Цифровой журнал «Компьютерра» № 221

А резко уменьшившийся запас автономности означает не только увеличение расходов, но и выросший риск непредвиденных последствий для окружающих. Сама по себе высота в 20 км — сравнительно спокойное место. Верх тропосферы, нижняя граница стратосферы: зона слабых ветров (которые дуют там со скоростью пешехода), стабильных температур (-50 градусов Цельсия), свободная от облачности (лишь в тропических широтах сюда могут забираться перистые облака), самолётов (для гражданской авиации фактический потолок 15 км) и птиц. Не удивительно, что в тех же Соединённых Штатах движение на этих высотах регуляторов уже не интересует. 

Но высота способна обернуться смертельной угрозой в случае механической неполадки или сбоя электроники. Уже упоминавшийся NASA Helios, способный забираться до 30 км, погиб от порыва ветра на взлёте. А сбой ГЛОНАСС пару недель назад на несколько часов оставил без правильных координат миллионы клиентов по всему миру. Так что если Solara сломается при подъёме или спуске? Если выйдет из строя единственный мотор на рабочей высоте? Откажет навигация? Сгореть, как сгорают отжившие своё ИСЗ, он не успеет, атмосферного щита нужной толщины здесь нет. Как мрачно шутят авиаторы, приземляются рано или поздно все — вопрос лишь в том, будет ли посадка мягкой. Значит, индустрию сверхвысотных дронов необходимо будет регулировать, от падения как-то страховаться. Ведь и килограммовый игрушечный самолётик способен покалечить человека, свалившись с десяти метров. Представьте, какие разрушения причинит аппарат весом в пару центнеров, спикировавший с двадцати километров! 

Поправьте, если я ошибаюсь, но ни один из этих вопросов серьёзно пока не прорабатывался; в лучшем случае причастные лица лишь констатируют наличие проблем. Так что дорога Google и Facebook за облака, может быть, и будет благодарной, но точно не быстрой и не простой.

К оглавлению

Первый этап аудита TrueCrypt завершён с неожиданными результатами Андрей Васильков

Опубликовано 15 апреля 2014

Бесплатная кросс-платформенная утилита TrueCrypt остаётся самым популярным средством шифрования. Её используют известные правозащитники, интернет-активисты и десятки миллионов рядовых пользователей по всему миру. В последнее время внимание к ней усилилось из-за проводимой экспертной оценки, которая уже дала первые результаты.

Созданная неизвестно кем программа TrueCrypt успешно развивается вот уже девять лет. На первый взгляд, это типичный проект с открытым исходным кодом, но у него до сих пор нет официального репозитория исходников (например, на GitHub).

Настораживает и то, что результат самостоятельной компиляции часто отличается от выложенного на сайте готового исполняемого файла. Объясняется это тем, что детали процесса нигде не указаны, а вариантов довольно много.

_{Самая популярная утилита шифрования впервые подверглась тщательному аудиту (коллаж по материалам researchershub.org).}

Об этих особенностях TrueCrypt «Компьютерра» уже писала ранее. Дополнительные вопросы вызывает странная лицензия программы, которая во многом похожа на GPL, но не является полностью свободной. Это препятствует включению TrueCrypt в дистрибутивы Linux и повышает общую настороженность.

Открытый код — необходимое, но недостаточное условие обеспечения безопасности. Недавно обнаруженная уязвимость Heartbleed лишний раз подтверждает это. 

Сама TrueCrypt тоже успела подмочить репутацию: в версии 5.1 была обнаружена некорректная работа с драйвером диска, которая приводила к записи данных в открытом виде при использовании режима hibernate.

Седьмую версию TrueCrypt проверяла команда разработчиков защищённой модификации ОС Ubuntu, но это была преимущественно теоретическая работа с оценкой программы в специфической среде. 

С тех пор программа сильно изменилась, а её полноценного анализа так никто и не провёл. Поэтому программист Кеннет Уайт (Kenneth White) и криптограф профессор Мэттью Грин (Matthew Green) выступили с общественной инициативой первого полномасштабного аудита TrueCrypt. 

_{Профессор Мэттью Грин (фото: opencryptoaudit.org).}

В середине октября они начали сбор средств на двух краудфандинговых платформах — IndieGoGo и FundFill. Конечная цель была указана как получение $25 тыс. на привлечение специалистов по аудиту. Среди них должны были быть юристы, программисты и независимые криптографы (очень желательно — за пределами США). Планировалось изучить правовой статус лицензии, проанализировать исходный код программы и убедиться в отсутствии уязвимостей.