыдущие действия, но тоже вполне<br /> реально. Мы воспользуемся приемом, похожим на тот, которые используют различные<br /> вирусы для получения команд от своего хозяина. А именно — запрос команд с<br /> различных доменов. Как это работает?<br /> <br /> Наша программа, которая будет отвечать за правильное содержание файла hosts<br /> должна ежедневно опрашивать URL на нашем наш сервере вида<br /> viva-la-libertad.me/date04-07-2011.txt. Каждый день (или лучше час) будет<br /> существовать новый файл, которые администраторы заливают на сервер вручную. В<br /> этом файле будет содержаться одна строка вида «SERVER OK _ цифровая_подпись».<br /> Программа будет проверять цифровую подпись, и если сервер работает, то программа<br /> ничего не делает.<br /> <br /> Как только файл обнаружить не удалось, запускается второй алгоритм — поиск<br /> нового сервера. Этот алгоритм работает следующим образом. Каждый день<br /> генерируются, скажем, имена двух сотен новых доменов. Эти имена будут вида<br /> a2b4c3e3.com и т.д. Программа будет пытаться обращаться к каждому из них и<br /> получать тот же самый файл a2b4c3e3.com/date04-07-2011.txt. В случае, если этот<br /> файл найден, анализируется содержимое и проверяется цифровая подпись. Если она<br /> верна, строка вида «11.22.33.44 viva-la-libertad.me» заносится в hosts. Где ip —<br /> это IP адрес a2b4c3e3.com.<br /> <br /> Объясняю немного подробнее для тех, кто не понял. В программе генерируются<br /> _имена_ доменов. Автору группы «Революция» чтобы сменить IP адрес в локальном<br /> DNS (на windows-машине) у своих пользователей стоит всего лишь зарегистрировать<br /> домен и выложить файл date04-07-2011.txt в свободный доступ. Товарищ полковник<br /> может также зарегистрировать домен, и выложить этот файл. Но товарищ полковник<br /> не сможет подделать цифровую подпись. Она находится только у автора группы<br /> «Революция».<br /> <br /> Единственный выбор товарища полковника — узнать алгоритм генерации доменов и<br /> регистрировать в спешном порядке сотни доменов. Нагрузка в этом случае очень<br /> сильно увеличивается. И сделать это очень сложно. А автор группы «Революция»<br /> может создать программу, которая будет генерировать не 200 доменов в день, а<br /> тысячу, или две. Таким образом для закрытия подобного сайта придется ежедневно<br /> регистрировать тысячи левых доменов. А 1000*$20 (цена домена) = $20000 долларов<br /> в день только на то, чтобы сайт снова не начал работать.<br /> <br /> Т.е. на этом этапе контролировать IP адрес своего доменного имени может только<br /> автор группы «Революция», с помощью своего секретного ключа. Для того, чтобы<br /> пользователи могли без опаски скачивать и устанавливать программу, существует<br /> несколько решений, которые можно комбинировать:<br /> <br /> а) предоставлять исходный код программы (можно без алгоритма генерации доменов).<br /> В программе будет зашит только публичный ключ, поэтому какой-либо ценности<br /> исходный код не представляет.<br /> <br /> б) объяснить пользователям как создать ограниченный аккаунт в системе windows,<br /> под которым будет запускаться программа (и установщик), который будет иметь<br /> доступ только к файлу hosts.<br /> <br /> Также я настоятельно бы порекомендовал автору группы «Революция» при регистрации<br /> пользователя на форуме отправлять ему письмо со своим публичным ключом. Только<br /> ради того, чтобы потом можно было подписывать письма пользователям для того,<br /> чтобы они убедились, что на связи действительно автор группы «Революция», а не<br /> товарищ полковник.<br /> <br /> Все эти действия реальны и могут быть сделаны любым техническим специалистом<br /> среднего уровня. Алгоритмы шифрования с длинным (2048 бит и выше) ассиметричным<br /> ключом (RSA, реализован в программе PGP) полностью гарантируют работоспособность<br /> такой архитектуры. Думаю, что в наше время это должен знать каждый.<br /> <br /> Резюмируя, грамотное создание группы «Революция» сводится к следующим пунктам:<br /> <br /> Программа-минимум:<br /> <br /> 1. Регистрация групп в социальных сетях<br /> 2. Регистрация отдельного доменного имени, поднятие своего форума на этом имени<br /> 3. Оповещение пользователей о том, чтобы они хотя бы раз вошли (через facebook<br /> sign in, например, или зарегистрировались) на этот форум на случай, если группу<br /> закроют. Нам нужны e-mail адреса пользователей.<br /> <br /> Программа-максимум:<br /> <br /> 4. Создать специальную программу, с открытым исходным кодом, которую установит<br /> себе каждый пользователь форума.<br /> <br /> Приглашаю обсудить статью в комментариях.<br /> <br /> PS просьба перепостить текст в разных местах, в своем жж, на форумах, т.к. на<br /> хабре может и не выжить.<br /> PPS и да, за мной уже выехали)<br /> Источник: habrahabr.ru<br /> <br /> [http://gliffer.ru/articles/informatsionnaya-bezopasnost--revolyutsiya-20-%E2%80%94-kak-sdelat-sayt-kotoriy-nevozmogno-zakrit/ статья тут]</div>

imported>Vix