| 1.1, Аноним (-), 14:03, 22/10/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А просроченные сертификаты не удаляются и хранятся вечно, и их можно использовать просто сменив дату?
| | |
| |
| 2.2, Аноним (-), 14:10, 22/10/2015 [^] [^^] [^^^] [ответить]
| +14 +/– |
Их обычно выбрасывают на помойку, вместе с закрытым ключем, там-то злоумышленник может их достать, отмыть, просушить, разгладить и потом использовать в своих корыстных целях, атакуя NTP.
| | |
| |
| 3.13, Ytch (ok), 23:26, 22/10/2015 [^] [^^] [^^^] [ответить]
| +4 +/– |
 > Их обычно выбрасывают на помойку, вместе с закрытым ключем,...
И всё из-за лени! Ведь по правилам сертификаты и закрытые ключи должны выбрасываться на разные помойки, ну или, как минимум, в разные контейнеры и обязательно в раздельных мешках для мусора! А на деле что? Берут всё вместе, в газетку завернут и выкидывают, иногда вообще прям просто с балкона кидают! А злоумышленники там и тусят! В итоге им даже отмывать ничего не приходится! Так уж, тряпочкой чуть протёр и всё - иди, грабь, убивай, атакуй NTP...
| | |
|
| 2.3, Олег (??), 14:10, 22/10/2015 [^] [^^] [^^^] [ответить]
| +/– |
 Просто сменить дату не получиться, так как слетит подпись сертификата
| | |
| |
| 3.4, Аноним (-), 14:12, 22/10/2015 [^] [^^] [^^^] [ответить]
| +2 +/– |
Подпись можно цианокрилатным обратно приклеить, никто не заметит.
| | |
|
|
| 1.5, Аноним (-), 14:41, 22/10/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– |
Вообще операционным системам стоило бы защищаться от подобного например иметь настройку что допустим есть linux версии 5, выпущенный 1 января 2016 года.
Версия знает когда она выпущена и не заработает если попытаться поставить дату ранее. Сделать эту функцию отключаемой если кому-то понадобится что-то тестировать, но большинству эта функция будет прикрывать возможные дыры в безопасности, описанные выше.
| | |
| |
| |
| 3.7, Alexey (??), 16:19, 22/10/2015 [^] [^^] [^^^] [ответить]
| +/– |
Просто не обязательно делать отключение функции через NTP сервер.
Это спасет от уязвимости, описанной выше.
| | |
| 3.8, Sluggard (ok), 16:55, 22/10/2015 [^] [^^] [^^^] [ответить]
| +2 +/– |
 Новость про атаку на NTP, с помощью отсылки специальных пакетов.
Какие ещё вредоносы? Тебя Касперский покусал?
| | |
|
| 2.9, Аноним (-), 17:30, 22/10/2015 [^] [^^] [^^^] [ответить]
| +1 +/– |
Ну и зачем это решать на уровне операционной системы? Когда это нужно решать на прикладном уровне, тот сервис синхронизации времени мог бы игнорировать слишком внезапные и большие расхождения с системным или срать в лог предупреждения
| | |
| 2.19, cmp (ok), 18:46, 23/10/2015 [^] [^^] [^^^] [ответить]
| +/– |
 Проще запретить общаться с теми у кого mtu < 1200, хотя тоже костыль, но инорить время bios и устанавливать свое смещение - пахнет новыми дырами, в конце концов пролема сетевая и решаться должна сетевым стеком, практика показывает, что бить гвозди микроскопом не эффективно.
| | |
|
| 1.10, анонимус (??), 18:13, 22/10/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Как? ntpd ведь может менять время лишь в маленьком промежутке. вроде как +-час или меньше.
| | |
| |
| 2.14, Ytch (ok), 23:34, 22/10/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Как? ntpd ведь может менять время лишь в маленьком промежутке. вроде как
> +-час или меньше.
Когда выставляешь время на наручных часах, то тоже обычно с одного нажатия не получается поставить нужное.
| | |
|
| 1.11, oooops (??), 20:38, 22/10/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
кто копал глубже?
chrony тоже уязвим?
есть возможность защититься от атак 1-2 без обновления ntpd?
| | |
| 1.18, Michael Shigorin (ok), 15:13, 23/10/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 > Группа исследователей из Бостонского университета разработала серию
Вот на этой первой строчке запись в RSS и обрывается.
> новых методов атаки | | |
| 1.20, Аноним (-), 00:35, 24/10/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Ещё один повод переползать на OpenNTPD, в котором как раз добавили защиту посредством сверки с SSL/TLS-сертификатами...
| | |
|
