The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Релиз почтового клиента Claws Mail 3.8.0, opennews (??), 17-Дек-11, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


4. "Релиз почтового клиента Claws Mail 3.8.0"  +3 +/
Сообщение от Анонимъ (?), 17-Дек-11, 22:55 
>мучений с синхронизацией почты на домашней и рабочей машине.

IMAP религия не позволяет использовать?

Ответить | Правка | Наверх | Cообщить модератору

28. "Релиз почтового клиента Claws Mail 3.8.0"  –3 +/
Сообщение от Dfcz (?), 18-Дек-11, 14:36 
> IMAP религия не позволяет использовать?

И многие почтовые сервера его поддерживают?

Но даже у тех кто поддерживает, включать его не стоит его включение на порядок ускоряет подбор пароля.


Ответить | Правка | Наверх | Cообщить модератору

34. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от arisu (ok), 18-Дек-11, 15:09 
> его включение на порядок ускоряет подбор пароля.

орли? это как, интересно?

Ответить | Правка | Наверх | Cообщить модератору

39. "Релиз почтового клиента Claws Mail 3.8.0"  +1 +/
Сообщение от Dfcz (?), 18-Дек-11, 15:29 
на порядок это в 10 раз.
Ответить | Правка | Наверх | Cообщить модератору

40. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от arisu (ok), 18-Дек-11, 15:34 
> на порядок это в 10 раз.

благодарю, кэп! а теперь техническое пояснение, с указанием на flaws в протоколе, которые это позволяют. идиотизм настраивающих почтовые сервера за protocol flaws не считается.

ну, или можно сказать «я ошибся и сморозил глупость.»

Ответить | Правка | Наверх | Cообщить модератору

41. "Релиз почтового клиента Claws Mail 3.8.0"  –1 +/
Сообщение от Dfcz (?), 18-Дек-11, 15:51 
обработка пароля через веб форму на gmail --около 1 секунды.
обработка пароля через imap -- около 0.1 секунды.
1 секунда /0.1 секунда = 10 раз.


Ответить | Правка | Наверх | Cообщить модератору

42. "Релиз почтового клиента Claws Mail 3.8.0"  +2 +/
Сообщение от arisu (ok), 18-Дек-11, 15:56 
то есть, таки глупость сказал, а признавать не хочешь. бывает, чо. тут 90% таких.
Ответить | Правка | Наверх | Cообщить модератору

69. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 18:24 
> то есть, таки глупость сказал, а признавать не хочешь. бывает, чо. тут
> 90% таких.

У него мозга не хватило осознать что чем тормознее 1 сетевая операция, тем больше можно их пустить в параллель при одних и тех же доступных ресурсах, устроив обычный такой pipelining.

Ответить | Правка | Наверх | Cообщить модератору

147. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 18-Дек-11, 21:19 
> У него мозга не хватило осознать что чем тормознее 1 сетевая операция,
> тем больше можно их пустить в параллель при одних и тех
> же доступных ресурсах, устроив обычный такой pipelining.

Откуда заключения что ресурсы потребляются одинаковые?
Таскать туда сюда  html через редиректы несколько сложнее чем две команды через IMAP.


Ответить | Правка | Наверх | Cообщить модератору

174. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 01:22 
> Откуда заключения что ресурсы потребляются одинаковые?

Да, кстати, SSL намного тяжелее для сервера чем для клиента, так что если гуглу 10 000 ботов начнут в много потоков долбить HTTPS, скорее всего он призадумается о том что им делать с проблемным ящиком. Поскольку там очень невкусный коэффициент, есть риск что распределенная структура ботов положит распределенную структуру гугли.

> Таскать туда сюда  html через редиректы несколько сложнее чем две команды
> через IMAP.

Во первых, если сервер волнует скорость брута, он может специально задерживать ответ на эти команды. Во вторых, у гугеля по дефолту pop3 кажется активен. Ну и чего вы тут лечите? Секурити, секурити... фуфлогонщик вы.

Ответить | Правка | Наверх | Cообщить модератору

197. "Релиз почтового клиента Claws Mail 3.8.0"  +1 +/
Сообщение от Df232z (?), 19-Дек-11, 07:47 
>Да, кстати, SSL намного тяжелее для сервера чем для клиента, так что если гуглу 10 000 ботов начнут в много потоков долбить HTTPS, скорее всего он призадумается о том что им делать с проблемным ящиком.

Я вам расскажу что они делают, благо секрет не большой:
при любом вводе пароля на атакуемый ящик начинает требоваться капча. Настоящему хозяину ввести капчу один раз не трудно, а ботам приходится плохо.
> Поскольку там очень невкусный коэффициент, есть риск что распределенная структура ботов положит распределенную структуру гугли.

Просто уже начинаю жалеть гугл. Оказвается их можно положить ботами за 100$ Думаю больше двух дней гугл не протянет.

Ответить | Правка | Наверх | Cообщить модератору

68. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 18:23 
> обработка пароля через веб форму на gmail --около 1 секунды.
> обработка пароля через imap -- около 0.1 секунды.

Ну хорошо, я в одном случае для забития канала пущу 1000 тредов а в другом только 100. И? :)

Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

176. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от ffirefox (?), 19-Дек-11, 01:26 
Вам надо почту взять на тормозном хостинге с длиииииииииинным пингом. Безопасность будет увеличина на несколько порядков.

Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

198. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 19-Дек-11, 07:49 
А вот я взял на gmail с двухфакторной и отключенным IMAP.

Ответить | Правка | Наверх | Cообщить модератору

43. "Релиз почтового клиента Claws Mail 3.8.0"  –2 +/
Сообщение от Dfcz (?), 18-Дек-11, 15:56 
Кстати, если gmail чувствует что пароль подбирают, то
  поле пароля прячет через стили css и подсовывает другое и смотрит какое из двух будет заполнено.
  вставляет несколько редиректов,
  меняет структуру html страницы без изменения внешнего вида,
  еще сотня трюков...
  или просто подсовывает капчу.
Насколько я знаю ничего подобного протокол Imap не позволяет, и отличить бота от человека невозможно.
  


Ответить | Правка | К родителю #40 | Наверх | Cообщить модератору

70. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 18:26 
> Кстати, если gmail чувствует что пароль подбирают,

У гмыла если не ошибаюсь есть доступ по IMAP. Ну и вообще, подбирать брутом не словарный пароль символов хотя-бы на 12, с цифрами и небуквенными знаками - удачи, да.

Ответить | Правка | Наверх | Cообщить модератору

98. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Dfcz (?), 18-Дек-11, 19:23 
Ошибаешься. По умолчанию доступ по IMAP отключен по соображениям безопасности, что намекает...


Ответить | Правка | Наверх | Cообщить модератору

128. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 20:37 
> Ошибаешься. По умолчанию доступ по IMAP отключен по соображениям безопасности,

А я думал, для того чтобы удобнее было зонды имплантировать, ну и рекламу там всякую. Безопасность вебфэйса - ниже плинтуса: достаточно скрипту прорваться через фильтр и все, 100% pwnage ящика. От вашего лица скрипт может покуролесить как возжелает.

На второй день Зоркий Глаз заметил что у сарая нет стены :)

Ответить | Правка | Наверх | Cообщить модератору

135. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 18-Дек-11, 20:50 
Что за фантастический скрипт? Прямо как ядерное оружие в Ираке --никто не видел но оправдывает любую чушь. Ознакомьте уже нас скорее с этим скриптом.
И что такое 100% pwnage? Угонит пароль? Так 2х факторная же.

Ответить | Правка | Наверх | Cообщить модератору

178. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 01:42 
> Что за фантастический скрипт? Прямо как ядерное оружие в Ираке --никто не
> видел но оправдывает любую чушь. Ознакомьте уже нас скорее с этим скриптом.

Пример старого варианта я уже приводил. То что может быть кучка новых - да, может, только кто ж вам бесплатно боевые образцы то даст? (если это сделать, дырка будет завтра же законопачена, как только орава хомячков сломает половину ящиков).

Общая идея: отправляем недругу письмо, которое являет собой хтмл в который внедрен яваскрипт. Который надо хитро распихать так чтобы фильтры не поняли что это JS, но зато браузер при просмотре выполнил бы это как часть текущей страницы. Поскольку каждое действие скрипта авторизации не подлежит, да и скрипт становистя как бы частью страницы, появляется шанс покуролесить с правами текущего аккаунта. А вашу стофакторную вы сами же и пройдете. Если вы пустили в дом грабителя под видом сантехника - не важно сколько там у вас в двери было замков.

> И что такое 100% pwnage? Угонит пароль? Так 2х факторная же.

Да зачем пароль угонять? Можно переколбасить настройки если надо + спереть переписку. Как будто кому-то надо ваш ящик отнимать. Это паливно и ведет к быстрому возврату ящика и пресечению взлома. А вот если в фоне какой-то скрипт данные вытянет - никто и не заметит ничего особо ;)

Ответить | Правка | Наверх | Cообщить модератору

72. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 18:32 
>   или просто подсовывает капчу.

Во первых, половина капч спокойно рюхается ботами.
Во вторых, если даже капча на автомате вдруг не рюхается, смотрите на цену взлома капч живыми китайцами. Там какие-то копейки.
В третьих, матан-кун сообщает, что из IT'шного матана следует забавная вещь: всегда можно сделать бота которого одна конкретная программа не сможет за бота распознать. Как всегда можно сделать такую программу которая все-таки будет распознавать этого отдельно взятого бота (но не всех теоретически возможных ботов). Бесконечная гонка брони и снаряда нам гарантирована математически.

> Насколько я знаю ничего подобного протокол Imap не позволяет,

Вот только гмыл доступен по imap. Время охоты на страусов на опеннете!

Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

79. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Dfcz (?), 18-Дек-11, 19:02 
>Вот только гмыл доступен по imap. Время охоты на страусов на опеннете!

Первый пойман. Gmail не доступен по умолчанию по IMAP, только если глупый пользователь не включит его в настройках.

Ответить | Правка | Наверх | Cообщить модератору

89. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 19:12 
> Первый пойман. Gmail не доступен по умолчанию по IMAP, только если глупый
> пользователь не включит его в настройках.

Ну и хрен с ним. Чем ломать загогулистый 12-символьный пароль столетиями, проще тебе скрипт подбросить, который из-за несовершенства фильтров вполне может проскочить. А вот далее уже есть твой браузер. Авторизацию ты прошел сам. А то что некое действо сделал не ты а скрипт от твоего лица - поди еще разберись. Кстати таким методом реально ломали гмыло несколько раз.

Ответить | Правка | Наверх | Cообщить модератору

114. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df231z (?), 18-Дек-11, 20:04 
> проще тебе скрипт подбросить, который из-за несовершенства фильтров вполне может проскочить

Не надо фантазировать.

Ответить | Правка | Наверх | Cообщить модератору

131. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 20:46 
> Не надо фантазировать.

Ну так и не фантазируй. Это реально существющие методы взлома емыльников. Например бывало и примерно такое: http://www.gnucitizen.org/blog/google-gmail-e-mail-hijack-te.../

Сколько такого еще осталось? А хрен знает. С тех пор гугл сильно вырос и желающих его сломать много. Они уже врядли станут тебе рапортовать о дырах. Слишком уж интересная мишень.

Ответить | Правка | Наверх | Cообщить модератору

137. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 18-Дек-11, 21:02 
Какая то древняя дырка 2007 года времен беты.

А теперь смотри на это:
http://www.mozilla.org/security/known-vulnerabilities/thunde...
http://www.mozilla.org/security/known-vulnerabilities/thunde...
Видишь красненькое? Это критические баги/уязвимости/потенциальные уязвимости.
Причем в отличии от Gmail-а у почти у 40 процентов пользователей не самая новая версия THunderbird и эти баги легко эксплуатируемы.
Gmail стоит использовать хотя бы за то что у всех пользователей самая последняя версия.
А ошибки бывают везде(нет совершенства под луной) важно выбрать того кто их быстрее чинит.


Ответить | Правка | Наверх | Cообщить модератору

149. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от arisu (ok), 18-Дек-11, 21:20 
> почти у 40 процентов пользователей не самая новая версия THunderbird

и в этом, конечно, виновата тормозилла.

Ответить | Правка | Наверх | Cообщить модератору

158. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 18-Дек-11, 21:47 
Я не знаю кто виноват, я только знаю что почтовыми десктоп клиентами лучше не пользоваться.


Ответить | Правка | К родителю #149 | Наверх | Cообщить модератору

179. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 01:46 
> http://www.mozilla.org/security/known-vulnerabilities/thunde...
> http://www.mozilla.org/security/known-vulnerabilities/thunde...
> Видишь красненькое? Это критические баги/уязвимости/потенциальные уязвимости.

А гмыл китайцы только в этом году разломали, сперев пароли от кучи ящиков оптом.

Кстати если уж мы о безопасности, получаемый извне от других юзеров хтмл - потенциально опасная штука. Плейнтекст штука простая, накосячить в его обработчике почти невозможно. А вот хтмл... кстати подумайте о том что в присланном снаружи письме может потенциально быть и эксплойт ориентированный на прошибание браузера. У гугли вон недавно свежая версия вышла, дыры зачинены, как обычно ;)

Ответить | Правка | Наверх | Cообщить модератору

83. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Dfcz (?), 18-Дек-11, 19:05 
> Во первых, половина капч спокойно рюхается ботами.

Данные взяты с потолка?


Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

90. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 19:12 
> Данные взяты с потолка?

Да зачем с потолка, с любого форума где обитают заинтересованные вопросом.

Ответить | Правка | Наверх | Cообщить модератору

100. "Релиз почтового клиента Claws Mail 3.8.0"  –1 +/
Сообщение от Dfcz (?), 18-Дек-11, 19:24 
> Да зачем с потолка, с любого форума где обитают заинтересованные вопросом.

То есть с потолка?


Ответить | Правка | Наверх | Cообщить модератору

132. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 20:47 
> То есть с потолка?

В роли совсем базового потолка подойдет например хабрахабр,где вопросы слома капч обсуждались с завидной регулярностью :)

Ответить | Правка | Наверх | Cообщить модератору

138. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 18-Дек-11, 21:02 
Ссылка?
Ответить | Правка | Наверх | Cообщить модератору

54. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 16:24 
gmail поддерживает. Так что оратор из поста 1.1 жаловался впустую - прекрасно мог бы Claws использовать через IMAP на gmail

> его включение на порядок ускоряет подбор пароля.

Если вы не заботитесь о качестве своих паролей, у вас их и без IMAP уведут, если это конечно кому-нибудь понадобится. Часто люди вообще ставят один примитивный пароль на куче сайтов. Ну а для хорошего пароля ускорение подбора "на порядок" (да хоть в тыщу раз) - практически ничто

Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

55. "Релиз почтового клиента Claws Mail 3.8.0"  –2 +/
Сообщение от Dfcz (?), 18-Дек-11, 16:47 
Значит у нас просто очень разный подход к жизни.
Вам плевать на безопасность мне нет.
Может быть вам поможет то что ничего ценного у вас нет, не знаю.

А по поводу того что хороший пароль спасет -- не при нынешних ценах на ботнеты
Ознакомитесь с вот этой историей:
http://css-tricks.com/this-sites-domain-is-stolen/

Ответить | Правка | Наверх | Cообщить модератору

56. "Релиз почтового клиента Claws Mail 3.8.0"  –2 +/
Сообщение от Dfcz (?), 18-Дек-11, 16:53 
Кстати ломанули его видимо как раз через Imap.
Вирусы вряд ли, так как мак, но в его скринкастах
я видел, на заднем плане, запущенный mail.app.
Ответить | Правка | Наверх | Cообщить модератору

66. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 18:21 
> Кстати ломанули его видимо как раз через Imap.

В самом по себе IMAP нет никаких фундаментальных уязвимостей.

> Вирусы вряд ли, так как мак,

Ага, вы просто не видели ченжлоги макоси. Да и троянчиков под нее несколько штук все-таки есть.

Ответить | Правка | Наверх | Cообщить модератору

85. "Релиз почтового клиента Claws Mail 3.8.0"  –1 +/
Сообщение от Dfcz (?), 18-Дек-11, 19:07 
> Ага, вы просто не видели ченжлоги макоси. Да и троянчиков под нее
> несколько штук все-таки есть.

Это тех которые "Зайти на сайт. Скачать. Два раза кликнуть. Ввести пароль. Если не заработало --сделать дауггрейд до леопарда." -- я сильно сомневаюсь. Не та аудитория.


Ответить | Правка | Наверх | Cообщить модератору

93. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 19:15 
> Если не заработало --сделать дауггрейд до леопарда." -- я сильно сомневаюсь.

Да какой там даунгрейд, там каждый фикс затыкает пачку дыр класса "хакер может выполнить код, блаблабла". Зачем вводить пароль? Чтобы упереть у вас мылбокс достаточно _ваших_ лузерских привилегий. Вы же как-то пользуетесь почтой, правда? :)

> Не та аудитория.

Да, там такие ... что им даже ложкой пользоваться слишком сложно, если она не производства эппл.

Ответить | Правка | Наверх | Cообщить модератору

115. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df231z (?), 18-Дек-11, 20:06 
>Чтобы упереть у вас  мылбокс достаточно _ваших_ лузерских привилегий

Вы это на основании каких знаний утверждаете?

Ответить | Правка | Наверх | Cообщить модератору

133. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 20:48 
> Вы это на основании каких знаний утверждаете?

Это же элементарно, Ватсон. Если вы имеете доступ к ящику, значит и троян с вашими правами его туда потенциально имеет. А чего такого фундаментально не сможет троян, чего сможете вы?

Ответить | Правка | Наверх | Cообщить модератору

150. "Релиз почтового клиента Claws Mail 3.8.0"  –1 +/
Сообщение от Df232z (?), 18-Дек-11, 21:20 
То есть фантазии?


Ответить | Правка | Наверх | Cообщить модератору

183. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 04:09 
> То есть фантазии?

Да, вот фантазии трояны пока не умеют. К сожалению гугл их тоже не умеет, поэтому на критерий отличия трояна от человека не тянет, увы.

Ответить | Правка | Наверх | Cообщить модератору

202. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 13:01 
Пожалуйста, переведите на русский.
Ответить | Правка | Наверх | Cообщить модератору

65. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 18:20 
> А по поводу того что хороший пароль спасет -- не при нынешних
> ценах на ботнеты

А что цены на ботнеты? Может, пароль надо использовать длинный и не словарный? Такой пароль даже брутфорсом на куче машин с GPU, имеючи его хеш и то не крякается за разумное время, а в случае сети все намного раньше упирается в сетевой канал и/или скорострельность сервера, что делает это начинание еще более тухлым. Хотя конечно, ламеров с 4-символьными паролями и словарными словами вскрывают пачками. Потому что "без лоха жизнь плоха".

Ответить | Правка | К родителю #55 | Наверх | Cообщить модератору

71. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от arisu (ok), 18-Дек-11, 18:30 
> А что цены на ботнеты? Может, пароль надо использовать длинный и не
> словарный?

это Слишком Сложно. во всём, конечно, виноват imap, а не плохие пароли.

Ответить | Правка | Наверх | Cообщить модератору

73. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 18:36 
> это Слишком Сложно. во всём, конечно, виноват imap, а не плохие пароли.

Этот вождь краснокожих Зоркий Глаз через 2 дня обнаружит что у сарая нет стены, в том плане что гмыло доступно по imap'у :)

Ответить | Правка | Наверх | Cообщить модератору

82. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Dfcz (?), 18-Дек-11, 19:03 
> Этот вождь краснокожих Зоркий Глаз через 2 дня обнаружит что у сарая
> нет стены, в том плане что гмыло доступно по imap'у :)

Не доступно.


Ответить | Правка | Наверх | Cообщить модератору

86. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 19:07 
> Не доступно.

А гугель говорит что у них есть такая фича. Правда, ее можно включать/отключать, но если уж на то пошло, я скорее поверю что у тебя сопрут твой мылбокс как раз из вебни, через XSS/CSRF/... просто подбросив тебе письмо с скриптиком который из-за несовершенства фильтров не отфильтруется, и который потом от твоего лица через браузер с уже пройденной авторизацией сделает все что нужно. Найти такой ляпус в браузере или навернутом до усрача вебфэйсе явно проще чем 12-символьный пароль сбрутфорсить.

Ответить | Правка | Наверх | Cообщить модератору

106. "Релиз почтового клиента Claws Mail 3.8.0"  –2 +/
Сообщение от Вася (??), 18-Дек-11, 19:39 
>> Не доступно.
> А гугель говорит что у них есть такая фича.

По умолчанию выключено так как не безопасно.
> у тебя сопрут твой мылбокс как раз из вебни, через XSS/CSRF/...
> просто подбросив тебе письмо с скриптиком который из-за несовершенства фильтров не
> отфильтруется, и который потом от твоего лица через браузер с уже
> пройденной авторизацией сделает все что нужно. Найти такой ляпус в браузере
> или навернутом до усрача вебфэйсе явно проще чем 12-символьный пароль сбрутфорсить.

Проще? Для брутфорса нужно 100$ для покупки 10 000 ботов и все.
Для нахождения XSS в таких сервисах как gmail нужна бригада высококлассных специалистов и бюджет минимум на порядки больше.
Цены на бот неты я беру не с потолка а из исследования беркли Кстати рекомендую почитать http://www.icir.org/vern/papers/ppi-usesec11.pdf


Ответить | Правка | Наверх | Cообщить модератору

134. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 20:50 
> Проще? Для брутфорса нужно 100$ для покупки 10 000 ботов и все.

И 100500 лет терпения чтобы сломать длинный не словарный пароль. Правда, хакеры столько не живут, но на такие мелочи мы же не будем расспыляться, правда? :)

Ответить | Правка | Наверх | Cообщить модератору

140. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 18-Дек-11, 21:08 
> И 100500 лет терпения чтобы сломать длинный не словарный пароль. Правда, хакеры
> столько не живут, но на такие мелочи мы же не будем
> расспыляться, правда? :)

Да осильте вы уже ТерВер.
Даю намек, сколько ждать того что в 15 бросках монеты выпадет Р00РРРРРР000Р0?

Ответить | Правка | Наверх | Cообщить модератору

177. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от ffirefox (?), 19-Дек-11, 01:34 
Открою секрет. В качестве символов пароля не обязательно использовать только символы P и O. ;)

Ответить | Правка | Наверх | Cообщить модератору

190. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 19-Дек-11, 07:33 
> Открою секрет. В качестве символов пароля не обязательно использовать только символы P
> и O. ;)

Спасибо. А теперь попытайтесь ответить на вопрос.

Ответить | Правка | К родителю #177 | Наверх | Cообщить модератору

184. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 04:33 
> Даю намек, сколько ждать того что в 15 бросках монеты выпадет Р00РРРРРР000Р0?

Даю намек: какая вероятность того что при 200 бросках монеты будет выпадать сначала 100 раз орел, потом 100 раз решка? И только так? :)

А что если мы вместо монеты возьмем пароль, на 15 символов? Пусть только латинские буквы 2 регистров и цифры. Всего (26*2 + 10) = 62 возможных значения. А всего возможных вариантов стало быть 62^15.

Пусть у нас есть хэш этого пароля. Так что мы даже не ограничены сетью и возможностями серваков гугла. Допустим у нас есть недурная числокрушилка, набитая GPU которая считает 10^9 хешей в секунду (пресловутый гигахеш, любимый некоторыми господами). А теперь посчитаем время потребное на полный перебор множества всех возможных значений 62^15, потребное для гарантированного выигрыша. Разрешаю учесть эффект встречи посередине и даже задаться не 100% вероятностью выигрыша а допустим 10%. А теперь берем в руки калькулятор и офигеваем...

Ответить | Правка | Наверх | Cообщить модератору

191. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 19-Дек-11, 07:33 
Спасибо. А теперь попытайтесь ответить на вопрос.

Ответить | Правка | К родителю #184 | Наверх | Cообщить модератору

201. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 12:48 
Указанная последовательность из 14 положений монеты в 15 бросках выпадет с вероятностью 4/2^15, т.е. 1/8192. Соответственно, если мы каждый раз делаем 15 бросков, потребуется в среднем 4096 раз, чтобы эта последовательность выпала. Если я правильно понял условия задачи
Ответить | Правка | К родителю #191 | Наверх | Cообщить модератору

204. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 16:11 
Что значит "в среднем"? Проводить испытания миллионы раз, для нормализации результатов, я не собираюсь, и параллельных вселенных в моем распоряжении нет. Я спросил сколько ждать до выпадения определенной последовательности.
Ответить | Правка | К родителю #201 | Наверх | Cообщить модератору

208. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 20:46 
Медиана там будет не 4096, это я ошибся, 4096 выйдет при последовательном переборе.
От 1 до бесконечности - может с первого раза повезти (очень маловероятно), может и при миллионе бросков не повезти (тоже маловероятно). Вы пытаетесь подстраховаться от случайного везения злоумышленников?
Ответить | Правка | К родителю #204 | Наверх | Cообщить модератору

213. "Релиз почтового клиента Claws Mail 3.8.0"  +1 +/
Сообщение от Аноним (-), 19-Дек-11, 22:25 
> спросил сколько ждать до выпадения определенной последовательности.

Теория вероятности не дает четкого ответа на этот вопрос. Ничему не противоречит с первого раза получить желаемую комбинацию за 15 попыток ("супервезение"), равно как ничему не противоречит и ни разу не получить желаемую комбинацию даже за 10 000 попыток ("невезение"). Поскольку события полагаются случайными, четкой гарантии вообще нет. Поэтому имеет смысл оперировать лишь оценкой вероятности.

Если вы хотите побухтеть про супервезение - камон, вон я вам хеш оставил. Угадайте с одной попытки 15-символьный пароль который его породил. Ну или за 10^9 попыток. Или сколько вы там осилите не задолбавшись? :)

Ответить | Правка | К родителю #204 | Наверх | Cообщить модератору

67. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 18:22 
> Вам плевать на безопасность мне нет.

Вот только как к этому относится imap? Сам по себе imap никак не упрощает и не усложняет взлом.

Ответить | Правка | К родителю #55 | Наверх | Cообщить модератору

87. "Релиз почтового клиента Claws Mail 3.8.0"  –1 +/
Сообщение от Dfcz (?), 18-Дек-11, 19:09 
> Вот только как к этому относится imap? Сам по себе imap никак
> не упрощает и не усложняет взлом.

Ну как же не упрощает? Брутфорс через веб интерфейс сложен и легко останавливается хотя бы капчей. Через Imap боты могут подбирать пароли до посинения.

Ответить | Правка | Наверх | Cообщить модератору

88. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от arisu (ok), 18-Дек-11, 19:10 
> Через Imap боты могут подбирать пароли до посинения.

Админ Локалхоста Репортинг Ин.

Ответить | Правка | Наверх | Cообщить модератору

101. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 19:26 
> Ну как же не упрощает? Брутфорс через веб интерфейс сложен и легко
> останавливается хотя бы капчей.

Это решаемо. Брут можно раскидать на кучу айпишников с низкой интенсивностью в пересчете на айпи, если решение о капче по активности на айпи - капча никогда не вылезет. Если капча по глобальной скорости ввода паролей на аккаунт - она вас же и задолбает, требуя каждый раз доказать что вы не верблюд. Хотя куда проще просто подкинуть вам скрипт в письме, который от вашего лица сделает все что надо.

>  Через Imap боты могут подбирать пароли до посинения.

Точнее, до превращения солнца в красный карлик, если пароль длинный.

Ответить | Правка | К родителю #87 | Наверх | Cообщить модератору

108. "Релиз почтового клиента Claws Mail 3.8.0"  –1 +/
Сообщение от Вася (??), 18-Дек-11, 19:46 
> Это решаемо.

Не надо фантазировать. Непотвержденные  фактами фантазии стоят мало.
А открытый Imap это ослабление безопасности.

> Брут можно раскидать на кучу айпишников с низкой интенсивностью в
> пересчете на айпи, если решение о капче по активности на айпи
> - капча никогда не вылезет. Если капча по глобальной скорости ввода
> паролей на аккаунт - она вас же и задолбает, требуя каждый
> раз доказать что вы не верблюд.

Не надо фантазировать.

>Хотя куда проще просто подкинуть
> вам скрипт в письме, который от вашего лица сделает все что
> надо.

Не надо фантазировать.

> Точнее, до превращения солнца в красный карлик, если пароль длинный.

Я вас очень прошу ознакомьтесь с теорией вероятностей хотя бы на начальном уровне.
Строить безопасность на том что взлом маловероятен -- выбросить безопасность вон.
Добро должно быть с кулаками, а безопасность бывает только с активными методами противодействия.

Ответить | Правка | Наверх | Cообщить модератору

143. "Релиз почтового клиента Claws Mail 3.8.0"  +1 +/
Сообщение от Аноним (-), 18-Дек-11, 21:14 
> Не надо фантазировать. Непотвержденные  фактами фантазии стоят мало.

При чем тут фантазии? Это элементарная логика. Достаточно посмотреть на устройство любого брутфорсера чтобы осознать что кретинов работающих в 1 поток в 21 веке просто исчезающе мало.

> А открытый Imap это ослабление безопасности.

Предлагаю вам срочно выдернуть из компа кабель питания. Воткнутый кабель питания - существенное ослабление безопасности компа.

> Не надо фантазировать.

Так не фантазируйте. Посмотрите на то как устроены современные программы брутфорса паролей, а потом вякайте. Теоретик хренов.

>> вам скрипт в письме, который от вашего лица сделает все что
>> надо.
> Не надо фантазировать.

Так я даже пруфлинк для особо упертых накопал. Староват, но какие гарантии отсутствия таких ляпов?

> Я вас очень прошу ознакомьтесь с теорией вероятностей хотя бы на начальном уровне.

Я с ней знаком на уровне институтского курса. Полечите тут меня, удачи.

> Строить безопасность на том что взлом маловероятен -- выбросить безопасность вон.

А ничего что на именно этом и основаны все криптостойкие хеши? ;) Да что там, есть ненулевая вероятность что молекулы воздуха дружно улетят в соседнюю комнату, а вы окажетесь в вакууме. Теории не противоречит. Просто вероятность события крайне мизерная, поэтому на практике вы можете сидеть в комнате без скафандра.

> Добро должно быть с кулаками, а безопасность бывает только с активными методами
> противодействия.

Ваши методы больше напоминают технику страуса. Непрошибаемый метод, основанный на теории вероятности: посчитать длину пароля, гарантированный взлом которого (или даже просто взлом с вероятностью 1%) потребует даже на очень хорошем процессоре больше энергии чем враг накопает в пределах солнечной системы. Особо ушибленные могут вообразить себе идеальный компьютер, состояния в котором отличаются какой-то элементарной величиной выше которой прыгнуть сложно, типа постоянной Планка например.

Ответить | Правка | Наверх | Cообщить модератору

152. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 18-Дек-11, 21:30 
> При чем тут фантазии? Это элементарная логика.

Логика оторванная от реальности называется -- фантазии.
> Предлагаю вам срочно выдернуть из компа кабель питания. Воткнутый кабель питания -
> существенное ослабление безопасности компа.

Зачем передергивать? Вытаскивать ничего не надо достаточно не включать IMAP.
> Я с ней знаком на уровне институтского курса.

Подзабыли? Поясните как из вероятности вы получаете время до взлома?
>Полечите тут меня, удачи.

Извините, но это к врачу.
> А ничего что на именно этом и основаны все криптостойкие хеши? ;)

И что их после генерации раздают? Или прячут куда подальше?
>> Добро должно быть с кулаками, а безопасность бывает только с активными методами
>> противодействия.
> вероятности: посчитать длину пароля, гарантированный взлом которого (или даже просто взлом
> с вероятностью 1%) потребует даже на очень хорошем процессоре больше энергии
> чем враг накопает в пределах солнечной системы. Особо ушибленные могут вообразить
> себе идеальный компьютер, состояния в котором отличаются какой-то элементарной величиной
> выше которой прыгнуть сложно, типа постоянной Планка например.

Я вас умоляю - вспомните ТерВер.

Ответить | Правка | Наверх | Cообщить модератору

185. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 05:06 
> Логика оторванная от реальности называется -- фантазии.

А чего такого нереального в пароле из смеси латинских букв 2 регистров и цифр длиной в 15 символов, например? Получится 62^15 вариантов. Хорошее число, доставляет :)

>> существенное ослабление безопасности компа.
> Зачем передергивать? Вытаскивать ничего не надо достаточно не включать IMAP.

Там pop3 включен по дефолту. Это чем-то лучше? Там авторизация не сложнее imap. Что, зоркий глаз, у сарая все-таки нет одной стены?

>> Я с ней знаком на уровне институтского курса.
> Подзабыли? Поясните как из вероятности вы получаете время до взлома?

А легко: рассматривается 100% перебор вообще всех возможных значений пароля ("полный перебор keyspace"). При этом проиграть в такую лотерею невозможно. Это worst case, гарантирующий слом в любом раскладе, т.е. 100% выигрыш. А вероятность выиграть за 1 попытку - 1/(62^15). Не очень много, а? Долго подбрасывать придется ;).

>> А ничего что на именно этом и основаны все криптостойкие хеши? ;)
> И что их после генерации раздают? Или прячут куда подальше?

Прелесть хешей в том что в крайнем случае, если даже их сперли, это не обеспечивает вам знание пароля. Ну вот например вам SHA1 от пароля из 15 символов, содержащих только латинские символы 2 регистров и цифры: b7b9c3378145693342c38e4da224cbb18ca0a7b3

Вы можете развить на бруте оного скорость порядка 10^9 хешей или даже чуть больше. Миллиард хешей в секунду по сети ни 1 ботнет мира не осилит, но мы допустим тепличные условия, убрав от вас сетевые дела и ботов и оставив только элементарные вычисления, которые быстрее. Будет интересно посмотреть как вы мне расскажете какой там был пароль. Ну или можете коллизию найти, тоже считается. SHA1 стандартный, sha1sum file.

> Я вас умоляю - вспомните ТерВер.

Вспомнил, поэтому предлагаю вам выиграть у меня в SHA1-лотерею. Количество попыток - да какое осилите чисто технически, такое и будет, мне при 62^15 вариантов для вас любого которое вы осилите не жалко :)

Ответить | Правка | Наверх | Cообщить модератору

219. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Андрей (??), 20-Дек-11, 03:11 
> до посинения.

Т.е. у почтовых сервисов на IMAP нет ни таймаута при ответе на неверный пароль, ни ограничения на кол-во запросов с одного IP/ кол-во IP для одновременной "работы" (т.е. временного бана)?

Ответить | Правка | К родителю #87 | Наверх | Cообщить модератору

223. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от arisu (ok), 20-Дек-11, 12:20 
не грузи. видишь, человек тут гмыло рекламирует? а ты неудобные вопросы задаёшь.
Ответить | Правка | Наверх | Cообщить модератору

64. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 18:14 
> И многие почтовые сервера его поддерживают?

Это примерно как плакаться на то что для электровоза нужна контактная сеть. Поэтому, дескать, паровозы лучше. А вот и фиг вам. В долговременном плане проще контактный провод натянуть чем на дровах ездить.

> Но даже у тех кто поддерживает, включать его не стоит его включение
> на порядок ускоряет подбор пароля.

Поставьте пароль в хотя-бы 12 символов, не словарный. Какая вам разница, подберут его за 100500 лет или за 1005000? ;)

Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

110. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Вася (??), 18-Дек-11, 19:49 
> Это примерно как плакаться на то что для электровоза нужна контактная сеть.
> Поэтому, дескать, паровозы лучше. А вот и фиг вам. В долговременном
> плане проще контактный провод натянуть чем на дровах ездить.

Я не совсем понял аналогию. То есть если мой сервис не поддерживает IMAP то что мне делать?

>Поставьте пароль в хотя-бы 12 символов, не словарный. Какая вам разница, подберут его за 100500 лет или за 1005000? ;)

Я не вижу здесь аргумента для ослабления безопасности, через включение Imap.

Ответить | Правка | Наверх | Cообщить модератору

148. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 18-Дек-11, 21:20 
> Я не совсем понял аналогию. То есть если мой сервис не поддерживает
> IMAP то что мне делать?

Убиться веником/смнить сервис/поискать другой глобус. Гмыло имап поддерживает, btw.

> Я не вижу здесь аргумента для ослабления безопасности, через включение Imap.

Лично мне переусложненные вебфэйсы внушают намного меньше доверия. Чем сложнее - тем больше багов, в том числе и затрагивающих безопасность. И если число вариантов пароля можно очень быстро и просто догнать до неприемлимого для атакующего числа, просто увеличив длину пароля и взяв не словарный вариант слова, то вот проаудитить все возможные лазейки в огроменном веб-приложении и браузере-переростке - ну удачи в этом начинании.

Но лично я лучше буду доверять длинному паролю нежели монструозным переросткам которые заведомо с кучей неизвестных багов (в том числе и ведущих к проблемам безопасности).

Ответить | Правка | Наверх | Cообщить модератору

153. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Df232z (?), 18-Дек-11, 21:35 
> Убиться веником/смнить сервис/поискать другой глобус.

Спасибо за конструктивный совет. Я так и сделаю.
> Лично мне переусложненные вебфэйсы внушают намного меньше доверия. Чем сложнее - тем
> больше багов.

Совершенно правильно. Только сложность ни одного web интерфейса не сравнится со сложностью кодовой базы например thunderbird в которой находятся сотни (простой поиск находит 334) уязвимостей.
http://web.nvd.nist.gov/view/vuln/search-results?query=thund...
Кстати только в этом месяце 5.

Ответить | Правка | Наверх | Cообщить модератору

186. "Релиз почтового клиента Claws Mail 3.8.0"  +/
Сообщение от Аноним (-), 19-Дек-11, 05:15 
> кодовой базы например thunderbird в которой находятся сотни (простой поиск находит
> 334) уязвимостей.

А это, ничего что вебфэйс работает в браузере, который еще и либы юзает, etc? В них кстати тоже могут быть дыры :). А то понимаете ли, вебморда показывает данные присланные другими юзерами и нет никакой гарантии что эти данные не вызовут отъезд крыши у браузера или либ которыми он пользуется в процессе просмотра письма. Ага?

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру