forum.opennet.ru

"Раскрыты данные о взломах инфраструктуры VeriSign в 2010 году"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Подсказка: Для контроля за появлением новых сообщений - перед выходом жмите "Пометить прочитанным".

. "Раскрыты данные о взломах инфраструктуры VeriSign в 2010..."	+/–
Сообщение от Аноним (-), 05-Фев-12, 11:32
> Без HTTPS проснифить твои куки (или пароль, если он будет в открытом > виде передаваться, без хеширования на стороне клиента) Я бы ещё добавил, что имея возможность перехвата трафика, не представляет труда перехватить нужные для хеширования на стороне клиента.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Раскрыты данные о взломах инфраструктуры VeriSign в 2010 году, opennews, 03-Фев-12, 10:53 [смотреть все]

Вирусы давно уже в мировых масштабах перенапрвляют вендоюзеров на свои собственн, Анониматор, 03-Фев-12, 10:53 (1) //
- Вы мыслите очень мелко и в обратном направлении Перенаправить виндоюзеров в масш, skJ, 03-Фев-12, 11:32 (2) //
  - Причем всех включает в себя не только пользователей, но и сервера, обменивающи, тоже Аноним, 03-Фев-12, 11:51 (3)
  - Великое складывается из малого , D.B.Ktyby, 03-Фев-12, 12:01 (5)
  - А знаешь, правительство США нажавшее на верисайн так может сделать на раз-два-тр, Аноним, 03-Фев-12, 14:25 (9) //
    - Точно также как правительство РФ может надавить на удостоверяющий центр в РФ, уд, Аноним, 03-Фев-12, 17:46 (31)
      - В Христиании -- есть Чтоб правительство ещё меньше давило , Andrey Mitrofanov, 03-Фев-12, 18:30 (34)
        
        Куда уж меньше-то - P S Очень давно читал о них Было интересно Смутно пред, the joker, 03-Фев-12, 20:05 (37)
      - Может При этом если честно мне не так уж важно, какое именно правительство или , Аноним, 04-Фев-12, 00:58 (53)
- Тут, как в известном анекдоте, есть один нюанс При условии, что сайт поддержи, Anonplus, 03-Фев-12, 13:51 (7) //
  - вирусу достаточно добавить свой CA в список системных и не будет , Анон, 03-Фев-12, 20:10 (40) //
    - Иди расскажи это комодохакеру, лихо выписавшему себе сертификат дигинотаром кля, Аноним, 04-Фев-12, 02:23 (68)
  - во-первых, как сказали выше, достаточно добавить 171 поддельный 187 сертифик, arisu, 03-Фев-12, 20:43 (47) //
    - Самое жесткое - что в случае взлома верисайнов и подобных ничего добавлять как р, Аноним, 04-Фев-12, 02:18 (67)
- Внезапно 1 Существуют не только вендоюзеры андройды, айосы, другие сервера , anonimous, 03-Фев-12, 20:27 (45)
интересно, на чём у них инфраструктура троль и какой очередной бсдссш винлват , ананим, 03-Фев-12, 12:00 (4) //
- эльф В прошлый раз помнится был виноват неизвестный 0day в винде, видимо позвол, Аноним, 03-Фев-12, 14:28 (10)
потому что эта идея 171 сертификации 187 defective by design но до сих пор , arisu, 03-Фев-12, 13:15 (6) //
- Я честно говоря вообще не понимаю смысла в шифровании этого траффика Чего таког, Аноним, 03-Фев-12, 14:29 (11) //
  - Ник пароль тоже в открытом виде передавать А никто не покоцает мой репозитор, MaMoHT, 03-Фев-12, 15:12 (13) //
    - хеширование с солью никто не отменял Попробуйте sha512 соль пароль расшифрова, Иван Иванович Иванов, 03-Фев-12, 15:24 (15)
      - Это понятно, но результат вашего предложения - реализация соственного протокола-, MaMoHT, 03-Фев-12, 15:42 (18)
        
        Это вы минус поставили, да Так вот я вас огорчу - вы сейчас какую-то хрень выдум, Иван Иванович Иванов, 03-Фев-12, 15:55 (20)
        
        Почему у Вас реализация какой-то хрени на js, которую по какому-то недоразумен, Andrey Mitrofanov, 03-Фев-12, 16:19 (23)
        
        Идея CA уже 500 раз доказала свою несостоятельность Полный контроль США за CA в, Иван Иванович Иванов, 03-Фев-12, 16:32 (24)
        
        Есть же не-сша центры Почему про них мало известно Провести акцию нормальные , playnet, 03-Фев-12, 16:54 (26)
        
        Помнится был в Норвегии, который закрылся по известным причинам , Аноним, 03-Фев-12, 19:28 (36)
        Получил допустим Вася в не-США центре сертификат того что он - Вася Сертифициро, Аноним, 04-Фев-12, 02:33 (69)
        
        Вы со мной _спорите_ Я то же самое и написал -- получившая своё система CA , Andrey Mitrofanov, 03-Фев-12, 17:16 (27)
      - hmac не слышали , evgeny_t, 03-Фев-12, 16:13 (22)
        
        Я в курсе, а народ в теме нет , Иван Иванович Иванов, 03-Фев-12, 16:34 (25)
      - Извините, и как вы себе это представляете Причём тут расшифровка К тому, что в, Кирилл, 03-Фев-12, 17:29 (30)
      - Осталось придумать как передать пароль на сервер при регистрации через интернет , Аноним, 03-Фев-12, 17:49 (32)
        
        И как защитить хэш от перехвата, разница не велика войти в аккаунт под перехваче, Аноним, 03-Фев-12, 18:06 (33)
        
        Битва набирала Всё смешалось, кони, перехват сессий---, Andrey Mitrofanov, 03-Фев-12, 18:53 (35)
        Легко Самый примитивный вариант sever - client а ты это правда ты Вот те lon, Аноним, 04-Фев-12, 02:11 (65)
        
        Эта схема подразумевает генерацию после успешной проверки сессионного идентифика, Аноним, 04-Фев-12, 12:26 (75)
        
        Эта схема подразумевает что клиент и сервер где-то внутри себя знают пароль и мо, Аноним, 04-Фев-12, 15:52 (78)
        
        Перечитайте начало ветки, здесь обсуждается заявление что использование хэшей дл, Аноним, 04-Фев-12, 21:05 (79)
        
        вообще-то бОльшую при правильной реализации и тебе это изо всех сил пытались по, arisu, 05-Фев-12, 02:02 (81)
        
        Это вы отказывайтесь понять, что без шифрования всех данных в сеансе связи, кром, Аноним, 05-Фев-12, 11:28 (93)
        а тебе тут пытались пояснить, что даже хэши надёжней, чем 171 шифрование 187 , arisu, 05-Фев-12, 12:43 (96)
        Не вижу никакого смысла в шифровании моей активности по браузингу публичного реп, Аноним, 06-Фев-12, 16:07 (107)
        
        А как вы будете обеспечивать синхронность примеси Этот велосипед уже до Вас соз, Кирилл, 06-Фев-12, 15:30 (99)
        
        ну сказали же простейший есть и 171 более другие 187 варианты но я так по, arisu, 06-Фев-12, 15:35 (101)
        
        Просто вы обмолвились об использовании рандомной примеси Вот и интересно, как в, Кирилл, 06-Фев-12, 15:44 (104)
        
        я O_O с тех пор, как я таки зарегистрировался, я анонимусом уже не пишу и в ди, arisu, 06-Фев-12, 15:56 (106)
        
        Просто ты иногда похоже на меня мыслишь, наверное поэтому и путают Я бы даже ск, Аноним, 06-Фев-12, 16:36 (109)
        взаимно - видимо, надо к каждому посту disclaimer добавлять наподобие 171 я, arisu, 06-Фев-12, 16:53 (114)
        
        Наверное именно поэтому методы аутентификации такого типа довольно стандартны дл, Аноним, 06-Фев-12, 16:08 (108)
    - Ну это да, для авторизованых юзеров оно оправдано Но для гуестов которые пришли, Аноним, 04-Фев-12, 01:27 (54)
  - Главное же, не путать аутентифткацию, про которую речь в связи с сертификатами, , Andrey Mitrofanov, 03-Фев-12, 15:41 (17) //
    - Анонимность браузинга публичного репа Факт моего конекта к нему виден по src ds, Аноним, 04-Фев-12, 01:29 (55)
  - Насчет публичный и всем доступен https github com plansЕсли бы гитхаб был п, тоже Аноним, 03-Фев-12, 16:04 (21) //
    - только непонятно, как отсюда вытекает 171 8230 потому давайте включим https , arisu, 03-Фев-12, 20:13 (41)
      - Без HTTPS проснифить твои куки или пароль, если он будет в открытом виде переда, anonymous, 05-Фев-12, 02:56 (82)
        
        кэп что-то дофига вас развелось нынче а ты не думал, что я вполне, например, э, arisu, 05-Фев-12, 03:02 (83)
        
        Сделают от вашего имени троянский коммит в каком-нибудь проекте, который вам дов, Аноним, 05-Фев-12, 11:35 (95)
        
        бугога давай, я тебе дам пароль от аккаунта, а ты попробуешь сделать коммит, а , arisu, 05-Фев-12, 12:48 (97)
        
        Я бы ещё добавил, что имея возможность перехвата трафика, не представляет труда , Аноним, 05-Фев-12, 11:32 (94)
        
        да наивно спрашивать, но всё таки тебе ничего не говорят слова 171 Diffie 8, arisu, 05-Фев-12, 12:56 (98)
        
        Эти криведки никогда не слышали о подобных схемах Они только минусы умеют винти, Аноним, 06-Фев-12, 16:44 (110)
        
        это костыль, в общем-то, а не полноценное решение потому я и сказал, что 171 , arisu, 06-Фев-12, 17:07 (117)
        
        Для точка-точка и передачей ключей курьером в запечатанном конверте вполне подхо, Кирилл, 06-Фев-12, 17:20 (118)
        Механизм, конечно же есть, но он не массовый и с довольно муторной инфраструктур, Кирилл, 06-Фев-12, 17:22 (119)
    - Как же тогда публичные кодосвалки типа гиториуса работают до сих пор , Аноним, 04-Фев-12, 01:29 (56)
  - на самом деле гитхаб сделан для хомячков, так что я погорячился полагаю, авторы, arisu, 03-Фев-12, 20:10 (39) //
    - Ну хоть какая-то польза научатся хорошей системой контроля версий пользоваться , Аноним, 04-Фев-12, 01:30 (57)
      - так приходят-то не потому, что https, а именно потому, что git а вот среди вари, arisu, 04-Фев-12, 01:33 (59)
        
        Ни разу не видел такого Скорее за удобные средства взаимодействия Хотя может о, Аноним, 04-Фев-12, 01:58 (63)
        
        ни одного, кстати, не нашёл какие-то непонятной ценности ошмётки неизвестно чег, arisu, 04-Фев-12, 02:08 (64)
        
        Да просто у некоторых и такого нет Вика у гитхаба кстати действительно угребищн, Аноним, 04-Фев-12, 02:15 (66)
        
        пользуются и даже тем, что у гитхаба называется 171 багтрекер 187 тоже поль, arisu, 04-Фев-12, 02:34 (70)
        
        Можно я пользуясь случаем толкну long hateful rant Или несколко полезных сов, Аноним, 04-Фев-12, 03:18 (72)
- Альтернатива , Аноним, 03-Фев-12, 14:41 (12) //
  - чему , arisu, 03-Фев-12, 20:13 (42)
- Если считаешь её дефективной, значит есть с чем сравнивать , pavlinux, 03-Фев-12, 15:23 (14) //
  - значит, в ней есть известные дефекты fixed , Andrey Mitrofanov, 03-Фев-12, 15:36 (16)
  - помимо того, что дефекты можно видеть и без сравнений, скажу ещё, что да, есть , arisu, 03-Фев-12, 20:14 (43) //
    - Ариша - ответь на два вопроса 1 - пользуешь ли Вы он-лайн банкинг ,2 - и если д, Anonymouse, 03-Фев-12, 20:51 (49)
      - нет на всякий случай это не значит, что я не в курсе, что оно такое и как орга, arisu, 03-Фев-12, 21:44 (50)
      - Скажи честно, что помешает митму при столь декоративной секурности этого протоко, Аноним, 04-Фев-12, 01:32 (58)
        
        Категорические утверждения абсолютно неверны ц Как и в любом споре щита и меча, Michael Shigorin, 05-Фев-12, 00:07 (80)
        
        В случае криптографии факт взлома величина довольно-таки бинарная ваши данные и, Аноним, 06-Фев-12, 16:47 (112)
        
        ну, не совсем так в принципе, иногда играет роль время, необходимое на дешифров, arisu, 06-Фев-12, 16:56 (115)
        
        Бывает и второй, и третьей, и сто пятидесятой свежести Это вопрос управления ри, Кирилл, 06-Фев-12, 15:39 (103)
        
        В случае текущего механизма https оно вообще один сплошной большой риск , Аноним, 06-Фев-12, 16:45 (111)
        
        Скажем, риск будет нарастать Но в инфраструктуру вложено слишком много средств , Кирилл, 06-Фев-12, 17:25 (120)
- Поясните пожалуйста развернуто Ну и какие аналоги тогда должны использоваться , playnet, 03-Фев-12, 15:51 (19) //
  - мнэ 8230 до сих пор кому-то надо пояснять, почему централизованые системы пус, arisu, 03-Фев-12, 20:17 (44)
  - Поясняю любой козел может кому угодно удостоверить что угодно в меру своей дуро, Аноним, 04-Фев-12, 01:47 (61)
Ну что, делаем ставки что еще подпишет себе ComodoHacker или кто-нибудь еще И бу, Аноним, 03-Фев-12, 14:23 (8)
Этого давно стоило ожидать Схема с УЦ довольно ущербная , Кирилл, 03-Фев-12, 17:21 (28) //
- За сколько _лет_ до сообщений о Комодо начали этого ждать Вы Ваши посты на опен, Andrey Mitrofanov, 03-Фев-12, 17:26 (29) //
  - Изначально Со знакомства с SSL TLS-ом Другое дело, что я не склонен эту пробле, Кирилл, 06-Фев-12, 15:33 (100)
А зачем конторе гарант доверия Она что, себе не доверяет , Аноним, 05-Фев-12, 04:21 (86) //
- гарант нужен по логике ссл третьей стороне которая смотрит на сертификат, выд, arisu, 05-Фев-12, 04:27 (87) //
  - Логика немножко странная, но приму во внимание И все-таки было бы неплохо ссыло, Аноним, 05-Фев-12, 04:33 (88) //
    - google i https, google i sslоно, кагбэ, всё на этом основано зайди у себя в , arisu, 05-Фев-12, 04:39 (89)
      - Спасибо, поизучаю на досуге - , Аноним, 05-Фев-12, 04:45 (90)
      - Ну хорошо - тебе эта схема не нравится Я правильно понял Тогда предлагай что по, anonimouse, 05-Фев-12, 05:13 (91)
        
        Не кольцо, а сеть В действительности эффективной массовой альтернативы нет , Кирилл, 06-Фев-12, 15:35 (102)
        
        потому что её не сделали в принципе, даже 171 перекрёстные подписи 187 уже , arisu, 06-Фев-12, 15:45 (105)
        
        Можно для начала хотя-бы сохранять серт при первом визите сайта и смотреть не по, Аноним, 06-Фев-12, 16:50 (113)
        
        оно, конечно, хорошо только слабо работоспособно проверено не только личным оп, arisu, 06-Фев-12, 17:00 (116)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру