Скрыть

На проходящей в Берлине конференции Chaos Communication Congress (28c3) обнародован новый способ нарушения работоспособности web-сервисов, основанный на особенности реализации структур хэшей, используемых для организации хранения наборов данных в представлении ключ/значение, в широком спектре языков программирования. Манипулируя используемыми в качестве ключей данными, атакующий может затратив минимальные ресурсы инициировать возникновение предсказуемых коллизий в алгоритме хэширования, разрешение которых требует дополнительных значительных процессорных ресурсов.

Большинство web-фреймворков и web-приложений на этапе разбора HTTP POST-запроса автоматически размещают передаваемые пользователем параметры в хэше, что позволяет атакующему контролировать наполнение хэша. В зависимости от языка программирования для достижение 100% загрузки CPU достаточно сформировать поток запросов интенсивностью всего в несколько килобит в секунду. При этом степень создаваемой нагрузки пропорциональна размеру передаваемого в хэш числа ключей с коллизиями. Хэш-функция генерирует на основании строки 64- или 32-разрядное целое число, при возникновении коллизии две разные входные строки дают одинаковое итоговое число. При обнаружении коллизии в хэш-функциях используются различные методы для обеспечения хранения вызывающих коллизии значений, как правило требующие дополнительного перебора и сверки значений (совпадающие значения сохраняются в виде дерева или линейного списка). Трудоёмкость добавления "n" проблемных ключей составляет O(n**2), т.е. на разбор большого числа вызывающих коллизии ключей современному CPU могут потребоваться часы.

Например, при лимите на размер POST запроса в 1 Мб, Python фреймворк Plone тратит около 7 минут процессорного времени на запись в хэш 1 Мб данных (набор специально оформленных ключей), вызывающих коллизии (для успешной DoS-атаки на CPU Core Duo достаточно потока в 20 kbit/s). Для фреймворков на языке Ruby 1.8.7 при лимите на размер POST-запроса в 2 Мб на парсинг двухмегабайтного блока данных на CPU i7 будет потрачено около 6 часов (!), т.е. для поддержания постоянной 100% нагрузки достаточно потока в 850 бит в секунду. Для PHP разбор POST-запроса размером 300 Кб занимает примерно 30 секунд процессорного времени, 500 Кб - минуту, 8 Мб - около 5 часов.

Проблеме подвержены все языки программирования и фреймворки, в которых не используется дополнительная рандомизация значений в функциях хэширования, например, уязвимы Java (Tomcat, Geronimо, Jetty, Glassfish), JRuby, PHP, Python, Rubinius, Ruby 1.8.7, V8 JavaScript Engine и ASP.NET. Проблема не затрагивает язык Perl и ветку Ruby 1.9.x, так как в этих языках уже используется внесение случайных изменений при формировании хэшей. В Perl проблема была устранена ещё в 2003 году, после публикации отчёта о возможности совершения подобной атаки. В PHP уязвимость исправлена в версии 5.4.0RC4, также планируется выпустить корректирующий релиз PHP 5.3.9. Проблема также исправлена в CRuby 1.8.7-p357, JRuby 1.6.5.1, Apache Tomcat 5.5.34/6.0.34/7.0.22, Rack 1.4.0/1.3.6/1.2.5/1.1.3. Эксплуатация проблемы в Python и Ruby имеет дополнительные нюансы, отличающиеся для 64- и 32-разрядных сборок.

Предсказать вызывающие коллизии значения не представляет труда, так как в вышеупомянутых языках как правило используются две реализации хэш-функций DJBX33A и DJBX33X, разработанные Дэниэлом Бернштейном (Daniel Bernstein, автор qmail и djbdns). Хэш-функция DJBX33A используется в PHP5, Ruby 1.8 и Java. DJBX33X в PHP4, ASP.NET, Python и JavaScript (v8). Кроме языков программирования данные хэш-функции применяются в широком спектре проектов, от ядра Linux до социальной сети Facebook, а также в таких языках, как Lua, Erlang и Objective-C, что открывает возможные новые векторы для атак.

В качестве мер для минимизации влияния представленной атаки называется ограничение максимального процессорного времени, затрачиваемого на выполнение скрипта (RLimitCPU в Apache или max_input_time в настройках PHP), ограничение максимального размера POST-запроса (для PHP - post_max_size) и ограничение максимального числа разбираемых параметров (в php 5.4 или suhosin-сборке PHP - suhosin.post.max_vars и suhosin.request.max_vars).

>>> Подробнее

Скрыть

Несмотря на то, что ГОСТ Р 54593-2011 "Информационные технологии. Свободное программное обеспечение. Общие положения", который вступит в силу с 1 января 2012 года, пока не опубликован на официальном сайте, в сети появились неофициальные копии данного документа (PDF, 12 Кб, 16 cтр.). В документе в общих чертах обозначены достоинства внедрения свободного программного обеспечения в корпорациях и государственном секторе. Определены основные термины, касающиеся открытого, свободного и проприетарного ПО, открытых стандартов, протоколов и спецификаций. Представлены цели, задачи, классификация и критерии свободного программного обеспечения. Указано, что должна включать в себя инфраструктура разработки и использования СПО.

Например, в качестве достоинств открытого ПО упомянута безопасность, надежность, финансовая привлекательность, обеспечение технологической независимости разработки, уход от привязки к конкретному производителю, независимость в выборе аппаратной платформы, низкая начальная стоимость оборудования, раннее обнаружение дефектов в программном обеспечении и возможность их быстрого исправления, отсутствие обязательной платы за право использования продуктов, стимулирование развития отечественной отрасли разработки программ, расширение возможности участия отечественных разработчиков в выполнении работ и оказании услуг для государственных и муниципальных нужд. В качестве примеров успешных открытых приложений отмечены http-сервер Apache, OpenOffice.org, Firefox и FreeBSD. Упомянут успешный опыт использования открытого по в государственных учреждениях Франции, Бразилии, Испании и Китая.

>>> Подробнее

Скрыть

Вышла восьмая альфа версия 0 A.D.

0 A.D. — свободная трёхмерная игра в жанре исторической стратегии в реальном времени, разрабатываемая компанией Wildfire Games. Игра разрабатывается около десяти лет, причём около восьми лет как проприетарный проект. После восьми лет разработки Wildfire Games решила сделать проект открытым.

Основные изменения:

•   Добавлена возможность бартера
•   Теперь можно игру сохранять/загружать
•   Улучшено AI (теперь задействован qBot)
•   Добавлена персидская цивилизация
•   Добавлены новы музыкальные треки
•   Добавлена новая карта — Zagros Mountains

Лицензия:

•   Движок: GPLv2+
•   Данные: CC-BY-SAv3.0

Системные требования:

•   ОС: Windows, MacOS X, GNU\Linux
•   RAM: 512 Мегабайт
•   CPU: 1,6 Гигагерца
•   Видео: OpenGL 1.3+ видеокарта с 64 мегабайтами оперативной памяти
•   HDD: 1 Гигабайт для данных игры

Оценки и награды:

•   Одна из 100 ожидаемых игр на moddb.com
•   Третье место в списке самых ожидаемых игр 2009 на moddb.com
•   Оценка пользователей на lgdb.org: 9,0 из 10

Также если вы хотите помочь разработчикам, то это можно сделать по ссылке http://pledgie.com/campaigns/16218

>>> Подробнее

Скрыть

FreeCAD — свободная CAx (CAD, CAE), PLM программа. Для FreeCAD непосредственно двумерное черчение(как в КОМПАС или AutoCAD LT) — не главная цель, FreeCAD разрабатывается как замена Catia, SolidWorks или Solid Edge.

Основные изменения:

•   При открытии FreeCAD в первый раз, вас приветствует страница нового стартового центра, который собирает наиболее распространенные действия, которые вы хотели бы выполнять, такие как открытие определенного инструментария, загрузка одного из последних файлов над которым вы работали и т.д.
•   Сильно улучшен инструмент эскизов, теперь он на новом решателе ограничений и может выполнять практически все операции 2D черчения чертежного модуля и обладает широким спектром ограничений для элементов эскиза.
•   Новый архитектурный модуль теперь является частью FreeCAD
•   Добавлена поддержка импорта в IFC, импорта/экспорта в COLLADA и специальный экспортёр в Obj
•   Чертёжные инструменты Отсечь/Удлинить(Trim/Extend) теперь могут вытягивать одну грань существующего объекта.
•   Теперь чертёжный модуль может импортировать кривые Безье из SVG файлов.
•   Чертёжный модуль теперь обладает инструментом который создает, внутри того же документа, проекции(2D вид) любой 3D формы.
•   Добавлено несколько режимов привязки, позволяющие привязку к параллельной и перпендикулярной существующей линии, а также к местам которые согласуются с другими отрезками.
•   Чертёжный объект теперь может быть создан прямо на существующей грани. Если вы не указали рабочую плоскость, то она будет временно адаптирована к лежащей под ней гранью.

Хотя FreeCAD развивается около десяти лет и исходный код содержит более миллиона строк на языке C++, официально проект до сих пор находится на стадии альфа-разработки.

Скрыть

В почтовой рассылке разработчиков Wayland был представлен патч для поддержки multi-touch. Для поддержки в Wayland, также требуется поддержка в evdev непосредственно для устройств, поддержка в композитный менеджере уведомления о multi-touch жестах, библиотека libtoytoolkit будет поддерживать жесты "увеличить" и "зажимать", такжк будет поддержка со стороны Cairo

>>> Подробнее

Скрыть

После полутора лет разработки представлен релиз OpenWRT 10.03.1 "Backfire", дистрибутива Linux, ориентированного на применение в различных сетевых устройствах, таких как маршрутизаторы и точки доступа. OpenWRT поддерживает множество различных платформ и архитектур и обладает системой сборки, позволяющей просто у удобно производить кросс-компиляцию, включая в состав сборки различные компоненты, что позволяет легко сформировать адаптированную под конкретные задачи готовую прошивку или образ диска с желаемым набором предустановленных пакетов.

Изменения в окончательном выпуске по сравнению с версией 10.03.1 RC6:

•  Добавлена поддержка TP-Link TL-MR3420, Netgear WNDR3800 и D-Link DSL-2650U;
•  Дополнительные улучшения, касающиеся mac80211;
•  Изменена схема нумерации беспроводных интерфейсов для поддержки перезапуска отдельных радиоинтерфейсов;

Исправления:

•  Исправления работы ethernet на более новых вариантах плат Compex WP543;
•  Исправлен "эффект гонки" при обработке состояния линка в драйвере ag71xx;
•  Исправлены регрессии cpmac ethernet на различных платах с чипсетом AR7;
•  Исправлен ряд проблем в busybox;
•  Исправлен крах dropbear когда используется форвард портов удалённой машины.
•  Исправлена работа второго ethernet порта на Ubiquiti NanoStation M.
•  Предотвращено случайное попадание в бридж интерфейсов в режиме "station";
•  Попытки разрезолвить имена NTP-серверов теперь продолжаются бесконечно, что улучшает надёжность работы синхронизации времени по NTP;

Известные проблемы:

•  Большинство тикетов, открытых на момент построения окончательных сборок.
•  Работа на частотах 5GHz может быть заблокирована из-за отсутствия поддержки DFS или иных требований регулирующих органов.

Из важных улучшений, добавленных в прошлых тестовых выпусках OpenWRT 10.03.1, можно отметить:

•  Добавлена поддержка устройств: TL-WR740N, WNDR3700 v2;
•  В пакетах по умолчанию задействована поддержка IPv6;
•  Интегрирован пакет usb-modeswitch для обеспечения работы 3G usb модемов;
•  Улучшен процесс резервного копирования конфигурации, в бэкап копируется только изменённые файлы конфигурации;
•  Sysupgrade теперь сохраняет больше различных конфигурационных файлов. Улучшена поддержка sysupgrade.
•  Осуществлено слияние кода пакетного фильтра для IPv4 и IPv6 (dualstack) из ветки trunk;
•  Возможность запрета конкретной беспроводной сети;
•  В межсетевом экране разрешены отрицания (negations), множественные значения, диапазоны портов, множества протоколов и прочие продвинутые конфигурации;
•  В межсетевой экран добавлена поддержка SNAT и NAT reflection (также известный как NAT loopback);
•  Добавлен пакет 6to4 для автоматической настройки ip6 to ipv4 с опциональной конфигурацией, сохранённой в файле /etc/config/network. Реализована конфигурация постоянных (lifetime) параметров для 6to4;
•  Поддержка extroot модифицирована так, чтобы позволить ему работать и когда он установлен как пакет, а не интегрирован в образ прошивки.
•  Extroot-раздел больше автоматически не монтируется после обновления системы (sysupgrade) для защиты от появления несовместимостей;
•  rdate заменён на ntpd для более надёжной синхронизации времени;
•  Поддержка pptp-конфигураций с текстовыми названиями серверов;
•  Поддержка привязки Dropbear на конкретный сетевой интерфейс;
•  Для PPPoE реализованы опции AC и Service name, реализован обходной путь для задания порядка аргументов;
•  Прекращена поддержка платформ Cobalt и Octeon, которые находятся в состоянии непригодном для релиза;
•  Осуществлён переход на ветку LuCI 0.10;
•  Для клиентов псевдобриджей интегрирована поддержка relayd;
•  Поддержка горячего подключения и извлечения USB 3g-модемов;
•  Добавлена поддержка сборки с использованием cmake;
•  Добавлено обнаружение nanostation-m
•  Платформы, использовавшие ядро 2.6.32, обновлены до версии ядра 2.6.32.25
•  Добавлена поддержка 4k VLAN-ов для коммутатора rtl8366.
•  Включена поддержка PCI-express на платформе x86
•  Канал wifi по умолчанию теперь 11 вместо 5.
•  Версия hostapd обновлена с 20100418 до 20100705, mac80211 (compat-wireless) обновлён с версии 2010-07-29 до 2010-10-19, openssl обновлён с 0.9.8m до 0.9.8p;
•  Драйверы коммутатора теперь включены для платформы ar7. Добавлен драйвер коммутатора ar7240. Множественные улучшения утилиты swconfig и драйвера коммутатора;
•  Включена защита от атак DNS rebind, присутствующая в dnsmasq;
•  Улучшена надёжность uhttpd;
•  Веб-сервер теперь поддерживает сертификаты в формате PEM, также сделаны некоторые изменения для совместимости с веб-интерфейсом X-Wrt.

Список и статус поддерживаемых устройств можно посмотреть на данной странице. Загрузить готовые сборки OpenWRT 10.03.1 для различных типов платформ можно здесь.

>>> Подробнее

Скрыть

Сегодня, 25-го декабря мы с вами празднуем день рождения величайшей личности в истории человечества - Иисуса нашего Христа, торжественное шествие которого в Иерусалим началось из небольшого еврейского селения Виффагия, расположенного на склоне Елеонской горы. Многочисленные свидетельства паломников донесли до нас сведения о камне, с которого Спаситель воссел на осла, что и послужило отправной точкой для церемонии. В рядах очевидцев существуют разногласия по поводу камня, с которого началось шествие, в частности монах Бернард описывает просто большой кусок мрамора в то в ремя как русский игумен Даниил указывает на некий столп, но все сходятся в одном - Иисус отправился в это шествие верхом на ослике. К сожалению свидетельства очевидцев не донесли до нас имя того достопочтенного ослика, на котором Иисус принимал участие в шествии и таким образом на протяжении тысячелетий вклад ослика в формирование современного мировоззрения подавляющей части человечества был незаслуженно игнорируем.

Восстановить справедливость взялся известный в среде 2% пользователей компьютеров защитник прав всех бедных и обездоленных, бывший программист, Ричард Столлман. В этом году он призвал своих последователей украшать рождественские ели яблоками, которые так любят ослики и даже привёл эскизное изображение украшаемого объекта:

Как мы можем видеть из данного рисунка, легендарный бывший программист, советует прихожанам украшать рождественские ели натуральными яблоками, излюбленным лакомством осликов, расположенными на высоте не превышающей 0.7 метра чтобы невысоким осликам было удобно вкушать этих еловых плодов.
В своих изысканиях Ричард Столлман, автор идеи, так же ссылается на наблюдения некоего Айзека Ньютона, сына мелкого фермера из деревни Вулсторп и известного как тёзка Исаака Юдовича Озимова, наблюдения которого за падающими по воле господа нашего яблоками, показывают что данная высота достаточно безопасна для размещения яблок чтобы не причинить серьёзного вреда детворе вечно околачивающейся вокруг рождественской ёлки.

>>> Подробнее

Скрыть

На CPAN вышел крайне удобный интерфейс для загрузки видеороликов с сервиса YouTube.

Использовать можно из командной строки, поддерживается загрузка как одиночных видеороликов, так и списка роликов. Видео подгружается в директорию, откуда произошёл вызов скрипта в формате *.flv. Если чуть чуть изменить программу, то файлы могут подгружаться c названием видеоролика.

Программа умеет пропускать навязчивую рекламу перед видеороликом и не пишет JavaScript рекламные тексты. Вобщем полный epic win языка программирования perl =)

Использование скрипта предельно просто:

•   $ youtube-download.pl bT8yLWy4B5w
•   $ youtube-download.pl http://www.youtube.com/watch?v=bT8yLWy4B5w
•   $ youtube-download.pl < video_list_file

>>> Подробнее

Скрыть

Исследователи из Массачусетского технологического института представили проект CryptDB, в рамках которого предпринята попытка решения проблемы безопасного хранения данных в БД, обслуживаемых в облачных сервисах и других неподконтрольных системах. Основная проблема при хранении важной информации в неподконтрольных СУБД связана с возможностью утечки данных в процессе взлома сервиса или в результате неправомерных действий администраторов. Для решения этой проблемы в CryptDB обеспечена поддержка шифрования, при которой данные на стороне СУБД никогда не фигурируют в открытом виде, а все передаваемые в CУБД запросы содержат только зашифрованные данные, в том числе в условных блоках.




При использовании CryptDB, в процессе выполнения SQL-запросов все действия производятся только с зашифрованными данными, т.е. пользователь может отправить SQL-запрос к СУБД и получить результат без расшифровки информации на стороне сервера (данные будут расшифрованы на оборудовании клиента). Для обеспечения сохранения конфиденциальности информации используется многоуровневая система шифрования, при которой разные данные размещаются на разных вложенных криптографических уровнях, каждый из уровней имеет свой ключ и поддерживает ограниченный набор простейших операций над зашифрованными данными. Для скрытия данных на каждом уровне используются свои методы гомоморфного шифрования, при которых данные необратимо искажаются, но сохраняется возможность совершения определённых математических операций, которые дадут аналогичные результаты, что и операции над исходными данными (можно использовать зашифрованные данные для сравнения, сортировки, сложения и т.д. без предварительной расшифровки, например, выполняется условие decrypt(crypt(A) + crypt(B)) = A + B).




Манипуляции над зашифрованными данными накладывают ограничения на возможность выполнения вычислений внутри запроса (невозможны операции сравнения для вычисляемых значений, например, нельзя использовать "salary > age*2+10", но можно "salary > age" или "salary > 10"), тем не менее поддерживаются большинство агрегатных функций и стандартных типов данных, таких как integer и varchar/text. CryptDB реализован в виде прокси, не требующего модификации кода СУБД. Для выполнения криптографических операций на стороне СУБД используется набор дополнительных функций (UDF, user-defined functions). Прокси состоит из двух частей: специальной библиотеки на языке С++ и модуля на языке Lua. Библиотека содержит реализацию парсера запросов и системы шифрования/расшифровки запросов, которые видоизменяют транзитный запрос, зашифровывая или расшифровывая данные и подставляя UDF-функции для выполнения вычислений и сравнений. Lua-модуль служит для прозрачной передачи запросов и приёма результатов от библиотеки на C++.



CryptDB поддерживает связывание по цепочке ключей шифрования и паролей пользователей СУБД. При такой схеме работы доступ к данным могут получить только пользователи, пароли которых привязаны к ключам шифрования. Администратор СУБД, даже получив каким-то образом ключи шифрования, которые на фигурируют на сервере, не сможет получить доступ данным, не зная паролей владельцев этих данных. Использование привязки ключей к паролям пользователей требует наличия в базе 11-13 уникальных аннотаций схем данных для защиты содержимого около 20 полей, а также правки 2-7 строк кода в web-приложении. В отличие от других подобных разработок, разработчикам CryptDB удалось обеспечить неплохую производительность: по сравнению с обычным MySQL использование CryptDB повышает нагрузку всего на 15-26%. При работе phpBB скорость выполнения операций замедлилась всего на 14.5%, при выполнении тестового набора TPC-C скорость замедлилось на 26%. Размер хранимых на диске данных при этом вырос примерно на 20%.
CryptDB выполнен в роли надстройки, способной работать с любыми СУБД MySQL 5.1 и PostgreSQL 9, не требуя модификации кода СУБД. Код CryptDB доступен через Git-репозиторий проекта (git clone -b public git://g.csail.mit.edu/cryptdb).

Цельнотянуто с opennet.ru

>>> Подробнее

Скрыть

Основные изменения:

•   Улучшено AI
•   Обновлены переводы (в том числе на русский язык)
•   Исправлены ошибки связанные с поддержкой automatic router configuration (UPnP)
•   Добавлена поддержка MacOS X
•   Уменьшено потребление CPU/RAM
•   Система шрифтов теперь поддерживает китайские и японские иероглифы
•   Добавлены новые функции в lua
•   Добавлены следующие команды: megaglest --use-language, megaglest --load-mod и megaglest --use-ports
•   Множество улучшений связанных с фракцией римлян

Megaglest — 3D RTS действие которой происходит в вымышленном мире. Игроку предоставляется две основные игровые фракции, Маги (Magic) и Техи (Tech). У обеих сторон есть схожие и различные черты. Расы обладают магическими и стандартными войсками, в том числе авиацией.

Системные требования:

•   ОС: Windows, MacOS X, GNU/Linux
•   Видео: 3D-ускоритель поддерживающий DirectX 9+/OpenGL 1.4+
•   Аудио: аудиокарта поддерживающая OpenAL
•   RAM: 1 Гигабайт

Лицензия:

•   Код: GPLv2+
•   Данные: CC-BY-SAv3.0

Оценки:

•   Acid Play: 9,2 из 10
•   happypenguin.org: 4,48 из 5
•   CNET Download.com: 5 звёзд (Glest 3.1) рейтинг пользователей: 4 из 5

>>> Подробнее