Fully qualified domain name (FQDN)

Полностью определённое имя домена — это полный адрес веб-сайта, компьютера, сервера или аналогичного объекта, существующего в Интернете. 

Полное доменное имя состоит из трех меток: имя хоста, доменное имя второго уровня и доменное имя верхнего уровня (TLD). Пример того, как выглядит полное доменное имя:
www.google.com.

В этом примере «www» — это имя хоста, «networksolutions» — это домен второго уровня, а «com»  — это TLD. 

Единственный элемент, который может выглядеть неуместно — это конечная точка. Завершающие точки требуются протоколом системы доменных имен (DNS), поскольку они указывают на конец адреса.

Partially Qualified Domain Name (PQDN)

Частично определенное доменное имя (PQDN) очень похоже на полное доменное имя в том смысле, что оно используется для указания адреса веб-сайта. Разница в том, что PQDN относятся к одной или двум меткам из FQDN, включая либо имя хоста, либо имя домена. Пример того, как выглядит частичное доменное имя:
google.com.

Можно заметить, что и полное доменное имя, и частичное доменное имя ведут на одну и ту же целевую страницу. Это связано с тем, что разработчики сайта настроили DNS для перенаправления посетителей с любого адреса на унифицированный указатель ресурса (URL) для домашней страницы веб-сайта

Создание таких перенаправлений является обычной практикой среди разработчиков веб-сайтов и автоматически настраивается в большинстве современных конструкторов веб-сайтов.

Зачем нужно полное доменное имя?

Полные доменные имена указывают уникальные адреса в Интернете, что делает их важными для работы в Интернете. Говоря простым языком: если у вас нет полного доменного имени, у вас нет веб-сайта, к которому люди могут получить доступ. 

Они также необходимы для установки сертификатов SSL, что является еще одной функцией, ожидаемой от большинства веб-сайтов.

Помимо веб-сайтов, полные доменные имена полезны, когда вы хотите получить удаленный доступ к компьютеру. Это распространено в офисной среде, поскольку упрощает отслеживание активности на компьютере. 

Также они помогают получить доступ к службам домена, таким как протокол передачи файлов (FTP) и электронная почта.

Асимметричное шифрование

Используется для защиты информации при ее передаче и предполагает использование двух ключей — открытого и закрытого. 

Схема передачи данных между двумя субъектами (А и Б) с использованием открытого ключа выглядит следующим образом:
 1. Субъект А генерирует открытый и закрытый ключи.
 2. Субъект А передает открытый ключ субъекту Б. 
 3. Субъект Б шифрует пакет данных при помощи полученного открытого ключа и передает его А. 
 4. Субъект А расшифровывает полученную от Б информацию при помощи секретного, закрытого ключа.

В такой схеме перехват любых данных не имеет смысла, поскольку восстановить исходную информацию возможно только при помощи закрытого ключа, известного лишь получателю и не требующего передачи.

Применение асимметричных алгоритмов

Асимметричное шифрование решает главную проблему симметричного метода, при котором для кодирования и восстановления данных используется один и тот же ключ. 

С другой стороны, асимметричные алгоритмы гораздо медленнее симметричных, поэтому во многих криптосистемах применяются и те и другие.

Например, стандарты SSL и TLS используют асимметричный алгоритм на стадии установки соединения: с его помощью кодируют и передают ключ от симметричного шифра, которым и пользуются в ходе дальнейшей передачи данных.

Также они применяются для создания электронных подписей, которые генерируется с помощью закрытого ключа, а проверяются с помощью открытого.

Виды алгоритмов симметричного шифрования

В зависимости от принципа работы алгоритмы симметричного шифрования делятся на два типа: блочные и потоковые.

Блочные алгоритмы шифруют данные блоками фиксированной длины. Если все сообщение или его финальная часть меньше размера блока, система дополняет его предусмотренными алгоритмом символами, которые так и называются дополнением. 
Блочные алгоритмы: AES, RC5, Blowfish, Twofish

Потоковое шифрование данных предполагает обработку каждого бита информации с использованием гаммирования (изменение этого бита с помощью соответствующего ему бита псевдослучайной секретной последовательности чисел, которая формируется на основе ключа и имеет ту же длину, что и шифруемое сообщение). Как правило, биты исходных данных сравниваются с битами секретной последовательности с помощью логической операции XOR.
Потоковые алгоритмы: RC4, Salsa20, HC-256, WAKE

Достоинства и недостатки симметричного шифрования

Симметричные алгоритмы требуют меньше ресурсов и демонстрируют большую скорость шифрования, чем асимметричные алгоритмы. 

Большинство симметричных шифров предположительно устойчиво к атакам с помощью квантовых компьютеров, которые в теории представляют угрозу для асимметричных алгоритмов.

Слабое место симметричного шифрования — обмен ключом. Поскольку для работы алгоритма ключ должен быть и у отправителя, и у получателя сообщения, его необходимо передать; однако при передаче по незащищенным каналам его могут перехватить и использовать посторонние (на практике во многих системах эта проблема решается шифрованием ключа с помощью асимметричного алгоритма).

Область применения симметричного шифрования

Симметричное шифрование используется для обмена данными во многих современных сервисах, часто в сочетании с асимметричным шифрованием. 

Например, мессенджеры защищают с помощью таких шифров переписку (при этом ключ для симметричного шифрования обычно доставляется в асимметрично зашифрованном виде), а сервисы для видеосвязи — потоки аудио и видео. 

В защищенном транспортном протоколе TLS симметричное шифрование используется для обеспечения конфиденциальности передаваемых данных.

Симметричные алгоритмы не могут применяться для формирования цифровых подписей и сертификатов, потому что секретный ключ при использовании этого метода должен быть известен всем, кто работает с шифром, что противоречит самой идее электронной подписи.

В чем разница между ассемблером и языком ассеблера?

Ассемблер и язык ассемблера это разные вещи.

Говоря просто о языке ассемблера, мы обычно понимаем язык программирования, состоящий из команд процессора, представленных в виде символических обозначений.

А вот просто ассемблер — это компилятор этого языка в машинный код.

То есть, например, машинная команда о пересылке данных в двоичном виде будет выглядеть 10111000, а в языке ассемблера она будет представлена словом mov.

Здесь нет в привычном понимании абстракций, вроде функций или циклов, все это здесь пишется с нуля.

Открытый и закрытый ключ шифрования

Ключ шифрования – это тайная информация, которая используется алгоритмом для шифрования и расшифровки информации.

Надёжность ключа зависит от его длины в битах. В технологии SSL используют шифры 4096 бит для корневого сертификата и 128–256 бит для клиентских. Такая длина достаточна для безопасной передачи данных.

Протокол SSL использует асимметричное шифрование или шифрование с открытым ключом для установки соединения. Несмотря на название, здесь используются 2 ключа: открытый и закрытый. Оба формируются при запросе SSL-сертификата.

Открытый ключ доступен всем. Используется для шифрования данных при обращении браузера к серверу.

Закрытый ключ известен только владельцу сайта. Используется для расшифровки данных, отправленных браузером.

Шифрование с двумя ключами разного типа гарантирует сохранность информации. Даже если мошенник перехватит трафик, не сможет расшифровать его без закрытого ключа.

Почему строка зелёная?

Зелёная строка — это визуальный показатель надёжности сайта. Ей обозначаются только ресурсы, защищенные SSL-сертификатом с расширенной проверкой

Она отображается в адресной строке браузера зелёным полем со значком замка и названием компании. Если в адресной строке только замочек, то этот сайт с сертификатом уровнем ниже.

Зелёная строка сигнализирует, что ресурс надежен и принадлежит реально существующей компании, которая прошла полную проверку — документации, правовой, физической и операционной деятельности.

На таком сайте можно без опасений вводить данные кредитных карт, логины и пароли. Передача данных идет по безопасному HTTPS соединению, трафик защищен шифрованием — данные посетителей не попадут в руки мошенников.

Что такое эксплойт?

Эксплойт — это программа или код, который использует недостатки в системе безопасности конкретного приложения для заражения устройства.

Есть два способа «скормить» пользователям эксплойты:
⁃ при посещении ими сайта, содержащего вредоносный код эксплойта.
⁃ при открытии пользователем безобидного на вид файла со скрытым вредоносным кодом.
Во втором случае для доставки эксплойта, как правило, пользуются спамом или фишинговым письмом.

Эксплойты представляют угрозу даже для осторожных и добросовестных пользователей, которые регулярно обновляют свое программное обеспечение. Причина кроется во временном зазоре между открытием уязвимости и выходом патча для ее исправления.

В этом интервале эксплойты могут свободно функционировать и угрожать безопасности почти всех интернет-пользователей при отсутствии установленных в системе автоматических средств предотвращения атак эксплойтов.

Межсайтовый скриптинг и как он работает?

XSS — распространенный тип веб-атаки, заключающийся во внедрении на страницу сайта или приложения вредоносного кода. Когда пользователь открывает пораженную страницу, внедренный скрипт взаимодействует с удаленным сервером злоумышленника.

Один из механизмов обеспечения безопасности в интернете — правило ограничения домена. Оно означает, что вредоносный код на одном сайте не сможет навредить другому сайту или его пользователям из-за ограничения доступа на другом домене.

Но это в идеале, а на практике у веб-приложений и сайтов есть множество уязвимостей.

Воспользовавшись ими, злоумышленник может взломать ресурс и внедрить на него вредоносный скрипт. При этом он будет восприниматься как часть родного кода, написанного разработчиком. Таким образом, ресурс, на котором размещается вредоносный скрипт, становится соучастником атаки.

Internet Key Exchange или IKE

Internet Key Exchange (IKE) — безопасный протокол управления ключами, используемый для того, чтобы создать безопасный канал аутентификации связи между двумя устройствами.

Функции IKE:
⁃ Согласование и управление IKE параметрами IPsec
⁃ Аутентификация защищенного обмена ключами
⁃ Обеспечивает аутентификацию взаимного равноправного узла с помощью общих секретов и открытых ключей
⁃ Обеспечивает защиту идентификации.
⁃ Применяет методы Diffie-Hellman и является необязательным в IPsec.

Есть две версии стандартов: IKE и IKE 2. Преимущества второй версии над первой в том, что она уменьшает задержку установки SA IPSec, увеличивает скорость установления соединения и улучшает надежность, так как все сообщения являются запросами или ответами.

Язык структурированных запросов

SQL или Structured Query Language — это язык программирования, предназначенный для управления данными в СУБД (система управления базами данных).

Используется в любой программе и на любом сайте, где идет работа с базами данных. SQL — связующее звено, которое обеспечивает взаимодействие приложения или сайта с базой данных и информацией, которая там хранится.

С помощью SQL можно:
⁃ создавать таблицы данных;
⁃ получать, изменять и хранить данные;
⁃ выполнять вычисления;
⁃ обеспечивать защиту данных;
⁃ администрировать сервер СУБД.

SQL-инъекция

SQL-инъекция — атаки, позволяющие злоумышленнику запускать любой SQL-код в базе данных и производить различные несанкционированные действия над базой данных. Они могут затрагивать как сами данные, так и структуру базы.

Одной из важнейших задач при обеспечении устойчивости приложения к SQL-инъекциям является поиск фрагментов кода, которые могут быть уязвимы к данному виду атак. Многие разработчики используют для этих целей различные инструменты, производящие taint-анализ.

Помимо инъекций, есть другие уязвимости, вызванные плохой обработкой входных данных. Всегда нужно проверять не только содержимое, но и размеры данных извне, которые вы пропускаете в свою систему.

Taint-анализ — что это?

Taint-анализ — это технология, позволяющая отслеживать распространение непроверенных внешних данных по программе во время её работы.

Попадание таких данных в некоторые ключевые точки может приводить к возникновению различных уязвимостей, среди которых SQL injection, cross-site scripting (XSS), path traversal и тд. Эти уязвимости могут быть использованы злоумышленником для нарушения корректной работы системы, получения конфиденциальных данных или проведения прочих несанкционированных операций.

С точки зрения taint-анализа, приложение уязвимо в случае, если заражённые данные могут попасть в некоторые ключевые точки приложения. Их называют приёмниками заражения (taint sink). Каждой потенциальной уязвимости соответствуют свои приёмники. Например, для SQL injection приёмником может являться точка передачи строки запроса в объект SQL команды.

Виды XSS-уязвимостей

⁃ Хранимые: возникают, когда злоумышленнику удается получить доступ к серверу и сохранить на нем вредоносный код. Такой сохраненный скрипт будет активироваться каждый раз, когда пользователь заходит на зараженную страницу.

⁃ Отраженные: наиболее распространенный сегодня тип XSS-атак. Их смысл в том, что злоумышленник прячет вредоносный код в заранее подготовленной ссылке, которую потом передает пользователям. Когда пользователь переходит по ней, серверные скрипты исполняют ее код без обработки и возвращают его в виде ответа. Браузер пользователя исполняет зараженный скрипт, а злоумышленник получает cookies жертвы.

⁃ DOM-модель: суть уязвимости — в использовании Document Object Model (программный интерфейс, дающий программам доступ к контенту HTML-, XHTML- и XML-документов и возможность этим содержанием управлять). Главная особенность — сама страница сайта или веб-приложения не меняется, но меняется ее отображение в браузере пользователя из-за вредоносных модификаций DOM.

Взаимодействие между IKE и IPSec

IPsec может установить VPN следующим способом:

1. Internet Key Exchange (IKE) протокол IPsec поддерживает автоматическое генерацию и согласование ключей и ассоциаций безопасности с помощью IKE протоколом. Использование IKE при согласовании VPN между двумя конечными точками обеспечивает более безопасность, чем при обмене ключами вручную.

2. Обмен ключами вручную — IPsec поддерживает использование и обмен ключами вручную (пример: телефон или электронная почта) для установления VPN на обеих сторонах.

Какой язык лучше всего подходит для анализа данных?

Аналитик данных сейчас одна из самых востребованных профессий. Существует очень много языков программирования, которые можно использовать в этой области, самые популярные из них:

1. Python
Универсальный язык, широко используемый в сообществе специалистов по науке о данных и аналитике. Его легко выучить, а низкий входной барьер также делает его идеальным первым языком для тех, кто плохо знаком с областью науки о данных и аналитики.

2. Язык R
Язык R был выпущен Фондом R для статистических вычислений. Его широкое распространение как специалистами по обработке данных, так и аналитиками объясняется тем, что у него есть пакет практически для всех мыслимых количественных и статистических приложений. К ним относятся филогенетика, нейронные сети, нелинейная регрессия, расширенное построение графиков и т.д

3. Julia
Хоть это и довольно молодой язык и в нем меньше готовых «рецептов», он уже стал фаворитом в сообществе аналитиков данных. Julia предлагает своим разработчикам простоту, динамическую типизацию и возможности создания сценариев.

Нормальная форма Бойса-Кодда

Между 3 и 4 нормальной формой есть еще и промежуточная нормальная форма — нормальная форма Бойса-Кодда (BCNF) (иногда называют «Усиленная третья нормальная форма»). Промежуточной или усиленной третьей нормальной формой ее называют потому, что ситуации, в которых могут предъявляться требования BCNF, возникают не всегда.

Требования нормальной формы Бойса-Кодда:
⁃ Таблица должна находиться в третьей нормальной форме. Здесь все как обычно, т.е. как и у всех остальных нормальных форм, первое требование заключается в том, чтобы таблица находилась в предыдущей нормальной форме, в данном случае в третьей нормальной форме;

⁃ Ключевые атрибуты составного ключа не должны зависеть от неключевых атрибутов.

Главное правило: Часть составного первичного ключа не должна зависеть от неключевого столбца.