Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Проект Kryptonite развивает систему хранения закрытых ключей..., opennews (ok), 04-Май-17, (0) [смотреть все] Ага, закрытые ключи на смартфоне А смартфон их при любом удобном случае - дядям, ОлдФак (ok), 10:32 , 04-Май-17, (1) +32 // Может им еще и ключи от сервера где деньги лежат с , XXX (??), 14:06 , 04-Май-17, (59) +8 // у вас есть способ передавать ключи со смартфона не размещая их там Они всё равн, DmA (??), 15:40 , 04-Май-17, (73) –1 // Так и не размещай их _там_ Д,Б Да сервера иногда ломают Но, таки - да, телефоны, _ (??), 16:09 , 04-Май-17, (77) +4 Мне кажется это фича TCP протокола, всегда есть возможность взломать систему , DmA (??), 16:25 , 04-Май-17, (82) –5 Вы хотите поговорить о том, что Вам кажется , Аноним (-), 21:16 , 04-Май-17, (119) а я всегда только об этом и говорю , DmA (??), 08:24 , 05-Май-17, (136) Это всё Ротшыльды, сцу , Аноним (-), 15:11 , 05-Май-17, (158) +1 По-моему, хипстота снова пытается всех обмануть Не кажется ли вам, что подобный , Аноним (-), 10:33 , 04-Май-17, (2) +18 // Ещё какая https avatars3 githubusercontent com u 1348691https avatars2 githu, Аноним (-), 17:52 , 04-Май-17, (95) +6 В этой новости не хватает ссылок на тестирование безопасности android приложений, Аноним (-), 10:37 , 04-Май-17, (3) +11 // Технологии защиты в Android на порядок лучше SELinux, sandbox-изоляция, идентиф, Аноним (-), 10:57 , 04-Май-17, (8) –11 // Подавляющее большинство целевой аудитории пользователей смартфонов разбираются в, tstalker (ok), 11:20 , 04-Май-17, (9) +3 В стационарных системах отсутствует, например, broadband модуль, на котором крут, rob pike (?), 11:26 , 04-Май-17, (11) // Это не так, последние 10 лет cpu без подобного модуля не запускаются, см https , Аноним (-), 12:20 , 04-Май-17, (23) +6 Только разница в том, что для работы МЕ нужна её встроенная сетевушка АМД же сво, Ivan_83 (ok), 13:56 , 04-Май-17, (56) Спорное утверждение Кто там выдаёт разрешения на продажу сетевух А где заводы , Аноним (-), 15:13 , 04-Май-17, (68) Ко всему он доступа не имеетпри наличии IOMMU в девайсе , Аноним (-), 16:08 , 04-Май-17, (76) –2 Нет iommu это не про то Это только виртуальное адресное пространство io Вся м, фф (?), 09:48 , 05-Май-17, (139) +1 Поэтому там постоянно находят новые вирусы чуть ли не каждый день То деньги вым, Аноним (-), 11:42 , 04-Май-17, (14) // Пруф какой-нибудь что ли , Аноним (-), 11:51 , 04-Май-17, (18) https www cnet com news malware-from-china-infects-over-10-million-android-use, Аноним (-), 12:21 , 04-Май-17, (24) –1 точно снёс Может она только делает вид, что удалилась , DmA (??), 09:17 , 05-Май-17, (138) Лол, она как системная была Я ещё заодно всякие гуглофремворки и прочее снёс А, Аноним (-), 11:15 , 05-Май-17, (143) Этот весёлый мир китайского андроида , Аноним (-), 15:23 , 05-Май-17, (160) Эти вирусы атакуют пользовательскую ОС, к Android Keystore они доступа не имеют , Аноним (-), 12:24 , 04-Май-17, (25) Есть куча уязвимостей помогающих получить рут на девайсах Не веришь Погугли Т, Аноним (-), 14:03 , 04-Май-17, (57) Причём тут root Android Keystore недоступен для чтения, у него нет такой функци, Аноним (-), 23:50 , 04-Май-17, (121) Ты очень наивный падаван Через ядро можно прочитать всё что угодно А эксплойто, Аноним (-), 11:16 , 05-Май-17, (144) –1 ну ставься на ипхон - там не все в андроиде keystore - _программный_ механизм, х, пох (?), 13:32 , 05-Май-17, (151) Да, kingroot называется Но я буду вам признателен, если вы поделитесь ссылкой на, Аноним (-), 13:54 , 05-Май-17, (154) Какие вирусы Фонарик, которые запришивает пермишен на отправку смс Самая основ, Аноним (-), 13:46 , 04-Май-17, (51) Огоспаде, да окуда вы такие берётесь Тролль или правда не понимаешь Ты доверяе, Аноним (-), 14:07 , 04-Май-17, (61) +1 Это если речь про ядерные блобы На практике на многих девайсах уже активирован , Аноним (-), 15:26 , 04-Май-17, (72) +2 Ну анон выше писал, что рут можно легко получить на почти всех девайсах Так что, Аноним (-), 15:54 , 04-Май-17, (75) Почему тебе лень кликнуть на ссылку в новости и узнать наконец что такое Android, Аноним (-), 00:00 , 05-Май-17, (123) Слушай, ты наивный Доступ ядра есть Есть Всё Можно прочитать Кстати, судя , Аноним (-), 11:19 , 05-Май-17, (145) –1 в случае чипа с tpm - нету Только через апи и только на чтение Сами ключи не ч, пох (?), 13:40 , 05-Май-17, (152) +1 От СОРМ он поможет , Аноним (-), 15:28 , 05-Май-17, (161) Научи без получение рута на девайсе Почему то при всех этих технологиях зашиты п, Аноним (-), 12:25 , 04-Май-17, (26) +1 В типичном Android-смартфоне куча уязвимостей, закрывать которые вендор и не соб, wins proxy (?), 13:20 , 04-Май-17, (40) +2 Только вот доверия вендорам нет, да и дырок много , Ivan_83 (ok), 13:56 , 04-Май-17, (55) +1 и да и нет Частично Selinux изоляция всё это давно есть в Линукс на десктопе , DmA (??), 09:14 , 05-Май-17, (137) +1 // На винде Это ты сам придумал Нет, конечно технически это можно, но Ну ладно,, Аноним (-), 15:32 , 05-Май-17, (162) Не, а чо, купить специально дешёвый смартфон, отпаять антенну - и вуаля , YetAnotherOnanym (ok), 10:43 , 04-Май-17, (4) –1 // А если недалеко от вышки Антенна даже не понадобится Как минимум, выпаять ради, Аноним (-), 12:26 , 04-Май-17, (27) // Угу, выпилить из чипа лобзиком , Аноним (-), 17:34 , 04-Май-17, (89) +2 Смарт в шапочке из фольги , Аноним (-), 22:43 , 04-Май-17, (120) А также вынуть батарею и забросить её в пруд с утятами Для 100 гарантии надёжн, Аноним (-), 15:36 , 05-Май-17, (163) Как узнать хипстоту , Аноним (-), 10:47 , 04-Май-17, (5) +3 0, annonim (?), 10:50 , 04-Май-17, (6) +3 Я конечно хипстота, но это уже перебор , Анончик (?), 10:56 , 04-Май-17, (7) +4 // Ты не хипстота Быть хипстотой - это мейнстрим, а хипстер никогда не признает се, Аноним (-), 11:38 , 04-Май-17, (13) +14 // Как там дела в 2012ом , Анони (?), 02:02 , 05-Май-17, (132) +2 // 2k12 - так пиши , Аноним (-), 15:37 , 05-Май-17, (164) +1 так эти челки носили, те что сейчас про бритвы не знают, Аноним (-), 10:37 , 05-Май-17, (141) // Резали чёлки бритвами Себе или окружающим , Аноним (-), 15:38 , 05-Май-17, (165) Замените смартфон на небольшое отдельное устройство на открытом hardware, и буде, rob pike (?), 11:28 , 04-Май-17, (12) +2 // в виде наручных часов, не имеющих портов, пожалуй было бы самое оно, anonimus (?), 11:48 , 04-Май-17, (17) // это уже явно перебор учитывая неизбежную маргинальность такой железки - порты н, Crazy Alex (ok), 12:00 , 04-Май-17, (21) –3 Согласен http herocollector com Content ArticleImages communicator jpg, Аноним (-), 15:41 , 05-Май-17, (166) Чем это лучше ключа на зашифрованной флэшке , Аноним (-), 11:45 , 04-Май-17, (16) +1 // тем что с флэшки его могут спереть плохие ребята, когда ты этой флэшкой воспольз, пох (?), 11:55 , 04-Май-17, (19) +1 // а смартфон можно уронить, утопить, как от этого спастись а, ну да синхронизация, music (?), 12:26 , 04-Май-17, (28) +1 // здесь это трейдоф, понятный - можно остаться без ключей, но их не сопрет просто , пох (?), 13:43 , 04-Май-17, (49) Тем, что слямзить можно дистанционно, пользователь даже не догадаетя А расшифро, Аноним (-), 12:44 , 04-Май-17, (33) Чем он лучше езопасных тайм ключей QR от Google Authenticator , Аноним (-), 11:58 , 04-Май-17, (20) +1 // а вот это правильный вопрос Чем ним нормальная 2FA не угодила , Crazy Alex (ok), 12:43 , 04-Май-17, (32) +1 // и где она, нормальная -то _нормальная_ - self hosted, а не в гугле Желательно -, пох (?), 13:51 , 04-Май-17, (53) –2 // Чувак, я тебе открою тайну, никому не говори Google Authenticator нигде не хости, Ergil (ok), 14:48 , 04-Май-17, (66) +4 чувак, я тебе открою другую тайну это тред об аутентификации на собственные сер, пох (?), 17:17 , 04-Май-17, (86) –6 Ёк Ты вообще что такое TOTP знаешь или со скуки влез туда, о чём вообще не в ку, Crazy Alex (ok), 17:58 , 04-Май-17, (97) +1 что такое - знаю Как реализовано - не знаю и знать не хочу Вот эта чудесная хня, пох (?), 18:08 , 04-Май-17, (98) –2 Ну вот залезь в описание и в исходники при желании и не неси чушь Стандарты о, Crazy Alex (ok), 18:28 , 04-Май-17, (103) +2 желания нет - поверю на слово Это, мягко говоря, не та технология, которой я хо, пох (?), 18:45 , 04-Май-17, (107) Возьми исходники и посмотри Не хочешь ковыряться в ведроид-помойке 8212 хотя, Аноним (-), 19:13 , 04-Май-17, (113) +1 Ты продумал защиту от брутфорса Шесть цифр легко подобрать , Аноним (-), 12:53 , 04-Май-17, (36) –3 // Ты подумал об ограничении на количество неверных вводов, умник , КЭП (?), 13:08 , 04-Май-17, (39) +3 // Умник - это попытка оскарбить - Без защиты от брутфорса требуется три дня что, Аноним (-), 13:25 , 04-Май-17, (43) –5 Кому нужны твои шесть цифр через три дня, если они меняются каждые 30 секунд , Аноним (-), 17:38 , 04-Май-17, (91) +1 Более того, как ты собрался проверять пароль трёх дневной давности Подбирают те, Аноним (-), 00:38 , 05-Май-17, (124) +1 Оскарбить - наделить, снабдить скарбом, каким-л имуществом, то же, что одарит, Аноним (-), 04:11 , 05-Май-17, (133) У тебя кавычки не верные, в русском языке используют 171 ёлочки 187 или 82, Аноним (-), 15:06 , 05-Май-17, (157) +1 171 французские так-то 187 , Аноним (-), 02:37 , 09-Май-17, (186) sshguard и плюс защита самой rate-limit в google PAM, Аноним (-), 13:24 , 04-Май-17, (42) // Ok, но ведь sshguard заблокирует и легитимного пользователя, если он за одним IP, Аноним (-), 13:33 , 04-Май-17, (45) –1 В последнем OpenSSHd уже встроен rate-limit на уровне ip , Аноним (-), 13:46 , 04-Май-17, (50) –1 А чем он лучше sshguard Он так же заблокирует и админа, если он в одной подсети, Аноним (-), 14:17 , 04-Май-17, (63) +1 Удачно вам перебрать брутфорсом Time-based One Time Password , Аноним (-), 13:33 , 04-Май-17, (46) +1 // На угадывание шести цифр TOTP требуется три дня , Аноним (-), 14:13 , 04-Май-17, (62) –1 Как считали , Crazy Alex (ok), 17:06 , 04-Май-17, (83) https sakurity com otp, Аноним (-), 00:40 , 05-Май-17, (125) Там же описано лекарство Simply lock the account after 10 failed attempts and a, Аноним (-), 12:54 , 05-Май-17, (148) Ага, автор предложивший Google Authenticator об этом не упомянул, поэтому я уточ, Аноним (-), 15:12 , 05-Май-17, (159) Хотя в любом случае - если что-то лупит попытками входа с верным ключом и кривым, Crazy Alex (ok), 17:08 , 04-Май-17, (84) ну и что мне делать с этим письмом - распечатать и на йолку повесить К тому же , пох (?), 17:21 , 04-Май-17, (87) с десяток попыток с верным ключом Соответственно, что делать - понятно - дёргат, Crazy Alex (ok), 17:56 , 04-Май-17, (96) ну и - я под елкой, интернет где-то далеко, ключ утек - то ли через поломанную м, пох (?), 18:11 , 04-Май-17, (99) –1 Ну у вас же есть какая-то тактика на случай, если ключи утекли - по какой-либо п, Crazy Alex (ok), 18:23 , 04-Май-17, (102) +1 нету Ну в смысле, я не храню и не использую ключи там, где они могут утечь или, пох (?), 18:42 , 04-Май-17, (106) –1 Ну так 2FA как раз и есть для случая я не храню и не использую ключи там, где о, Crazy Alex (ok), 18:51 , 04-Май-17, (108) так в оригинале было не про 2FA, а про просто замену гуглем этой вот чудо-хрени , пох (?), 19:04 , 04-Май-17, (111) Э я не думаю, что кто-то в здравом уме будет это использовать как единственны, Crazy Alex (ok), 01:11 , 05-Май-17, (130) Что ты брутфорсить собрался Шестизначное число меняющееся каждые 30 секунд Да , Ergil (ok), 15:13 , 04-Май-17, (69) // fail2ban это хороший способ заблокировать вход администратору - , Аноним (-), 00:48 , 05-Май-17, (126) Используя только ключи невозможно ошибиться в пароле или еще каким-то образом до, Укпшд (?), 00:56 , 05-Май-17, (128) Ну то есть то, что местные называют Jump-server Ок Детский вопрос - а с какого, _ (??), 16:31 , 05-Май-17, (168) только ключи - да, но тут же ж их объявили ненадежными и жаждут гугле-отп, он вп, пох (?), 00:48 , 06-Май-17, (178) Улыбка с утра Однако, и ведь попрёт в массы , Аноним (-), 12:02 , 04-Май-17, (22) +1 // Не попрет Кто в курсе, что такое ssh, тому очевидно, что это - бред , gogo (?), 12:29 , 04-Май-17, (29) // это такой телнет, только модный, да , пох (?), 17:34 , 04-Май-17, (90) –2 Идея носить всегда с собой закрытые ключи и контролировать каждое их использован, evkogan (?), 12:33 , 04-Май-17, (30) +2 // ну, смотря на сколько нужно open, но на современных мк должно быть крайне дёшево, Crazy Alex (ok), 12:46 , 04-Май-17, (34) // ну, товарищу, вероятно, не нравится gpu-загрузка модных одноплаток и странные вы, пох (?), 18:15 , 04-Май-17, (100) +1 // https www seeedstudio com FST-01-without-Enclosure-p-1276 html или https ww, Crazy Alex (ok), 18:35 , 04-Май-17, (105) э ну и кто допилит Раз недорого - это,кстати, сколько - я может в очередь з, пох (?), 18:55 , 04-Май-17, (109) Ну, я подумываю потихоньку, но торговать бы пытаться не стал, вот на гитхаб выва, Crazy Alex (ok), 01:57 , 05-Май-17, (131) разные, да - зачем мне еще одна убиквити, только не умещающаяся на кольце с ключ, пох (?), 14:02 , 05-Май-17, (155) Защита от физического доступа - это та песня, которую я петь не умею, а делать п, Crazy Alex (ok), 16:55 , 05-Май-17, (170) так это логический доступ - тупо шифруем пином что-то ценное, и после третьей не, пох (?), 01:02 , 06-Май-17, (179) С моей точки зрения - уж больно невелика разница между взять и пин потыкать и , Crazy Alex (ok), 13:54 , 06-Май-17, (184) еще как дорого, такую штуку можно продать за 15-25 потолок, если больше то уже , Аноним (-), 18:56 , 04-Май-17, (110) –1 за штуку, которая на фотке выше за полную реализацию, а не за сами кнопки - р, пох (?), 19:07 , 04-Май-17, (112) –1 вас таких которые по 500 готовы заплатить тысяча ну может две три на всей земле, Аноним (-), 20:15 , 04-Май-17, (115) ну, во-первых больше - если оно вдруг хорошее, то корпоративные заказы подтянутс, пох (?), 20:41 , 04-Май-17, (116) Если нет уж настолько денег на железку - значит, защищать нечего Хотя если не б, Crazy Alex (ok), 14:16 , 06-Май-17, (185) Нет, спасибо, не надо Дураков нет PS Хипстеры, запилите хранение ключей в облак, Аноним (-), 12:36 , 04-Май-17, (31) // уже было, вроде, Crazy Alex (ok), 12:47 , 04-Май-17, (35) Типа https privacy microsoft com en-us privacystatement , Аноним84701 (ok), 16:24 , 04-Май-17, (81) По ссылкам не ходил Они это и предлагают, только уже за бабло , Аноним (-), 17:43 , 04-Май-17, (92) +2 тю, хорошая идея женепонятно, чего нытики параноики так возбудились, Нанобот (ok), 13:00 , 04-Май-17, (37) –3 // Есть вероятность скомпрометировать все ключи сразу при вирусе на андрюше , Аноним (-), 13:27 , 04-Май-17, (44) +1 // Вирус не имеет доступа к Android Keystore , Аноним (-), 14:21 , 04-Май-17, (64) // Он и к ядру шиндафс доступа не имеет, а вот поди ж ты , _ (??), 16:24 , 04-Май-17, (80) +1 Ядро это программное решение, а keystore 8212 аппаратное, но зависит от реали, Аноним (-), 00:52 , 05-Май-17, (127) Сначала надо убедиться, что этот самый смартфон имеет большую защиту Сейчас поч, Аноним (-), 13:21 , 04-Май-17, (41) // Очевидно, что ключи можно доверить только открытой прошивке с fdroid и без гугл , Аноним (-), 13:35 , 04-Май-17, (47) +2 // Это ещё под вопросом, Анониим (?), 15:43 , 04-Май-17, (74) –1 // Чем именно он не устроил , Crazy Alex (ok), 17:11 , 04-Май-17, (85) И без ГСМ-модуля, ага , Аноним (-), 12:56 , 05-Май-17, (149) +2 Давно храню закрытые ключи в базе KeePass плагин KeeAgent При необходимости P, Anonplus (?), 13:42 , 04-Май-17, (48) // По какому протоколу , Аноним (-), 14:27 , 04-Май-17, (65) Это ж сколько костылей вместо родного шифрования ключей и ssh-agent , Аноним (-), 17:46 , 04-Май-17, (93) +1 // это не костыли, разумная предосторожность - родное шифрование ключей упирается, пох (?), 18:32 , 04-Май-17, (104) // Использую длинный Набираю раз в день Попробуй, дотянись Не знаю, расшифровывает, Аноним (-), 23:58 , 04-Май-17, (122) один на все ключи разом, или ключ один на все сервера По-моему, так себе идея э, пох (?), 14:14 , 05-Май-17, (156) Точно также как в твоём сохранижопие Один на все ключи , _ (??), 16:53 , 05-Май-17, (169) ну и вот чем тогда оно лучше, кроме того что в памяти все ключи разом и в раскры, пох (?), 22:07 , 05-Май-17, (175) У тебя для каждого сервера отдельный ключ со своим паролем Ты админишь два серв, Аноним (-), 11:12 , 06-Май-17, (182) ssh-agent не умеет дампить ключ в сокет, что бы сдампить ключ нужен рут и доступ, Аноним (-), 00:59 , 05-Май-17, (129) +1 если у тебя есть доступ к сокету - тебе не очень нужен ключ, агент за тебя проде, пох (?), 13:48 , 05-Май-17, (153) 1 Угу А чтобы хакнуть юзера - надо как то выудить его ключ goto 1 , _ (??), 16:57 , 05-Май-17, (171) зачем тебе его ключ, мы ж локальную сторону хакаем Предположим, уже Тырить фай, пох (?), 22:10 , 05-Май-17, (176) Кто-нибудь, научите их записывать ключи на бумажке, Аноним (-), 13:51 , 04-Май-17, (52) +2 // сперва верните мне мой монитор, с приклеенными бумажками , пох (?), 13:53 , 04-Май-17, (54) // Выпиленную дверь уже вернули , Майор Домушник (?), 14:07 , 04-Май-17, (60) +1 // кто писал на ней пароли - сам виноватвсе нормальные люди делают ЭТО на монитор , пох (?), 17:23 , 04-Май-17, (88) А у вас ещё какие-то маленькие куколки есть же Вы на них это тоже ведь делаете , Аноним (-), 15:55 , 05-Май-17, (167) А если телефон надо сменить А в том числе с IOS на Android или наоборот , F (?), 14:06 , 04-Май-17, (58) // Заплатишь модным парнишам, и они разрешат тебе синхронизировать ключи через обла, Аноним (-), 17:48 , 04-Май-17, (94) // д лы, б Учиться им у ms еще сто лет, и так ничему и не научиться Надо было - на, пох (?), 18:22 , 04-Май-17, (101) +3 Не надо мне этих чудес DRM для хранения моих ключей сам потом не достанешь, а, vitalif (ok), 14:48 , 04-Май-17, (67) +1 Идея интересная, но ничерта не работает на Debian 8 4, CHERTS (??), 16:21 , 04-Май-17, (79) –1 Как-то всё наоборот Я бы предпочёл пароли от телефонных аккаунтов и приложений , IZh. (?), 19:50 , 04-Май-17, (114) +5 // спасибо, что чётко и понятно выразили 98 моих опасений по поводу сего поделия 1, Аноним (-), 20:42 , 04-Май-17, (117) там как бе основная фишка - крипто-дивайс У тебя в обычном линуксном компе тако, пох (?), 20:54 , 04-Май-17, (118) –2   // Чем криптодевайс поможет при получении удалённого доступа к устройству, и аутент, IZh. (?), 11:33 , 05-Май-17, (146) +3   // тем что хотя бы работает только в это время А в случае получения удаленного или, пох (?), 13:11 , 05-Май-17, (150)   А что с ним не так Я серьёзно спрашиваю, может я не в курсе https access redh, Аноним (-), 18:31 , 05-Май-17, (173)   04-19 - мгм баг всплыл в начале апреля в смысле, о нем уже все узнали, а судя, пох (?), 22:27 , 05-Май-17, (177) –1   А вы -- прекрасный образец задранного самомнения, любящий переходить на личности, IZh. (?), 01:34 , 06-Май-17, (180) +3   я что-то не пойму - тебе пoнтоваться лопатой, или решить мелкую проблемку - сохр, пох (?), 03:22 , 06-Май-17, (181)   Мне бы в идеале один телефон Мы про обновления ядра У меня, например, VPS есть , IZh. (?), 12:39 , 06-Май-17, (183) +2   Уж лучше Yubikey или аналоги чем это , Аноним (-), 10:34 , 05-Май-17, (140) // Yubikey нативно еще работает на macOS, Windows, Linux при логине , Майор Домушник (?), 11:10 , 05-Май-17, (142) не лучше Во всяком случае, было пару лет назад, когда я его всерьез разглядывал , пох (?), 12:13 , 05-Май-17, (147) // Ох, Ё Дык ты из ЫкспЁрдов А я балбес с тобой как с мужиком разговаривал , _ (??), 17:41 , 05-Май-17, (172) // действительно не в теме - я изучал вопрос в том самом 2014 на деле в 15м, но , нах (?), 20:44 , 05-Май-17, (174) 1,2,3,4,5,6,7,12,16,20,22,30,31,37,41,48,52,58,67,79,114,140

Сообщения

[Сортировка по времени | RSS]

	118. "Проект Kryptonite развивает систему хранения закрытых ключей..."	–2 +/–
	Сообщение от пох (?), 04-Май-17, 20:54
	> Как-то всё наоборот. Я бы предпочёл пароли от телефонных аккаунтов и приложений > хранить бы в некоем своём облаке. Обычному линуксовому компу я доверяю > больше, чем телефону на андроиде. там как бе основная фишка - крипто-дивайс. У тебя в обычном линуксном компе такой есть? (они так-то в принципе, есть, но и купить сложно, за невменяемые деньги, и, обычно, со странными api windows only. И чаще всего - облачным.) > Даже банально потому, что у андроида кодовая база больше. это, простите, что за бред? > Если на компе не иметь открытых портов (ну или по минимуму) если на андроиде не иметь не только открытых портов, но и вообще сетевых интерфейсов (старый nexus без gsm модуля, wifi выключить, тем более что он на старых сам не включается) - это представляется куда более реалистичным, чем ваш компьютер - вы им пользоваться-то вообще для чего-то собираетесь? > , то какие способы проникновения на комп остаются? По > ssh вряд ли. google for ssh remote root, наивный ребенок. > Если только в почтовом клиенте баг или в браузере. или в bash, ага. > А что с андроидными телефонами? Во-первых, банально больше драйверов, так как больше > подсистем, которых нет на компе (GPS, BlueTooth, камера и т.п.) -- ты на какой помойке свой комп-то нашел? У меня из андроидного нет разьве что gps (то есть есть, в столе лежит, но щас выключен) и компаса - очень сомневаюсь, что тебя поломают через gps, когда есть сеть. > больше поверхность атаки. Равно как и больше неизвестных приложений, которые, к под андроид больше приложений чем под обычные x86 операционки? Изумительно. Да под них одних только троянов больше, чем приложений в гуглесторе. > тому же, обожают лезть на свои серверы и зачем ты это понаставил на телефон, и почему наивно думаешь что твой "десктоп" неуязвим для такого же точно? > многие производители телефонов годами систему не обновляют при десятках известных CVE многие производители матплат вообще никогда не собиралиcь "обновлять систему", а там, там...там-тадам: https://www.opennet.ru/opennews/art.shtml?num=46482 > (помните QuadRoots?), в то время как во всех нормальных дистрибутивах обновления > выходят постоянно. затыкая все новые и новые дыры. > И вот на этом вот предлагается хранить ключи?.. если бы только это - это было бы нехудшим предложением. К сожалению, в качестве токена телефон немного неудобен. в общем, своего внутреннего параноика надо, конечно, кормить, но не одними ж глупостями.
	Ответить | Правка | К родителю #114 | Наверх | Cообщить модератору

	146. "Проект Kryptonite развивает систему хранения закрытых ключей..."	+3 +/–
	Сообщение от IZh. (?), 05-Май-17, 11:33
	> там как бе основная фишка - крипто-дивайс. У тебя в обычном линуксном компе такой есть? > (они так-то в принципе, есть, но и купить сложно, за невменяемые деньги, и, обычно, со >странными api windows only. И чаще всего - облачным.) Чем криптодевайс поможет при получении удалённого доступа к устройству, и аутентификации на сервере через тот же криптодевайс? >> Если на компе не иметь открытых портов (ну или по минимуму) > если на андроиде не иметь не только открытых портов, но и вообще сетевых интерфейсов (старый nexus без gsm модуля, wifi выключить, тем более что он на старых сам не включается) - это представляется куда более реалистичным, чем ваш компьютер - вы им пользоваться-то вообще для чего-то собираетесь? Собираюсь. У вас много приложений на компе пользуются сетью, если не считать браузер и почтовый клиент? У вас GIMP подвержен MITM? >> , то какие способы проникновения на комп остаются? По ssh вряд ли. > google for ssh remote root, наивный ребенок. И часто в ssh находились баги, позволяющие реально проникнуть в чужую систему? Именно проникнуть. >> Если только в почтовом клиенте баг или в браузере. > или в bash, ага. Вы в bash скармливаете чужие скрипты? Чтобы поэксплуатировать уязвимость в bash'е нужно сначала как-то в систему проникнуть. Я говорил о браузере и почтовом клиенте как о приложениях, обрабатывающих сырые данные, поступающие из интернета. На обыкновенном компе таких пограничных приложений гораздо меньше, чем на телефоне. На телефоне чуть ли не каждое приложение лезет в сеть на тот или иной сервер. >> А что с андроидными телефонами? Во-первых, банально больше драйверов, так как больше >> подсистем, которых нет на компе (GPS, BlueTooth, камера и т.п.) -- >ты на какой помойке свой комп-то нашел? У меня из андроидного нет разьве что gps (то есть есть, в столе лежит, но щас выключен) и компаса - очень сомневаюсь, что тебя поломают через gps, когда есть сеть. Ну, поехали. Стандартный телефон содержит в себе порядка 5-7 процессоров или других "вычислителей": application CPU, Communication Processor, camera DSP, audio DSP, RPM (resource power manager), TrustZone (не процессор, но отдельная операционная система). И у каждого из них своя прошивка со своими багами. Многие из них являются полноценными процессорами ARM, например RPM. У вас на компе это всё есть? >> больше поверхность атаки. Равно как и больше неизвестных приложений, которые, к > под андроид больше приложений чем под обычные x86 операционки? Изумительно. Да под них одних только троянов больше, чем приложений в гуглесторе. Вы на комп ставите разные левый варез? Особенно, под Linux? В то же время, из Google Play народ ставит весьма сомнительные приложения сотнями. >> тому же, обожают лезть на свои серверы > и зачем ты это понаставил на телефон, и почему наивно думаешь что твой "десктоп" неуязвим для такого же точно? Я не понаставил. Но у меня под Linux'ом больше возможностей добыть исходники приложений, чем в случае с андроидом. >> многие производители телефонов годами систему не обновляют при десятках известных CVE > многие производители матплат вообще никогда не собиралиcь "обновлять систему", а там, там...там-тадам: https://www.opennet.ru/opennews/art.shtml?num=46482 Я не говорю, что на компах абсолютно безопасно, и ломать там нечего. Но, на мой взгляд, безопаснее. Если взять именно обновления операционной системы, то все современные дистрибутивы оперативно выпускают обновления. Да, баги находят, но и исправляют. Это лучше, чем находить и не исправлять. В случае с компом, у вас, как правило, нет проблем, чтобы обновить линукс даже на компе 5-10-летней давности. В то же время с телефонами, срок поддержки девайсов, в лучшем случае, пара лет. Производитель, так уж и быть, самые критичные дыры исправит, и забивает на девайс, фокусируясь на разработке следующего. То есть, если не покупать новый аппарат каждые два года, нельзя быть уверенным, что всё в нём безопасно. К тому же, даже и в эти пару лет, обновления выходят не так оперативно, как в линуксе.
	Ответить | Правка | Наверх | Cообщить модератору

	150. "Проект Kryptonite развивает систему хранения закрытых ключей..."	+/–
	Сообщение от пох (?), 05-Май-17, 13:11
	> Чем криптодевайс поможет при получении удалённого доступа к устройству, и тем что хотя бы работает только в это время. А в случае получения удаленного (или локального) доступа к твоему "десктопу" - ключики тигидам навсегда, и можно подождать пол-годика, пока ты решишь что ничего такого, показалось. Или успеть, наоборот, до того, как ты инвалидируешь их все и везде - это не телефон выключить. > Собираюсь. У вас много приложений на компе пользуются сетью, если не считать ты ужаснешься, сколько их. Практически каждый новый-модный шелл, к примеру, умеет пользоваться сетью (остальные вызывают nc ;-) Рекомендую как-нибудь, просто для самообразования, вместо линукса поставить *bsd, и, вручную, отслеживая экранный вывод, взгромоздить туда все те же пакеты, которыми пользуешься в линуксе. Тебя гарантированно стошнит от _сотен_ автоматических предупреждений "эта программа тащит в себе библиотеку гдетовlocal/чтото.so, которая может и предназначена для работать в качестве network server". > браузер и почтовый клиент? У вас GIMP подвержен MITM? gimp сам по себе, не говоря о десятке входящих в него 3-d party либ, вполне подвержен code exec, тыщи их было уже. После чего прекрасно сам построит mitm-safe туннель куда надо. И таких "гимпов" у тебя- прямо вот начиная с твоего bash. Неудачно распаковал архив - поздравляю, шарик, ты балбес. >> google for ssh remote root, наивный ребенок. > И часто в ssh находились баги, позволяющие реально проникнуть в чужую систему? да, слишком часто для сервиса такого уровня опасности. Один даже лично Ylonen оставил на память (правда, это был целый новый класс уязвимостей, о которых тогда просто не догадались - и это единственная такая ошибка в ssh1, но его-то еще руками писали, а не хвостами) Кстати, на код для roaming я наткнулся, ковыряясь в ssh не очень тухлой bsd - похоже, нам все врали что он полностью удален после последнего инцидента. Нихрена там не удалено. > Вы в bash скармливаете чужие скрипты? в нем достаточно нажать tab невовремя, разглядывая распакованный tar (или даже нераспакованный). http://www.opennet.ru/opennews/art.shtml?num=45997 > Чтобы поэксплуатировать уязвимость в bash'е нужно > сначала как-то в систему проникнуть. я и спрашивал - ты системой-то пользоваться собираешься? А то если нет - то и андроид неплохо защищен в представленном сценарии. Такой вот получается огромный и неудобный токен. Но общедоступный, и, кстати, дешево. > Я говорил о браузере и почтовом клиенте как о приложениях, обрабатывающих сырые данные, ты очень фиговый эксперт. У тебя _все_ приложения внезапно могут обработать "сырые данные" - если ты вообще пользуешься компьютером для работы. > обыкновенном компе таких пограничных приложений гораздо меньше, чем на телефоне. На > телефоне чуть ли не каждое приложение лезет в сеть на тот или иной сервер. на телефоне далеко не каждое приложение куда-то лезет, и тем более не каждое делает это опасным путем, а не через api "получить через гугля денег с лоха", неплохо защищенное от попадания денег лоха мимо кармана гугля. Причем, приложения работают в сандбоксе, и поломав приложение не имеющее штатного доступа к крипто-дивайсу, никуда ты из него особо не дернешься, понадобится еще много чего поломать, последовательно, и быстро, пока хозяин не очухался - см первый абзац. > Ну, поехали. Стандартный телефон содержит в себе порядка 5-7 процессоров или других ох, а сколько всего интересного содержит "стандартный" писюк на baytrail - ты ужаснешься. Причем доступ ко всему этому есть (через апи, конечно) у любого юзера, скажи спасибо всяким Console-kit, ненужноd и прочему хламу для альтернативно-одаренных пользователей, меняющему пермишны на ходу и без спросу или предоставляющему "сервис" в обход них. > являются полноценными процессорами ARM, например RPM. У вас на компе это > всё есть? конечно. Для начала подумай, как это он у тебя вообще включается по нажатию кнопки на usb клавиатуре, или по таймеру, если процессор обесточен, вроде бы? И еще иногда пресловутый AMT, отменяющий даже те слабенькие защиты, которыми нас облагодетельствовал интел. > Вы на комп ставите разные левый варез? Особенно, под Linux? В то > же время, из Google Play народ ставит весьма сомнительные приложения сотнями. очень странный передерг. Я на комп, кстати, ставлю (потому что нелевый либо недоступен, либо не по деньгам, а жить как-то надо). А из гугл плей не ставлю, нахрен не нужно. "народ" понаставит и туда и туда. > Я не понаставил. Но у меня под Linux'ом больше возможностей добыть исходники > приложений, чем в случае с андроидом. от того что ты "добыл исходники", в твоем линуксе не меняется ровным счетом ничего. (если сайт с исходниками (любой из миллиона!) подменили или поломали, то еще ты добыл эксплойт для баша, ага) А проверить эти исходники хотя бы на отсутствие заведомо вредоносных закладок (как будто просто ошибок недостаточно) - не в человеческих силах вообще. > Я не говорю, что на компах абсолютно безопасно, и ломать там нечего. > Но, на мой взгляд, безопаснее. Если взять именно обновления операционной системы, взгляд совершенно неправильный. Поскольку мы мешаем мягкое с теплым. > то все современные дистрибутивы оперативно выпускают обновления. угу, и как там у редхата/центоси с CVE-2016-10229 в 6.x?   оно, если что - allows remote attackers to execute arbitrary code Ах, да - они только-только n_hdlc победили, полугодичной древности. А первые пол-года и сраный китаец обновления выпускает - ко мне вот даже по воздуху прилетело, едва успел остановить. > с компом, у вас, как правило, нет проблем, чтобы обновить линукс > даже на компе 5-10-летней давности. В то же время с телефонами, как правило, есть проблема - если этот линукс не для красоты стоял. > срок поддержки девайсов, в лучшем случае, пара лет. Производитель, так уж в случае с телефонами, никто не пользуется телефоном 10летней давности (кстати, зря - в 2007м были неплохие не-андроедо-based телефоны. Наверное, даже пресловутый гуглеаутентификатор на них работает, если вручную вбить код) Да, надо вовремя избавляться от хлама, к счастью, он стоит $100 а не $1000 как минимально-приличный компьютер. (а если обзаводиться именно как токеном - то и за 2000ре с лейблом мегафон вполне можно - какая разница какую симку в него НЕ вставлять никогда) Суммируя: вы - прекрасный образец человека, которому _нужно_ использовать предложенную технологию. Потому что в технологии разбираетесь из рук вон плохо. А эта штука, в целом, сделана хорошо и правильно. Векторы атаки есть, но они либо для гугля (_вам_ точно не гугля надо бояться) либо их в разы меньше чем в _вашем_ случае с писюком (в силу вашего очень слабого понимания, как и что там работает), и при удачном стечении обстоятельств эта штука вам поможет вовремя нивелировать атаку на писюк (вылезет предложение подтвердить аутентификацию, которую вы не инициировали - вот тут батарейку долой, и идем разбираться, откуда оно).
	Ответить | Правка | Наверх | Cообщить модератору

	173. "Проект Kryptonite развивает систему хранения закрытых ключей..."	+/–
	Сообщение от Аноним (-), 05-Май-17, 18:31
	> угу, и как там у редхата/центоси с CVE-2016-10229 в 6.x?   А что с ним не так? Я серьёзно спрашиваю, может я не в курсе. https://access.redhat.com/security/cve/cve-2016-10229 https://access.redhat.com/solutions/3001781
	Ответить | Правка | Наверх | Cообщить модератору

	177. "Проект Kryptonite развивает систему хранения закрытых ключей..."	–1 +/–
	Сообщение от пох (?), 05-Май-17, 22:27
	> А что с ним не так? Я серьёзно спрашиваю, может я не > https://access.redhat.com/security/cve/cve-2016-10229 04-19 - мгм... баг всплыл в начале апреля (в смысле, о нем уже все узнали, а судя по cve некоторые знали сильно раньше), через пару недель осилили значить... Я к этому времени уже потерял интерес к вопросу, хотя и удивлен, почему это в рассылке тихо. Если "серьезно" - возьми да и приложи патч - если прилепится, будут вопросы к редхату. (мне интересно, с чего это они решили что неуязвимы, когда nvd считает иначе, но не настолько чтоб возиться - у меня, к счастью, нет редхатов в открытых сетях) А пока у меня полный мэйлбокс писем про hdlc и dccp - это уже сколько, пол-года исполнилось или еще рано поздравлять? По hdlc (local root прямо сразу) даже для семерки фикс пришел 12 апреля, что-ли... Original release date: 03/07/2017
	Ответить | Правка | Наверх | Cообщить модератору

	180. "Проект Kryptonite развивает систему хранения закрытых ключей..."	+3 +/–
	Сообщение от IZh. (?), 06-Май-17, 01:34
	А вы -- прекрасный образец задранного самомнения, любящий переходить на личности, и обвинять всех и каждого в незнании. ;-) За 100 баксов будет хлам, а не телефон с поддержкой из Китая или Индии, и соответствующим уровнем сервиса. Хорошие телефоны от более-менее нормальных вендоров стоят дороже. Обновления для телефона выходят часто раз в полгода, и это в лучшем случае. Сравните с частотой выхода обновлений обычного линукса. Уж сколько раз было, что вендоры забывали обновлять телефоны, концентрируясь на новыз моделях. И речь не о десятилетних девайсах (это вы передёргиваете), а о стандартном сроке поддержки, который в большинстве случаев составляет 2, и лишь в редких -- 3 года. Через 3 года девайс превращается в набор дыр. Наличие исходников меняет многое -- можно разобраться и пофиксить самому, в отличие от стоковой прошивки, защищённой от изменения при помощи Secure boot и всяких там root detection daemon'ов. Наличие исходников всегда лучше их отстутствия. Утверждать обратное, как минимум, нелогично. На компе никто не отменял тот же MAC (хоть SELinux, хоть любой другой). Опять-таки, для браузера есть NoScript + AdBlock + Ghostery + Privoxy + ... А у вас на андроиде много браузеров с подобными аддонами? Все приложения "сырые" данные не обрабатывают. Чтобы поэксплуатировать дыру в том же GIMP'е меня нужно сначала как-то убедить скачать картинку с эксплоитом, и зачем-то начать её редактировать. Очень, знаете ли, маловероятная атака. Равно как и ваш пример с tar-архивом. Я, вот, через mc файлы смотреть предпочитаю -- замучаетесь под меня подбирать эксплоиты и социальную инженерию, чтобы я сделал то, что нужно. А программ, получающих данные извне, на PC не так и много. Что касается распаковки левих архивов, мне обычно хватает официальных пакетов. Да, AMT -- зло. Но на телефонах это появилось гораздо раньше, и в большем количестве. Уже были новости про найденные бэкдоры в прошивках модема на самсунгах. Доверенное железо -- это отдельная тема. Но PC я доверяю больше, так как контролирую больше. На PC для особо параноидальных есть возможность зашить в BIOS свой модуль -- полно утилит, позволяющих раздраконить различные популярные BIOS'ы. В случае же с телефоном, secure boot на большинстве девайсов -- и фиг вы что своё зашьёте. Исходников нет. Образы Trust Zone и модема часто зашифрованы (что и не дизассемблируешь), и что там у них в голове происходит, одному производителю известно. Что касается CVE-2016-10229, в нормальных дистрибутивах уже пофикшено. А в моём HTC 10 -- прошлогоднем флагмане --, который далеко не 100 баксов стоил, апдейтов что-то не видно. Ибо компания сейчас сосредоточена на HTC U -- следующем флагмане. И некогда им думать о каких-то CVE. И это HTC -- не последняя фирма. (И уж если говорить о конкретно данной CVE, то, чтобы её поэксплуатировать, должно сойтись несколько условий: 1) Приложение, использующее MSG_PEEK (относительно редкий вариант -- все тупо мониторят сокет, и вычитывают, что пришло) 2) Буфер должен быть меньшего размера. Вы так часто пишете? Соответственно, чтобы проникнуть таким способом на девайс, ещё нужно найти приложение, в котором UDP используется таким образом.)
	Ответить | Правка | К родителю #150 | Наверх | Cообщить модератору

	181. "Проект Kryptonite развивает систему хранения закрытых ключей..."	+/–
	Сообщение от пох (?), 06-Май-17, 03:22
	> За 100 баксов будет хлам, а не телефон с поддержкой из Китая я что-то не пойму - тебе пoнтоваться лопатой, или решить мелкую проблемку - сохранить ключи от утекания? > или Индии, и соответствующим уровнем сервиса. то есть все же - понтoваться? > Хорошие телефоны от более-менее нормальных для озвученной задачи не нужен хороший. Нужен минимально-китайский - типа вон валяющегося у меня на столе (он, на самом деле, overpriced - где-то в столе лежит "мегафон", в девичестве m3sa - стоил аж тыщу рублей, новый, да, в мегафоне. Все, кроме tpm модуля, там есть. В том что за сто есть и модуль (хз как понять, умеет ли он им пользоваться) Апдейты, что характерно, первые пару лет тоже были, хотя и не по воздуху, четверка, кажись, так вообще не умела. Дальше ему полагалось быть либо разбитым, либо просто так выкинутым. Что, в целом, и слуцилась. > Обновления для телефона выходят часто раз в полгода, и это в лучшем для пресловутого мегафона они выходили раз в пару месяцев. > случае. Сравните с частотой выхода обновлений обычного линукса. мы про какие сейчас "обновления" - обоев? С обновлениями ядра я демонстрировал, хреново там все (и это редхат, который кормит своих кернельных разработчиков, а не дебиан какой, в котором ядро от vanilla неотличимо). bash можете не обновлять, андроеду он не нужен. хром обновляется гуглем (и лиса тоже гуглем), поинтенсивней чем в "обычном линуксе", где надо ждать пока майнтейнеры почешутся (или ломать нахрен пакетную систему). Ну, это если с телефона с ключехранилищем вообще по сети шариться, а не держать его в основном выключенным. > Уж сколько раз было, что вендоры забывали обновлять телефоны, концентрируясь на новыз > моделях. И речь не о десятилетних девайсах (это вы передёргиваете), а это гражданин зачем-то озвучил как зримый для всех благий пример. Я на десятилетний компьютер тоже не всякий линукс стану обновлять (эмм...собственно, какого года у меня этот - 13го, наверное? Обновлению не подлежит, совсем. Сломается gpu, необратимо.) > о стандартном сроке поддержки, который в большинстве случаев составляет 2, и > лишь в редких -- 3 года. Через 3 года девайс превращается повторяю: дивайс за $100 надлежит за эти два (даже не три) разбить, потерять или просто выкинуть и новый купить. С компьютером 2013го, что характерно, этого не сделаешь - и не 100, и, в общем, жалко. > Наличие исходников меняет многое -- можно разобраться и пофиксить самому, в отличие эмм, ну как обычно - много сам-то пофиксил? А вот упомянутый товарищ? > от стоковой прошивки, защищённой от изменения при помощи Secure boot и > всяких там root detection daemon'ов. Наличие исходников всегда лучше их отстутствия. как минимум - наличие исходников упрощает хакеру поиск дыр. > На компе никто не отменял тот же MAC (хоть SELinux, хоть любой покажите мне того, кто им пользуется на личном компьютере, хоть домашнем, хоть еще каком? targeted не показывайте - или перечислите реально используемые _вами_ на таком компьютере программы, для которых есть target. А то ведь окажется, что вы надежно защищены от чего-нибудь типа rsyslog. Вот всяких install.html и README.md начинающихся с "первым делом отключите" я начитался тыщи. Но это про серверный софт, там есть таргеты. > другой). Опять-таки, для браузера есть NoScript + AdBlock + Ghostery + > Privoxy + ... А у вас на андроиде много браузеров с и вы все это вот, конечно же, хотя бы бегло глазами пробежали, не добавляет ли оно вам больше проблем, чем решило? (особенно вот ghostery, учитывая реальный бизнес этой конторы) > подобными аддонами? не переживайте, у вас на десктопе тоже скоро не будет. Что там из них совместимо с модным-новым-гугловым типом расширений? > Все приложения "сырые" данные не обрабатывают. Чтобы поэксплуатировать дыру в том же > GIMP'е меня нужно сначала как-то убедить скачать картинку с эксплоитом, и > зачем-то начать её редактировать. то есть я и говорю - компьютером вы не пользуетесь. > Очень, знаете ли, маловероятная атака. если гимпом пользоваться по назначению - вполне вероятная. Если им не пользоваться вовсе, то, конечно, нет. > Равно как и ваш пример с tar-архивом. Я, вот, через mc файлы смотреть в нем уже встроенный tar-смотрельщик, а не экстеншн, запускающий тот же tar? ctrl-o, tab [выполняется $SHELL в pty] - для вас точно-точно в принципе невыполняемая комбинация? > предпочитаю -- замучаетесь под меня подбирать эксплоиты и социальную инженерию, чтобы тут и подбирать не нужно, mc - насквозь гнилой софт. > я сделал то, что нужно. А программ, получающих данные извне, на > PC не так и много. _все_ программы на моем pc - получают "данные извне". Я не создаю данных, кроме вот писанины на сайте, которая после submit тоже превращается в "данные извне". > Что касается распаковки левих архивов, мне обычно хватает официальных пакетов. кто сказал, что официальный репо не хакнут/автор не поехал крышей/не получил предложение от которого нельзя отказаться? Кстати, что вы только что бормотали про исходники - вы их тоже исключительно в официальных пакетах изучать собрались? > Да, AMT -- зло. Но на телефонах это появилось гораздо раньше, и да, зло - стоит, сссскотина, денег неприличных. > в большем количестве. Уже были новости про найденные бэкдоры в прошивках > модема на самсунгах. где имение, а где вода? Опять же - вы играете в опасные игры с ФБР и ФСБ? Чтобы тот бэкдор использовать, надо сильно дружить с самсунгом, и иметь оборудование, вряд ли доступное частному лицу в нашей стране. И да, уже были (и гораздо раньше истории с самсунгом) новости про скрытое ядро vm прячущееся в BMC китайского сервера (а других у вас нет) - хз зачем и что оно там делало. > я доверяю больше, так как контролирую больше. На PC для особо да ничего вы не контролируете, это вам кажется только. > параноидальных есть возможность зашить в BIOS свой модуль -- полно утилит, > позволяющих раздраконить различные популярные BIOS'ы. популярные биосы десятилетней давности были блобом этак на пару пакованных мегабайт, успехов в дизассемблировании. Современный вы ни разобрать, ни понять в нем ничего вообще не сможете, благодаря новым модным интеловским технологиям, а размером он уже в десятки. > Что касается CVE-2016-10229, в нормальных дистрибутивах уже пофикшено. А в моём HTC > 10 -- прошлогоднем флагмане --, который далеко не 100 баксов стоил, видите как плохо покупать дорогостоящие пoнты подорого? ;-) > это HTC -- не последняя фирма. китаец как китаец. > (И уж если говорить о конкретно данной CVE, то, чтобы её поэксплуатировать, > должно сойтись несколько условий: я вообще не знаю, что за хрень может штатно ТАК работать (хотя для кого-то ж этот апи "понюхать пакет и запихать обратно в дырку откуда взяли" придумали), но - а кто сказал что "хрень" это делает не намеренно - и ее вы же сами и запустили? > Вы так часто пишете? каждый раз как пишу троянца, ага. > нужно найти приложение, в котором UDP используется таким образом.) оно само вас найдет, не переживайте. до кучи - наберите netstat -ua и задумайтесь о грустном (я вот задумался. Нет, это нельзя выбросить, и верифицировать тоже. И оно кривое, это я хорошо знаю)
	Ответить | Правка | Наверх | Cообщить модератору

	183. "Проект Kryptonite развивает систему хранения закрытых ключей..."	+2 +/–
	Сообщение от IZh. (?), 06-Май-17, 12:39
	> я что-то не пойму - тебе пoнтоваться лопатой, или решить мелкую проблемку - сохранить ключи от утекания? Мне бы в идеале один телефон. > мы про какие сейчас "обновления" - обоев? С обновлениями ядра я демонстрировал, хреново там все (и это редхат, который кормит своих кернельных разработчиков, а не дебиан какой, в котором ядро от vanilla неотличимо). bash можете не обновлять, андроеду он не нужен. хром обновляется гуглем (и лиса тоже гуглем), поинтенсивней чем в "обычном линуксе", где надо ждать пока майнтейнеры почешутся (или ломать нахрен пакетную систему). Ну, это если с телефона с ключехранилищем вообще по сети шариться, а не держать его в основном выключенным. Мы про обновления ядра. У меня, например, VPS есть на OpenSUSE, и обновления ядра прилетают в худшем случае раз в месяц-два. И всё остальное фиксится весьма оперативно, в отличие от устройсв Sony, HTC и др., коими доводилось пользоваться. > это гражданин зачем-то озвучил как зримый для всех благий пример. Я на десятилетний компьютер тоже не всякий линукс стану обновлять (эмм...собственно, какого года у меня этот - 13го, наверное? Обновлению не подлежит, совсем. Сломается gpu, необратимо.) 13-го? Если бы это был телефон, вы бы уже три года без обновлений жили. >> Наличие исходников меняет многое -- можно разобраться и пофиксить самому, в отличие > эмм, ну как обычно - много сам-то пофиксил? А вот упомянутый товарищ? Ну, допустим, некоторое количество моих патчей давно в апстриме, включая патчи на ядро линукса (при этом баги нашёл сам). А так, да, чайник-чайником. > как минимум - наличие исходников упрощает хакеру поиск дыр. Или поисх бэкдоров и аудит безопасности. >> другой). Опять-таки, для браузера есть NoScript + AdBlock + Ghostery + >> Privoxy + ... А у вас на андроиде много браузеров с > и вы все это вот, конечно же, хотя бы бегло глазами пробежали, не добавляет ли оно вам больше проблем, чем решило? (особенно вот ghostery, учитывая реальный бизнес этой конторы) Я говорю про то, чем пользуюсь, а не рассуждаю абстрактно. > не переживайте, у вас на десктопе тоже скоро не будет. Что там из них совместимо с модным-новым-гугловым типом расширений? У меня SeaMonkey, и я всем доволен. ;-) Ближайшую пару лет можно точно не беспокоиться. >> Что касается распаковки левих архивов, мне обычно хватает официальных пакетов. > кто сказал, что официальный репо не хакнут/автор не поехал крышей/не получил предложение от которого нельзя отказаться? Кстати, что вы только что бормотали про исходники - вы их тоже исключительно в официальных пакетах изучать собрались? Верификация соответствия исходников бинарникам -- отдельная тема. Я говорил про разумный уровень недоверия. В первую очередь, я имел в виду атаки извне. А то, знаете ли, можно дойти до того, что начать выращивать еду в собственном огороде. А то вдруг в супермаркете кто-нибудь отраву подсыплет? Там-то у еды цифровой подписи нет. Да, если придёт официальный апдейт с официальным бэкдором, то будет всё плохо. Но в этом мире приходится кому-то доверять. >> параноидальных есть возможность зашить в BIOS свой модуль -- полно утилит, позволяющих раздраконить различные популярные BIOS'ы. > популярные биосы десятилетней давности были блобом этак на пару пакованных мегабайт, успехов в дизассемблировании. Современный вы ни разобрать, ни понять в нем ничего вообще не сможете, благодаря новым модным интеловским технологиям, а размером он уже в десятки. Полно разных утилит на биос-моддерских форумах. Там народ прекрасно раздербанивает их на модули, и, например, апгрейдит драйверы на старых материнках или добавляет поддержку RAID'а туда, куда официальный производитель добавлять не стал. Например, http://www.win-raid.com/t18f16-Guide-Manual-AMI-UEFI-BIOS-Mo... >> Что касается CVE-2016-10229, в нормальных дистрибутивах уже пофикшено. А в моём HTC >> 10 -- прошлогоднем флагмане --, который далеко не 100 баксов стоил, > видите как плохо покупать дорогостоящие пoнты подорого? ;-) Девайс, в целом, отлично выполняет свои задачи. >> (И уж если говорить о конкретно данной CVE, то, чтобы её поэксплуатировать, должно сойтись несколько условий: > я вообще не знаю, что за хрень может штатно ТАК работать (хотя для кого-то ж этот апи "понюхать пакет и запихать обратно в дырку откуда взяли" придумали), но - а кто сказал что "хрень" это делает не намеренно - и ее вы же сами и запустили? Ну так и я о том. Вам сначала надо установить такое приложение, а потом ещё и получить такой пакет из сети. У меня, вот, на компе фаервол стоит. > до кучи - наберите netstat -ua и задумайтесь о грустном (я вот задумался. Нет, это нельзя выбросить, и верифицировать тоже. И оно кривое, это я хорошо знаю) Задумывался. iptables -- мой ответ. Плюс самописный детектор атак, который анализирует логи, и добавляет адреса в чёрный список. Первый скан портов или неверный пароль по ssh или попытка обратиться в каталог типа /admin/ на сайте -- бан на сутки, второй -- на две недели, третий и последующий -- на три месяца. И ежедневный отчёт на почту -- сколько забанено всего, и сколько новеньких сегодня.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема