Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Подробности про второй взлом Matrix. Скомпрометированы GPG-к..., opennews (?), 12-Апр-19, (0) [смотреть все] Где качнуть базу , Huff (?), 19:46 , 12-Апр-19, (1) +2 // а что с ней полезного сделать-то можно А, понял - ты свой пароль не можешь вспо, пох (?), 22:19 , 12-Апр-19, (22) +1 Т е в матриксе крутили на х ю самые обычные бестпрактисы Молодцы, че, Аноним (3), 20:06 , 12-Апр-19, (3) +16 // Это какие , Аноним (4), 20:14 , 12-Апр-19, (4) // Они же 171 очевидные любому 187 и 171 всем давно известные 187 Диванные, Аноним (10), 20:49 , 12-Апр-19, (10) +16 наоборот же ж - сплошные best practices - ci, торчащий задницей наружу, ssh-ключ, пох (?), 20:47 , 12-Апр-19, (9) –7 // Сразу видно большого специалиста по системному администрированию двух локалхосто, Аноним (10), 20:54 , 12-Апр-19, (11) +2 // да-да, вот мы видим что наадминистрировали бесстрашные специалисты нелокалхост, пох (?), 22:07 , 12-Апр-19, (19) +2 Это ты серьезно, бро 1 Полным конфигам - с ключами и прочим - вообще нечего , KonstantinB (ok), 23:03 , 12-Апр-19, (27) +8 // Не дописал - берутся из secrets database, доступа к которой нет ниоткуда, кр, KonstantinB (ok), 23:04 , 12-Апр-19, (28) +3 а поскольку для изменения любой ерунды нужно лезть на этот сервер - ты давно уже, пох (?), 14:02 , 13-Апр-19, (42) +1 Горячо плюсую Остальное, впрочем, тоже , Дон Ягон (?), 04:38 , 13-Апр-19, (34) +1 ну действительно, зачем вам версионирование конфигов, новаяпапка2454да-дад, пабл, пох (?), 14:00 , 13-Апр-19, (41) +2 А что не так с использованием ssh-ключей , Онанимним (?), 13:50 , 16-Апр-19, (66) На самом деле в большинстве стартапов то же самое Помню, как-то один прожектмана, Аноним (13), 21:14 , 12-Апр-19, (13) +5   // ну в целом-то не врал - работу приходится останавливать, все переделывать как на, пох (?), 22:16 , 12-Апр-19, (20) –1   // Это было начало проекта, шанс сразу сделать всё как надо, но нет , Аноним (31), 00:36 , 13-Апр-19, (31)   любой проект начинают как минимум двое - один из них общительный, другой умный , пох (?), 14:07 , 13-Апр-19, (45) –1   Особенно если разворачивать в нем системы предназначенные для кровавого энтерпра, Аноньимъ (ok), 17:20 , 14-Сен-21, (71)   Проблема в том, что разработчикам надо работать, а если например, ожегшись на м, Сергей (??), 14:03 , 16-Апр-19, (67) –2   // Ну и чем svn и FreeBSD мешает работать вашим разработчикам Гугл это триллионная , Аноньимъ (ok), 17:23 , 14-Сен-21, (72)   Вот это взрыв из прошлого, понимаю 8230 , Аноним (74), 15:42 , 18-Дек-21, (74)   А как Jenkins мог такую дыру раскрыть Он же на джаве, буфер там переполниться н, Аноним (5), 20:18 , 12-Апр-19, (5) –3 // В любой плаг сажаешь троя и имеешь кого хочешь , Аноним (7), 20:35 , 12-Апр-19, (7) +1 Какой маленький, какой наивный 8230 https jenkins io security advisories , Аноним (13), 21:06 , 12-Апр-19, (12) +2 // https wp-content bluebus com br wp-content uploads 2014 08 sarcasm-big-bang-th, Аноним (15), 21:36 , 12-Апр-19, (15) +1 Тут бы помог только язык, который принципиально не позволяет читать файлы Тогда, КО (?), 22:51 , 12-Апр-19, (25) // да ладно, для сборки не надо читать файлы, их надо писать - , пох (?), 14:08 , 13-Апр-19, (46) +1 best practicsssh agent на сервере , Аноним (6), 20:21 , 12-Апр-19, (6) +2 // То был форвардинг агента с админской машины на промежуточный сервер Но от того , Аноним (15), 21:37 , 12-Апр-19, (16) +2 // ничего что это дефолтная настройка sshd , пох (?), 22:17 , 12-Апр-19, (21) // В том и беда Как и всякие IdentitiesOnly , Аноним (30), 00:08 , 13-Апр-19, (30) +1 Вот кстати да ssh изкоробочный брешь сам по себе Заморочишься настроить, все ка, Аноним (38), 12:05 , 13-Апр-19, (38) // нет агента - нет проблемы Ну и ключ должен быть не один на все, а индивидуальный, пох (?), 14:11 , 13-Апр-19, (47) –3 // А он уже давно умеет 2FA Но дремучие админы локалхоста об этом не догадываются , Твой влажный сокет (?), 20:41 , 13-Апр-19, (56) +1 я не разрешаю автоматом деплоитьтолько собирать и заливать на продакшен от имени, хотел спросить (?), 23:56 , 13-Апр-19, (60) +1 Лет 20 как умеет, но седобородые админы не умеют, Анонимус2 (?), 20:46 , 13-Апр-19, (57) Зато секурность , Аноним (7), 20:40 , 12-Апр-19, (8) +1 То есть предлагалось следовать подходу security through obscurity , Аноним (17), 21:58 , 12-Апр-19, (17) +1 // для закрытых от внешнего мира систем это прекрасно работает Или как минимум затя, пох (?), 19:54 , 13-Апр-19, (55) Это конфигурации, но не токены-пароли-ключи Насколько понял Руками сервера сег, Ан. (?), 22:23 , 13-Апр-19, (59) –1 // 65wat , Аноньимъ (ok), 16:54 , 14-Сен-21, (70) Ааа а я то думал, зачем гит нужен Смузи-стайл воодружать систему контроля в, Аноним (73), 19:29 , 17-Сен-21, (73) Добрый прохожий ещё попался , Michael Shigorin (ok), 22:24 , 12-Апр-19, (23) +8 // Я бы сказал - на редкость Дефейс и конструктивная критика вместо трояна в релиз, Crazy Alex (ok), 22:32 , 12-Апр-19, (24) +13 // И наверняка он ранее пылался им указать на недостатки Но матриксовцы его замеча, Аноним (40), 12:43 , 13-Апр-19, (40) +2 он наверное уже в курсе, что там много не намайнишь, с полутора-то фриками польз, пох (?), 14:12 , 13-Апр-19, (48) –1 Справедливости ради, отчёты хакера удалены вместе с его аккаунтом, а не разработ, AnonPlus (?), 22:57 , 12-Апр-19, (26) +1 // им достаточно было просто пожаловаться, работящие индусы все сделали за них - В, пох (?), 14:14 , 13-Апр-19, (49) Лол, и каждый раз повторяются одни и те же слова следовало использовать двухфак, Kuromi (ok), 05:40 , 13-Апр-19, (35) // Правильно Передайте все ключи сотовым операторам сразу , InuYasha (?), 14:02 , 13-Апр-19, (43) –1 // ну не ssh же ж на самом же деле патчить , пох (?), 14:14 , 13-Апр-19, (50) TOTP или FIDO в помощь, Crazy Alex (ok), 14:36 , 13-Апр-19, (51) +1 Кроме кода по SMS есть куча других возможных факторов , Гентушник (ok), 19:07 , 13-Апр-19, (54) +1 U2F, FIDO WebAuthn уже давно поддерживается в Хроме и ФФ, остальные браузеры на , Kuromi (ok), 17:53 , 17-Апр-19, (68) Спасибо за новость - узнал, что есть такой проект чтобы держаться подальше и, Аноним (53), 17:23 , 13-Апр-19, (53) –3 // И от Linux впридачу , Андрей (??), 22:07 , 13-Апр-19, (58) –2 Как раз теперь можно ожидать, что проект, наученный добрым хакером, начнет уделя, x3who (?), 11:08 , 16-Апр-19, (65) Я не понимаю , вообще о какой безопасности в таких проектах может идти речь Вс, Биарей Гиесс и Котт (?), 12:35 , 14-Апр-19, (61) Так чьи пароли утекли, разработчиков , Аноньимъ (ok), 16:52 , 14-Сен-21, (69) // Все утекли , Аноним (74), 15:43 , 18-Дек-21, (75) 1,3,5,6,8,17,23,26,35,53,61,69

Сообщения

[Сортировка по времени | RSS]

	13. "Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."	+5 +/–
	Сообщение от Аноним (13), 12-Апр-19, 21:14
	На самом деле в большинстве стартапов то же самое. Помню, как-то один прожектманагер, когда я заикнулся о том, как делать авторизацию, заявил: «Как говорил X X-ич X-ов, когда речь заходит о безопасности, работа останавливается.» Кто такой этот хрен, которого он цитировал, я так и не выяснил, да и имя сразу же забыл, но имею основания полагать, что такая точка зрения весьма распространена, и вертеть на х.ю вопросы безопасности как раз-таки входит в бестпрактисы дефективных манагеров.
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	20. "Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."	–1 +/–
	Сообщение от пох (?), 12-Апр-19, 22:16
	ну в целом-то не врал - работу приходится останавливать, все переделывать как надо, а не как удобно разработчикам, и их потом п-ть, чтобы после жесткого внушения что использовать для упрощения себе жизни sh скопированный в cgi/ - нехорошо, не обнаружить через час exec("/bin/sh"); уже в коде на единственноправильном язычке. Удобно уложенный в корень сайта с неприметным именем shell (по сути реальный случай - причем из тех времен, когда это действительно было можно делать, потому что менеджеры были - эффективные, без кавычек, из тех что поднимали бизнес с нуля без копейки в кармане, и хорошо понимали, чем грозит такой файлик) - а у них от этого фрустрация и опускаются руки. и нет, в кговавом ентер-прайсе точно такая же фигня творится,  правда, там обычно, в отличие от хипста-стартапа, есть периметр безопасности, худо-бедно предотвращающий совсем уж лоховские истории типа торчания дырявого и не подлежащего апгрейду из-за миллиона плагинов, включая написанные кем-то давно уволившимся, ci в паблик. вот сегодня например у нас заметили что пинг запретили ;-)
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."	+/–
	Сообщение от Аноним (31), 13-Апр-19, 00:36
	> работу приходится останавливать, все переделывать как надо Это было начало проекта, шанс сразу сделать всё как надо, но нет.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."	–1 +/–
	Сообщение от пох (?), 13-Апр-19, 14:07
	"любой проект начинают как минимум двое - один из них общительный, другой умный. Первый потом обычно становится CEO, второй CTO." А админа они нанимают лет через пять, иногда уже после того как пару раз поломают. Ну и учтите еще что это в изрядной степени community проект, а такие вообще сложно удержать под контролем. Кто-нибудь рано или поздно продалбывает учетку. Я-то свой пароль от корпоративных серверов могу на бумажке к монитору клеить - если кто-то уже читает эту бумажку, и при этом знает, куда это набирать - тут уже все равно ловить нечего. Но там на входе злой дядька с пистолетом, поэтому больше бояться надо казачков засланных. А у тех есть еще тыщаодин способ тот пароль спереть, даже если я его набираю из головы, трижды оглянувшись вокруг.
	Ответить | Правка | Наверх | Cообщить модератору

	71. "Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."	+/–
	Сообщение от Аноньимъ (ok), 14-Сен-21, 17:20
	>Ну и учтите еще что это в изрядной степени community проект, а такие вообще сложно удержать под контролем. Особенно если разворачивать в нем системы предназначенные для кровавого энтерпрайза. Чтобы держать под контролем ненужно сущности плодить с которыми совладать не можешь.
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."	–2 +/–
	Сообщение от Сергей (??), 16-Апр-19, 14:03
	Проблема в том, что разработчикам надо работать, а если (например, ожегшись на молоке) назначают рулить системой какого-нибудь упоротого сисадмина, который знает только "не пущать", то начинается как раз: svn, freebsd, ещё какая-нибудь экзотика из 90-х (времён, когда у админа ещё стоял), а всего остального он не знает, и запрещает как небезопасное. Ответ гугла на это — концепция SRE, когда инфраструктурой рулят полуразработчики, которые не воюют с разрабами, а понимают их боль, но и не забивают и на безопасность при этом. SRE в числе самых высокооплачиваемых ребят, по последнему опросу на StackOverflow (дороже почти всех разработчиков).
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	72. "Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."	+/–
	Сообщение от Аноньимъ (ok), 14-Сен-21, 17:23
	Ну и чем svn и FreeBSD мешает работать вашим разработчикам? >Ответ гугла на это — концепция SRE, когда инфраструктурой рулят полуразработчики, которые не воюют с разрабами, а понимают их боль, но и не забивают и на безопасность при этом. SRE в числе самых высокооплачиваемых ребят, по последнему опросу на StackOverflow (дороже почти всех разработчиков). Гугл это триллионная мегакорпорация ответ которой мало подходит остальным, и темболее среднему и малому бизнесу и уж тем более небольшому сообществу.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."	+/–
	Сообщение от Аноним (74), 18-Дек-21, 15:42
	Вот это взрыв из прошлого, понимаю…
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема