Category: рекомендую

Тем, кто при­ча­стен к само­му мес­сен­же­ру, бес­плат­но дарю идею о том, как обхо­дить любые бло­ки­ров­ки в стране побе­див­ше­го интер­нет-тота­ли­та­риз­ма.

Идея не моя, про­сто я на это насмот­рел­ся досы­та, когда ком­пью­тер­ные виру­сы пре­па­ри­ро­вал. Тех­но­ло­гия DGA (domain generation algorithm).

При запус­ке про­грам­ма сна­ча­ла пыта­ет­ся идти на свои основ­ные сер­ве­ры. ОК, допу­стим Рос­ком­ге­ста­по уже под­су­е­ти­лось, и забло­ки­ро­ва­ло их. Не про­бле­ма, вот у нас, напри­мер, сего­дня 16 апре­ля 2018 года. Соот­вет­ствен­но, идём на 2018Apr16.com, кото­рый вче­ра был преду­смот­ри­тель­но заре­ги­стри­ро­ван вла­дель­ца­ми мес­сен­же­ра. Зав­тра пой­дём на 2018Apr17.com и так далее. Это и есть алго­ритм. Рос­ком­ге­ста­пе при­дёт­ся каж­дый день отры­вать зад от сту­ла и бло­ки­ро­вать всё новые и новые сер­ве­ры.

Конеч­но, выше­опи­сан­ный при­мер очень при­ми­ти­вен и алго­ритм быст­ро вычис­ля­ет­ся. В реаль­но­сти алго­рит­мы намно­го более слож­ные, и име­на доме­нов намно­го более обскур­ны. Вот, напри­мер, такие домен­ные име­на исполь­зо­вал шиф­ро­валь­щик Locky:

bkadufmdyf[.pm]
kpvoxwgf[.pm]
fysck[.fr]
hsasjielgfkneh[.ru]
qquvjijtvatj[.in]
edmgbqygn[.de]
nbavfpb[.uk]
wyusb[.yt]

В нём, прав­да, алго­ритм гене­ра­ции доме­нов тоже не фон­тан. Но в Теле­ге сидят насто­я­щие про­грам­ми­сты, кото­рые уме­ют в крип­то­гра­фию, я верю, что они смо­гут при­ду­мать такой алго­ритм, кото­рый не смо­гут рас­ку­сить интер­нет-геста­пов­цы. Потом, кто ска­зал, что надо гене­ри­ро­вать ОДНО домен­ное имя? А две­сти тысяч еже­днев­но — не хоти­те? (абсо­лют­но реаль­ный слу­чай, вирус GameOver Zeus). Осо­бен­но учи­ты­вая, что на дан­ный момент про­це­ду­ра бло­ки­ров­ки рабо­та­ет в пол­но­стью руч­ном режи­ме, бло­ки­ро­вать 200 000 доме­нов лап­ка­ми, да ещё еже­днев­но… как гово­рит­ся, это пишет­ся с мяг­ким зна­ком. Пока вла­дель­цу бот­не­та Zeus всем миром не при­ще­ми­ли хвост, никто, ни ФБР, ни ЦРУ ниче­го сде­лать с самим виру­сом не мог­ли. Так побе­дим. Уда­чи.

Со вре­ме­нем про­сто тоталь­ный кир­дык. У меня мак­си­мум есть два-три часа вече­ром, что­бы чего-то поде­лать, какие-то хоб­би, если ниче­го по дому не надо делать. Так как дети спят, желе­зо в под­ва­ле не попи­лишь. С этой сто­ро­ны очень хоро­ши хоб­би тихие — напри­мер, элек­тро­ни­ка. Поэто­му вре­мя, потра­чен­ное на всё про­чее, как-то хочет­ся под­со­кра­тить.

Я очень люб­лю жарить что-то на гри­ле — мясо, пти­цу, рыбу, ово­щи. Вот фрук­ты пока не про­бо­вал — гово­рят, хоро­шо кара­ме­ли­зо­ван­ный на гри­ле лимон к рыбе неплох.

Но гриль надо раз­жи­гать, про­гре­вать, и т.д. Когда при­хо­дишь с рабо­ты, и у тебя есть трид­цать минут на то, что­бы всё при­го­то­вить, с гри­лем возить­ся и не хочет­ся и вре­ме­ни нет. Поэто­му в послед­нее вре­мя я жарю биф­штек­сы не на гри­ле, а на чугун­ном реб­ри­стом грид­ле, постав­лен­ном на газо­вую плит­ку. Разу­ме­ет­ся, на ули­це — ибо всё это серьёз­но дымит. А плит­ка у меня тури­сти­че­ская, пор­та­тив­ная на про­пане. Это толь­ко так кажет­ся, что неболь­шая тури­сти­че­ская плит­ка мало­мощ­ная. Про­пан вооб­ще хера­чит зна­чи­тель­но убе­ди­тель­нее при­род­но­го газа (мета­на), там энер­гии почти в три раза боль­ше при том же объ­ё­ме (для хими­ков — на моль). Ещё убе­ди­тель­нее фига­чит бутан или керо­син в при­му­се. Коро­че, плит­ка гре­ет — моё почте­ние.

Вот так всё это выгля­дит во вре­мя готов­ки:

Биф­штек­сы полу­ча­ют­ся пре­крас­но. Вот так вот схо­ду по вку­су отли­чить такой биф­штекс от биф­штек­са, при­го­тов­лен­но­го на уголь­ном гри­ле лич­но мне было бы непро­сто. Самое глав­ное не бздеть хоро­шень­ко про­греть гридль. Когда вытоп­лен­ный из биф­штек­са жЫр пери­о­ди­че­ски заго­ра­ет­ся, как на кар­тин­ке — это пра­виль­ная тем­пе­ра­ту­ра.

Настрой­ка SSH аутен­ти­фи­ка­ции в ком­му­та­то­ры и марш­ру­ти­за­то­ры Cisco по RADIUS:

http://www.ipbalance.com/security/radius/1165-windows-server-2012-as-radius-for-cisco-router-a-switch.html

Что­бы не как при царе горо­хе, в раз­ных устрой­ствах — раз­ное имя поль­зо­ва­те­ля и пароль. Хотя, конеч­но, аутен­ти­фи­ка­ция по при­ват­но­му клю­чу SSH силь­но пони­жа­ет остро­ту про­бле­мы.

PS: Ста­тья про IOS, кон­фи­гу­ра­ция RADIUS на NX-OS в новых свит­чах немно­го дру­гая, см. соотв. доку­мент:

https://www.cisco.com/c/en/us/td/docs/switches/datacenter/nexus9000/sw/6‑x/security/configuration/guide/b_Cisco_Nexus_9000_Series_NX-OS_Security_Configuration_Guide.html