Zobrazit příspěvky

Tato sekce Vám umožňuje zobrazit všechny příspěvky tohoto uživatele. Prosím uvědomte si, že můžete vidět příspěvky pouze z oblastí Vám přístupných.


Příspěvky - Filip Jirsák

Stran: [1] 2 3 ... 322
1
rp_filter řeší to, abyste nedostal paket ze sítě, odkud by přijít neměl. Tj. pokud máte třeba první rozhraní v síti 192.168.0.0/24 a paket přijde přes druhé rozhraní, které je v úplně jiné síti, může být něco špatně – a pokud máte aktivní rp_filter, uvedený paket se zahodí.

Jinak v linuxovém firewallu žádná „vyšší“ logika není. Tj. nejprve se podle routovacích tabulek určí, kam se má paket odeslat. Pokud byste pro daný cíl neměl nakonfigurovanou routu, paket se neodešle (nebude jasné, kam by se měl poslat) – což je ale docela netypický případ, protože obvykle máte nakonfigurovanou výchozí bránu (kam se paket pošle, když nevyhoví specifičtější pravidla).

Pak, když je rozhodnuto, kam se má paket poslat, vstupuje do hry firewall – ten paket buď propustí nebo zablokuje.

Na příkaz route na Linuxu zapomeňte, je už desítky let zastaralý a nefunguje správně. Pro výpis routovací tabulky slouží příkaz
Kód: [Vybrat]
ip routenebo zkráceně
Kód: [Vybrat]
ip r

2
Vývoj / Re:Script PHP, podobné články
« kdy: 28. 11. 2021, 11:00:19 »
Pokud opravdu chcete poradit, tak alespoň napište, jakou chybu server vyhazuje. Takhle je to jen hádanka.

3
Software / Re:Obrovský txt soubor
« kdy: 27. 11. 2021, 20:56:31 »
Já tu nepropaguju nezodpovědné chování na internetu
Já také ne.

stejně do mě rejete
Stejně jako rejete vy do mně. A ještě si zakládáte na tom, že se v oboru neorientujete.

Je to jen můj názor, tak se s tím smiřte a nesnažte se mě přesvědčit.
Já se vás nesnažím přesvědčit. Já jsem pouze uváděl na pravou míru vaše nepřesná tvrzení. Proč vy tu neustále dokola opakujete váš ničím nepodložený názor, to nechápu.

Já už na vás reagovat nebudu.
To jsem rád.

4
Software / Re:Obrovský txt soubor
« kdy: 27. 11. 2021, 20:08:25 »
Mě je úplně šumák, že vy, pan Koudelka nebo Jirsák považujete tento web za důvěryhodný. Znovu zopakuji,  zadávat svoje přihlašovací údaje, email nebo telefon kamkoliv jen tak pro kontrolu není podle mého názoru bezpečné. Zrovna tak jako ukládání důležitých hesel do prohlížečů.
Mně je zase úplně šumák, co podle vašeho názoru je nebo není bezpečné. A už vůbec ten váš názor nepotřebuju číst potřetí.

Ukládání hesel do prohlížečů je rozhodně bezpečnější, než tam to heslo psát. Protože to heslo klidně napíšete do jiného webu, zatímco prohlížeč ho vyplní jenom do toho správného (pokud ho k tomu docela komplikovaně nedonutíte).

5
Nebylo by možné uživatelům bez přezdívky vygenerovat nějaký unikátní kód, třeba osmimístný hexadecimální řetězec nebo něco takového? Aby bylo možné od sebe jednotlivé uživatele bez přezdívky rozlišit. Nebo alespoň takhle použít jejich číselný identifikátor. Případně, pokud k tomu bude mít vydavatelství odvahu, generovat jména jako náhodné kombinace přídavného jména a podstatného jména z nějakého seznamu 8)

Ten rozlišovací název (kód, číselné ID nebo jméno) by se mohl zobrazovat v závorce za „bez přezdívky“. Bylo by tak možné od sebe rozlišit různé „bez přezdívky“ v jedné diskusi, případně snáze ignorovat trolly napříč diskusemi.

6
Software / Re:Obrovský txt soubor
« kdy: 27. 11. 2021, 10:37:00 »
Jen bych rád upozornil, že změnit skript na serveru je záležitostí pár vteřin, proto nesdílím názory pánů Koudelky a Jirsáka.  Důrazně nedoporučuju nikomu svoje přihlašovací údaje, emaily ani telefony vkládat do jakýchkoliv formulářů jen tak "pro kontrolu".
Úmysly a motivace poskytovatelů takových služeb mohou být různé a mohou se v čase vyvíjet. Zároveň pochybuji, že běžný BFU dokáže provádět takovou hloubkovou analýzu skriptů a odhadnout reputaci poskytovatele služby jako odborníci výše zmínění.
Znovu opakuji, já jsem nikde nepsal o vkládání údajů do jakýchkoli formulářů, psal jsem o tomhle jednom konkrétním webu. BFU o webu HIBP nejspíš nevědí. A pokud někomu říkám, jak má zacházet s hesly, říkám mu, že heslo nemá zadávat nikam jinam, s výjimkou jediného webu, a to je právě HIBP, kam heslo pro kontrolu zadat může.

Pokud se bojíte změny skriptu na webu, můžete použít řešení implementované ve správci hesel. Např. BitWarden umí na HIBP zkontrolovat, zda vaše heslo neuniklo. Podobnou funkci už mají myslím někteří správce hesel vestavění v prohlížečích.

7
Software / Re:Obrovský txt soubor
« kdy: 27. 11. 2021, 08:26:35 »
haveibeenpwned.com

To je ta stránka, kam zadáte přihlašovací údaje objektu zájmu a ona vám promptně vypíše jestli už někde, heslo nebo aspoň jeho hash, neunikl a pokud ano, tak nasměruje kde ten potřebný údaj hledat?
To je přece super služba pro začínající hackery....
Nee.
Je to kompilát z již zveřejněných úniků.
Nikam to nikoho nenasměruje, najde vám to buď uniklé heslo nebo mail nebo telefon, nikdy ne kombinaci a nic takto využitelného. Zadáte jen jedno z toho, ne kompletní přihlašovací údaje.
Nepitval  jsem to, ale zhruba řečeno, Java Script na webu nebo váš skript heslo lokálně zašifruje sha1, prvních pět znaků odešle na HIBP, ten vrátí množinu hesel, průměr je cca 480 ks , ty se lokálně dešifrují a porovnají se zadaným heslem.
Filipe, kdyžtak mne opravte.
Je to přesně jak píšete. Resp. přijaté hashe hesel se nedešifrují, to ani nejde – vezme se hash vypočítaný v prohlížeči a zjistí se, jestli je mezi těmi zaslanými hashy.

Ten požadavek na hashe začínající na těch prvních pět znaků je GET požadavek, ve kterém je jen adresa obsahující těch pět znaků a běžné HTTP hlavičky. Žádná jiná komunikace se serverem pak není. Pokud zdejší experti dokážou do pěti hexadecimálních znaků zakódovat svá hesla, měli by si to patentovat – nebo mají hodně slabá hesla.

8
Software / Re:Obrovský txt soubor
« kdy: 26. 11. 2021, 21:31:39 »
No, po skándálu s nejmenovanou třípísmenkovou agenturou
Kdybyste jmenoval, bylo by to lepší. Např. já vůbec netuším, co myslíte.

To, že za tím webem stojí někdo s dobrou reputací neznamená, že nekolaboruje a že to není napíchnuté.
Díval jste se na ty skripty? Díval jste se, co web při zadání hesla odesílá?

Pořád pro někoho může být výhodné tvořit slovník z reálných hesel, které lidé ochotně poskytnou, něž zkoušet všechny možné kombinace. Samozřejmě, pokud znám i IP a další informace, které mohou identifikovat uživatele tohoto hesla, tím lépe.
Kolik hesel byste takhle posbíral? K čemu by vám to bylo?

Kdyby to heslo nebylo nikde použité, uživatel by se na něj nedotazoval.
Proč by ne? Já jsem tam třeba jen tak pro zajímavost zkoušel stará hesla, která už nikde nepoužívám.

Je naivní si myslet, že nějaký Tonda z horní-dolní nebude cílem třípísmenkové agentury. Nedávná historie ukázala, že cílem jsme všichni. A pochybuji o tom, že situace se zlepšila...
Je naivní si myslet, že třípísmenkové agentuře je k něčemu prvních 5 znaků hexadecimální reprezentace SHA-1 hashe vašeho hesla.

Mimochodem, když se tak bojíte třípísmenkových agentur… Jenom pro zajímavost, používáte v prohlížeči nějaký doplněk na blokování reklamy? Víte o tom, že tyhle doplňky musí mít plný přístup ke stránce a mohou s ní manipulovat – takže třeba mohou číst vaše hesla? Nebylo by pro třípísmenkové agentury mnohem jednodušší upravit ten doplněk, než sbírat hesla do slovníku?

9
Software / Re:Obrovský txt soubor
« kdy: 26. 11. 2021, 17:42:50 »
Je nesmysl používané heslo zadávat kamkoliv než do služby, kde ho používám.
Ano, ale mohou existovat výjimky. Na mém seznamu výjimek je aktuálně jediný web, a to právě ';--have i been pwned?. Mimochodem, i ten web se primárně používá tak, že tam nezadáváte heslo, ale e-mail nebo telefonní číslo (login). To ověřování hesel tam bylo přidáno až dodatečně, když autor vyřešil to, aby se z prohlížeče nedozvídal hesla ani jejich ekvivalent.


Je to ale užitečné pro zjištěné zpětně, kde mohlo dojít k úniku a které všechny služby mohou být postiženy.
To ovšem předpokládáte, že jedno heslo máte na více místech. Což je v rozporu s vaším prvním bodem.

10
Software / Re:Obrovský txt soubor
« kdy: 26. 11. 2021, 17:07:04 »
A nemáš pocit, že když znáš zdrojovou IP korporace přistupujícího www klienta, že to "někde" je poněkud ohraničené?
Tak za prvé, to heslo se zpracovává v prohlížeči, nikam se neposílá. Za druhé, i kdyby se posílalo – k čemu vám s tou IP adresou bude? Kde konkrétně a jak byste ho použil?

Takový přístup se mi zdá velice naivní.  Internet, jakýkoliv web je prostě potenciálně nebezpečný. Je proto podle mě nutné vždy si prověřit a velmi rozmyslet co a kam zadávám.

Cpát reálné kontakty a nebo i svá hesla do "nějakého" webovského formuláře, notabene na naprosto nedůvěryhodně znějící doméně,  podle mě není bezpečné.
Tak ještě jednou. Já to nezadávám do „nějakého“ webového formuláře. Zadávám to tady na té jediné webové adrese, kde vím, kdo je autor a znám jeho reputaci.

A todle vám pane poradil kdo? A vy tomu opravdu věříte? A budete tomu věřít i zítra a pozítří?
Ano, já tohle autorovi věřím.

Ke slovníkovému útoku. To se mi při Vaší kapacitě znalostí nezdá, že byste o tom jste nikdy neslyšel...
O slovníkovém útoku jsem samozřejmě slyšel. A také vím, co to znamená – možná na rozdíl od vás? Slovníkový útok znamená, že neznám heslo a snažím se ho uhodnout na základě databáze možných hesel. Nevím, k čemu bych používal slovníkový útok, když heslo znám. Ale hlavně nevím, na co bych takhle útočil. Nebo jste si to představoval tak, že byste to jedno známé heslo zkoušel na všechny možné služby a všechny možné účty?

11
Software / Re:Obrovský txt soubor
« kdy: 26. 11. 2021, 14:40:36 »
takže k čemu by někomu bylo samotné heslo

Filipe, Filipe  ::)

Kdybys měl peníze, nabídnu ti bezpečnostní školení  ;D
Někde je použité heslo WjsVnkLAf4f5tp9CHF. Tak se čiňte.

12
Software / Re:Obrovský txt soubor
« kdy: 26. 11. 2021, 12:22:47 »
Vy myslíte, že podle mě pochybné weby, jako haveibeenpwned.com, nejsou lapadla do něčí (vládní?) databáze hesel pro nějaké budoucí použití?  To jako fakt zadáváte svoje hesla na nějaký web pro "kontrolu"?
Nebavíme se o „nějakém webu“, ale o haveibeenpwned.com, za kterým stojí Troy Hunt, který je v bezpečnostní komunitě poměrně známý a má dobrou reputaci. Navíc tam obvykle nezadáváte heslo, ale e-mail nebo telefon. Pokud použijete stránku s vyhledáváním hesel, s heslem se pracuje pouze v prohlížeči, dál na server jde jenom hash, ze kterého se heslo nedá získat. Navíc tam zadávám heslo, které je unikátní a nezadávám tam žádný další údaj – takže k čemu by někomu bylo samotné heslo?

13
Software / Re:Obrovský txt soubor
« kdy: 26. 11. 2021, 08:55:39 »
Jsou to hashe (SHA-1 nebo NTLM). Pro integraci do Active Directory hledeje „haveibeenpwned active directory integration“.

Struktura souborů je:
Citace
The downloadable source data delimits the full SHA-1 hash and the password count with a colon (:) and each line with a CRLF.

14
Server / Re:Více teček v mailové adrese za @
« kdy: 25. 11. 2021, 19:50:33 »
Ale shodneme se na tom, ze dot-atom je klasicke FQDN?
Právě že není, jsou to jména oddělená tečkou, tedy na konci tečka být nemůže. U FQDN na konci tečka být může, pokud aplikace umí pracovat i s relativními doménovými jmény a já chci zdůraznit, že to zadané FQDN je absolutní.

15
Server / Re:Více teček v mailové adrese za @
« kdy: 25. 11. 2021, 16:09:27 »
E-mailová adresa s tečkou na konci není platná e-mailová adresa. Pokud by nějaký server měl problém pracovat s adresou v TLD, je to problém toho serveru.
Na takovou blbost jste prisel jak?
Jednoduše, je to napsané v RFC 5322 v sekci 3.4.1, která specifikuje e-mailovou adresu addr-spec. domain-literal neřešíme, obs-domain bych také neřešil (ale tam tečka na konci také nesmí být), podstatný je dot-atom, což jsou atomy (posloupnost 1 nebo více písmen, číslic a 19 speciálních znaků, mezi kterými není tečka), mezi kterými je tečka.

Podle vaší teorie by se musely všechny e-mailové adresy psát s tečkou na konci, všechny webové adresy by měly v hostname tečku na konci. Když se podíváte do adresního řádku prohlížeče, vidíte tam za root.cz tečku? Nevidíte, že.

Stran: [1] 2 3 ... 322