Что это вообще значит — прекращение поддержки?

Приобретая лицензионное ПО, вы платите не только за сами программы, но и за помощь специалистов в решении проблем, регулярное исправление выявленных ошибок и устранение уязвимостей в безопасности. Поскольку регулярно выходят новые версии продукта, поддерживать старые со временем становится нецелесообразно. Прекращение поддержки — нормальный этап жизненного цикла продукта.

Получается, в час «X» Office 2010 перестанет работать и все документы пропадут?

Нет, такого не будет. Office — это всё же не карета, которая превращается в тыкву, а продукт Microsoft. Разумеется, все программы из классического пакета продолжат работать и после 13 октября 2020 года. У вас есть приобретённые права на использование ПО, и никаким удалённым выключателем его не отключат. Однако после прекращения поддержки у пользователей возникнут определённые проблемы, о которых мы расскажем ниже.

Может тогда и не надо обновляться, раз оно работает?

Надо. Не стоит забывать, что ПО, для которого больше не предоставляются обновления и исправления для системы безопасности, может послужить входными воротами для вредоносного кода и поставить под угрозу всю информацию на устройстве. А для серьёзных компаний использование актуальных решений — вопрос выживания. Ну и кроме того, может возникнуть проблема обратной совместимости документов. Представьте себе конфуз, если во время переговоров деловые партнёры попросят запустить презентацию и окажется, что формат файла не по зубам вашему устаревшему ПО. Конечно, всегда можно найти подходящую утилиту, но представьте, как будут выглядеть такие костыли в глазах коллег.

Хорошо, купим новую версию — 2019

Хороший выбор, если вам нужен Office для компьютеров, отделенных от общей сети или вообще не подключенных к интернет. Вы единовременно приобретаете лицензии на установку набора программ на определённое количество машин. В стоимость пакета входит техническая поддержка при установке и настройке, устранение ошибок и уязвимостей. Неплохой вариант… Для прошлого века. Однако не стоит забывать, что единовременно приобретаемые пакеты не предусматривают возможности обновления, а значит, если вы захотите перейти на следующую версию, то вам потребуется приобрести её по полной цене. Более того жизненный цикл поддержки у такого решения также будет ограничен. Современные компании переходят на модель SaaS (Software as a Service, программное обеспечение как услуга) и аналогичные.

Что за модель SaaS?

При модели распространения SaaS конечный пользователь приобретает права не на конкретный продукт, а на услугу его предоставления, иными словами — арендует программное обеспечение. Преимущество модели в том, что у вас всегда будут самые последние версии ПО. Как раз те самые регулярные обновления безопасности и новые инструменты, которых так ждут пользователи смартфонов, планшетов и их приложения. Для сравнения, если вы купили Office 2013, то он так навсегда и останется Office 2013.

Кроме того, вам не придётся беспокоиться о платформе — Windows, Mac, Android — служба подберёт и установит подходящую версию приложений на каждую рабочую станцию. Office 365 полностью поддерживает совместную работу над документами в облаке. Ну а в поддержку можно бесплатно обращаться в течение всего срока действия подписки с вопросами, касающимися технических проблем, управления подпиской и выставления счетов. Это включено в стоимость.

Получается, благодаря подписке у нас всегда будут последние версии Word и Excel?

Да, и не только это. В пакете есть всё, что необходимо для организации эффективной работы. С помощью Microsoft Teams можно наладить оперативное общение сотрудников, проводить совещания онлайн, обмениваясь в процессе необходимыми документами. OneDrive с дополнительным пространством и SharePoint упростят обмен документами и совместную работу над ними. Outlook Customer Manager, Microsoft Bookings и Microsoft Invoicing помогут организовать работу с клиентами.

Решено, берём! Вот только где? На сайте Microsoft нет формы для подписки

Да, действительно, Microsoft не занимается непосредственной реализацией Office 365. Эту функцию отдали региональным дистрибьюторам — в России нужную вам услугу реализует компания Softline.

Подписавшись на пакет Office 365 Business Premium, помимо перечисленных программ, вы получите Microsoft Teams, Planner, Power BI Pro, MyAnalytics и терабайт в облачном хранилище OneDrive. Сама компания Softline к пакету офисных программ предоставляет услуги IP-телефонии по России, расширенные опции резервного копирования данных и круглосуточную поддержку по вопросам администрирования — а что ещё нужно сисадмину?

А Windows по подписке предоставляют?

Да. Обратите внимание на тарифные планы Microsoft 365, в них входит подписка на Windows 10 и Enterprise Mobility Suite.

Выглядит отлично, пугает только перспектива миграции на новый пакет

Действительно, обновление ПО большой организации требует позаботиться о сохранности данных сотен, возможно даже тысяч пользователей, об их учётных записях и почтовых ящиках. Нужно учесть возможные атаки злоумышленников: в момент миграции система особенно уязвима. Ну и конечно, в итоге нужно сделать замену ПО максимально комфортной для пользователей.

Почему Google вообще ушла из Китая?

В далёком 2010 году Google покинула Китай из-за цензуры, на которой настаивала правящая партия. Цензура не сочеталась с главным принципом IT-гиганта — «не быть злом» («don’t be evil»). К тому же на Google давно давили американские власти, называя «должностным лицом на службе китайского правительства».

Сергей Брин, один из основателей Google, объяснял уход из Китая не внешними факторами. В интервью The Telegraph он отметил, что его взгляды и политику всей компании в отношении авторитарных государств сформировало его собственное детство, проведённое в Советском Союзе — «под давлением репрессивного режима с ограниченными политическими свободами».

Как бы то ни было, 22 марта 2010 года Google объявила, что прекращает цензурировать поиск, агрегаторы новостей и изображений на домене Google.cn. А летом 2018 года оказалось, что всё изменилось.

Что изменилось?

Для начала, настроения в верхах компании. Ларри Пейдж и Сергей Брин встали во главе новой материнской корпорации — Alphabet, оставив пост CEO Google и все текущие дела Сундару Пичаи. Кроме того, количество интернет-пользователей в Китае начало быстро расти:

• 731 миллион в 2016 году (прирост 43 миллиона);
• 772 миллиона в 2017 году (прирост на 41 миллион);
• 802 миллиона на середину 2018 года (прирост на 30 миллионов).

Соответственно, росла и потенциальная аудитория — возможно, это и побудило руководство Google пересмотреть решение. Однако способ возвращения в Китай долгое время разрабатывался в тайне.

Когда и как всё раскрылось?

Издание The Intercept опубликовало материал о планах Google на Китай 1 августа 2018 года. Ссылаясь на источники внутри компании, журналисты поведали о проекте под кодовым названием Dragonfly, над которым компания работала ещё с декабря 2017 года.

Что представлял собой проект?

Этот поисковой сервис должен был полностью исключать из выдачи сайты, запрещённые в Китае — такие, как британский новостной канал BBC или «Википедия». А на запросы из «чёрного списка» — «студенческие протесты», «права человека» и так далее — результатов не выдавать вовсе.

По словам журналистов, Google к тому времени уже подготовила варианты Android-приложений, и от запуска проект отделяло 6−9 месяцев, в зависимости от того, насколько быстро правительство Китая одобрило бы сервис. Вскоре появилась информация, что приложение будет привязано к номеру мобильного телефона пользователя, так что власти смогут отслеживать поиск по запрещённым фразам вплоть до конкретного человека.

Как отреагировала Google?

Компания никак информацию не комментировала: не подтверждала, но и не опровергала.

Как отреагировали люди?

Утечка почти сразу вызвала волну протестов — среди правозащитников, представителей власти и самих работников Google. По их мнению, компания нарушала собственное правило: не создавать технологию, нарушающую общепринятые права человека. Кроме того, Google всегда руководствовалась принципом свободного распространения информации, а придерживаться его в условиях цензуры невозможно.

Поскольку Google так и отказывалась комментировать слухи, сотрудники компании написали в адрес руководства коллективное письмо, в котором потребовали раскрыть данные о проекте Dragonfly. Днём позже они получили ответ.

Что Google сказала сотрудникам?

CEO Google Сундар Пичаи на внутреннем собрании сообщил, что — да, Google заинтересована в китайском рынке, но нет — запускать какой-то сервис пока не планирует. Он заявил, что компания лишь «изучает варианты» для возвращения в Китай. А насчёт этической дилеммы выразился примерно так: деятельность Google позитивно влияет на общество в разных странах, так почему бы не попробовать позитивно повлиять и на Китай.

Внутренняя встреча прошла в августе, а в октябре Пичаи заявил о планах Google уже в открытую — на площадке саммита WIRED 25.

Что Google сказала всему миру?

Глава компании напомнил, что жители Китая составляют 20 % от населения планеты, и игнорировать такой быстро растущий и инновационный рынок нельзя. Что компания, начиная работать с каждой новой страной, идёт на какие-то уступки, «балансирует набором ценностей». Что Google, конечно, прислушивается к мнению сотрудников, но управляет компанией не с помощью референдумов. Что это вопрос очень важный, и к его рассмотрению руководство относится серьёзно.

И люди больше не протестовали?

Напротив, протесты набирали силу. Правозащитники призывали Google отказаться от своих намерений, сотрудники компании создавали петиции — по их мнению, раз Китай смог склонить к этому Google, то на ту же услугу смогут рассчитывать и другие страны.

В конце концов, компанию призвали к ответу американские власти. 11 декабря Сундар Пичаи отвечал на вопросы о проекте Dragonfly перед Судебным комитетом Палаты представителей США. Его спрашивали о том, насколько далеко зашёл проект (в частности, дошло ли до прототипа), кто над ним работал, кто был ответственным лицом.

Что Google сказала американским властям?

На многие вопросы Пичаи повторял: «Сейчас у Google нет планов запускать в Китае поисковый сервис». Он пояснял, что сотрудники разрабатывали вариант реализации поиска для Китая, как разрабатывали многие проекты, которые в итоге так и остались «в столе». Что в разное время над проектом работало разное количество людей, но в какой-то момент их было больше ста. Что централизованного управления проектом не предусмотрено — разработкой поисковых систем обычно занимается несколько команд.

Это слушание не обошлось без правозащитного инцидента: каким-то образом в зал проник мужчина с табличкой, на которой название компании изображено в цветах и с символикой китайского флага.

Что любопытно, проект закрыли не из-за общественного порицания цензуры. 17 декабря сайт The Intercept сообщил, что Google отказалась от Dragonfly, потому что потеряла возможность собирать данные, критические для развития поискового алгоритма.

Что за данные?

В том же 2010 году, в котором Google официально покинула Китай, она приобрела сайт 265.com на имя дочерней компании, зарегистрированной в Пекине. Сайт показывает новости, сводки курса валют, гороскопы, а ещё позволяет искать новости, фото и сайты. Однако сам ресурс не обрабатывает запросы — перенаправляет Baidu. Сам он собирал информацию: какой пользователь в какое время что спросил и что получил в ответ. На основе этих данных Google и разрабатывала свой поисковик.

Информацию о сайте 265.com The Intercept опубликовал в начале августа. В конце ноября стало известно, что Google держала свою команду по защите пользовательских прав в стороне от разработки Dragonfly, и те узнали о сборе данных только через СМИ. Сотрудники этого подразделения вышли на конфликт с руководством. «После ряда дискуссий», пишет The Intercept со ссылкой на слова инсайдеров, разработчикам Dragonfly запретили использовать данные с сайта 265.com.

Как запрет сказался на проекте?

Критически. Как оказалось, другие источники данных для создания поисковика давали искажённую картину. К примеру, разработчики пробовали использовать информацию, которую Google собирает в других странах. Выяснилось, что жители Китая ищут совсем не то же самое, что носители мандаринского китайского, живущие за рубежом.

В итоге, сообщает The Intercept, компания проект закрыла. Но официального заявления пока нет.

Издание оперирует информацией из анонимных источников, раскрыть которые не может, поэтому мнение общества разделилось. Некоторые не верят, что такое в принципе возможно: потенциальные жертвы шпионажа всё отрицают, а эксперты считают, что есть более простые способы внедрения чипов, чем описанные Bloomberg. По мнению других, сценарий вероятен, однако ему не хватает доказательств.

Что за чип?

Это крошечное, с рисовое зерно, устройство, расположенное рядом с контроллером памяти серверной материнской платы (используются в ЦОД). Оно позволяет чипу работать по принципу бэкдора. Предполагается, что хакеры способны получать удалённый доступ, перехватывать данные и внедрять вредоносный код.

Если верить источникам Bloomberg, чипы внедряли в серверные материнские платы на этапе производства в Китае. После их отправляли заказчику — Supermicro. Компания поставляла их широкому кругу клиентов: от IT-компаний, предоставляющих облачные услуги и веб-хостинг, до банковских и государственных структур.

Почему Supermicro?

Эта компания лидирует на рынке серверных материнских плат, но значительную долю производства отдает подрядчикам в Китае. К тому же, она через третьи руки поставляет свою продукцию военным и разведывательным органам США.

Зачем это нужно Китаю?

С помощью чипов можно было шпионить за сотрудниками банков, правительственных подрядчиков, работниками Apple, Amazon и других компаний, которые стали жертвой атаки. К примеру, сотрудник Apple признался Bloomberg, что в 2015 году корпорация нашла шпионящие чипы на материнских платах Supermicro. После этого Apple перестала сотрудничать с компанией.

Устройство размером с кончик карандаша позволяло атакующим полностью контролировать оборудование, менять настройки оборудования компании-жертвы и внедрять вредоносный код в ПО.

Что говорят эксперты?

По словам специалиста по кибербезопасности в Университете Бен-Гурион Омера Шварца, статья Bloomberg похожа на правду, но ей недостаёт доказательств. Он рассказал, что в случае обнаружения подозрительных микросхем нужно сделать рентген чипа или разрезать его, чтобы увидеть возможности устройства.

Репортёр TechCrunch Зак Уиттакер считает, что Bloomberg просто не может раскрыть источники и предъявить фотографии, поскольку такая информация затрагивает национальную безопасность.

The Register считает объяснения Bloomberg правдоподобными. В издании уверены, что службы безопасности крупных компаний вроде Apple и Amazon могли найти шпионский микрочип и сотрудничали со спецслужбами.

Есть нестыковки в истории Bloomberg?

В сети появилось интервью с экспертом по безопасности Джо Фитцпатриком, который был одним из неанонимных источников Bloomberg. Он рассказал, что издание переврало его слова: он говорил о гипотетическом варианте взлома, а не о свершившемся факте. Искаженные слова Фитцпатрика подтвердили семнадцать неназванных источников, что заставило эксперта вообще засомневаться в их существовании. По его мнению, журналисты выдали всю теорию за расследование. Более того, слова специалиста относятся и к изображению чипа.

Меня спросили, как может выглядеть этот чип, и я отправил им ссылку на каталог Mouser. Фотография из каталога появилась в статье.

Тем не менее, Bloomberg настаивает на том, что материал отражает реальность. По словам издания, о расследовании знал только узкий круг представителей ведомств и корпораций, а о недостоверности данных говорят люди, не знакомые с ситуацией.

Что дальше?

Спустя неделю журналисты Bloomberg опубликовали ещё одну статью про кибератаки на США со стороны Китая. Со ссылкой на эксперта по кибербезопасности Йосси Эпплбаума издание рассказало о найденном в августе 2018 года шпионском жучке в оборудовании Supermicro. Эпплбаум рассказал, что видел подобное в разных компьютерах от китайских подрядчиков, а Supermicro, по его мнению, стала жертвой китайских спецслужб.

В той же статье эксперты по нацбезопасности США рассказали о недостатке финансирования в области кибербезопасности, что даёт возможность разведслужбам разных стран использовать оборудование для шпионажа. Того же мнения придерживается бывший глава кибербезопасности в национальной разведке США Шон Канак. Он рассказал Bloomberg, что спецслужбы КНР имеют доступ к поставкам оборудования и пользуются этим для внедрения жучков.

Что случилось?

Корпорация по управлению доменными именами и IP-адресами ICANN объявила, что ориентировочно 11 октября 2018 года впервые обновит криптографические ключи (KSK) для защиты системы доменных имен интернета DNS. Точную дату перехода корпорация утвердит на ​заседании правления 12 сентября 2018 года.

Что за ключи?

В 2010 году ICANN создала ключ кратковременного пользования ZSK и ключ долговременного пользования KSK для работы с набором расширений DNSSEC. Тогда его согласились установить многие крупные интернет-провайдеры. Он проверяет подлинность ответов DNS-серверов и не дает мошенникам подключать компьютер пользователя к произвольным серверам. ZSK обновляется четыре раза в год, а KSK не изменялся с 2010 года.

Почему обновление проводят только сейчас?

ICANN ни разу не сталкивалась с компрометацией ключей, но ради повышения безопасности все равно назначила переход от старой версии KSK к новой на 11 октября 2017 года. Однако тогда интернет-провайдеры и сетевые операторы оказались не готовы к этому, поэтому изменение ключей отложили на год.

К каким проблемам может привести обновление?

ICANN считает, что в течение 48 часов после обновления часть интернет-пользователей при открытии сайтов будет получать ошибки типа server failure или SERVFAIL. Возможно, на некоторых ресурсах просто будут отключены картинки. Почтовые клиенты на компьютерах перестанут получать новые письма, а те, что дойдут, могут содержать ошибки.

Что именно может пойти не так?

Устаревшие DNS-программы не смогут распознать новые ключи и правильно отреагировать на них. В худшем случае сломаются базовые функции, например, синхронизация времени. Это приведет к «эффекту домино», и у провайдеров нарушится работа программ. Кроме того, даже если ключи обновило большинство операторов, пропускная способность соединений может временно снизиться из-за тех, кто этого не сделал.

Проблема только во временной недоступности сайтов?

Паникой могут воспользоваться злоумышленники. Они начнут рассылать спам и давать рекламу с советом скачать программу для стабильной работы Интернета. Их нужно игнорировать — тогда вы будете в безопасности.

Это коснется меня?

Такая вероятность есть. Примерно четверть пользователей интернета — около 750 млн человек — работает с провайдерами, которые используют DNSSEC. Возможно, часть из них до сих пор не настроила нужную конфигурацию на своем сетевом оборудовании. Но крупные провайдеры, скорее всего, давно обновили настройки и перейдут на новый KSK незаметно для своих клиентов и владельцев сайтов. Например, «ВымпелКом», «Ростелеком», «МегаФон» и МТС заявили, что готовы к обновлению KSK.

Как мне защититься от этого?

Никак. Настройки должен обновить ваш провайдер, и от вас этот процесс не зависит. Единственный вариант — сменить оператора, если начнутся проблемы с доступом в Сеть.

Что-то серьёзное случилось?

Ага, и получило большой резонанс. 5 июля 2018 года «Яндекс» проиндексировала документы Google Docs, не защищённые настройками приватности. Так в открытый доступ попали номера телефонов, фото, пароли, скриншоты паспортов, клиентские базы, отчеты с финансовыми показателями и куча другой приватной информации.

Я не храню паспорт в гуглодоках. Всё, я в безопасности?

Нет. Этот случай — один из многих. Например, в марте стало известно об утечке данных 50 миллионов пользователей Facebook через приложение для опросов thisisyourdigitallife. Создатель сервиса, компания Cambridge Analytica, собирала данные о пользователях и продавала их сторонним организациям, в том числе политическим штабам.

То есть утечки можно ждать где и когда угодно?

Да. Компании и пользователи халатно относятся к хранению информации. А владельцы поисковиков очень мало рассказывают о том, как правильно хранить и закрывать данные в соответствии с алгоритмами работы этих же самых поисковиков.

Ну, допустим, просочилось. Что могут сделать с моими данными?

Например, «украсть личность». Начать действовать от вашего лица, войти в доверие к друзьям и родственникам, просить у них деньги или услуги. Если есть имя пользователя, номер телефона и электронный адрес, можно отправлять ему письма с вредоносным кодом или ссылками на зараженные сайты от имени знакомых или коллег.

В лучшем случае информацию используют спамеры и рекламные агентства. В худшем — конфиденциальные документы продают, секретную информацию используют для шантажа, а интеллектуальную собственность и наработки присваивают.

Как мне защититься от этого?

• Используйте основной почтовый аккаунт для конфиденциальных переписок, для остального — один или несколько ящиков, которые условно не жалко в плане взлома. Указывайте их в соцсетях и при регистрации в сервисах. Если такие аккаунты будут скомпрометированы, по крайней мере утекут не секретные документы.
• Установите двухфакторную аутентификацию на почтовый ящик, если сервис её поддерживает. Если нет — придумайте сложный пароль.
• Проверьте настройки доступа к документам с конфиденциальной информацией, ненужные удалите.
• Если вы боитесь, что у вас украдут деньги, заведите виртуальную карту. Ей можно расплачиваться, не раскрывая имя владельца и реквизиты основной карты.
• Регулярно обновляйте приложения.
• Давайте права на просмотр и редактирование документов только определённым пользователям. Лучше делать это по приглашению, а не по ссылке.
• Не публикуйте фотографии документов, даже билетов и платёжных чеков.
• Не помешает здоровая паранойя: проверяйте корректность написания адреса электронной почты отправителя письма при переходе по ссылкам из него, не забывайте периодически сканировать телефон и компьютер антивирусом, не вносите настоящие персональные данные при открытии бонусных карт. Если вы очень хотите получить от магазина косметики подарок ко дню рождения, сместите его дату на пару дней.
• Периодически используйте сервис About me от Google, чтобы контролировать количество публикуемой информации о вас. Много нового можно узнать, если проверить почтовый ящик в сервисе HaveIBeenPwned.com.
• Старайтесь не использовать открытые Wi-Fi-сети.

Ну теперь-то я в безопасности?

Кхм, нет. Тут такое дело — даже при всех мерах безопасности ваши данные всё равно могут быть скомпрометированы. Если вы удалите все аккаунты, уничтожите документы и уедете жить в деревню без Интернета и компьютера, информация может утечь из баз данных компаний, чьими услугами вы пользовались, госорганов и других не зависящих от вас источников.

Например, интернет-архив archive.org с 2017 года игнорирует файлы robots.txt. В отличие от поисковых систем, он работает в интересах пользователей, которые должны находить нужные материалы даже после прекращения работы сайта. А документы из офисного пакета программ оставляют временные копии с расширением .tmp, по которым можно восстановить исходный файл.

Не опускайте руки. Соблюдайте хотя бы базовые правила выше, и вы уже сильно повысите уровень защиты своих данных и уменьшите риски.

Что делать, если данные всё же украли?

Если хотите изъять информацию из публичного доступа и привлечь злоумышленника к ответственности, обратитесь с жалобой в территориальный Роскомнадзор или прокуратуру. Если хотите возместить ущерб, обратитесь в районный суд.

Публикация и разглашение персональных данных без согласия их владельца — административное правонарушение. Взлом почты или соцсетей — уголовное преступление.

Короче, что надо запомнить?

1. Безопасность ваших данных не зависит полностью от вас, но вы можете принять меры предосторожности. Используйте надёжные пароли, как можно реже оставляйте персональную информацию, проверяйте кредитную историю и выполняйте другие пункты из списка выше.
2. Если ваши данные опубликовали без вашего согласия, взломали почту или соцсети — обращайтесь в надзорные или правоохранительные органы.