forum.opennet.ru

"Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Заметили полезную информацию ? Пожалуйста добавьте в FAQ на WIKI.

. "Подробности про второй взлом Matrix. Скомпрометированы GPG-к..."	+8 +/–
Сообщение от KonstantinB (ok), 12-Апр-19, 23:03
>, конфиги в git вместо svn Это ты серьезно, бро? :) 1) Полным конфигам - с ключами и прочим - вообще нечего делать в системе контроля версий. Только шаблоны с плейсхолдерами, а сами значения берутся из 2) На серверах, куда деплоятся эти конфиги, вообще не должно быть никаких репозиториев и доступа к нему. Деплоиться все должно с изолированного выделенного сервера. Тот, кто деплоит через git pull или svn up, должен гореть в аду.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Подробности про второй взлом Matrix. Скомпрометированы GPG-к..., opennews, 12-Апр-19, 19:46 [смотреть все]

Где качнуть базу , Huff, 12-Апр-19, 19:46 (1) //
- а что с ней полезного сделать-то можно А, понял - ты свой пароль не можешь вспо, пох, 12-Апр-19, 22:19 (22)
Т е в матриксе крутили на х ю самые обычные бестпрактисы Молодцы, че, Аноним, 12-Апр-19, 20:06 (3) //
- Это какие , Аноним, 12-Апр-19, 20:14 (4) //
  - Они же 171 очевидные любому 187 и 171 всем давно известные 187 Диванные, Аноним, 12-Апр-19, 20:49 (10)
- наоборот же ж - сплошные best practices - ci, торчащий задницей наружу, ssh-ключ, пох, 12-Апр-19, 20:47 (9) //
  - Сразу видно большого специалиста по системному администрированию двух локалхосто, Аноним, 12-Апр-19, 20:54 (11) //
    - да-да, вот мы видим что наадминистрировали бесстрашные специалисты нелокалхост, пох, 12-Апр-19, 22:07 (19)
  - Это ты серьезно, бро 1 Полным конфигам - с ключами и прочим - вообще нечего , KonstantinB, 12-Апр-19, 23:03 (27) //
    - Не дописал - берутся из secrets database, доступа к которой нет ниоткуда, кр, KonstantinB, 12-Апр-19, 23:04 (28)
      - а поскольку для изменения любой ерунды нужно лезть на этот сервер - ты давно уже, пох, 13-Апр-19, 14:02 (42)
    - Горячо плюсую Остальное, впрочем, тоже , Дон Ягон, 13-Апр-19, 04:38 (34)
    - ну действительно, зачем вам версионирование конфигов, новаяпапка2454да-дад, пабл, пох, 13-Апр-19, 14:00 (41)
  - А что не так с использованием ssh-ключей , Онанимним, 16-Апр-19, 13:50 (66)
- На самом деле в большинстве стартапов то же самое Помню, как-то один прожектмана, Аноним, 12-Апр-19, 21:14 (13) //
  - ну в целом-то не врал - работу приходится останавливать, все переделывать как на, пох, 12-Апр-19, 22:16 (20) //
    - Это было начало проекта, шанс сразу сделать всё как надо, но нет , Аноним, 13-Апр-19, 00:36 (31)
      - любой проект начинают как минимум двое - один из них общительный, другой умный , пох, 13-Апр-19, 14:07 (45)
        
        Особенно если разворачивать в нем системы предназначенные для кровавого энтерпра, Аноньимъ, 14-Сен-21, 17:20 (71)
  - Проблема в том, что разработчикам надо работать, а если например, ожегшись на м, Сергей, 16-Апр-19, 14:03 (67) //
    - Ну и чем svn и FreeBSD мешает работать вашим разработчикам Гугл это триллионная , Аноньимъ, 14-Сен-21, 17:23 (72)
      - Вот это взрыв из прошлого, понимаю 8230 , Аноним, 18-Дек-21, 15:42 (74)
А как Jenkins мог такую дыру раскрыть Он же на джаве, буфер там переполниться н, Аноним, 12-Апр-19, 20:18 (5) //
- В любой плаг сажаешь троя и имеешь кого хочешь , Аноним, 12-Апр-19, 20:35 (7)
- Какой маленький, какой наивный 8230 https jenkins io security advisories , Аноним, 12-Апр-19, 21:06 (12) //
  - https wp-content bluebus com br wp-content uploads 2014 08 sarcasm-big-bang-th, Аноним, 12-Апр-19, 21:36 (15)
- Тут бы помог только язык, который принципиально не позволяет читать файлы Тогда, КО, 12-Апр-19, 22:51 (25) //
  - да ладно, для сборки не надо читать файлы, их надо писать - , пох, 13-Апр-19, 14:08 (46)
best practicsssh agent на сервере , Аноним, 12-Апр-19, 20:21 (6) //
- То был форвардинг агента с админской машины на промежуточный сервер Но от того , Аноним, 12-Апр-19, 21:37 (16) //
  - ничего что это дефолтная настройка sshd , пох, 12-Апр-19, 22:17 (21) //
    - В том и беда Как и всякие IdentitiesOnly , Аноним, 13-Апр-19, 00:08 (30)
- Вот кстати да ssh изкоробочный брешь сам по себе Заморочишься настроить, все ка, Аноним, 13-Апр-19, 12:05 (38) //
  - нет агента - нет проблемы Ну и ключ должен быть не один на все, а индивидуальный, пох, 13-Апр-19, 14:11 (47) //
    - А он уже давно умеет 2FA Но дремучие админы локалхоста об этом не догадываются , Твой влажный сокет, 13-Апр-19, 20:41 (56)
      - я не разрешаю автоматом деплоитьтолько собирать и заливать на продакшен от имени, хотел спросить, 13-Апр-19, 23:56 (60)
    - Лет 20 как умеет, но седобородые админы не умеют, Анонимус2, 13-Апр-19, 20:46 (57)
Зато секурность , Аноним, 12-Апр-19, 20:40 (8)
То есть предлагалось следовать подходу security through obscurity , Аноним, 12-Апр-19, 21:58 (17) //
- для закрытых от внешнего мира систем это прекрасно работает Или как минимум затя, пох, 13-Апр-19, 19:54 (55)
- Это конфигурации, но не токены-пароли-ключи Насколько понял Руками сервера сег, Ан., 13-Апр-19, 22:23 (59) //
  - 65wat , Аноньимъ, 14-Сен-21, 16:54 (70)
  - Ааа а я то думал, зачем гит нужен Смузи-стайл воодружать систему контроля в, Аноним, 17-Сен-21, 19:29 (73)
Добрый прохожий ещё попался , Michael Shigorin, 12-Апр-19, 22:24 (23) //
- Я бы сказал - на редкость Дефейс и конструктивная критика вместо трояна в релиз, Crazy Alex, 12-Апр-19, 22:32 (24) //
  - И наверняка он ранее пылался им указать на недостатки Но матриксовцы его замеча, Аноним, 13-Апр-19, 12:43 (40)
  - он наверное уже в курсе, что там много не намайнишь, с полутора-то фриками польз, пох, 13-Апр-19, 14:12 (48)
Справедливости ради, отчёты хакера удалены вместе с его аккаунтом, а не разработ, AnonPlus, 12-Апр-19, 22:57 (26) //
- им достаточно было просто пожаловаться, работящие индусы все сделали за них - В, пох, 13-Апр-19, 14:14 (49)
Лол, и каждый раз повторяются одни и те же слова следовало использовать двухфак, Kuromi, 13-Апр-19, 05:40 (35) //
- Правильно Передайте все ключи сотовым операторам сразу , InuYasha, 13-Апр-19, 14:02 (43) //
  - ну не ssh же ж на самом же деле патчить , пох, 13-Апр-19, 14:14 (50)
  - TOTP или FIDO в помощь, Crazy Alex, 13-Апр-19, 14:36 (51)
  - Кроме кода по SMS есть куча других возможных факторов , Гентушник, 13-Апр-19, 19:07 (54)
  - U2F, FIDO WebAuthn уже давно поддерживается в Хроме и ФФ, остальные браузеры на , Kuromi, 17-Апр-19, 17:53 (68)
Спасибо за новость - узнал, что есть такой проект чтобы держаться подальше и, Аноним, 13-Апр-19, 17:23 (53) //
- И от Linux впридачу , Андрей, 13-Апр-19, 22:07 (58)
- Как раз теперь можно ожидать, что проект, наученный добрым хакером, начнет уделя, x3who, 16-Апр-19, 11:08 (65)
Я не понимаю , вообще о какой безопасности в таких проектах может идти речь Вс, Биарей Гиесс и Котт, 14-Апр-19, 12:35 (61)
Так чьи пароли утекли, разработчиков , Аноньимъ, 14-Сен-21, 16:52 (69) //
- Все утекли , Аноним, 18-Дек-21, 15:43 (75)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру