World Wide WEB servises

Google обновит поисковый алгоритм, сделав его более актуальным

mank — Fri, 08 Jun 2012 22:40:49 GMT

oogle намерена освежить поисковые результаты, обновив поисковые алгоритмы, по которым работает ее поисковая система. Эксперты говорят, что раньше Google делала поисковые обновления молча, не делая никаких анонсов, но сейчас компания делает из этого событие, стараясь подчеркнуть свое превосходство над решениями Yahoo и Microsoft на фоне обострившейся конкуренции на интернет-рынке.

Согласно сообщению компании, в результате скорого ввода в эксплуатацию нового поискового алгоритма, обновлению подвергнутся примерно 35% всех поисковых запросов. "Если я ищу данные по запросу "Олимпиада", то вероятно хочу получить данные о ближайших Олимпийских играх в 2012 году, а не о летней Олимпиаде 1900 года", пишет в блоге вице-президент Google Амит Синхал. "Google Search будет использовать более свежий алгоритм, созданный специально для того, чтобы пользователи получали результаты, которые наиболее актуальны на сегодняшний день. Даже если я напишу "Олимпиада", без указания 2012 года, то все равно найду то, что ищу".

В то же время, он заметил, что не все результаты базируются на наиболее актуальных данных. Некоторые результаты не имеют временнОй привязки и останутся без пересмотра. В блоге Google Синхал пишет, что наиболее значительные изменения - это как раз привязка контента к степени его актуальности в сети. По его словам, инженерами Google была реализована система, предусматривающая различную скорость обновления для различного контента.

"Разные типы поиска имеют разные потребности в частоте обновлений. Алгоритмические улучшения созданы как раз для того, чтобы понимать как именно дифференцировать эти типы поисковых запросов и какова приемлемая скорость их обновления", - пишет Синхал.

Дэн Олдс, аналитик компании Gabriel Consulting Group, говорит, что подобные обновления необходимы Google, чтобы сохранить свой кардинальный отрыв от конкурентов, в первую очередь от Microsoft. "Google нуждается в подобных обновлениях для сохранения лидерства. У Bing сейчас нет такого количества нововведений, но разработчики этой системы, я уверен, предложат в будущем нечто подобное", - говорит он.

Напомним, что согласно последним данным аналитической компании comScore, в сентябре доля Google на рынке интернет-поиска составила около 65%, что значительно превышает показатели Microsoft и Yahoo вместе взятых.

WikiLeaks выставил фотографию Ассанжа на аукцион

mank — Sat, 17 Sep 2011 10:03:31 GMT

На онлайн-аукцион eBay с целью сбора средств для финансирования сайта WikiLeaks были выставлены вещи, связанные с сайтом и его основателем Джулианом Ассанжем.

Всего предлагается купить десять предметов.

Начальная цена самого дорого - компьютера, который использовался для обнародования секретной переписки американских дипломатов - составляет около 9,5 тысяч долларов.

Среди выставленных на продажу предметов есть фотография Ассанжа, подписанная им, когда он отмечал день рождения, находясь под домашним арестом в Великобритании. Ее начальная цена составляет около 950 долларов.

Финансирование сайта WikiLeaks, специализирующегося на обнародовании секретных государственных документов, было затруднено из-за того, что ряд компаний отказались обслуживать платежи в его адрес.

Тем самым проект лишился возможности свободно получать пожертвования от сторонников.

Сам Ассанж в настоящее время находится в Великобритании, где дожидается решения суда по вопросу о своей экстрадиции в Швецию. Там его подозревают в сексуальных преступлениях.

Android: наиболее атакуемая мобильная операционная система

mank — Thu, 25 Aug 2011 08:49:32 GMT

Как сообщает McAfee, количество вредоносного ПО, нацеленного на Android, увеличилось более чем на 70% за истекший квартал, что позволило Android стать самой атакуемой мобильной ОС

"В этом году установлен "рекорд" по количеству вредоносного ПО, направленного на мобильные устройства

В заявлении сделанном Винсентом Уифером ( старший вице-президент McAfee Labs) сообщается:

"В этом году мы стали свидетелями рекордного количества вредоносных программ, особенно на мобильных устройствах, где всплеск находится в прямой зависимости от популярности".

"Во втором квартале 2011 года OS Android от Google превзошел Nokia Symbian и стал наиболее популярным объектом для разработчиков мобильных вредоносных программ."

"Быстрый рост количества вредоносного ПО для Android показывает, что платформа стала популярной мишенью для киберпреступников"

Полиция Гонконга арестовала хакера за взлом фондовой биржи

mank — Thu, 25 Aug 2011 08:49:06 GMT

В прошлый четверг полицейские арестовали 29-летнего подозреваемого из округа Квун Тонг (Kwun Tong). В ходе ареста были изъяты компьютер подозреваемого, его сотовый телефон и цифровой RAID массив. Подозреваемый обвиняется в преднамеренном нанесении ущерба с использованием компьютерных технологий. Предварительное заседание суда назначено на среду.

Фондовая биржа Гонконга была вынуждена приостановить торги в некоторых направлениях почти на две недели в связи с хакерскими атаками, которые вывели из строя сайт www.hkexnews.hk.

Недоступность сайта фондовой биржи сделала невозможным работу 8 компаний, включая HSBC, Cathay Pacific и Dah Sing Bank, которые должны были опубликовать результаты торгов.

Мастер класс по взлому голосовой почты

mank — Thu, 25 Aug 2011 08:48:37 GMT

Представители британского издательства News of the World заявили о прекращении своей работы. Причиной закрытия газеты стал скандал, в ходе которого выяснилось, что сотрудники издания взламывали голосовую почту знаменитостей, политиков, а также жертвы убийства . Редакторам газеты были предъявлены обвинения в даче взяток должностным лицам. Последний выпуск таблоида, имеющего свыше 2.6 читателей, намечен на воскресенье.

Этот случай заинтересовал одного из сотрудников новостного портала cnet.com. Журналист по имени Элинор Миллс (Elinor Mills) встретилась с независимым экспертом Кевином Митником (Kevin Mitnick), который провел «мастер класс» по взлому голосовой почты мобильного телефона. К удивлению журналиста, хакеру, располагающему только номером телефона, удалось получить доступ к голосовой почте журналиста всего за несколько минут.

По словам Митника, для подобных случаев у него в наличии есть специально созданный сценарий для подмены ID абонента (caller ID). Имея данный сценарий, можно воспользоваться услугой провайдера IP-телефонии, позволяющего указать caller ID. По словам Митника, существуют службы, которые предоставляют аналогичные услуги без необходимости применения собственных сценариев.

Митник пояснил: «Любой подросток, умеющий писать простые сценарии, может найти VoIP провайдера, который подделывает ID абонента и проделать все необходимые манипуляции за 30 минут. Если у вас нет опыта в программировании, вы можете использовать платный сервис подмены». Митник утверждает, что метод ID-спуфинга используется злоумышленниками уже многие годы. Для того чтобы избежать компрометации голосовой почты, пользователь должен изменить настройки телефона таким образом, чтобы при проверке почты он запрашивал PIN код, советует хакер.

рейтинг самых опасных ошибок при создании программ

mank — Thu, 25 Aug 2011 08:46:37 GMT

Институт SANS (SysAdmin, Audit, Network, Security), совместно с организацией MITRE и ведущими экспертами по компьютерной безопасности, подготовил новую редакцию рейтинга 25 самых опасных ошибок, приводящих к возникновению серьезных уязвимостей. Рейтинг построен на основе анализа уязвимостей, обнаруженных в течение 2010 года. Ошибки были отобраны с учетом их распространенности, трудоемкости обнаружения и простоты эксплуатации уязвимости. В опубликованном документе подробно разбирается каждый из 25 видов ошибок, приводятся примеры уязвимостей и рекомендации для разработчиков по предотвращению появления подобных ошибок.

Степень важности ошибки определена с учетом легкости обнаружения проблемы, простоты эксплуатации уязвимости и степени опасности в случае поражения системы (например, полный контроль над ОС, утечка данных или вызов отказа в обслуживании). По сравнению с прошлогодним рейтингом, в этом году ошибки, приводящие к подстановке SQL-запроса, обогнали по степени важности проблемы, связанные с запуском команд злоумышленника через подстановку некорректных аргументов при вызове внешних команд. Из добавленных в очередном рейтинге ошибок, актуальность которых возросла в последнее время, отмечаются проблемы с некорректной проверкой параметров авторизации, ошибки форматирования строк, использование потенциально опасных функций, отсутствие ограничения попыток авторизации, предоставление излишних привилегий и некорректный расчет хэшей.

Общий рейтинг:

1. SQL Injection: Неспособность сохранения целостной структуры SQL запроса, что может привести к подстановке злоумышленником SQL запроса;
2. OS Command Injection: Неспособность корректного формирования структуры запускаемого приложения, может привести к подстановке кода злоумышленника при выполнении внешней команды, через определение некорректных значений, используемых в качестве параметров запускаемой программы;
3. Buffer Overflow: Копирование содержимого буфера без предварительной проверки размера входных данных. Неспособность удержать действия в определенных жестких рамках или в пределах заданного буфера памяти, приводит к классическим уязвимостям вида выхода за допустимые границы и переполнению буфера;
4. XSS, Cross-site Scripting: Неспособность сохранения структуры web-страницы, что позволяет злоумышленнику внедрить на страницу свой скрипт или html-блок;
5. Missing Authentication: Отсутствие аутентификации при выполнении критических действий (например, при смене пароля, отсутствует проверка старого пароля);
6. Missing Authorization: Отсутствие должной проверки авторизации, что может привести к получению доступа к ресурсам или выполнения операций, не имея на это полномочий;
7. Hard-coded Credentials: Задание базового пароля или параметров аутентификации прямо в коде скрипта или в общедоступных файлах конфигурации;
8.: Отсутствие шифрования конфиденциальных данных, например, хранение номера кредитной карты в БД в открытом виде;
9.: Неограниченная возможность загрузки файлов опасного типа, например, когда через форму загрузки картинки на сайт можно загрузить (и затем выполнить) ".php" скрипт;
10.: Доверие к непроверенному вводу при принятии решений, связанных с безопасностью. Например, излишнее доверие к содержимому cookie (кодирование прав доступа или уровня пользователя через cookie);
11.: Выполнение приложений с предоставлением излишних привилегий и без надлежащего сброса привилегий;
12. Cross-Site Request Forgery (CSRF): Отсутствие проверки источника запроса, что может быть использовано злоумышленником для незаметного перенаправления авторизированного пользователя для выполнения определенных скрытых действий;
13. Path Traversal: Возможность внешнего переопределения путей или имен файлов, например, когда в качестве имени файла используется какой-то передаваемый параметр, используя "../" в котором можно выйти за пределы текущей директории;
14.: Загрузка исполняемого кода без проверки его целостности через сверку с цифровой подписью, например, в результате взлома сайта или подстановки неверной информации в DNS, злоумышленник может изменить содержимое пакета с программой;
15.: Некорректная авторизация. При доступе к требующему определенных привилегий ресурсу проверка доступа осуществляется некорректно, давая возможность атакующему преодолеть ограничения, свойственные его уровню доступа;
16.: Включение внешней функциональности из недоверительной области. Например, включение на страницу виджета со внешнего ресурса, который теоретически может быть подменен злоумышленником через взлом сторонней системы или некорректное использование директивы include в PHP, позволяющей атакующему совершить включение кода с внешнего сайта;
17.: Небезопасное назначение прав доступа к критически важным ресурсам, например, возможность чтения или изменения другим пользователем конфигурационных или служебных файлов;
18.: Использование потенциально опасных функций, которые при неосторожном использовании могут привести к появлению уязвимостей. Классический пример подобных функций - strcpy и sprintf;
19.: Использование ненадежных или рискованных криптографических алгоритмов. Например, использование XOR или DES;
20.: Некорректный расчет размера буфера;
21.: Отсутствие ограничения излишних попыток авторизации. Например,отсутствие лимита на число неудачных попыток авторизации в единицу времени может привести к осуществлению атак, направленных на подбор паролей (brute force);
22.: Перенаправление на вызывающий доверие сайт через некорректное использование средств переброса на другой URL в веб-приложениях (например, когда когда в скрипт локального переброса вместо "/redirect?url=form.php" передают "/redirect?url=http://example.com");
23.: Неконтролируемое форматирование строк (ошибка форматирования строк в функциях подобных printf);
24.: Проблемы, связанные с целочисленным переполнением;
25.: Создание хэшей на основе входных данных (например, пароля) без задействования случайного salt, что позволяет атакующим при проведении словарной атаки использовать списки предгенерированных хэшей, например, rainbow-таблицы.

Проблемы в рейтинге разделены на три категории:

Небезопасное взаимодействие между компонентами, определяет проблемы, вызванные небезопасной отправкой или получением данных между модулями, программами, процессами, нитями или системами.
Рискованное управление ресурсами, ситуации когда к проблемам приводит ненадлежащее управление созданием, использованием, передачей или уничтожением важных ресурсов системы.
Ненадежная защита, некорректное использование, игнорирование или злоупотребление средствами защиты.

IBM говорит о разработке новой технологии компьютерной памяти

TESTER — Tue, 05 Jul 2011 06:55:44 GMT

НКорпорация IBM сообщила о новой технологии компьютерной памяти, которая позволит создавать чипы SSD, способные хранить больше информации, быстрее получать к ней доступ, а также автономно хранить информацию примерно в 100 раз дольше, чем современные образцы NAND-памяти. Современные чипы памяти NAND, используемые в SSD-накопителях позволяют записывать данные на скорости до 2 Гбит/сек.

Согласно данным IBM, новые чипы PCM-памяти или памяти Phase Change Memory, способны хранить два бит данных на одну ячейку памяти без опасности повреждения данных. Отметим, что изначально PCM-память предлагала более плотное размещение информации, но проблема заключалась именно в сохранении такой информации в целостности.

Как и NAND-память, используемая в современных SSD-накопителях, PCM относится к энергонезависимой памяти, то есть она способна хранить информацию и после того, как на чип перестал подаваться электрический ток. Однако в отличие от современной NAND-памяти, PCM-чипы не требуют предварительного удаления информации перед записью новых данных. Этот цикл, известный как цикл удаления-записи, обязателен для NAND. Он же является причиной снижения производительности и со временем более высокого износа памяти. Современные потребительские образцы SSD допускают 5-10 тысяч циклов, корпоративные - до 100 тысяч.

PCM-память позволяет хранить информацию до 5 млн циклов перезаписи.

По словам инженеров из цюрихской лаборатории IBM, разработка более износостойких чипов памяти - это требование рынка. С ростом популярности SSD в серверах, работающих на транзакционных операциях или в облачных сервисах, требования к циклам перезаписи значительно растут и даже 100 тысяч циклов перезаписи данных - это уже мало.

В IBM Research рассказывают, что последние пять месяцев тестировали многоуровневые ячейки памяти, размещающие в себе два или даже три бита памяти, и пришли к выводу о достаточной надежности созданных образцов. По словам Хариса Позидиса, технического специалиста IBM Research, использовать PCM-память можно не только как замену SSD, но и как расширение модулей оперативной памяти на серверах и рабочих станциях.

"DRAM-память будет по-прежнему ближайшем местом памяти к центральному процессору и она будет работать с самыми часто запрашиваемыми данными, но PCM может использоваться в качестве более емкой и менее дорогой памяти, работающей с данными, которые не требуют частот обращения, - говорит Позидис, - можно также использовать и PCM в качестве оперативной памяти, а DRAM-память в качестве контроллера".

Отметим, что сегодня на рынке есть и альтернативные PCM-решения, в частности NOR, EEPROM или NVRAM, которые производятся компаниями Micron Technology, Samsung и Hynix соответственно.

Ранее другие компании уже занимались экспериментальным производством PCM на базе одноуровневых ячеек памяти. Так, компания Samsung выпускала 512-мегабайтные чипы для телефонов, в Micron 128-мегабайтные чипы для сетевого оборудования. Однако в IBM говорят, что создали память с наименьшей задержкой - около 10 микросекунд, что почти в 100 раз быстрее, чем у ранее выпущенных образцов памяти.

На протяжении последнего десятилетия PCM-память рассматривалась многими производителями как экспериментальный тип памяти, многие говорили о выгодах ее использования, признавая наличие ряда проблем, которые до недавнего времени делали это использование почти невозможным. В основе PCM-памяти находится материал, который по своему строению напоминает стекло. Данный материал способен изменять заряд атомов в молекулярной решетке. На основе заряда можно судить о наличии логического нуля или единицы на каждом конкретном атоме. Иными словами, если атом отвечает на тот или иной электрический сигнал, то это воспринимается как единица, если нет, то как ноль.

По мнению Джима Хенди, аналитика компании Objective Analysis, перед производителями памяти еще стоит очень много проблем, которые нужно решить до того, как PCM поступит на рынок. "Решение некоторых из этих проблем может занять годы, еще годы понадобятся для того, чтобы PCM-память вытеснила с рынка традиционную память", - говорит он.

По его расчетам, до того момента, как на рынке появится действительно быстрая и емкая PCM-память, может пройти до 8-10 лет. Сейчас производственный процесс для памяти спустился до уровня 34 нанометров, однако сила PCM будет открыта только тогда, когда технические нормы опустятся до 10-12 нанометров.

"ВКонтакте" выдал лейблам IP-адреса пользователей-пиратов

TESTER — Tue, 05 Jul 2011 06:55:19 GMT

Социальная сеть "ВКонтакте" в ходе судебного разбирательства с лейблом Gala Records/EMI передала звукозаписывающей компании данные об IP-адресах примерно десятка пользователей, загружающих на сайт пиратский контент. Ранее лейбл подал на "ВКонтакте" два иска в арбитражный суд Санкт-Петербурга за размещение композиций группы Infinity и певицы МакSим. Сумма ущерба оценивалась примерно в 1,15 млн руб.

Заместитель гендиректора Gala Records/EMI Ольга Ким рассказала в интервью "Коммерсанту", что позиция социальной сети заключается в том, что "они являются площадкой и сами ничего не загружают". При этом отвечать за нелицензионный контент должны непосредственно те, кто его загрузил. По мнению "ВКонтакте", лейбл должен предъявлять иски именно пользователям сети.

О.Ким объяснила, что такой подход не устроил звукозаписывающую компанию, поскольку она не имеет возможности установить личности пользователей по IP-адресам. Она добавила, что лейбл не будет судиться с физическими лицами, "которые, в отличие от "ВКонтакте", не зарабатывают на контенте".

Представитель "ВКонтакте" Вадим Цыплухин заявил, что соцсеть старается не доводить подобные дела до суда: правообладатели просто пишут претензию, после чего нелицензионный трек удаляется без возможности загрузить его заново. Кроме того, лейбл может получить права для самостоятельного удаления контента. Однако если речь идет о финансовых претензиях, то отвечать за незаконное размещение должны пользователи, считает В.Цыплухин.

Защищающий интересы "ВКонтакте" в суде Виктор Наумов считает, что истец пытается доказать, будто контент загрузила сама социальная сеть. После того как лейблу были предоставлены IP-адреса пользователей-нарушителей, представители звукозаписывающей компании попросили предоставить их паспортные данные. Однако сеть "ВКонтакте" отказалась это делать, поскольку личные данные пользователей подпадают под действие закона "О защите персональных данных".

Директор Национальной федерации производителей фонограмм Леонид Агронов отмечает, что пользователей сложно привлечь к уголовной ответственности по ст.146 УК РФ - "Нарушение авторских и смежных прав", поскольку масштабы их преступления обычно слишком малы: речь, как правило, идет всего о нескольких песнях. Кроме того, бессмысленно вычислять человека по IP, потому что неизвестно, кто именно находился за компьютером в момент нарушения. Отметим, что статья о нарушении авторских прав предусматривает в качестве наказания до шести лет тюрьмы.

Хакеры использовали "троянскую мышь" для взлома сети

TESTER — Tue, 05 Jul 2011 06:54:57 GMT

Специалисты из компании Netragard, испытывающие на прочность клиентские ИТ-инфраструктуры, провели еще одну блестящую операцию. В рассматриваемом случае заказчик, чье имя не называется, хотел знать, насколько его сеть и хранимые в ней данные устойчивы к современным социотехническим методикам и защищены от физического несанкционированного доступа.

Для достижения поставленной цели технический директор Netragard Эдрил Десотельс (Adriel Desautels) предложил использовать специальное оборудование, которому может найтись место в арсенале киношных секретных агентов. Хакеры из Netragard приобрели обыкновенную USB-мышь от Logitech и путем небольшой доработки превратили ее в настоящего "троянского коня".

"Внутри мыши находится микроконтроллер, имитирующий активность пользователя, - объяснил Десотельс обозревателям The Reg, - При соблюдении определенных условий это устройство передает команды, которые воспринимаются системой как вводимые с помощью клавиатуры или мыши". Микроконтроллер Teensy, запрограммированный хакерами из Netragard, вступает в игру спустя одну минуту после подключения мыши к компьютеру и отвечает за активацию вредоносного ПО, записанного на миниатюрный флэш-носитель. Отдельного упоминания заслуживают механизмы, способные блокировать всплывающие окна и уведомления антивируса McAfee.

Изначально Netragard планировали атаковать клиентскую сеть с использованием обычной "флэшки", автоматически запускаемой на системах Windows. Однако позже Десотельс и его коллеги решили, что трюк с "троянской мышью" может оказаться более эффективным, поскольку позволяет инфицировать даже те системы, на которых механизм автозапуска отключен.

На стадии подготовки к операции хакеры приобрели на онлайновом "черном рынке" список сотрудников клиентской организации. В ходе изучения списка были выявлены наиболее подходящие кандидатуры сотрудников, каждый из которых получил по бесплатной новой мыши в рамках проводимой "рекламной акции". Устройства поставлялись в оригинальной упаковке и с сопутствующими маркетинговыми материалами, благодаря чему у потенциальных жертв не возникло ни малейших подозрений.

Три дня спустя большинство вредоносных приложений вышли на связь с сервером Netragard, а еще через несколько дней специалисты опубликовали подробный отчет о проведенной атаке. Кстати, практически в то же время в сети оказалась информация об исследовании, проведенном Министерством внутренней безопасности США. Согласно предоставленному отчету, 60 процентов служащих госучреждений, нашедших компакт-диски и USB-накопители на парковочной площадке, попытались подключить потенциально опасный носитель к своему рабочему ПК.

Против Google затевают антимонопольное расследование

TESTER — Tue, 05 Jul 2011 06:49:55 GMT

В течение нескольких дней Федеральная Комиссия по Торговле США планирует начать расследование возможной подтасовки поисковой системой Google результатов поиска, сообщает Wall Street Journal. Существует мнение, что поисковик перенаправляет пользователя к своим сайтам и услугам.

Конкуренты компании утверждают, что поисковый гигант использует свое доминирующее положение на рынке поисковых систем, чтобы неправомерно «продвигать» свои продукты, например, картографические, туристические веб-сайты и интернет магазины. Корпорация Google эту информацию пока никак не комментирует.

Напомним, что по состоянию на сегодняшний день, в США на долю Google приходится два из трех поисковых запроса.
Чиновники ФКТ уже подняли вопрос об отправке Google повестки в суд, по информации New York Times.

Financial Times сообщает, что генеральные прокуроры штатов Калифорния, Нью-Йорк и Огайо также уже начали антимонопольное расследование деятельности Google. Европейская комиссия проводит проверку, действительно ли корпорация использует свое доминирующее положение для нечестной конкурентной борьбы.

Организация FairSearch.org, членами которой являются Expedia, Travelocity, Kayak и Microsoft, опубликовала заявление, в котором призывает антимонопольные органы США детально изучить методы работы Google.

В апреле группа пользователей из США заявила, что Google их обманула и нарушила право на конфиденциальность. Заявление последовало после того, как компания автоматически зарегистрировала пользователей в социальной сети Buzz, используя данные учетных записей Gmail.

Корпорация Google и раньше был мишенью антимонопольных организаций, однако расследование ФКТ станет самым масштабным за все время существования компании.