Безопасность

Редакция выпускает одновременно газету (самый большой тираж в области) и глянцевый журнал. Глянец — подборка рерайченного хлама с «Леди Mail.Ru».

Интернет позволен только тем, кто готовит материалы. Верстальщикам, корректорам, редакторам запрещён, отдел приёма рекламы довольствуется Аутлуком. Есть внутренний чат и файлопомойка.

Ваш покорный слуга верстает газету. Ещё подменяет верстальщика глянца, когда тот после вчерашнего не различает буквы на клавиатуре. Вирусы грызут не слишком крутой компьютер, успешно добавляя себя в исключения кагэбэшного антивируса. Интернет под запретом. Пользовательская учётка.

Приношу CureIt! на флешке. Оп-па — а USB-порты отключены в диспетчере устройств. Пытаюсь включить — хрен тебе, пользователь. Ладно, думаю, глупость спорол. Надо админа звать. Написал по внутреннему чату сообщение: вот, дескать, вирусы, надо бы прибить.

Приходит чудо в очках — пузо, свитер, редкая бородка. Типичный сисадмин, только рост 1,80. Спрашивает, где вирус. Показываю. Вот тут программа hfdxkl.exe выедает полностью ядро процессора, тут она в исключениях антивируса, а вот тут же — она в папке %temp%. Чудо говорит, что я дурак: раз программа в исключениях, значит, она важна и трогать её не надо. Служебная на имя директора спускается тому же админу с тем же успехом — он дальний родственник.

Ладно, хрен с ним. Приношу с дома пачку компактов, пытаюсь стартовать с них — удаётся. Запускаю CureIt!, вылечиваю машину. Проверяю реестр и папки автозапуска — вдруг есть что-то странное. Неожиданно утилита пишет, что нашла обновления. Стоп, как это? Неужто интернет на самом деле есть? Набираю IT happens в браузере лайв-CD — не, нету. Как же тогда обновления нашлись? Ладно, потом буду думать, скоро материалы для вёрстки принесут.

На всякий случай бручу хэш админского пароля — а вдруг? Шесть цифр, похожих на дату рождения… Ой, да это же админа, вон список днюх висит!

В перерыв запускаю программу для проверки автозапуска — даже из-под пользовательской учётки она находит присутствие обновлений. Почему? Может, дело в HTTPS? А если запустить Tor? Ой, да тут только HTTP закрыт, а всё остальное — бери не хочу!

Ну, так я и стал обладателем интернета и админских полномочий, которые использовал, как супергерой суперсилу — тайно и во благо. Tor никак не выделялся среди трафика, который генерировала вирусня с других машин, так что для анонимности достаточно было нажать Alt+F4. А если бы сисадмин вовремя победил вирусню — так бы и остался я необразованным верстальщиком.

Федеральный фискальный орган отличился. Кто получал пароль к личному кабинету, тот, я уверен, ходил к ним не раз. Я тоже ходил — аж три раза. Пароль правильный, но не подходит. На претензии отвечают: «Набирайте в Ворде».

Я же умный, я каждый день набираю с десяток паролей. Ворд мне не нужен. После второго раза прислушался к совету. Набирал в Блокноте. После третьего раза уговорил себя набрать пароль в Ворде. О чудо! Пароль подошёл! Можно танцевать джигу.

Но кто додумался в конце пароля добавлять символ переноса строки?

Сижу на Мегафоновском свистке в инете — и вдруг идёт сканирование портов, причём с их DNS-сервера. Так продолжается полтора месяца. Решил написать в техподдержку:

С ваших DNS-серверов 10.***.***.8 и 10.***.***.9 периодически происходит сканирование портов моего компьютера, после чего файрвол закрывает порты и вносит адреса в чёрный список.

Ответ порадовал:

Добрый день! Для решения данного вопроса рекомендуем вам отключить файрвол.

Спасибо, что воспользовались web-интерфейсом службы «Сервис-Гид».

С уважением, специалист…

Где-то здесь уже были истории про большие конторы, где на каждый чих по десять бумажек и TCP/IP не всем положен по статусу. Я сам работал в паре таких мест. После этого, когда приходишь в больницу, а там врач в ординаторской может смотреть фильмы и сидеть в интернете, испытываешь дикий ужас, а рука тянется к пистолету.

Но сейчас не об этом. Довелось мне в рамках одного заказа снова окунуться в атмосферу жёстких ограничений и царства службы ИБ. Работа заключалась в том, что мы переводили линуксовые софтовые прокси на аппаратную платформу. И вот — один из бесчисленных филиалов этой конторы. Своего сисадмина инженера ИТ там не было — то ли «ушли», то ли сам сбежал. На целевой машине в домашней папке пользователя я нашёл пару скриптов а-ля «питон» и «тетрис», маны, не относящиеся к работе напрямую, книжку Лимончелли и другие маленькие радости админа. Судя по каталогу /usr/local/my/sweet/home, работёнка у админа была та ещё.

Магазин. В очередной раз не в меру разбузившаяся бабушка. Никто её не обсчитывал, она сама это поняла, ещё раз просмотрев чек. К ней подошёл охранник и вежливл предупредил, что в торговом зале камера.

Такие бабушки отлично знают свои права:

— Нельзя скрытые камеры вешать! Либо открытые, либо табличку.

— Да вот же огромная открытая камера висит, ни разу внимания не обращали?

— Обращала, милок, обращала. Так это не телефонный аппарат перевёрнутый? Нельзя маскировать камеры под бытовые предметы!

Всё ведь знает!

Обтекаемый колпак, круглое тёмное стекло. В середине объектив, по периметру крупные ИК-диоды. Чем не дисковый телефон?

Решил я обновить своего десктопного железного коня и закупился пусть не топовым, но вполне приличным железом. И вот он, момент истины: все коробки вскрыты, на пальцах остатки термопасты, а новорождённому монстру немного тесновато в старом корпусе.

Всё готово для запуска, ключ на старт! Но что это привлекает мой расслабленный и радостный взгляд? Это новый UEFI радостно рапортует о том, что процессор греется до недопустимых температур (ну, 93 по Цельсию — всё же не шутки).

И вот тут начинается квест.

Первая здравая мысль: плохо промазал термопастой. Снимаю кулер и радиатор, промазываю, работая членской карточкой какого-то видеопроката, как хирург скальпелем — осторожно, но решительно. Собираю всё обратно, и… та же картина.

Вторая здравая мысль: радиатор плохо прилегает к процу. Снимаю радиатор, вытираю термопасту с него и с проца, мажу термопастой только радиатор, чтобы определить потом по отпечатку, правильно ли он прилегает. Прилегает отлично, это хорошо, попробуем прикрутить радиатор чуть плотнее… Картина не меняется: те же 93 градуса.

Провозившись два дня, я не смог самостоятельно найти причину такого нагрева. Не помогла и помощь друга — сборщика компов. Что ж, логичное решение — отнести материнку и проц в сервис, пусть разбираются.

Пять дней тяжкого ожидания. Итог: дефект не подтверждён. Печально.

Выходные начинаются со сборки-разборки компьютера. Я уже доведён до белого каления. В голове одна мысль — за свои деньги получил себе же геморрой. Суббота закончилась в расстроенных чувствах.

Начинается воскресенье. После завтрака целу́ю жену, как перед походом на войну, и начинаю методично удалять всё, что можно скрутить, свинтить и отключить, надеясь найти причину в каком-нибудь экранировании, замыкании материнки на корпус и так далее. В общем, в голове крутятся мысли одна фантастичнее другой…

Не буду утомлять подробностями своих действий. Причиной такого нехорошего поведения оказался обычный PCI-вайфай-адаптер, который всё это время тихо торчал в слоте и не давал о себе знать. И тут моя память подсказывает, что N лет назад при покупке и первом подключении этого адаптера он каким-то образом конфликтовал непонятно как и непонятно с чем и не давал запуститься системе в штатном режиме. Какие тогда пляски для восстановления его работоспособности я использовал — теперь уже и не вспомнишь.

Железо в полном порядке, пора устанавливать операционку… Так, что это такое? А-а-а, это уже другая история…

Купили генеральному iMac: безопасно, вирусов нет, да и круто же! Создали учётку и заму. Он иногда заходит поговорить по скайпу: камера хорошая, экран шикарный… В организации безопасность на высшем уровне: домен, 12-символьные пароли с периодичностью смены раз в месяц, прокся, почтовый сервак, IT-отдел со своим подразделением безопасности, — короче, полный фарш, который обходится компании в кругленькую сумму.

В OS X генерального две юзерские учётки и одна админская. Все под вышеупомянутыми паролями. Условно назовём usr1, usr2 и admin. Кроме всего прочего, установлен Punto Switcher. Так вот, если перейти из профиля usr2 в профиль usr1 (сменить пользователя) и начать набирать текст, то у usr2 набирается дубликат текста.

Зам (usr2) оставил открытое окно скайпа перед уходом с работы. Утром приходит генеральный (usr1), и первое, что он вводит — это логин-пароль от корпоративной почты, а потом номер и CVV кредитной карты для оплаты мобильника. Как удивился совершенно левый человек идущим ему в руки самым секретным данным из суперзащищённой сети суперсерьёзной конторы!

Ответ поддержки Яндекса поразил своей краткостью и простотой:

Программа не предназначена для использования в многопользовательском режиме. Такая версия пока не предполагается.

Шах и мат! Безопасников на улицу по статье «несоответствие занимаемой должности», начальнику IT-отдела — штраф и понижение до эникейщика с уменьшением зарплаты втрое, профилактическое срезание премий всему IT-отделу на три месяца. Спасибо, Rндекс!

Борьба с неблокировщиками, говорите?

Работал я одно время в некой крупной международной аудиторской компании. Понятное дело, что ноутбуки содержали кучу секретной информации. Частенько человек по полгода сидел в командировках у клиентов, которые отличаются повышенной любознательностью. Компьютеры блокировались и пристёгивались тросиком.

«Учёба» молодняка начиналась ещё в головном офисе. Непристёгнутые компьютеры забирали админы-безопасники — это понятно. А к вопросу блокировки подошли с юмором.

Это была своеобразная игра: у каждого в почте лежало в черновиках несколько специальных писем. Если кто-то отлучался (даже на пять минут) и не блокировал компьютер, от него сразу высылалось письмо всем сотрудникам фирмы (ну, кроме руководства):

Привет, меня зовут Катя, я новый ассистент аудитора. Я сейчас на проекте в городе Малые Гроги, и мне местные ребята подарили на дискотеке подсолнух. В горшке. Семки выращивать. Я очень люблю семки, но цветочек чахнет. Пришлите мне, пожалуйста, каких-нибудь удобрений и десять литров воды почтой.

Новичок сначала прозревал и стыдился, а потом сам становился активным участником такой игры. И никто не забывал блокировать компьютер.

У нас на работе вайфай-гопники завелись. Двое новых парней из отдела прознали про вайфай безлимитный в офисе, но тот запаролен на 20 символов, а пароль только админу известен. Для них интернет закрыт: не положено.

Короче говоря, админа достали. Он раскрыл пароль, получил втык от начальства, поменял пароль, но парнишки опять начали доставать админа. Из ситуации тот вышел креативно: снова сменил пароль и раздал по две буквы от пароля сотрудникам: пускай сами пароль подбирают. Нет, конечно, нам известна нужная комбинация, но и втык на весь отдел получить не хочется, ибо админ свалил в законный отпуск.

Утро, офис, народ работает. Подходят двое парней:

— Слышь? Вайфай же есть? Паролем поделись?

— Эм… Я его не знаю, это к админу.

— Да знаем мы про админа. Говорю, пароль скажи!

— Я откуда вам его возьму? Не знаю.

— (Голос со стороны.) — Отдай им буквы!

Те прифигели. Парень достаёт стикер с двумя огромными буквами «XL» и отдаёт им с фразой:

— Это часть пароля, что известна мне, остальные ищите у других сотрудников и отстаньте от меня.

Те в непонятках. Идут к другому, тот без вопросов даёт ещё бумажку с двумя английскими буквам. Идут дальше по конторе — то же самое.

Этих двоих вызывают по работе, до вечера их нет. Вечером им уже припекает. Видимо, смекнули, что к чему, и идут уже навеселе к Серому, а он про эту ситуацию не в курсах, весь в загонах.

— Листочек гони!

— Какой листочек?

— Какой? С частью пароля от вайфая.

— Нет у меня такого.

— А вайфай есть у тебя?

— Есть.

— Ну так гони листочек, не морочь нам голову!

— Да нет у меня такого!

— Слышь, а если найдём?

Серый оглянулся по сторонам, видит мою рожу, что еле сдерживается от хохота, говорит: «Ну, ищите!» — и демонстративно уходит с своего рабочего места.

Те шерстят его стол, находят какую-то бумажку с буквами «ГЫ» и смайликом. Вроде по всем прошлись, собрали и ушли довольные. Тут и рабочий день кончился.

Утром их нет, вечером и следующим днём тоже. Прошли полторы недели, админ уже вернулся из отпуска, а их всё нет. Ну, ради интереса зашёл и спросил у админа: что там у них, вайфай есть, подобрали пароль? Тот и рассказывает: не в курсе, только у него заявка от нашей сотрудницы — новенькой молоденькой девушки, что интернет не работает, что-то с компьютером случилось. Заходит, проверяет — сетку видно. Может, пароль неправильный? Вбит тот же самый, что у нас, но со смачным ГЫ:) посередине.