Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

ALPACA - новая техника MITM-атак на HTTPS, opennews (??), 09-Июн-21, (0) [смотреть все] Оригинально Из категории идей, которые кажутся очевидными после того как кто-то, Аноним (5), 22:02 , 09-Июн-21, (5) +15 // ftp - дрянь-протокол, но зато его все знают , СеменСеменыч777 (?), 22:14 , 09-Июн-21, (7) –8 // Не забудьте то же самое сказать про email SMTPS, POP3S, IMAPS , Аноним (22), 23:05 , 09-Июн-21, (22) +2 // Почтовые протоколы дрянь и ужас К ним же в кучу nfs3 и всякие сипы и прочие ау, Аноньимъ (ok), 10:56 , 10-Июн-21, (94) –1 Итак давай представим себе ситуацию, что есть группа людей из 4-х человек, котор, Аноним (105), 11:54 , 10-Июн-21, (105) +7 Спасибо Мне это саморазоблачение ненужно в общем комментировать Да, это дрянь и , Аноньимъ (ok), 12:55 , 10-Июн-21, (110) –4 Если ты осуждаешь реализации с множеством соединений, значит у тебя есть рабочие, Просто (?), 13:51 , 10-Июн-21, (115) +1 Просто надо задаться вопросом а что такое порт , n00by (ok), 18:13 , 10-Июн-21, (135) +1 Пример протокольного Ада https www opennet ru opennews art shtml num 54058http, Аноньимъ (ok), 18:52 , 10-Июн-21, (137) +1 Сразу видно что ты новости читать умеешь, а про что они написаны не знаешь Не и, Аноним (105), 02:33 , 11-Июн-21, (154) –1 Чел, мне твои индюшачии петушения ни к чему У тебя серьезные проблемы с чувством, Аноньимъ (ok), 03:35 , 11-Июн-21, (156) +2 Не пойму, если я индюк, и меня раздуло до размеров дирижабля, то почему лопнул и, Аноним (105), 03:42 , 11-Июн-21, (158) –2 А сейчас мы выслушаем как должен выглядеть стандарт ната на удп конечно , Аноним (164), 08:26 , 11-Июн-21, (164) Да хоть как Но как-то должен Сейчас же их пять в Википедии они описаны, в англ, Да не важно (?), 22:35 , 12-Июн-21, (204) У SMTP, POP3 и IMAP есть STARTTLS, с которым этот фокус не пройдёт , Moomintroll (ok), 11:16 , 10-Июн-21, (96) не согласен как минимум про первых два и отчасти про imap во-первых используется, СеменСеменыч777 (?), 11:42 , 10-Июн-21, (101) +1 FTP отличный протокол Это руки дрянь у тех кто его не осилил и везде всунул HTT, Аноним (56), 00:16 , 10-Июн-21, (56) +6 // Попробуйте запостить этот же комментарий через FTP, а то как-то голословно , Аноним (22), 00:19 , 10-Июн-21, (57) –11 А ты стрелки не переводи FTP не для того чтобы коменты постить и javascript зап, deeaitch (ok), 00:29 , 10-Июн-21, (64) +7 О дааа Одна проблема с буквой я чего стоит, а про классику в виде отсутствия, Stax (ok), 01:11 , 10-Июн-21, (69) +10 FXP покажи через http , Аноним (164), 05:14 , 10-Июн-21, (75) FXP покажи через ftp, шутник , Annoynymous (ok), 12:35 , 10-Июн-21, (108) –2 rfc959 пункт 2 3 , Аноним (164), 20:15 , 10-Июн-21, (140) Ты б ещё на man сослался, как его включить Только его никто не включает Угадаеш, Annoynymous (ok), 21:32 , 10-Июн-21, (143) –2 Да я сразу понял что ты афедроном повертеть сюда зашёл Не надо было это лишний , Аноним (164), 21:48 , 10-Июн-21, (144) Ну ты сразу понял, что был неправ , Annoynymous (ok), 22:03 , 10-Июн-21, (146) –2 Он понял я думаю Куда лучше читать маны и rfc, чем общаться с эпичными неосилят, deeaitch (ok), 15:13 , 12-Июн-21, (200) Я угадаю, ты маны читать не умеешь, как и мноние, куда там до rfc, deeaitch (ok), 15:11 , 12-Июн-21, (199) Конечно Ты же мне покажешь сервер в интернете с работающим FXP, теоретик, читав, Annoynymous (ok), 19:44 , 12-Июн-21, (201) –2 Сложно придумать для чего оно может быть, но так и быть Поднял Нужнее мне оно , deeaitch (ok), 04:24 , 15-Июн-21, (205) Да никому нафиг не сдался тот FXP У FTP было три киллер-фичи 1 Скорость Роутер, Аноним (214), 19:02 , 22-Июн-21, (214) Именно, да Интересно, почему у меня нет этой проблемы А Может маны почитать не, deeaitch (ok), 15:55 , 10-Июн-21, (125) И какими же манами вы добавите поддержку передачи кодировки И какими манами почи, Stax (ok), 21:36 , 11-Июн-21, (185) Не спорю, была такая проблема Где-то в конце 90-х начале 2000-х Но она давным , deeaitch (ok), 15:09 , 12-Июн-21, (198) Чувааааак Ты теоретик Признайся в этом и перестань это показывать в каждом пос, Annoynymous (ok), 19:47 , 12-Июн-21, (203) –1 Чувак Признайся, ты эпичный неосилятор из армии iPony и такой-же нытик как Frac, deeaitch (ok), 04:28 , 15-Июн-21, (207) Молодец Признался таких что нытик и неосилятор Признание это первый шаг к выздо, deeaitch (ok), 23:27 , 15-Июн-21, (210) Обожаю опеннетовский комментаторов Ты даже не понял, что у тебя спросили Про F, Annoynymous (ok), 19:45 , 12-Июн-21, (202) –2 Обожаю эпичных неосиляторов Которые не в состоянии уже даже дерево сообщение пр, deeaitch (ok), 04:25 , 15-Июн-21, (206) А зачем кодировки, когда всё в UTF-8 Для ssh не нужен ftp Но если очень хочется, Аноним (214), 18:53 , 22-Июн-21, (213) И делает он это слишком сложно Например делать дополнительное соединение, чтоб, anonymous (??), 10:18 , 10-Июн-21, (88) +4 Эпичные неосиляторы, когда же вы научитесь доки читать Нормально ходит и через , deeaitch (ok), 15:57 , 10-Июн-21, (127) –6 Именно FTP ходит Или какой-нибудь SFTP, который вообще другой протокол , Аноним (214), 18:41 , 22-Июн-21, (211) фаллов и даже местами фаллловъ чтобы выглядели подлиннее и потверже , СеменСеменыч777 (?), 11:44 , 10-Июн-21, (103) –1 Это чтобы неосиляторам было чем перед дефачками хвастаться Своего то тю , deeaitch (ok), 15:58 , 10-Июн-21, (128) –2 ну через telnet на bbs сидели, а то целый фтп , hshhhhh (ok), 11:42 , 10-Июн-21, (100) было дело но я уже забыл как там фаллы и ваагины передавали то ли клиент telnet, СеменСеменыч777 (?), 15:42 , 10-Июн-21, (123) Ужасный он Использует нетривиальную схему соединений вместо одного TCP стрима , Аноньимъ (ok), 10:53 , 10-Июн-21, (93) +3 Contrack не пробывал, не , нах.. (?), 11:18 , 10-Июн-21, (97) –1 , Аноньимъ (ok), 12:59 , 10-Июн-21, (111) https www opennet ru opennews art shtml num 54058https www opennet ru openne, СеменСеменыч777 (?), 15:56 , 10-Июн-21, (126) +3 вот на этот коммент особое вниманиеhttps www opennet ru openforum vsluhforumID, СеменСеменыч777 (?), 15:59 , 10-Июн-21, (129) В коменте пишут, что производители роутеров ленивые Я думаю дело не просто в том, Аноньимъ (ok), 18:55 , 10-Июн-21, (138) Обыкновенный SIP-телефон стоит не сильно дороже роутеров и памяти в нём меньше, , Аноним (105), 03:07 , 11-Июн-21, (155) Речь шла о роутерах Очевидно создавать богомерзкий сложный трафик и работать с н, Аноньимъ (ok), 03:46 , 11-Июн-21, (159) Среднестатистический телефон слабее роутера Сильно Предположение в корне не вер, Аноним (105), 04:36 , 11-Июн-21, (160) Вот кстати интересно, как собственно решается вопрос безопасности, ну хоть с тёт, Аноньимъ (ok), 04:42 , 11-Июн-21, (161) Есть несколько вариантов, которые лучше комбинировать1 ACL до нужных SIP-сервер, Аноним (105), 06:07 , 11-Июн-21, (162) Спасибо, сохраню на случай если придётся таким заниматься Надеюсь конечно что не, Аноньимъ (ok), 06:24 , 11-Июн-21, (163) POTS сдох ISDN сдох ATM another terrible mistake сдох все что приходит от , СеменСеменыч777 (?), 20:56 , 15-Июн-21, (209) Предлагаешь анону фанатику SIP читать его собственный коммент А ты смешной , Аноним (105), 03:36 , 11-Июн-21, (157) –1 Очевидно Мне не очевидно как мой браузер вдруг вместо HTTP начнёт говорить на я, Аноним (8), 22:28 , 09-Июн-21, (8) –1 // Передавай внутри POST-данных любые команды FTP SMTP POP3 IMAP, предшествующие HT, Аноним (5), 22:57 , 09-Июн-21, (15) +2 // написано же Для успешной атаки злоумышленнику требуется затем каким-то образом , Sw00p aka Jerom (?), 23:04 , 09-Июн-21, (21) Каким-то образом извлечь данные это понятно как Запрос из браузера идёт на FTP , Аноним (8), 23:48 , 09-Июн-21, (44) с каких пор фпт будет понимать хттп-ешный запрос и еще умудриться это сохранить , Sw00p aka Jerom (?), 23:57 , 09-Июн-21, (47) Никуда Есть запросы, на которые он не реагирует , Аноним (104), 11:51 , 10-Июн-21, (104) CORS вообще одна сплошная профанация , Урри (ok), 14:18 , 10-Июн-21, (116) +1 В статье же расписано как заставить послать - заставить зайти на свою страницу и, Аноним (50), 00:07 , 10-Июн-21, (50) И как-то случайно моя страница будет подписана тем же сертификатом, что и FTP се, Annoynymous (ok), 19:52 , 10-Июн-21, (139) –2 перечитай статью , Аноним (104), 00:05 , 11-Июн-21, (150) Не совсем так После X ошибочных команд обычно что клиент, что сервер - дисконнек, Онаним (?), 23:38 , 09-Июн-21, (38) После того, как поддержку FTP убрали, для современного браузера все является HTT, Аноним (22), 23:03 , 09-Июн-21, (19) Точнее - из категории идей, про которые все давно знают без шифрования это таки, Онаним (?), 23:41 , 09-Июн-21, (40) Простите, у вас там совсем сосуд со множеством дырочек С таким сосудом любая, Аноним (104), 22:13 , 09-Июн-21, (6) +2 // Ну вот взять вайфай, например Даже запароленный Владелец кафешки или отеля мож, Аноним (29), 23:13 , 09-Июн-21, (29) +3 // каким-то образом попасть на FTP-сервер Да каждый владелец кафешки имеет дос, Аноним (104), 23:27 , 09-Июн-21, (34) +3 // Доступ на FTP бывает и анонимным А роутер кафешки может быть уже взломан каким-, anonymous (??), 10:21 , 10-Июн-21, (89) +2 Анонимный FTP под сертификатом твоего банка Это про сбербанк что ли , Q2W (?), 11:29 , 10-Июн-21, (98) +7 Это, вообще говоря, и не обязательно банк Это может быть ваш хостер, например , anonymous (??), 12:20 , 12-Июн-21, (196) Не может У этого FTP должен быть тот же сертификат, что и у банка Откуда у х, Аноним (214), 18:45 , 22-Июн-21, (212) так в этом же и суть MiTM атак , hshhhhh (ok), 11:43 , 10-Июн-21, (102) С такими дырами хром может убирать из чёрного списка тот набор номеров портов, к, Аноним (8), 22:30 , 09-Июн-21, (9) // митм форвардинг одного порта на другой, тут браузер будет думать, что подключает, Sw00p aka Jerom (?), 22:57 , 09-Июн-21, (16) +2 Интерес эта атака имеет больше теоретический, так как для проведения требуется M, Аноним (5), 23:01 , 09-Июн-21, (18) +2 А зачем мудрить с точкой доступа, если у атакующего уже есть общие TLS-сертифик, YetAnotherOnanym (ok), 22:31 , 09-Июн-21, (10) // Нет Общие тут имеется в виду что есть например сайт и есть SFTP сервер, использ, Аноним (8), 22:35 , 09-Июн-21, (12) +2 // а дальше что , Sw00p aka Jerom (?), 22:43 , 09-Июн-21, (13) // SFTP футболит с ошибкой, попутно делая эхо этой ошибки, которая вовсе не ошибка,, Аноним (104), 23:11 , 09-Июн-21, (26) +1 так так, а как открывается контекст с bank com , Sw00p aka Jerom (?), 23:24 , 09-Июн-21, (32) Твой браузер и открывает, только запрос немного не туда уходит , Аноним (104), 23:30 , 09-Июн-21, (35) И сбрасывается, потому что protocol violation , Онаним (?), 23:39 , 09-Июн-21, (39) –2 хммммммммммУсловия 1 evil com страничка замануха атакующего 2 атакующий может , Sw00p aka Jerom (?), 23:42 , 09-Июн-21, (41) Да и да Некоторые запросы не заставляют срабатывать CORS , Аноним (104), 23:59 , 09-Июн-21, (48) +1 ok, ясно, а как же быть с protocol violation, когда браузер ожидаетHTTP 1 1 200 , Sw00p aka Jerom (?), 00:23 , 10-Июн-21, (60) можете не отвечать, Internet Explorer - ясно все, удивляться нечему Is my browse, Sw00p aka Jerom (?), 00:34 , 10-Июн-21, (65) Тут правильнее было написать no browser protects the user against all possible a, Онаним (?), 09:05 , 10-Июн-21, (80) В любом случае, предполагается, что у атакующего есть закрытый ключ, соответству, YetAnotherOnanym (ok), 09:16 , 10-Июн-21, (83) –2 // Нет, ключ от сертификата тут не нужен Атакующий не вмешивается в сам трафик, не, Аноним (8), 14:56 , 10-Июн-21, (120) +3 Ванька путает ftp и sftp Ванька не знает, что это разные протоколы , hefenud (ok), 09:50 , 10-Июн-21, (85) +2 Мораль держите FTP, SMTP, IMAP и прочие сервисы на отдельных поддоменах со свои, Аноним (8), 22:32 , 09-Июн-21, (11) –1 // не поможет, Аноним (-), 22:54 , 09-Июн-21, (14) –2 Полагаю, отказ от сразу шифрованных соединений в пользу STARTTLS тоже вполне п, Аноним (22), 23:07 , 09-Июн-21, (23) +3 // угу, Sw00p aka Jerom (?), 23:08 , 09-Июн-21, (25) –1 Мораль не пользовать браузер, Аноним (56), 00:19 , 10-Июн-21, (58) +3 // Как же вы тогда оправили это сообщение сюда , Nefrace (?), 16:50 , 10-Июн-21, (131) Мораль в том что FTP, SMTP, IMAP оказались совершенно не причём А проблема выле, deeaitch (ok), 00:26 , 10-Июн-21, (63) +2 И никого не смутило при наличии контроля над сетевым шлюзом или точкой беспрово, Аноним (17), 22:59 , 09-Июн-21, (17) –2 // на лошарике можно подплыть и к кабелю подключиться , Sw00p aka Jerom (?), 23:07 , 09-Июн-21, (24) // ха , Аноним (43), 23:46 , 09-Июн-21, (43) Реалии таковы, что точки беспроводного доступа и домашние маршрутизаторы дырявые, Аноним (5), 23:12 , 09-Июн-21, (27) +4 // какие у тебя там реалиина выходных нодах tor Сказочник былиный, ты наш , Аноним (-), 15:47 , 11-Июн-21, (180) ещё и к сервису доступ, чтобы логи читать , Аноним (104), 23:13 , 09-Июн-21, (28) +1 а тебя не смущают миллионы admin admin роутеров, торчащие голой жопой в интернет, онанимус (?), 23:17 , 09-Июн-21, (30) +1 // И что из этого можно поиметь Как я понимаю это же скорее всего домашний роутер , Ненавижу SJW (?), 13:40 , 10-Июн-21, (114) // А за домашним рутером сидит какой нить инженер из конторы ABB Оппа и тейковер к, авыыва (?), 14:49 , 10-Июн-21, (118) А если серьёзно , Ненавижу SJW (?), 15:02 , 10-Июн-21, (122) а если серьёзно, то гуглите казино взломали через аквариум , или термометр, не, онанимус (?), 23:21 , 30-Июн-21, (215) А если не торчит, то что даетэтот профиль oelinux123 , Аноним (-), 15:50 , 11-Июн-21, (181) Там прямо в заголовке написано MITM , MPEG LA (ok), 23:26 , 09-Июн-21, (33) +3 Не смутило 1 Об MITM написано аж в заголовке статьи 2 Куча дырявых роутеров во, Аноним (90), 10:24 , 10-Июн-21, (90) // Ну или просто обычный провайдер, любой проводной или безпроводной , Аноньимъ (ok), 11:05 , 10-Июн-21, (95) Да это просто тупость Все об этой фигне знали Много летСуть в том что вы довер, richman1000000 (ok), 23:04 , 09-Июн-21, (20) // Почему у разных админов Проблема не в разных админах , а в том, что админ ра, anonymous (??), 10:25 , 10-Июн-21, (91) FTP Ну очень вовремя,особенно на фоне полного удаления поддержки этого протокол, Kuromi (ok), 23:20 , 09-Июн-21, (31) –4 // Твой любимымй гавняный HTTP там первый в списке, Аноним (56), 00:21 , 10-Июн-21, (59) +1 Для этой атаки не нужна поддержка FTP в браузере После удаления ФТП браузер всё, Аноним (8), 14:57 , 10-Июн-21, (121) // Хахашечки, но уже закрыли - https bugzilla mozilla org show_bug cgi id 1715684, Kuromi (ok), 19:46 , 15-Июн-21, (208) Нереал Тчк Протоколы настолько между собой несовместимы, что подставить ложный , Онаним (?), 23:34 , 09-Июн-21, (36) –2 // Если кто невдогнал, то 1 Upload для успешной атаки злоумышленнику требуется , Онаним (?), 23:37 , 09-Июн-21, (37) +3 // Я нашел уязвимость в замке входной двери Если злоумышленник каким-то образом за, vitalif (ok), 23:46 , 09-Июн-21, (42) +6 ну да, ток не понятно как у них вот это работает220 1237cfa6400d ESMTP PostfixHE, Sw00p aka Jerom (?), 23:49 , 09-Июн-21, (45) +1 // Только на говносерверах, которые отдают невалидированные данные Dovecot и Exchan, Онаним (?), 23:55 , 09-Июн-21, (46) я вот тоже нехрена не понялу меня есть 3 сервиса на разных портах, например SMTP, penetrator (?), 20:16 , 10-Июн-21, (141) Ну и блин, браузер, который это отобразит - надо закапывать первым Потому что пе, Онаним (?), 00:10 , 10-Июн-21, (53) +1 Internet Explorer - может все в оригинале статьи все расписано и все вопросы , Sw00p aka Jerom (?), 00:36 , 10-Июн-21, (67) Короче, то, что они смогли script выдать - ещё не значит, что он где-то обрабо, Онаним (?), 00:11 , 10-Июн-21, (54) shared-хостинги и дыры в них вот это вот отлично включают, т е это утилитарная , дауненок (?), 09:54 , 10-Июн-21, (86) // Тот случай, когда никнейм соответствует персонажу , Онаним (?), 09:55 , 10-Июн-21, (87) –1 если у злоумышленника есть права на аплоад, то вроде бы всё выглядит реальным 1 , edo (ok), 03:09 , 12-Июн-21, (187) +1 // аналогично, похоже, можно подсунуть браузеру нужный ответ с js, например , edo (ok), 04:12 , 12-Июн-21, (188) +1 С ответом уже сильно сложнее, вплоть до нереалистичности В теории да, можно зали, Онаним (?), 10:23 , 12-Июн-21, (192) Сущая мелочь 1 Надо иметь права на FTP-сервере, именно том, что необходимо под, Онаним (?), 10:17 , 12-Июн-21, (189) Но да, ваше описание атаки таки куда более реалистично, нежели подмена ответа , Онаним (?), 10:21 , 12-Июн-21, (191) Простите в чём суть атаки - в контроле над шлюзом А как на счёт в контроле над , Alexey (??), 00:03 , 10-Июн-21, (49) –1 // Магистальные провайдеры давно беспардонно вмешиваются в трафик Про местячковых , Аноним (51), 00:07 , 10-Июн-21, (51) Суть атаки - в попытке с самого клиента послать то, что хочется получить в ответ, Онаним (?), 00:08 , 10-Июн-21, (52) // В наших условиях это сервисная функция ПО стоящего за HTTP, судя по возможностям, Alexey (??), 02:34 , 10-Июн-21, (71) Никогда не пользовались WiFi в кафешке или аэропорту , anonymous (??), 10:28 , 10-Июн-21, (92) +1 // Нет ни чего нового в данной атаке, если им нужно захватить контроль над сегменто, Alexey (??), 16:52 , 10-Июн-21, (132) // Новое то, что можно обойти буковки S в HTTPS обладая доступом лишь к роутеру , anonymous (??), 12:21 , 12-Июн-21, (197) –1 Нет DКроме того, к внедрению в чужой трафик это отношения не имеет Там суть в п, Онаним (?), 20:45 , 10-Июн-21, (142) А кто-то ещё пользуется браузерами для работы с почтой и разрешёнными скриптами , Аноним (56), 00:15 , 10-Июн-21, (55) +1 // iPony и Fracta1L, deeaitch (ok), 00:24 , 10-Июн-21, (62) +1 Хаха Хвалёный HTTPS, deeaitch (ok), 00:23 , 10-Июн-21, (61) +1 Какой ещё SFTP - это часть SSH, речь об FTPS , adsh (ok), 00:34 , 10-Июн-21, (66) +1 // Ну кто-же читает , deeaitch (ok), 00:51 , 10-Июн-21, (68) Ага, только для этого нужно ещё захватить контроль над этим почтовым сервером Т, BrainFucker (ok), 01:34 , 10-Июн-21, (70) –2 We could confirm that this is indeed the case for Internet Explorer and Edge Le, Аноним (72), 03:11 , 10-Июн-21, (72) Про эту уязвимость знали уже давно, поэтому и убралли ftp mixed content еще год , Аноним (73), 03:36 , 10-Июн-21, (73) https www cisco com c dam global ru_ru training-events 2020 pdf dec5-17 pdf, Аноним (73), 06:39 , 10-Июн-21, (76) // Только все упомянутые в той презентации методы взлома TLS сводятся к фразе Ус, Аноним (77), 07:00 , 10-Июн-21, (77) // https media defense gov 2019 Dec 16 2002225460 -1 -1 0 INFO SHEET 20 MANAGING , Аноним (73), 07:14 , 10-Июн-21, (78) Смекалочка Люблю хакеров , kusb (?), 08:25 , 10-Июн-21, (79) Ещё одну вишенку на торте забыли Если обсуждать применение из браузера, то чтобы, Онаним (?), 09:07 , 10-Июн-21, (81) –3 // Ну и да, если мы уже вклинились в выданный сайтом код - на хрена нам эта атака , Онаним (?), 09:09 , 10-Июн-21, (82) // Кто на куче рекламмы сидит им вообще пофиг ломают их или нет, главное бабло да и, Аноним (73), 09:38 , 10-Июн-21, (84) // bank com под замком, заходить - ишаком, станешь битым мужиком, а не - просто му-, Аноним (-), 14:33 , 10-Июн-21, (117) А не удалили бы www - такой бы фигни не было , Егор (??), 11:39 , 10-Июн-21, (99) –1 Куки не храним, JS блокируем Куета , КО (?), 12:32 , 10-Июн-21, (106) +1 // К сожалению, в окне браузера может оказаться пусто , Аноним (109), 12:46 , 10-Июн-21, (109) –1 script alert 1 script ничего в этом мире не меняется и вот опять , andrey (??), 12:33 , 10-Июн-21, (107) Минуточку, т е вам нужен рутовый доступ к самому серверу, чтобы на нём перенаст, Аноним (112), 13:09 , 10-Июн-21, (112) +1 // P S ощущение, что кто-то шикарно пошутил , Аноним (112), 13:12 , 10-Июн-21, (113) Ну, типа для того, что бы манагерам пришла мысль, у админов отобрать еще больше , Аноним (136), 18:13 , 10-Июн-21, (136) +2 Нет, рутовый доступ не нужен Достаточно иметь возможность влиять на трафик поль, kmeaw (?), 08:30 , 11-Июн-21, (165) // ну апупеть - всего-то нужно иметь корневой сертификат Опять же зачем все эти , Аноним (112), 10:59 , 11-Июн-21, (174) // Не можем, потому что у нас нет корневого сертификата Это расширенный вариант ат, kmeaw (?), 14:56 , 11-Июн-21, (177) Вы кажется забыли, что почтовый сервер, чтобы тупо открыть соединение должны пор, Аноним (112), 16:44 , 11-Июн-21, (182) В этом и смысл атаки - они хотят передать в SMTP HTTP и получить его назад Вот т, Онаним (?), 10:20 , 12-Июн-21, (190) Прикольно Но ни один банк не делает голых html интернет-банкингов и не рекоменд, gogo (?), 14:53 , 10-Июн-21, (119) Опять рут нужен , pavlinux (ok), 15:44 , 10-Июн-21, (124) +1 // да, но теперь знаем зачем рут и всякие серты , Аноним (-), 16:25 , 10-Июн-21, (130) +1 Так, стоп Какой FTP Его еще несколько лет назад обещали выпилить из браузеров, Аноним (136), 18:10 , 10-Июн-21, (134) +1 // https github com sergi jsftp, pavlinux (ok), 22:08 , 10-Июн-21, (147) Никак не вкурю, у атакующего должен быть тру сертификат http сервера или он може, anonymous (??), 23:41 , 10-Июн-21, (148) // у атакующего никакого серт-а нет , Аноним (104), 23:45 , 10-Июн-21, (149) // Спасибо Анон, перечитал и с твоим комментом вкурил Пусть Джа тебе только внятны, anonymous (??), 00:47 , 11-Июн-21, (151) +1 А на сервере, который будет принимать соединение и выдавать вредоносный код, от , Аноним (112), 01:59 , 11-Июн-21, (152) +2   // И я не пойму, держатель серта в любом случае контралирует траффик, anonymous (??), 02:14 , 11-Июн-21, (153) +1   Нет, для успешного проведения атаки достаточно ленивого админа, который вместо в, kmeaw (?), 08:32 , 11-Июн-21, (166)   И Злоумышленник в этом случае должен иметь доступ либо к инфраструктуре днс име, ыы (?), 09:26 , 11-Июн-21, (167) +1   Не обязательно, можно атаковать сетевую инфраструктуру Способов полно - злоумыш, kmeaw (?), 09:37 , 11-Июн-21, (168) +1   И как это все даст ему доступ к внутренним логам сервиса зактытого TLS , ыы (?), 09:43 , 11-Июн-21, (170)   Напрямую никак Это даст ему возможность запустить js-код в браузере пользовател, kmeaw (?), 09:53 , 11-Июн-21, (171) +2   Товарищ, мне кажется что вы окончательно запутались Перечитайте ещё раз - мы оп, Аноним (112), 10:56 , 11-Июн-21, (173)   Нет, нужен не сертификат, а наличие другого сервиса с сертификатом, соответствую, kmeaw (?), 14:51 , 11-Июн-21, (176) –1   Через mx bank com ты никакой редирект не отдашь - нормальный браузер его не схав, Онаним (?), 10:27 , 12-Июн-21, (193)   и возможность FTP hijacking меня тоже не парит, потому что соединения данных ра, Онаним (?), 10:32 , 12-Июн-21, (194)   Вы кстати как-то вот легкомысленно говорите про ленивость админа который выписыв, ыы (?), 09:41 , 11-Июн-21, (169) +1   Согласен, дело может быть не только в лени, но и в желании сэкономить Небольшое , kmeaw (?), 09:56 , 11-Июн-21, (172)   Разве проблема тут не в том, что разным сервисам раздают одинаковые серты, да ещ, Аноним (175), 12:23 , 11-Июн-21, (175) // Именно в этом Нет, не придётся Достаточно направить на другой сервер с тем же с, kmeaw (?), 15:02 , 11-Июн-21, (178) // Недостаточно Ответ надо ещё в HTTP обернуть А то и в HTTP 2 , Онаним (?), 11:51 , 12-Июн-21, (195) Веб должен оставаться просто вебом, и не пытаться стать платформой , adolfus (ok), 15:10 , 11-Июн-21, (179) +1 Как будто проблема только в TLS Там еще как бы и JavaScript нужен , Аноним (186), 02:02 , 12-Июн-21, (186) +1 5,6,9,10,11,17,20,31,36,49,55,61,66,70,72,73,76,79,81,99,106,107,112,119,124,134,148,175,179,186

Сообщения

[Сортировка по времени | RSS]

	152. "ALPACA - новая техника MITM-атак на HTTPS"	+2 +/–
	Сообщение от Аноним (112), 11-Июн-21, 01:59
	А на сервере, который будет принимать соединение и выдавать вредоносный код, от куда тогда сертификат должен взяться? Хватит людей путать - вся эта атака полная чушь, подразумевающая, что админ должен профукать сертификат.
	Ответить | Правка | К родителю #149 | Наверх | Cообщить модератору

	153. "ALPACA - новая техника MITM-атак на HTTPS"	+1 +/–
	Сообщение от anonymous (??), 11-Июн-21, 02:14
	>т куда тогда сертификат должен взяться? И я не пойму, держатель серта в любом случае контралирует траффик
	Ответить | Правка | Наверх | Cообщить модератору

	166. "ALPACA - новая техника MITM-атак на HTTPS"	+/–
	Сообщение от kmeaw (?), 11-Июн-21, 08:32
	Нет, для успешного проведения атаки достаточно ленивого админа, который вместо выписывания отдельных сертов для www.bank.com и mx.bank.com либо выпишет один на все имена, либо вообще сделает *.bank.com.
	Ответить | Правка | К родителю #152 | Наверх | Cообщить модератору

	167. "ALPACA - новая техника MITM-атак на HTTPS"	+1 +/–
	Сообщение от ыы (?), 11-Июн-21, 09:26
	И? Злоумышленник в этом случае должен иметь доступ либо к инфраструктуре днс имен *.bank.com либо администрировать один из сайтов *.bank.com. То есть  паршивой овцой окажется кто-то из команды bank.com. Ну как один из админов яндекс-почты...
	Ответить | Правка | Наверх | Cообщить модератору

	168. "ALPACA - новая техника MITM-атак на HTTPS"	+1 +/–
	Сообщение от kmeaw (?), 11-Июн-21, 09:37
	Не обязательно, можно атаковать сетевую инфраструктуру. Способов полно - злоумышленник может поднять свою wifi AP, свой DHCP, сделать ARP spoofing на местный рекурсивный DNS, стать IPv6-роутером в IPv4-only сети, автосконфигурировать всем http-прокси с помощью wpad, владеть или атаковать какой-нибудь из маршрутизаторов между пользователем и bank.com.
	Ответить | Правка | Наверх | Cообщить модератору

	170. "ALPACA - новая техника MITM-атак на HTTPS"	+/–
	Сообщение от ыы (?), 11-Июн-21, 09:43
	И как это все даст ему доступ к внутренним логам сервиса зактытого TLS?
	Ответить | Правка | Наверх | Cообщить модератору

	171. "ALPACA - новая техника MITM-атак на HTTPS"	+2 +/–
	Сообщение от kmeaw (?), 11-Июн-21, 09:53
	Напрямую никак. Это даст ему возможность запустить js-код в браузере пользователя в контексте пользовательской авторизованной сессии.
	Ответить | Правка | Наверх | Cообщить модератору

	173. "ALPACA - новая техника MITM-атак на HTTPS"	+/–
	Сообщение от Аноним (112), 11-Июн-21, 10:56
	>Это даст ему возможность запустить js-код Товарищ, мне кажется что вы окончательно запутались. Перечитайте ещё раз - мы опять упираемся в необходимость иметь на руках сертификат для совершения этой атаки.
	Ответить | Правка | Наверх | Cообщить модератору

	176. "ALPACA - новая техника MITM-атак на HTTPS"	–1 +/–
	Сообщение от kmeaw (?), 11-Июн-21, 14:51
	Нет, нужен не сертификат, а наличие другого сервиса с сертификатом, соответствующим атакуемому домену. Предположим, что я - админ bank.com, и у меня есть почтовый сервер, mx.bank.com. Я законным путём получил сертификат сразу на два домена: "bank.com" и "mx.bank.com". Или на *.bank.com. Или на почтовом сервере у меня используется тот же сертификат, что и на веб-сервере - любой из этих вариантов подойдёт для атакующего. Важно лишь то, что сертификат, которым пользуется mx.bank.com, годится и для bank.com. Есть жертва. Она приходит в кафе поесть, но оказывается, что денег на карте не хватает, чтобы расплатиться, и приходится заходить на bank.com, чтобы перекинуть немного с накопительного счёта на карточный. Хорошо, что рядом есть wifi ap, ведь в этом месте мобильная сеть плохо работает. И есть злоумышленник. Который поднял эту wifi ap. Он уже давно пытается перехватить сессию пользователей на bank.com. Сначала он просто заворачивал трафик на свой nginx, но админы настроили https, и пользователь пугается и закрывает браузер, видя большое красное предупреждение. Поэтому злоумышленник стал действовать хитрее. Он стал подсовывать жертве ссылку на свой сайт, который из js делает POST-запрос на https://bank.com/transfer.cgi?to=eviljoe123&amount=100500. Разработчики банка узнали про этот трюк, и стали в веб-формы вставлять случайные CSRF-токены, которые злоумышленник угадать не может, а в обработчике transfer.cgi проверять их наличие. Теперь появилась вот эта новая атака. Злоумышленник подсовывает ссылку на evil.com/switchdns.cgi. Когда жертва переходит по ссылке, switchdns.cgi перенастраивает сеть так, чтобы трафик до bank.com попадал на mx.bank.com, а потом отдаёт редирект на bank.com/<script.../>. Браузер жертвы подключается туда (TLS), проверяет сертификат (с ним всё ок) и отправляет ничего не подозревающему почтовому серверу HTTP-запрос. Почтовый сервер отвечает "я не знаю, что такое <script.../>". Браузер интерпретирует это, как HTTP-ответ с тегом <script/> внутри, и начинает выполнять этот скрипт в контексте bank.com. А дальше злоумышленник возвращает всё обратно - пускает трафик по обычному пути до bank.com, а в своём скрипте делает запрос веб-формы, парсит оттуда CSRF-токен и делает POST на перевод денег - всё это из браузера пользователя, исполняющего его скрипт. Нигде во время атаки злоумышленнику не нужно ни владеть никакими сертификатами, ни находиться в сговоре с админами bank.com.
	Ответить | Правка | Наверх | Cообщить модератору

	193. "ALPACA - новая техника MITM-атак на HTTPS"	+/–
	Сообщение от Онаним (?), 12-Июн-21, 10:27
	Через mx.bank.com ты никакой редирект не отдашь - нормальный браузер его не схавает, хедеры нужны корректные. Через ftp.bank.com - можно - edo выше приводит рабочую схему атаки, но для этого надо на нём r/w доступ. У меня например есть под рукой живой шаред хостинг, и меня эта проблема не парит совсем, потому что мы сразу разделили FTP и клиентские серты, FTPS работает с нашим собственным сертом - это нормальная практика. Клиентскому серту - только клиентское, инфраструктура отдельно.
	Ответить | Правка | Наверх | Cообщить модератору

	194. "ALPACA - новая техника MITM-атак на HTTPS"	+/–
	Сообщение от Онаним (?), 12-Июн-21, 10:32
	(и возможность FTP hijacking меня тоже не парит, потому что соединения данных разрешены только от IP соединения управления)
	Ответить | Правка | Наверх | Cообщить модератору

	169. "ALPACA - новая техника MITM-атак на HTTPS"	+1 +/–
	Сообщение от ыы (?), 11-Июн-21, 09:41
	Вы кстати как-то вот легкомысленно говорите про ленивость админа который выписывает отдельные сертификаты... Это возможно если вы бесплатные сертификаты с летскрипта выписываете. А вот если вы покупаете нормальные сертификаты, заверенные, с повышенным доверием - то разница в ценнике между *.bank.com и десятком "чтототам".bank.com будет заметная. И тем более если админ имеет возможность САМ выписывать эти сертификаты, там ценник вообще отрывается на порядок... Для конкретно банка- эти суммы может и не в тягость...но "*.bank.com" ведь для примера приведен. Это ведь может быть и не банк а просто предприятие. Которому все эти траты могут быть и не очень приятны.
	Ответить | Правка | К родителю #166 | Наверх | Cообщить модератору

	172. "ALPACA - новая техника MITM-атак на HTTPS"	+/–
	Сообщение от kmeaw (?), 11-Июн-21, 09:56
	Согласен, дело может быть не только в лени, но и в желании сэкономить. > может быть и не банк а просто предприятие. Которому все эти траты могут быть и не очень приятны. Небольшое предприятие скорее всего воспользуется бесплатным letsencrypt, чтобы избежать трат.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема