| 1.1, Страдивариус (?), 11:15, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +7 +/– | |
Чё? Уязвимость называется: don't trust host by its IP. Известна с глубоких 90-х.
Я ещё пачку уязвимостей придумал, если вы подключаетесь к недоверенному провайдеру VPN. Впрочем все они так же основаны на том, что IP - это не то, что надо.
| | |
| |
| 2.18, Аноним (-), 12:35, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– | |
Грубо говоря, если атакующий может прописывать вашему хосту роуты как хочет - вы уже основательно нарываетесь. И впн в этом случае мало поможет - можно придумать более 9000 способов обмануть его маршрутизацией. Туда же и DNS-leak баянный.
...а вон тот тунель прописаный by-IP и с мануальным прописыванием роутов это явно не проберет :)
| | |
| |
| 3.20, Аноним (20), 12:48, 11/08/2023 [^] [^^] [^^^] [ответить]
| +5 +/– |
Хорошо, что есть HTTPS, который, как мы знаем по заветам экспертов опеннет - не нужон.
| | |
| |
| 4.51, Аноним (-), 10:27, 12/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Хорошо, что есть HTTPS, который, как мы знаем по заветам экспертов опеннет
> - не нужон.
В результате атакующий как минимум...
1) Знает что вы ходили - вон туда. VPN свою функцию не выполнил раз.
2) Может прицельно зарубить загрузку ресурса. VPN свою функцию не выполнил два.
3) При удачном сочетании звезд (например роскомовский сертификат, или глупая апликуха не чекающая серты, таких легион) - произвести атаку даже и на HTTPS.
4) Это все течет довольно много данных о вашей активности.
Вопрос: а зачем вам тогда VPN был нужен? :)
| | |
|
| 3.32, Бывалый смузихлёб (?), 15:42, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
В итоге проблемы в статье упираются в горе-оптимизации, которые позволяют системе самой убрать защиты
Или это целенаправленно-оставленные дыры, особенно на фоне распространения всяких цысокс обилием дыр
| | |
|
| 2.23, Аноним (23), 13:02, 11/08/2023 [^] [^^] [^^^] [ответить]
| +4 +/– |
Да тут вопрос вообще принципиальный - Что такое недоверенный провайдер?
| | |
| |
| 3.31, 1 (??), 13:46, 11/08/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ну сосед же ! Ты же к его роутеру присосалсяю
| | |
| 3.38, scriptkiddis (?), 19:24, 11/08/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Давайте так, можно список доверенных провайдеров. И кто назначал и как им доверенность?
| | |
| 3.55, Аноним (-), 19:12, 12/08/2023 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Да тут вопрос вообще принципиальный - Что такое недоверенный провайдер?
Например, цепляешься ты к вафле в кафешме. Она открытая, кто угодно может твой траф менять как угодно. И гарантий что вон тот тип с ноутом не хаксор и не отредиректит тебя и твой DHCP немного - примерно ноль.
Впрочем и обычному провайдеру доверять особо не следует. Вон например господа в DNS врут, редиректят на свои сайты-заглушки, врезают рекламу и делают еще более 9000 милых вещей. Можете конечно "доверять" им - но тогда про вас Цукерберг все правильно написал.
| | |
| 3.78, Страдивариус (?), 01:59, 04/09/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Да тут вопрос вообще принципиальный - Что такое недоверенный провайдер?
У меня написано провайдер VPN, а не просто провайдер. Тот, который сделан и админится не тобою лично, очевидно.
| | |
|
|
| |
| 2.10, Аноним (10), 11:40, 11/08/2023 [^] [^^] [^^^] [ответить]
| +5 +/– |
осталось лишь установить эти простейшие скрипты на миллиарды устройств
| | |
| |
| 3.56, Аноним (-), 19:14, 12/08/2023 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Вот бы таике простейшие скрипты в iOS и Андроид без рута.
Человек, если тебя приковали на цепь - есть плохие новости. Убежать ты в случае чего как раз и не сможешь. И будешь наиболее уязвимым как раз.
| | |
| 3.61, Аноним (61), 21:00, 13/08/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Вот бы таике простейшие скрипты в iOS и Андроид без рута.
Чтобы это было надёжно и стабильно, это тогда надо поменять идейку вендора в фундаменте операционки.
А тогда эффективнее девайс на другой операционке.
Короче: сабж сделан так, что для серьёзки не пригоден бай дезайн. Только поиграться, да пивка с доставкой заказать.
| | |
| |
| 4.72, Товарищ майор (ok), 09:35, 14/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
 Девайсы не уязвимые бай дезигн, не пригодны для нормальной эксплуатации в обычной жизни бай дезигн.
| | |
|
|
| |
| 3.34, YetAnotherOnanym (ok), 16:21, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
 > Атакуемый хост уже знает что атакуем?
Узнает, или, как минимум, заподозрит, когда получит по dhcp адрес не из rfc1918. Это простейший пример.
| | |
| |
| 4.36, Электрон (?), 16:59, 11/08/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Почему же не может по DHCP выдаваться белый (глобальный) IPv4 конечному устройству из своего диапазона адресов, честно арендуемых?
У меня так и было, подсеть /26, так еще можно было себе статически неиспользуемый адрес взять, благо свободных много было.
| | |
| |
| 5.39, YetAnotherOnanym (ok), 19:41, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
Свой диапазон тоже можно в скрипте прописать. А когда ТД в кафе вдруг выдаёт белый IP, то это повод задуматься.
| | |
| |
| 6.48, Электрон (?), 02:16, 12/08/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
В целом соглашусь, годная эвристика для типа-антивируса. Только большинство её не поймет.
| | |
|
|
|
|
|
| 1.3, Аноним (3), 11:16, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
А ведь при достаточном контроле сети (ISP) никак не проверишь, ты подключаешься, или посредник притворяется тобой.
| | |
| |
| |
| 3.9, Аноним (3), 11:35, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
О чём и речь, что с твоей стороны и с удалённой стороны всё будет абсолютно обычным, а как оно на самом деле тебе не видно.
| | |
| |
| 4.26, Аноним (23), 13:07, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
mitm это называется
полно провайдеров в деревнях, кторые подрубаю клиентов
по статическому ip без всякой авторизации
| | |
|
|
| 2.50, Бум (?), 07:54, 12/08/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Как не проверить? SSL, IPSEC ключи/сертификаты, всё в зашифрованном виде ходит. А если в свой роутер подключаете кабель провайдера, то по умолчанию вы должны этот порт в серую зону вывести и всё что уходит/приходит дальше вашей домашней сети должно само собой быть подозрительным. Атаки описанные в статье "нууу, атакующий должен сидеть сзади вашего системника возле порта сетевой карты", и "нууу трафик должен быть http", и "нууу вы не должны шифровать трафик до VPN при инкапсуляции", и "и тогда мы сможем вас атаковать!" Обалденная атака!
| | |
| |
| 3.67, Аноним (-), 00:48, 14/08/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Как не проверить? SSL, IPSEC ключи/сертификаты, всё в зашифрованном виде ходит.
IPSec застрянет на первом же нате или фаерволе, так что ты его сам же и отключишь. Или останешься без доступа к своим ресурсам. Уж как там тебе удобно.
| | |
|
| |
| 3.65, Аноним (3), 22:56, 13/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
Как часто ты проверяешь хеши любимых сайтов? А если они при этом меняют серты регулярно или даже используют околорандомные cdn-серты? А теперь, ты готов делать это для каждого подключения без исключений?
| | |
|
|
| 1.4, Аноним (10), 11:19, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
> атакующий, контролирующий локальную сеть и DNS-сервер
Защититься просто: не используем DNS-сервер, "любезно предоставленный" провайдером. Только DNSCrypt, только хардкор.
| | |
| |
| 2.7, Аноним (3), 11:25, 11/08/2023 [^] [^^] [^^^] [ответить]
| –2 +/– |
Провайдерский так-то пореже отваливается. Ну и ничто не мешает проксировать твой dnscrypt, а так днс серверу митм устроили одним из первых шагов.
| | |
| |
| 3.12, Аноним (10), 11:50, 11/08/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
проксируй на здоровье. DNSCrypt - про неизменяемость ответов-запросов и их нечитаемость митмом
| | |
| |
| 4.13, Аноним (3), 11:57, 11/08/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Это смотря какой митм. А самое интересное, что все публичные сервера dnscrypt подконтрольны определённым группам. Ну и когда я проверял защиту от вмешательства в трафик, только примерно 1% серверов работал, как надо.
| | |
| |
| 5.14, Аноним (10), 12:05, 11/08/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
В интернете всё кому-то подконтрольно. Вопрос лишь в том, кому ты доверяешь больше: 1) мутному DNS-серверу, пришедшему из wifi-сети, 2) провайдерскому DNS от тащмайора, 3) или сверхпопулярным 1.1.1.1/8.8.8.8/whatever, в которых ты растворяешься среди миллиардов таких же юзеров, а владельцы на другом конце земного шара срть на тебя хотели.
| | |
| |
| 6.16, Аноним (16), 12:29, 11/08/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
Так срать хотели, что "селе в убыток" сервер держат. Помнится shodan стал NTP-сервером из общепринятого пула затем, чтобы получать уведомления о появлении устройств в сети и сканировать их когза они появляются.
| | |
| |
| 7.27, Аноним (23), 13:11, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
какова вероятность попасть на этот убыточный днс-сервер?
ааа.. точно! они держат тучу убыточных сервров, как и tor node,
чтобы поймать того васяна
| | |
| 7.64, Аноним (61), 21:23, 13/08/2023 [^] [^^] [^^^] [ответить]
| +/– | |
Есть интернет вещи. Которые ходят за обновлениями, плагинами, купленной хомяком функциональности. И есть статистика по доменам. Ради этой пары обстоятельств стоило поднять такие DNS/NTP сервера.
Это часть инфраструктуры огромного, развесистого бизнеса. Ну и Васька с Иваном если зайдут, то тоже неплохо.
| | |
|
|
|
|
| 3.19, Аноним (-), 12:37, 11/08/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Провайдерский так-то пореже отваливается. Ну и ничто не мешает проксировать
> твой dnscrypt, а так днс серверу митм устроили одним из первых шагов.
Зато гадости делает почаще. Особенно провайдерский. Особенно в Эрафии, где половина блоков росглавжандарма на этом держится.
| | |
| |
| 4.28, Аноним (23), 13:13, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
этого везде хватает по миру.. зри в корень!
Страшно не то что контролируют, а то что продают инфу всем кому не попадя
а может и под заказ
| | |
| |
| |
| 6.43, Аноним (43), 22:18, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
По дружбе? Это дебилы..
Дебилы с доступом к данным? Тогда не страшно
| | |
| |
| 7.46, Аноньимъ (ok), 23:36, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
 > По дружбе? Это дебилы..
> Дебилы с доступом к данным? Тогда не страшно
Ну чего сразу дебилы, не такие уж в ЦРУ дебилы сидят.
| | |
|
|
| 5.54, Аноним (-), 18:37, 12/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
> этого везде хватает по миру.. зри в корень!
> Страшно не то что контролируют, а то что продают инфу всем кому не попадя
> а может и под заказ
Когда шпионят - это пассивная агрессия. А когда hijack'ают трафик и пытаются лечить что правильно - уже таки активная. Другой уровень эскалации и угроз.
| | |
| |
| 6.74, Аноним (74), 13:40, 14/08/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> А когда hijack'ают трафик
Это безусловная опасность с вытекающими последствиями.
Думаю равнодушных тут не будет
Но вот сбор персональных данных, может быть применен для разработки масштабной операции, например по отьему всего имущества, вот тут отложенные последствия с более тяжким итогом
| | |
| |
| 7.76, Аноним (-), 20:04, 16/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
Может быть. А может и не быть. Вон то - уже есть, и не оставляет свободы для иллюзий и трактовок. Это просто агрессия. Надлежит отвечать на удар ударом. Можете как вариант подставить другую щеку, но вам и ее набьют как показала практика.
| | |
|
|
|
|
| 3.47, Электрон (?), 02:15, 12/08/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Провайдерский так-то пореже отваливается.
dnscrypt-proxy что на Golang, позволяет хоть десять зекрал-резолверов прописать, выберется лучший по пингу. Советую начать использовать.
| | |
|
|
| 1.5, Аноним (16), 11:21, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
>атакующий, контролирующий локальную сеть и DNS-сервер
DNS же пускается через VPN-туннель. Неактуально.
| | |
| |
| |
| 3.15, Аноним (16), 12:26, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
На этапе lookup-а IP-адреса VPN-сервера вариант атаки 1 не работает.
| | |
| |
| 4.22, Аноним (11), 12:59, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
А для атаки 1 и не написано, что нужен DNS сервер. Мы, теоритически, можем заранее знать атакуемую подсеть
| | |
|
|
| 2.29, Аноним (23), 13:18, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
похоже если атакущий контролирует сеть и днс-сервер
не атакующий, а предатель из своих ))
| | |
|
| 1.6, Аноним (16), 11:24, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
>Атака сводится к тому, что подконтрольный атакующему шлюз выдаёт жертве IP-адрес из подсети, в которой находится целевой хост, трафик к которому необходимо перехватить.
WireGuard следует записанным в конфиге подсетям буквально. Для него эта атака неприменима.
| | |
| |
| 2.24, Аноним (24), 13:03, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– | |
>Из подверженных проблеме VPN упоминаются ... WireGuard для Windows
Виндовый, видимо, не следует.
| | |
| |
| 3.68, Аноним (-), 02:04, 14/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
>>Из подверженных проблеме VPN упоминаются ... WireGuard для Windows
> Виндовый, видимо, не следует.
Маздай он и есть маздай. Нельзя сделать винду приватной и безопасной - это заведомо провальное начинание.
| | |
|
|
| |
| 2.35, Аноним (35), 16:58, 11/08/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Мы сделали тебе туннель в туннеле через туннель, чтоб твой трафик ходил через прокси в торе поверх впн...
| | |
| 2.69, Аноним (-), 02:05, 14/08/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> А если внутри впн идет туннель впн или трафик tor?
Поздравляю с открытием. В этой вселенной возможно почти бесконечное количество абстракций. И вы все правильно понимаете - атакующие не могут предусмотреть все.
| | |
|
| 1.37, Электрон (?), 17:05, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Какая то несерьезная academia пошла. Ни тебе example.com, ни example TLD в примерах. Ссылаются на действующие сайты компаний.
| | |
| |
| 2.42, Аноним (35), 21:39, 11/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
А что поделать, если современному человеку проще один раз сказать про фейсбук, чем сто раз объяснять, почему не открывается example.com...
| | |
|
| |
| 2.59, Аноним (-), 14:53, 13/08/2023 [^] [^^] [^^^] [ответить]
| +/– |
Клиентский и серверный сертификат всегда были будут 100% безопасными. нО это же надо настроивадьь.. ату этих аноноф, да святись зеленый замочек
| | |
| 2.63, Аноним (61), 21:17, 13/08/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Доверенных сетей больше не существует. Пора уже закрыть эту тему.
И VPN та самая затычка. Но погромисты иногда выдумывают искусственные ограничения, думая, что можно упростить, а оно нельзя упростить.
И, видимо, дефолтный клиент многих сервисов, заточненный под простого хомячка, видимо, часто сделан для сказочных условий у честных людей. Без учёта прочих возможностей.
| | |
|
|
