Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Представлен первый успешный способ атаки на SSL/TLS, opennews (?), 20-Сен-11, (0) [смотреть все] Это серьезно , jedie (?), 10:29 , 20-Сен-11, (1) +7 // При таком количестве условий, при которых возможна атака, она становится очень , Онаним (?), 10:38 , 20-Сен-11, (2) +1 // Т е при тщательной подготовке все-таки возможна , Rom1 (ok), 10:47 , 20-Сен-11, (4) +8 // А до выхода нового протокола NoScript лишний раз нам друг и товарищ, так что пос, Аноним (-), 14:46 , 20-Сен-11, (60) Не вижу каких то больших условий Встраиваем IFRAME В каком то левом сайте И в, jedie (?), 11:09 , 20-Сен-11, (19) –1 // нет, koloboid (ok), 12:24 , 20-Сен-11, (41) А почему это нет , ммм (?), 13:05 , 20-Сен-11, (45) Потому что должен быть подконтрольный шлюз через который ходит жертва в интернет, follow_me (?), 13:21 , 20-Сен-11, (52) +2 Цена вопроса - пятсот баксов сисадмину провайдера И все Продаются все Вопрос , Аноним (-), 14:33 , 20-Сен-11, (59) Нет , Michael Shigorin (ok), 14:47 , 20-Сен-11, (61) +4 Твои хотелки, Майк, не есть реальность К сожалению Я бы тоже хотел, чтобы был , Аноним (-), 17:13 , 20-Сен-11, (99) –2 Хотелки хотелками, а ответ на утверждение остаётся в силе Мне известны не продав, Michael Shigorin (ok), 17:52 , 20-Сен-11, (107) +3 В фортунки , Anonymouse (?), 18:36 , 20-Сен-11, (109) Я являюсь начальником IT отдела у ISP Провернуть подобное, в масштабах всей сет, Анонимоус (?), 21:32 , 20-Сен-11, (115) +1 А также 1 Фиктивная точка доступа 2 Флуд свичей и спуфинг3 Просто наглейший, Аноним (-), 14:48 , 20-Сен-11, (63) За недельную зарплату получить вполне реальный шанс оказаться на нарах с перелом, ezhik (?), 16:36 , 20-Сен-11, (85) +5 холодно Я видел, как сисадмин за угрозу сесть вполне легально открывает доступ, Аноним (-), 17:15 , 20-Сен-11, (101) offtopic Почти уверен, что нет offtopic , Тоже аноним (?), 17:51 , 21-Сен-11, (140) +1 Не забывайте о не зашифрованном WiFi - а такие мети стоят в большинстве публичны, linalex (ok), 15:10 , 20-Сен-11, (74) +1 Вы уверены, что когда мне нужно будет провести банковскую транзакцию или для чег, ezhik (?), 16:29 , 20-Сен-11, (84) +1 С развитием online-банкинга уже типично перед покупкой залезть со смартфона план, Аноним (-), 16:45 , 20-Сен-11, (88) Если у тебя не будет ДРУГОЙ возможности провести транзакцию, а транзакцию провес, Аноним (-), 17:23 , 20-Сен-11, (104) Ну-ну При цене вопроса - перехват банковской сессии - можно выполнить ЛЮБОЕ к, Аноним (-), 11:13 , 20-Сен-11, (23) +3 // Там еще трафик надо контролировать Думается мне - проще трояна подсадить на ну, Онаним (?), 13:20 , 20-Сен-11, (51) +3 Большая проблема создать фиктивную точку доступа WiFi На которую затянуть соеди, Аноним (-), 14:32 , 20-Сен-11, (58) К сожалению это сделать чуть ли не проще чем JavaScript в IFRAME , Rom1 (ok), 15:20 , 20-Сен-11, (76) Как два пальца - Семеныч, ну чо ты уже перевел лимон баксов кому надо - Нее, П, ezhik (?), 16:42 , 20-Сен-11, (87) Не ломанется на WiFi так кабель в подьезде подвале люке разрезать не долго, Аноним (-), 17:02 , 20-Сен-11, (92) Повторяю для тех, кто на бронепоезде Все зависит от ЦЕНЫ ВОПРОСА За червонец , Аноним (-), 17:24 , 20-Сен-11, (105) Собирать аккаунты можно элементарно Создаешь свою точку доступа к каком-нибудь , Аноним (-), 15:28 , 20-Сен-11, (77) +1 // И зачем тебе в таких условиях SSL ломать Ты насобираешь паролей от кучи аккаунт, ezhik (?), 16:49 , 20-Сен-11, (89) Ты точно уверен, что не пойдет Бывают совершенно патовые ситуации, когда НАДО, , Аноним (-), 17:17 , 20-Сен-11, (102) В реальных условиях наверное целая контора нужна для организации такой атаки Од, Аноним Ус (ok), 02:28 , 21-Сен-11, (121) // Как минимум нужно разработать более надежный , jedie (?), 05:48 , 21-Сен-11, (123) То есть теперь, чтобы зайти в банковский аккаунт, нужно закрыть браузер чтобы н, ezhik (?), 13:05 , 20-Сен-11, (46) +2 // Одно окно браузера, NoScript , плюс только минимально необходимое время в сети , Аноним Ус (ok), 02:31 , 21-Сен-11, (122) не открывая левых окон можно не особо беспокоиться за шифрование , Аноним (-), 10:41 , 20-Сен-11, (3) // iframe же, Аноним (-), 11:05 , 20-Сен-11, (13) +1 // iframe еще и внедрить надо, koloboid (ok), 12:24 , 20-Сен-11, (40) +1 // что там внедрять подменяем скрип рисующий популярные нынче кнопочки, типа доба, aaa (??), 16:02 , 20-Сен-11, (81) –1 Как я понимаю, полная изоляция вкладок броузера друг от друга в значительной сте, vadiml (ok), 10:47 , 20-Сен-11, (5) // А что они не изолированы Какой ужас , anonymous (??), 10:50 , 20-Сен-11, (6) +1 // Да просто конекция реюзается, на свою задницу Оптимизация скорости выходит боко, Аноним (-), 14:51 , 20-Сен-11, (66) Изоляция вкладок не поможет, все равно почти все браузеры для одного сайта, откр, Аноним (-), 10:54 , 20-Сен-11, (7) // У Хромиума, вроде как, задавалось с командной строки, per-tab или per-site Или , Аноним (-), 11:22 , 20-Сен-11, (24) // Да, это только рендеринг С private prowsing попутали, небось , Имя (?), 11:43 , 20-Сен-11, (34) Угу, щаз Изолировать надо ключи и локальный сторадж Корочч -- по отдельному , Andrey Mitrofanov (?), 10:56 , 20-Сен-11, (8) Ну на самом деле вкладки и так изолированы друг от друга, если бы было не так то, Дмитрий (??), 11:01 , 20-Сен-11, (11) Написанно коряво, суть в отправки данных js со страницы одного сайта в контексте, cmp (ok), 11:11 , 20-Сен-11, (20) // Реферрер не спасет, так как его проверка возможно только ПОСЛЕ установки ссл сес, samm (ok), 14:29 , 20-Сен-11, (57) // Дык перехват и происходит после установки сессии, а реферер скажет - есть ли пре, cmp (ok), 16:56 , 20-Сен-11, (90) хреново блин кастую TLSv2 перефразируйте пожалуйста, не по-русски оно , koloboid (ok), 10:56 , 20-Сен-11, (9) // А кастую типа по-русски , Cub (ok), 13:19 , 20-Сен-11, (49) +5 Уже есть TLS 1 1 https secure wikimedia org wikipedia en wiki Transport_Layer, solardiz (ok), 14:24 , 20-Сен-11, (56) +1 NoScript спасет отцов русской демократии , дикий анон (?), 11:00 , 20-Сен-11, (10) –2 // нет, Дмитрий (??), 11:02 , 20-Сен-11, (12) Ага То-то я смотрю на нем щас все переписывают Начиная от qt и заканчивая целы, Корж (?), 11:06 , 20-Сен-11, (15) –3 // на чём переписывают , Макс (??), 15:07 , 20-Сен-11, (73) Не спасет Принципиальная уязвимость реализации костылем не закрывается No Scri, Аноним (-), 11:12 , 20-Сен-11, (21) –1 // Пользователи ноускрипта просто разрешают нужные сайты Нормальные люди навигацию, Lain_13 (?), 11:35 , 20-Сен-11, (28) +4 // И почему же перестал , Аноним (-), 11:39 , 20-Сен-11, (30) +1 А что, AdBlock и Squid уже отменили с баннерорезками , Аноним (-), 13:18 , 20-Сен-11, (47) Squid - редкое явление у крупных провайдеров и просто на безлимитных тарифах Тем, XoRe (ok), 12:31 , 21-Сен-11, (130) Хомяки и слов таких не знают, а именно они создают основной вал инет-торговли , Кирилл (??), 15:02 , 20-Сен-11, (70) –1 связанно это только-ЛИШЬ с тем что есть опасность неработоспособности такого сай, Xasd (ok), 15:15 , 20-Сен-11, (75) Кошерно Почитай комменты к новости про браузер Dillo , Аноним (-), 11:42 , 20-Сен-11, (33) Уже довольно давно пользуюсь NoScript Большинство юзабельны без JS да, кое что, MrClon (?), 13:19 , 20-Сен-11, (48) +3 // Да-да, CA тоже доверенные Как бы Были И типа доверенные сайты не ломаются, да, Аноним (-), 14:48 , 20-Сен-11, (62) Пробовали , Michael Shigorin (ok), 14:50 , 20-Сен-11, (65) Против MITM тебя никакой NoScript не спасет Просто скрипты будут встраиваться в, Аноним (-), 17:13 , 20-Сен-11, (100) Интернет давно себя дискредитировал Создаваясь как средство военной коммуникаци, Аноним (-), 11:06 , 20-Сен-11, (14) // То ли дело векторный гипертекстовый фидонет , Вова (?), 11:08 , 20-Сен-11, (16) +5 Гипертекстовый Национаолтьный С поэтессами , Andrey Mitrofanov (?), 11:08 , 20-Сен-11, (17) +2 Мицг 243 л, невозбр 225 нно залогиньтесь уж 233 FTN в этом плане на порядок , Аноним (-), 11:30 , 20-Сен-11, (26) +1 // Можно подробнее с этого места И что мне мешает делать обмен с любой нодой, если, ffirefox (?), 12:42 , 20-Сен-11, (43) // Нодой 8212 ничто не мешает, идете, договариваетесь о пиринге, оно работает Т, Аноним (-), 15:00 , 20-Сен-11, (67) Не совсем понятно причём тут сам протокол TLS Объединять запросы разных вкладок, Аноним (-), 11:26 , 20-Сен-11, (25) +3 // Вот как бы, да Например, относится ли все написанное к, например, IMAP4-клиента, Аноним (-), 11:33 , 20-Сен-11, (27) // на самом деле тоже относится но просто должнабыть какаято другая схема экпл, Xasd (ok), 15:49 , 20-Сен-11, (80) // А оно вообще в принципе доработано может быть Насколько мне известно оно надо , Аноним (-), 16:38 , 20-Сен-11, (86) вектор инициализации не связан с генерацией ключей он используется в проц, Xasd (ok), 17:02 , 20-Сен-11, (93) Насколько я понимаю расшифровка определение ключа идет не на основе нахождения, Аноним (-), 18:16 , 20-Сен-11, (108) SMTP-сервер добавит к Вашим письмам с эталонными данными совсем не эталонные заг, Moomintroll (ok), 17:01 , 20-Сен-11, (91) эт Вы верно подметили один такой случайный заголовок находящийся ПЕРЕД данны, Xasd (ok), 17:05 , 20-Сен-11, (95) Ура Давно пора , Аноним (-), 11:38 , 20-Сен-11, (29) Зачем такие сложности Headless webkit публичная точка доступа wifiрепроксирован, Аноним (-), 11:41 , 20-Сен-11, (31) // Честно говоря не понял Если удаленный узел принудительно перенаправляет соедине, KOL (ok), 17:09 , 20-Сен-11, (96) // отвечая на ваш вопрос что делать можно-ну, тут в одной недетской конторе безопас, zerot (ok), 21:46 , 20-Сен-11, (116) // Навскидку, разместить iframe в том же личном кабинете провайдера гораздо проще, , KOL (ok), 23:31 , 20-Сен-11, (119) Но дальше оказывается, что этот издательский микрософтовый Какой онанизм В усло, Chief Security II (?), 15:39 , 21-Сен-11, (139) Разве возможность зашифровать данные, посмотреть результат шифрования и НЕ узнат, Аноним (-), 11:42 , 20-Сен-11, (32) +1 // В данном случае незашифрованные данные известны, их генерирует используемый для , Аноним (-), 12:29 , 20-Сен-11, (42) Прошу прощения, но он не Тай Данг, а Тхай Дыонг Поправьте, пожалуйста, если мож, Yakov Markovitch (?), 11:50 , 20-Сен-11, (36) +3 // Откуда такая информация в языках от латинского в Th h не читается И обычно, fi (ok), 18:49 , 20-Сен-11, (110) –1 // C каких пор китайский берет начало в латинском языке D, sndev (ok), 19:36 , 20-Сен-11, (114) // А что Thai - это китайские иероглифы , fi (ok), 12:45 , 22-Сен-11, (145) –1 Это даже не китайский - это вьетнамский Он вьетнамец Th 225 i D 432 417 ng, Yakov Markovitch (?), 23:33 , 20-Сен-11, (120) +1 Так А вот, например, если браузер и вебсервер новый openssl больше какой-то ве, Stax (ok), 12:17 , 20-Сен-11, (39) // Camellia патентована И - где она повсеместно на серверах А - самое главное - п, Аноним (-), 13:20 , 20-Сен-11, (50) +1   // Ну, любой сервер на текущей версии редхата центоси SL как минимум по умолчанию п, Stax (ok), 17:12 , 20-Сен-11, (98)   // Вот мне тоже это интересно, почему именно AES Зная алгоритм шифрования, исходн, Аноним (-), 18:57 , 20-Сен-11, (112)   И всё равно неповоротливые задницы миллиардеров не пошевелятся, чтобы что-то изм, Аноним (-), 12:59 , 20-Сен-11, (44) +1 // Ты притворяешься или и правда клиника Сколько времени что-то становится стандар, Аноним (-), 13:21 , 20-Сен-11, (53) // Да его с самого начало нужно было закапать, что собственно и выразилось в выпуск, fi (ok), 18:53 , 20-Сен-11, (111) То есть, обе вкладки будут юзать одну и туже SSL сессию Яваскрипт будет отправл, Pentarh (?), 13:27 , 20-Сен-11, (54) Абалдеть D Дяденьки открыли классический криптоанализ с возможностью генерации, Аноним (-), 14:05 , 20-Сен-11, (55) // Salt вычисляется по известному алгоритму Курить матчасть до просветления , Аноним (-), 14:49 , 20-Сен-11, (64) // Salt вычисляетсяА не берётся случайно , Аноним (-), 15:00 , 20-Сен-11, (69) // Случайного в компе, увы, нет , Кирилл (??), 15:04 , 20-Сен-11, (72) а у меня в компе есть dev random и чуть-меннее-случайный dev urandom с, Xasd (ok), 15:33 , 20-Сен-11, (78) Толку то, примесь вычисляется , Кирилл (??), 16:14 , 20-Сен-11, (83) Ты просто трындишь dev random не является полноценным аппаратным рандомизатором, Аноним (-), 17:21 , 20-Сен-11, (103) зачем мне на домашнем компьютере на котором установлен www-браузер с поддержкой, Xasd (ok), 17:32 , 20-Сен-11, (106) ну, товарищ привёл неудачный примера если так - в качестве демонстрации идеи ta, zerot (ok), 21:52 , 20-Сен-11, (117) Ну допустим получили, а как потом не зная этой соли на принимающей стороне расши, Аноним (-), 23:10 , 20-Сен-11, (118) +1 Да никак Соль или Примесь задаётся заранее известным алгоритмом или из таблиц, Кирилл (??), 11:16 , 21-Сен-11, (126) +1 Отсыпь , Аноним (-), 14:19 , 21-Сен-11, (133) man генератор псевдослучайных чисел, Аноним (-), 17:04 , 20-Сен-11, (94) В общем, если пользуетесь платежами по карточке, то держите открытым только одно, Кирилл (??), 15:00 , 20-Сен-11, (68) +1 // именно плюсую - а ещё с увелечением числа CSRF-уязвимостей в интернетах , Xasd (ok), 15:37 , 20-Сен-11, (79) Можно пользоваться каким-то одним браузером только для банка Например, FF - для , XoRe (ok), 12:44 , 21-Сен-11, (132) +1 платные или собственные vpn-аккаунты внезапно должны стать очень популярными , stimpack (?), 16:11 , 20-Сен-11, (82) +1 А для параноиков лучше ходить лично на рынок там камер меньше и покупать за на, Аноним (-), 09:11 , 21-Сен-11, (124) // Так и делаем, плюс своё в качестве дизель-генератора , Michael Shigorin (ok), 11:46 , 21-Сен-11, (128) Используйте одноразовые пароли как в телебанке ВТБ24 и вам не будет страшен ника, Стас Агарков (?), 12:00 , 21-Сен-11, (129) +1 // И как эти пароли защищают от MitM Даже на википедии в первых строках Использ, scor (ok), 14:39 , 21-Сен-11, (136) Насчет сниффания - может и не нужно, если удастся похитрить с DNS Подставить сво, XoRe (ok), 12:41 , 21-Сен-11, (131) // Да чего вы до него докапались-то Хватит адекватной реализации любого сильного ал, Аноним (-), 14:28 , 21-Сен-11, (135) // А почему-бы и нет Шифр не требователен к ресурсам проца При текущих объемах жест, XoRe (ok), 03:00 , 22-Сен-11, (142) Не понятно причём здесь недостатки протоколов, если взломаются сообщения зашифро, Макар Жук (?), 14:23 , 21-Сен-11, (134) // Я так понял, сообщения шифруются одним ключиком в течение всего сеанса или доста, Аноним (-), 14:39 , 21-Сен-11, (137) // Я не думают что алгоритм не проверили на стойкость к этому виду атаки, прежде че, Макар Жук (?), 15:12 , 21-Сен-11, (138) // Надо детально смотреть, что и как они там поломали Честно, мне - лень D, Аноним (-), 21:09 , 21-Сен-11, (141) Грубо говоря Дано - есть функция хеширования xor - есть исходные данные - есть р, XoRe (ok), 03:05 , 22-Сен-11, (143) Хеширование и шифрование это не одно и тоже, так что предложенный алгоритм не пр, Макар Жук (?), 09:41 , 22-Сен-11, (144) И, битовая операция XOR исключающее ИЛИ - это тоже совсем не шифрование , Аноним (-), 22:55 , 22-Сен-11, (146) И не хеширование , Аноним (-), 22:56 , 22-Сен-11, (147) И когда уже эта фигня про xor-шифрование перестанет проникать в неокрепшие умы, Аноним (-), 22:57 , 22-Сен-11, (148) Шифр вернама как раз работает через xor И считается абсолютно стойким шифром , XoRe (ok), 01:25 , 23-Сен-11, (150) Шифр Вернама работает через ключ гаммирования длины длине открытого текста Г, Аноним (-), 12:34 , 23-Сен-11, (152) Ну да Нагенерить несколько гигов рандомных данных, обменяться этими гигами, и ши, XoRe (ok), 02:13 , 24-Сен-11, (153) Все такие умные Знают правильные определения А подумать дальше определений - пон, XoRe (ok), 01:24 , 23-Сен-11, (149) Вот в этом можно попробовать и есть вся соль , Аноним (-), 12:29 , 23-Сен-11, (151) +1 AES уже попробовали Слава богу, что каждый протокол нужно взламывать в частном п, XoRe (ok), 02:15 , 24-Сен-11, (154) Разве тут что-то было про aes , Аноним (-), 14:23 , 24-Сен-11, (155) JavaScript-код используется для отправки на сайт, с которым работает жертва, фик, XoRe (ok), 16:20 , 24-Сен-11, (156) E Уязвимость _в протоколе_ SSL AES вполне себе живой , Аноним (-), 17:29 , 24-Сен-11, (157) 1,3,5,9,10,14,25,29,31,32,36,39,44,54,55,68,82,124,129,131,134

Сообщения

[Сортировка по времени | RSS]

	50. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Аноним (-), 20-Сен-11, 13:20
	>> которые используются атакующим для воссоздания отдельных блоков для шифра TLS/SSL, работающего на базе алгоритма AES > Так. А вот, например, если браузер и вебсервер новый (openssl больше какой-то > версии), то SSL по умолчанию использует 256-ти битный Camellia, а не > AES. Как данная атака к этому относится? Camellia патентована. И - где она повсеместно на серверах? А - самое главное - проблема не в шифрах, проблема В ПРОТОКОЛЕ. Компренде?
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Stax (ok), 20-Сен-11, 17:12
	Ну, любой сервер на текущей версии редхата/центоси/SL как минимум по умолчанию предлагает Camellia из апача ;)  А редхат обычно патентованные алгоритмы вырезает от греха подальше, вон ecc до сих пор в openssl выключена.. То, что проблема в протоколе понятно; непонятно, какую роль тут играет шифр. Как я понял из описания, воссоздать блоки шифрования по контрольным меткам получается используя именно особенности AES.
	Ответить | Правка | Наверх | Cообщить модератору

	112. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (-), 20-Сен-11, 18:57
	Вот мне тоже это интересно, почему именно AES ? Зная алгоритм шифрования, исходные данные, и результат, подобрать можно только AES или это общая болезнь ? Существует ли такой алгоритм который не ломается относительно быстро если известны исходные данные и сам алгоритм ?
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема