forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Стеганографический веб-сервис DarkJPEG, opennews (?), 18-Июл-13, (0) [смотреть все] +1

Классная штука, весьма интересно , хрюкотающий зелюк (?), 23:37 , 18-Июл-13, (1) +4 //

ага с первого раза прочитал по Фрейду Порнографический веб-сервис , ксенофоб (?), 02:25 , 19-Июл-13, (49) –14 //

вот ты лох, anonymous (??), 21:20 , 19-Июл-13, (121)

В рамках проекта DarkJPEG разработан стеганографический веб-сервис нового поколе, Яйцассыром (?), 15:50 , 19-Июл-13, (96) +2
Весьма интересно что помешает злоумышленнику который MITM и подделал HTTPS серт, Аноним (-), 17:27 , 19-Июл-13, (100) +1 //

ну тогда вписать туда зашифрованную информацию например, OTP , gni (ok), 19:59 , 19-Июл-13, (115) //

Туда - это куда В общем случае проблема в том что вот так сразу у вас нет никак, Аноним (-), 05:12 , 20-Июл-13, (123)

Ну тут-то веб-сервис нафига Без веба щас немодно , Аноним (-), 23:38 , 18-Июл-13, (2) +3 //

мало то что web-сервис, тыг ещё и на сайте всё анально закомпилировано внутрь би, Xasd (ok), 00:02 , 19-Июл-13, (5) –5 //

Только не говори, что не знаешь, что такое минифицированный JS и то, что в таких, Crazy Alex (ok), 00:26 , 19-Июл-13, (8) +7 //

знаю я или не знаю -- это не отменяет факта того что на сайте бинарный блоб вмес, Xasd (ok), 00:31 , 19-Июл-13, (12) –13

https github com darkjpeg darkjpeg github io tree master sourceМинимизировать , Ушастик (?), 01:01 , 19-Июл-13, (19) +1

где по этой ссылке -- можно узнать о том что этот исходный код соответствует на , Xasd (ok), 01:06 , 19-Июл-13, (21) –8

Обычно несколько js обьединяют в один, а заобдно и минимизируют Простая минимиз, Ушастик (?), 01:11 , 19-Июл-13, (23) –1

что за чушь быстрее парсится -- в 4 раза -- от того что убрали табуляцию -Dм, Xasd (ok), 01:14 , 19-Июл-13, (25)

Не поверишь, но ускоряется , Ушастик (?), 01:18 , 19-Июл-13, (27)

Сори, сылка пропала Вот, к примеру https developers google com speed docs be, Ушастик (?), 01:20 , 19-Июл-13, (28) –1

ладно, уговорил , не буду ругаться на вас приприетарщиков , Xasd (ok), 01:25 , 19-Июл-13, (29) –11

не поверю точнее, не поверю в то, что это имеет какое-либо практическое значени, arisu (ok), 20:03 , 19-Июл-13, (116)

Единственное что понятно из этого кода - что вы gay os используете Остальное ма, Аноним (-), 17:30 , 19-Июл-13, (101) –1

Как ни странно скрипт для сборки называется Makefile https github com darkjp, Ушастик (?), 01:12 , 19-Июл-13, (24)

да, скрипт естьно нафиг было превращать в бинарный блоб -- не ясно впрочем -- эт, Xasd (ok), 01:15 , 19-Июл-13, (26) –2

Это не бинарный блоб, а обфусцированный JS-файл , Аноним (-), 01:45 , 19-Июл-13, (38) +2

окей полегчало на душе sarcasm -Dвпрочем уже пофиг, так как --- http www o, Xasd (ok), 01:46 , 19-Июл-13, (41) +1

Там несколько режимов В режиме steg все работает , Ушастик (?), 02:27 , 19-Июл-13, (50)

да спасибо уже прочитал эту историю скандалы интриги расследования, Сантаба, Xasd (ok), 02:50 , 19-Июл-13, (56) –1

автор репортин индля параноиков клонируете репозиторий, запускаете make и делает, yndi (?), 02:21 , 19-Июл-13, (47) +1

ЩИТО блин я даже готов поверить что на пару милисекунд убыстрится парсинг js, Xasd (ok), 02:45 , 19-Июл-13, (55) +1

сами себе и ответили, молодец, yndi (?), 02:55 , 19-Июл-13, (57)
Торговцев оружием, наркотиками, людьми, органами, мошенников, проф убийц, детск, NikolayV81 (?), 09:24 , 19-Июл-13, (77) –1

checkcheckтут собираем ачивки на право пользоваться криптожипегами , inferrna (ok), 10:16 , 19-Июл-13, (81)

Это было в общем виде про системы, позволяющие условно незаметно передавать ск, NikolayV81 (?), 10:25 , 19-Июл-13, (83)

А ножиком вообще можно человека зарезать Давайте по этому поводу продажу кухонн, Аноним (-), 17:33 , 19-Июл-13, (102) +2
i Инструменты, подходящие для изменников 8212 единственное, что подойдет для, ызусефещк (?), 13:47 , 22-Июл-13, (158)

я позвонил уже скоро приедут завами, радостных дней в желтом доме , Аноним (-), 01:45 , 19-Июл-13, (39)

ха, забавно у меня в комнате -- стены жёлтого цвета ремонт не делал, уже такую, Xasd (ok), 01:50 , 19-Июл-13, (42)

http jsbeautifier org , crigon (ok), 12:43 , 19-Июл-13, (86)

Школьник узнал про проприетарность и теперь размахивает флагом Блин, сколько ва, SubGun (ok), 10:20 , 19-Июл-13, (82) +3
Непонятно, за что так много минусов поставили Xasd Защита информации 8212 эт, askh (ok), 01:54 , 20-Июл-13, (122) –1 //

по привычке, видимо он обычно такой ядрёный бред несёт 8230 , arisu (ok), 12:33 , 20-Июл-13, (131) +1

Актуально, учитывая, что наши господа-чиновники учатся осваивать интернет , Аноным (ok), 23:39 , 18-Июл-13, (3) +1 //

Угу, бюджет освоили надо искать новые источники дохода , Аноним (-), 07:57 , 22-Июл-13, (151) +1

День рождения 6 марта 1991 г наверно молодёжь ещё ни чего не знает про ути, Xasd (ok), 23:55 , 18-Июл-13, (4) +2 //

Ну, на вид здесь побольше накрутили всё же, Crazy Alex (ok), 00:27 , 19-Июл-13, (10)
Последний релиз 0 5 1 - 2003 года , Аноним (-), 00:28 , 19-Июл-13, (11) //

программа нормально работает пользовался не раз последний раз пользовался в эт, Xasd (ok), 00:33 , 19-Июл-13, (13) +2
да, модный metro-интерфейс не дописывают однозначно, фигня , arisu (ok), 20:16 , 19-Июл-13, (117) //

Зато есть надежда что писали не школьники с хтмл5 головного мозга и хотя-бы особ, Аноним (-), 05:16 , 20-Июл-13, (124)

всё равно фигня тут вон где-то жаловались, что неюзабельно СТРАШНАЯ КОНСОЛЬ же, arisu (ok), 12:24 , 20-Июл-13, (130)

Консоль может и страшная, зато там есть надежда что писали это люди с действующи, Аноним (-), 14:49 , 20-Июл-13, (138)

автор репортин инутилит-то много, юзабилити на нуле, да и потом не очень-то удоб, yndi (?), 02:23 , 19-Июл-13, (48) +1 //

куда тоскать - они же в репозитории, их не надо тоскать или вы на какой, Xasd (ok), 02:56 , 19-Июл-13, (58)
Зато гламурный веб сервис который b делает вид b что может помочь в решении п, Аноним (-), 12:34 , 20-Июл-13, (132) //

да оставь их в покое новое поколение модное и стильное тупое, правда но модно, arisu (ok), 12:45 , 20-Июл-13, (136)

Если б они других своей тyпостью не подставляли - никаких претензий бы к ним не , Аноним (-), 14:38 , 20-Июл-13, (137)

Чувак, вот ты с такой датой рождения и есть молодежь , Аноним (-), 17:35 , 19-Июл-13, (103)

эм кагбы уже 12 лет в строю или вы думали что фотографии с котиками просто , винке (?), 00:22 , 19-Июл-13, (6) +3 //

ну, ты ещё про куклочан тут начни рассказывать 8230 , arisu (ok), 20:17 , 19-Июл-13, (118) //

Ты не поверишь , Аноним (-), 19:31 , 31-Июл-13, (167)

А ничё что некоторые, если не большинство, хостингов режут картинки, оптимизят,и, pavlinux (ok), 00:59 , 19-Июл-13, (17) +1 //

незнаю как DarkJPEG , но Steghide чихала на EXIF , Xasd (ok), 01:01 , 19-Июл-13, (20) //

jpegoptim v70jl72bw5tutyb9 jpg v70jl72bw5tutyb9 jpg 264x350 24bit Exif JFI, pavlinux (ok), 01:08 , 19-Июл-13, (22) +1 //

тыж его в 2 раза уменьшил -D, Xasd (ok), 01:28 , 19-Июл-13, (30) –1

Оно не сжимает, оно мусор выкидывает, типа копирайтов, GPS, Exif в общем --, pavlinux (ok), 01:29 , 19-Июл-13, (32) +3

а это ты щаз над какой стеганографической программой ставишь опыты , Xasd (ok), 01:33 , 19-Июл-13, (34)

Та что в этой новости , pavlinux (ok), 01:33 , 19-Июл-13, (35)

ясно выходит что это всё даже и не стеганография, а так себе - потомучто, Xasd (ok), 01:37 , 19-Июл-13, (36)

PNG на твое счастье - сжатие без потерь Это такой юзерфрендли вариант bmp zip , Аноним (-), 16:45 , 20-Июл-13, (145) +2

что-то OpenNET стал совсем забавным в одной новости -- подсовывают яндекс, Xasd (ok), 01:44 , 19-Июл-13, (37)

Молодёжжжжь Амбиций много, учиться не хотят Но доделать можно, засрать JPE, pavlinux (ok), 01:46 , 19-Июл-13, (40)

шумит настолько мало и настолько незаметно -- что даже байты не меняются а пр, Xasd (ok), 01:53 , 19-Июл-13, (43) +1
Кажется, кто-то открыл для себя rarjpeg Сперва надеялся увидеть хитрые алгорит, sKotenok (?), 01:56 , 19-Июл-13, (44) +1
автор репортин иня крайне рекомендую выработать привычку читать readme notes пер, yndi (?), 02:28 , 19-Июл-13, (51)

прошу прощения, неверно процитировал, шёл ответ на, yndi (?), 02:29 , 19-Июл-13, (52)
Я за бан , Аноним (-), 02:34 , 19-Июл-13, (53)
автор репортин инда, забыл добавить, в качестве стеганографического метода из мн, yndi (?), 02:40 , 19-Июл-13, (54)
Ну так не делай join по дефлоту и ваще выкинь его нафиг , pavlinux (ok), 03:14 , 19-Июл-13, (59)

как вариант можно, да выкидывать глупо, т к много профита потеряется, начиная , yndi (?), 04:01 , 19-Июл-13, (61)

А зачем она нужна Чтобы подставлять поизящнее Более-менее нормальные системы а, Аноним (-), 14:53 , 20-Июл-13, (139) +1

чтобы спалить левую активность всем заинтересованным Как вы понимаете, сколь, Аноним (-), 17:38 , 19-Июл-13, (105)

идёт редирект с darkjpeg github io на browser-update org, Аноним (-), 02:00 , 19-Июл-13, (45) //

а ты споротивляйся и ни в коем случае не обновляй браузер , Xasd (ok), 02:17 , 19-Июл-13, (46) +1 //

Веб-сервис и конфиденциальность - само по себе взаимоисключающие параграфы, , User (??), 07:28 , 19-Июл-13, (64) +2 //

почему же, всё конфиденциально, т к ваши данные не передаются ни на один серве, yndi (?), 08:13 , 19-Июл-13, (70)

Верь мне Здесь не церковь, здесь не обманут Ц и прочее blah-blah-blah Код н, User (??), 08:39 , 19-Июл-13, (73) +1

можете отслеживать по коммитам изменение скриптов в директории build, на клиент , yndi (?), 09:06 , 19-Июл-13, (74)

Ну я и говорю - стеганография-на-доверии С оверхедом из браузера и веб-сервера, User (??), 11:47 , 19-Июл-13, (85) +1

Да пользуйся ты своим steghide и молчи в тряпочку Если тебе что-то не нужно, то, angra (ok), 15:17 , 19-Июл-13, (93) –2

А толку то с https, если кто угодно из ауторитей может выписать фэйковый сертифи, Аноним (-), 17:45 , 19-Июл-13, (107) +1

Ох уж эти титеретики Ты всерьез думаешь, что для этого дела будет покупаться се, angra (ok), 19:08 , 19-Июл-13, (111)

Ох уж эти пальцатые парни В отличие от тебя я довольно хорошо изучил описание а, Аноним (-), 07:44 , 20-Июл-13, (127) –1

да зачем ломать-то trustwave вот вполне легально и открыто сертификатами для mi, arisu (ok), 12:41 , 20-Июл-13, (133)
Ну так я о чем Кто открыто барыжит, кого просто хакнули внаглую Их там такая т, Аноним (-), 14:55 , 20-Июл-13, (140)
вот я поудалял и не пользуюсь, например защиты он не гарантирует, а вот тормоза, arisu (ok), 04:46 , 21-Июл-13, (147)
По крайней мере более-менее срывает потуги классификации траффа, усложняет монит, Аноним (-), 08:37 , 22-Июл-13, (152)
а это меня пока не волнует и это тоже на здоровье я ещё не сошёл с ума, чтобы , arisu (ok), 08:41 , 22-Июл-13, (154)

Да я пользоваться-то не заставляю Веб-сервер не нужен, всё прекрасно работает , yndi (?), 18:27 , 19-Июл-13, (110) +1

Вот только вебня с локальными файлами работать толком не может, что делает все э, Аноним (-), 07:31 , 20-Июл-13, (126) –1

Ложь , yndi (?), 15:34 , 22-Июл-13, (159) +1

Зато втираете очки о том что сие надежно, когда это по факту весьма хакабельно и, Аноним (-), 07:45 , 20-Июл-13, (128)

э 8230 где , arisu (ok), 12:42 , 20-Июл-13, (134)

Гарантия полной конфиденциальности c новость Ага, автор мамой клянется что, Аноним (-), 14:57 , 20-Июл-13, (141)

а, собственно, она есть в виде исходников и возможности запустить на локалхосте, arisu (ok), 04:47 , 21-Июл-13, (148)
Нет реалистичного сценария доступа юзера к локалхосту с проверкой что локалхост , Аноним (-), 08:39 , 22-Июл-13, (153)
э 8230 лолщито ты не контролируешь локалхост тогда у меня для тебя ОЧЕНЬ пло, arisu (ok), 08:43 , 22-Июл-13, (155)

Вот только гарантий что скрипт отгруженный сервером - именно тот за кого себя вы, Аноним (-), 17:43 , 19-Июл-13, (106)

Да, всё, что вы говорите 8212 справедливо, я с вами согласен Разумеется, есл, yndi (?), 19:15 , 19-Июл-13, (112)

А не требуется никакого взлома гитхаба Атакующему достаточно просто завернуть, Аноним (-), 07:03 , 20-Июл-13, (125) +1

Когда весь мир против нас, и каждый узел 8212 это MitM, хреново жить, согласе, yndi (?), 15:38 , 22-Июл-13, (160)

А для несведующих, как это юзать , Аноним (-), 03:28 , 19-Июл-13, (60) //

https github com darkjpeg darkjpeg github io blob master NOTES md, yndi (?), 04:02 , 19-Июл-13, (62)

Не могу зайти на сайт программы Открывается Browser-Update orgИнициатива веб-ди, Аноним (-), 07:15 , 19-Июл-13, (63) –1 //

всё верно, не могли сервис использует для работы большое количество фич html5, , yndi (?), 08:06 , 19-Июл-13, (67) //

Уважаю, проверка по поддерживаемым фичам, а не по user-agent, это правильный мет, angra (ok), 15:20 , 19-Июл-13, (94) +1

Это сервис для таких шпионов, как Сноуден , anonymous (??), 07:50 , 19-Июл-13, (65) //

Торговцев оружием, наркотиками, людьми, органами, мошенников, проф убийц, детск, NikolayV81 (?), 09:33 , 19-Июл-13, (79) –2 //

Угу И видеокамеры тоже придумали, чтобы торговцы детской порнографией могли её , Аноним (-), 10:55 , 19-Июл-13, (84) +2 //

Расскажите для каких легальных целей вам может понадобиться так шифровать сообще, NikolayV81 (?), 13:57 , 19-Июл-13, (88)

У американцев в конституции записано право на восстание народа против охамевших , Аноним (-), 14:09 , 19-Июл-13, (89)
Для того, чтобы понизить вероятность перехвата сообщения злоумышленником Ваш К , Аноним (-), 14:21 , 19-Июл-13, (91)

Детский сад, NikolayV81 (?), 14:23 , 19-Июл-13, (92) –1

Ну что тут сказать Если даже детский сад превосходит тебя в знаниях математики,, Аноним (-), 17:36 , 19-Июл-13, (104)

ну вот, а до этого ты нормальным казался 8230 придётся таки переделывать скрипт, arisu (ok), 20:23 , 19-Июл-13, (119)

А как раскодировать , VecH (ok), 07:55 , 19-Июл-13, (66) //

на стрелочку с encode кликнуть 8212 она переключает режимы, btw все стрелоч, yndi (?), 08:08 , 19-Июл-13, (68) //

В общем мсье придумал знатный способ для нубов хорошенько залететь Пользуйтесь,, Аноним (-), 14:58 , 20-Июл-13, (142)

Смысл именно веб-сервиса Я у мамы хакир Или просто знакомство с понятиями стег, Наивный чукотский юноша (?), 08:11 , 19-Июл-13, (69) //

смысл в наличии юзабельного здесь и сейчас сервиса для каких уж целей он буде, yndi (?), 08:23 , 19-Июл-13, (71) //

Ну если только так А планируется оффлайн-приложение с аналогичным интерфейсом , Наивный чукотский юноша (?), 08:32 , 19-Июл-13, (72) //

Клонируете репозиторий и открываете index html браузером без всяких апачей и пр, yndi (?), 09:08 , 19-Июл-13, (75)

да, единственное тот же хром нужно будет с 8211 allow-file-access-from-files , yndi (?), 09:17 , 19-Июл-13, (76)

ну блин опять и даже здесь про проприетарь речь завели, Xasd (ok), 15:57 , 19-Июл-13, (97)

хромиум тоже ок, yndi (?), 19:30 , 19-Июл-13, (113)

Ага, значит в консольной программе это юзабилити ни к черту, а как браузер так п, Аноним (-), 15:08 , 20-Июл-13, (144)

steghideНе не слышал Будем делать веб сервис и заодно хранить все ваши данные у, Аноним (-), 09:28 , 19-Июл-13, (78) //

осильте уже описание проекта почитать, я уж не говорю про исходники, чтобы убеди, yndi (?), 10:01 , 19-Июл-13, (80) +1 //

ну лично меня -- steghide не заставлял забавлятсья с консолью поставил из р, Xasd (ok), 17:46 , 19-Июл-13, (108) //

а кто про это говорил , yndi (?), 19:57 , 19-Июл-13, (114)

Для СШАшки, шоле У них такое процветает , Тот_Самый_Анонимус (?), 13:22 , 19-Июл-13, (87)
ага и вебсайт с анальным зондом включи жабскипт, включи кукис, отключи файрвол,, Аноним (-), 14:14 , 19-Июл-13, (90)
шикарно теперь на фотохостинге в картинку могу зашивать айди юзера без всяких СУ, Аноним (-), 15:37 , 19-Июл-13, (95) //

Зачем , NikolayV81 (?), 16:28 , 19-Июл-13, (99) //

удаление фоток, контоль прав доступа на файлыу меня nginx php, Аноним (-), 17:49 , 19-Июл-13, (109)

breaking news слоупок увидел слово 171 стеганография 187 , arisu (ok), 20:44 , 19-Июл-13, (120) –1

jpeg lsb и dct lsbhttp computerresearch org stpr index php gjcst article downl, Аноним (-), 16:18 , 19-Июл-13, (98) +1
И что С этим сервисом криптография сразу станет легальной Возьмут очередную ка, Kodir (ok), 12:18 , 20-Июл-13, (129) //

а как докажут-то, а, дубина , arisu (ok), 12:44 , 20-Июл-13, (135)
На то и стеганография чтобы недоказуемой быть А то что автор конкретно этой под, Аноним (-), 15:01 , 20-Июл-13, (143)

вот чего на автора накинулись-то, а ну, сделал человек всяко лучше, чем бухать, arisu (ok), 04:43 , 21-Июл-13, (146) //

Накинулись потому, что автор делает велосипед с квадратными колесами Но гламурн, Аноним (-), 19:07 , 21-Июл-13, (149) //

ну и что ну, делает что плохого-то , arisu (ok), 19:41 , 21-Июл-13, (150) //

Плохо - что свойства сильно приукрашены без каких либо на то оснований Обрати в, Аноним (-), 08:55 , 22-Июл-13, (156)

и всё ещё не вижу 171 приукраса 187 ты таки анализировал исходники и нашёл , arisu (ok), 08:59 , 22-Июл-13, (157)
Чувак, если весь мир встанет против тебя 8212 не используй, пожалуйста, мой с, yndi (?), 15:39 , 22-Июл-13, (161)

Ребята, я набросал классы для стеганографии по методу Коха и Жао Рид-Соломон , isteg (?), 09:13 , 23-Июл-13, (162) //

дык выкладывай куда-нибудь исходники, а там авось народ придёт , arisu (ok), 09:22 , 23-Июл-13, (163)
Картинка 750х750 для одного смешного килобайта данных Лол , Аноним (-), 18:38 , 23-Июл-13, (164) //

Как-то обидно получилось, поразился лишь вместимости А так выкладывай, конечно,, Аноним (-), 18:41 , 23-Июл-13, (165) //

алгоритм такой, зато устойчиво к пережатию, тут скорее для хранения небольших те, isteg (?), 09:47 , 24-Июл-13, (166)

Нужно Выкладывай же , Аноним (-), 19:45 , 31-Июл-13, (168)

Сообщения [Сортировка по времени | RSS]

46. "Стеганографический веб-сервис DarkJPEG" +1 +/–

Сообщение от Xasd (ok), 19-Июл-13, 02:17

а ты споротивляйся и ни в коем случае не обновляй браузер! :)

Ответить | Правка | Наверх | Cообщить модератору

64. "Стеганографический веб-сервис DarkJPEG" +2 +/–

Сообщение от User (??), 19-Июл-13, 07:28

"Веб-сервис" и "конфиденциальность" - само по себе взаимоисключающие параграфы, а тут еще и требование "обновить браузер"... Оно хоть "провести антивирусную проверку" путем загрузки "супер-антивируса" при помощи SMS-без-регистрации не просит?

Ответить | Правка | Наверх | Cообщить модератору

70. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от yndi (?), 19-Июл-13, 08:13

> "Веб-сервис" и "конфиденциальность" - само по себе взаимоисключающие параграфы, а тут еще
почему же, всё конфиденциально, т.к. ваши данные не передаются ни на один сервер, все вычисления и кодирования происходят в рамках вашей вкладки в браузере

Ответить | Правка | Наверх | Cообщить модератору

73. "Стеганографический веб-сервис DarkJPEG" +1 +/–

Сообщение от User (??), 19-Июл-13, 08:39

>> "Веб-сервис" и "конфиденциальность" - само по себе взаимоисключающие параграфы, а тут еще
> почему же, всё конфиденциально, т.к. ваши данные не передаются ни на
> один сервер, все вычисления и кодирования происходят в рамках вашей вкладки
> в браузере
"Верь мне! Здесь не церковь, здесь не обманут!"(Ц) и прочее blah-blah-blah.
Код находится вне нашего контроля, гарантировать его неизменность между запусками мы не можем. Учитывая обфусцированный, пардон! ми-ни-фи-ци-ро-ван-ный вариант javascript`а доступный по ссылке мы не можем даже гарантировать его соответствие исходникам.
"Здесь-и-сейчас" судя по требованию "обновить браузер" оно доступно ну сиииильно не всем и не всегда - ну и нахрена оно такое вообще нужно?
Вот уж точно - "я у мамы хакИр Вася!"

Ответить | Правка | Наверх | Cообщить модератору

74. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от yndi (?), 19-Июл-13, 09:06

можете отслеживать по коммитам изменение скриптов в директории build, на клиент они передаются именно оттуда, прямо с гитхаба; если too much paranoia, можете брать исходники и как угодно ими пользоваться на локалхосте; не все могут поставить свежий браузер, поддерживающий html5? ну это уже не мои проблемы :)

Ответить | Правка | Наверх | Cообщить модератору

85. "Стеганографический веб-сервис DarkJPEG" +1 +/–

Сообщение от User (??), 19-Июл-13, 11:47

> можете отслеживать по коммитам изменение скриптов в директории build, на клиент они
> передаются именно оттуда, прямо с гитхаба;
Ну я и говорю - "стеганография-на-доверии".
> если too much paranoia, можете
> брать исходники и как угодно ими пользоваться на локалхосте;
С оверхедом из браузера и веб-сервера, ага. В обмен на эээээ... ю-за-би-ли-ти, да?
> не все могут поставить свежий браузер, поддерживающий html5? ну это уже не мои
> проблемы :)
As for me - так steghide из дебиановского репозитория поставить проще, удобней и таки да, безопасней, нежели плясать-с-бубном вокруг кривой вебни.
Хотя... если "свежий браузер" это IE с двузначным номером, то многое становится понятным )

Ответить | Правка | Наверх | Cообщить модератору

93. "Стеганографический веб-сервис DarkJPEG" –2 +/–

Сообщение от angra (ok), 19-Июл-13, 15:17

Да пользуйся ты своим steghide и молчи в тряпочку. Если тебе что-то не нужно, то зачем всем об этом громко рассказывать? А другим, вот удивительно, это может быть нужно.
И да, если твоего куцего мозга не хватило, чтобы самому допетрить, то разжую. Поднимается не на локалхосте, а на своем сервере, доступ по https, закрывается от мира банальным http authentification и используется только своими, причем в любой точке земного шара, где есть интернет, с любого подходящего устройства.

Ответить | Правка | Наверх | Cообщить модератору

107. "Стеганографический веб-сервис DarkJPEG" +1 +/–

Сообщение от Аноним (-), 19-Июл-13, 17:45

> Поднимается не на локалхосте, а на своем сервере, доступ по https,
А толку то с https, если кто угодно из ауторитей может выписать фэйковый сертификат что "а вот это типа твой сервер"? Ты будешь с микроскопом каждый раз проверять не изменился ли сертификат и скрипты отгруженные сервером? :)
> закрывается от мира банальным http authentification и используется только своими,
Тогда дупло в лесу пожалуй даже лучше :)

Ответить | Правка | Наверх | Cообщить модератору

111. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от angra (ok), 19-Июл-13, 19:08

> А толку то с https, если кто угодно из ауторитей может выписать
> фэйковый сертификат что "а вот это типа твой сервер"? Ты будешь
> с микроскопом каждый раз проверять не изменился ли сертификат и скрипты
> отгруженные сервером? :)
Ох уж эти титеретики. Ты всерьез думаешь, что для этого дела будет покупаться сертификат за деньги? Польза сертификатов за деньги только в том, что браузеры _клиентов_ не выводят предупреждений. Для своего использования никаких покупных сертификатов не нужно, также как и микроскопа для их проверки.
> Тогда дупло в лесу пожалуй даже лучше :)
Дупло в лесу это очень хороший вариант, зря вы смеетесь, но не всегда удобный. Например, если получатель и отправитель информации находятся в лесах на разных континентах.

Ответить | Правка | Наверх | Cообщить модератору

127. "Стеганографический веб-сервис DarkJPEG" –1 +/–

Сообщение от Аноним (-), 20-Июл-13, 07:44

> Ох уж эти титеретики.
Ох уж эти пальцатые парни. В отличие от тебя я довольно хорошо изучил описание атаки от комодохацкера. Который помнится разнес одну из ауторитей по полной программе и выписал себе сертификаты на все что угодно, вплоть до гугла, скайпа и мозиллы.
> Ты всерьез думаешь, что для этого дела будет покупаться сертификат за деньги?
Я думаю что
1) Поскольку ауторитей куча, риск того что кого-то из них ломанут достаточно высокий.
2) На ряд ауторитей вполне можно нажать.
3) Минимум некоторые из ауторити пойманы на том что выписывали серты для прослушивающего оборудования в ынтырпрайзах и прочая.
Так что в общем случае следует считать что толку с HTTPS ноль целых, хрен десятых.
> что браузеры _клиентов_ не выводят предупреждений. Для своего использования никаких
> покупных сертификатов не нужно, также как и микроскопа для их проверки.
Вот только если кому-то левому выпишут сертификат на мой сервер - без изучения под лупой я нифига не замечу что это не моя ауторитя его подписала, а какой-то левый удостоверяющий центр по желанию своей левой пятки. И чтобы отловить различия - надо именно сертификат с микроскопом изучать. То-есть, теоретически я конечно могу вынести из браузера все сертификаты УЦ, чтобы они не смогли подписывать что попало. Практически при этом https сайтами пользоваться заманаешься потом...
>> Тогда дупло в лесу пожалуй даже лучше :)
> Дупло в лесу это очень хороший вариант, зря вы смеетесь,
Ну так в случае такой паранои - там и вражеский агент на хвосте может наверное быть.
> но не всегда удобный. Например, если получатель и отправитель информации находятся в лесах
> на разных континентах.
А в этом случае вообще есть определенный набор проблем. В том плане что надежно понять что вы имеете дело не с MITM'ом а именно с правильным собеседником - вообще отдельная наука.

Ответить | Правка | Наверх | Cообщить модератору

133. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от arisu (ok), 20-Июл-13, 12:41

> 1) Поскольку ауторитей куча, риск того что кого-то из них ломанут достаточно
> высокий.
да зачем ломать-то? trustwave вот вполне легально и открыто сертификатами для mitm барыжила. кто-то верит, что она такая одна, и что больше никто ни-ни?

Ответить | Правка | Наверх | Cообщить модератору

140. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от Аноним (-), 20-Июл-13, 14:55

> да зачем ломать-то? trustwave вот вполне легально и открыто сертификатами для mitm
> барыжила. кто-то верит, что она такая одна, и что больше никто ни-ни?
Ну так я о чем. Кто открыто барыжит, кого просто хакнули внаглую. Их там такая толпа и они все могут выписать за меня справку о том что вон тот mitm не верблюд а как бы мой сервер.
Теоретически я конечно могу удалить все ауторити кроме своей. Практически я после этого HTTPSом пользоваться задолбаюсь :).

Ответить | Правка | Наверх | Cообщить модератору

147. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от arisu (ok), 21-Июл-13, 04:46

> Теоретически я конечно могу удалить все ауторити кроме своей. Практически я после
> этого HTTPSом пользоваться задолбаюсь :).
вот я поудалял и не пользуюсь, например. защиты он не гарантирует, а вот тормоза обеспечивает.

Ответить | Правка | К родителю #140 | Наверх | Cообщить модератору

152. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от Аноним (-), 22-Июл-13, 08:37

> вот я поудалял и не пользуюсь, например. защиты он не гарантирует,
По крайней мере более-менее срывает потуги классификации траффа, усложняет мониторинг посещенных урлов, сильно геморроит несанкционированную модификацию траффика (типа врезки своей рекламы). Ну и простой пупкин повисший зубами на витой паре все-таки не получит пароль от онлайн банкинга, etc.
> а вот тормоза обеспечивает.
Учитывая что нынче в моде HTTP1.1, keep alive и pipelining - тормоза конечно прибавляются но лишь 1 раз, в начале установки соединения.

Ответить | Правка | К родителю #147 | Наверх | Cообщить модератору

154. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от arisu (ok), 22-Июл-13, 08:41

> По крайней мере более-менее срывает потуги классификации траффа
а это меня пока не волнует.
> усложняет мониторинг посещенных урлов
и это тоже: на здоровье. я ещё не сошёл с ума, чтобы через clearnet ходить туда, куда хочу ходить скрытно.
> сильно геморроит несанкционированную модификацию траффика (типа врезки
> своей рекламы)
кстати, как мы выяснили выше — совершенно не «сильно геморроит».
> Ну и простой пупкин повисший зубами на витой паре
> все-таки не получит пароль от онлайн банкинга, etc.
тоже не факт. да и не пользуюсь — в силу явной небезопасности.
>> а вот тормоза обеспечивает.
> Учитывая что нынче в моде HTTP1.1, keep alive и pipelining — тормоза
> конечно прибавляются но лишь 1 раз, в начале установки соединения.
это если ресурс не запрашивает статику с других своих серверов (или не своих), скрипты с третьих… как вон гитхаб, например.

Ответить | Правка | К родителю #152 | Наверх | Cообщить модератору

110. "Стеганографический веб-сервис DarkJPEG" +1 +/–

Сообщение от yndi (?), 19-Июл-13, 18:27

> Ну я и говорю - "стеганография-на-доверии".
Да я пользоваться-то не заставляю ;)
> С оверхедом из браузера и веб-сервера, ага. В обмен на эээээ... ю-за-би-ли-ти, да?
Веб-сервер не нужен, всё прекрасно работает и по file:///home/.../darkjpeg/index.html — самое прямое доказательство того, что всё выполняется исключительно в рамках текущей вкладки, ничто никуда не утекает.
> As for me - так steghide из дебиановского репозитория поставить проще, удобней
As for you.
> Хотя... если "свежий браузер" это IE с двузначным номером, то многое становится понятным )
А осёл, кстати, не поддерживается, увы. Совсем.

Ответить | Правка | К родителю #85 | Наверх | Cообщить модератору

126. "Стеганографический веб-сервис DarkJPEG" –1 +/–

Сообщение от Аноним (-), 20-Июл-13, 07:31

> Веб-сервер не нужен, всё прекрасно работает и по file:///home/.../darkjpeg/index.html
Вот только вебня с локальными файлами работать толком не может, что делает все это бессмысленным и беспощадным.

Ответить | Правка | Наверх | Cообщить модератору

159. "Стеганографический веб-сервис DarkJPEG" +1 +/–

Сообщение от yndi (?), 22-Июл-13, 15:34

>> Веб-сервер не нужен, всё прекрасно работает и по file:///home/.../darkjpeg/index.html
> Вот только вебня с локальными файлами работать толком не может, что делает
> все это бессмысленным и беспощадным.
Ложь.

Ответить | Правка | Наверх | Cообщить модератору

128. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от Аноним (-), 20-Июл-13, 07:45

> Да я пользоваться-то не заставляю ;)
Зато втираете очки о том что сие надежно, когда это по факту весьма хакабельно и понадеявшийся на такое средство потом лишний раз залетит. А вот это уже как-то нехорошо.

Ответить | Правка | К родителю #110 | Наверх | Cообщить модератору

134. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от arisu (ok), 20-Июл-13, 12:42

> Зато втираете очки о том что сие надежно
э… где?

Ответить | Правка | Наверх | Cообщить модератору

141. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от Аноним (-), 20-Июл-13, 14:57

> э… где?
"Гарантия полной конфиденциальности." (c) новость. Ага, автор мамой клянется что не будет пакостить. Осталось в этом MITMов еще убедить. Только в этом случае такая система станет просто лишней, раз вокруг все белые и пушистые :)

Ответить | Правка | Наверх | Cообщить модератору

148. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от arisu (ok), 21-Июл-13, 04:47

>> э… где?
> "Гарантия полной конфиденциальности." (c) новость.
а, собственно, она есть. в виде исходников и возможности запустить на локалхосте.

Ответить | Правка | Наверх | Cообщить модератору

153. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от Аноним (-), 22-Июл-13, 08:39

> а, собственно, она есть. в виде исходников и возможности запустить на локалхосте.
Нет реалистичного сценария доступа юзера к локалхосту с проверкой что локалхост отгрузил именно правильные файлы. К тому же каждый раз грузить чувствительный код с ремотного сервака - потенциально весьма дурное начинание. Все это в целом очень упрощает факапинг этой самой конфиденциальности. По этому поводу я склонен считать что громкость деклараций совершенно не соответствует уровню защиты который вебня может обеспечить.

Ответить | Правка | Наверх | Cообщить модератору

155. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от arisu (ok), 22-Июл-13, 08:43

> Нет реалистичного сценария доступа юзера к локалхосту с проверкой что локалхост отгрузил
> именно правильные файлы.
э… лолщито? ты не контролируешь локалхост? тогда у меня для тебя ОЧЕНЬ плохие новости…
> К тому же каждый раз грузить чувствительный код с ремотного сервака
…нафиг не надо.

Ответить | Правка | К родителю #153 | Наверх | Cообщить модератору

106. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от Аноним (-), 19-Июл-13, 17:43

> один сервер, все вычисления и кодирования происходят в рамках вашей вкладки в браузере
Вот только гарантий что скрипт отгруженный сервером - именно тот за кого себя выдает ровно ноль. Без палочки.
Когда я качаю программу из репов моего дистрибутива, проверяеися цифровая подпись майнтайнеров и я могу более-менее рассчитывать на то что это написано автором программы и упаковано вон теми майнтайнерами. А не каким-то MITM по пути. А то что я не обновляю программу на каждое открытие вкладочки дополнительно делает хакинг меня еще более сложным начинанием.
Но вебанашкам всего этого понять не дано. Они свой скриптошит сватают как "секурное". А вот это уже вранье. В вебе нет ни-ка-ких эффективных средств для защиты от подмены сайта и его содержимого. Самый максимум есть SSL/TLS aka HTTPS, толку от которого ровно ноль, ибо ауторитей выписывающих сертификаты - толпа, и каждый может удостоверить кому угодно что тот не верблюд а именно ваш сайт с криптографией, блаблабла.
В результате вебанашки создают очень подлую ситуацию: они впаривают ненадежный и не секурный шит под видом чего-то полезного. А вот это уже откровенная подстава своих пользователей. На мыло таких "криптографов".

Ответить | Правка | К родителю #70 | Наверх | Cообщить модератору

112. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от yndi (?), 19-Июл-13, 19:15

> Вот только гарантий что скрипт отгруженный сервером - именно тот за кого себя выдает ровно ноль. Без палочки.
Да, всё, что вы говорите — справедливо, я с вами согласен. Разумеется, если гитхаб будет взломан, то существует опасность подмены скриптов, но не стоит, однако, забывать, что подобному сценарию подвержено абсолютно всё, что хоть как-то связано с внешним миром: так, ничто не мешает украсть приватный ключ мейнтейнера и использовать его для подписи изменённых пакетов, что, кстати, уже наблюдалось.
Единственное же отличие вебни в данном случае то, что она работает в гораздо ограниченной песочнице, и максимум, что при этом может произойти: трекинг пользователей и компрометация данных. Поэтому я всем советую идеальное решение любых паранойя-проблем: пожалуйста, пользуйтесь моим сервисом через TOR (равно как, понятное дело, и при передаче кодированного контента по открытым и/или незащищённым каналам связи. Всего и делов-то.

Ответить | Правка | Наверх | Cообщить модератору

125. "Стеганографический веб-сервис DarkJPEG" +1 +/–

Сообщение от Аноним (-), 20-Июл-13, 07:03

> Да, всё, что вы говорите — справедливо, я с вами согласен. Разумеется,
> если гитхаб будет взломан, то существует опасность подмены скриптов,
А не требуется никакого "взлома гитхаба". Атакующему достаточно просто завернуть запросы к такому серверу стеганографии на свой сервак где хоть какая-то из 100500 ауторитей выдала сертификат. И далее делать вид что оно тут типа стеганографией занимается и типа шифрует. А то что это был совсем левый скрипт который куда-то копию ключей слил, например - так кто ж это увидит?
В вебе в браузере нет ни-ка-ких средств удостовериться что ремотный сервак отгрузил именно то что ожидалось, от именно того автора который это писал. Какие-то вялые попытки проверить что сервер тот самый - в SSL/TLS предприняты, но его надежность никакая. PKI - лохоразвод, о чем криптографы предупреждали давно. А т.к. скрипт каждый раз грузится с сервака (по крайней мере этот процесс 100% подконтролен MITM-у с левым серваком) - уповать на то что скрипт будет вгружен правильный и с правильного сервака совершенно не приходится. А дотошно проверять вот такие вот портянки каждый раз - не вариант, опять же.
> но не стоит, однако, забывать, что подобному сценарию подвержено абсолютно всё,
> что хоть как-то связано с внешним миром: так, ничто не мешает украсть приватный
> ключ мейнтейнера и использовать его для подписи изменённых пакетов, что, кстати,
> уже наблюдалось.
Вот тут как раз факапы обычно весьма редки - большинство майнтайнеров в нормальных дистрах ответственно относятся к своему ремеслу. И кроме того цена атаки намного выше. Такие ключи обычно просто не хранятся абы где и спереть их - отдельный рокетсайнс. Во вторых, если у меня уже предзагружены пубкеи майнтайнеров, припершийся с бухты-барахты MITM в канале вообще никак не может мне всучить какой-то левый ключ по желанию левой пятки. Кроме того совсем не факт что он сможет спереть парный привкей. И программу перекачивать он меня не может обязать. Это весьма и весьма поднимает планку.
Если сравнивать - эта схема по надежности от вебни отличается как сантиметровый лист стали - от куска картона. В первом застрянут даже приличные пули. Второе протыкается даже перочинным ножиком.
> Единственное же отличие вебни в данном случае то, что она работает в
> гораздо ограниченной песочнице,
Нет, глобальное отличие вебни прежде всего в том что
1) нет никаких сколь-нибудь надежных и работоспособных методов проверить что подсунутое нечто - наавторено именно вон тем автором.
2) все поведение клиента контролируется сервером, который потенциально может быть левым MITMом. С другой стороны, левый MITM совершенно не может меня спровоцировать на вгрузку креативно пропатченной версии программы в произвольный, удобный ему момент времени. А вот с JS - как два байта переслать.
> и максимум, что при этом может произойти: трекинг
> пользователей и компрометация данных.
Во первых, оно имеет все предпосылки для того чтобы не справиться с декларируемой целью. Когда тебе втюхивают бронежилет, а оказывается что он из картона и протыкается зубочисткой - это как-то не прикольно совсем. Из-за нестыковки того что заявлено с тем что по факту.
Во вторых, оно работает в немеряном браузере и то что в браузере, либах используемых им и прочая нет багов, которые сможет атаковать MITM - совсем не факт.
> Поэтому я всем советую идеальное решение любых
> паранойя-проблем: пожалуйста, пользуйтесь моим сервисом через TOR
Есть маленькая проблемка: вы никогда не знаете кто там на exit node и насколько он изволит из себя MITMа изобразить. Это может быть частичным решением, в том плане что в результате MITMом сможет быть только какой-то случайно выбранный узел и у атакующего уже не будет твердой гарантии получения желаемой порции данных. С другой стороны, нет никаких гарантий того что tor exit node - добропорядочный. Напротив зачастую там вполне можно ожидать чего угодно.
> (равно как, понятное дело, и при передаче кодированного контента по открытым
> и/или незащищённым каналам связи. Всего и делов-то.
В целом надежность всех схемы липовая и отдает картонным щитом. Делаются какие-то совершенно левые допущения о добропорядочности промежуточных узлов, что совсем не факт. В нормальных условиях такие допущения не делаются. И если надеяться укачать программу 1 раз без подстав еще можно то вот надеятся что не всучат посторонний JS как-то уже не приходится, т.к. клиент-серверная модель подразумевает что клиент пляшет под дудку сервера, а он может быть и совсем не тем кем ожидалось. Что факапит всю схему. В самых основах. Веб-чудики никак не могут взять в толк что их игрушка априори не тянет на серьезные применения. By design.

Ответить | Правка | Наверх | Cообщить модератору

160. "Стеганографический веб-сервис DarkJPEG" +/–

Сообщение от yndi (?), 22-Июл-13, 15:38

Когда весь мир против нас, и каждый узел — это MitM, хреново жить, согласен.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	46. "Стеганографический веб-сервис DarkJPEG"	+1 +/–
	Сообщение от Xasd (ok), 19-Июл-13, 02:17
	а ты споротивляйся и ни в коем случае не обновляй браузер! :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	64. "Стеганографический веб-сервис DarkJPEG"	+2 +/–
	Сообщение от User (??), 19-Июл-13, 07:28
	"Веб-сервис" и "конфиденциальность" - само по себе взаимоисключающие параграфы, а тут еще и требование "обновить браузер"... Оно хоть "провести антивирусную проверку" путем загрузки "супер-антивируса" при помощи SMS-без-регистрации не просит?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	70. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от yndi (?), 19-Июл-13, 08:13
	> "Веб-сервис" и "конфиденциальность" - само по себе взаимоисключающие параграфы, а тут еще почему же, всё конфиденциально, т.к. ваши данные не передаются ни на один сервер, все вычисления и кодирования происходят в рамках вашей вкладки в браузере
	Ответить \| Правка \| Наверх \| Cообщить модератору


	73. "Стеганографический веб-сервис DarkJPEG"	+1 +/–
	Сообщение от User (??), 19-Июл-13, 08:39
	>> "Веб-сервис" и "конфиденциальность" - само по себе взаимоисключающие параграфы, а тут еще > почему же, всё конфиденциально, т.к. ваши данные не передаются ни на > один сервер, все вычисления и кодирования происходят в рамках вашей вкладки > в браузере "Верь мне! Здесь не церковь, здесь не обманут!"(Ц) и прочее blah-blah-blah. Код находится вне нашего контроля, гарантировать его неизменность между запусками мы не можем. Учитывая обфусцированный, пардон! ми-ни-фи-ци-ро-ван-ный вариант javascript`а доступный по ссылке мы не можем даже гарантировать его соответствие исходникам. "Здесь-и-сейчас" судя по требованию "обновить браузер" оно доступно ну сиииильно не всем и не всегда - ну и нахрена оно такое вообще нужно? Вот уж точно - "я у мамы хакИр Вася!"
	Ответить \| Правка \| Наверх \| Cообщить модератору


	74. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от yndi (?), 19-Июл-13, 09:06
	можете отслеживать по коммитам изменение скриптов в директории build, на клиент они передаются именно оттуда, прямо с гитхаба; если too much paranoia, можете брать исходники и как угодно ими пользоваться на локалхосте; не все могут поставить свежий браузер, поддерживающий html5? ну это уже не мои проблемы :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	85. "Стеганографический веб-сервис DarkJPEG"	+1 +/–
	Сообщение от User (??), 19-Июл-13, 11:47
	> можете отслеживать по коммитам изменение скриптов в директории build, на клиент они > передаются именно оттуда, прямо с гитхаба; Ну я и говорю - "стеганография-на-доверии". > если too much paranoia, можете > брать исходники и как угодно ими пользоваться на локалхосте; С оверхедом из браузера и веб-сервера, ага. В обмен на эээээ... ю-за-би-ли-ти, да? > не все могут поставить свежий браузер, поддерживающий html5? ну это уже не мои > проблемы :) As for me - так steghide из дебиановского репозитория поставить проще, удобней и таки да, безопасней, нежели плясать-с-бубном вокруг кривой вебни. Хотя... если "свежий браузер" это IE с двузначным номером, то многое становится понятным )
	Ответить \| Правка \| Наверх \| Cообщить модератору


	93. "Стеганографический веб-сервис DarkJPEG"	–2 +/–
	Сообщение от angra (ok), 19-Июл-13, 15:17
	Да пользуйся ты своим steghide и молчи в тряпочку. Если тебе что-то не нужно, то зачем всем об этом громко рассказывать? А другим, вот удивительно, это может быть нужно. И да, если твоего куцего мозга не хватило, чтобы самому допетрить, то разжую. Поднимается не на локалхосте, а на своем сервере, доступ по https, закрывается от мира банальным http authentification и используется только своими, причем в любой точке земного шара, где есть интернет, с любого подходящего устройства.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	107. "Стеганографический веб-сервис DarkJPEG"	+1 +/–
	Сообщение от Аноним (-), 19-Июл-13, 17:45
	> Поднимается не на локалхосте, а на своем сервере, доступ по https, А толку то с https, если кто угодно из ауторитей может выписать фэйковый сертификат что "а вот это типа твой сервер"? Ты будешь с микроскопом каждый раз проверять не изменился ли сертификат и скрипты отгруженные сервером? :) > закрывается от мира банальным http authentification и используется только своими, Тогда дупло в лесу пожалуй даже лучше :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	111. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от angra (ok), 19-Июл-13, 19:08
	> А толку то с https, если кто угодно из ауторитей может выписать > фэйковый сертификат что "а вот это типа твой сервер"? Ты будешь > с микроскопом каждый раз проверять не изменился ли сертификат и скрипты > отгруженные сервером? :) Ох уж эти титеретики. Ты всерьез думаешь, что для этого дела будет покупаться сертификат за деньги? Польза сертификатов за деньги только в том, что браузеры _клиентов_ не выводят предупреждений. Для своего использования никаких покупных сертификатов не нужно, также как и микроскопа для их проверки. > Тогда дупло в лесу пожалуй даже лучше :) Дупло в лесу это очень хороший вариант, зря вы смеетесь, но не всегда удобный. Например, если получатель и отправитель информации находятся в лесах на разных континентах.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	127. "Стеганографический веб-сервис DarkJPEG"	–1 +/–
	Сообщение от Аноним (-), 20-Июл-13, 07:44
	> Ох уж эти титеретики. Ох уж эти пальцатые парни. В отличие от тебя я довольно хорошо изучил описание атаки от комодохацкера. Который помнится разнес одну из ауторитей по полной программе и выписал себе сертификаты на все что угодно, вплоть до гугла, скайпа и мозиллы. > Ты всерьез думаешь, что для этого дела будет покупаться сертификат за деньги? Я думаю что 1) Поскольку ауторитей куча, риск того что кого-то из них ломанут достаточно высокий. 2) На ряд ауторитей вполне можно нажать. 3) Минимум некоторые из ауторити пойманы на том что выписывали серты для прослушивающего оборудования в ынтырпрайзах и прочая. Так что в общем случае следует считать что толку с HTTPS ноль целых, хрен десятых. > что браузеры _клиентов_ не выводят предупреждений. Для своего использования никаких > покупных сертификатов не нужно, также как и микроскопа для их проверки. Вот только если кому-то левому выпишут сертификат на мой сервер - без изучения под лупой я нифига не замечу что это не моя ауторитя его подписала, а какой-то левый удостоверяющий центр по желанию своей левой пятки. И чтобы отловить различия - надо именно сертификат с микроскопом изучать. То-есть, теоретически я конечно могу вынести из браузера все сертификаты УЦ, чтобы они не смогли подписывать что попало. Практически при этом https сайтами пользоваться заманаешься потом... >> Тогда дупло в лесу пожалуй даже лучше :) > Дупло в лесу это очень хороший вариант, зря вы смеетесь, Ну так в случае такой паранои - там и вражеский агент на хвосте может наверное быть. > но не всегда удобный. Например, если получатель и отправитель информации находятся в лесах > на разных континентах. А в этом случае вообще есть определенный набор проблем. В том плане что надежно понять что вы имеете дело не с MITM'ом а именно с правильным собеседником - вообще отдельная наука.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	133. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от arisu (ok), 20-Июл-13, 12:41
	> 1) Поскольку ауторитей куча, риск того что кого-то из них ломанут достаточно > высокий. да зачем ломать-то? trustwave вот вполне легально и открыто сертификатами для mitm барыжила. кто-то верит, что она такая одна, и что больше никто ни-ни?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	140. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от Аноним (-), 20-Июл-13, 14:55
	> да зачем ломать-то? trustwave вот вполне легально и открыто сертификатами для mitm > барыжила. кто-то верит, что она такая одна, и что больше никто ни-ни? Ну так я о чем. Кто открыто барыжит, кого просто хакнули внаглую. Их там такая толпа и они все могут выписать за меня справку о том что вон тот mitm не верблюд а как бы мой сервер. Теоретически я конечно могу удалить все ауторити кроме своей. Практически я после этого HTTPSом пользоваться задолбаюсь :).
	Ответить \| Правка \| Наверх \| Cообщить модератору


	147. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от arisu (ok), 21-Июл-13, 04:46
	> Теоретически я конечно могу удалить все ауторити кроме своей. Практически я после > этого HTTPSом пользоваться задолбаюсь :). вот я поудалял и не пользуюсь, например. защиты он не гарантирует, а вот тормоза обеспечивает.
	Ответить \| Правка \| К родителю #140 \| Наверх \| Cообщить модератору


	152. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от Аноним (-), 22-Июл-13, 08:37
	> вот я поудалял и не пользуюсь, например. защиты он не гарантирует, По крайней мере более-менее срывает потуги классификации траффа, усложняет мониторинг посещенных урлов, сильно геморроит несанкционированную модификацию траффика (типа врезки своей рекламы). Ну и простой пупкин повисший зубами на витой паре все-таки не получит пароль от онлайн банкинга, etc. > а вот тормоза обеспечивает. Учитывая что нынче в моде HTTP1.1, keep alive и pipelining - тормоза конечно прибавляются но лишь 1 раз, в начале установки соединения.
	Ответить \| Правка \| К родителю #147 \| Наверх \| Cообщить модератору


	154. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от arisu (ok), 22-Июл-13, 08:41
	> По крайней мере более-менее срывает потуги классификации траффа а это меня пока не волнует. > усложняет мониторинг посещенных урлов и это тоже: на здоровье. я ещё не сошёл с ума, чтобы через clearnet ходить туда, куда хочу ходить скрытно. > сильно геморроит несанкционированную модификацию траффика (типа врезки > своей рекламы) кстати, как мы выяснили выше — совершенно не «сильно геморроит». > Ну и простой пупкин повисший зубами на витой паре > все-таки не получит пароль от онлайн банкинга, etc. тоже не факт. да и не пользуюсь — в силу явной небезопасности. >> а вот тормоза обеспечивает. > Учитывая что нынче в моде HTTP1.1, keep alive и pipelining — тормоза > конечно прибавляются но лишь 1 раз, в начале установки соединения. это если ресурс не запрашивает статику с других своих серверов (или не своих), скрипты с третьих… как вон гитхаб, например.
	Ответить \| Правка \| К родителю #152 \| Наверх \| Cообщить модератору


	110. "Стеганографический веб-сервис DarkJPEG"	+1 +/–
	Сообщение от yndi (?), 19-Июл-13, 18:27
	> Ну я и говорю - "стеганография-на-доверии". Да я пользоваться-то не заставляю ;) > С оверхедом из браузера и веб-сервера, ага. В обмен на эээээ... ю-за-би-ли-ти, да? Веб-сервер не нужен, всё прекрасно работает и по file:///home/.../darkjpeg/index.html — самое прямое доказательство того, что всё выполняется исключительно в рамках текущей вкладки, ничто никуда не утекает. > As for me - так steghide из дебиановского репозитория поставить проще, удобней As for you. > Хотя... если "свежий браузер" это IE с двузначным номером, то многое становится понятным ) А осёл, кстати, не поддерживается, увы. Совсем.
	Ответить \| Правка \| К родителю #85 \| Наверх \| Cообщить модератору


	126. "Стеганографический веб-сервис DarkJPEG"	–1 +/–
	Сообщение от Аноним (-), 20-Июл-13, 07:31
	> Веб-сервер не нужен, всё прекрасно работает и по file:///home/.../darkjpeg/index.html Вот только вебня с локальными файлами работать толком не может, что делает все это бессмысленным и беспощадным.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	159. "Стеганографический веб-сервис DarkJPEG"	+1 +/–
	Сообщение от yndi (?), 22-Июл-13, 15:34
	>> Веб-сервер не нужен, всё прекрасно работает и по file:///home/.../darkjpeg/index.html > Вот только вебня с локальными файлами работать толком не может, что делает > все это бессмысленным и беспощадным. Ложь.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	128. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от Аноним (-), 20-Июл-13, 07:45
	> Да я пользоваться-то не заставляю ;) Зато втираете очки о том что сие надежно, когда это по факту весьма хакабельно и понадеявшийся на такое средство потом лишний раз залетит. А вот это уже как-то нехорошо.
	Ответить \| Правка \| К родителю #110 \| Наверх \| Cообщить модератору


	134. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от arisu (ok), 20-Июл-13, 12:42
	> Зато втираете очки о том что сие надежно э… где?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	141. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от Аноним (-), 20-Июл-13, 14:57
	> э… где? "Гарантия полной конфиденциальности." (c) новость. Ага, автор мамой клянется что не будет пакостить. Осталось в этом MITMов еще убедить. Только в этом случае такая система станет просто лишней, раз вокруг все белые и пушистые :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	148. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от arisu (ok), 21-Июл-13, 04:47
	>> э… где? > "Гарантия полной конфиденциальности." (c) новость. а, собственно, она есть. в виде исходников и возможности запустить на локалхосте.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	153. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от Аноним (-), 22-Июл-13, 08:39
	> а, собственно, она есть. в виде исходников и возможности запустить на локалхосте. Нет реалистичного сценария доступа юзера к локалхосту с проверкой что локалхост отгрузил именно правильные файлы. К тому же каждый раз грузить чувствительный код с ремотного сервака - потенциально весьма дурное начинание. Все это в целом очень упрощает факапинг этой самой конфиденциальности. По этому поводу я склонен считать что громкость деклараций совершенно не соответствует уровню защиты который вебня может обеспечить.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	155. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от arisu (ok), 22-Июл-13, 08:43
	> Нет реалистичного сценария доступа юзера к локалхосту с проверкой что локалхост отгрузил > именно правильные файлы. э… лолщито? ты не контролируешь локалхост? тогда у меня для тебя ОЧЕНЬ плохие новости… > К тому же каждый раз грузить чувствительный код с ремотного сервака …нафиг не надо.
	Ответить \| Правка \| К родителю #153 \| Наверх \| Cообщить модератору


	106. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от Аноним (-), 19-Июл-13, 17:43
	> один сервер, все вычисления и кодирования происходят в рамках вашей вкладки в браузере Вот только гарантий что скрипт отгруженный сервером - именно тот за кого себя выдает ровно ноль. Без палочки. Когда я качаю программу из репов моего дистрибутива, проверяеися цифровая подпись майнтайнеров и я могу более-менее рассчитывать на то что это написано автором программы и упаковано вон теми майнтайнерами. А не каким-то MITM по пути. А то что я не обновляю программу на каждое открытие вкладочки дополнительно делает хакинг меня еще более сложным начинанием. Но вебанашкам всего этого понять не дано. Они свой скриптошит сватают как "секурное". А вот это уже вранье. В вебе нет ни-ка-ких эффективных средств для защиты от подмены сайта и его содержимого. Самый максимум есть SSL/TLS aka HTTPS, толку от которого ровно ноль, ибо ауторитей выписывающих сертификаты - толпа, и каждый может удостоверить кому угодно что тот не верблюд а именно ваш сайт с криптографией, блаблабла. В результате вебанашки создают очень подлую ситуацию: они впаривают ненадежный и не секурный шит под видом чего-то полезного. А вот это уже откровенная подстава своих пользователей. На мыло таких "криптографов".
	Ответить \| Правка \| К родителю #70 \| Наверх \| Cообщить модератору


	112. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от yndi (?), 19-Июл-13, 19:15
	> Вот только гарантий что скрипт отгруженный сервером - именно тот за кого себя выдает ровно ноль. Без палочки. Да, всё, что вы говорите — справедливо, я с вами согласен. Разумеется, если гитхаб будет взломан, то существует опасность подмены скриптов, но не стоит, однако, забывать, что подобному сценарию подвержено абсолютно всё, что хоть как-то связано с внешним миром: так, ничто не мешает украсть приватный ключ мейнтейнера и использовать его для подписи изменённых пакетов, что, кстати, уже наблюдалось. Единственное же отличие вебни в данном случае то, что она работает в гораздо ограниченной песочнице, и максимум, что при этом может произойти: трекинг пользователей и компрометация данных. Поэтому я всем советую идеальное решение любых паранойя-проблем: пожалуйста, пользуйтесь моим сервисом через TOR (равно как, понятное дело, и при передаче кодированного контента по открытым и/или незащищённым каналам связи. Всего и делов-то.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	125. "Стеганографический веб-сервис DarkJPEG"	+1 +/–
	Сообщение от Аноним (-), 20-Июл-13, 07:03
	> Да, всё, что вы говорите — справедливо, я с вами согласен. Разумеется, > если гитхаб будет взломан, то существует опасность подмены скриптов, А не требуется никакого "взлома гитхаба". Атакующему достаточно просто завернуть запросы к такому серверу стеганографии на свой сервак где хоть какая-то из 100500 ауторитей выдала сертификат. И далее делать вид что оно тут типа стеганографией занимается и типа шифрует. А то что это был совсем левый скрипт который куда-то копию ключей слил, например - так кто ж это увидит? В вебе в браузере нет ни-ка-ких средств удостовериться что ремотный сервак отгрузил именно то что ожидалось, от именно того автора который это писал. Какие-то вялые попытки проверить что сервер тот самый - в SSL/TLS предприняты, но его надежность никакая. PKI - лохоразвод, о чем криптографы предупреждали давно. А т.к. скрипт каждый раз грузится с сервака (по крайней мере этот процесс 100% подконтролен MITM-у с левым серваком) - уповать на то что скрипт будет вгружен правильный и с правильного сервака совершенно не приходится. А дотошно проверять вот такие вот портянки каждый раз - не вариант, опять же. > но не стоит, однако, забывать, что подобному сценарию подвержено абсолютно всё, > что хоть как-то связано с внешним миром: так, ничто не мешает украсть приватный > ключ мейнтейнера и использовать его для подписи изменённых пакетов, что, кстати, > уже наблюдалось. Вот тут как раз факапы обычно весьма редки - большинство майнтайнеров в нормальных дистрах ответственно относятся к своему ремеслу. И кроме того цена атаки намного выше. Такие ключи обычно просто не хранятся абы где и спереть их - отдельный рокетсайнс. Во вторых, если у меня уже предзагружены пубкеи майнтайнеров, припершийся с бухты-барахты MITM в канале вообще никак не может мне всучить какой-то левый ключ по желанию левой пятки. Кроме того совсем не факт что он сможет спереть парный привкей. И программу перекачивать он меня не может обязать. Это весьма и весьма поднимает планку. Если сравнивать - эта схема по надежности от вебни отличается как сантиметровый лист стали - от куска картона. В первом застрянут даже приличные пули. Второе протыкается даже перочинным ножиком. > Единственное же отличие вебни в данном случае то, что она работает в > гораздо ограниченной песочнице, Нет, глобальное отличие вебни прежде всего в том что 1) нет никаких сколь-нибудь надежных и работоспособных методов проверить что подсунутое нечто - наавторено именно вон тем автором. 2) все поведение клиента контролируется сервером, который потенциально может быть левым MITMом. С другой стороны, левый MITM совершенно не может меня спровоцировать на вгрузку креативно пропатченной версии программы в произвольный, удобный ему момент времени. А вот с JS - как два байта переслать. > и максимум, что при этом может произойти: трекинг > пользователей и компрометация данных. Во первых, оно имеет все предпосылки для того чтобы не справиться с декларируемой целью. Когда тебе втюхивают бронежилет, а оказывается что он из картона и протыкается зубочисткой - это как-то не прикольно совсем. Из-за нестыковки того что заявлено с тем что по факту. Во вторых, оно работает в немеряном браузере и то что в браузере, либах используемых им и прочая нет багов, которые сможет атаковать MITM - совсем не факт. > Поэтому я всем советую идеальное решение любых > паранойя-проблем: пожалуйста, пользуйтесь моим сервисом через TOR Есть маленькая проблемка: вы никогда не знаете кто там на exit node и насколько он изволит из себя MITMа изобразить. Это может быть частичным решением, в том плане что в результате MITMом сможет быть только какой-то случайно выбранный узел и у атакующего уже не будет твердой гарантии получения желаемой порции данных. С другой стороны, нет никаких гарантий того что tor exit node - добропорядочный. Напротив зачастую там вполне можно ожидать чего угодно. > (равно как, понятное дело, и при передаче кодированного контента по открытым > и/или незащищённым каналам связи. Всего и делов-то. В целом надежность всех схемы липовая и отдает картонным щитом. Делаются какие-то совершенно левые допущения о добропорядочности промежуточных узлов, что совсем не факт. В нормальных условиях такие допущения не делаются. И если надеяться укачать программу 1 раз без подстав еще можно то вот надеятся что не всучат посторонний JS как-то уже не приходится, т.к. клиент-серверная модель подразумевает что клиент пляшет под дудку сервера, а он может быть и совсем не тем кем ожидалось. Что факапит всю схему. В самых основах. Веб-чудики никак не могут взять в толк что их игрушка априори не тянет на серьезные применения. By design.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	160. "Стеганографический веб-сервис DarkJPEG"	+/–
	Сообщение от yndi (?), 22-Июл-13, 15:38
	Когда весь мир против нас, и каждый узел — это MitM, хреново жить, согласен.
	Ответить \| Правка \| Наверх \| Cообщить модератору