September 9th, 2014

lemonde

Зачем нужны страшилки о «взломе Яндекса»?

История про выложенные в Сети за один день миллион паролей к Яндекс.Почте и 4,6 млн паролей к ящикам Mail.Ru — довольно примечательная. В чистом виде пример виртуального несобытия, которое на практике не имеет никаких серьёзных последствий ни для кого (ни для сервисов, ни для пользователей, ни для бизнес-процессов), но способно сгенерировать бесконечный поток леденящих душу заголовков, новостных сюжетов и тревожных "комментариев эксперта".
Просто картинка, чтобы была
Превыше сомнения известно про обе выложенные в Интернете базы, что они не являются ни продуктом взлома серверов, ни результатом внутренней утечки (например, через уволившегося обиженного сисадмина или окопавшегося в техподдержке бунтаря-анонимуса). Базы эти собирались несколько лет, методом фишинговых атак и троянских рассылок в адрес конечных пользователей, чьи пароли утекали к похитителю в случае неосторожного обращения с такими файлами и ссылками. Основная масса присутствующих там логинов/паролей выкладывалась в Интернете ранее, и техподдержкой обоих почтовых сервисов эти базы уже отмониторены в прошлом. Новые скомпрометированные аккаунты составили в обоих списках 5-10% от общего числа...

В том, что такие базы вообще собираются и пополняются, никакой неожиданности или новости нет. Ежедневно в Интернете рассылаются сотни миллионов троянских вирусов и фишинговых ссылок, и если хоть 0,1% этого спама достигает цели, это означает хищение миллионов паролей в месяц, каждый месяц. Зачем их воруют? Затем же, зачем воруют любые другие ключи на свете. Чтобы получить доступ к чужому имуществу — в данном случае, цифровому. Как можно воспользоваться чужими аккаунтами, подобрав к ним ключи? Не хочу вдаваться в подробности, но почтовые ящики могут открывать доступ к электронным кошелькам, отчётам и паролям систем электронного банкинга. Кроме того, зараженные аккаунты используются для отправки спама и дальнейшей рассылки троянов и фишинговых ссылок по их же контакт-листам.

Это малоприятная и презренная уголовщина, но в мотивации тех, кто ею занимается, нет никакой загадки. В практике российского правоприменения «увод» чужих аккаунтов и электронных денег не считается преступлением и не подлежит расследованию. Такая практика противоречит сразу двум статьям действующего УК (272 и 273), но нашим силовикам на законы плевать. Попробуйте подать заявление, что Ваш аккаунт взломали — и очень увлекательно проведёте месяц жизни. Сначала выяснится, что у уполномоченного подразделения МВД вообще нет практики приёма заявлений от граждан. Потом, после долгих скандалов, заявление примет участковый по месту жительства и пообещает переслать по назначению. Если Вы на этом успокоитесь, то заявление Ваше сгинет. Если же будете писать кляузы, заявление снова отыщется через месяц, и Вы получите отписку от Управления «К»: извините, с момента взлома прошёл месяц, следы искать поздно.

О том, что процедура борьбы с киберпреступностью в России именно такова, знают не только потерпевшие, но и уголовники. Поэтому поток троянов и фишинговых ссылок в РУНЕТе с каждым годом растёт, а параллельно ширится и крепнет экспорт подобного криминала в страны, где он преследуем и наказуем. Зарубежные ведомства по борьбе с киберкриминалом, пытаясь пресекать деятельность российских преступных синдикатов, сталкиваются с довольно откровенным крышеванием этих синдикатов по линии ФСБ.

Вернёмся, однако же, к выложенным в Интернете базам паролей пользователей Яндекса и Mail.Ru. Зачем эти базы собирались — понятно. Как и зачем их изначально планировали использовать — тоже понятно. Но вот кому понадобилось их вываливать в открытый публичный доступ в один и тот же день — загадка. Потому что сам по себе акт вываливания означает, что для нужд потрошения кошельков и прочего data mining все адреса в этих базах единовременно спалились. Эти аккаунты чохом, прямо по списку, заморозили не только Яндекс, Mail.Ru и их платёжные системы, но даже и соцсеть вКонтакте от греха ограничила доступ ко всем своим учётным записям, зарегистрированным на эти адреса электронной почты.

Можно, конечно, предположить, что кто-то из корифеев российского фишинга сошёл с ума, возжаждал анонимной славы, или решил спасти миллионы соотечественников от самого себя. Но это всё в логике бреда. Можно также допустить, что эти вбросы призваны были повлиять на курс бумаг MLRYY на Лондонской бирже и YNDX на NASDAQ, но над обесцениванием этих бумаг так успешно трудится политическое руководство страны, что хакерам смешно вступать в соревнование.

Остаётся ровно одно рациональное объяснение — в точности такое же, как у московского футбольного погрома летом 2002 года. Тогда готовилось принятие Думой ФЗ о противодействии экстремистской деятельности, и кому-то из пиарщиков пришло в голову, что картинки с горящими киосками и перевёрнутыми троллейбусами в центре Москвы хорошо помогут настроить общественное мнение в пользу подобных мер. Это были романтические времена, когда общественное мнение кого-то в России ещё заботило (ну или, по крайней мере, можно было освоить бюджеты на манипуляции). Сегодня времена изменились, о реальных настроениях улицы больше не задумываются, зато власть и обслуживающая её рать политтехнологов намертво присела на иглу телевизионного мифотворчества. История про миллионы паролей, якобы украденных при «взломе» сервисов Яндекса и Mail.Ru, вписывается в этот тренд не хуже байки про распятого в Донецке мальчика. Если кто-то решил покормить дорогих российских телезрителей страшилками про уязвимость негосударственных веб-почт — значит, мы скоро услышим о планах государства по решению этой проблемы.

Осталось только угадать, к внесению какого нового законопроекта или постановления правительства приурочен вброс. Основных вариантов два. Возможно, нас ждёт какая-нибудь новая несусветная инициатива в сфере так называемой охраны персональных данных россиян. Охранять их будут, конечно же, не от крышуемых спецслужбами фишеров и рассылателей вирусов. И не от коррумпированных чиновников, сквозь пальцы которых утекли в публичный доступ все мыслимые базы МГТС, ГИБДД, БТИ, ЦБ РФ и ЕГРЮЛ со всеми мыслимыми персональными данными. Доступ всех этих жуликов к нашим персональным данным будет только расширен. А защищать нас будут от мировой закулисы, АНБ, всемирного жидобандеровского заговора и происков инопланетян. Для этого можно, например, попробовать запретить россиянам сообщать свои персональные данные сайтам и серверам, не имеющим соответствующей лицензии ФСБ. Или использовать анонимайзеры. Или без паспорта в Интернет ходить. Впрочем, предугадывать полёт казённой фантазии — дело неблагодарное.

Другой вариант, более «вегетарианский», состоит в том, что где-то во власти согласован проект очередного распила бюджетных денег на разработку цифрового аналога «Почты России». С поддержкой кириллических адресов и строгим соблюдением всех требований СОРМ. Для обоснования эпической сметы, куда заложена прибыль длинной цепочки посредников между государством и его айтишными подрядчиками, нужны страшилки — вот их и вбрасывают.

Какая из этих версий правильная, мы довольно скоро узнаем. Будь то новый ворох запретов, или новый айтишный распил — в ближайшие недели нам о нём объявят.

Что же до пользователей, пароли которых утекли в открытый доступ, им можно лишь посоветовать впредь относиться к своим данным аккуратнее. Не ходить по незнакомым ссылкам со стрёмным адресом, не открывать аттачменты из «писем счастья», придумать себе сложный пароль и менять его регулярно, не дожидаясь взломов и утечек. Ну и, разумеется, использовать все те возможности для дополнительной защиты аккаунтов, которые сегодня предоставляются любой сколько-нибудь серьёзной многопользовательской площадкой.
lemonde

Маленькая гражданская война на Ленинском проспекте

А вот попробуйте угадать, о каком событии в конце июля Газета.Ру написала под заголовком «Это маленькая гражданская война»?
Не угадаете ни за что. Войнушка, меж тем, нешуточная.
Втянуты в неё уже и Минздрав, и Общественная палата, и Счётная, почтовый ящик Путина завален петициями, одна из сторон открытым текстом обвиняет другую в «убийстве детей»... Короче, трэш и ад покруче коммунальной кухни.

Фабула там очень простая для понимания, но, увы, не для пересказа.
Запаситесь терпением.
РДКБ на Ленинском проспекте
Как может помнить читатель, была у нас в конце Ленинского проспекта Российская детская клиническая больница, она же в обиходе РДКБ, а по полному названию — ФГБУ «РДКБ» МЗ РФ. Собственно, с этой больницы для значительной части российских фондов и неформальных волонтёрских объединений начался их благотворительный опыт. Лично для меня этот опыт начался в далёком 1998 году, за 7 лет до учреждения Помоги.орг, с участия в работе одной волонтёрской группы как раз на базе этой детской клиники. И когда мой фонд учредился, то пациенты РДКБ составляли большинство среди получателей адресной помощи от наших жертвователей. Дело тут не только в их страшных диагнозах и неподъёмной для родителей дороговизне лечения детской онкологии, а в том, что администрация РДКБ всегда была открыта для диалога и сотрудничества с любыми добровольцами, волонтёрами и фондами в интересах детей и их родителей. Помощь не исчерпывалась оплатой лекарств, процедур, отправки пациентов за границу: не менее важным направлением деятельности волонтёров и фондов по сей день является решение острых бытовых и социальных проблем родителей. Пациентов в РДКБ привозят со всех концов России и СНГ, их родители вынуждены бросать свой дом и работу, становясь «медицинскими мигрантами» в нашем недешёвом городе. А у государства нет денег даже на лекарства для их детей и на создание нормальной единой базы доноров костного мозга — что ж говорить о таких не учтённых ни в каком бюджете статьях, как проживание родителей пациентов в Москве. Кроме фондов и волонтёров этим некому было заняться.

Летом 2005 года с РДКБ случилась совершенно святочно-сказочная история. Одного из наших подопечных, десятилетнего мальчика по имени Дима Рогачёв, больного острым миелобластным лейкозом, врач из Калуги уговорила ехать в РДКБ на лечение, пообещав, что в Москве ему обязательно удастся поесть блинов с Путиным (выздоровление ему обещать у доктора язык, видимо, не повернулся с учётом диагноза и уже допущенных к тому времени ошибок в лечении). Мальчик в это поверил, и, оказавшись в московской клинике, много рассказывал об этой своей мечте насчёт Путина и блинов всякому, кто готов был слушать: врачам, соседям по отделению, постоянно дежурившим в РДКБ волонтёрам... И он, наверное, меньше всех окружающих удивился, когда 8 августа 2005 года к нему в палату действительно зашёл Путин — в белом халате и с тарелкой горячих блинов.
Путин накладывает Диме Рогачёву блины. Архивная съёмка 2005 года
Технология чуда была много проще, чем в сценарии первых бекмамбетовских «Ёлок». В ближайшем (на тот момент) окружении Путина были люди, лично участвовавшие в судьбе пациентов РДКБ — ездившие туда, собиравшие деньги, отправлявшие детей на ТКМ за границу... Они в июне 2005 года рассказали президенту о существовании такой беды, как онкогематология, и об отсутствии в России профильного медицинского учреждения, где бы этой бедой специально занимались. К августу Путин принял решение, чтобы такое учреждение было создано. И в РДКБ он приехал именно для того, чтобы об этом своём решении объявить. А уж что объявление было сделано именно за блинами в Диминой палате — будем считать, что просто так удачно звёзды сошлись. Хотя сдаётся мне, что Наталья Александровна Тимакова сыграла в этой истории более важную роль, чем любые небесные и медицинские светила.

Распоряжением правительства РФ от 19 августа 2005 года в России был учреждён Федеральный научно-клинический центр детской гематологии, онкологии и иммунологии. Учредился он, конечно, не на пустом месте, а на базе НИИ детской гематологии, но главная новость состояла в том, что в Москве решили построить современный многопрофильный медицинский центр. Учитывавший, кстати сказать, и ту самую потребность родителей малолетних пациентов в месте для проживания в Москве...

Дима Рогачёв боролся со своей страшной болезнью ещё два года. В сентябре 2007 он умер от лёгочного кровотечения в иерусалимской клинике «Адасса». То, что израильские врачи согласились его туда взять, несмотря на почти полное отсутствие шансов на благополучный успех операции, тоже было в каком-то смысле чудом — к сожалению, последним в недолгой жизни мальчика из села Пеневичи Калужской области. Половина этой жизни прошла по больницам, там и закончилась. Но осталась память. Когда спустя ещё 4 года, в сентябре 2011, новый медицинский центр открыл двери для пациентов, он получил имя Дмитрия Рогачёва.

На этом заканчивается грустная сказка о чудесах, и начинаются серые будни отечественного здравоохранения. Понятное дело, врачи в штатном расписании нового медицинского центра имени Димы взялись не из космоса, и не из дальних уголков Таджикистана, а в основном из числа тех самых сотрудников РДКБ, которые до этого занимались вопросами детской онкогематологии на прежней клинической базе. То есть конкретно для РДКБ открытие Центра Димы Рогачёва означало уход туда ряда ключевых специалистов и медицинских администраторов — с целой чередой реорганизаций и кадровых перестановок, которые там не окончились по сей день.

Вот из этой-то проблемы «маленькая гражданская война» в итоге и выросла. Администрация клиники приняла решение объединить два отделения, которые занимаются лечением одних и тех же пациентов в одних и тех же стенах. При этом, как при любом слиянии двух одинаковых структур, некоторые административные должности подлежали сокращению. Например, в одном отделении довольно трудно себе представить двух заведующих, или двух старших сестёр. Понятно, что при этом конкретные кадровые решения можно было оформить по-разному — и не факт, что они были оформлены наилучшим образом. Тот путь, которым пошла администрация РДКБ, вызвал трения в трудовом коллективе. Это вполне себе штатная и предсказуемая ситуация, но дальше уже начался сюжет про «роль личности в истории». Одна из личностей, не согласных с реорганизацией, объявила руководству своей клиники настоящий аппаратный джихад. Во все концы российской административно-бюрократической системы полетели бесчисленные доносы и рапорты. В прессу посыпались леденящие душу истории о том, что в России вытаптывают последние ростки детской онкогематологии. «Маленькая гражданская война» не обошла стороной и Интернет: родителям тяжело больных детей предводительница джихада рассказала, что реорганизация несёт маленьким пациентам верную смерть — и родители, предсказуемо ужаснувшись, стали распространять петицию, в которой руководство РДКБ разве что не объявлялось «убийцами в белых халатах». Подписантов у той петиции — десятки тысяч, и не факт, что многие из них в состоянии написать или выговорить слово «онкогематология» с первой попытки.

Разумеется, первым адресатом всех таких челобитных стал Путин, который их, насколько мне известно, проигнорировал — но попутно жалобы посыпались по всем мыслимым и немыслимым инстанциям. И в некоторых из них обращения нашли неожиданно горячий отклик. Минздрав, например, собрал целую чрезвычайную комиссию для проверки ситуации в РДКБ — буквально через час-полтора эта комиссия, в состав которой входит небезызвестный доктор Рошаль, огласит свои выводы. Но если Минздраву обращать внимание на подобные сигналы по профилю (РДКБ — его прямо подведомственная структура), то живое и очень пристрастное участие в конфликте таких ведомств, как ОП и Счётная палата, объяснить значительно сложней.

На мой сугубо беспристрастный взгляд человека, который в РДКБ только направляет деньги для оплаты медицинских счетов, вся эта «маленькая гражданская война» — просто мерзость. Всякий работник имеет право бороться против кадровых решений своего руководства, но брать в заложники тяжелобольных детей и их обезумевших от горя родителей, сливать в прессу кошмары про клинику, которая для многих российских пациентов является единственным шансом на спасение — это вообще по ту сторону добра и зла. Тем более, что, насколько я понимаю, никаких медицинских проблем нынешняя реорганизация двух отделений в одно не создаёт. Конечно, я тут не специалист, и скорей хочу послушать мнение комиссии Минздрава: всё же люди изучали ситуацию углублённо, и сами по себе шарят в теме организации здравоохранения лучше меня, обывателя и расстриги. Но вот почему так возбудились на эту историю Общественная палатка при президенте и Счётная палата при бывшем министре здравоохранения — я, честно говоря, не понял вовсе. Чем им не покатила идея дождаться выводов комиссии Минздрава, почему им так важно показалось плескать свой ведомственный керосин в этот костёр?

Мои информированные собеседники на этот вопрос ответили, не задумываясь. Их объяснение хоть и представляется мне излишне конспирологическим, вполне соответствует логике клептократии. По их версии, ключевое слово в этой истории — «томографы». Минздрав РФ — это маршрутизатор гигантских бюджетных потоков. В предыдущем составе правительства все эти потоки были замкнуты на коммерческие структуры и «прокладки», так или иначе афилиированные с высшим руководством ведомства. Часть этих прокладок, кстати сказать, сохранилась по сей день, но другая часть со сменой первых лиц выброшена из финансовой цепочки за ненадобностью. Слово «томографы» я тут вспоминаю исключительно потому, что эта конкретная схема, когда примерно две трети денег федеральной целевой программы прилипла к рукам чиновников, широко обсуждена, изучена и задокументирована. Но та же история практически с любой позицией в реестре минздравовских закупок. Для любого скальпеля и марлевого бинта есть правильные, прикормленные поставщики, и некоторые из них с 2013 бюджетного года остались без кормушки.

А сейчас, продолжают мои информированные собеседники, есть много признаков того, что правительство долго не протянет. Кто-то же должен будет ответить за такие последствия украинского банкета, как обесценение рубля, рост цен на продукты питания, дербан пенсионных накоплений... Вряд ли эту ответственность захочет брать на себя Первое Лицо. Значит, придётся найти других виновников. И вряд ли их будут искать дальше Белого Дома. Следовательно, кресла под министрами трещат и качаются (тут должна быть гиперссылка на «скрытую видеозапись» Лайфньюз). То есть нужно просто навалиться сейчас плечом на Минздрав — и появляется шанс завтра вновь контролировать то, что осталось от его финансовых потоков... Дальше на меня вывалили ворох пруфов о родственных и коммерческих связях между разными участниками свистопляски вокруг РДКБ, но я их ни проверять, ни пересказывать тут не готов, ибо учил нас ещё Клод Адриан Гельвеций: знание некоторых принципов освобождает от необходимости знания некоторых фактов. Сами по себе родственные связи ничего не доказывают. Просто аппаратный экстаз некоторых деятелей и ведомств, вписавшихся пиарить скандал про «убийц в белых халатах» из РДКБ, лучше объясняется корыстью, чем их неравнодушием к людской беде. Кстати же, и аппаратная суета Минздрава, создавшего комиссию, созывающего прессуху и т.п., тоже как бы объяснима в рамках этой версии. Их это самое, а они если не крепчают, то отбиваются как могут. Посмотрим, как они могут.

В любом случае, я очень рассчитываю, что после сегодняшней прессухи в Минздраве пожар как-нибудь утихнет, и РДКБ сможет больше времени посвящать лечению тяжело больных детей, чем отражению аппаратной атаки.