Příspěvky

Ahoj, jak chranite servery pred tou lavinou botu a utoku? posledni dobou a ted v casech ejajky je to fakt strasny.. resim hlavne webovy provoz

Pro vice domen se presmerovani ke cloudfare nevyplati, tak zatim testujeme crowdsec, ktery bezi jako agent na serveru (stahuje aktualni ip seznamy do firewallu a zaroven parsuje logy podobne jako fail2ban a asi detekuje a sdili zpet).

No moc se mi nelibi, ze bezi nejaky agent na serveru, ktery muze "cokoli".. ale zas toto neni realny v tom mnozstvi resit sam a sdileni chycenych ip tady dava smysl

Jak to resite?

Nemate prosim nekdo zkusenosti s nasazenim bezhesloveho prihlaseni (webauthn)?

Predstavuju si co nejmensi zatez pro uzivatele (pro ty co nemaji/nechteji hw token), tedy pro ulozeni klicu se pouzije telefon s overenim pres gesto/otisk. Telefon se spoji jakymkoli zarizenim (usb, bluetooth, nfc) a bude fungovat jako nahrada hw tokenu.

Nasel jsem spoustu pouziti lokalne, v zarizeni/prohlizeci pripadne i propojeni s hw tokenem. Ale aby telefon byl tim ulozistem klicu (Authenticator) a pri propojeni je poskytoval jinemu zarizeni, to ne. Google v 2019 nasadil bezheslove prihlaseni a overeni pres telefon, ale jestli jsem to spravne pochopil jen toho sveho. Snad to souvisi s protokolem CTAP2, nekde jsem se docetl, ze android jej zatim nepodporuje ?! Na iOS je situace mozna jina.

Neexistuje jako docasne reseni aplikace, ktera umi protokol CTAP2 a vytvori rozhrani pro komunikaci pres BLE/USB, ulozeni klicu?

Je tim duvodem, ze telefon neni tak bezpecny uloziste pro klice? Urcite neni, v porovnani s hw tokenem. Ale za gestem/otiskem je tam vetsinou volne pristupnej email (casto slouzi jako backup pro obnoveni hesla ke sluzbam), ulozena hesla v prohlizeci atd. To co je kriticky (banka, google apod.) je casto stejne overeny na 2x.

Diky