niedziela, lutego 25, 2007

Wojna między dobrem a złem

Tak określa aktualną sytuację w internecie Shimon Gruper, wizeprezydent od spraw technologii w firmie eSafe - która to należy do znanego koncernu Aladdin. Shimon Gruper to jeden z pionierów bezpieczeństwa informatycznego.

Zło
W swym niedawno wygłoszonym odczycie Gruper obrazowo przedstawił zmiany zagrożeń, jakie właśnie zachodzą w internecie. Celem dzisiejszych ataków są przede wszystkim pieniądze. Atakują nas coraz rzadziej hackerzy, którzy chcą zdobyć światową sławę swym wyczynem. Oni pracują dzisiaj dla kryminalnych organizacji, szukając luk bezpieczeństwa czy tworząc expolity.

Te kryminalne organizacje natomiast zalewają nas spamem, szantażują grożąc atakami typu DOS (denial of Service), kradną nasze dane osobiste (jak hasło do naszego konta bankowego, czy dane naszej karty kredytowej) lub gospodarcze tajemnice naszej firmy instalując na naszych komputerach niezauważalne trojany. Gruper podkreśla, że produkcja złośliwego oprogramowania (malware) i jego stosowanie to już dziś spory przemysł, który osiąga olbrzymie zyski przy bardzo niskich inwestycjach. Jak widać jest to bardzo atrakcyjny interes, który przyciąga coraz to nowe rzesze kryminalistów zainteresowanych szybkim i łatwym zyskiem.

Dobro
Przed tym rosnącym zagrożeniem musimy bronić się. Czy jednak dzisiaj stosowane systemy obronne są nadal wystarczające?

Odpowiedź na to pytanie jest niestety - "nie". Dla skutecznego zabezpieczenia przed nowymi zagrożeniami należy więc nieustannie udoskonalać systemy obronne.

Większość aktualnie stosowanych systemów obronnych można określić jako techniki statyczne. Chronią one przed znanymi już zagrożeniami, które gdzieś, kiedyś pojawiły się na świecie. Te systemy obronne bazują na tak zwanych signaturach rozpoznanych zagrożeń.

Praktycznie każda firma stosuje aktualnie zapory ogniowe (firewalls) i różne produkty antywirusowe czy antyspamowe.

To było dobrą i wystarczającą metodą obrony w czasach, gdy ataki pojawiały się dopiero wiele tygodni czy dni po wydaniu łatki (security patch) na nową odkrytą lukę bezpieczeństwa (vulnerability) i ataki te nie były kierowane przeciwko celowo wybranej grupie ofiar (na przykład nasza firma) tylko rozprzestrzeniały się po całym internecie.

W między czasie jednak tak zwane "zero day attacks", a więc ataki, które następują równocześnie, albo nawet przed ogłoszeniem łatki (patch) są na porzątku dziennym.

Inny ważny aspekt to coraz więcej ataków na nasze aplikacje webowe. Nasze firewalls blokują świetnie ataki na wszystkie możliwe porty. Oprócz ataków poprzez port 80 (protokół http).

Obraz zagrożeń zmienił się radykalnie. Najwyższy więc czas na nowe strategie obronne. Na miejsce statycznych metod trzeba zastosować metody dynamiczne. Metody bazujące na signaturach znanych ataków muszą być uzupełnione o metody behawioralne, czyli metody samoczynnie reagujące na nienaturalne zmiany w przepływie danych (data traffic) i zachowaniu użytkowników.

Głęboka analiza przepływu danych przez port 80 (deep layer 7 inspection) jest dzisiaj niezbędna dla skutecznej obrony przed atakami na nasze webowe aplikacje.

Gruper rozwiewa więc nadzieje wielu, którzy naiwnie sądzą, że te obecnie stosowane metody obrony ochronią nas przed atakami również w przyszłości. Przestępcy nieustannie udoskonalają metody ataków. Tak więc i my musimy stosować coraz to nowe metody obrony.

sobota, lutego 24, 2007

Przenośne aplikacje

Niedawno wspomniałem o nadchodzących technologiach, które w niedalekiej przyszłości umożliwią nam dostęp do dowolnej informacji, o każdej godzinie dnia, w każdym miejscu - Any content, anytime, anywhere.


PortableApps to jeszcze jedno rozwiązanie umożliwiające dostęp do własnych danych (my content), anytime, anywhere.


Celem PortableApps jest stworzenie małych programów z różnych już istniejących applikacji Open Souce. PortableApps to programy nie wymagające instalacji, które można załadować na dysk flash USB i zawsze nosić ze sobą. Portable Apps składają się z programu, który można wystartować na każdym komputerze pod Windows. Magazynują one wszystko im niezbędne (własną konfigurację, ale także dane które użytkownik przerabia) również bezpośrednio na dysk flash USB. Są one w tym sensie absolutnie samowystarczalne.


Tak więc dzięki PortableApps mamy zawsze przy sobie nasze ulubione programy i dane. Po wystartowaniu ich na dowolnym komputerze możemy je używać i przerabiać nasze dane. Jest to możliwe oczywiście również na komputerach, gdzie te programy wcale nie są zainstalowane. Po skończonej pracy wyjmujemy nasz dysk flash USB i zabieramy nasze programy i dane. Na gościnnym komputerze nie pozostał żaden ślad naszej działalności.


Aktualnie istnieje już sporo różnych programów PortableApps. Wśród nich wiele znanych i lubianych jak Firefox, OpenOffice czy Thunderbrid. Jesten przekonany, że wnet będzie ich więcej, bo idea jest przednia, a programy funkcjonują bez zarzutu.


PortableApps to nie tylko pojedyncze programy. PortableApps oferuje dodatkowo coś w rodzaju przenośnego systemu operacyjnego. Bardzo proste okno pozwala nam wywoływać poszczególne programy, robić Backup, czy konfigurować to otoczenie.


PortableApps to nowy problem dla specjalistów od bezpieczeństwa. W wielu firmach surowa polityka bezpieczeństwa zabrania instalowania obcych programów. Dzięki PortableApps użytkownicy mogą używać własne programy i ignorować reguły firmy.

niedziela, lutego 11, 2007

Yahoo Pipes - epokowy krok w histori Internetu!

Tak przynajmiej twierdzi Tim O'Reilly w swym znanym Blogu O'Reilly radar.
Ale nie tylko on. Wielu znanych bloggerów jest też tego samego zdania.

Yahoo oferuje nowy serwis pod nazwą Pipes, którego koncept bazuje na pipes znanych z Unixu.

Yahoo! Pipes to graficzny editor, rodzaj interaktywnego agregatora internetowych feedów (RSS albo Atom). Pozwala połączyć ze sobą dowolne strony internetowe (poprzez feedy), obrobić tak powstałą nową treść i przesłać ją następnie do dalszej dowolnej strony w celu prezentacji.

Yahoo Pipes to takie graficzne otoczenie do programowania internetowych treści. To znaczy, że można stworzyć tą nową stronę lub nowy feed z Yahoo Pipes bez umiejętności programowania.

A tym co stworzą użytkownicy z Pipes zadecyduje jedynie ich fantazja. Zakres możliwości jest na pewno olbrzymi. Demokratyzacja w Internecie idzie więc krok dalej. Niedługo powstanie bardzo dużo takich dzięki pipes zmixowanych (mashup) stron, prze co jeszcze bardziej zwiększy się interakcja w sieci i dynamika w webie.

Dla zabawy teń szybko zrobiłem małą Pipes. Tytuł "Citation of Yahoo Pipes". Zebrałem w niej wyniki kilku różnych search engines, w których szukałem tekstu "yahoo Pipes". Zajęło mi to około 5 minut. No nie, nie dlatego, że jestem taki szybki. Po prostu skopowiałem jakiś już istniejący Pipes i zmieniłem w nim poszukiwany tekst ;-). Tak też pewnie będzie robić wielu innych.

sobota, lutego 10, 2007

Co nowego w kryptografi

W zeszłym tygodniu w San Francisco odbyła się coroczna konferencja RSA. RSA to legendarna firma oferująca rozwiązania kryptograficzne do zabezpieczenia systemów IT. Jej twórcy, Ron Rivest, Adi Shamir and Leonard Adleman, to słynni kryptografowie, którzy stworzyli szyfr RSA, pierwszy i naprawdę doskonały system kryptograficzny z kluczem jawnym (Public Key). Zainteresowanym kryptografią polecam dobrze wprowadzającą w tę tematykę książkę Simona Singha "księga szyfrów".

Głównym produkten firmy RSA był i jest RSA SecurID token, zastępujący zwykłe hasło tak zwanym jednorazowym hasłem.

RSA nie jest już samodzielną firmą - w zeszłym roku zastało przejęte przez EMC² - jednak konferencja RSA cieczy się nadal dużym uznaniem w branży.

Tegoroczna konferencja nawiązuje tematycznie do Battisty Alberti. Alberti to wszechstronny geniusz renesansu, który żył w XV wieku i zajmował się oprócz malarstwa, poezji, muzyki, filozofi, sztuki i architektury także matematyką. On to, jako pierwszy, wpadł na ideę szyfru polialfabetycznego. Alberti jest reprezentantem renesansu, epoki wielkich przemian w sztuce ale przede wszystkim w nauce.

Do tego gwałtownego rozwoju nauki i szybkiego wzrostu wiedzy w renesansie nawiązywało wielu mówców. Twierdzili oni, że i my żyjemy w czasie wielkich przemian, a wiedza i technologia rozwijają się exponencjalnie. Rozwój ten zmienia praktycznie codziennie nasze życie prywatne i może w jeszcze większym stopniu sposób funkcjonowania gospodarki i firm. W centrum tego rozwoju znajduje się dzisiaj oczywiście internet.

Aby ten rozwój mógł odbywać się dalej bez przeszkód szalenie ważne jest zaufanie (Confidence). Zaufanie, że nasi partnerzy w internecie są rzeczywiście tym, za kogo się podają (Authetification). Zaufanie, że nasze dane nie są dostępne dla nieupoważnionych i że transakcje w internecie są bezpieczne.

Dzisiejszy Internet staje się niestety coraz bardziej niebezpieczny. Przybywa kryminalnych elementów, dysponujących dobrą technologią i wykorzystujących dużą anonimowość w sieci, co jest dużym zagrożeniem dla rozwoju współczesnej gospodarki.

Dlatego właśnie bezpieczeństwo systemów informatycznych i bezpieczeństwo w internecie jest kluczowym elementem dla dalszego rozwoju. Systemy bezpieczeństwa aby zapewnić pełną poufność danych i transakcji bazują na współczesnej kryptografi.

Najważniejszym wynalazkiem kryptografi w ostatnich latach jest
kryptografia z kluczem jawnym (Public Key). Teoretycznie opracowali ją Martin Hellmann i Whitfield Diffie przed 30 laty, a praktyczne rozwiązanie znaleźli wyżej wspomnieni Ron Rivest, Adi Shamir and Leonard Adleman w szyfrze RSA.

Wszyscy oni (oprócz Adlemana) byli również na tej konferencji i wzieli udział w dyskusji. Nie była to może szalenie pasjonująca dyskusja. Jednak dla pasjonatów kryptografii zobaczenie tych twórców współczesnej kryptografi, którzy za życia przeszli do historii tej dziedziny nauki to z pewnością najważniejsze wydarzenie tej konferencji.Jacy są ci wielcy kryptografowie? Dosyć skromni, sympatyczni spokojni. Pracują nadal nad dalszym rozwojem kryptografi. Torchę inny jest Diffie (drugi od prawej), który aktualnie pracuje dla SUN. Bardzo długie włosy i broda, dzisiaj już całkiem siwe, które zachował ze swych młodzieńczych lat, wyróżniają go od razu. Do tego ten trochę przesadny sposób mówienia, z dużym naciskiem.

Oprócz tego wystąpiło wielu szefów dużych i ważnych firm, takich jak Oracle, CA, ISS (kupione ostatnio przez IBM), Symatec (John Thompson), czy niestrudzony Bill Gates, który chyba "zalicza" wszystkie konferencje świata - pisaöem niedawno tutaj o jego występie na World Economic Forum in Davos. Gates wraz z Craig Mundie mówili o nowych rozwiązaniach bezpieczeństwa w Windows Vista. Ten nowy system bezpieczeństwa bazuje na bezpiecznych protokołach siecowych IPSec, Ipv6 i kontroli tożsamości (Identity). Ta kontrola tożsamości, dla której Micorsoft stworzył Identity Lifecycle Manager (ILM), jest centralnym punkten w nowym koncepcie bezpieczeństwa. Otóż Gates, jak również Thompson z Symantec są zdania, że teraźniejszy system obrony poprzez tworzenie topologicznych barier w sieci w zależności od lokalizacji (access depends on where you are) wobec szybko wzrastającego zsieciowania i nowych technologi komunikacyjnych nie jest w stanie zapewnić bezpieczeństwa. Nowy koncept to dostęp do danych tylko w zależności od tego kim jesteś (Access depends on who you are albo innymi słowy user-centric access). Aby umożliwić dostęp do danych upoważnionym osobom potrzeba właśnie dobrych systemów sprawdzania tożsamości i zarządzania regółami udostępniania dostępu. Wedle Mundie Microsoft jest gotów współpracować z Open-ID nad wspólnym systemen do zarządzania tożsamościami (Identity).

Niestety nie byłem na tej konferecji osobiście. Jednak dzięki dzisiejszej technice mogłem obejrzeć najważniejszch mówców. RSA oferuje bardzo dobry Webcast z głównych przemówien (key Notes). Tak więc zamiast uciążliwej podróży do San Francisco siedziałem sobie na kanapce, podgryzałem pistacje popijając je dobrym czerwonym winem i widziałem to samo co uczestnicy tej konferencji.

No może nie tak całkiem. Może jednak warto jednego razu wybrać się tam osobiście i przeżyć to samemu. I zobaczyć przy okazji San Francisco. Na pewno warto.

czwartek, lutego 08, 2007

Internet w 2007 będzie jeszcze bardziej niebezpieczny!

Internet w roku 2007 będzie jeszcze bardziej niebezpieczny. Tak przynajmiej twierdzą specjaliści do spraw bezpieczeństwa z IBM Security Systems' X-Force.

Ich zdaniem produkcja różnych rodzajów tak zwanych "Cyber" ataków, jak Spam, Phishing, Trojany, robaki czy inne, przybiera formy przemysłowe. "Expolits-as-service" jest nową, intratną chociaż nielegalną gałęzią przemysłu pod kontrolą przestępczych organizacji.

Ataki te są coraz bardziej wyrafinowane, celowe i szybkie. Spam jest pakowany w obrazy i przez to nieuchwytny dla klasycznych systemów obrony. Aby bronić się efektywnie musimy być bardziej proaktywni, a nie tylko reagować na znane już ataki. To oznacza, że nasza obrona - czyli te wszystkie anti-virus i anti-spam systemy - musi bazować na analizie zachowań (behaviour) programów, a nie jak dotychczas szukać w plikach znanych wzorów (signature) ataków.

Niezależnie jednak od tego jakie mechanizmy obrony będziemy stosować internet jest i będzie niebezpieczny. Duże pieniądze, które można w sieci zarobić i pewna anonimowość przyciągają przestępców jak magnes. Są oni niestety dosyć twórczy w wynajdowaniu słabych stron w naszych systemach obronnych. Jak na razie z moich obserwacji w większości przypadków użytkownicy są sami winni. Nie stosują oni albo żadnych systemów zabezpieczających (Anti-Virus, Anti-Spam, Firewall), albo nie instalują pakietów bezpieczeństwa Microsoftu (security patches) lub z ogromną naiwnością otwierają wszystkie emaile od absolutnie nieznanych nadawców i startują nie zamówione pliki. W tym momencie instaluje się, zupełnie dla użytkownika niewidocznie, trojan, który tylko czeka na następne połączenie z bankiem, aby przejąć dostęp do konta. Ofiarą takiego ataku stali się naiwni klienci schweckiego banku, a straty wyniosły przeszło milion dolarów.

Współcześni przestępcy internetowi nie szukają wielkich wyzwań, a tylko wielu naiwnych ofiar i szybkich zysków. Jak długo tacy naiwniacy istnieją rozsądni użytkownicy są relatywnie bezpieczni.

środa, lutego 07, 2007

Web 2.0 in Davos

Niedawno odbyło się w szwajcarskim Davos światowe forum ekonomiczne. Obok najróżniejszych tematów ekonomicznych i politycznych dzisiejszego świata rozmawiano tam również o najnowszych trendach w internecie, takich jak sieci socjalne.

Peter Schwartz zaprosił do tej dyskusji szereg bardzo znanych i odnoszących sukcesy przedsiębiorców amerykańskich. Oto pełna lista uczestników tej dyskusji:

· Caterina Fake, Founder, Flickr, USA
· William H. Gates III, Chairman, Microsoft Corporation, USA
· Chad Hurley, Co-Founder and Chief Executive Officer, YouTube, USA
· Mark G. Parker, President and Chief Executive Officer, Nike, USA
· Viviane Reding, Commissioner, Information Society and Media, European Commission, Brussels
· Dennis Kneale, Managing Editor, Forbes Magazine, USA
· Peter Schwartz, Chairman, Global Business Network, USA

Europę reprezentowała jedynie pani komisarz Reding. Schwartz pytał ją kąśliwie dlaczego brak w Europie tak skutecznych przedsiębiorców. Kneale natomiast złośliwie zauważył, że jakoś nic nie słychać o jakiś czas temu zapowiedzianej search engine, która miała być europejską odpowiedzią na dominację Google. Pani Reding odpierała te ataki argumentowała absolutnym poparciem komisji dla dostępu do internetu i nieingerencji państowej. "Internet nie może być regulowany przez państwo" mówiła mając na myśli zakusy amerykańskie w tym kierunku.

Schwartz, który prowadził tą dyskusję, zapytał wszystkich co to znaczy Web 2.0. Ciekawe, że żaden z tych twórców serwisów powszechnie uznawanych jako reprezentatywne dla tego pojęcia nie potrafił tego wyjaśnić. Mówili za to dużo o socjalnych sieciach, które tworzą wspaniała platformę dla wsysztkich użytkowników pozwalając im tworzyć nowe treści i decydować kolektywnie o tym co ważne czy interesujące.

Polecam Webcast z tego spotkania.

czwartek, lutego 01, 2007

Any content, Anytime, Anywhere

Pod hasłem "sieć jako platforma" czy wręcz "sieć jako computer" odbywa się właśnie w Cannes doroczna konferencja firmy Cisco "Cisco Networkers 2007".
Wedle Cisco to właśnie sieć jest absolutnie niezbędną platformą dla dalszego rozwóju współczesnych serwisów w internecie. Cisco inwestuje mocno w jednolite systemy komunikacyjne, systemy video i systemy dla providerów serwisów.

Cisco twierdzi, że dzięki ich technologi "any content, anytime, anywhere" jest lub wnet będzie możliwy. Przypomina mi to trochę wizje Billa Gatesa "information at your fingerprint" z końca lat 90-tych. Dostęp do informacji jest z pewnością coraz lepszy, ale "w każdej chwili" czy "w każdym miejscu" to jescze nadal wizja.

Trochę więcej informacji o tej konferencji w blogu.

Regionalne servisy

Motorem szalonego rozwóju różnorodnych serwisów społecznościowych i innych bardzo atrakcyjnych ofert internetowych jest Ameryka. Albo dokładniej powiedziawszy angielski obszar językowy. Drogą do sukcesu światowego jest popularność po angielsku. Może trochę inna sytuacja panuje w Azji, ale za mało o niej wiem.

Większość bardzo popularnych serwisów, takich jak Myspace, YouTube, Flickr, Digg, Delicius, Zoho, Wordpress i wiele, wiele innych, operuje w języku angielskim. Jej publiczność publikuje też w ogromnej swej większości przeważnie w tym języku.

Olbrzymia popularność tych globalnych serwisów stwarza własną dynamikę rozwoju i ciągle napędza popularność. Pozwala to dostawcy serwisu oferować wysoką jakość i nieustannie wzbogacać serwis o nowe funkcje.

Czy w tej sytuacji potrzebujemy lokalną wersję tych globalnych serwisów? Przecież te regionalne wersje to najczęściej tylko kopie tych globalnych, takie powielanie wypróbowanych pomysłów. A kopiści, jak wiadomo, są zawsze kilka króków z tyłu.

Ja osobiście sądzę, że często takie regionalne kopie są absolutnie niepotrzebne. Niekiedy jednak regionalizacja jest niezbędna. Zależy to od treści, która na danym serwisie jest przedmiotem i rodzaju internetowej "społeczności". Jeżeli ta treść jest zależna od danego języka, to regionalny serwis do jej prezentacji jest konieczny.

Tak jest w przypadku Servisów społecznościowych, w których użytkownicy sami decydują o popularnośćci niusów, czy blogów. Otóż jest bezsensowne wysyłać polskie niusy do Digga. Zginą tam kompletnie w ogromie angielskich niusów. Regionalny serwis do którego można wysyłać polskie treśći i w którym można głosować i dopisywać komentarze jest tutaj bardzo dobrym rozwiązaniem. Kilka polskich serwisów, takich jak na przykład Wykop, Linkbox czy Wpigulce.net oferuje tutaj swoje usługi i to jest sensowne. Z liczby oddanych w nich głosów widać, że droga do popularności jeszcze daleka jest.

Nie ma natomiast potrzeby unikać globalnych serwisów, jeżeli chcesz gdzieś publikować twego bloga, zdjęcia czy filmy, albo zapamiętać własne linki. Również do używania online pakietu office czy magazynowania danych w sieci globalne serwisy nadają się doskonale.

A dzięki dużej liczbie użytkowników mniejsze jest prawdopodobieństwo, że jednego dnia przestaną istnieć.