| 1.4, Онаним (?), 22:51, 28/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +11 +/– |
И вот это вот овнище только что приняли в качестве стандарта.
Малацы.
| | |
| |
| |
| |
| 4.58, asdf (?), 15:50, 30/01/2021 [^] [^^] [^^^] [ответить]
| +/– |
хоть цепочка дырявого софта в этом виде атаке длинная, виноват канешна-же NAT...
| | |
|
|
| 2.10, Аноним (10), 23:45, 28/01/2021 [^] [^^] [^^^] [ответить]
| +/– |
Обход нат в webrtc используется для прямой передачи данных между компьютерами за nat. Для защиты используйте фаервол
| | |
| |
| 3.12, Онаним (?), 23:51, 28/01/2021 [^] [^^] [^^^] [ответить]
| +4 +/– |
Один фиг, это счастье как раз рассчитывает на stateful filtering. Часть роутеров благополучно пробьют дырку и без всяких натов.
| | |
|
| 2.14, Аноним (-), 01:17, 29/01/2021 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> И вот это вот овнище только что приняли в качестве стандарта.
Уже давно обязали его жрать и не отвлекаться. Почему нет хвалебных коментов ? Ох недоработка гулга..
| | |
| |
| 3.25, Аноним (25), 05:47, 29/01/2021 [^] [^^] [^^^] [ответить]
| +/– |
У гугла в последнее время кризис, даже фанатики начали от них бежать.
| | |
| |
| 4.37, Урри (ok), 13:32, 29/01/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
 Просто гугл переборщил с aнaльным вставлянием рекламы по поводу и без. Настолько, что испортил свой собственный поиск. Вот народ и начал разбегаться.
| | |
| |
| 5.40, Аноним (-), 14:45, 29/01/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> гугл .... испортил свой собственный поиск. Вот народ и начал разбегаться.
1) Что значит "испортил... поиск" - Вы заметили ухудшение выдачи? 2) Какой народ? Куда разбегаться? Вы о чём? Есть пруфы?
| | |
|
| 4.39, Аноним (-), 14:43, 29/01/2021 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> У гугла в последнее время кризис, даже фанатики начали от них бежать.
какой кризис? какие фанатики? вы о чём именно? есть пруфы?
| | |
|
| 3.53, Аноним (-), 19:31, 29/01/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> Ох недоработка гулга..
Твой аккаунт еще не зобанили? Вот это недоработка, но абьюз тим уже взял тебя на карандаш за нарушение ToS.
| | |
|
| 2.52, Аноним (-), 19:29, 29/01/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> И вот это вот овнище только что приняли в качестве стандарта.
Которое из них?
| | |
| 2.55, Атон (?), 14:33, 30/01/2021 [^] [^^] [^^^] [ответить]
| +/– |
Только что?
Какой год у тебя на календаре?
Да, к черту! не важно!
Парень, как только создадут Евросоюз смело покупай новую валюту, евро!
| | |
| |
| 3.56, Онаним (?), 15:11, 30/01/2021 [^] [^^] [^^^] [ответить]
| +/– | |
Я не знаю, какой год у тебя на календаре, но...
28.01.2001 - Технология WebRTC получила статус стандарта
| | |
| |
| 4.57, Онаним (?), 15:12, 30/01/2021 [^] [^^] [^^^] [ответить]
| +/– |
Ахах блджад, да, 2001
Появится евро - обязательно куплю. Знал бы - сразу бы купил, а так - только в 2014 так делал. Не прогадал.
2021 конечно
Но не суть
| | |
|
|
|
| |
| 2.11, Онаним (?), 23:50, 28/01/2021 [^] [^^] [^^^] [ответить]
| +15 +/– |
От наличия или отсутствия NAT тут ничего не меняется.
Проблема в обходе stateful filtering. NAT тут только часть целого.
Вообще тут ещё к кодописцам ALG в роутерах есть вопросы: какого фига пакеты с флагом фрагмента скармливаются ALG без предварительной дефрагментации.
| | |
| |
| 3.16, Гентушник (ok), 01:43, 29/01/2021 [^] [^^] [^^^] [ответить]
| +4 +/– |
 Вот именно. Нужно фиксить этот баг на уровне ядра, а не в браузерах банить очередную порцию портов.
| | |
| 3.17, Аноним (17), 01:59, 29/01/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
что-то мне подсказывает, что сквозь ipfw reass (и pf) хрен пролезет это чудище...
| | |
| 3.41, Аноним (41), 14:46, 29/01/2021 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Проблема в обходе stateful filtering
Это вы где вычитали? Проблема только в ALG, ALG это часть NAT.
| | |
| |
| 4.45, Аноним (45), 14:59, 29/01/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
ALG это внезапно часть stateful tracking, а не NAT.
Которая влияет как на NAT, так и на фильтрацию.
Например порты RTP открывает, читая SIP.
| | |
|
|
|
| 1.13, онанимус (?), 00:19, 29/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– |
> smart doormat
> internet connected oven
то чувство, когда саркастичная ирония и не ирония вовсе, а киберпанк, который мы заслужили.
| | |
| |
| 2.20, Аноним (20), 02:55, 29/01/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
Цель интернета - пробить дыру к юзеру. А ты думаешь, почему его военные изобретали?
| | |
| |
| 3.24, Ананоним (?), 05:47, 29/01/2021 [^] [^^] [^^^] [ответить]
| +/– |
Кажется исследователи спалили фичу, а удивляющийся просто не понял этого :)
| | |
| 3.38, СеменСеменыч777 (?), 14:33, 29/01/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
сидящие за nat полноценными юзерами Интернета не являются.
если некоторые ОС небезопасно выставить на реальный IP адрес без защиты, то это их проблемы.
| | |
| 3.69, Аноним (69), 05:55, 02/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Теории заговора в следующем отделе.
Изобретали интернет военные для военных, "юзеров" изначально там не планировалось вообще.
| | |
|
|
| 1.18, openwrtshnik (?), 02:24, 29/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
>OpenWRT проблеме не подвержен
Ну тогда новость можно было и не писать. Проблемы любителей некротиков))
| | |
| |
| 2.19, NetRaider (ok), 02:39, 29/01/2021 [^] [^^] [^^^] [ответить]
| +/– |
 Чушь не пори. В микротиках функционал AGL полностью отключается штатными средствами
| | |
|
| 1.22, Ivan_83 (ok), 04:29, 29/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 А проблему решить просто: выставляем всем сокетам в системе по дефолту TTL/Hop Limit=1, а тем кому надо во внешку - пусть себе ставят привычные 64/128.
После этого фаерволы становятся не очень то нужны, а такие хаки просто бесполезны.
| | |
| |
| 2.27, Аноним (27), 07:39, 29/01/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Можно ещё проще - закрыть для браузера интернет вообще и использовать прокси. Пусть куда угодно пакеты отправляет, хоть и через WebДыреньTC.
| | |
| |
| 3.54, Ivan_83 (ok), 00:25, 30/01/2021 [^] [^^] [^^^] [ответить]
| +/– |
Единичку прописать не проблема, проблема сказать софту чтобы он другой ттл прописал потом себе на отдельные сокеты.
| | |
|
|
| 1.23, Аноним (23), 05:20, 29/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
У меня дежавю или подобная новость с баном портов по умолчанию из-за каких-то уязвимостей уже была?
| | |
| |
| 2.32, Аноним (32), 10:07, 29/01/2021 [^] [^^] [^^^] [ответить]
| +/– |
> У меня дежавю или подобная новость с баном портов по умолчанию из-за
> каких-то уязвимостей уже была?
Написано же, что это новый вариант прошлогодней пробоемы (в новости на неё стоит ссылка), вместо SIP в котором H.323 и обход TURN.
| | |
| |
| 3.43, Аноним (41), 14:54, 29/01/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> новый вариант прошлогодней пробоемы
которая в свою очередь является развитием способа открытия портов в GW с помощью транслятора FTP протокола известного более 20 лет.
| | |
|
|
| 1.29, Аноним (29), 09:22, 29/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
Ахахахахаха Помню как фиксили прошлую версию. Добавляли номера портов в чёрный список. Давайте теперь и этот добавляйте. И так до бесконечности.
| | |
| |
| 2.31, Кровосток (?), 09:58, 29/01/2021 [^] [^^] [^^^] [ответить]
| +5 +/– |
Не до бесконечности, а до 65535 :)
Но там стандартизаторы как увидят что все порты заблокированы по стандарту, решат что надо теперь к ipv6 добавить и портыv6 :) Чтобы уж точно их хватило с учётом забаненых :)
| | |
|
| 1.33, Аноним (28), 11:13, 29/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Нормальная практика - это закрывать все порты и оставлять только необходимые для работы.
| | |
| |
| 2.46, Аноним (45), 15:00, 29/01/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
Так ALG этим и занимается. Открывает порты, необходимые для работы...
| | |
|
| 1.42, Аноним (42), 14:48, 29/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +6 +/– | |
> Проблема уже устранена в недавних выпусках Firefox 85, Chrome 87.0.4280.141, Edge 87.0.664.75 и Safari 14.0.3.
Проблема в том, что это устраняют браузеры, а не долбоящеры, которые понасовали ALG во всевозможные роутеры.
Вообще есть удивительный карго-культ вокруг NAT-а. Я имел несчастье общаться с людьми которые:
1. Рассматривают NAT как средство безопасности, способное заменить ACL
2. Свято верящие в правильность решений вокруг NAT, отказываясь верить, что это нестандартизированный плохо документированный вендорозависимый механизм внутри фаервола.
ALG - это то что должен отключить каждый здравомыслящий человек вне зависимости от того, что там за вендор и на чем прошивка.
Если вы зайдете в настройки своего железного роутера/файервола вы увидите там перечень протоколов, для которых включено ALG. Так вот знайте! Это не "улучшение поддержки этих протоколов, потому что они не поддерживают NAT", это роутер занимается косорылым DPI и меняет содержимое данных в пакетах, чтобы оно:
а) заработало с его (вендора) единственно-верной реализацией NAT
б) добилось работоспособности "поддерживаемых" протоколов по стандартам 15-летней давности.
Из-за того что производители сетевого оборудования отказываются обновлять ПО, отказываются переходить на ipv6, отказываются стандартизировать механизм NAT они изобретают свои вендороспецифичные трюки вокруг ALG, которые в случае SIP и H323 не просто становятся причиной уязвимостей, но также приводят к неработоспособности этих протоколов, потому что не понимают/отказываются поддерживать их современные стандарты.
Особенно удивляют меня фанбои Cisco, которые верят в безопасность аналогичных ALG на ASA/ASR, дескать это устройства повышенной безопасности с поддержкой инспектирования траффика. А потом, когда их носом тычешь в tcpdump, что инспектирование для вопросов безопасности в понимании Cisco - это повырезать и поковеркать ESMTP, вырезав оттуда "250 STARTTLS", они искренне удивляются. Верующим документация не нужна. Для них DPI и NAT - это средства безопасности, а ALG - это средство помощи "устаревшим" протоколам. А потом их ломают... не понятно конечно почему...
Взять, например, холдинг Эр-Телеком с их интернетами Дом.фу. Когда я последний раз проверял у них от каждого клиента вырезалось STARTTLS. Заговор? Гэбня? Иллюминаты? Ни фига! Просто кто-то использует Cisco вместо коммутаторов и роутеров, да не просто так, а со стандартными настройками, потому что даже их настраивать не умеет.
И все эти вендоры сетевого железа... Они +/- все одинаковые. Им плевать, что стандарты поменялись, потому что сетевой администратор продолжит молиться на Nexus и покупать их дерьмо, даже не понимая суть происходящего выше уровня TCP/IP, даже не подозревая, что Cisco и D-Link это оборудование одного и того же класса. Тьфу.
| | |
| |
| 2.47, Аноним (41), 15:04, 29/01/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> Взять, например, холдинг Эр-Телеком с их интернетами Дом.фу. Когда я последний раз проверял у них от каждого клиента вырезалось STARTTLS
Лишний повод не пользоваться услугам крупных корпораций. Городская сеть ближе к клиентам :-)
| | |
|
| 1.49, Иноагент (?), 15:22, 29/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
>Взять, например, холдинг Эр-Телеком с их интернетами Дом.фу. Когда я последний раз проверял у них от каждого клиента вырезалось STARTTLS. Заговор?
Ну это же зависит от настроек почтового сервера. Будет ли он принимать соединения для релея без TLS?
| | |
| |
| 2.50, Аноним (42), 16:35, 29/01/2021 [^] [^^] [^^^] [ответить] | +1 +/– | TLS SMTPS - да STARTTLS ESMTP - не только от него В одном случае SMTP-соед... большой текст свёрнут, показать | | |
|
| 1.59, Аноним (59), 17:04, 30/01/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Это поможет?
network.security.ports.banned.override = 69,137,161,1719,1720,1723,5060,5061,6566
| | |
| |
| 2.60, XXX (??), 20:30, 30/01/2021 [^] [^^] [^^^] [ответить]
| +1 +/– | |
По идее это должно помочь:
network.security.ports.banned = 69,137,161,1719,1720,1723,5060,5061,6566
Т.к. network.security.ports.banned.override наоборот разрешает порты из списка, исходя из этой информации: http://microsin.net/adminstuff/pcnetwork/firefox-blocking-ports.html
| | |
| |
| 3.62, trr (?), 20:58, 30/01/2021 [^] [^^] [^^^] [ответить]
| +/– | |
> По идее это должно помочь:
Ну и ну, спецом для себя открыл, гугл такой гугл, спасибо
| | |
|
|
| 1.63, darkshvein (ok), 00:10, 01/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 на кой чёрт мне сип и webrtc в браузере?
на кой чёрт я должен страдать из-за ретардов, которые не могут в установку отдельного мультимедийного ПО?
причем страдать не по каким то там идейным показателям жора озу/цпу, а по вполне реальным тестам безопасности.
почему браузеры равняются на дебилов?
| | |
| |
| 2.67, онанимус (?), 23:09, 01/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
> на кой чёрт мне сип и webrtc в браузере?
> на кой чёрт я должен страдать из-за ретардов, которые не могут в
> установку отдельного мультимедийного ПО?
> причем страдать не по каким то там идейным показателям жора озу/цпу, а
> по вполне реальным тестам безопасности.
> почему браузеры равняются на дебилов?
есть рабочие станции для дебилов, где работает только браузер, чтобы дебил своими кривыми ручками не запустил винлокер.
вся работа ведётся в браузере - для этого и онлайн офисы создаются, и сип клиенты.
| | |
| |
| 3.68, darkshvein (ok), 00:19, 02/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
> есть рабочие станции для дебилов, где работает только браузер, чтобы дебил своими
> кривыми ручками не запустил винлокер.
> вся работа ведётся в браузере - для этого и онлайн офисы создаются,
> и сип клиенты.
а-ха-ха, в наиболее дырявом софте. узнаю виндоадминов.
| | |
|
| 2.71, ГОНЩИК (?), 15:50, 06/02/2021 [^] [^^] [^^^] [ответить]
| +/– |
Ставь PALEMOON в нем webrtc вырезан и всякое дерьмо ,сейчас он на гиконе на 1 процессе .Даже ublock запилили ваще кайф
| | |
|
| 1.72, arisu (ok), 08:36, 09/02/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 главное — не останавливаться, и добавлять в браузеры ещё больше всяких API. потому что это модно и безопасно!
| | |
|
