Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Представлен первый успешный способ атаки на SSL/TLS, opennews (?), 20-Сен-11, (0) [смотреть все] Это серьезно , jedie (?), 10:29 , 20-Сен-11, (1) +7 // При таком количестве условий, при которых возможна атака, она становится очень , Онаним (?), 10:38 , 20-Сен-11, (2) +1 // Т е при тщательной подготовке все-таки возможна , Rom1 (ok), 10:47 , 20-Сен-11, (4) +8 // А до выхода нового протокола NoScript лишний раз нам друг и товарищ, так что пос, Аноним (-), 14:46 , 20-Сен-11, (60) Не вижу каких то больших условий Встраиваем IFRAME В каком то левом сайте И в, jedie (?), 11:09 , 20-Сен-11, (19) –1 // нет, koloboid (ok), 12:24 , 20-Сен-11, (41) А почему это нет , ммм (?), 13:05 , 20-Сен-11, (45) Потому что должен быть подконтрольный шлюз через который ходит жертва в интернет, follow_me (?), 13:21 , 20-Сен-11, (52) +2 Цена вопроса - пятсот баксов сисадмину провайдера И все Продаются все Вопрос , Аноним (-), 14:33 , 20-Сен-11, (59) Нет , Michael Shigorin (ok), 14:47 , 20-Сен-11, (61) +4 Твои хотелки, Майк, не есть реальность К сожалению Я бы тоже хотел, чтобы был , Аноним (-), 17:13 , 20-Сен-11, (99) –2 Хотелки хотелками, а ответ на утверждение остаётся в силе Мне известны не продав, Michael Shigorin (ok), 17:52 , 20-Сен-11, (107) +3 В фортунки , Anonymouse (?), 18:36 , 20-Сен-11, (109) Я являюсь начальником IT отдела у ISP Провернуть подобное, в масштабах всей сет, Анонимоус (?), 21:32 , 20-Сен-11, (115) +1 А также 1 Фиктивная точка доступа 2 Флуд свичей и спуфинг3 Просто наглейший, Аноним (-), 14:48 , 20-Сен-11, (63) За недельную зарплату получить вполне реальный шанс оказаться на нарах с перелом, ezhik (?), 16:36 , 20-Сен-11, (85) +5 холодно Я видел, как сисадмин за угрозу сесть вполне легально открывает доступ, Аноним (-), 17:15 , 20-Сен-11, (101) offtopic Почти уверен, что нет offtopic , Тоже аноним (?), 17:51 , 21-Сен-11, (140) +1 Не забывайте о не зашифрованном WiFi - а такие мети стоят в большинстве публичны, linalex (ok), 15:10 , 20-Сен-11, (74) +1 Вы уверены, что когда мне нужно будет провести банковскую транзакцию или для чег, ezhik (?), 16:29 , 20-Сен-11, (84) +1 С развитием online-банкинга уже типично перед покупкой залезть со смартфона план, Аноним (-), 16:45 , 20-Сен-11, (88) Если у тебя не будет ДРУГОЙ возможности провести транзакцию, а транзакцию провес, Аноним (-), 17:23 , 20-Сен-11, (104) Ну-ну При цене вопроса - перехват банковской сессии - можно выполнить ЛЮБОЕ к, Аноним (-), 11:13 , 20-Сен-11, (23) +3 // Там еще трафик надо контролировать Думается мне - проще трояна подсадить на ну, Онаним (?), 13:20 , 20-Сен-11, (51) +3 Большая проблема создать фиктивную точку доступа WiFi На которую затянуть соеди, Аноним (-), 14:32 , 20-Сен-11, (58) К сожалению это сделать чуть ли не проще чем JavaScript в IFRAME , Rom1 (ok), 15:20 , 20-Сен-11, (76) Как два пальца - Семеныч, ну чо ты уже перевел лимон баксов кому надо - Нее, П, ezhik (?), 16:42 , 20-Сен-11, (87) Не ломанется на WiFi так кабель в подьезде подвале люке разрезать не долго, Аноним (-), 17:02 , 20-Сен-11, (92) Повторяю для тех, кто на бронепоезде Все зависит от ЦЕНЫ ВОПРОСА За червонец , Аноним (-), 17:24 , 20-Сен-11, (105) Собирать аккаунты можно элементарно Создаешь свою точку доступа к каком-нибудь , Аноним (-), 15:28 , 20-Сен-11, (77) +1 // И зачем тебе в таких условиях SSL ломать Ты насобираешь паролей от кучи аккаунт, ezhik (?), 16:49 , 20-Сен-11, (89) Ты точно уверен, что не пойдет Бывают совершенно патовые ситуации, когда НАДО, , Аноним (-), 17:17 , 20-Сен-11, (102) В реальных условиях наверное целая контора нужна для организации такой атаки Од, Аноним Ус (ok), 02:28 , 21-Сен-11, (121) // Как минимум нужно разработать более надежный , jedie (?), 05:48 , 21-Сен-11, (123) То есть теперь, чтобы зайти в банковский аккаунт, нужно закрыть браузер чтобы н, ezhik (?), 13:05 , 20-Сен-11, (46) +2 // Одно окно браузера, NoScript , плюс только минимально необходимое время в сети , Аноним Ус (ok), 02:31 , 21-Сен-11, (122) не открывая левых окон можно не особо беспокоиться за шифрование , Аноним (-), 10:41 , 20-Сен-11, (3) // iframe же, Аноним (-), 11:05 , 20-Сен-11, (13) +1 // iframe еще и внедрить надо, koloboid (ok), 12:24 , 20-Сен-11, (40) +1 // что там внедрять подменяем скрип рисующий популярные нынче кнопочки, типа доба, aaa (??), 16:02 , 20-Сен-11, (81) –1 Как я понимаю, полная изоляция вкладок броузера друг от друга в значительной сте, vadiml (ok), 10:47 , 20-Сен-11, (5) // А что они не изолированы Какой ужас , anonymous (??), 10:50 , 20-Сен-11, (6) +1 // Да просто конекция реюзается, на свою задницу Оптимизация скорости выходит боко, Аноним (-), 14:51 , 20-Сен-11, (66) Изоляция вкладок не поможет, все равно почти все браузеры для одного сайта, откр, Аноним (-), 10:54 , 20-Сен-11, (7) // У Хромиума, вроде как, задавалось с командной строки, per-tab или per-site Или , Аноним (-), 11:22 , 20-Сен-11, (24) // Да, это только рендеринг С private prowsing попутали, небось , Имя (?), 11:43 , 20-Сен-11, (34) Угу, щаз Изолировать надо ключи и локальный сторадж Корочч -- по отдельному , Andrey Mitrofanov (?), 10:56 , 20-Сен-11, (8) Ну на самом деле вкладки и так изолированы друг от друга, если бы было не так то, Дмитрий (??), 11:01 , 20-Сен-11, (11) Написанно коряво, суть в отправки данных js со страницы одного сайта в контексте, cmp (ok), 11:11 , 20-Сен-11, (20) // Реферрер не спасет, так как его проверка возможно только ПОСЛЕ установки ссл сес, samm (ok), 14:29 , 20-Сен-11, (57) // Дык перехват и происходит после установки сессии, а реферер скажет - есть ли пре, cmp (ok), 16:56 , 20-Сен-11, (90) хреново блин кастую TLSv2 перефразируйте пожалуйста, не по-русски оно , koloboid (ok), 10:56 , 20-Сен-11, (9) // А кастую типа по-русски , Cub (ok), 13:19 , 20-Сен-11, (49) +5 Уже есть TLS 1 1 https secure wikimedia org wikipedia en wiki Transport_Layer, solardiz (ok), 14:24 , 20-Сен-11, (56) +1 NoScript спасет отцов русской демократии , дикий анон (?), 11:00 , 20-Сен-11, (10) –2 // нет, Дмитрий (??), 11:02 , 20-Сен-11, (12) Ага То-то я смотрю на нем щас все переписывают Начиная от qt и заканчивая целы, Корж (?), 11:06 , 20-Сен-11, (15) –3 // на чём переписывают , Макс (??), 15:07 , 20-Сен-11, (73) Не спасет Принципиальная уязвимость реализации костылем не закрывается No Scri, Аноним (-), 11:12 , 20-Сен-11, (21) –1 // Пользователи ноускрипта просто разрешают нужные сайты Нормальные люди навигацию, Lain_13 (?), 11:35 , 20-Сен-11, (28) +4 // И почему же перестал , Аноним (-), 11:39 , 20-Сен-11, (30) +1 А что, AdBlock и Squid уже отменили с баннерорезками , Аноним (-), 13:18 , 20-Сен-11, (47) Squid - редкое явление у крупных провайдеров и просто на безлимитных тарифах Тем, XoRe (ok), 12:31 , 21-Сен-11, (130) Хомяки и слов таких не знают, а именно они создают основной вал инет-торговли , Кирилл (??), 15:02 , 20-Сен-11, (70) –1 связанно это только-ЛИШЬ с тем что есть опасность неработоспособности такого сай, Xasd (ok), 15:15 , 20-Сен-11, (75) Кошерно Почитай комменты к новости про браузер Dillo , Аноним (-), 11:42 , 20-Сен-11, (33) Уже довольно давно пользуюсь NoScript Большинство юзабельны без JS да, кое что, MrClon (?), 13:19 , 20-Сен-11, (48) +3 // Да-да, CA тоже доверенные Как бы Были И типа доверенные сайты не ломаются, да, Аноним (-), 14:48 , 20-Сен-11, (62) Пробовали , Michael Shigorin (ok), 14:50 , 20-Сен-11, (65) Против MITM тебя никакой NoScript не спасет Просто скрипты будут встраиваться в, Аноним (-), 17:13 , 20-Сен-11, (100) Интернет давно себя дискредитировал Создаваясь как средство военной коммуникаци, Аноним (-), 11:06 , 20-Сен-11, (14) // То ли дело векторный гипертекстовый фидонет , Вова (?), 11:08 , 20-Сен-11, (16) +5 Гипертекстовый Национаолтьный С поэтессами , Andrey Mitrofanov (?), 11:08 , 20-Сен-11, (17) +2 Мицг 243 л, невозбр 225 нно залогиньтесь уж 233 FTN в этом плане на порядок , Аноним (-), 11:30 , 20-Сен-11, (26) +1 // Можно подробнее с этого места И что мне мешает делать обмен с любой нодой, если, ffirefox (?), 12:42 , 20-Сен-11, (43) // Нодой 8212 ничто не мешает, идете, договариваетесь о пиринге, оно работает Т, Аноним (-), 15:00 , 20-Сен-11, (67) Не совсем понятно причём тут сам протокол TLS Объединять запросы разных вкладок, Аноним (-), 11:26 , 20-Сен-11, (25) +3 // Вот как бы, да Например, относится ли все написанное к, например, IMAP4-клиента, Аноним (-), 11:33 , 20-Сен-11, (27) // на самом деле тоже относится но просто должнабыть какаято другая схема экпл, Xasd (ok), 15:49 , 20-Сен-11, (80) // А оно вообще в принципе доработано может быть Насколько мне известно оно надо , Аноним (-), 16:38 , 20-Сен-11, (86) вектор инициализации не связан с генерацией ключей он используется в проц, Xasd (ok), 17:02 , 20-Сен-11, (93) Насколько я понимаю расшифровка определение ключа идет не на основе нахождения, Аноним (-), 18:16 , 20-Сен-11, (108) SMTP-сервер добавит к Вашим письмам с эталонными данными совсем не эталонные заг, Moomintroll (ok), 17:01 , 20-Сен-11, (91) эт Вы верно подметили один такой случайный заголовок находящийся ПЕРЕД данны, Xasd (ok), 17:05 , 20-Сен-11, (95) Ура Давно пора , Аноним (-), 11:38 , 20-Сен-11, (29) Зачем такие сложности Headless webkit публичная точка доступа wifiрепроксирован, Аноним (-), 11:41 , 20-Сен-11, (31) // Честно говоря не понял Если удаленный узел принудительно перенаправляет соедине, KOL (ok), 17:09 , 20-Сен-11, (96) // отвечая на ваш вопрос что делать можно-ну, тут в одной недетской конторе безопас, zerot (ok), 21:46 , 20-Сен-11, (116)   // Навскидку, разместить iframe в том же личном кабинете провайдера гораздо проще, , KOL (ok), 23:31 , 20-Сен-11, (119)   Но дальше оказывается, что этот издательский микрософтовый Какой онанизм В усло, Chief Security II (?), 15:39 , 21-Сен-11, (139)   Разве возможность зашифровать данные, посмотреть результат шифрования и НЕ узнат, Аноним (-), 11:42 , 20-Сен-11, (32) +1 // В данном случае незашифрованные данные известны, их генерирует используемый для , Аноним (-), 12:29 , 20-Сен-11, (42) Прошу прощения, но он не Тай Данг, а Тхай Дыонг Поправьте, пожалуйста, если мож, Yakov Markovitch (?), 11:50 , 20-Сен-11, (36) +3 // Откуда такая информация в языках от латинского в Th h не читается И обычно, fi (ok), 18:49 , 20-Сен-11, (110) –1 // C каких пор китайский берет начало в латинском языке D, sndev (ok), 19:36 , 20-Сен-11, (114) // А что Thai - это китайские иероглифы , fi (ok), 12:45 , 22-Сен-11, (145) –1 Это даже не китайский - это вьетнамский Он вьетнамец Th 225 i D 432 417 ng, Yakov Markovitch (?), 23:33 , 20-Сен-11, (120) +1 Так А вот, например, если браузер и вебсервер новый openssl больше какой-то ве, Stax (ok), 12:17 , 20-Сен-11, (39) // Camellia патентована И - где она повсеместно на серверах А - самое главное - п, Аноним (-), 13:20 , 20-Сен-11, (50) +1 // Ну, любой сервер на текущей версии редхата центоси SL как минимум по умолчанию п, Stax (ok), 17:12 , 20-Сен-11, (98) // Вот мне тоже это интересно, почему именно AES Зная алгоритм шифрования, исходн, Аноним (-), 18:57 , 20-Сен-11, (112) И всё равно неповоротливые задницы миллиардеров не пошевелятся, чтобы что-то изм, Аноним (-), 12:59 , 20-Сен-11, (44) +1 // Ты притворяешься или и правда клиника Сколько времени что-то становится стандар, Аноним (-), 13:21 , 20-Сен-11, (53) // Да его с самого начало нужно было закапать, что собственно и выразилось в выпуск, fi (ok), 18:53 , 20-Сен-11, (111) То есть, обе вкладки будут юзать одну и туже SSL сессию Яваскрипт будет отправл, Pentarh (?), 13:27 , 20-Сен-11, (54) Абалдеть D Дяденьки открыли классический криптоанализ с возможностью генерации, Аноним (-), 14:05 , 20-Сен-11, (55) // Salt вычисляется по известному алгоритму Курить матчасть до просветления , Аноним (-), 14:49 , 20-Сен-11, (64) // Salt вычисляетсяА не берётся случайно , Аноним (-), 15:00 , 20-Сен-11, (69) // Случайного в компе, увы, нет , Кирилл (??), 15:04 , 20-Сен-11, (72) а у меня в компе есть dev random и чуть-меннее-случайный dev urandom с, Xasd (ok), 15:33 , 20-Сен-11, (78) Толку то, примесь вычисляется , Кирилл (??), 16:14 , 20-Сен-11, (83) Ты просто трындишь dev random не является полноценным аппаратным рандомизатором, Аноним (-), 17:21 , 20-Сен-11, (103) зачем мне на домашнем компьютере на котором установлен www-браузер с поддержкой, Xasd (ok), 17:32 , 20-Сен-11, (106) ну, товарищ привёл неудачный примера если так - в качестве демонстрации идеи ta, zerot (ok), 21:52 , 20-Сен-11, (117) Ну допустим получили, а как потом не зная этой соли на принимающей стороне расши, Аноним (-), 23:10 , 20-Сен-11, (118) +1 Да никак Соль или Примесь задаётся заранее известным алгоритмом или из таблиц, Кирилл (??), 11:16 , 21-Сен-11, (126) +1 Отсыпь , Аноним (-), 14:19 , 21-Сен-11, (133) man генератор псевдослучайных чисел, Аноним (-), 17:04 , 20-Сен-11, (94) В общем, если пользуетесь платежами по карточке, то держите открытым только одно, Кирилл (??), 15:00 , 20-Сен-11, (68) +1 // именно плюсую - а ещё с увелечением числа CSRF-уязвимостей в интернетах , Xasd (ok), 15:37 , 20-Сен-11, (79) Можно пользоваться каким-то одним браузером только для банка Например, FF - для , XoRe (ok), 12:44 , 21-Сен-11, (132) +1 платные или собственные vpn-аккаунты внезапно должны стать очень популярными , stimpack (?), 16:11 , 20-Сен-11, (82) +1 А для параноиков лучше ходить лично на рынок там камер меньше и покупать за на, Аноним (-), 09:11 , 21-Сен-11, (124) // Так и делаем, плюс своё в качестве дизель-генератора , Michael Shigorin (ok), 11:46 , 21-Сен-11, (128) Используйте одноразовые пароли как в телебанке ВТБ24 и вам не будет страшен ника, Стас Агарков (?), 12:00 , 21-Сен-11, (129) +1 // И как эти пароли защищают от MitM Даже на википедии в первых строках Использ, scor (ok), 14:39 , 21-Сен-11, (136) Насчет сниффания - может и не нужно, если удастся похитрить с DNS Подставить сво, XoRe (ok), 12:41 , 21-Сен-11, (131) // Да чего вы до него докапались-то Хватит адекватной реализации любого сильного ал, Аноним (-), 14:28 , 21-Сен-11, (135) // А почему-бы и нет Шифр не требователен к ресурсам проца При текущих объемах жест, XoRe (ok), 03:00 , 22-Сен-11, (142) Не понятно причём здесь недостатки протоколов, если взломаются сообщения зашифро, Макар Жук (?), 14:23 , 21-Сен-11, (134) // Я так понял, сообщения шифруются одним ключиком в течение всего сеанса или доста, Аноним (-), 14:39 , 21-Сен-11, (137) // Я не думают что алгоритм не проверили на стойкость к этому виду атаки, прежде че, Макар Жук (?), 15:12 , 21-Сен-11, (138) // Надо детально смотреть, что и как они там поломали Честно, мне - лень D, Аноним (-), 21:09 , 21-Сен-11, (141) Грубо говоря Дано - есть функция хеширования xor - есть исходные данные - есть р, XoRe (ok), 03:05 , 22-Сен-11, (143) Хеширование и шифрование это не одно и тоже, так что предложенный алгоритм не пр, Макар Жук (?), 09:41 , 22-Сен-11, (144) И, битовая операция XOR исключающее ИЛИ - это тоже совсем не шифрование , Аноним (-), 22:55 , 22-Сен-11, (146) И не хеширование , Аноним (-), 22:56 , 22-Сен-11, (147) И когда уже эта фигня про xor-шифрование перестанет проникать в неокрепшие умы, Аноним (-), 22:57 , 22-Сен-11, (148) Шифр вернама как раз работает через xor И считается абсолютно стойким шифром , XoRe (ok), 01:25 , 23-Сен-11, (150) Шифр Вернама работает через ключ гаммирования длины длине открытого текста Г, Аноним (-), 12:34 , 23-Сен-11, (152) Ну да Нагенерить несколько гигов рандомных данных, обменяться этими гигами, и ши, XoRe (ok), 02:13 , 24-Сен-11, (153) Все такие умные Знают правильные определения А подумать дальше определений - пон, XoRe (ok), 01:24 , 23-Сен-11, (149) Вот в этом можно попробовать и есть вся соль , Аноним (-), 12:29 , 23-Сен-11, (151) +1 AES уже попробовали Слава богу, что каждый протокол нужно взламывать в частном п, XoRe (ok), 02:15 , 24-Сен-11, (154) Разве тут что-то было про aes , Аноним (-), 14:23 , 24-Сен-11, (155) JavaScript-код используется для отправки на сайт, с которым работает жертва, фик, XoRe (ok), 16:20 , 24-Сен-11, (156) E Уязвимость _в протоколе_ SSL AES вполне себе живой , Аноним (-), 17:29 , 24-Сен-11, (157) 1,3,5,9,10,14,25,29,31,32,36,39,44,54,55,68,82,124,129,131,134

Сообщения

[Сортировка по времени | RSS]

	116. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от zerot (ok), 20-Сен-11, 21:46
	отвечая на ваш вопрос что делать можно - ну, тут в одной недетской конторе безопасность додумалась подменять сертификаты то есть идёте вы скажем в гугловую почту по https, а вам говорят - надо бы принять сертификат ... - вы его качаете, смотрите - вроде навскидку "по диагонали" правильно всё ... и в большинстве случаев жмёте "принять" - а если посмотреть кто удостоверяет его - окажется что якобы какой нибудь Microsoft, что уже странно. Но дальше оказывается, что этот издательский микрософтовый сертификат подписан самоподписанным сертификатом локальной конторы, который честно растиражирован на рабочие машины пользователей этой конторы как доверенный - как результат шибко умный сервер безопасников имеет весь контент в нешифрованном виде, пользователи не замечают лапшу на ушах и большого брата в личной переписке ... правильно, не фиг служебное железо использовать в личных целях :) - похожую схему можно выстроить и от провайдера, обязав разместить в доверенных издателях сертификат провайдера - например для личного кабинета
	Ответить | Правка | Наверх | Cообщить модератору

	119. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от KOL (ok), 20-Сен-11, 23:31
	> отвечая на ваш вопрос что делать можно > ... > похожую схему можно выстроить и от провайдера, обязав разместить в доверенных издателях > сертификат провайдера - например для личного кабинета Навскидку, разместить iframe в том же личном кабинете провайдера гораздо проще, чем обязать юзеров использовать самоподписанные сертификаты. Ведь в большинстве атак получение cookies является достаточным для дальнейших действий.
	Ответить | Правка | Наверх | Cообщить модератору

	139. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Chief Security II (?), 21-Сен-11, 15:39
	> отвечая на ваш вопрос что делать можно Но дальше оказывается, что этот издательский микрософтовый > сертификат подписан самоподписанным сертификатом локальной конторы, который честно растиражирован > на рабочие машины пользователей этой конторы как доверенный > - > как результат шибко умный сервер безопасников имеет весь контент в нешифрованном виде, > пользователи не замечают лапшу на ушах и большого брата в личной > переписке ... правильно, не фиг служебное железо использовать в личных целях > :) > - > похожую схему можно выстроить и от провайдера, обязав разместить в доверенных издателях > сертификат провайдера - например для личного кабинета Какой онанизм! В условиях конторы на комп пользователя политиками ставится кейлогер, типа Employee Monitor, коих чуть больше чем много. Есть под все платформы. Заодно они еще и зарплату считают.
	Ответить | Правка | К родителю #116 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема