Příspěvky

796

Software / Re:Obrovský txt soubor

« kdy: 02. 12. 2021, 15:00:36 »

Filipe, jsi odborník na web a tvých názorů ohledně webu si skutečně vážím, to myslím vážně. Ale máš tendenci se cpát do věcí, které znáš jen povrchně a myslíš si, že jim rozumíš.

To, že vám pět znaků hashe je k ničemu, není názor jen můj, ten můžete opravdu ignorovat. Ale je to také názor třeba Troye Hunta (nepřekvapivě) nebo Junade Aliho.

Ale pokud vy máte pocit, že tomu rozumíte, bylo by lepší, kdybyste místo ad-hominem argumentoval k věci a ukázal, v čem může být poskytnutí pěti znaků z hashe nebezpečné.

797

Software / Re:Obrovský txt soubor

« kdy: 02. 12. 2021, 12:35:29 »

Dále představa, že únik hashe nevadí, je naivní.

On to někdo něco takového psal? Víte o tom (bylo to tu několikrát zmíněno), že když na HIBP použijete funkci hledání hesla, odešle se na server jenom prvních pět znaků hexadecimálního výpisu SHA-1 hashe hesla? Tomu jenom v těch uniklých heslech odpovídají stovky hashů, takže to vám pro zjištění původního hesla bude fakt k ničemu.

798

Sítě / Re:Pár dotazů k síti - 169.254 a rp_filter pro odchozí a příchozí

« kdy: 29. 11. 2021, 17:44:06 »

rp_filter řeší to, abyste nedostal paket ze sítě, odkud by přijít neměl. Tj. pokud máte třeba první rozhraní v síti 192.168.0.0/24 a paket přijde přes druhé rozhraní, které je v úplně jiné síti, může být něco špatně – a pokud máte aktivní rp_filter, uvedený paket se zahodí.

Jinak v linuxovém firewallu žádná „vyšší“ logika není. Tj. nejprve se podle routovacích tabulek určí, kam se má paket odeslat. Pokud byste pro daný cíl neměl nakonfigurovanou routu, paket se neodešle (nebude jasné, kam by se měl poslat) – což je ale docela netypický případ, protože obvykle máte nakonfigurovanou výchozí bránu (kam se paket pošle, když nevyhoví specifičtější pravidla).

Pak, když je rozhodnuto, kam se má paket poslat, vstupuje do hry firewall – ten paket buď propustí nebo zablokuje.

Na příkaz route na Linuxu zapomeňte, je už desítky let zastaralý a nefunguje správně. Pro výpis routovací tabulky slouží příkaz

Kód: [Vybrat]

ip route

nebo zkráceně

Kód: [Vybrat]

ip r

799

Vývoj / Re:Script PHP, podobné články

« kdy: 28. 11. 2021, 11:00:19 »

Pokud opravdu chcete poradit, tak alespoň napište, jakou chybu server vyhazuje. Takhle je to jen hádanka.

800

Software / Re:Obrovský txt soubor

« kdy: 27. 11. 2021, 20:56:31 »

Já tu nepropaguju nezodpovědné chování na internetu

Já také ne.

stejně do mě rejete

Stejně jako rejete vy do mně. A ještě si zakládáte na tom, že se v oboru neorientujete.

Je to jen můj názor, tak se s tím smiřte a nesnažte se mě přesvědčit.

Já se vás nesnažím přesvědčit. Já jsem pouze uváděl na pravou míru vaše nepřesná tvrzení. Proč vy tu neustále dokola opakujete váš ničím nepodložený názor, to nechápu.

Já už na vás reagovat nebudu.

To jsem rád.

801

Software / Re:Obrovský txt soubor

« kdy: 27. 11. 2021, 20:08:25 »

Mě je úplně šumák, že vy, pan Koudelka nebo Jirsák považujete tento web za důvěryhodný. Znovu zopakuji,  zadávat svoje přihlašovací údaje, email nebo telefon kamkoliv jen tak pro kontrolu není podle mého názoru bezpečné. Zrovna tak jako ukládání důležitých hesel do prohlížečů.

Mně je zase úplně šumák, co podle vašeho názoru je nebo není bezpečné. A už vůbec ten váš názor nepotřebuju číst potřetí.

Ukládání hesel do prohlížečů je rozhodně bezpečnější, než tam to heslo psát. Protože to heslo klidně napíšete do jiného webu, zatímco prohlížeč ho vyplní jenom do toho správného (pokud ho k tomu docela komplikovaně nedonutíte).

802

O serveru Root.cz / uživatelé bez přezdívky – pojmenování

« kdy: 27. 11. 2021, 19:23:04 »

Nebylo by možné uživatelům bez přezdívky vygenerovat nějaký unikátní kód, třeba osmimístný hexadecimální řetězec nebo něco takového? Aby bylo možné od sebe jednotlivé uživatele bez přezdívky rozlišit. Nebo alespoň takhle použít jejich číselný identifikátor. Případně, pokud k tomu bude mít vydavatelství odvahu, generovat jména jako náhodné kombinace přídavného jména a podstatného jména z nějakého seznamu

Ten rozlišovací název (kód, číselné ID nebo jméno) by se mohl zobrazovat v závorce za „bez přezdívky“. Bylo by tak možné od sebe rozlišit různé „bez přezdívky“ v jedné diskusi, případně snáze ignorovat trolly napříč diskusemi.

803

Software / Re:Obrovský txt soubor

« kdy: 27. 11. 2021, 10:37:00 »

Jen bych rád upozornil, že změnit skript na serveru je záležitostí pár vteřin, proto nesdílím názory pánů Koudelky a Jirsáka.  Důrazně nedoporučuju nikomu svoje přihlašovací údaje, emaily ani telefony vkládat do jakýchkoliv formulářů jen tak "pro kontrolu".
Úmysly a motivace poskytovatelů takových služeb mohou být různé a mohou se v čase vyvíjet. Zároveň pochybuji, že běžný BFU dokáže provádět takovou hloubkovou analýzu skriptů a odhadnout reputaci poskytovatele služby jako odborníci výše zmínění.

Znovu opakuji, já jsem nikde nepsal o vkládání údajů do jakýchkoli formulářů, psal jsem o tomhle jednom konkrétním webu. BFU o webu HIBP nejspíš nevědí. A pokud někomu říkám, jak má zacházet s hesly, říkám mu, že heslo nemá zadávat nikam jinam, s výjimkou jediného webu, a to je právě HIBP, kam heslo pro kontrolu zadat může.

Pokud se bojíte změny skriptu na webu, můžete použít řešení implementované ve správci hesel. Např. BitWarden umí na HIBP zkontrolovat, zda vaše heslo neuniklo. Podobnou funkci už mají myslím někteří správce hesel vestavění v prohlížečích.

804

Software / Re:Obrovský txt soubor

« kdy: 27. 11. 2021, 08:26:35 »

haveibeenpwned.com

To je ta stránka, kam zadáte přihlašovací údaje objektu zájmu a ona vám promptně vypíše jestli už někde, heslo nebo aspoň jeho hash, neunikl a pokud ano, tak nasměruje kde ten potřebný údaj hledat?
To je přece super služba pro začínající hackery....

Nee.
Je to kompilát z již zveřejněných úniků.
Nikam to nikoho nenasměruje, najde vám to buď uniklé heslo nebo mail nebo telefon, nikdy ne kombinaci a nic takto využitelného. Zadáte jen jedno z toho, ne kompletní přihlašovací údaje.
Nepitval  jsem to, ale zhruba řečeno, Java Script na webu nebo váš skript heslo lokálně zašifruje sha1, prvních pět znaků odešle na HIBP, ten vrátí množinu hesel, průměr je cca 480 ks , ty se lokálně dešifrují a porovnají se zadaným heslem.
Filipe, kdyžtak mne opravte.

Je to přesně jak píšete. Resp. přijaté hashe hesel se nedešifrují, to ani nejde – vezme se hash vypočítaný v prohlížeči a zjistí se, jestli je mezi těmi zaslanými hashy.

Ten požadavek na hashe začínající na těch prvních pět znaků je GET požadavek, ve kterém je jen adresa obsahující těch pět znaků a běžné HTTP hlavičky. Žádná jiná komunikace se serverem pak není. Pokud zdejší experti dokážou do pěti hexadecimálních znaků zakódovat svá hesla, měli by si to patentovat – nebo mají hodně slabá hesla.

805

Software / Re:Obrovský txt soubor

« kdy: 26. 11. 2021, 21:31:39 »

No, po skándálu s nejmenovanou třípísmenkovou agenturou

Kdybyste jmenoval, bylo by to lepší. Např. já vůbec netuším, co myslíte.

To, že za tím webem stojí někdo s dobrou reputací neznamená, že nekolaboruje a že to není napíchnuté.

Díval jste se na ty skripty? Díval jste se, co web při zadání hesla odesílá?

Pořád pro někoho může být výhodné tvořit slovník z reálných hesel, které lidé ochotně poskytnou, něž zkoušet všechny možné kombinace. Samozřejmě, pokud znám i IP a další informace, které mohou identifikovat uživatele tohoto hesla, tím lépe.

Kolik hesel byste takhle posbíral? K čemu by vám to bylo?

Kdyby to heslo nebylo nikde použité, uživatel by se na něj nedotazoval.

Proč by ne? Já jsem tam třeba jen tak pro zajímavost zkoušel stará hesla, která už nikde nepoužívám.

Je naivní si myslet, že nějaký Tonda z horní-dolní nebude cílem třípísmenkové agentury. Nedávná historie ukázala, že cílem jsme všichni. A pochybuji o tom, že situace se zlepšila...

Je naivní si myslet, že třípísmenkové agentuře je k něčemu prvních 5 znaků hexadecimální reprezentace SHA-1 hashe vašeho hesla.

Mimochodem, když se tak bojíte třípísmenkových agentur… Jenom pro zajímavost, používáte v prohlížeči nějaký doplněk na blokování reklamy? Víte o tom, že tyhle doplňky musí mít plný přístup ke stránce a mohou s ní manipulovat – takže třeba mohou číst vaše hesla? Nebylo by pro třípísmenkové agentury mnohem jednodušší upravit ten doplněk, než sbírat hesla do slovníku?

806

Software / Re:Obrovský txt soubor

« kdy: 26. 11. 2021, 17:42:50 »

Je nesmysl používané heslo zadávat kamkoliv než do služby, kde ho používám.

Ano, ale mohou existovat výjimky. Na mém seznamu výjimek je aktuálně jediný web, a to právě ';--have i been pwned?. Mimochodem, i ten web se primárně používá tak, že tam nezadáváte heslo, ale e-mail nebo telefonní číslo (login). To ověřování hesel tam bylo přidáno až dodatečně, když autor vyřešil to, aby se z prohlížeče nedozvídal hesla ani jejich ekvivalent.

Je to ale užitečné pro zjištěné zpětně, kde mohlo dojít k úniku a které všechny služby mohou být postiženy.

To ovšem předpokládáte, že jedno heslo máte na více místech. Což je v rozporu s vaším prvním bodem.

807

Software / Re:Obrovský txt soubor

« kdy: 26. 11. 2021, 17:07:04 »

A nemáš pocit, že když znáš zdrojovou IP korporace přistupujícího www klienta, že to "někde" je poněkud ohraničené?

Tak za prvé, to heslo se zpracovává v prohlížeči, nikam se neposílá. Za druhé, i kdyby se posílalo – k čemu vám s tou IP adresou bude? Kde konkrétně a jak byste ho použil?

Takový přístup se mi zdá velice naivní.  Internet, jakýkoliv web je prostě potenciálně nebezpečný. Je proto podle mě nutné vždy si prověřit a velmi rozmyslet co a kam zadávám.

Cpát reálné kontakty a nebo i svá hesla do "nějakého" webovského formuláře, notabene na naprosto nedůvěryhodně znějící doméně,  podle mě není bezpečné.

Tak ještě jednou. Já to nezadávám do „nějakého“ webového formuláře. Zadávám to tady na té jediné webové adrese, kde vím, kdo je autor a znám jeho reputaci.

A todle vám pane poradil kdo? A vy tomu opravdu věříte? A budete tomu věřít i zítra a pozítří?

Ano, já tohle autorovi věřím.

Ke slovníkovému útoku. To se mi při Vaší kapacitě znalostí nezdá, že byste o tom jste nikdy neslyšel...

O slovníkovém útoku jsem samozřejmě slyšel. A také vím, co to znamená – možná na rozdíl od vás? Slovníkový útok znamená, že neznám heslo a snažím se ho uhodnout na základě databáze možných hesel. Nevím, k čemu bych používal slovníkový útok, když heslo znám. Ale hlavně nevím, na co bych takhle útočil. Nebo jste si to představoval tak, že byste to jedno známé heslo zkoušel na všechny možné služby a všechny možné účty?

808

Software / Re:Obrovský txt soubor

« kdy: 26. 11. 2021, 14:40:36 »

takže k čemu by někomu bylo samotné heslo

Filipe, Filipe 

Kdybys měl peníze, nabídnu ti bezpečnostní školení 

Někde je použité heslo WjsVnkLAf4f5tp9CHF. Tak se čiňte.

809

Software / Re:Obrovský txt soubor

« kdy: 26. 11. 2021, 12:22:47 »

Vy myslíte, že podle mě pochybné weby, jako haveibeenpwned.com, nejsou lapadla do něčí (vládní?) databáze hesel pro nějaké budoucí použití?  To jako fakt zadáváte svoje hesla na nějaký web pro "kontrolu"?

Nebavíme se o „nějakém webu“, ale o haveibeenpwned.com, za kterým stojí Troy Hunt, který je v bezpečnostní komunitě poměrně známý a má dobrou reputaci. Navíc tam obvykle nezadáváte heslo, ale e-mail nebo telefon. Pokud použijete stránku s vyhledáváním hesel, s heslem se pracuje pouze v prohlížeči, dál na server jde jenom hash, ze kterého se heslo nedá získat. Navíc tam zadávám heslo, které je unikátní a nezadávám tam žádný další údaj – takže k čemu by někomu bylo samotné heslo?

810

Software / Re:Obrovský txt soubor

« kdy: 26. 11. 2021, 08:55:39 »

Jsou to hashe (SHA-1 nebo NTLM). Pro integraci do Active Directory hledeje „haveibeenpwned active directory integration“.

Struktura souborů je:

The downloadable source data delimits the full SHA-1 hash and the password count with a colon ( and each line with a CRLF.