Тысяча мелочей

БЕСПЕРЕБОЙНАЯ ОПАСНОСТЬ

Мы случайно обнаружили зияющую брешь в системе управления устройствами бесперебойного питания компании APC при работе в среде Novell NetWare. Суть проблемы в том, что даже, не зарегестрировавшись на сервере, пользователь сети может остановить сервер со своего рабочего места (из любого сегмента, откуда виден сервер), причем впоследствии определить, кто это сделал, невозможно. Очевидно, что это открывает широчайшие возможности по безнаказанному саботажу работы предприятия путем постоянных остановок серверов. Для этого пользователю на своем компьютере достаточно иметь клиентскую часть от PowerChute V/S (программа управления, поставляемая со Smart UPS V/S). Она позволяет управлять UPS, работающими под PowerChute plus (поставляется со SMART UPS 1400 и более серьезными моделями) без ввода пароля. Это объясняется особенностями устройства системы защиты серверной части программы. При инсталляции на сервер PowerChute plus создает пользователя POWERCHUTE. Пароль пользователя служит паролем для управления UPS, подключенного к серверу. Однако, как показали проведенные нами эксперименты, при обращении к серверу клиентская часть всего-навсего проверяет наличие пользователя с таким паролем на сервере. Обращение к самому PWRCHUTE.NLM не требует никакого пароля. Таким образом, клиентская часть от PowerChute V/S позволяет управлять серверами без ввода пароля, так как она изначально не проверяет наличие пользователя POWERCHUTE.

С данной проблемой мы обращались в службу поддержки пользователей APC. Там нам порекомендовали удалить у пользователей клиентскую часть от PowerChute V/S. Смех, да и только. Учитывая распространенность UPS фирмы APC, принести и установить ее на своем ПК может кто угодно. В московском представительстве APC мне подтвердили, что проблема существует, но, чтобы решить ее, нужно обращаться к разработчикам ПО, а это займет много времени.

Я являюсь начальником отдела автоматизации одного из московских банков. Для меня отсутствие подобных дыр в системе жизненно важно. Единственным путем быстрого исправления ПО я считаю опубликование этой информации.

Мы наблюдали наличие такой проблемы при работе в среде Novell NetWare 3.12, PowerChute V/S 1.0.2, PowerChute plus 4.2.4 (взята на сервере APC). К сожалению, мы не имели возможность проверить работу этих программ при наличии NDS.

WINDOWS 95 НА ЗАМКЕ

Microsoft никогда не делала твердых заявлений о защите Windows 95. Это и неудивительно, так как защиту клиентов Windows 95 нельзя сделать абсолютно надежной. Однако система предоставляет пару средств управления, с помощью которых администратор может ввести ограничения на то, что пользователи могут делать на своих машинах с Windows 95.

В частности, администратор может задать пользовательские профили и системную политику для управления (в определенной мере) настольными системами пользователей. Например, он может определить конкретную пользовательскую среду на клиентской машине, ввести стандартные, более контролируемые настольные конфигурации и заблокировать выполнение любого неразрешенного приложения, включая те, что могут стать платформами для запуска других приложений, например MS-DOS и утилиты Tool в Windows Explorer. Но и эти ограничения могут быть обойдены знающими пользователями.

Ключом к управлению настольной системой служит Windows Registry - хранилище всей конфигурационной информации в Windows 95. Реестр состоит из двух файлов SYSTEM.DAT и USER.DAT. По умолчанию данные файлы хранятся в домашнем каталоге Windows, обычно это C:WINDOWS. Резервные копии каждого файла Registry с расширением .DA0 расположены в том же каталоге, что и исходный файл.

Конкретные пользовательские профили на машине с Windows 95 можно создать с помощью утилит Windows Registry и Passwords из панели управления Windows. С помощью профиля администратор может ограничить до некоторой степени те действия, которые пользователь имеет право выполнять. При создании профиля пользователь получает свой собственный файл USER.DAT, хранящийся в его персональном каталоге. Windows 95 создает этот каталог по имени пользователя и помещает его в подкаталог Profile в домашнем каталоге Windows.

Однако пользователь может избежать использования своего конкретного профиля, если он нажмет клавишу Escape в ответ на приглашение ввести имя и пароль в окне регистрации Windows 95. Данное действие приводит к загрузке файла USER.DAT из домашнего каталога (пользовательский профиль по умолчанию), а не персонального профиля пользователя. Некоторые не слишком опытные специалисты считают, что эта возможность обойти процедуру регистрации делает Windows менее надежной системой, но они пеняют не на ту собаку. Администратор может сконфигурировать профиль пользователя по умолчанию так, чтобы он предоставлял лишь минимальные средства контроля. По существу, таким образом администратор вводит более жестко регламентированную стандартную настольную конфигурацию.

Прежде чем браться за изменение каких-либо параметров Registry с целью ограничений пользовательского профиля по умолчанию, мы хотели бы вас предостеречь: редактирование реестра с помощью Registry Editor или System Policy Editor (специализированная версия Registry Editor) может привести к непоправимым последствиям, если вы не имеете соответствующего опыта. Вы можете сделать свою собственную машину недоступной, а просить о помощи в такой ситуации будет неловко. Чтобы этого избежать, мы советуем создать профиль администратора или его логический эквивалент и сконфигурировать его так, чтобы он включал все необходимые возможности. Кроме того, прежде чем производить какие-либо действия с реестром, файлы Registry необходимо скопировать. Не делайте ничего, в чем вы твердо не уверены, если не хотите переустанавливать Windows 95 заново.

Один из недостатков создания профилей таким образом состоит в том, что информация о них хранится на локальной машине, а файловая система Windows 95 не является защищенной средой. Например, если пользователь имеет доступ к командной строке DOS, то он может удалить пользовательский профиль по умолчанию и заменить его на свой собственный. Чтобы закрыть эту лазейку, Windows 95 позволяет отменить некоторые базовые методы запуска MS-DOS на компьютере с Windows 95, в том числе заблокировать вызов MS-DOS с помощью клавиши F8 во время запуска компьютера, удалить ярлык MS-DOS из подменю Programs в меню Start и запретить конфигурирование пользователем панели задач.

С другой стороны, пользователи могут по-прежнему загрузить компьютер с дискеты, если они хотят запустить DOS (флоппи-дисковод можно блокировать при конфигурации CMOS и таким образом предотвратить возможность загрузки с гибкого диска; но даже в этом случае, открыв корпус компьютера и отсоединив батарею CMOS, пользователь сможет переконфигурировать CMOS и затем загрузить ПК с флоппи-дисковода; кроме того, многие компьютеры имеют загружаемые накопители Zip, а их может оказаться невозможно блокировать в CMOS).

Еще одну потенциальную дыру содержит браузер. Если набрать C:COMMAND.COM вместо адреса в браузере Internet Explorer 4 или Communicator 4, то это приведет к появлению окна DOS - даже если прямой путь к DOS блокирован (я где-то читал, что этот трюк проходит только с Internet Explorer ввиду его тесной интеграции с Windows 95, но на самом деле он работает и с браузером Netscape).

Пользовательские профили привязаны к конкретной клиентской машине. Системные же правила Windows 95 позволяют контролировать (из одной центральной точки) параметры настольной системы на любом числе машин. Системные правила можно создать с помощью System Policy Editor и сохранить их на сетевом диске с защищенным доступом. Затем клиентские машины можно сконфигурировать на выполнение файлов с заданными правилами при регистрации пользователя в сети. Определенные в этих файлах параметры настольной системы имеют более высокий приоритет, нежели указанные в пользовательском профайле.

Несмотря на все свои возможности, системные правила являются хорошим средством, главным образом, для управления послушными пользователями. Пользователи по-прежнему будут иметь возможность загрузить свои машины с флоппи-дисковода и изменить конфигурацию, чтобы загрузка системных правил перестала быть обязательной. После этого они получают возможность делать на ПК все что угодно.

Ниже мы приводим список особенностей Windows 95, с помощью которых пользователи могут ускользнуть от вашего бдительного ока (он не исчерпывающий, но поначалу и этого достаточно).

• Registry Editor и System Policy Editor (Regedit и Poledit) могут быть использованы для добавления, изменения или удаления параметров пользователя или компьютера в Windows Registry.
• MS-DOS (COMMAND.COM) может служить для удаления или записи нового файла поверх старого файла реестра.
• Команда Run в меню Start может быть применима для запуска DOS, Regedit или Poledit или для установки этих программ на локальный жесткий диск.
• Браузеры Web с доступом к локальной файловой системе могут быть использованы для вызова приглашения на ввод команд.
• Find Files or Folders в меню инструментов Windows Explorer. Даже если пользователь не может добраться до приглашения на ввод команд для запуска одного из редакторов реестра, он может тем не менее вызвать его двойным щелчком, если найдет, конечно.

КТО ВИНОВАТ?

Если вам в вашей организации приходится заниматься Internet, то, скорее всего, вы слышали о некоторых типичных угрозах для защиты, например о риске финансового мошенничества или о краже закрытой информации. Однако эти цифровые угрозы - далеко не все опасности, способные привести к серьезным финансовым потерям. Не стоит забывать и о гражданско-правовой ответственности. Этот вопрос начинает привлекать к себе все больше внимания.

Судебные разбирательства с привлечением сообщений электронной почты наделали много шума за последние несколько лет. Например, основатель Apple Computer Стив Джобс подал недавно иск о вынесении запретительного судебного приказа по отношению к автору или авторам рассылаемых якобы от имени Джобса сообщений электронной почты со списком окладов сотрудников Pixar Animation Studios. Как заявляют Джобс и Pixar, содержащаяся в сообщении информация является коммерческой тайной, поэтому истцы хотят остановить ее распространение.

Тем временем в июне 1997 года крупный концерн по переработке нефти под названием UOP предъявил иск Andersen Consulting на сумму 100 млн долларов, обвиняя компанию

в мошенничестве и нарушении контракта. UOP нанял Andersen, польстившись на заявления этой консалтинговой компании, что ее новая система поможет UOP более оперативно и адекватно реагировать на запросы клиентов. После полутора лет проволочек и бесполезных трат UOP отказалась от услуг Andersen. При составлении иска специалисты по компьютерам в UOP прочитали сообщения электронной почты, которые консультанты Andersen отправляли с компьютеров UOP. Выяснилось, что сообщения содержали доказательства того, что Andersen не знала, как подойти к проекту. UOP планирует предоставить эти сообщения в качестве вещественных доказательств.

Вывод? Самое время и вашей организации проанализировать, как сотрудники используют электронную почту, и разработать правила работы с ней. В ваших интересах быть в курсе того, что происходит на техническом фронте, так как случаи, подобные вышеописанным, порождают новые риски.

Дополнительную информацию о связанных с электронной почтой рисках вы можете найти в ст. Майкла Р. Оверли "Электронная почта в законе" в этом номере LAN.

УВАЖАЕМЫЕ ЧИТАТЕЛИ!

Вы можете поделиться своим опытом решения проблем, возникающих при работе в сети (возможно, очень полезным многим читателям в их повседневной работе). Наиболее интересные материалы будут опубликованы в ближайших номерах журнала LAN.