Příspěvky

151

Odkladiště / Re:Bezpečnost elektronických voleb

« kdy: 09. 10. 2018, 16:42:49 »

Pokud si dobře vzpomínám, tak v Estonsku probíhá e-voting tak, že se občan přihlašuje přes nějaké svoje Id (občanka?), kde může před skončením voleb své hlasování měnit, čímž se má zajistit, že i kdyby ho někdo nutil k volbě, tak ji může později změnit. Po termínu se před odesláním ke sčítání všechny hlasy očistí od Id voliče, aby se zajistila anonymita hlasu. Pokud kecám, tak mě někdo opravte, je pravda, že jsem o tohle zajímal docela dávno. A pokud to mají někde řešené jinak, rád se poučím.
V tomhle systému vidím problém - před anonymizací je tvá volba stále svázaná s tebou. Tohle se ti u klasických otravných papírových voleb nemůže nikdy stát.

Z vašeho popisu to na mě působí tak, že minimálně tu první fázi nelze nazvat elektronickými volbami, ale elektronizovanými.

Co se týče kryptografických detailů implementace, tak pár možností je třeba data (např. třeba kryptografické countery):
https://crypto.stanford.edu/pbc/notes/crypto/voting.html

U elektronického způsobu o tuto možnost přijde. Volba už potom totiž nebude tajná a půjde zkontrolovat.

Nevidím moc důvod, proč by volba nemohla zůstat tajná. Pokud volič dostane do ruky kryptografický counter, který buď inkrementuje a "randomizuje" nebo jen "randomizuje", se z výsledku nepozná.

Mi přijde, že si tady dost lidí představuje elektronické volby tak, že prostě zasedneme k počítačům, přihlásíme se do nějaké webové aplikace a klikneme na pár tlačítek. V tomhle ale pointa elektronických voleb neleží, max. těch elektronizovaných.

152

Vývoj / Re:Riemannova hypoteza

« kdy: 25. 09. 2018, 15:12:17 »

Není to tak dlouho, co někde sebrali asi milion veřejných klíčů, a jednoduchým starověkým algoritmem pro nalezení společného dělitele snad polovinu z nich rozlouskli. Vlastně by k tomu stačilo dost velké kuličkové počítadlo! Takže použití již objeveného prvočísla je stoprocentní záruka průseru!

IIRC to bylo řádově méně (2.5 %?), navíc se jednalo převážně o klíče generované na embedded a jiných malých zařízeních s nedostatkem entropie.

Jedním z důsledků je třebas zpočitatelnost prvočísel od-do

Pokud se ten počet neliší od našich dosavadních odhadů o mnoho řádů, tak u nejpoužívanějších schémat nevidím problém. Těch prvočísel je v intervalech, ze kerých se "vybírají" prostě příliš mnoho, ať již ten počet známe přesně či ne.

153

Studium a uplatnění / Re:Kde najít ne-main stream práci / doporučení

« kdy: 22. 09. 2018, 19:52:27 »

Pokud by vám nevadil odklon od embedded třeba k systémovému programování (i třeba v kernelu), tak se dá obvykle sehnat práce u antivirových či jiných firem vyvíjejících bezpečnostní řešení (třeba i DLP).

Pokud chcete více hardware, tak tam moc nevím, mám jen určité informace o SYSGO (ale nevím, zda ještě hledají či zda mají průnik s vašimi schopnostmi).

Co se týče (ne)chození do práce, to už záleží na vás. Pokud si (menší) firma bude myslet, že jste pro ni velkým přínosem, pravděpodobně vám vyjde vstříc, jak jen to půjde.

154

Studium a uplatnění / Re:Ostravská univerzita - Aplikovaná informatika

« kdy: 31. 08. 2018, 23:02:11 »

Matika je u mě docela problém, ale vzhledem k tomu že sem si vybral obor, kde první semestr opakuji část střední, tak to snad dozenu.

Ono i matematické předměty se dají projít bez nutnosti pochopení všeho. Tzn. je otázka, zda-li se jedná skutečně o nepřekonatelnou překážku.

Kamarád dokončil OSU nedávno, teď tam je doktorandem. Co jsem mohl vypozorovat, tak jedním z problémů je nezájem studentů o probírané věci – prostě tam jdou ti, kteří nechtěli na ČVUT/VUT/MINU... a je pro ně asi cennější ten titul než nějaké extra znalosti. To má samozřejmě dopad i na to, co se tam učí (minimálně nepřímo).

Co se týče programování, pokud ti stačí opravdu základy, tak je dostanete, ale to je asi tak všechno, co lze říci. Během studia se týmově pracuje i na ...složitějším.. projektu (myslím, že je na to dvousemestrální předmět), ale vzhledem ke skladbě lidí vidím týmovou práci jako potenciální problém (ano, ten předmět uděláš, ale je otázka, co si z něho odneseš).

Na některé předměty tam prý byli dost nevhodní učitelé, ale to se myslím už změnilo k lepšímu.

Volitelných předmětů je tam opravdu málo. Nepočítejte s tím, že na povinných předmětech se dozvíš něco mimo základy. Cílem těch předmětů je dát základní přehled, k zajímavějším věcem byste se dostal na (povinně) volitelných, kdyby jich existovalo dostatečně široké spektrum. Ano, třeba co se týče sítí, je tam snaha o kvalitní výuku, ale ta naráží na "zájem" studentů (ten předmět musí být tak těžký, aby jej dostatečný počet studentů zvládl).

155

Odkladiště / Re:Digitalizace státní správy - další zásek

« kdy: 31. 08. 2018, 13:42:20 »

To same v zdravotni pojistovne - mam karticku jen na rok, jakozto zahranicni osoba a nejsou schopni ji vystavit znova bez toho, aniz bych se tam objevil osobne.

Tohle bude zřejmě specifické pro cizince. Mně nová kartička přišla automaticky bez jakéhokoliv zásahu z mojí strany (podobně jako chodí bankovní karty).

156

Vývoj / Re:Vývoj pro C99

« kdy: 24. 08. 2018, 00:56:12 »

Tak to jsem vubec netušil, to vypadá to zajímavě.  Umí to i express verze?

Ano, Community verze, kterou lze považovat za nástupce Express, to umí.

Jenže oni používají to jejich AI, jinými slovy tvůj kód jde někam pryč a pak zase zpět.
https://visualstudio.microsoft.com/cs/services/intellicode/

Jestli to čtu správně, jedná se o rozšíření pro C# a Python, tedy ne pro C/C++. Navíc je to rozšíření, tzn. si můžete vybrat, zda jej chcete či nikoliv.

Našeptávání funguje v základu, ale netoleruje překlepy a nevyrovná se kvalitám Visual Assist X (ten je ale placený).

157

Vývoj / Re:Vývoj pro C99

« kdy: 23. 08. 2018, 21:33:06 »

Visual Studio 2017 podporuje programování pro Linux, je jen potřeba při jeho instalaci vybrat příslušný balíček.

Funguje to tak, že se při překladu (a zřejmě i spuštění v debuggeru) zdrojáky nakopírují
 na linuxový server, kde se skrz gcc zkompilují a případně spustí. Myslím, že Visual Studio tam pak používá gdb, takže vás odstíní od "pekla příkazové řádky".

Má to samozřejmě své limity (ta podpora tam myslím není dlouho), ale úspěšně to používám pro ověření, že moje multiplatformní kódy jsou stále multiplatformní co se týče kompilace.

158

Odkladiště / Re:Opensource zloději?

« kdy: 20. 08. 2018, 20:17:28 »

Máte někdo tipy, jaké opatření zavést, aby se tohle pro příště neopakovalo?

Pořád jejich nabídku můžete odmítnout, pokud nenaplňuje vaše představy.

Samozřejmě je otázka, zda-li vám bude stát za to domáhat se nápravy, pokud zjistíte, že si vaše IP "přivlastnili" bez vaše souhlasu.

159

Odkladiště / Re:Ponechání zdrojáků z předchozích zaměstnání

« kdy: 18. 08. 2018, 18:55:12 »

Tak binárky samozřejmě budou jiné, ale to tě nezajímá. Tobě jde o zdroják, který prostě bude v jiné aplikaci dělat něco podobného. Není šance, jak to dokázat.

Záleží na tom, zda by někomu stálo za to dělat analýzu, jak jsou si dvě binárky sémantikcy podobné (popř. implementačně). Jistě, optimalizace překladače tento úkol ztěžují, ale věci jako lokální/globální proměnné a jejich konkrétní použití (to samé může platit pro konstanty) a struktura kódu zůstávají.

Pokud by se jednalo o nějaký unikátní algoritmus, je situace o něco horší (pro tebe).

Netvrdil bych, že to nejde. Jen je třeba se tomu trockhu více věnovat.

----------------

Mně se nestává, že bych mohl nějaký velký kus kódu prostě vzít a použít jinde. Obvykle je možné vzít spoustu malých kousků, trochu je poupravit a spojit (jiným způsobem než předtím) do fungujícího celku. Rozhodně se nejedná o cekou aplikaci.

A u těch malých kousků jsem nikdy neměl problém se dohodnout, že budou třeba open source, protože plní podpůrnou úlohu, která přímo nesouvisí s cílem aplikace.

160

Software / Re:Obnova dat z SD karty

« kdy: 16. 08. 2018, 00:58:48 »

Já myslím, že recuva to dělá tak, že vezme hlavičku souboru a všechno za ní dá do jednoho souboru. Takže pokud je na kartě fragmentace, tak to zamíchá jako pexeso

Pokud rozpozná typ souboru, dokáže fragmentaci detekovat, protože rozpozná, že tam jsou nějaká divná data (samozřejmě záleží na okolnostech). Čím více takových problémů detekuje, tím červenější ikonkou je soubor označen.

Fotky jsem obnovovala zpět na SD kartu no 

Zvláštní, skoro bych od Recuvy čekal, že na takový postup upozorní a zeptá se, zda-li to myslíte vážně. Ale v zásadě se tady už moc dělat nedá, neb mnoho ze smazaných dat bylo přepsáno těmi (jinými) obnovenými.

161

Vývoj / Re:Techniky autentifikace

« kdy: 13. 08. 2018, 19:37:18 »

@anonym:

Pokud se rozhodnete řešit na webu autentizaci pomocí hesel, tak byste měl řešit následující problémy:

1) Čitelnost hesel v databázi
Pokud unikne databáze, uživatele nepotěší, že si útočník jejich hesla rovnou přečte. Hashovací funkce se používají proto, aby čitelná podoba hesla (kterou je třeba dát serveru pro přihlášení) nebyla z databáze zjistitelná. Je dobré zvolit nějakou hashovací funkci považovanou dnes za bezpečnou (naptř. z rodiny SHA-2, tedy SHA224/256/384/512).
Princip je takový, že server přijaté heslo zahashuje a výsledek porovná s tím, co má uložené v databázi.

2) "duhové" tabulky (rainbow tables)

Problém je, že si každý může hashe pro různá hesla předpočítat dopředu, vytvořit si jakousi tabulku dvojic (hash,heslo), tedy vlastně funkci "inverzní" k hashovací. Tím se zahashované heslo uživatele stává čitelné, jakmile se objeví v takové "duhové" tabulce, a tedy jsme v zásadě na začátku (nelze spoléhat, že si uživatelé budou volit hesla, která v předpočítané tabulce nikdy nebudou). A ano, takových tabulek předpočítaných dvojic (hash,heslo) lze najít hromadu, stačí mít jen dostatek diskového prostoru.

Pro vyřešení tohoto problému byla zavedena sůl (salt), tedy náhodně vypadající řetězec (generovaný ideálně náhodně), který se k heslu před hashováním přidá. To znamená, že útočník si nemůže dopředu předpočítat "duhovou" tabulku, protože pro výpočet hashe potřebuje znát sůl.

Další výhoda použití soli spočívá v tom, že uživatelé se stejným heslem budou mít rozdílný hash (pokud budou mít rozdílnou sůl).

Sůl není tajný parametr, takže ji můžete ukládat klidně v databázi. Jen to jen věc přidávající na náhodnosti. Měla by být ale dostatečně náhodná.

3) Vysoký výkon počítačů

I když útočník nemůže využít (díky soli) nějaké již hotové "duhové" tabulky, stále může po nahlédnutí do databáze použít hrubou sílu a pro dvojici (salt, hash) najít vstupní heslo. Samozřejmě za předpokladu, že zná algoritmus hashování a aplikace soli, ale utajování těchto věcí je proti principům dnešní kryptografie (tajné jsou klíče/hesla, ne postupy).

Řešení tohoto problému je v celku přímočaré; použít hashovací funkci, jejíž výpočet trvá velmi velmi dlouho. Uživatel její výpočet pocítí pouze při přihlášení, takže nárůst náročnosti pro něj nepředstavuje problém, i kdyby ten výpočet trval vteřinu. Nejjednodušším způsob, jak zvýšit výpočetní náročnost hashovací funkce, je její iterativní použití (tzn. ji na výsledek používat opakovaně). Stačí jen zvolit vhodný počet iterací (tisíce-statisíce nebudou problém).

--------------

Tak, to bychom měli vhled do problematiky.

--------------

Weby nedělám, ale přijde mi, že v dnešní javascriptové době by se dalo autentizovat i pomocí privátních/veřejných klíčů. Privátní klíč by se mohl generovat z uživatelova jména, hesla (a bhůvíčeho) a mezi serverem a klientem by se pak vyměnila jenom challenge (náhodná data) a response (podpis challenge). Ale určitě už takové věci existují.

162

Windows a jiné systémy / Re:Co se vám nelíbí na Mrkwosoft Windows

« kdy: 12. 08. 2018, 18:16:40 »

A přesně od toho jsou logy. Se stejnou grafikou jsem měl problém i v linuxu. Nejnovější proprietární driver ji nepoznal a X window jely na vese. V standardním logu (dmesg, syslog)  driver jasně zahlásil, že tohle PCI ID nezná a odmítl se loadnout. Jedna konzultace googlu ukázala, že chlapci z Nvidie v něm seznam svých produktů zmrvili a že o verzi starší driver je OK. V linuxu to tedy také nebylo  bez problémů, ale díky rozumným logům bylo za 20 minut hotovo.

Jestli byl na Linuxu problém v tom, že jejich driver neměl někde v konfiguraci napsáno (hardware) ID té karty a vyřešili jste to tak, že jste mu jej tam prostě dopsali, možná by se dalo stejně postupovat i na Windows, pokud se podaří vykuchat jeho instalačku (nebo získat přímo SYS, DLL, INF a CAT soubory, to by bylo nejideálnější). Pak lze to ID zapsat do INF souboru, celou tu věc podepsat a může být vystaráno.

Výše popsaný mechanismus jsem použil u mojí USB -> Ethernet redukce, která je od Apple (takže na fyzických Windows neběžela kvůli neznámému HW ID).

Pokud mi řeknete ID a dáte link na driver té grafiky, tak klidně potřebné úpravy (a podpis) provedu (měl bych se k tomu dostat během pár dní). ID by mělo jít zjistit ze správce zařízení ve vlastnostech té grafiky (i když zařízení není rozpoznáno, ID by to mohlo znát).

Čekal bych tam všechny logy, nejen nějakou kritickou chybu (která tam samozřejmě nebyla).

To pak dost záleží na konkrétních ovladačích, aplikacích a komponentách obecně. Někteří reportují, někteří ne. Pokud chcete více logů, dá se opatřit tzv. checked build Windows, což jsou binárky určené pro ladění. Ale pak těch logů (krom toho, že je pak lepší je zachytávat debuggerem) může být opravdu hodně.

Na linuxu, když nevím a nikde to nenajdu a ze zdrojáků to nedokážu vyčíst, píšu do mailinglistu autorů daného softwaru a téměř vždycky se to vyřeší. Tenhle level supportu mi u win chybí, je to černá schránka plná domněnek, kterou téměř nikdo opravdu nezná.

Je chvályhodné, že takhle postupujete, když narazíte na problém. Bohužel, jak je Windows více rozšířený mezi běžnými uživateli, kteří takto nepostupují, i třeba proto, že mají problém zformulovat, co je špatně (jak tomu systému nerozumí). Pro ně jsou počítače kouzelné krabičky typu blackbox. Množství emailů na takový support by bylo podle mě řádově vyšší a bylo by třeba rozlišovat ty uživatele, kteří "mají možná problém, ale neumí jej popsat/naformulovat, protože kouzelná krabička", a na ty, kteří tomu systému dost rozumějí, takže se s nimi dá dobře spolupracovat na řešení (a s takovými je obvykle spolupráce radostí).

I u IRPMonu jsem dostal pár mailů se stížností, že po kompilaci se nenačte jeho ovladač s chybou 577 (Windows cannot verify digital signature) a že s tím mám něco udělat. Zronva tahle informace je dobře dohledatelná (i vzhledem k cílové skupině projektu), ale stejně se prostě tací najdou.

Netuším, zda to lze ve Steamu nějak měnit. Příště to u standalone hry zkusíme, díky. Jeden velký bordel, tenhle "systém".

To nevím, preferuju GOG. Pokud by se ta hra dala spustit přímo, tak by bylo potřeba najít její "reálné" exe (ne stream launcher) a přejmenovat. Ale nemám možnost nic takového vyzkoušet.

163

Windows a jiné systémy / Re:Co se vám nelíbí na Mrkwosoft Windows

« kdy: 12. 08. 2018, 15:54:44 »

("zařízení nebylo rozpoznáno", přestože to název vypisuje správně, takže PCI identifikace OK

Správce zařízení +- zobrazuje to, co mu ovladač řekne, že má zobrazit za název. K zjišťování této informace dochází dávno předtím, než je zařízení inicializováno, dokonce obvykle dříve, než se pro něj spustí hlavní ovladač (ten, který by se o něj měl starat). Během inicializace (než dojde k úspěšné obsluze "start" požadavku) existuje spousta míst, kde může dojít k selhání.

V systémových logách samozřejmě nic, zda si ten driver loguje něco někam sám, to netuším, centrální adresář pro logy tenhle "systém" nemá.

K logování z kernelu by měl být používán eventlog, jehož úložištěm je registr. Výhoda je, že registr je dostupný pro zápis i při bootu, což pro souborový systém neplatí (zápisy se později zamergují, jakmile je namountován souborový systém). Ale je to zvláštní, minimálně tu chybu 43 bych čekal, že najdete i v eventlogu. Ne že by vám to nějak zvlášť pomohlo.

Já bych na diagnostiku problému použil svoji utilitu IRPMon, ale ta není určená moc pro běžné uživatele (tam leda s dobrým návodem). Dá se pomocí ní zjistit, kde přesně dojde k problému. Alternativně by na 32bitových Windows šel použít IrpTracker od Sysinternals.

P.S.
Zkoušel přejmenovat exe soubor té hry? Pak sice nedostane specifické optimalizace, ale třeba to aspoň nebude padat.

164

Windows a jiné systémy / Re:Co se vám nelíbí na Mrkwosoft Windows

« kdy: 10. 08. 2018, 23:04:55 »

nějaká obdoba SystemTap třeba

SystemTap neznám, ale zřejmě nejblíže jsem mu byl využitím Kernrate. Jinak zřejmě to pravé bude monitorování různých WMI/ETW eventů, na což ale bude ideální najít nějakou speciální aplikaci (neznám, protože jsem toto zatím nikdy nepotřeboval), protože se mi nezdá, že by to nižší edice Windows uměly nějak hezky.

165

Windows a jiné systémy / Re:Co se vám nelíbí na Mrkwosoft Windows

« kdy: 09. 08. 2018, 17:53:51 »

opovaz se chtit pouzivat COM ... jakmile to nekam prepojis, musis vsechno prekonfigurovat protoze se zmeni

Myslíte změnu čísla portu (z COM1 na COM2) třeba? To je právě podobné jako písmena disků → aplikace by měly přijímat notifikace o device interfaces (RegisterDeviceNotification, IoRegisterPlugPlayNotification) a ne stylem pokus/omyl testovat, zda existují symlinky COM0-COM255. Podobně platí pro disková zařízení.

Pravda ale je, že takový způsob není zrovna přenositelný na jiné operační systémy (kdežto zařízení comX bude existovat i jinde).