Полезная информация

Будьте в курсе последних изменений в мире Mozilla, следя за нашим микроблогом в Twitter.

№10131-10-2012 00:32:31

sentaus
Участник
 
Группа: Members
Зарегистрирован: 03-06-2005
Сообщений: 759
UA: Konqueror 4.9

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

то в нормальном суде (я не про Российские) придётся доказывать, что это именно Вы это совершили, т.е. на Вашем компе есть софт для совершения этого преступления, есть результаты этого хищения (похищенные базы, логи того, что Ваш комп управлял ботнетом, кэш DNS и т.п.),

Вы упускаете из виду тот момент, что на время расследования вы всё равно останетесь без собственно компа. Я даже не говорю про такие мелочи, как расходы на адвоката и бесцельно потраченное время. :)

Отредактировано sentaus (31-10-2012 00:34:06)

Отсутствует

 

№10231-10-2012 00:52:57

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

sentaus пишет

Вы упускаете из виду тот момент, что на время расследования вы всё равно останетесь без собственно компа. Я даже не говорю про такие мелочи, как расходы на адвоката и бесцельно потраченное время. :)

Хех =(
С таким же успехом мне могут закинуть какой-нибудь руткит с полным набором для работы моего компа в ботнете так, что я об этом и не узнаю (отдельное спасибо microsoft за баговатость винды), и маски шоу точно так же заберёт мой комп для следственных мероприятий...

Правда фигу что им обломится (TrueCript рулит), другое дело, что следователи тоже не дураки и понимают бесперспективность подобных действий и долго мозги пилить не будут (если конечно не будет дана команда "посадить" - тут тогда никакой адвокат не поможет) и дело закроют за недостаточностью улик.

Но всё же согласен, что быть выходной нодой в нашей стране не очень здорово и лучше такими вещами не заниматься, хотя, судя по спискам узлов, у нас хватает безбашенных людей... =)

Отсутствует

 

№10331-10-2012 01:03:03

Keepun
Участник
 
Группа: Extensions
Зарегистрирован: 08-12-2007
Сообщений: 591
UA: Firefox 16.0
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

MySh пишет

Какие из них конкретно дырявы и в чём именно эта дырявость?

Вставание выходным нодом без фильтров и подставление своей задницы без осознания рисков во имя "Свободы" - не дырявость?

В принципе атаки на саму сеть Тора тоже появляются.

Zaycoff пишет

т.к. в противном случае можно запросто засудить любого провайдера или владельца публичного прокси через которого "хакер" выходит в сеть

Вообще-то как раз и судят или через "все круги ада" пускают, если сразу сотрудничать не хочет. Тут многое зависит от законов самой страны.

Zaycoff пишет

с провайдера проще денег стряхнуть

Чтобы денег стряхнуть с самого прова нужно сначала доказать, что он скрыл инфу о юзере от следствия.


Зачем вашему компу оперативная память, если вы сами не хотите, чтобы софт ее всю использовал?

Отсутствует

 

№10431-10-2012 01:19:41

MySh
Кактусогрыз
 
Группа: Extensions
Зарегистрирован: 17-12-2006
Сообщений: 4623
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Keepun

Вставание выходным нодом без фильтров

И какие настройки по умолчанию отвечают за это?

Отсутствует

 

№10531-10-2012 01:24:57

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Keepun пишет
Zaycoff пишет

с провайдера проще денег стряхнуть

Чтобы денег стряхнуть с самого прова нужно сначала доказать, что он скрыл инфу о юзере от следствия.

Это если строить обвинение на том, что провайдер был посредником в атаке, а если выдвигать версию, что сам провайдер атаковал кого-либо (как например вконтактик задидосил недавно руками пользователей один сайт по обходу капчи), то провайдеру будет очень сложно доказывать, что он не лысый верблюд, любые логи, которые он сможет предоставить можно выкинуть, т.к. у провайдера свободный доступ к собственным серверам и сделать на них он может всё что пожелает, единственно что может реабилитировать провайдера это логи других, нижестоящих (вторичных) провайдеров,которые укажут на кого-то ещё ниже, но если провайдер первый в цепоче - он 100% кандидат стать стрелочником, особенно если взлом произошёл через публичную точку доступа, а посадить хоть кого-то ну ОЧЕНЬ нужно =)

Отсутствует

 

№10631-10-2012 03:15:02

Keepun
Участник
 
Группа: Extensions
Зарегистрирован: 08-12-2007
Сообщений: 591
UA: Firefox 16.0
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

ВКонтакт - это владелец хостинга и услуги по предоставления доступа в Инет он не продает. Это совершенно другая область.
Там банальная атака типа XSS (что-то в этом духе).

Провайдер - это Ростелеком к примеру. Слабо эту госконторку засудить?

Добавлено 31-10-2012 03:25:08

MySh пишет

И какие настройки по умолчанию отвечают за это?

Тебе GUI показать? По умолчанию не стоит, но "жалобные надписи" так и просят поставить без разъяснений последствий.
Хотя если бы не требования по скорости, то наверняка и дефолту влепили.

Отредактировано Keepun (31-10-2012 03:25:08)


Зачем вашему компу оперативная память, если вы сами не хотите, чтобы софт ее всю использовал?

Отсутствует

 

№10731-10-2012 14:38:38

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Keepun, госкорпорацию неудастся засудить даже если они будут распространять детскую порнографию и заниматься работорговлей параллельно торгуя органами невинно убиенных младенцев :rolleyes:
(вконтактик это так, пример того что даже крупные компании могут заниматься не совсем законной деятельностью, например не так давно, если не ошибаюсь, одна компания внедряла в свой VPN клиент бэкдор, после чего комп пользователя начинал работать в ботнете...)

Но Вы так и не ответили какие именно настройки TORа по умолчанию создают угрозу безопасности пользователя, отсылка к списку настроек это все-таки не ответ, хотелось бы конкретики, а то вот я работаю с настройками по умолчанию, а меня может уже давно кровавая гэбня пасёт:music:

Отсутствует

 

№10831-10-2012 15:16:54

liteTua
Участник
 
Группа: Members
Зарегистрирован: 02-10-2012
Сообщений: 73
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Zaycoff
Некикие, но если не ошибаюсь нельзя отследить траффик, но можно отследить сам факт подключения к сети Tor.

Отсутствует

 

№10931-10-2012 16:16:31

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

liteTua пишет

Некикие, но если не ошибаюсь нельзя отследить траффик, но можно отследить сам факт подключения к сети Tor.

Ну, незнаю, я не спец по безопасности, может какие-то настройки и могут меня спалить, поэтому и спрашиваю...

А отследить трафик действительно легко, т.к. все точки входа известны, правда вот в Казахстане стали блокировать ТОР и достаточно оперативно появилась штукенция под названием obfsproxy, которая, кажется, сама ищет мосты и заодно маскирует трафик под обычный HTTP, так что блокировка больше не проблема...

Отсутствует

 

№11031-10-2012 20:01:00

Keepun
Участник
 
Группа: Extensions
Зарегистрирован: 08-12-2007
Сообщений: 591
UA: Firefox 16.0
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Zaycoff пишет

какие именно настройки TORа по умолчанию создают угрозу безопасности пользователя

Вот нафига мне так глубоко копать в настройках Тора. Я в последний раз перечитывал этот список в поисках включения логирования запросов и вроде че-то попадалось.

Проблема в популяризации Тора: не многие осознают риски перехвата данных.
На сайте есть маленькое предложение

Tor will encrypt your traffic to and within the Tor network, but the encryption of your traffic to the final destination website depends upon on that website.

которое плохо раскрывает всю проблему. Бред даже в названии этой темы. Какая тут вообще "безопасность"?! Народ об анонимайзерах вообще представления не имеет.

По рискам выходного нода уже все сказано, но где это на сайте самого Тора? Я не нашел.
Зато есть вот такая мега-супер-зазывалка и даже такой ужас:

Choose Relay Traffic for the Tor network if you want to be a public relay (recommended), or choose Help censored users reach the Tor network if you want to be a bridge for users in countries that censor their Internet.

Вы до сих пор верите, что Тор безопасен для обычного юзера, который знает только "Тор - это круто"?


Зачем вашему компу оперативная память, если вы сами не хотите, чтобы софт ее всю использовал?

Отсутствует

 

№11131-10-2012 20:48:39

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Keepun
Ну, так Вас никто не заставляет быть мостом или выходной нодой (для этого нужно осмысленно включить эту функцию или установить соответствующее ПО), можно просто пользоваться этой сетью, другое дело, что через TOR без SSL лучше ничего не передавать (о чем честно и предупреждают разработчики этого ПО в цитате выше опубликованной Вами же), а так я никаких явных уязвимостей не вижу :/

Собственно многие почтовые сервисы (гугл, маил.ру, яндекс) поддерживают SSL и с ними ИМХО вполне безопасно можно работать из под TOR (через веб морду)

Если использовать TOR из криптоконтейнера, то по барабану перехватит кто-то мой трафик или нет - связать его со мной никто не сможет, даже если в дом припрётся маски шоу.
Ну а если человек настолько глуп, что при регистрации на сервисе указывает свои настоящие данные и тут же крошит батон на великого вождя всех народов и тут же, с этого же акка, пишет своим друзьям - "Вася/Даша, привет - это я", то ему можно только посочувствовать, TOR ему тут не помощник... :rolleyes:

Так что для того, чтобы зайти на некий сайт и слить/скачать какой-то запрещённый цензурой материал, написать неполиткорректный комментарий, этого выше крыши, а вот для полноценной сетевой жизни никаких проксей нехватит, потому, что как бы человек ни шифровался, его выдадут связи... :blush:

Отсутствует

 

№11231-10-2012 22:15:18

Keepun
Участник
 
Группа: Extensions
Зарегистрирован: 08-12-2007
Сообщений: 591
UA: Firefox 16.0
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Zaycoff пишет

(о чем честно и предупреждают разработчики этого ПО в цитате выше опубликованной Вами же)

Угу. Фраза есть, но её не сразу заметишь.
Большинство тех, кто первый раз ставит Тор, считают его "безопасным" "по-умолчанию" (особенно начитавшись постов Rosenfeld'a biggrin.gif ).
Все пытаются скрыться от сервера, а что еще от выходного нода нужно защитится - это не все понимают.

Вообще проблема касается всех анонимайзеров (VPN, Proxy, открытых точек Wi-Fi и т.д.), а не только Тора.


Зачем вашему компу оперативная память, если вы сами не хотите, чтобы софт ее всю использовал?

Отсутствует

 

№11301-11-2012 00:33:00

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Keepun пишет

Вообще проблема касается всех анонимайзеров (VPN, Proxy, открытых точек Wi-Fi и т.д.), а не только Тора.

Я Вам открою страшную тайну, в России хоть какую-то анонимность даёт только TOR (ну может быть ещё i2p, но там своя специфика - пока внутри сети тебя не спалят, вылезешь в большой инет и тебе крышка), т.к. весь трафик в стране прогоняют через системы СОРМ и если не шифроваться по самое небалуйся, то каждый чих будет записан и в нужный момент это могут припомнить...

Отсутствует

 

№11401-11-2012 02:13:07

Keepun
Участник
 
Группа: Extensions
Зарегистрирован: 08-12-2007
Сообщений: 591
UA: Firefox 16.0
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Тема откровения прям crazy.gif

Надеюсь мартышки выводы уяснили, что Инет не так прост...

Отличие СОРМ от Тора (и прочих анонимайзеров):
СОРМу ваши куки, логины и пароли к любимому ВКонтактику (и прочей нечисти) точно не нужны, в отличии от выходного нода Тора (для спама) jester.gif

Отредактировано Keepun (01-11-2012 02:17:12)


Зачем вашему компу оперативная память, если вы сами не хотите, чтобы софт ее всю использовал?

Отсутствует

 

№11501-11-2012 02:20:09

Rosenfeld
Linux registered user # 526899
 
Группа: Members
Откуда: ‎
Зарегистрирован: 21-10-2005
Сообщений: 4642
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

MySh

Rosenfeld

    Количество тварей невелико, но риск нарваться на них все же есть

Смотря где. Израиль или США — одно дело. Россия — IMHO, совсем другое, тут всё вероятность повыше.

Абсолютно не спорю. Даже на этом форуме примеры некоторых крутых и бахвалящихся"ксакепов", якобы перехватываюших все пароли у беззащитных жертв, тому подтверждение.

И вообще: как-то так исторически сложилось, что именно на вышеупомянутой территории слово "хакер" из восьми(!) своих значений, если верить Википедии:

Jargon File даёт следующее определение:

Хакер (изначально — кто-либо, делающий мебель при помощи топора):

    1. Человек, увлекающийся исследованием подробностей (деталей) программируемых систем, изучением вопроса повышения их возможностей, в противоположность большинству пользователей, которые предпочитают ограничиваться изучением необходимого минимума. RFC 1983 усиливает это определение следующим образом: «Человек, наслаждающийся доскональным пониманием внутренних действий систем, компьютеров и компьютерных сетей в частности».
    2. Кто-либо программирующий с энтузиазмом (даже одержимо) или любящий программировать, а не просто теоретизировать о программировании.
    3. Человек, способный ценить и понимать хакерские ценности.
    4. Человек, который силён в быстром программировании.
    5. Эксперт по отношению к определённой компьютерной программе или кто-либо часто работающий с ней; пример: «хакер Unix». (Определения 1—5 взаимосвязаны, так что один человек может попадать под несколько из них.)
    6. Эксперт или энтузиаст любого рода. Кто-либо может считаться «хакером астрономии», например.
    7. Кто-либо любящий интеллектуальные испытания, заключающиеся в творческом преодолении или обходе ограничений.
    8. (неодобрительно) Злоумышленник, добывающий конфиденциальную информацию в обход систем защиты (например, «хакер паролей», «сетевой хакер»). Правильный термин — взломщик, крэкер (англ. cracker).

... приобрело (уж извините за нонсенс!) свое девятое значение - уродливый и забытый Б-гом подросток, который, используя результаты труда предыдущих восьми категорий вышеупомянутых граждан и открытые ими уязвимости и недочеты в работе ПО, способен лишь тайком нагадить другу-однокласснику в "Фконтахтике" или "перехватить" чужой общедоступный wi-fi. Об этой малочисленной, но весьма заметной группе я уже писал неоднократно, поэтому особо распространяться далее не буду.

MySh

Keepun

    Тор - главная сеть для хакеров и ФСБ

С чего вдруг?

MySh

Чем именно они дырявые? Есть конкретные примеры?

Дружище, да не переводите вы свое время понапрасну. Ответа здесь нет и не будет.
Вернее будет (когда уж совсем нашего "ксакепа" за руку ловят), но только типа такого:

Zaycoff пишет:

    какие именно настройки TORа по умолчанию создают угрозу безопасности пользователя

Вот нафига мне так глубоко копать в настройках Тора.

Надеюсь присутствующим все ясно из этого ответа? :)

... Ну а если по большому счету, если проследить за ходом т.н. дискуссии (хотя я даже и намеков на нее не вижу, ибо само понятие слова "дискуссия" предполагает еще и наличие вменяемой контраргументации), то можно сходу определить всю бредовость вбрасываемых фраз.

К примеру:

1. Никто, заметьте - никто(!) кроме нашего не в меру одаренного подростка (см. всю тему выше) и не(!) заводил разговор о том, что кто-то из присутствующих решил поработать "выходным сервером" TORa, подвергнув себя рискам, неоднократно описанным как самими разработчиками, так и на каждом более-менее вменяемом сайте, посвященном информационной безопасности. Однако он с упорством маньяка (а больше и страшилок-то и нет в запасе) продолжает твердить о "масках-шоу на выходной ноде".

2. Никто опять же ни в этой теме, ни в каких других не "утверждал":

PGP, GPG, SSL/TLS и т.п. Может объяснишь, почему ты это все за "часть" Тора считаешь?
По отдельности - это совершенно разные технологии. И это надо понимать. А то у хомячков создается мнение, что это все уже "встроено" в Тор

Может ему просто мерещится :) ... что кто-то там что-то "считал"? Ну так это ведь проблемы лично его мировосприятия.

Причем тут вообще TOR, в который конечно же по определению не(!) встроены PGP, GPG, SSL/TLS - я имею в виду: не обеспечена поддержка на сугубо прикладном уровне, позволяющем пользователю шифровать e-mail, IM-общение (о которых я и пишу выше), соединения с сайтами и т.п., ибо шифрование (по большому счету) - задача специализированных веб-приложений: почтового клиента или IM-клиента. Равно как и SSL/TLS - стандартная задача по созданию защищенных соединений с конечными серверами со стороны браузера или вышеупомянутых клиентов.

В то же время PGP / GPG (ловлю этого враля на слове, хотя может он просто неграмотный) как раз ИСПОЛЬЗУЮТСЯ  в сети TOR - на уровне шифрования трафика аж тремя ассиметричными ключами PGP / GPG, принадлежащими разным серверам. Но сдается мне, он об этом просто не знает, что они туда ВСТРО-Е-НЫ. :)

Либо наш "ксакеп" просто не фильтрует свою собственную речь. Либо - обычное передергивание чужих слов.

3. "Ксакепу" в десятый раз пытаются объяснить, что по умолчанию обычный пользователь TORa не(!) работает в качестве публичного релея (к примеру, в среде Линукса еще о-о-чень нужно постараться, не используя GUI, объявить себя им - да и вряд ли неподготовленный пользователь полезет специально и наобум, не осознавая для чего и как, править конфиги TOR и Polipo / Privoxy), однако что(!) ему эти объяснения - ему же нужно выплеснуть все то, что накопилось у него в области ИБ.

4. Но накопилось, кстати, у него катастрофически мало. Как две мантры повторяются вот эти предложения:

И эта далеко не единственная атака, для которой Тор юзают.

В принципе атаки на саму сеть Тора тоже появляются.

... ну а когда благодарная публика пытается добиться: "так что ж там страшного то произошло?" или, к примеру: "милейший, ну поделись-то своим собственным(!) опытом в "затыкании дыр по умолчанию в конфиге TORa", что мы слышим в ответ? :) ... Правильно! - ответ см. выше.

Так может просто не стоит в очередной раз реагировать на все это "бла-бла", коллеги?

Отредактировано Rosenfeld (01-11-2012 13:32:39)


Project Rosenfox:  Pure, fast and secure inner settings for Mozilla Firefox. Global and complete manual on GitHub.

Отсутствует

 

№11601-11-2012 02:40:33

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Keepun пишет

Отличие СОРМ от Тора (и прочих анонимайзеров):
СОРМу ваши куки, логины и пароли к любимому ВКонтактику (и прочей нечисти) точно не нужны, в отличии от выходного нода Тора (для спама)

Не всё так замечательно - не просто так вдруг стали взламывать почту всяких "оппозиционеров", не думаю что они прямо уж такие лопухи, чтобы ставить пароли из серии "qwerty1957", однако же ломают и явно не брутом... вполне возможно что это слив через СОРМ

Пользоваться вконтактиком через TOR это ИМХО просто дурь полная - ну хорошо допустим я зашифровался, зашел в любую соцсеть, лайкнул знакомого, второго, третьего.... двадцатого, написал им привет, хорошо выглядишь и что-нибудь ещё... и всё - меня вычислят по эти связям, т.к. друзья-то не шифруются и они меня сдадут с потрохами ещё на этапе предварительной беседы со следователем, а если не лайкать, а чисто для размещения инфы на странице, то путь подавятся паролем, я ещё 100500 акков сделаю :music:

Другое дело, что некоторые особо продвинутые абизьянки используют TOR для обхода блокировок корпоративной сети недающих лазить в рабочее время по соцсетям, вот они реально рискуют лишиться аккаунта или как минимум огрести тонну спама для себя и друзей :angel:

Отсутствует

 

№11701-11-2012 04:06:23

liteTua
Участник
 
Группа: Members
Зарегистрирован: 02-10-2012
Сообщений: 73
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Zaycoff
С некоторых пор соц. сети в том числе вконтактик https, так что увести пароли через Tor не получится.

Добавлено 01-11-2012 04:12:42
Поправка. Смогут только спец службы у которых есть ключь. И я не уверен, что даже сайт с шифрованным соединением может его дать, там есть несколько организаций, которые его выдают по запросу полиции, там бывают хитрые схемы. Например вконтакту ключь выдан GoDaddy.com

Отредактировано liteTua (01-11-2012 04:12:42)

Отсутствует

 

№11801-11-2012 14:32:24

Rosenfeld
Linux registered user # 526899
 
Группа: Members
Откуда: ‎
Зарегистрирован: 21-10-2005
Сообщений: 4642
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

1. Смогут только спец службы у которых есть ключь.
2. И я не уверен, что даже сайт с шифрованным соединением может его дать,
3. там есть несколько организаций, которые его выдают по запросу полиции,
4. там бывают хитрые схемы. Например вконтакту ключь выдан GoDaddy.com

Кто из присутствующих сможет перевести сакральный смысл данного откровения на общечеловеческий язык?

Отредактировано Rosenfeld (01-11-2012 15:04:14)


Project Rosenfox:  Pure, fast and secure inner settings for Mozilla Firefox. Global and complete manual on GitHub.

Отсутствует

 

№11901-11-2012 15:22:14

Keepun
Участник
 
Группа: Extensions
Зарегистрирован: 08-12-2007
Сообщений: 591
UA: Firefox 16.0
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Этот пост посвящается всем, кто верит в HTTPS (SSL/TLS)
Эта атака стала возможна из-за дурацкого изменения адресной строки браузера (в частности Лисы)!
Я имею введу именно значок защиты "Замок" и "Глобус" - они сейчас не цветные и маленькие.

Есть атака SSL-Strip - это когда зашифрованное соединение устанавливается между анонимайзером и сервером, а юзеру отдаются незашифрованные данные.

Защита от SSL-Strip служит как раз внимательность самого юзера и информирование строки адреса.
Если постоянно SSL-Strip использовать, то юзер быстро заметит неладное.

Шанс такой атаки повышается многократно, если юзер устал после работы и открывает сайт из Закладок или SpeedDial.

Это не просто Фишинг-атака с подменном домена - ЭТО КРУЧЕ! Здесь домен подменять НЕ НУЖНО!

А теперь вариант атаки.
Пихаем в код анонимайзера (Тора) примерно такие строки:

Выделить код

Код:

array listGoogle[];
///////////////////
// Запись пароля:
if (URL == "https://accounts.google.com/" /*или по IP*/ && isSet(POST["myFake"]))
{
    fwrite(hLogin, "Пишем переданный пароль в файл");
    // Автоматически перенаправляем на оригинальный Гугл
    SendToClient("Location: https://accounts.google.com/");
    return;
}
///////////////////
if (URL == "https://accounts.google.com/" && isSet(listGoogle[ClientIP]) == false)
{
    // Чувак первый раз нам попался на удочку.
    SendToClient("Код страницы входа в Гугл БЕЗ видимых отличий");
    add(listGoogle, ClientIP);
}
else
{
    // Пропускает коннект без изменений
}


P.S.
Это только у нашего журналиста (бывшего?) Rosenfeld'a программировать могут только гении, потому что он сам в этом ничего не понимает biggrin.gif
Rosenfeld, заканчивай уже постить длинные популистские посты НЕ-О-ЧЕМ про "идеальный мир".

Отредактировано Keepun (01-11-2012 18:03:38)


Зачем вашему компу оперативная память, если вы сами не хотите, чтобы софт ее всю использовал?

Отсутствует

 

№12001-11-2012 15:48:50

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

liteTua пишет

Zaycoff
С некоторых пор соц. сети в том числе вконтактик https, так что увести пароли через Tor не получится.

Спасибо, незнал, ибо не пользуюсь ими :blush:

Отсутствует

 

№12101-11-2012 18:39:41

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Keepun пишет

Этот пост посвящается всем, кто верит в HTTPS (SSL/TLS)
......
Это не просто Фишинг-атака с подменном домена - ЭТО КРУЧЕ! Здесь домен подменять НЕ НУЖНО!

А теперь вариант атаки.
Пихаем в код анонимайзера (Тора) примерно такие строки:

Выделить код

Код:

array listGoogle[];
///////////////////
// Запись пароля:
if (URL == "https://accounts.google.com/" /*или по IP*/ && isSet(POST["myFake"]))
{
    fwrite(hLogin, "Пишем переданный пароль в файл");
    // Автоматически перенаправляем на оригинальный Гугл
    SendToClient("Location: https://accounts.google.com/");
    return;
}
///////////////////
if (URL == "https://accounts.google.com/" && isSet(listGoogle[ClientIP]) == false)
{
    // Чувак первый раз нам попался на удочку.
    SendToClient("Код страницы входа в Гугл БЕЗ видимых отличий");
    add(listGoogle, ClientIP);
}
else
{
    // Пропускает коннект без изменений
}

Хм... а разве [firefox] не начнёт матюгаться, что происходит попытка передачи зашифрованных данных посредством недоверенного соединения? Или у Вас есть самоподписанный сертификат, чтобы всё прошло молча?

По поводу редиректов - у меня стоит RequestPolicy, так что ещё и он обвизжится, что меня кидает с одной страницы на другую...

Отсутствует

 

№12201-11-2012 19:42:56

liteTua
Участник
 
Группа: Members
Зарегистрирован: 02-10-2012
Сообщений: 73
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Keepun
Больше похоже на бред.

Отсутствует

 

№12301-11-2012 20:00:52

Keepun
Участник
 
Группа: Extensions
Зарегистрирован: 08-12-2007
Сообщений: 591
UA: Firefox 16.0
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Zaycoff пишет

Хм... а разве [firefox] не начнёт матюгаться, что происходит попытка передачи зашифрованных данных посредством недоверенного соединения?

Не начнет, потому что такая атака проводится еще до установки полноценного HTTPS-соединения.
Матюгается только если уже с зашифрованной страницы слать данные на незашифрованную.

Принцип прост:
Сначала идет запрос без SSL.
Потом сервер должен  сообщить, что поддерживается SSL, но вместо него отвечает посредник "все ОК! В таком виде я приму данные".
Шифрование нет.
И вот тут только беглый взгляд юзера на адресную строку может спасти от ошибки.
А второй запрос посредством HTTP-заголовка пропускает на настоящий сервер.

Браузер бьет тревогу при потери шифрования, а не его приобретении.

Добавлено 01-11-2012 20:11:10

Zaycoff пишет

так что ещё и он обвизжится, что меня кидает с одной страницы на другую...

Если правильно этот момент запрограммировать, то он даже не пискнет.
Перенаправление на другую страницу нет (тем более на домен) - просто команда ее обновить.

Добавлено 01-11-2012 20:13:25
Выходной нод на многое способен. Тут уже от знаний протоколов и умения программировать все зависит.

Отредактировано Keepun (01-11-2012 20:13:25)


Зачем вашему компу оперативная память, если вы сами не хотите, чтобы софт ее всю использовал?

Отсутствует

 

№12401-11-2012 20:29:14

Zaycoff
Участник
 
Группа: Extensions
Зарегистрирован: 18-02-2012
Сообщений: 1411
UA: Firefox 16.0

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Keepun
А с какого перепугу идёт запрос без SSL? Вот у меня в ярлыках запрос к Google, Yandex почта, Рамблер-Почта сразу HTTPS, поиск также идёт через HTTPS. Т.е. сначала устанавливается соединение, происходит обмен сертификатами, загружается вебморда и только потом я ввожу логин и пароль (примерно так)

Притом у пользователей Tor Browser, по умолчанию, установлено HTTPS Everywhere, которое пытается использовать HTTPS на наиболее популярных сервисах, а если ещё установить HTTPS Finder, то Вы сильно удивитесь у скольких сайтов есть HTTPS версия...

Или у Вас в ярлыки забиты пароли для быстрой авторизации - типа "https://mail.yandex.ru/vasya123@yandex.ru:qwerty12345" ?

Отсутствует

 

№12501-11-2012 22:00:13

Keepun
Участник
 
Группа: Extensions
Зарегистрирован: 08-12-2007
Сообщений: 591
UA: Firefox 16.0
Веб-сайт

Re: Tor: сетевая безопасность (Тор браузер, tor browser)

Да откуда ВЫ вообще взяли, что на 443 всегда SSL? dash2.gif
HTTPS Everywhere,  HTTPS Finder и т.п. - они только проверяют доступность 443 порта. Все!

Давай те даже для примера этот форум возьмем:
https://forum.mozilla-russia.org/ - шифрование есть на главной страницы.

А вот наши админы решили сэкономить на мощностях сервера. В итоге:
https://forum.mozilla-russia.org/viewtopic.php?pid=587448 - адрес этой темы.
image_5092b6a5458a8_small.jpg
Хана вашим кукам wacko3.gif


Зачем вашему компу оперативная память, если вы сами не хотите, чтобы софт ее всю использовал?

Отсутствует

 

Board footer

Powered by PunBB
Modified by Mozilla Russia
Copyright © 2004–2020 Mozilla Russia GitHub mark
Язык отображения форума: [Русский] [English]