Category: в хозяйстве пригодится

Ком­пью­те­ры, кото­рые исполь­зу­ют­ся для хра­не­ния аме­ри­кан­ской госу­дар­ствен­ной инфор­ма­ции (воен­ные или, напри­мер, ком­пью­те­ры, при­над­ле­жа­щие Адми­ни­стра­ции Соци­аль­но­го Стра­хо­ва­ния), долж­ны быть опре­де­лён­ным обра­зом защи­ще­ны (hardened — есть ли более под­хо­дя­щий рус­ский тер­мин для это­го сло­ва?) Для это­го после уста­нов­ки ОС, к ней необ­хо­ди­мо при­ме­нить допол­ни­тель­ные настрой­ки, как-то: уси­лен­ные тре­бо­ва­ния к паро­лям, мето­дам крип­то­гра­фии, общее сни­же­ние поверх­но­сти для сете­вых атак, и т.д. Так, напри­мер, на ком­пью­те­рах, рабо­та­ю­щих под управ­ле­ни­ем ОС Линукс, не дол­жен сто­ять FTP сер­вер, долж­на сто­ять обя­за­тель­ная про­вер­ка кон­троль­ной сум­мы уста­нав­ли­ва­е­мых паке­тов, дол­жен быть вруб­лен SELinux, и т.п.

Все эти настрой­ки собра­ны в доку­мен­ты, назы­ва­е­мые Руко­вод­ства по Тех­ни­че­ско­му Обес­пе­че­нию Без­опас­но­сти (Security Technical Implementation Guides, STIG). РТО­Бов есть туе­ва хуча для вся­ко­го раз­но­го — от HP UX до роу­те­ров, бранд­мау­э­ров, и смарт­фо­нов. Их, вооб­ще, полез­но почи­тать для обще­го раз­ви­тия себя как сисад­ми­на. Неко­то­рые тре­бо­ва­ния, конеч­но, немно­го пере­ги­ба­ют пал­ку (как, вам, напри­мер, тре­бо­ва­ние невоз­мож­но­сти копи­пас­ты паро­ля — толь­ко печа­та­ние паро­ля лап­ка­ми), но в целом их внед­ре­ние спо­соб­ству­ет улуч­ше­нию ком­пью­тер­ной без­опас­но­сти.

РТО­Бы берут здесь:

https://iase.disa.mil/stigs/Pages/index.aspx

Они рас­про­стра­ня­ют­ся в XML фор­ма­те, и там же мож­но сгру­зить про­смотр­щик (STIG Viewer) — гла­за­ми XML читать слож­но.

Но поми­мо чте­ния самих РТО­Бов ещё инте­рес­но смот­реть, а для каких устройств они есть, а для каких нет. Пото­му что если нет РТО­Бов, то устрой­ства в госу­дар­ствен­ной ком­пью­тер­ной сети исполь­зо­вать невоз­мож­но. Что часто гово­рит о том, что устрой­ства тупо невоз­мож­но защи­тить над­ле­жа­щим обра­зом или же про­из­во­ди­тель не спе­шит делить­ся тех­ни­че­ски­ми дета­ля­ми с госу­дар­ствен­ны­ми струк­ту­ра­ми.

Так, напри­мер, сре­ди РТО­Бов для смарт­фо­нов, разу­ме­ет­ся, есть iOS. Конеч­но, есть BlackBerry (ещё бы, они пер­вые под­су­е­ти­лись с FIPS), есть Вин­до­фо­ны. А вот вед­ро­и­дов — толь­ко два: ЛыЖа и Гну­смас. То-есть, все осталь­ные про­из­во­ди­те­ли (вклю­чая, ЧСХ, сам Гугол) госу­дар­ствен­ным тре­бо­ва­ни­ям по без­опас­но­сти — не отве­ча­ют:

https://iase.disa.mil/stigs/mobility/Pages/smartphone.aspx

А ещё я, мож­но ска­зать, оби­дил­ся на то, что для Фрю­ник­сов нет РТО­Бов под мою люби­мую FreeBSD, и совер­шен­но отсут­ству­ет ветвь Debian, вклю­чая Ubuntu. Из Линук­сов тока Крас­ная Шап­ка, тока хард­кор!!!! Ну ещё есть Оракл Линукс (та же Шап­ка, толь­ко в про­филь), и разу­ме­ет­ся, есть Соляр­ка и про­чий AIX. А вот Убун­ты или Фря­хи — нету как клас­са. Обид­но. Конеч­но, мож­но взять РТОБ от Шап­ки и пере­ко­стря­чить его под Убун­ту. Про­цен­тов 90 вполне мож­но при­ме­нить и там и там. Но всё же это лиш­ние тело­дви­же­ния.

https://iase.disa.mil/stigs/os/unix-linux/Pages/index.aspx

Вот сде­лал ты уси­ли­тель — как понять, хоро­ший он или нет? Дура­ки и про­чие аудио­фи­лы, как пра­ви­ло, про­сто вклю­ча­ют уси­ли­тель и слу­ша­ют, что полу­чи­лось, опи­сы­вая слы­ши­мое совер­шен­но иди­от­ски­ми и ниче­го не зна­ча­щи­ми фра­за­ми типа «песо­чек в вер­хах», «авто­ри­тет­ный бас», «звук скри­пок очень сухой и жёст­кий» и далее по спра­воч­ни­ку аудио-шизо­фре­ни­ка.

Ну, а люди, далё­кие от этих тихих и не очень поме­ша­тельств, спо­кой­но опе­ри­ру­ют объ­ек­тив­ны­ми поня­ти­я­ми типа КНИ, интер­мо­ду­ля­ци­он­ные иска­же­ния, АЧХ и так далее.

Боль­шин­ство людей так или ина­че слы­ша­ли о КНИ, и это один из самых узна­ва­е­мых пара­мет­ров уси­ли­те­ля. И он да, про­стой в пони­ма­нии — мень­ше 0.5%, зна­чит уси­ли­тель ничо, более 1% — уже начи­на­ет пова­ни­вать. И хотя мож­но поме­рять ещё мно­го вся­ко­го, начать, навер­ное, луч­ше все­го имен­но с изме­ре­ния КНИ.

Поизу­чал соот­вет­ству­ю­щую тема­ти­ку, и доступ­ных домаш­не­му инже­не­ру спо­со­бов не очень мно­го. Я нашёл три.

Спо­соб пер­вый — пол­но­стью лам­по­вый, тёп­лый и ана­ло­го­вый. Берёт­ся каче­ствен­ный гене­ра­тор сиг­на­ла (его вполне мож­но сде­лать само­му, хотя по-насто­я­ще­му чистые сину­со­и­ды гене­ри­ро­вать не ска­зать, что­бы про­сто). Его выход пода­ёт­ся на вход уси­ли­те­ля. На выход уси­ли­те­ля сажа­ет­ся режек­тор­ный фильтр, настро­ен­ный на часто­ту гене­ра­то­ра сиг­на­ла. Далее берём обык­но­вен­ный мил­ли­вольт­метр, спо­соб­ный на изме­ре­ние аудио­ча­стот (мож­но сде­лать при­став­ку к обыч­но­му ана­ло­го­во­му мил­ли­вольт­мет­ру), и меря­ем, что там оста­лось от наше­го сиг­на­ла — шум, гар­мо­ни­ки, и т.д. Делим вели­чи­ну остат­ков на вели­чи­ну полез­но­го сиг­на­ла, полу­ча­ем КНИ. Все доста­точ­но про­сто.

Спо­соб вто­рой — с при­ме­не­ни­ем спец­тех­ни­ки, напри­мер, циф­ро­во­го осцил­ло­гра­фа, уме­ю­ще­го в пре­об­ра­зо­ва­ние Фурье. Погля­дел я на этот спо­соб, и он мне не понра­вил­ся. И боль­ше все­го вопро­сов вызы­ва­ет раз­ре­ше­ние АЦП осцил­ло­гра­фа — даже у доро­гих осцил­ло­гра­фов они 8‑битные (в первую оче­редь пото­му что, АЦП, уме­ю­щие более 8 бит на часто­тах в мега­гер­цы сто­ят дико кон­ских денег). При­бли­зи­тель­но оце­нить, насколь­ко уси­ли­тель гов­но, мож­но, но не более. Кро­ме того, опять же нужен хоро­ший гене­ра­тор сиг­на­ла.

Спо­соб тре­тий, боль­ше все­го мне понра­вив­ший­ся, заклю­ча­ет­ся в том, что­бы исполь­зо­вать обык­но­вен­ную ком­пью­тер­ную зву­ко­вую кар­ту. Она не толь­ко ничуть не хуже, а даже зна­чи­тель­но луч­ше осцил­ло­гра­фа, так как име­ет 16 или даже 24-бит­ные АЦП. И ника­ко­го гене­ра­то­ра сиг­на­ла не надо — всё под рукой. 16 бит в тео­рии (в тео­рии) дают КНИ при­мер­но в 0.0015%. Для изме­ре­ния каче­ства — выше кры­ши, про­бле­ма не в бит­но­сти. Про­бле­ма будет в выход­ном-вход­ном трак­те зву­ко­вой кар­ты.

Далее всё про­сто — гене­ри­ру­ем сину­со­и­ду в люби­мом зву­ко­вом редак­то­ре, хоть в бес­плат­ном Audacity, про­иг­ры­ва­ем её, пода­ём на вход уси­ли­те­ля, уси­ли­тель вты­ка­ем во вход кар­ты* и запи­сы­ва­ем зву­ко­вой файл. Далее лич­но у меня есть уже дав­но напи­сан­ный на Питоне ана­ли­за­тор КНИ, гене­ри­ру­ю­щий частот­ные гра­фи­ки, и рас­счи­ты­ва­ю­щий зна­че­ния иска­же­ний.

Для совсем дру­гих целей я в своё вре­мя при­об­рёл внеш­нюю зву­ко­вую кар­ту Behringer UCA-202, кото­рая пози­ци­о­ни­ру­ет­ся как «сту­дий­ная» (хотя сто­ит она очень недо­ро­го). Вот и попро­бу­ем её заис­поль­зо­вать. На ней есть два выхода-«тюльпана» и столь­ко же вхо­дов. Воткнём одно в дру­гое, будет тест трак­та самой кар­ты, без вся­ко­го допол­ни­тель­но­го обо­ру­до­ва­ния.

Ска­жу сра­зу, кар­той я был немно­го разо­ча­ро­ван. Вот суди­те сами, про­иг­ры­ваю я вот такое:

А запи­сы­ва­ет­ся вот такое:

Как-то сла­бо у меня вяжет­ся соот­но­ше­ние сигнал/шум в 74.5дБ со сту­дий­ной запи­сью. Это лишь незна­чи­тель­но луч­ше MP3, вини­ло­вой пла­стин­ки или кату­шеч­но­го маг­ни­то­фо­на. Но замет­но хуже ком­пакт-дис­ка.

Пор­тят всё нели­ней­ные иска­же­ния, в первую оче­редь гар­мо­ни­ки 2 и 3. Вполне стан­дарт­ные иска­же­ния, кото­рых я ожи­дал, но не думал, что они ока­жут­ся таки­ми (отно­си­тель­но) боль­ши­ми. Хотя КНИ полу­чив­ше­го­ся состав­ля­ет ~0.019%, что вооб­ще-то непло­хо. Соот­вет­ствен­но, 0.019% будут состав­лять «ноль» на шка­ле мое­го «иска­жо­мет­ра». Всё, что мень­ше, я поме­рять тупо не смо­гу — хотя если у меня полу­чит­ся поди­зай­нить и собрать уси­ли­тель с иска­же­ни­я­ми мень­ше 0.019 — я, пря­мо ска­жем, буду вполне дово­лен собой. Это будет луч­ше чем подав­ля­ю­щее боль­шин­ство уси­ли­те­лей на рын­ке, осо­бен­но, хе-хе, лам­по­вых.

В даль­ней­ших пла­нах дори­со­вать про­грамм­ку на Питоне, что­бы гене­ри­ро­ва­ла, игра­ла, запи­сы­ва­ла и ана­ли­зи­ро­ва­ла звук само­сто­я­тель­но, ибо не надо застав­лять меня рабо­тать. Меня надо застав­лять думать, а рабо­та­ет пус­кай ком­пью­тер.

*пода­вать звук с выхо­да уси­ли­те­ля пря­мо на зву­ко­вую кар­ту чре­ва­то. Сна­ча­ла надо убе­дить­ся в том, что сиг­нал такой ампли­ту­ды не убьёт кар­точ­ку — мерять напря­же­ние, и выстав­лять без­опас­ное, напри­мер, под­клю­чая через рези­стор­ный дели­тель, а ещё луч­ше допол­ни­тель­но спа­ять предо­хра­ни­тель на дио­дах, напри­мер, что­бы всё, что выше опре­де­лён­но­го уров­ня напря­же­ния — сре­за­лось нахрен.

В нача­ле 2000х отно­си­тель­но попу­ляр­ны видео­ка­ме­ры с запи­сью пря­мо на DVD (исполь­зо­ва­лись малень­кие 80mm дис­ки). Сотруд­ник при­нёс на рабо­ту ста­рый диск, кото­рый хоть трес­ни — не читал­ся. Суёшь в читал­ку — комп гово­рит «диск чистый! писать бум?» К осо­бой доса­де сотруд­ни­ка, на дис­ке был фильм, где его ребё­нок, двух дней от роду, лежал в отде­ле­нии интен­сив­ной тера­пии так как не мог нор­маль­но питать­ся. И суще­ство­ва­ло это видео в одном-един­ствен­ном экзем­пля­ре.

Behold teh powar of *nix! Все­го-то сто­и­ло сунуть его в комп с ник­са­ми (исполь­зо­вал­ся Убун­ту) и ско­пи­ро­вать образ дис­ка:

sudo dd bs=2048K if=/dev/sr of=video.vob

Полу­чен­ный файл пре­крас­но открыл­ся в VLC и про­иг­рал­ся без вся­ких про­блем.

Вдруг кому при­го­дит­ся.

Вер­нее, не в самом про­то­ко­ле, а в его реа­ли­за­ции на неко­то­рых поч­то­вых кли­ен­тах при обра­бот­ке писем в фор­ма­те HTML.

Вкрат­це — если пише­те стро­го plain text, то боять­ся нече­го. А если не plain text, и исполь­зу­е­те, напри­мер, Enigmail, то може­те начи­нать боять­ся.

https://www.bleepingcomputer.com/news/security/users-warned-of-critical-email-encryption-security-flaw/
https://lists.gnupg.org/pipermail/gnupg-users/2018-May/060315.html

Настрой­ка SSH аутен­ти­фи­ка­ции в ком­му­та­то­ры и марш­ру­ти­за­то­ры Cisco по RADIUS:

http://www.ipbalance.com/security/radius/1165-windows-server-2012-as-radius-for-cisco-router-a-switch.html

Что­бы не как при царе горо­хе, в раз­ных устрой­ствах — раз­ное имя поль­зо­ва­те­ля и пароль. Хотя, конеч­но, аутен­ти­фи­ка­ция по при­ват­но­му клю­чу SSH силь­но пони­жа­ет остро­ту про­бле­мы.

PS: Ста­тья про IOS, кон­фи­гу­ра­ция RADIUS на NX-OS в новых свит­чах немно­го дру­гая, см. соотв. доку­мент:

https://www.cisco.com/c/en/us/td/docs/switches/datacenter/nexus9000/sw/6‑x/security/configuration/guide/b_Cisco_Nexus_9000_Series_NX-OS_Security_Configuration_Guide.html