internet (strona 331 z 332)

Kartą za prywatność nie zapłacisz: MasterCard i Visa blokują płatności za VPN-y

Wirtualne sieci prywatne to dziś nie tylko domena korporacyjnejtelepracy – z usług, oferowanych przez dostawców z całegoświata, korzystają wszyscy ci, którym niemiła jest inwigilacjaich ruchu sieciowego przez strony trzecie i którzy chcielibyominąć narzuconą odgórnie cenzurę na pewne treści w Sieci.Nic więc dziwnego, że dostawcy VPN-ów „cieszą się” sporymzainteresowaniem organów ścigania, przekonanych, że w większościwirtualne sieci prywatne służą do naruszania prawa, wszczególności piractwa. Jest to jak dotąd jednak legalny biznes, ajego delegalizacja byłaby bardzo trudna, wymagałaby skoordynowanychdziałań na skalę międzynarodową. W Szwecji zastosowano więcinny sposób na odcięcie użytkowników od umożliwiającychpiractwo usług.Zarówno operatorzy kart kredytowych, jak i największyinternetowy system płatności – PayPal – od kilku miesięcykonsekwentnie trzymają się niepisanej zasady nierealizowaniapłatności, w których stroną są posiadające programyafiliacyjne cyberschowki. Teraz zasada ta ma objąć teżdostawców VPN i innych usług służących do zachowaniaanonimowości w Sieci. Pierwsze kroki ku temu zostały podjęte wzeszłym tygodniu, kiedy to klienci szwedzkiego systemu płatnościPayson zostali poinformowani, że Payson nie może już przetwarzaćpłatności kartami kredytowymi za VPN-y. Najwyraźniej sprawadotyczy zmian w polityce operatorów kart – Visy i MasterCarda –gdyż płatności przelewami bankowymi są wciąż przez Paysonaakceptowane.[img=vpn_opener]Wśród dotkniętych decyzją największego w Szwecji operatorapłatności jest iPredator, firma założona przez współzałożycielaThe Pirate Bay, Petera Sundego. Jest on przekonany, że to posunięciema na celu uniemożliwienie internautom zacierania swoich śladów wSieci i chronienia się przed rządową inwigilacją. Oznacza to,że amerykańskie firmy zmuszają nieamerykańskie firmy douniemożliwienia ludziom ochrony ich prywatności, tak by NSA mogłodalej szpiegować. To SZALEŃSTWO –stwierdziłSunde, przyznajączarazem, że jego firma ma do dyspozycji inne kanały płatności (wszczególności Bitcoina), ale nie oznacza to, że zamierzazaakceptować takie posunięcia wymierzone w legalnie działającybiznes. Najprawdopodobniej więc sprawę iPredator wniesie do sądu.Korzystnydla Sundego precedens już jest – rok temu serwis Wikileaks wygrałprzed sądem w Reykjaviku sprawę o blokowanie płatności przezislandzkiego operatora VALITOR. Operator zmuszony został doodblokowania należnych Wikileaks pieniędzy i przywrócenia kanałupłatności, jednak zapowiedział wówczas, że z początkiem lipca2013 roku wypowie serwisowi Juliana Assange'a umowę, z przyczynproceduralnych. Najwyraźniej jednak coś po stronie MasterCarda iVisy, stojących za decyzją o blokadzie się zmieniło. Wikileaksinformuje właśnie, że VALITOR zmienił stanowisko i będzie dalej honorowałdotychczasową umowę. Trudnowięc powiedzieć, kto faktycznie stoi za posunięciem przeciwkodostawcom VPN-ów, i dlaczego zdecydował się na takkontrowersyjny krok właśnie teraz, gdy afera wokół podsłuchówNSA jeszcze nie wygasła. Ani Visa, ani MasterCard oficjalnegostanowiska w tej sprawie do tej pory nie zajęły.Takczy inaczej, decyzja taka powinna mieć korzystne konsekwencje dladostawców internetowej anonimowości. Do tej pory to właśniepłatność za usługę była piętą achillesową takiegozabezpieczenia prywatności: użytkownik musiał ufać, że dostawcadanych swoich klientów nie przekaże stronom trzecim. W sprawachprywatności i anonimowości najlepiej jednak domyślnie nie ufaćnikomu, więc opłacanie usług anonimizujących powinno byćdokonywane wyłącznie poprzez anonimowe kanały płatności, takiejak wspominany Bitcoin, który przy zachowaniu rozwagi może zapewnićniemal absolutne bezpieczeństwo.

Bloger kontra twórcy AdBlock Plusa: blokowanie reklam niczym mafijne praktyki?

Sascha Pallenberg to jeden z najbardziej popularnych niemieckichblogerów, człowiek, którego poświęcone nowym technologiom blogicodziennie czyta przynajmniej kilkadziesiąt tysięcy osób. Gdy więc zjego ust padają oskarżenia względem twórców jednego znajpopularniejszych rozszerzeń do przeglądarek, AdBlocka Plus, trudnotę sytuację zignorować. A oskarżenia są nieliche – w sążnistymartykule opublikowanym na łamach mobilegeeks.de, Pallenbergnazywa zbudowany wokół AdBlock Plusa mafijną siecią reklamową(mafioeses Werbenetzwerk), asamo rozszerzenie perfidną furtką, pozwalającą naszantażowanie właścicieli witryn internetowych.AdBlock Plus to na pewno historia osukcesie. Dostępne dla Firefoksa i Chrome rozszerzenie używane jestprzez przynajmniej 30 (a może i 40) mln użytkowników, cieszących sięmożliwością blokowania niepożądanych zapytań HTTP i ukrywanianiechcianych elementów stron WWW – przede wszystkim reklam,serwowanych zarówno jako obiekty flashowe jak i skrypty czy pływająceramki. Za jego powstaniem stoi rosyjski programista Władimir Palant,który do dziś jest w serwisie Mozilla AddOns wymieniany jako głównydeweloper… ale według Pallenberga to już nie on rozdaje kartyw tym, co ze zwykłego rozszerzenia stało się nieźle przemyślanymprzedsięwzięciem.Obecnie realnym wydawcą AdBlock Plusama być zatrudniająca 15 pracowników firma EyeoGmbH z Kolonii. Rozszerzenie jest najwyraźniej jedynym produktemtej firmy, na czele której stoi dwóch dyrektorów zarządzających.Pierwszym jest Władimir Palant, drugim Till Faida, człowiek, któryzostał partnerem Palanta, po tym, jak twórca rozszerzenia pozyskał w2010 roku dodatkowe fundusze na jego rozwój, tak by wspólniepozytywnie wpływać na rozwój WWW. Jak ustalił Pallenberg, towłaściciel dziesiątek witryn związanych z hazardem, ale też domentakich jak chromeadblock.org, pod którym to adresem do niedawnajeszcze działała niezależna witryna wychwalająca stosowanieAdBlock Plusa, czy też chrome-plugins.org, niezależna witryna,w której to testach AdBlock Plus został uznany za najlepszerozszerzenie do Chrome.[img=stop_opener]To jeszcze jednak nie powód, by ocokolwiek Eyeo GmbH oskarżać – to działania często praktykowanew świecie PR-u i specjalistów od SEO/SEM. Prawdziwym powodem śledztwaniemieckiego blogera jest coś innego: rozpoczęty pod koniec 2011 rokuprogram „akceptowalnychreklam”, pozwalający niektórym wydawcom znaleźć się nabiałej liście AdBlocka, innymi słowy – umożliwiającywyświetlanie ich reklam w chronionych AdBlockiem przeglądarkach.Oficjalnie decyzja o dopuszczeniu danych reklam do filtra miała byćpodejmowana publicznie, na łamach otwartego forum dyskusyjnego, adroga do białej listy otwarta miała być dla każdego, ktoprzygotowywałby reklamy przyjazne dla użytkowników (czylinieprzeszkadzające w przeglądaniu stron, najlepiej tekstowe).Dostanie się na białą listę AdBlockPlusa nie jest jednak takie proste. Najwyraźniej ostatnie słowonależy do tajemniczych strategicznych partnerów, którzy chcąpozostać anonimowi – jak stwierdził w zeszłym roku Till Faida w wywiadzie dla szwajcarskiej gazetyThurgauer Zeitung. Odpowiedzialnym za relacje z nimi miał byćChristian Dommers, obecnie menedżer projektów w Eyeo, człowiek od latpowiązany z innym znanym nazwiskiem w domenowej branży – TimemSchumacherem, założycielem SEDO, domu aukcyjnego dla domen,utrzymującego też te słynne domenowe parkingi, czyli usługipozwalające wypełnić zarejestrowane domeny reklamami, i zarabiać zakażdym razem, gdy ktoś przypadkiem je odwiedzi. Schumacher z koleiokazuje się być inwestorem w YieldKit – rozwiązanie, któreautomatycznie umieszcza zoptymalizowane linki afiliacyjne w tekściestrony internetowej, generowane na podstawie znalezionych słówkluczowych – i które oczywiście jest automatycznie akceptowaneprzez AdBlock Plusa, mimo że członkowie otwartego forum rozszerzeniamieli wątpliwości co do zasadności dopuszczenia go do białej listy.Nie jest to jedyne powiązanie, któregodoszukał się Pallenberg, nie jest to też jedyny zarzut, jaki stawiabloger twórcom rozszerzenia. Podejmuje też kwestię blokowania reklamw darmowych aplikacjach na Androida czy zagrożenia dla bezpieczeństwaurządzeń mobilnych, jakie AdBlock Plus ma powodować. Przypomina też oaferzez niemieckimi gazetami Süddeutsche Zeitung, Spiegel Online i ZeitOnline, niezadowolonymi z blokowania reklam na ich stronach, którezaczęły wyświetlać własne komunikaty użytkownikom AdBlocka –wówczas to zaktualizowana wersja AdBlocka zaczęła blokowaćkomunikaty, jako zbyt denerwujące. Dla Pallenberga (nota benezarabiającego przecież niemało z emisji reklam na swoich blogach)sprawa jest więc oczywista: AdBlock Plus to zło, szkodzące Sieci iłupiące wydawców reklam z należnych im zysków, a nawet przejmująceczęść tych zysków.Eyeo GmbH nie pozostawiło sprawy bezodpowiedzi. Till Faisa potwierdził wiele z zarzutów Pallenberga,jednak podkreślił, że powiązania z branżą reklamową i domenową niestanowią konfliktu interesów, model biznesowy bazujący naakceptowalnych reklamach jest udany, a kryteria dopuszczenia na białelisty są całkowicie przejrzyste. Dodał również, że wszystkichobejmuje taki sam proces selekcji, małe i średnie witryny nie musząnic płacić za umożliwienie wyświetlania ich reklam, zaś jego firmanigdy nie ukrywała niczego w kwestii wsparcia finansowego zestrony dużych firm.Czy afera zaszkodzi popularnościAdBlock Plusa? W to akurat wątpimy, szczególnie że niebawem liczbaużytkowników rozszerzenia powinna się znacząco powiększyć. Eyeozatrudniło bowiem programistów, których zadaniem jest stworzeniewersji AdBlock Plusa dla Internet Explorera – wciąż jednej znajpopularniejszych przeglądarek na świecie. A że wydawcy stron WWWprzez AdBlocka tracą sporą część przychodów z reklam... cóż,internautów to raczej niewiele obchodzi.

Microsoft kończy z TechNet Subscriptions: walka z piractwem czy zignorowanie potrzeb ITprosów?

To wiadomość, która raczej nie powinna spodobać się nikomu,kto uważał się za „ITprosa” i korzystał z rozwiązańMicrosoftu. Gigant z Redmond poinformowałwłaśnie, że kończy z uruchomioną 15 lat temu usługądostępu do całej bazy swojego oprogramowania, oferowaną w ramachsubskrypcji do TechNetu. Ten niedrogi, kosztujący kilkaseteuro rocznie sposób dostępu do oprogramowania Microsoftu, wramach którego można było też za darmo pozyskiwać wersjetestowe, pozwalał na tanie budowanie środowisk deweloperskich irealną ocenę wartości nowych narzędzi.Wielu programistom związanym z Windows, TechNet towarzyszyłprzez całą ich zawodową karierę – i nic dziwnego. Był tonajlepszy spośród zgodnych z prawem sposobów na uzyskanie kluczylicencyjnych do praktycznie całego oprogramowania sprzedawanegoprzez Microsoft, zarówno produktów desktopowych jak i serwerowych.Oficjalnie klucze te służyć miały jedynie do testówoprogramowania, jako że jednak w żaden sposób nie ograniczałyfunkcjonalności tak aktywowanych produktów, nierzadko byływykorzystywane też do taniego utrzymania serwerów i klientów naWindows.[img=technet]Nie ma jednak co ukrywać, z TechNetu chętnie korzystali teżpiraci, nierzadko komercyjnie rozprowadzając klucze produktów wprzystępnych cenach. Mimo działań Microsoftu, mających na celuograniczenie skali piractwa (m.in. dwukrotnie zmniejszano liczbędostępnych kluczy dla abonentów TechNetu, w latach 2010 i 2012, atakże zmian w warunkach korzystania z usługi), niewiele tozmieniło, klucze dla takich produktów jak SQL Server czy WindowsServer, wciąż sprzedawano w Sieci za kilka-kilkanaście dolarów. Nawet jeśli jednak o walkę z piractwem chodzi, to w pożegnalnychsłowach do subskrybentów nic o tym nie ma. Zamiast tego można przeczytać, że trendy w IT ibiznesowa dynamika ewoluowały odczasów uruchomienia TechNetu, a dziś program ten nie spełnia jużswoich zadań. Z perspektywy Microsoftu tak to może wyglądać, zperspektywy administratorów, utrzymujących złożone,zwirtualizowane środowiska testowe już niekoniecznie – dla nichTechNet był wygodną metodą uzyskania wszystkiego, czegopotrzebowali do zachowania swoich maszyn wirtualnych przy życiu, bezprzejmowania się aktualnym stanem licencji. Redmond jednaknajwyraźniej uważa, że to nadużycie: w ostatnich latachzauważyliśmy zmianę sposobu korzystania [z TechNetu –przyp.red.], z płatnych sposobów oceny oprogramowania i zasobów nadarmowe. W konsekwencji Microsoft zdecydował się zakończyć całąusługę TechNet Subscriptions i zakończy jej sprzedaż 31 sierpnia2013 roku – czytamyw liście skierowanym do abonentów. Poinformowano też, że obecni abonencibędą wciąż mieli prawo do korzyści z usługi do momentuzakończenia umowy. Dla większości oznacza to rok – jedynienieliczni korporacyjni klienci mogli podpisać dłuższe umowy. Teumowy, które wygasnąć mają przed końcem sierpnia, będą mogłyzostać odnowione na jeden rok. Posiadacze kont Microsoft CertifiedTrainer będą mieli dostęp do korzyści z TechNetu do 31 marca 2014roku.Redmond pociesza, że wciąż sądostępne inne programy, dające ITprosom dostęp do darmowegooprogramowania, w tym TechNet Evaluation Center, Microsoft VirtualAcademy i TechNet Forums. Oczywiście żadna to pociecha – w ramachtych programów można w najlepszym razie otrzymać ograniczoneczasowo wersje oprogramowania, które przestają działać po 90 czy180 dniach. Dla utrzymujących zwirtualizowane środowiska testowewersje takie są bezwartościowe. To samo powiedzą też ci, którzymuszą pisać oprogramowanie pod specyficzne wersje systemów uswoich klientów. Oni nie pobiorą już do testów Windows Servera2003 – nowy EvaluationCenter pozwala tylko na pobranie najnowszych wersjioprogramowania.Oczywiście jest jeszcze jedna opcja:wciąż skorzystać można z MSDNSubscriptions, dzięki któremu można uzyskać praktycznie każdąwersję Windows, a w najdroższych opcjach także Visual Studio, SQLServer, czy nawet Office. Różnica cen, w porównaniu do TechNetujest jednak ogromna – najbardziej rozbudowana wersja abonamentukosztuje 14 238 euro, a odnowienie na kolejny rok 4 549 euro.Jak ta decyzja odbije się napopularności oprogramowania Microsoftu, szczególnie serwerowego, tosię dopiero okaże, komunikat jest jednak jasny: dziś testynarzędzi Microsoftu robi się tylko w chmurze, a jeśli kogoś na tonie stać, to cóż, najwyraźniej to nie jest oprogramowanie dlaniego. Czy powinien się w tej sytuacji zainteresować rozwiązaniamiOpen Source?

Mobilna rewolucja może doprowadzić do zrujnowania rytmu snu i czuwania

Coraz więcej osób kupuje tablety z myślą o ich wykorzystaniu doczytania książek. Dziwić im się trudno – w przeciwieństwie doklasycznych czytników z wyświetlaczami wykorzystującymi e-papier,znacznie sprawniej radzą one sobie ze złożonymi PDF-ami i pozwalająna czytanie ilustrowanych magazynów i komiksów. Niejeden użytkowniktabletu przyzna się pewnie też do czytania w łóżku, w ciemności: wprzeciwieństwie do e-papieru, świecący ekran tabletu nie potrzebujedodatkowego podświetlenia. Takie praktyki mogą się jednak źleskończyć – neurolodzy ostrzegają, że mobilna rewolucja, którasprowadziła telefony i tablety do łóżek, może doprowadzić doupowszechnienia się trudnych do wyleczenia zaburzeń snu.Pojawienie się oświetlenia elektrycznego wywarło na ludzkość efektpiorunujący – w ciągu jednego pokolenia ludzie nie tylkoporzucili cykl wschodów i zachodów Słońca, ale też zaczęli sypiaćjednorazowo dłużej, często nawet 7-8 godzin. Rozwój cywilizacjiindustrialnej, wymuszającej cykl 8-8-8 (sen-praca-odpoczynek)sprawił, że powszechnie praktykowany przez naszych przodków senbifazowy (czyli spanie nocą w dwóch blokach, z kilkugodzinną przerwąmiędzy nimi) został niemal zapomniany. Taka zmiana, zdaniemwielu badaczy, przyniosła problemy psychiczne, a nawetpsychiatryczne, w poprzednich epokach nieznane.Jednak konsekwencje sztucznego oświetlenia dla snu mogą okazać siębłahe w porównaniu do tego, co wywołać może coraz powszechniejszestosowanie w ciemnościach urządzeń ze świecącymi ekranami. ProfesorShantha Rajaratnam z australijskiego Monash University stoi na czelezespołu neurologów, psychiatrów i psychologów, zajmującym siębadaniami nad snem. Jego zdaniem upowszechnienie się takich urządzeń– laptopów, smartfonów i tabletów, prowadzi do rozstrojeniazegara okołodobowegorytmu biologicznego, a także spadku poziomu produkcji melatoninyw organizmie.[img=sen_opener]Koordynująca rytm okołodobowy melatonina jest syntetyzowana przezszyszynkę, w okresie spoczynku w ciemnościach. Wystawienie organizmuw tym czasie na oświetlenie powoduje znaczne zmniejszenie syntezyhormonu. Stopień zaburzeń powiązany jest z rodzajem oświetlenia –jego barwą, natężeniem i oddaleniem źródła. Charakterystyczne dlaekranów LCD zimne światło o krótkiej długości fali i natężeniu od 30do 50 luksów jest tu najgorsze – według Rajaratnama wystarczytydzień ekspozycji, by zaburzyć pracę biologicznego zegara.Psycholog kliniczny dr Amanda Gamble z ośrodka leczeniabezsenności w Sydnej potwierdza opinie swojego kolegi – mówi,że odnotowuje coraz większą liczbę pacjentów, zgłaszających się doniej z problemami ze snem. Mobilna rewolucja doprowadzić miała dotego, że zatarły się granice między porą snu, a porą pracy zkomputerem. Tradycyjnego PC nikt raczej nie zabierał do łóżka,tymczasem wiele osób śpi ze swoimi telefonami, używając ich choćbyjako budzików. Trend ten jest szczególnie widoczny wśród młodychludzi, a nawet dzieci, które już w pierwszych klasach szkołypodstawowej korzystają z laptopa czy smartfonu, a jego efektem jestnie tylko wspomniane zaburzenie produkcji melatoniny, ale teżniepotrzebne pobudzanie mózgu przed snem (obcowanie z interesującymitreściami utrudnia przejście mózgu w stan relaksu) orazprzekształcenie łóżka z miejsca snu w miejsce pracy i socjalizacji.Wywołane w ten sposób zaburzenia snu mają swoje dalszekonsekwencje, zarówno psychologiczne (obniżenie czujności, zdolnościkoncentracji i zapamiętywania, depresja, zaburzenia lękowe), jak ifizyczne (cukrzyca, choroby autoimmunologiczne). Dotykają oneoczywiście nie tylko dzieci i młodzież, ale też dorosłych, choć utych pierwszych konsekwencje są najbardziej dotkliwe. Co można w tej sytuacji zrobić? Na pojawienie się filtrówograniczających emisję szkodliwych częstotliwości światła nie ma narazie co liczyć, profesor Rajaratnam radzi więc, by po prostuurządzenia mobilne odłożyć na półkę, wyłączając je przynajmniejgodzinę przed zaśnięciem. Na pewno nie jest to rada, z którejcieszyłaby się branża reklamowa – ale wydaje się całkiemrozsądna. Może więc warto sprawić sobie klasyczny budzik i przestaćsypiać z telefonem?

Skuteczne włamanie do sieci Opery: fałszywa aktualizacja przeglądarki roznosiła złośliwe oprogramowanie

Opera Software nie ma ostatnio łatwego życia – nie dość, żemusi się ze wszystkiego tłumaczyć swoim wiernym użytkownikom,niezadowolonym dramatycznymi zmianami, do jakich doszło zarówno wwersji mobilnej jak i desktopowej, to teraz musi się tłumaczyć zkonsekwencji ataku wymierzonego w firmową sieć. Mówiąc w skrócie,napastnikom udało się wykraść certyfikat wykorzystywany dopodpisywania aktualizacji przeglądarki i za jego pomocą podpisaćbinarkę, zawierającą całkiem spory zestaw złośliwegokodu. Plik trafił do kanału aktualizacyjnego przeglądarki, i jaktłumaczy Sigbjørn Vik, mógł zakazić kilka tysięcy użytkowników Windows,którzy 19 czerwca, około 3 nad ranem czasu polskiego korzystali zOpery.Zbyt wiele norweska firma o tym co się wydarzyło powiedzieć niechce, tłumacząc się dobrem śledztwa.Falguni Bhuta, menedżer z Opery Software poinformował jedynie, że zaatakiem stoi najprawdopodobniej grupa doświadczonych hakerów, a całasprawa została zgłoszona władzom. Porównał też ten atak do atakówprzeciwko innym dużym webowym firmom, do których dochodziło wostatnich latach. Opera zapewnia jedynie, że firmowe systemy zostałysprawdzone i oczyszczone, nie znaleziono też żadnych dowodów na to,że doszło do przejęcia danych użytkowników. Nie wyjaśniono jednak,dlaczego o incydencie poinformowano dopiero tydzień później. [img=securitybreach_opener]Dystrybucja złośliwegooprogramowania, podpisanego certyfikatem zaufanego wydawcy jestsposobem znanym, choć do tej pory nieczęsto spotykanym. Ze sztuki tejskorzystali m.in. twórcy szpiegowskiego trojanaFlame, którzy zaraził tysiące komputerów na Bliskim Wschodzie,wykorzystując sfałszowany certyfikat, wygenerowany dzięki luce wMicrosoft Terminal Server Licensing Service. Wykorzystanie kanałuaktualizacji przeglądarki to jednak coś zupełnie nowego – imożna się spodziewać, że technika ta wzbudzi zainteresowanie wielucyberprzestępców.SigbjørnVik zapewnia, że wkrótce wydana zostanie nowa wersja Opery, którakorzystać będzie z nowego certyfikatu do podpisywania kodu.Oczywiście to, że naruszony certyfikat został wycofany nie oznacza,że szkodliwej binarki nie można już uruchomić – dlatego lepiejjednak mieć w Windows działające oprogramowanie antywirusowe. Miejmynadzieję, że historia ta też przekona w końcu użytkowników, że to, żedana aplikacja jest podpisana, nie oznacza wcale, że jest bezpieczna.Więcej o możliwościach manipulowania zabezpieczeniami dowiecie się zprezentacjiJarno Niemeli z F-Secure.
Netcraft przyjrzał się bezpieczeństwu SSL: Microsoft i Apple ułatwiają życie NSA?

Netcraft przyjrzał się bezpieczeństwu SSL: Microsoft i Apple ułatwiają życie NSA?

Bezpieczeństwo technologii SSL/TLS, wykorzystywanej oddziesięcioleci do zabezpieczania komunikacji internetowej (to tasłynna „kłódeczka” w pasku adresowym przeglądarki),nieraz już było stawiane pod znakiem zapytania. Było tak, gdy irańscyhakerzy zdołali zinfiltrować serwery jednego z urzędówcertyfikacyjnych i wygenerować sfałszowane certyfikaty SSL dlaserwisów największych firm internetowych, było tak, gdy szwedzkaTelia Sonera została oskarżona przez Mozillę o dostarczanie władzomkrajów kaukaskich technologii pozwalających na inwigilacjęinternautów, było tak, gdy zrobiło się głośno o atakachman-in-the-middle chińskich hakerów wymierzonych w popularny serwishosting kodu GitHub. Nic więc dziwnego, że znów się zaczyna głośnopytać o SSL, gdy sprawa ujawnienia przez Edwarda Snowdena projektuPRISM, mającego na celu monitorowanie komunikacji w Sieci nieznika z pierwszych stron najpopularniejszych serwisów. Netcraft –firma, która od zarania istnienia WWW zajmuje się badaniami rynkuhostingowego i audytami bezpieczeństwa – postanowiłapotraktować ujawnione sekrety NSA na poważnie i w ich świetlesprawdzić skuteczność zabezpieczeń, jakie przynosi SSL.Ujawnione przez Snowdena materiały potwierdziły to, o czymwcześniej mówili tylko noszący czapki z folii aluminiowej paranoicy:NSA gromadziło całą dostępną tej agencji komunikację sieciową, takżetę zaszyfrowaną. Nie oznacza to, że w jakiś magiczny sposóbkryptolodzy NSA byli w stanie rozszyfrować otrzymywane dane –przechowywano je w nadziei, że przyjdzie czas, gdy cały zgromadzonymateriał można będzie rozszyfrować za jednym zamachem. Jeśli w jakiśsposób agencja zdołałaby uzyskać prywatny klucz jakiegoś popularnegoserwisu internetowego, czy to dzięki szpiegostwu, kryptoanalizie,działaniach sądowych czy skutecznemu włamaniu, to mogłaby nimodszyfrować wszystkie pozyskiwane przez lata dane… podwarunkiem, że w szyfrowanej komunikacji nie używano technologiiperfect forward secrecy (PFS).[img=ssl-opener]W 1992 roku kryptografowie Diffie i van Oorschot jako pierwsiprzedstawili problem ujawnienia całego zbioru danych przez naruszeniebezpieczeństwa pojedynczego prywatnego klucza. Rozwiązaniem miały byćprotokoły, które zapewniałyby, że złamanie pojedynczego kluczazapewni dostęp tylko do danych zabezpieczonych przez ten klucz. Zklucza wykorzystanego do ochrony danych nie można byłoby wyprowadzićżadnych dodatkowych kluczy, a jeśli wykorzystany do zabezpieczeniaklucz został wyprowadzony z innego klucza, to ten inny klucz niemógłby już więcej być wykorzystywany do generowania kolejnych kluczy.Dla agentów NSA technologia PFS musiała wyglądać okropnie: każdaprzechwycona i zapisana sesja musiała być atakowana oddzielnie, adostęp do przechwyconych kluczy prywatnych podsłuchiwanych witryn wniczym nie ułatwiała takiego ataku. Na szczęście dla Wielkiego Brata,PFS nie jest powszechnie stosowany. Dlaczego?Protokół SSL pojawił się w 1994 roku, więc jego twórcy od początkuzakładali możliwość wykorzystania PFS. W rzeczywistości jednak wposzczególnych implementacjach SSL rozwiązanie to pojawiło się dośćpóźno: na przykład Google wprowadziłoje do połączeń HTTPS dla Gmaila i innych swoich usług dopiero w2011 roku. Oczywiście, by PFS działało, musi być wspierane zarównoprzez serwer WWW jak i przeglądarkę, a jego utrzymanie dla operatorawitryny oznacza dodatkowe koszty: narzut generowany przez perfectforward secrecy względem standardowych połączeń HTTPS ocenia się, wnajlepszym razie, na 15% (a w wypadku niezoptymalizowanych wersjiOpenSSL, aż 27%).Netcraft przyjrzałsię więc, jak wygląda wsparcie dla PFS z obu stron, odprzeglądarki i serwera. Pod lupę trafiło pięć najważniejszychprzeglądarek – Firefox, Google Chrome, Internet Explorer,Safari i Opera, przetestowanych na 2,7 mln witryn zidentyfikowanych wczerwcowym badaniu SSL Survey i działających takich serwerach WWW jaknginx, Apache, Google Web Server i Microsoft IIS Server. Wyniki dajądo myślenia i każą zastanowić się, czy aby czasem takie, a nie innewybory rozwiązań technicznych, nie były podyktowane naciskamipolitycznymi.Okazuje się, że Firefox, Chrome i Opera zapewniały wsparcie dlaPFS dla ponad 30% wszystkich połączeń SSL, podczas gdy dla InternetExplorera wynik ten wynosił zaledwie 0,29%, zaś dla Safari 1,38%.Przeglądarka Microsoftu nie wspiera także żadnego zestawu szyfrów,który wykorzystywałby jednocześnie klucze publiczne RSA i wymianękluczy po protokole Diffiego-Hellmana – a właśnie tego wymagają najpopularniejsze implementacje PFSpo stronie serwerów WWW. Z kolei przeglądarka Apple'a jest takskonfigurowana, by dawać priorytet tym zestawom szyfrów, które nieumożliwiają PFS, nawet jeśli serwer WWW umożliwia zastosowanie tejtechnologii.A jak wygląda sprawa od strony hostingowej? Też dość ciekawie:największą dbałość o bezpieczeństwo wykazał rosyjski serwer nginx,który domyślnie narzuca wykorzystanie silnych zestawów szyfrów –w ponad 70% wypadków odwiedzenie witryny serwowanej przez serwer panaIgora Sysojewa za pomocą Firefoksa, Chrome czy Opery owocowałonawiązaniem połączenia wykorzystującego PFS (dla Internet Explorerapołączenia z PFS nawiązywane były już tylko w 6,2% wypadków). Dobrzewyglądały też wyniki Apache'a (ponad 66% dla Firefoksa, Chrome iOpery, 0% dla IE), znośnie zaś dla serwera Google (około 40% dlaFirefoksa i Chrome). W wypadku witryn hostowanych na IIS Serverze oPFS można zapomnieć: jedynie 0,01% wszystkich testowanych połączeńmiędzy IE i IIS-em korzystało z perfect forward secrecy.[img=heatmap2-pfa]W świetle zainteresowania NSA największymi serwisamiinternetowymi, Netcraft postanowił sprawdzić też, na ile bezpiecznesą usługi oferowane przez poszczególnych internetowych gigantów.Okazuje się, że cała komunikacja z Facebookiem, Twitterem, Yahoo!,Microsoftem, AOL-em i Apple możliwa jest do złamania po przechwyceniuprywatnych kluczy ich serwisów, bez względu na zastosowanąprzeglądarkę. Jedynie Google postarało się o wsparcie dla PFS dlaswoich usług internetowych, nawet jeśli użytkownik nawiązywałpołączenie przez Internet Explorera (choć użytkownicy Operypozostawali tu na lodzie). Co ciekawe, popularna alternatywa dlaGoogle'a, lubiana przez miłośników prywatności wyszukiwarkaDuckDuckGo w ogóle nie wspiera PFS, podobnie też wygląda sytuacja zcyberschowkiem Mega Kima Dotcoma.Miłośnicy teorii spiskowych mogą świętować: w badaniu mamywszystko, czego można się spodziewać: brak właściwych zabezpieczeń wproduktach wiodących firm Korporacyjnej Ameryki – Microsoftu iApple'a, niemal wszystkie witryny objęte PRISM-em wybierające takiezestawy szyfrów, by NSA nie miało trudnego życia, rosyjski webserwerzapewniający najwyższe bezpieczeństwo… Całą resztę możeciedopisać sobie sami.

Eksperyment Disneya i Sony: filmy w Sieci dostępne w tym samym czasie co w kinach

Gdy Steven Spielberg i George Lucas wspólnie przewidują zmierzchwielkich kin i wysokobudżetowego kina, Hollywood nie może takichdeklaracji przyjąć obojętnie. Za niezadowalające wyniki przychodów zfilmów obwinia się z jednej strony coraz więcej alternatywnych dlakina rozrywek, z drugiej napędzane staraniami internetowejspołeczności piractwo, którego skala, mimo działań tak prawnych jak ibiznesowych nie maleje. Z tym pierwszym menedżerowie filmowychproducentów za wiele zrobić nie mogą, z tym drugim, robią co mogą –w porównaniu do poprzedniej dekady wysiłki mające na celu walkę zpiractwem znacząco wzrosły, podobnie jak i kary dla osób, którychdziałania piractwo umożliwiają. A jednak to nie wystarcza: nawetpojawienie się w Sieci legalnie działających serwisów-wypożyczalni,udostępniających tysiące licencjonowanych przez wytwórnie filmowetytułów, nie sprawiło, że internauci przestali odwiedzać The PirateBay. Czy można zrobić coś więcej?Poszukując nowych modeli biznesowych na miarę internetowej epoki,dwa giganty kinematografii, Disney i Sony Pictures zrobiły właśnie krok bez precedensu, łamiący tradycyjny cykl życia filmów(przynajmniej tych wysokobudżetowych). Do tej pory nowy tytuł trafiałwpierw do sieci największych kin, kilka miesięcy później pojawiał sięna oficjalnych edycjach DVD i Blu-ray, potem trafiał do ramówkipłatnych kanałów telewizyjnych, wreszcie zaś kończył jako dodatek dopopularnych magazynów i pozycja w programie darmowych telewizji. [img=klaps_opener]Gdzie w tym wszystkim kanał internetowy? Te serwisy, które miałydobre relacje z dystrybutorami, były w stanie wprowadzić filmy doswojej oferty jakiś czas po premierze na nośnikach optycznych. Te,którym układów brakowało, musiały sobie radzić podobnie jak darmowetelewizje. W efekcie, tytuł który piraci byli w stanie wprowadzić doSieci zaraz po pojawieniu się oficjalnych wydań na Blu-rayu, legalniedziałające serwisy VoD mogły pokazać najwcześniej kilka tygodni, anawet kilka miesięcy później. W żywiącym się nowością Internecie tocała epoka – i to może tłumaczyć zarówno pogarszające sięwyniki sprzedaży nośników optycznych, jak i niższe niż sięspodziewano wyniki internetowych wypożyczalni. Wspomniani producenci swój eksperyment rozpoczęli w KoreiPołudniowej. Filmy, które jeszcze są grane w kinach, są udostępnianew internetowej wypożyczalni, jeszcze przed ich wydaniem na nośnikachoptycznych. Jako pierwsze do takiej internetowej dystrybucji trafiłyRalph Demolka, Django oraz Merida waleczna –a więc tytuły, które mogły liczyć na sporą oglądalność w kinach.Koreańscy widzowie mogą teraz wybierać, czy stanąć w kolejce do kasyi znosić jedzącą popcorn młodzież, czy też wspólnie z bliskimiobejrzeć na ekranie TV film udostępniany w Sieci, czy przez dostawcęsatelitarnego VoD. Co najistotniejsze, film taki nie jest jeszczewówczas dostępny od piratów, chyba że ktoś chce oglądać koszmarnejjakości kopie CAM.Wcześniej podobne próby skróceniaokienka między wydaniem kinowym a internetowym nie były dobrzeprzyjmowane przez sieci filmowe; gdy np. Disney spróbował skrócić jez 17 do 12 tygodni dla Alicji w Krainie Czarów TimaBurtona, by przyspieszyć wydanie na DVD, sieć kin Odeon zagroziłabojkotem filmu. To było jednak trzy lata temu, dziś już kinom możenie być tak łatwo. Inne wytwórnie na pewno przyglądają sięeksperymentowi Sony i Disneya: jeśli się powiedzie, to kto wie, czy wprzyszłości nie uznają Internetu za swój główny kanał wydawniczy?