Защита информации, виртуальные частные сети (VPN). Технология ViPNet.

Здравствуйте, уважаемые подписчики!

Cамый распространенный подход к проектированию сети заключается в построении сплошной защиты по ее периметру, при этом на линии огня остается лишь маршрутизатор. Обеспечение его собственной безопасности приобретает все большее значение по мере усложнения подключенных к Internet сетей. Атаки на маршрутизатор могут вызвать перегрузку центрального процессора, привести к неправильному управлению трафиком и даже к полной неработоспособности устройства.

В сегодняшнем выпуске рассылки публикуем заключительную часть статьи Кертиса Далтона "Маршрутизаторы под прицелом", которая поможет защитить ваши маршрутизаторы от цепкой хватки хакеров.

Как обычно в рассылке, свежие новости из области защиты информации и IT-технологий, информационные сообщения по новым атакам и способам взлома, статистика по инцидентам, а также новости компании Инфотекс.

Новости компании Инфотекс

• Приглашаем посетить наш форум, посвященный защите информации, виртуальным сетям (VPN) и продуктовому ряду ViPNet.
• Компания Инфотекс приглашает на работу программистов-разработчиков в среде Visual C++ 6.0 и системных программистов
• Компания Инфотекс расширяет продуктовую линейку ViPNet новыми продуктами ViPNet Custom Lite и ViPNet SDK (software development kit)

Отключение ненужных сервисов
Возможность выбрать наиболее подходящий протокол маршрутизации или дополнительный сервис очень привлекательна, но это — обоюдоострый меч. Большое количество недавних взломов лишний раз подчеркивает важность отключения ненужных сервисов на маршрутизаторе, включая Finger, простой протокол передачи файлов (Trivial File Transfer Protocol, TFTP), HTTP, сетевой протокол передачи времени (Network Time Protocol, NTP), SNMP, динамический протокол конфигурации узлов (Dynamic Host Configuration Protocol, DHCP) и протокол обнаружения Cisco (Cisco Discovery Protocol, CDP). Маршрутизаторы используют CDP для обмена информацией о задействованных протоколах маршрутизации, специфичных настройках и об интерфейсах. Однако, если придется отключить CDP, помните, что это может привести к снижению производительности.

Перечисленные сервисы созданы для удобства сетевых и системных администраторов, но они также облегчают жизнь и злоумышленникам в их попытках проникнуть в информационные системы. Например, с помощью протокола TFTP хакер может скопировать файлы с маршрутизатора безо всякой аутентификации. Если на маршрутизаторе запущен демон TFTP, то злоумышленнику нужно знать только точное имя файла (например, главного файла конфигурации), который он хочет скопировать. Для создания дружественных пользователю административных интерфейсов на базе технологий Web применяется протокол HTTP. Во избежание использования этих интерфейсов для осуществления враждебных действий, необходимо установить жесткие правила контроля доступа к ним (подробнее мы остановимся на этом аспекте ниже).

Другой важный момент — синхронизация времени, без которой невозможно нормальное функционирование сети. Полагаться на синхронизацию, сделанную при первичной настройке сети опасно, так как накапливающаяся ошибка отсчета времени разными устройствами приводит к их рассинхронизации. В то же время многим механизмам обеспечения безопасности, к примеру серверам аутентификации, необходимы отметки времени, и они нуждаются в том, чтобы все задействованные устройства были достаточно точно синхронизированы. В противном случае возрастает вероятность сбоя сервиса или умышленного нарушения его работы.

Для синхронизации сетевых устройств с эталонным источником точного времени можно воспользоваться протоколом NTP. Однако через маршрутизатор этого не стоит делать, а лучше поместить сервер NTP в специальный сегмент сети, защищенный межсетевым экраном — так называемую демилитаризованную зону (DMZ), — и сконфигурировать его таким образом, чтобы он посылал запросы только доверенному источнику точного времени. Все остальные устройства сети будут синхронизироваться с этим сервером, что, с одной стороны, не позволит хакерам получить информацию о ее внутренней структуре, а с другой — поможет избежать неприятных ситуаций, связанных с рассинхронизацией времени на сетевых устройствах. Потребность в запуске на маршрутизаторах сервисов SNMP и DHCP возникает достаточно редко. Используйте их, только если это действительно необходимо.

Граница под замком
Выше уже говорилось о важности ограничения физического доступа к маршрутизаторам. Естественным дополнением к такому подходу оказывается ограничение и логического доступа, главным образом при помощи правильной настройки списков управления доступом (Access Control Lists, ACL). Запрет удаленного терминального доступа по протоколам наподобие telnet, особенно с неизвестных или удаленных адресов, поможет предотвратить осуществление хакерами логического доступа к вашим системам. Наиболее предпочтительным методом удаленного доступа является SSH, но если без telnet не обойтись, то средствами управления терминальным доступом его следует разрешить только с доверенных адресов. Для этого создайте список управления доступом к порту виртуального терминала, используемого протоколом telnet.

Обнаруженная недавно в программном обеспечении маршрутизаторов брешь позволяла злоумышленнику полностью вывести оборудование из строя путем отправки слишком длинного пароля. Причиной послужила ошибка в коде операционной системы маршрутизатора, из-за которой строки паролей длиной более 32 символов обрабатывались некорректно. Своевременная установка выпускаемых производителем исправлений поможет избежать негативных последствий от атак такого рода.

Ограничение логического доступа подразумевает также запрет всех видов трафика ICMP, кроме действительно необходимых (см. Рисунок 1).

Рисунок 1. Строгий контроль входящих и исходящих потоков информации чрезвычайно важен для обеспечения безопасности маршрутизаторов. Первичным механизмом в реализации данной стратегии является блокирование всех попыток подделки адресов. Используйте фильтрацию для отсеивания на входе пакетов без IP-адреса, пакетов с адресом localhost, широковещательных (broadcast), групповых (multicast) и с обратным адресом внутренней сети. Запретите отправку с внутренних адресов трафика ICMP и обеспечьте пропуск пакетов только с правильным адресом отправителя.

ICMP призван облегчить устранение проблем в сети, вызванных ошибками и перегрузками. К сожалению, он предоставляет взломщику информацию, с помощью которой тот может воссоздать структуру любой сети, получить значение локального времени, маски подсетей (включая размер и зону охвата) и сделать обоснованные предположения о версиях и подверсиях установленных операционных систем. Чтобы не дать хакерам возможности получить эти сведения, во внутреннюю сеть следует пропускать лишь следующие виды сообщений ICMP: icmp-net-unreachable, host-unreachable, port-unreachable, packet-too-big, source-quench и ttl-exceeded.

Механизмы управления входящей информацией позволяют обеспечить перенаправление определенных видов трафика только к соответствующим серверам. В частности, трафик SMTP допускается исключительно к почтовым серверам, трафик DNS — к серверам службы имен доменов (DNS), а HTTP/S (HTTP через SSL) — к серверам Web. Кроме того, чтобы не стать жертвой атаки по типу "отказ в обслуживании" или ее источником, на маршрутизаторах следует настроить правила фильтрации, блокирующие следующие виды входящих из внешних сетей пакетов: пакеты без IP-адресов (например, 0.0.0.0); пакеты с адресом localhost (127.0.0.1), широковещательные (255.255.255.255) и групповые, а также пакеты с обратным адресом, принадлежащим внутренней сети.

Конечно, все атаки по типу "отказ в обслуживании" предотвратить не удастся, но в ваших силах минимизировать их негативные последствия. Например, можно увеличить размер очереди пакетов с установленными флагами SYN/ ACK и уменьшить время ожидания подтверждения (пакета с флагом ACK). Эти меры помогут защитить маршрутизаторы от атаки TCP SYN, приводящей к поглощению всех доступных ресурсов маршрутизатора, в результате которой он практически не в состоянии обслуживать нормальные соединения с серверами.

Действия по фильтрации исходящего из сети трафика довольно эффективны. Настройки списков управления доступом должны обеспечивать блокировку трафика ICMP с внутренних адресов и выпускать наружу пакеты только с допустимыми адресами отправителя (принадлежащими защищаемой сети). Этот шаг позволит предотвратить атаки, связанные с подделкой IP-адресов отправителя, и снизить вероятность того, что хакеры воспользуются вашими системами для нападения на другие сети. Данная мера очень важна еще и в следующем аспекте: она поможет избежать ответственности, которая была бы возложена на вас в случае непринятия достаточных мер по защите систем.

Контроль изменений конфигурации
Для повышения безопасности маршрутизаторов недостаточно только вносить в их конфигурацию изменения, следующий шаг, который вы должны предпринять, состоит в тщательном их отслеживании. Если применяется протокол SNMP, важно убедиться, что выбор Community String произведен в соответствии с требованиями к паролям. Предпочтительнее использовать версию 3 протокола SNMP, поскольку она обеспечивает криптографическую защиту (шифрование) передаваемых сообщений. Если удаленное внесение изменений в конфигурацию со станции управления SNMP не планируется, все устройства SNMP следует настроить на режим "только чтение" (Read Only, RO). Запрет на запись исключает возможность внесения изменений в конфигурацию интерфейсов или их отключения злоумышленником, если тому каким-либо образом удастся узнать Community String.

Кроме того, маршрутизаторы можно настроить на посылку сообщений syslog на специально выделенный сервер, что позволяет фиксировать относящиеся к безопасности события, которые с помощью SNMP определить не удается. Настройка уровня детализации должна обеспечивать фиксацию всех попыток несанкционированного доступа. Однако при настройке syslog на маршрутизаторе протоколирование консоли следует отключить, так как это может привести к поглощению всех ресурсов маршрутизатора процессом регистрации.

Для обеспечения безопасности процесса администрирования разработаны механизмы шифрования, например SSH. Этот протокол полезен как для установления шифрованных соединений с маршрутизатором, так и для усиления аутентификации (SSH2) за счет предъявления цифрового сертификата помимо пароля. Дополнительно повысить уровень безопасности поможет ограничение списка узлов, с которых разрешено устанавливать соединения SSH с маршрутизатором. В него должно входить небольшое количество доверенных систем, регулярно задействуемых для администрирования.

Для управления конфигурацией важно обеспечить использование в сети соответствующих протоколов маршрутизации. RIP доверять не стоит, так как его легко ввести в заблуждение посылкой ложных сообщений об изменении маршрутов. Протокол пограничного шлюза (Border Gateway Protocol, BGP) и OSPF довольно надежны, поскольку они предусматривают взаимную аутентификацию устройств при приеме информации об изменении маршрутов путем посылки значений хэш-функций пароля, вычисляемых по алгоритму MD5. Такой подход позволяет предотвратить внесение ложных изменений в таблицы маршрутизации.

В относительно статичных сетях, к которым относится демилитаризованная зона, можно применить стратегию так называемой "плавающей маршрутизации". Ее суть заключается в программировании маршрутизаторов на перенаправление трафика по другому маршруту при возникновении определенных условий. Например, недоступность основного маршрута к какой-либо точке заставляет маршрутизатор направить поток информации по резервному ("всплывающему") маршруту. Для реализации такой схемы достаточно назначить запасному маршруту более низкий приоритет по сравнению с основным.

На маршрутизаторе можно задать несколько альтернативных запасных маршрутов, каждый со своим приоритетом, поэтому со стороны будет казаться, что устройство функционирует так же, как при динамической маршрутизации. Использование плавающей маршрутизации затрудняет внесение ложных маршрутов в таблицу маршрутизации. Однако более-менее серьезные изменения в архитектуре сети потребуют от администратора перенастройки каждого маршрутизатора вручную.

Регламентация управления конфигурацией
Невозможно обеспечить безопасность маршрутизатора без тщательно продуманной политики, где определяется порядок сохранения, восстановления и модификации настроек маршрутизаторов. Хранение резервных копий файлов конфигурации на защищенном сервере поможет заменить или перезагрузить настройки, а также вернуться к предыдущему состоянию при внесении ошибочных изменений в конфигурацию, сократив при этом время простоя и избежав других затруднений.

На маршрутизаторах с поддержкой интерфейса командной строки (Command Line Interface, CLI) хранение конфигурации может быть организовано двумя путями. Первый заключается в запуске на сервере конфигураций сценария для выполнения следующих действий: соединение с маршрутизатором по протоколу SSH, регистрация, отключение протоколирования c консоли, вывод на экран текущей конфигурации, сохранение ее в локальном файле и отключение от маршрутизатора. Протокол SSH обеспечивает шифрование всей передаваемой информации, поэтому параметры конфигурации не могут быть перехвачены посторонними во время этого процесса.

Второй путь сохранения конфигурации маршрутизатора состоит в организации между сервером конфигураций и маршрутизатором туннеля IPSec, через который по протоколу TFTP с маршрутизатора на сервер копируется конфигурационный файл. Как уже было упомянуто выше, сам по себе протокол TFTP небезопасен, так как передает данные в открытом виде. Использование SSH проще, а посему — предпочтительнее (организация туннеля IPSec требует более значительных затрат по конфигурированию, чем SSH). После копирования файла конфигурации маршрутизатора на сервер его следует зашифровать и отключить демон TFTP. Это не позволит злоумышленнику зайти на сервер и скопировать только что сохраненный файл конфигурации.

Важными составляющими процесса управления конфигурациями являются наделение конкретных сотрудников правом изменять конфигурацию маршрутизаторов, установление сроков проведения этой процедуры, выбор программного обеспечения и способов внесения изменений (в частности, потребовать разрыва всех сетевых соединений на время этой операции). Необходимо установить ограничения на ресурсы, с которых могут вноситься изменения (например, только с определенных IP-адресов или консоли), а также определить правила смены паролей (каким образом новые пароли устанавливаются на маршрутизаторах и сообщаются администраторам).

Прежде чем производить изменения, важно продумать в деталях процедуры отката. Если во время внесения изменений произойдет сбой, необходимо быстро вернуться к самым последним функциональным параметрам настройки конфигурации или версии ОС. Отслеживайте любые вносимые в конфигурацию маршрутизаторов исправления, а также изменения процедур отката. Создайте специальную инвентарную базу данных и храните в ней полный список ваших маршрутизаторов, установленных на них версий ОС, описание последних внесенных изменений и процедур отката для каждого маршрутизатора. Наконец, назначьте ответственного за каждый маршрутизатор, чтобы знать, к кому обращаться за дополнительными пояснениями о конфигурации конкретного маршрутизатора.

Новая схема управления
Вы можете найти множество технических решений, позволяющих повысить безопасность маршрутизаторов, но наибольший эффект дает применение организационных мер (см. Рисунок 2).

Рисунок 2. Надежный план по обеспечению безопасности маршрутизатора предполагает не только обеспечение физической защиты сетевых устройств, но и установление четких процедур управления. Они должны включать реализацию и поддержание эффективной системы контроля доступа, мониторинга устройств и управления паролями. Важно помнить о безопасном изменении конфигурации и хранении файлов с актуальными настройками.

Они включают в себя управление доступом к устройствам и их мониторинг, периодическую смену паролей, контроль изменений конфигурации и организацию безопасного хранения конфигурационных файлов. Чрезвычайно важно быть в курсе самых последних "достижений" в области взлома маршрутизаторов и мер противодействия им. А самое большое преимущество организационных мер защиты состоит в том, что при минимуме затрат они дают очень высокую отдачу.

Кертис Далтон - ведущий специалист по безопасности компании еGreenwich Technology Partners, специализирующейся на консалтинге в области информационных технологий. С ним можно связаться по адресу: cdalton@greenwichtech.com (опубликовано в журнале "LAN" №6/2002).

Как правило, после того как пользователь введет данные на фальшивом сайте, от получает сообщение об ошибке и предложение посетить сайт позже. При этом введенные данные отправляются в базу данных мошенника, а иногда может производиться и снятие денег со счета владельца кредитной карты.

В Zerflow также отмечают, что найти таких мошенников чрезвычайно сложно, поскольку при регистрации доменов они используют чужие или просто вымышленные имена и личные данные.
(источник - http://www.compulenta.ru/, опубликовано 11.07.2002)

Необходимо отметить, что для успеха атаки достаточно, чтобы пользователь просто попытался прочитать письмо, а запуска каких-либо вложенных файлов при этом не требуется. Уязвимыми для подобных атак являются компьютеры, на которых установлен Outlook совместно с программами NAI PGP Desktop Security 7.0.4, NAI PGP Personal Security 7.0.3, NAI PGP Freeware 7.0.3. Пользователям же пакета PGP Corporate Desktop, по данным eEye, пока ничего не угрожает.

Для того чтобы заделать дыру в PGP-плагине, эксперты eEye рекомендуют загрузить одну из заплаток, находящихся здесь.
(источник - http://www.compulenta.ru/, опубликовано 11.07.2002)

По словам Эрика Дина (Eric Dean), главы правления Liberty Alliance и, по совместительству, руководителя информационной службы авиакомпании United Airlines, альянс начнет с продвижения упрощенной версии единой системы аутентификации. Она позволит лишь "связать" несколько сайтов, назначив для них единый пароль, в результате чего при переходе с одного из объединенных сайтов на другой повторное введение пароля не потребуется.

В дальнейшем система будет совершенствоваться и позволит создавать единые пользовательские профили с указанием реальных имен, адресов, телефонов и номеров кредитных карт. И хотя такой подход создает реальную опасность сохранности персональных данных, в Liberty Alliance уверены, что новый стандарт позволит обеспечить их надежную защиту.
(источник - www.compulenta.ru, опубликовано 11.07.2002)

Хардинг подчеркнул, что для взлома можно использовать самые простые и распространенные способы, например, подмену соединения или кэша. При работе SoftwareUpdate устанавливает HTTP-соединение компьютера пользователя с сервером Apple.com и посылает обычный запрос к документу XML, содержащему список последнего ПО для OS X. SoftwareUpdate на компьютере пользователя сопоставляет программы, установленные в систему, со списком в этом XML-файле. SoftwareUpdate направляет список того, что ему нужно, на другую страницу, и сервер Apple.com либо присылает данные по новому ПО, либо отправляет сообщение "Обновлений нет".

Хардинг написал две программы, одна из которых перехватывает DNS-запросы, и в ответ отправляет фальсифицированные пакеты, которые соединяют компьютер пользователя с системой злоумышленника. Вторая программа, маскируясь под обновление для Mac OS X, загружается на компьютер жертвы. Как сообщает ZDNet, эта программа содержит копию системы Secure Shell - средства для установки зашифрованных соединений.

Представители Apple заверили ZDNet, что компания всегда серьезно относится к любым предупреждениям такого рода, и что проблема активно изучается.
(источник - www.compulenta.ru, опубликовано 09.07.2002)

Сведения о механизме создания шума уже облегчают взлом паролей, однако дальнейшие изыскания показали, что в система хранения паролей еще более уязвима. Как оказалось, вводимый пользователем пароль сначала переводится в формат unicode, затем к нему добавляется шум, а после этого осуществляется хэширование пароля. Однако в SQL Server хранится не одна, а две версии пароля. Первая из них зависит от регистра символов, а вторая состоит исключительно из символов в верхнем регистре. При этом к обеим версиям пароля добавляется одинаковый шум. Таким образом, зная механизм генерации шума можно простым перебором слов подобрать пароль в верхнем регистре - для этого требуется значительно меньше ресурсов, чем при подборе пароля, чувствительного к регистру - после чего подбор последнего становится тривиальной задачей.

Для демонстрации обнаруженной уязвимости Литчфилд написал простую программу на Си, которая вначале хэширует все имеющиеся в ее распоряжении слова, сравнивая ее с хранящимся в SQL Server хэшем пароля в верхнем регистре. На компьютере с процессором Pentium III с частотой 1 ГГц и 256 Мб ОЗУ программа за две секунды перебирает 200 000 слов.
(источник - www.compulenta.ru, опубликовано 09.07.2002)

Отыскав доступные сетевые ресурсы червь пытается соединиться с компьютером, на котором эти ресурсы находятся. В случае успешного соединения червь ищет доступную папку, которая может быть директорией Windows. Для этого он пытается использовать имя "WinNT", а также читает раздел "WinDir" из файла MSDOS.SYS, если такой существует. Затем червь копирует в удалённую директорию Windows все свои компоненты и настраивает автозагрузку файла MSVXD.EXE при старте Windows.

Кроме того, "Лаборатория" обнаружила в Сети очередного интернет-червя под названием Calil. Сей "зверь" распространяется во вложениях email-сообщений. Для размножения используются функции программы Outlook. Отсылаемые червём письма содержат в качестве аттача файл LILAC_WHAT_A_WONDERFULNAME.avi.exe.

Червь меняет имя владельца зараженной системы на xEnOcrAtEs.
(источник - www.compulenta.ru, опубликовано 09.07.2002)

Специалисты компании Инфотекс ответят на все ваши вопросы, связанные с продуктами ViPNet, помогут в случае проблем при инсталляции и эксплуатации наших продуктов, а также проконсультируют по общим вопросам информационной безопасности...

ViPNet Custom Lite
Поставка состоит из пакета программ только с Доменом-К:
- ViPNet [Администратор] - выполняет все функции полноценного места администратора защищенной сети, в т.ч. роль центра регистрации и сертификации;
- ViPNet [Координатор] Lite - отличается от стандартного отсутствием функции почтового сервера (является также Сервером доступа удаленных Клиентов);
- ViPNet [Клиент] Lite - содержит: ViPNet Драйвер, ViPNet Монитор, ViPNet MFTP.
Поддерживает функции:
- Персонального сетевого экрана;
- Организации защищенных каналов клиент/клиент, клиент/сервер;
- Модуля автоматического обновления ключей и справочников;
- Защищенного чата и конференций;
- Файлового обмена;
- Дополнительной авторизации при входе в операционную систему (с использованием электронных носителей: eToken, iButton и т.п.)

ViPNet SDK
Варианты поставки ПО ViPNet, необходимого для встраивания функций работы с ЭЦП во внешние приложения

Поставка только криптографических библиотек

• Комплект динамических библиотек, устанавливаемых на клиентских местах, и обеспечивающих необходимую функциональность работы с ЭЦП (подпись, проверка подписи)

Предполагается, что ответственность за жизненный цикл ключей (контроль срока действия и доставка) полностью возлагается на приложение, в которое встраивается ЭЦП.
Клиенту не предоставляется ПО ViPNet [Администратор]. Формирование и смена ключей Пользователей производится по дополнительному запросу в ОАО "ИнфоТеКС", где будет храниться ЦУС и КЦ сети.

Минимальный вариант поставки

• Пакет программ ViPNet [Администратор], состоящий из программы "Центр управления сетью" (ЦУС) и "Ключевой центр" (КЦ). В терминах PKI функции центра регистрации выполняет ЦУС, а функции центра сертификации (удостоверяющего центра) выполняет КЦ.
  
• Комплект динамических библиотек, устанавливаемых на клиентских местах, и обеспечивающих необходимую функциональность работы с ЭЦП (подпись, проверка подписи)

В этом варианте предполагается, что ответственность за жизненный цикл ключей (контроль срока действия и доставка) полностью возлагается на приложение, в которое встраивается ЭЦП. В ЦУСе производится регистрация пользователей. КЦ формирует корневые сертификаты, секретные ключи подписи и сертификаты открытых ключей подписи и сохраняет их в виде файлов. Доставка этих файлов на клиентские места должна осуществляться каким-то защищенным способом (лично в руки, фельдъегерской связью, транспортом приложения и т.д.).

Вариант с автоматизированным обновлением всех ключей

• Пакет программ ViPNet [Администратор],
  
• Пакет программ ViPNet [Координатор] Lite, выполняющий функции сервера для обеспечения доставки необходимой ключевой информации. Таких серверов может быть один или несколько в зависимости от конфигурации сети.
  
• Пакет программ ViPNet [Клиент] EasyTransport-S, не только обеспечивающий необходимую функциональность работы с ЭЦП, но и обеспечивающий автоматизированное обновление всех ключей.

Оптимальный вариант поставки

• Пакет программ ViPNet [Администратор],
  
• Пакет программ ViPNet [Координатор] Lite, выполняющий функции сервера для обеспечения доставки необходимой ключевой информации. Таких серверов может быть один или несколько в зависимости от конфигурации сети.
  
• Пакет программ ViPNet [Клиент] Transport-S, не только обеспечивающий необходимую функциональность работы с ЭЦП, но и обеспечивающий автоматизированное обновление всех ключей и функции персонального сетевого экрана.

Со стоимостью новых решений можно ознакомиться по адресу: http://www.infotecs.ru/price.htm

Познакомиться с нашими решениями и получить более подробную информацию можно на web-сервере - http://www.infotecs.ru или по телефону (095) 737-6192 

Также получить ответы на интересующие Вас вопросы, Вы можете на нашем форуме, находящемся по адресу: http://www.infotecs.ru/phpBB2/index.php

Полнофункциональные демо-версии продуктов ViPNet Desk, TermiNet, ViPNet Office, ViPNet Tunnel, ViPNet Office Firewall находятся по адресу: http://www.infotecs.ru/demo.htm

Если у вас есть какие-нибудь пожелания или вопросы по поводу дальнейших выпусков рассылки, мы с удовольствием рассмотрим их.