книги хакеры / журнал хакер / 176_Optimized

COVERSTORY

МЕНЯ

ЗОВУТ

НИКТО

Роман Ярыженко rommanio@yandex.ru

TAILS

https://tails.boum.org

Разработчик: Tails Лицензия: GNU GPL

Системные требования: PC с USB/DVD, 1 Гб ОЗУ Русификация интерфейса: да

Tails расшифровывается как The Amnesic Incognito Live System, это потомок Incognito Linux, однако в отличие от прародителя он основан на Debian. Главные возможности версии 0.19:

•ядро 3.9.1;

•GNOME 2;

•Tor/I2P;

•браузер сконфигурирован с SSL по умолчанию, весь трафик идет через Tor, небезопасные соединения необходимо устанавливать в Unsafe Web Browser.

Также имеется интересная возможность — маскировка под Windows XP. От внимательного взгляда она, разумеется, не скроет, но для интер- нет-кафе ее вполне достаточно. При завершении работы содержимое памяти перезаписывается нулями.

LIBERTЕLINUX

dee.su

Разработчик: Maxim Kammerer

Лицензия: GNU GPL

Системные требования: PC с USB/DVD, 1 Гб ОЗУ Русификация интерфейса: да

Libertе основан на Gentoo, точнее, на его Hardened-версии. Соответственно, защита против эксплойтов включена по дефолту. Список ПО:

•ядро 3.4.7;

•LXDE/Openbox;

•Tor;

•виртуальная клавиатура Florence.

Ксожалению, удобный интерфейс к I2P отсутствует. Одна из изюминок дистрибутива — Cables communication, который позволяет анонимно обмениваться сообщениями на манер электронной почты. Для этого используется тот же почтовый клиент, что и для обычной почты, — Claws-Mail.

Так же, как и в Tails, организована очистка оперативной памяти. Если быть точным, эта функция впервые появилась именно здесь, а Tails подхватил идею и реализовал ее у себя.

TINHAT

opensource.dyc.edu/tinhat

Разработчик: D’Youville College

Лицензия: GNU GPL

Системные требования: PC с USB/DVD, 4 Гб ОЗУ Русификация интерфейса: нет

Базовая идея этого, основанного опять же на Hardened Gentoo дистрибутива заключается

виспользовании везде, где только возможно, tmpfs, поэтому он требователен к памяти. Загружается с DVD, но не является Live-дистрибутивом

всовременном понимании — при загрузке он всю корневую ФС грузит в память, что занимает ощутимое время (примерно пять минут), и при этом шифрует. Таким образом, хоть ключ физически и хранится в той же памяти, его еще надо найти, а для этого нужно специальное оборудование.

Если нужно сохранять данные, для шифрования используется loop-aes, поскольку после него зашифрованные данные не отличить от случайного шума (нельзя не учитывать, что у NSA, по слухам, больше возможностей для криптоанализа).

Ядро в Tin Hat монолитное, поэтому внедрить код в нулевое кольцо сложнее.

несколько таких устройств. По замыслам разработчиков, это должно позволить создать «свободное облако». Впрочем, FreedomBox направлен также на обход цензуры в тех странах, где она есть или скоро появится.

Тем не менее не все так радужно. Проект, похоже, тихо глохнет из-за отсутствия разработчиков и малого финансирования…

WHONIX

sourceforge.net/projects/whonix

Разработчик: whonix.org Лицензия: GNU GPL

Системные требования: PC с установленным VirtualBox, 2 Гб ОЗУ, 10 Гб дискового пространства Русификация интерфейса: можно поставить соответствующие пакеты

Отличие Whonix от других анонимных дистрибутивов — разделение его на две части: WhonixGateway и Whonix-Workstation. Первая позволяет анонимизировать весь трафик, идущий на второй или с него. Это позволяет избежать многих утечек, таких как утечка реального IP через Skype/ Thunderbird/Flash-приложения, по той простой причине, что реальный IP им недоступен. Поддерживается также и торификация Windows — как, впрочем, и любой другой ОС; тем не менее для пущей анонимности рекомендуется исполь-

зовать Whonix-Workstation.

Основаны обе части на Debian, соответственно, проблем с настройкой возникнуть не должно. В качестве рабочего стола используется KDE.

JONDOLIVE-CD/DVD

bit.ly/UpSh9Y

Разработчик: JonDos GmbH Лицензия: GNU GPL

Системные требования: PC c DVD/USB, 1 Гб ОЗУ Русификация интерфейса: нет

Этот Live-дистрибутив создан на основе Debian (удивительно, но на этот раз не Gentoo) и Xfce. Стоит отметить две самые интересные особенности:

•анонимайзер JonDonym, действующий аналогично Tor. Премиум-аккаунт платный, выходных узлов не так уж и много. Единственное преимущество платных аккаунтов по сравнению с Tor — заявленная скорость.

•MixMaster — ПО, позволяющее анонимно пересылать email. Вкратце принцип его действия таков: письмо направляется конечному адресату не напрямую, а через remailer; возможен также их каскад.

На Live DVD есть весь необходимый софт,

включая LibreOffice, Gimp и прочее.

LIPOSE(LPS)

spi.dod.mil/lipose.htm

Разработчик: US DoD Лицензия: закрытая

Системные требования: PC с USB/DVD, 1 Гб ОЗУ Русификация интерфейса: нет

Этот дистрибутив разработан минобороны США для своих нужд. Цель его разработки — создать безопасную среду для коммуникаций. Существует три версии данного дистрибутива:

•LPS-Public включает в себя Firefox с Flash, Java

и с поддержкой смарт-карт (CAC и PIY) для доступа американских чиновников к закрытым правительственным сайтам из дома;

•LPS-Public Deluxe включает LibreOffice и Adobe Reader для документов с цифровой подписью;

•LPS-Remote Access предназначен для внутреннего использования. Судя по всему, включает в себя VPN-клиент.

Эти дистрибутивы не предназначены для анонимного серфинга. Скорее, они подходят для безопасного онлайн-банкинга.

COVERSTORY

OWNCLOUD

Наверное, самый популярный проект, позволяющий организовать собственное хранилище файлов для обмена данными между пользователями. Причем по возможностям он давно обогнал Dropbox, поскольку кроме шаринга пользователь получает еще календарь, закладки, адресную книгу (с группировкой по категориям), список дел TODO и так далее. Реализовано шифрование файлов, после активации данной возможности информацию не может просмотреть даже администратор. Возможен контроль версий файлов (в качестве бэкенда используется Git, при нехватке пространства старые редакции автоматически удаляются), установка квот и ограничений на максимальный размер файлов. Корзина позволяет восстанавливать файлы

икаталоги, удаленные через веб-интерфейс. Пользователь может просматривать PDF- и ODF-файлы, рисунки в фотогалерее, прослушивать музыку. Предусмотрено редактирование текстовых файлов при помощи онлайн-редактора. Доступна синхронизация файлов, календаря и адресной книги с мобильным устройством или ПК и с другими системами, поддерживающими протокол remoteStorage. Система полнотекстового поиска, основанная на движке Apache Lucene, позволяет искать не только по именам файлов, но и по их содержимому.

Базовые возможности легко расширить при помощи плагинов, часть из них предоставляется самим проектом, доступны разработки третьих сторон. Большую коллекцию плагинов можно найти в репозитории (apps.owncloud.com). Здесь находим модуль, проверяющий сохраняемые файлы на наличие вирусов (с помощью ClamAV), модуль для организации музыкального сервера, позволяющий прослушивать музыкальную коллекцию с любого устройства в сети, хранилище подкастов и видеороликов с доступом через веб-интерфейс или медиаплеер. Таким же образом добавляется поддержка OpenID и LDAP, а также ра-

бота с внешними хранилищами Dropbox, Swift, FTP, SFTP, Google Docs, S3 и WebDAV.

Доступ к данным предоставляется как для зарегистрированных на сервере пользователей ownCloud (помечаются как общие/Shared), так и без регистрации для анонимного посетителя (в виде прямой ссылки). Реализована возможность отправки уведомлений другим пользователям через стандарт-

ный механизм нотификации KDE (Open Collaboration Services API, изначально проект развивался под эгидой KDE).

Для доступа используется веб-браузер или WebDAV, KDE KIO-Slaves, при помощи которых можно подключить хранилище в виде сетевого диска. Интерфейс системы локализован и организован логично и просто, поэтому с его освоением не должно возникнуть проблем у пользователя с любым уровнем подго-

товки. Разработаны клиенты ownCloud Desktop Client и Mobile Clients, позволяющие синхронизировать данные с настольной системой под управлением Windows, Linux и OS X либо мобильным устройством Android (доступен в двух версиях — платной

ибесплатной) или iOS (iPhone/iPad/iPod). Кроме этого, в интернете можно найти большое количество расширений и приложений App Store, позволяющих сделать работу с ownCloud еще более удобной. Например, для файловых менеджеров

Dolphin, Nautilus, Finder и Explorer доступны модули интеграции

с ownCloud.

ŚŤŗŖŘšŵśŢ ŘŨŤŦŤş ũŦŤŘśţŲ ŮŞŪŦŤŘŖţŞŵ

Все публичные облачные хранилища шифруют информацию, но, например, в случае с Dropbox или SkyDrive администраторы могут ее просмотреть. Поэтому если мы хотим сохранить конфиденциальность данных, лучшим способом будет их предварительное шифрование перед отправкой на сервер. Для этого можно использовать любую программу с нужной функцией, вроде TrueCrypt (truecrypt.org), но это неудобно. Выручают специализированные решения:

• Viivo (viivo.com) (ранее SecretSync) обеспечивает простой способ для шифрования локальной папки перед отправкой на Dropbox. После установки программы создается новый каталог, и все, что в него копируется, автоматически шифруется (AES-256) и синхронизируется с Dropbox. Бесплатен для персонального и коммерческого использования. Доступны клиенты для Windows, OS X, iOS и Android.

•Boxcryptor (boxcryptor.com) работает по принципу, схожему с Dropbox, Google Drive и Microsoft SkyDrive, SugarSync и хранилищами, использу-

ющими WebDAV, но шифрует файлы при помощи AES-256. Совместим с Windows, OS X, iOS и Android. Версия Free с базовыми возможностями (достаточными для персонального использования) доступна бесплатно.

•CryptSync (stefanstools.sf.net/CryptSync.html) совместима с Dropbox, Google Drive, SkyDrive и другими. Доступна сборка только под Windows. Распространяется по условиям GNU GPL.

Несколько серверов ownCloud могут взаимодействовать между собой, обеспечивая автоматическое резервное копирование и миграцию данных пользователя на другой сервер. Продукт быстро развивается, новый релиз выходит регулярно каждые три месяца.

Написан ownCloud на PHP и JavaScript, в качестве СУБД можно использовать SQLite, MySQL или PostgreSQL. Для развертывания подойдет стандартный LAMPили WAMP-сервер,

асам процесс достаточно тривиален.

Ксожалению, проект имеет длинную историю взломов — в разное время в коде ownCloud исследователи находили многочисленные критические уязвимости (выполнение произвольного PHP-кода на сервере, получение полного доступа к календарям других пользователей и другие). Поэтому при выходе новой версии советуем незамедлительно обновляться.

COVERSTORY

в результате которого уязвимостей, специфических для вебприложений, обнаружено не было.

Доступны плагины (Bridges), позволяющие интегрировать

AjaXplorer в популярные CMS, базирующиеся на PHP, — Drupal, WordPress и Joomla. Доступен соответствующий API, поэтому список легко расширить. Плагин AjaXplorer for Filelink (goo.gl/ S8PlO6) для Mozilla Thunderbird позволяет автоматически заменять большие вложения в сообщении сгенерированной ссылкой на хранилище AjaXplorer.

Модульность позволяет при необходимости нарастить возможности и собрать систему под конкретные нужды. Например, обеспечить доступ к другим источникам данных (файловая си-

стема, FTP, SFTP, Samba, Amazon S3, Dropbox, HPCloud, IMAP, POP и так далее), проверять файлы антивирусом. Также при помощи плагинов подключается текстовый и офисный редактор (через веб-сервис Zoho), реализуется возможность просмотра изображений, отображение Exif-информации, проигрывание аудио- и видеофайлов и многое другое. Поведение некоторых модулей можно настраивать более тонко, но для этого конфиги придется редактировать вручную. Например, чтобы установить разрешенные для просмотра и загрузки типы файлов, следует

заглянуть в server/conf/conf.access.fs.inc.

Основные плагины поставляются вместе с архивом AjaXplorer, остальные доступны по адресу ajaxplorer.info/ plugins. Разработать свой плагин не так уж и сложно, проект предоставляет всю необходимую документацию и демонстрационный плагин, который можно использовать как основу.

Для индексации и для быстрого поиска по хранилищу используется библиотека Apache Lucene.

Написан AjaXplorer с использованием HTML, PHP, Ajax

и JavaScript. Используются стандартные драйверы файловой системы, поэтому сервер легко переносить и масштабировать.

Тайник в облаках

SEAFILE

Самый молодой продукт обзора — Seafile (seafile.com). Первые версии были представлены в конце 2012 года, но до релиза 1.3 интерфейс был только на китайском языке, поэтому популярность он лишь начинает набирать. В Seafile реализованы не только функции хранения и синхронизации данных, но и элементы совместной работы с контентом. Пользователь может создавать любое количество библиотек (по сути, отдельное виртуальное хранилище) и открывать доступ для групп, контактов или без ограничений. Допущенные пользователи через библиотеку обмениваются файлами. В случае изменений предусмотрена возможность отправки уведомлений. При создании библиотеки возможна активация доступа по паролю и шифрование. В случае активации шифрования документ «закрывается» до отправки на сервер (его могут просмотреть только допущенные пользователи), поддерживается HTTPS. На уровне библиотеки также реализовано отслеживание версий (по умолчанию 60 дней, можно изменить число, хранить всю историю или отключить совсем), доступ к предыдущим редакциям, восстановление удаленного файла, аудит (кто и когда внес изменения). Поддерживается предварительный просмотр основных типов файлов, обсуждение информации с участниками группы, функции ведения списков задач и управления проектами, персональное Wiki.

Еще одним плюсом является меньшая нагрузка на сервер, по сравнению с другими участниками обзора.

Доступ к данным возможен как через веб-интерфейс, так

ипри помощи клиента Seafile (Windows, Linux, OS X, Android

иiOS).

Код проекта написан на языке Python и распространяется под лицензией GPLv3, для хранения метаданных используется SQLite. Версия Community Edition серверной части предлагается бесплатно для Linux и Raspberry Pi, для Windows цена со-

ставляет 150 долларов. Также есть Pro Edition с большими возможностями: доступ по WebDAV, функции поиска, оповещение по email и другое (подробнее здесь: bit.ly/1cMiZVe). Кроме того, можно размещать файлы на сервере разработчика (бесплатно предоставляется до 1 Гб).

ЗАКЛЮЧЕНИЕ

Каждое решение имеет свои плюсы и минусы, поэтому нужно выбирать исходя из конкретных задач. AjaXplorer и ownCloud подкупают своими богатыми функциями, а Seafile — легкостью и простотой, а также возможностью групповой работы.

ВSeafileможносоздать несколькобиблиотек, которыезатемсинхронизироватьпоотдельности

COVERSTORY

НАХОДКА

для болтуна

БЕЗОПАСНЫЕ СПОСОБЫ ОБЩЕНИЯ В СЕТИ

Юрий «yurembo» Язев yazevsoft@gmail.com

ЗАЩИЩЕННЫЕСООБЩЕНИЯ

Для пересылки защищенных сообщений разработан криптографический протокол OTR (Off-the-Record). Для создания сильного шифрования протокол использует комбинацию алгоритмов AES, симметричного ключа, алгоритма Диффи — Хеллмана и хеш-функции SHA-1.

Основное преимущество OTR перед другими средствами шифрования — это его применение на лету, а не после подготовки и оправления сообщения. Он был разработан Никитой Борисовым и Яном Голдбергом. Для использования в сторонних приложениях разработчики протокола создали клиентскую либу. Поэтому, чтобы защитить передачу данных по IM-каналам, можно воспользоваться специально предназначенными для защиты приложениями.

Один из подобных проектов — Cryptocat; это веб-аппликация с открытым исходным кодом, написанная на JS. Имеются расширения для Chrome, Firefox и Safari. Кроме того, есть клиентское приложение, но только для OS X. Криптокат шифрует сообщения на клиенте и передает их доверенному серверу. Для этого на стороне клиента используется симметричное шифрование сообщений и файлов с использованием AES-256 и выбранного ключа. Для каждого чата генерируется новый ключ.

Другие участники разговора — до десяти человек в комнате — смогут прочитать их, только если сами правильно введут тот же самый ключ. Для надежной передачи ключей используется алгоритм Диффи — Хеллмана, для генерации уникальных отпечатков при аутентификации — хеш-функция Whirlpool,

адля проверки целостности сообщений — HMAC-WHIRLPOOL. Метод работы с ключами превращает Cryptocat в систему совершенной прямой секретности, в которой даже потеря закрытого ключа не может скомпрометировать ключ сессии. Лог переписки удаляется через 30 минут отсутствия активности,

асам сервис работает с постоянным SSL-шифрованием.

Еще один проект подобного рода — Bitmessage, написанный Джонатаном Уорреном на питоне. Bitmessage — это децентрализованная P2P-программа для обмена зашифрованными сообщениями между двумя и/или несколькими юзерами. Она использует сильную криптографию, которая надежно защищает абонентов от прослушивания на уровне интернет-про- вайдера или на сервере. Стоит заметить, что криптографическая система практически в точности копирует схему, которая используется в P2P-системе Bitcoin, однако направлена на обмен сообщениями. Особенность Bitmessage состоит в том, что факт общения двух пользователей практически невозможно доказать: сообщение передается не напрямую от пользователя

ťŦŞŘŖŨţŖŵťŤŭŨŖ

Широкую известность получило самозакрытие почтового сервиса lavabit.com, которым воспользовался Сноуден. Сервис был закрыт после того, как спецслужбы предъявили требования предоставить доступ к хранимым данным.

Полную альтернативу Lavabit найти сложно (кроме self-hosted решений), но в качестве более-менее защищенного сервиса можно предложить VFEmail (https://vfemail.net). Он сканирует каждое пришедшее письмо и его вложения

впоисках вирусов и спама. Если была обнаружена малварь, письмо блокируется на шлюзе и не попадает на сервер. Почтовый сервер поддерживает серые и черные списки, а для определения спама используется заслужившая признание система SpamAssassin. Работа с VFEmail идет посредством стандартных протоколов POP, IMAP, SMTP, а веб-интерфейс реализован по защищенному SSL-каналу.

Как и большинство современных почтовых служб, VFEmail поддерживает открытие

вбраузере Microsoft Office документов. Однако за полученную секретность переписки приходится платить. Правда, есть бесплатный, так называемый «медный аккаунт», предоставляющий пользователю 50 Мб серверного пространства для писем. Для увеличения места надо купить другой, более совершенный аккаунт.

COVERSTORY