Сегодня в Праге должен будет (пишу чуть раньше, потому новость в будущем времени) разразиться скандал. Ну, не скандал… на фоне наших ежедневных новостей… но, как минимум, скандальчик. Устроила его наша знаменитая (в том числе как раз скандалами; помните историю с посаженным в американскую тюрьму программистом Дмитрием Скляровым?) фирма "ЭлкомСофт" (ElcomSoft Co. Ltd.), специализирующаяся на информационной безопасности, восстановлении забытых паролей и утраченных данных. Фирме до сих пор удается сохранять "голубой глаз", на котором они (порой не без заслуженной издевки) показывают пользователям пути обхода разного рода рогаток, устанавливаемых производителями софта с целью заработать как можно больше денег. Показывают "голубой глаз" исключительно в легальных целях. А и то: кухонные ножи продают в магазинах исключительно для поварских задач, а если кто вдруг воспользуется ножом в целях криминальных — это уж на совести и ответственности самого "пользователя", и производящая ножи фирма ответственности за это не несет.
Подробности этого скандала должны сегодня же появиться в новостях, поэтому пишу о них совсем коротко, большую часть колонки отдавая, по обыкновению, личному взгляду.
Итак, из пресс-релиза "ЭлкомСофта".
"Компания "ЭлкомСофт" обнаружила уязвимость в системе проверки аутентичности фотографий Canon Original Data Security, предназначенной для подтверждения подлинности изображений, сделанных зеркальными цифровыми фотокамерами Canon. Данная уязвимость позволяет извлечь ключ подписи из цифрового фотоаппарата Canon и с помощью этого ключа добавить подпись, подтверждающую достоверность, в фотографию или любое другое цифровое изображение, которое затем, при проверке, будет признано подлинным и аутентичным.
Обнаруженная компанией "ЭлкомСофт" уязвимость ставит под сомнение подлинность всех фотографических улик и опубликованных изображений, имеющих цифровую подпись Canon, а также делает непригодной всю систему проверки аутентичности Canon Original Data Security".
Расшифруем смысл. В меню большинства зеркалок от Canon (в том числе, моей EOS 40D) в одном из подменю (C.FnIV: Дополнительно) есть такая вот (шестая) строчка: "Подтверждение подлинности". В "Руководстве" она объясняется так:
"К изображению автоматически добавляются данные, позволяющие проверить, является ли данное изображение оригиналом или нет. При отображении информации о параметрах съемки для изображения, к которому добавлены данные подтверждения подлинности (стр. 117), отображается значок замка. Для проверки подлинности изображения требуется Комплект защиты исходных данных OSK-E3 (продается отдельно)".
Как известно, очень многие цифровые камеры приплюсовывают к картинкам так называемый EXIF (Exchangeable Image File Format). Это - цитирую справочник - стандарт, позволяющий добавлять к изображениям и прочим медиафайлам дополнительную информацию (метаданные), комментирующую этот файл, описывающий условия и способы его получения, авторство и т.п. Получил широкое распространение в связи с появлением цифровых фотокамер. Информация, записанная в этом формате, может использоваться как пользователем, так и различными устройствами, например, принтером. Стандарт EXIF является чрезвычайно гибким (например, позволяет сохранить полученные с приемника GPS координаты места съемки) и допускает широкое развитие — как правило, фотоаппараты добавляют к файлу информацию, специфичную только для данной конкретной камеры. Правильно интерпретировать такую информацию могут только программы от изготовителя фотоаппарата.
Наверное, большинство из вас так или иначе сталкивалось с EXIF'ом: метаданные, записанные в этом формате, отображаются большинством просмотрщиков изображений и практически всеми редакторами. Объем данных, сохраненных в EXIF, бывает разным - от десятка строчек до сотни, — и включает и имя фотографа (если оно было вбито в установки камеры), и модель, и экспонометрические параметры, и даже, если в камере есть или подключен соответствующий модуль, координаты точки съемки. И многое, многое еще. Коротко говоря, EXIF - вещь полезная и как минимум, приятная. С его помощью, например, вы сможете вспомнить, когда сделан "тот самый" снимок на пляже, а то и еще - на каком пляже именно. Тут главное - не забыть правильно выставить на камере дату и время и прочую информацию (имя фотографа), однако в случае с GPS правильное время все равно будет получено из космоса.
В общем, все великолепно, если бы не одна крохотная деталь: данные EXIF легко редактировать. Менять любые параметры. Так что этот замечательный набор метаданных ни в коей мере не может служить никаким юридическим и даже фактическим доказательством чего бы то ни было. EXIF редактируют как непосредственно в фоторедаторе, так и с помощью специальных программ - например, бесплатной Microsoft Photo Info. Это знает любой редактор, любой судья, любой страховщик и любой адвокат, поэтому доказательной силы данные из EXIF не имеют.
И, чтобы их дать, Canon и встроил в свои зеркалки это самое "подтверждение подлинности". То есть поручился, что если его комплект защиты исходных данных OSK-E3 (стоит около килобакса!) подтверждает, что ни один пиксель картинки и ни одна буква или цифра EXIF'а не были тронуты, то так оно и есть на самом деле. Все данные аутентичны! То есть все должны спокойно и полностью доверять и картинке, и данным. Адвокаты, редакторы, страховщики. Что означает: тут крутятся совсем не маленькие деньги.
И вот "ЭлкомСофт" легким движением умной руки извлекает из камер EOS этот волшебный ключик, отпирает им любую картинку, делает с ней что угодно, а потом запирает вновь. Получается "Джоконда" Леонардо с пышными буденовскими усами, снятая хоть Скляровым, хоть Бальтерманцем, хоть самим Владимиром Путиным где-нибудь на Южном полюсе. Доказательства подлинности картинки - честное слово Canon. Примеры - здесь.
Тут самое смешное, что сломали ключик программисты "ЭлкомСофта" довольно давно: я, например, узнал об этом еще в разгар лета. Однако не спешили новость обнародовать, хотели сперва поставить в известность Canon: вдруг они ужаснутся (как увлажнению репутации, так и возможным многотысячным искам: разборки ведь непременно пойдут, даже не от фотографов или редакторов - просто от покупателей, которых, как выясняется, надули!) и что-то успеют исправить. Хотя что и как? Когда Canon выпустил телеобъектив, который мазал края кадра, он довольно быстро (хоть, конечно, и не вдруг) признал ошибку и стал бесплатно менять дефектную деталь. А как тут? Выпускать новую прошивку на каждую модель камер? А ведь еще надо понять, что в прошивке требует изменений… И не факт, что дефект цифровой подписи заключен в прошивке, а не в неизменяемом "железном" чипе…
Тогда что? Менять сотни тысяч (если не больше) камер? И Canon принялся по-страусиному прятать голову в песок: игнорировать сообщения "ЭлкомСофта", перепасовывать из отдела в отдел… Помнится, Володя Каталов, CEO "ЭлкомСофта", застал меня в Крыму на пляже в надежде получить хоть какой-нибудь живой контакт Canon'а…
Отдельная песня - переписка Володи с Canon'ом. Прямо хоть цитируй! Или даже "роман в письмах" издавай. "Спасибо… однако непонятно, чем я могу Вам помочь… Обратитесь в департамент такой-то". "Увы, Ваше письмо застало меня в поездке, как жаль"... "Мы обдумаем Вашу претензию. Следите за нашими письмами"… "Вашей проблеме присвоен индекс VU#197455, так что ставьте его в Subj, когда будете писать снова"… Ну, и так далее.
Я-то думал, едва они получат первое письмо о "проблеме подлинности", в тот же день пошлют в "ЭлкомСофт" сто тысяч одних курьеров. Нет, не послали…
Оно, конечно, понятно. "Проверка подлинности" - не главное, что делает зеркалки Canon самыми продаваемыми в мире. Оно понятно, что из миллионов покупателей разве что тысячу-другую взволнует вскрытая "ЭлкомСофтом" проблема. Понятно и то, что сумма возможных исков к Canon по этому поводу не составит и процента от денежных оборотов компании.
Непонятно другое: неужели Canon'у просто стало лень счищать пятнышки грязи со своего безупречного белого смокинга?
Непонятно и - неприятно.
Мнение автора может не совпадать с позицией редакции