форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от opennews on 20-Сен-11, 10:29
Тай Данг (Thai Duong) и Джулиано Риццо (Juliano Rizzo), известные исследователи компьютерной безопасности, обладатели премии Pwnie Awards 2011 (https://www.opennet.ru/opennews/art.shtml?num=31407) за разработку метода компрометации приложений ASP.NET, намерены (http://threatpost.com/en_us/blogs/new-attack-breaks-confiden...) на конференции Ekoparty 7 (http://www.ekoparty.org/2011/juliano-rizzo.php) раскрыть завесу над новым способом атаки на SSL/TLS. Для осуществления атаки подготовлен инструментарий, развиваемый под именем BEAST (Browser Exploit Against SSL/TLS) и позволяющий организовать перехват информации, передаваемой в рамках зашифрованного соединения. В частности, исследователи продемонстрировали успешный перехват защищенной сессии для сервиса PayPal и утверждают, что метод применим и для любых других сайтов. Судя по всему представленная работа является первый удачным методом атаки против TLS 1.0 и SSL 3.0, позволяющим ра... URL: http://threatpost.com/en_us/blogs/new-attack-breaks-confiden... Новость: https://www.opennet.ru/opennews/art.shtml?num=31797
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Представлен первый успешный способ атаки на SSL/TLS"	+7 +/–
Сообщение от jedie on 20-Сен-11, 10:29
Это серьезно.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	2. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Онаним on 20-Сен-11, 10:38
	При таком количестве условий, при которых возможна атака, она становится *очень* трудно осуществимой.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	4. "Представлен первый успешный способ атаки на SSL/TLS"	+8 +/–
	Сообщение от Rom1 (ok) on 20-Сен-11, 10:47
	Т.е. при тщательной подготовке все-таки возможна.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	60. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 14:46
	А до выхода нового протокола NoScript лишний раз нам друг и товарищ, так что посторонние iframe'ы - пролетают.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	19. "Представлен первый успешный способ атаки на SSL/TLS"	–1 +/–
	Сообщение от jedie on 20-Сен-11, 11:09
	Не вижу каких то больших условий. Встраиваем IFRAME. В каком то левом сайте. И все другие SSL можно читать?
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	41. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от koloboid (ok) on 20-Сен-11, 12:24
	> Не вижу каких то больших условий. Встраиваем IFRAME. В каком то левом > сайте. И все другие SSL можно читать? нет
	Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

	45. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от ммм on 20-Сен-11, 13:05
	>> Не вижу каких то больших условий. Встраиваем IFRAME. В каком то левом >> сайте. И все другие SSL можно читать? > нет А почему это нет???
	Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

	52. "Представлен первый успешный способ атаки на SSL/TLS"	+2 +/–
	Сообщение от follow_me on 20-Сен-11, 13:21
	Потому что должен быть подконтрольный шлюз через который ходит жертва в интернет через который можно снифать трафик то есть одно из минимальных условий то, что злоумышленник должен контролировать шлюз вашего провайдера или WiFi через который выходит человек это более серьезное условие чем просто IFRAME хотя самое страшное то что позволит к примеру самим операторам снифать защищенный трафик и дешифровать его. И инъекция постороннего кода для них не составит проблем
	Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

	59. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 14:33
	> Потому что должен быть подконтрольный шлюз через который ходит жертва в интернет > через который можно снифать трафик > то есть одно из минимальных условий то, что злоумышленник должен контролировать шлюз > вашего провайдера или WiFi через который выходит человек > это более серьезное условие чем просто IFRAME > хотя самое страшное то что позволит к примеру самим операторам снифать защищенный > трафик и дешифровать его. И инъекция постороннего кода для них не > составит проблем Цена вопроса - пятсот баксов сисадмину провайдера. И все. Продаются все. Вопрос лишь в цене.
	Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

	61. "Представлен первый успешный способ атаки на SSL/TLS"	+4 +/–
	Сообщение от Michael Shigorin (ok) on 20-Сен-11, 14:47
	> Продаются все. Вопрос лишь в цене. Нет.
	Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

	99. "Представлен первый успешный способ атаки на SSL/TLS"	–2 +/–
	Сообщение от Аноним (??) on 20-Сен-11, 17:13
	Твои хотелки, Майк, не есть реальность. К сожалению. Я бы тоже хотел, чтобы был мир во всем мире и у баб было в груди сердце, а не контрольно-кассовая машина. Но увы. Не за пятьсот - так за пять штук любой админ продастся. За пятьдесят. "Кто вы такая, мадам, мы уже выяснили. Осталось договориться о цене".
	Ответить | Правка | ^ к родителю #61 | Наверх | Cообщить модератору

	107. "Представлен первый успешный способ атаки на SSL/TLS"	+3 +/–
	Сообщение от Michael Shigorin (ok) on 20-Сен-11, 17:52
	> Твои хотелки, Майк, не есть реальность. Хотелки хотелками, а ответ на утверждение остаётся в силе. > Не за пятьсот - так за пять штук любой админ продастся. За пятьдесят. Мне известны не продавшиеся за миллионы, чего достаточно для признания и этого утверждения ложным.  Из чего притом не следует, что продающихся за поржать не существует...
	Ответить | Правка | ^ к родителю #99 | Наверх | Cообщить модератору

	109. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Anonymouse on 20-Сен-11, 18:36
	>продающихся за поржать В фортунки!!!!!!! :)
	Ответить | Правка | ^ к родителю #107 | Наверх | Cообщить модератору

	115. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Анонимоус on 20-Сен-11, 21:32
	Я являюсь начальником IT отдела у ISP. Провернуть подобное, в масштабах всей сети, могут 3 человека. Провернуть подобное, в масштабах одного/нескольких домов, могут около 30 человек подрядчика, занимающиеся монтажом оптики и свичей в домах. Огромное количество народа может зайти на чердак, врезать в витую пару точку доступа wi-fi и получать информацию из интересующей квартиры.
	Ответить | Правка | ^ к родителю #61 | Наверх | Cообщить модератору

	63. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 14:48
	> Цена вопроса - пятсот баксов сисадмину провайдера. И все. Продаются все. Вопрос лишь в цене. А также: 1) Фиктивная точка доступа. 2) Флуд свичей и спуфинг 3) Просто наглейший MITM. Даже нахаляву можно проскочить.
	Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

	85. "Представлен первый успешный способ атаки на SSL/TLS"	+5 +/–
	Сообщение от ezhik on 20-Сен-11, 16:36
	> пятсот баксов сисадмину провайдера За недельную зарплату получить вполне реальный шанс оказаться на нарах с переломанными ногами мечтает каждый сисадмин. Вы путаете мелкую пакость надоевшему работодателю и конкретный криминал. Среди сисадминов (точнее сетевых админов) потенциальных уголовников я не видел.
	Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

	101. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 17:15
	>> пятсот баксов сисадмину провайдера > За недельную зарплату получить вполне реальный шанс оказаться на нарах с переломанными > ногами мечтает каждый сисадмин. (холодно) Я видел, как сисадмин за угрозу сесть вполне легально открывает доступ. Товарищам в погонах. И как такой же всего за паршивые сто баксов раскрывает конфиденциальные данные. Мне известны случаи бесследного исчезновения сисадминов. Редкие. Но также известны случаи их внезапного обогащения и ПМЖ в теплых краях. > Вы путаете мелкую пакость надоевшему работодателю и конкретный криминал. Среди сисадминов > (точнее сетевых админов) потенциальных уголовников я не видел. А я на луне флага США не видел. Его там нет?
	Ответить | Правка | ^ к родителю #85 | Наверх | Cообщить модератору

	140. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Тоже аноним on 21-Сен-11, 17:51
	> А я на луне флага США не видел. Его там нет? <offtopic>Почти уверен, что нет</offtopic>
	Ответить | Правка | ^ к родителю #101 | Наверх | Cообщить модератору

	74. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от linalex (ok) on 20-Сен-11, 15:10
	Не забывайте о не зашифрованном WiFi - а такие мети стоят в большинстве публичных/бесплатных сетей во всевозможных заведениях. И такой трафик может перехватить кто угодно, и не нужен подконтрольный шлюз.
	Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

	84. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от ezhik on 20-Сен-11, 16:29
	Вы уверены, что когда мне нужно будет провести банковскую транзакцию или для чего то другого воспользоваться SSL, я пойду в публичное заведение пользоваться бесплатным WiFi. Вопрос насколько сложно воспользоваться этой уязвимостью в реальных условиях.
	Ответить | Правка | ^ к родителю #74 | Наверх | Cообщить модератору

	88. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 16:45
	> Вы уверены, что когда мне нужно будет провести банковскую транзакцию или для > чего то другого воспользоваться SSL, я пойду в публичное заведение пользоваться > бесплатным WiFi. С развитием online-банкинга уже типично перед покупкой залезть со смартфона/планшета и проверить сколько денег лежит на карте и при необходимости докинуть с отдельного счета. WebMoney и ЯндексДеньги тоже многие с телефонов пользуются.
	Ответить | Правка | ^ к родителю #84 | Наверх | Cообщить модератору

	104. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 17:23
	Если у тебя не будет ДРУГОЙ возможности провести транзакцию, а транзакцию провести КОНКРЕТНО НУЖНО СЕЙЧАС - пойдешь как миленький.
	Ответить | Правка | ^ к родителю #84 | Наверх | Cообщить модератору

	23. "Представлен первый успешный способ атаки на SSL/TLS"	+3 +/–
	Сообщение от Аноним (??) on 20-Сен-11, 11:13
	> При таком количестве условий, при которых возможна атака, она становится *очень* трудно > осуществимой. Ну-ну. При цене вопроса - "перехват банковской сессии" - можно выполнить ЛЮБОЕ количество условий.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	51. "Представлен первый успешный способ атаки на SSL/TLS"	+3 +/–
	Сообщение от Онаним on 20-Сен-11, 13:20
	Там еще трафик надо контролировать... Думается мне - проще трояна подсадить на нужную машину и снять с нее пароли. Или, удаленно управляя, совершить транзакцию.
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

	58. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 14:32
	Большая проблема создать фиктивную точку доступа WiFi? На которую затянуть соединение жертвы?
	Ответить | Правка | ^ к родителю #51 | Наверх | Cообщить модератору

	76. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Rom1 (ok) on 20-Сен-11, 15:20
	К сожалению это сделать чуть ли не проще чем JavaScript в IFRAME...
	Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

	87. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от ezhik on 20-Сен-11, 16:42
	> Большая проблема создать фиктивную точку доступа WiFi? Как два пальца... - Семеныч, ну чо ты уже перевел лимон баксов кому надо? - Нее, Петрович, мне до офиса доехать надо. - Да ладно, тебе, время - деньги. У тебя же банк-клиент через веб работает. Зайди в ближайшую кафешку, они все с WiFi'ем, да проведи транзакцию. А в параллельном табе посмотришь фотки с порносайта, я тебе щас ссылку кину. Тока там надо с JavaScript'ом смотреть. - А ну тада канешна, ща сделаю. С какого перепуга жертва ломанется на твой WiFi?
	Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

	92. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 17:02
	> С какого перепуга жертва ломанется на твой WiFi? Не ломанется на WiFi так кабель в подьезде/подвале/люке разрезать не долго
	Ответить | Правка | ^ к родителю #87 | Наверх | Cообщить модератору

	105. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 17:24
	>> С какого перепуга жертва ломанется на твой WiFi? > Не ломанется на WiFi так кабель в подьезде/подвале/люке разрезать не долго Повторяю для тех, кто на бронепоезде. Все зависит от ЦЕНЫ ВОПРОСА. "За червонец потийский полицмейстер разденется" (С). Не я сказал. И кабель разрежут, и ТД поставят и на криминал любой пойдут. Цена вопроса.
	Ответить | Правка | ^ к родителю #92 | Наверх | Cообщить модератору

	77. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Аноним (??) on 20-Сен-11, 15:28
	> При таком количестве условий, при которых возможна атака, она становится *очень* трудно > осуществимой. Собирать аккаунты можно элементарно. Создаешь свою точку доступа к каком-нибудь торговом центре с кафешками и делаешь Captive Portal для входа, на который вешаешь нужный JavaScript. Все условия выполнены.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	89. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от ezhik on 20-Сен-11, 16:49
	И зачем тебе в таких условиях SSL ломать? Ты насобираешь паролей от кучи аккаунтов пользователей (они у них везде одинаковые). Только ни один из них не даст тебе доступа к сколько нибудь денежной информации, потому как в банковских личный кабинет никто не пойдет из WiFi торгового центра (ни через SSL ни без него). P.S. Если тебя поймают, разбираться ты будешь не с милицией, а с бандитами-охранниками ТЦ, только после этого тебя отвезут в "дружественное" начальнику охраны ТЦ отделение милиции.
	Ответить | Правка | ^ к родителю #77 | Наверх | Cообщить модератору

	102. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 17:17
	> И зачем тебе в таких условиях SSL ломать? Ты насобираешь паролей от > кучи аккаунтов пользователей (они у них везде одинаковые). Только ни один > из них не даст тебе доступа к сколько нибудь денежной информации, > потому как в банковских личный кабинет никто не пойдет из WiFi > торгового центра (ни через SSL ни без него). Ты точно уверен, что не пойдет? Бывают совершенно патовые ситуации, когда НАДО, понимаешь? НАДО срочно. И ничего нет. Куда ты, милый, денешься? > P.S. Если тебя поймают, разбираться ты будешь не с милицией, а с > бандитами-охранниками ТЦ, только после этого тебя отвезут в "дружественное" начальнику > охраны ТЦ отделение милиции. "Если" - хорошее слово. Кстати, не повезут. Бесследно исчез человек. Так бывает.
	Ответить | Правка | ^ к родителю #89 | Наверх | Cообщить модератору

	121. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним Ус (ok) on 21-Сен-11, 02:28
	В реальных условиях наверное целая контора нужна для организации такой атаки. Один кабель режит, другой яваскрипт "социалит"... С другой стороны если протокол дырявый ( условно говоря ), и дело по его изменению упёрлось только в несколько программ, так вроде очевидно, что протокол просто необходимо как минимум коррегировать, а как максимум постараться разработать более надёжный.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	123. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от jedie on 21-Сен-11, 05:48
	Как минимум нужно разработать более надежный.
	Ответить | Правка | ^ к родителю #121 | Наверх | Cообщить модератору

	46. "Представлен первый успешный способ атаки на SSL/TLS"	+2 +/–
	Сообщение от ezhik on 20-Сен-11, 13:05
	То есть теперь, чтобы зайти в банковский аккаунт, нужно закрыть браузер (чтобы не осталось недозакрытых скрытых IFrame), открыть его с единственной вкладкой, залогиниться в банк и никаких других вкладок с JavaScript не открывать. Так как банк вряд ли встроит IFrame с кодом подбирающим куку, то все пройдет безопасно (подбирать данные для авторизации будет некому). Не очень удобно, если в другой вкладке нужно открыть страницу с данными для перевода денег, но безопасно.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	122. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним Ус (ok) on 21-Сен-11, 02:31
	Одно окно браузера, "NoScript", плюс только минимально необходимое время в сети.
	Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

3. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от Аноним (??) on 20-Сен-11, 10:41
не открывая левых окон можно не особо беспокоиться за шифрование...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	13. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Аноним (??) on 20-Сен-11, 11:05
	<iframe> же
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	40. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от koloboid (ok) on 20-Сен-11, 12:24
	iframe еще и внедрить надо
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	81. "Представлен первый успешный способ атаки на SSL/TLS"	–1 +/–
	Сообщение от aaa (??) on 20-Сен-11, 16:02
	что там внедрять? подменяем скрип рисующий популярные нынче кнопочки, типа "добавит в твитер, facebook i like,  и т п" который обычно сами не пишут...
	Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

5. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от vadiml (ok) on 20-Сен-11, 10:47
Как я понимаю, полная изоляция вкладок броузера друг от друга в значительной степени уменьшает вероятность перехвата.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	6. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от anonymous (??) on 20-Сен-11, 10:50
	А что они не изолированы? Какой ужас.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	66. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 14:51
	> А что они не изолированы? Какой ужас. Да просто конекция реюзается, на свою задницу. Оптимизация скорости выходит боком.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	7. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 10:54
	> Как я понимаю, полная изоляция вкладок броузера друг от друга в значительной > степени уменьшает вероятность перехвата. Изоляция вкладок не поможет, все равно почти все браузеры для одного сайта, открытого несколько раз в разных вкладках, данные будут слать через одно уже установленное SSL-соединение.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	24. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 11:22
	У Хромиума, вроде как, задавалось с командной строки, per-tab или per-site. Или это касалось только rendering'а?
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	34. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Имя on 20-Сен-11, 11:43
	Да, это только рендеринг. С private prowsing попутали, небось.
	Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

	8. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Andrey Mitrofanov on 20-Сен-11, 10:56
	> Как я понимаю, полная изоляция вкладок броузера друг от друга в значительной > степени уменьшает вероятность перехвата. Угу, щаз. Изолировать надо ключи и локальный сторадж... Корочч -- по отдельному бровзеру и профилю для каждого сайта. И ни-ни по ссылкам ходить... или скрытые фреймы открывать, или джаваскрипт пускать, или........ :(
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	11. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Дмитрий (??) on 20-Сен-11, 11:01
	Ну на самом деле вкладки и так изолированы друг от друга, если бы было не так то любой сайт мог был явой забирать куки любого другого моего сайта... Как-то-так. Та, насколько я понял, в другой вкладке ява-код просто генерирует заведомо известные шифрованные блоки... и дальше я не понял.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	20. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от cmp (ok) on 20-Сен-11, 11:11
	Написанно коряво, суть в отправки данных js со страницы одного сайта в контексте другого как фишки браузера - объединение сессий, и тут как раз "межсайтовый скриптинг" должен спасти (или как его там), но есть методы обхода его вполне официальные. Остается еще "защита" по проверки рефферов, но большенство серверов ее не используют А красиво предумали.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	57. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от samm (ok) on 20-Сен-11, 14:29
	Реферрер не спасет, так как его проверка возможно только ПОСЛЕ установки ссл сессии и отправки текста.
	Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

	90. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от cmp (ok) on 20-Сен-11, 16:56
	Дык перехват и происходит после установки сессии, а реферер скажет - есть ли прешедший пакет хакерский вброс с целью взлома с левого сайта; или пользователь кнопку обновить нажал.
	Ответить | Правка | ^ к родителю #57 | Наверх | Cообщить модератору

9. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от koloboid (ok) on 20-Сен-11, 10:56
хреново блин. кастую TLSv2. >осуществляется выполнение сниффера перефразируйте пожалуйста, не по-русски оно.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	49. "Представлен первый успешный способ атаки на SSL/TLS"	+5 +/–
	Сообщение от Cub (ok) on 20-Сен-11, 13:19
	А "кастую" типа по-русски? :)
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	56. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от solardiz (ok) on 20-Сен-11, 14:24
	> кастую TLSv2. Уже есть TLS 1.1+: https://secure.wikimedia.org/wikipedia/en/wiki/Transport_Lay... "TLS 1.1 was defined in RFC 4346 in April 2006. It is an update from TLS version 1.0. Significant differences in this version include:     * Added protection against Cipher block chaining (CBC) attacks.           o The implicit Initialization Vector (IV) was replaced with an explicit IV.           o Change in handling of padding errors." Эту и другие полезные ссылки привели в этой дискуссии: http://www.reddit.com/r/netsec/comments/kl1lr/hackers_break_.../ В том числе: http://www.mail-archive.com/openssl-dev@openssl.org/msg... 2002-й год, проблема с IV уже была известна. (Но новость серьезная - одно дело кусочек теории, а другое - практически продемонстрированная атака на реальные веб-сайты.)
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

10. "Представлен первый успешный способ атаки на SSL/TLS"	–2 +/–
Сообщение от дикий анон on 20-Сен-11, 11:00
NoScript спасет отцов русской демократии.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	12. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Дмитрий (??) on 20-Сен-11, 11:02
	нет
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	15. "Представлен первый успешный способ атаки на SSL/TLS"	–3 +/–
	Сообщение от Корж on 20-Сен-11, 11:06
	Ага. То-то я смотрю на нем щас все переписывают. Начиная от qt и заканчивая целыми десктопами. Пре приложения вообще переписывают на js, перенося их в браузер. Такими темпами я думаю через 5 лет не останется ничего бинарного, все будет на жаваскриптах и дотнетах.
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	73. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Макс (??) on 20-Сен-11, 15:07
	на чём переписывают?
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	21. "Представлен первый успешный способ атаки на SSL/TLS"	–1 +/–
	Сообщение от Аноним (??) on 20-Сен-11, 11:12
	Не спасет. Принципиальная уязвимость реализации костылем не закрывается. No Script - костыль, к тому же бесполезный. Открой для себя по меньшей мере половину сайтов инета, которые без JS не функциональны. Вообще. Как минимум навигация пишется на JS. И как тебе Web 1.0 по W3C без JS вообще? Опаньки? Ну или кактус тебя устраивает?
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	28. "Представлен первый успешный способ атаки на SSL/TLS"	+4 +/–
	Сообщение от Lain_13 on 20-Сен-11, 11:35
	Пользователи ноускрипта просто разрешают нужные сайты. Нормальные люди навигацию на сайте жестко завязанную на JS или, боже упаси, Flash не делают (если сайт не целиком на флэше). Так что лазить по инету без скриптов и разрешать их только на сайтах (или с сайтов), которым доверяешь, не такая и большая проблема как кажется. Я им пользовался некоторое время. Более того, можно настроить NoScript так, что он автоматически разрешаеет все скрипты с текущего домена или субдомена. Правда что б пользоваться этим режимом нужно понимать, что по левым ссылкам ходить с ним чревато, но зато все эти упоротые менюшки на скриптах гарантированно будут работать. Фишка ноускрипта в том, что он позволяет ограничить выполнение скриптов только скриптами с определённых сайтов и если браузер пытается скачать скрипт из не доверенного источника, то он и не выполняется. В случае с iframe подразумевается встраивание одного сайта в другой. В такой ситуации даже если скрипты будут разрешены на текущем сайте они не будут работать во фрейме (если он не с того же сайта). Это конечно костыль в данном случае, но крайне эффективный иснтрумент если хочется избавиться от здоровенной части рекламы и трекинга в интернете. А если учесть, что он ещё и умеет работать в режиме флэшблока разрешая выполнение флэш-роликов только по запросу пользователя…
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	30. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Аноним (??) on 20-Сен-11, 11:39
	> Я им пользовался некоторое время. И почему же перестал?
	Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

	47. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 13:18
	А что, AdBlock и Squid уже отменили с баннерорезками?
	Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

	130. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от XoRe (ok) on 21-Сен-11, 12:31
	> А что, AdBlock и Squid уже отменили с баннерорезками? Squid - редкое явление у крупных провайдеров и просто на безлимитных тарифах. Тем более настройка сквида для резки баннеров. Не знаю, используется ли он ещё у буржуев (когда 30 мегабит за 50$ - накой там squid?).
	Ответить | Правка | ^ к родителю #47 | Наверх | Cообщить модератору

	70. "Представлен первый успешный способ атаки на SSL/TLS"	–1 +/–
	Сообщение от Кирилл (??) on 20-Сен-11, 15:02
	Хомяки и слов таких не знают, а именно они создают основной вал инет-торговли.
	Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

	75. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Xasd (ok) on 20-Сен-11, 15:15
	> Нормальные люди навигацию на сайте жестко завязанную на JS <...> не делают связанно это только-ЛИШЬ с тем что есть опасность неработоспособности такого сайта на MsIE (и Opera, конешноже, как лучший друг IE :)) еслибы не MsIE -- то давным давно-бы маршрутизация сайта переехала-бы из серверной части на клиенскую часть (тоесть переехалабы на Javascript, и все странички выглядилибы как -- my-site.org/#!/my_first_page , my-site.org/#!/my_first_page/sub_page , my-site.org/#!/my_second_page , my-site.org/#!/my_second_page/+param_name/param_value , ... ) ....этобы одновременно: 1. разгрузило-бы серверную часть (которая по большей части -- занималась-бы только обеспечением связи с [моделью, из Model-View-Controller] базой данных для XMLHttpRequest-запросов) 2. и ускорилобы работу навигации сайтов на клиенской стороне -- так как шаблонизатор (визуальный стиль сайта) и маршрутизация/навигация -- полностью отрабатывались-бы локально на компьютере 3. многократно ускорило-бы работу выдачи сетевого-трафика из сервера, так как весь НЕ-динамический контент может отдаваться крайней-эффективным способом (или не передаваться вообще, если уже таковой есть в кэше на клиенской стороне) по сравнению с этими ПыхПых-скриптами (которые на каждый запрос генерируют кучу одних и техже действий, а потом ещё и передают данные которые на 75% "оказываются" точ-в-точ как и данные из прошлого запроса... где эффективность??? :):)).. ---------- и только (повторюсь ещё раз) скажите спасибо говнобраузеру (и его говнокомпании) Microsoft Internet Explorer :-) , за то что вы до сих можете лазить по интернетам через свои NoScript-плугины :-D
	Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

	33. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 11:42
	>И как тебе Web 1.0 по W3C без JS вообще? Кошерно. Почитай комменты к новости про браузер Dillo.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	48. "Представлен первый успешный способ атаки на SSL/TLS"	+3 +/–
	Сообщение от MrClon on 20-Сен-11, 13:19
	> Не спасет. Принципиальная уязвимость реализации костылем не закрывается. No Script - костыль, > к тому же бесполезный. Открой для себя по меньшей мере половину > сайтов инета, которые без JS не функциональны. Вообще. Как минимум навигация > пишется на JS. И как тебе Web 1.0 по W3C без > JS вообще? Опаньки? Ну или кактус тебя устраивает? Уже довольно давно пользуюсь NoScript. Большинство юзабельны без JS (да, кое что расползается и нет некоторых свистоперделок, ну и что). Ну и выборочных разрешений для доверенных сайтов никто не отменял.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	62. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 14:48
	>> Не спасет. Принципиальная уязвимость реализации костылем не закрывается. No Script - костыль, >> к тому же бесполезный. Открой для себя по меньшей мере половину >> сайтов инета, которые без JS не функциональны. Вообще. Как минимум навигация >> пишется на JS. И как тебе Web 1.0 по W3C без >> JS вообще? Опаньки? Ну или кактус тебя устраивает? > Уже довольно давно пользуюсь NoScript. Большинство юзабельны без JS (да, кое что > расползается и нет некоторых свистоперделок, ну и что). > Ну и выборочных разрешений для доверенных сайтов никто не отменял. Да-да, CA тоже доверенные. Как бы. Были. И типа доверенные сайты не ломаются, да?
	Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

	65. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Michael Shigorin (ok) on 20-Сен-11, 14:50
	> Ну или кактус тебя устраивает? Пробовали?
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	100. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 17:13
	Против MITM тебя никакой NoScript не спасет. Просто скрипты будут встраиваться в доверенные тобой страницы, или у тебя все страницы через SSL?
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

14. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от Аноним (??) on 20-Сен-11, 11:06
Интернет давно себя дискредитировал. Создаваясь как средство военной коммуникации, он себя не оправдал уже тогда, и его сбросили нам, чтобы можно бесконтрольно отслеживать все действия людей в Сети. То ли дело фидонет.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	16. "Векторный."	+5 +/–
	Сообщение от Вова on 20-Сен-11, 11:08
	То ли дело векторный гипертекстовый фидонет.
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

	17. "Представлен первый успешный способ атаки на SSL/TLS"	+2 +/–
	Сообщение от Andrey Mitrofanov on 20-Сен-11, 11:08
	>фидонет. Гипертекстовый! Национаолтьный!! С поэтессами...
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

	26. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Аноним (??) on 20-Сен-11, 11:30
	> То ли дело фидонет. Мицгóл, невозбрáнно залогиньтесь ужé! FTN в этом плане на порядок хуже IP. Централизован по самое небалуйся, шифрования (по крайней мере, стандартизированного) на транспортных и протокольных слоях не имеет, для даже самого мягкого реалтайма непригоден, ну и вообще — умер давно, лол.
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

	43. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от ffirefox on 20-Сен-11, 12:42
	> FTN в этом плане на порядок хуже IP. Централизован по самое небалуйся, Можно подробнее с этого места? И что мне мешает делать обмен с любой нодой, если это у ней специально не запрещено? > шифрования (по крайней мере, стандартизированного) на транспортных и протокольных слоях > не имеет Простите, а какие у FidoNet особые транспортные протоколы? Там все основывается на передаче файлов, которые можно носить (и иногда носили) хоть на флопике. А файлы можно шифровать хоть мульен раз >, для даже самого мягкого реалтайма непригоден, ну и вообще Специально для риалтайма есть BBS. А в общем случае, риалтайм определяется шириной канала. Файлики гоняются же. > — умер давно, лол. Вам не мешает и хорошо.
	Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

	67. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 15:00
	> И что мне мешает делать обмен с любой нодой, если это у ней специально не запрещено? Нодой — ничто не мешает, идете, договариваетесь о пиринге, оно работает. Тут у нас F2F, на уровне чисто нод. Хотя остаются еще зона, сеть и поинт в адресе. Об аналоге BGP в FTN можно только мечтать, все на обходе графа бродкастами, хех. > Простите, а какие у FidoNet особые транспортные протоколы? Так в том и прикол, что транспортных нет никаких. Речь была о «стандартизированном», а вся сеть — «мы тут как-то договорились и скрутили проводки». Потому и централизованно, что, вообще говоря, нет метода как-либо соединиться с произвольной нодой. На уровне FTN — вообще, в принципе нет, а на уровне транспортов — нет обобщенного. Соответственно, нет той же децентрализованной мобильности (поинт уехал в другой город, хочет читать свою почту, или enjoy your велосипеды или добро пожаловать в ненавистный Интернет, который умеет маршрутизировать, хехе). Про «протокольные» это я оговорился, имелось в виду, «прикладных». Хотя я сейчас посмотрел на binkp и удивился, оказывается, приделали туда шифрование, наврал я.
	Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

25. "Представлен первый успешный способ атаки на SSL/TLS"	+3 +/–
Сообщение от Аноним (??) on 20-Сен-11, 11:26
Не совсем понятно причём тут сам протокол TLS. Объединять запросы разных вкладок в один сокет — это же фишка конкретных браузеров и соответственно и проблема конкретных браузеров.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	27. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 11:33
	> Не совсем понятно причём тут сам протокол TLS. Вот как бы, да. Например, относится ли все написанное к, например, IMAP4-клиентам, работающим по TLS? Или, если даже касаться браузеров — тех же вебсокетов под TLS'ом (схема wss), где соединение и параметры TLS, вроде бы (не уверен!!!) не шарятся? Вроде как, никак не относится.
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

	80. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Xasd (ok) on 20-Сен-11, 15:49
	>> Не совсем понятно причём тут сам протокол TLS. > Вот как бы, да. Например, относится ли все написанное к, например, IMAP4-клиентам, > работающим по TLS? Или, если даже касаться браузеров — тех же > вебсокетов под TLS'ом (схема wss), где соединение и параметры TLS, вроде > бы (не уверен!!!) не шарятся? Вроде как, никак не относится. на самом деле тоже относится... ...но просто должнабыть какаято другая схема экплоита (чем в www-браузере) сутьто ясна: недоработка с вектором инициализации в TLS, поэтому имея возможность подставлять свой собственный (эталонный) открытый-текст и видить каким он получается в зашифрованном-виде -- мы [при определённых условиях] имеем возможность угадывать подобные зашифрованные блоки что например если я [теоретически... это ещё надо до-продумать :)] отправлю несколько огромных писем с эталонными данными... а потом проснифлю зашифрованный трафик IMAP? например, по криптоактвности (большая порция данных) я могу почти-достоверно определить что "вот щаз качается моё огромнное письмо" ну и т д ...
	Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

	86. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 16:38
	> недоработка с вектором инициализации в TLS А оно вообще в принципе доработано может быть ? Насколько мне известно оно надо лишь для того чтобы данные не шифровались совсем уж прямо на основе открытого ключа, т.е. таким образом создается сессионный ключ, небольшое усложнение, но в случае перебора оно ни коим образом не помогает, грубо говоря криптостойкость ключа от того что вы его сгенерируете на основе других данных не измениться (не учитывая коллизий), если вам известны исходные данные то ключ относительно легко вычислить, алгоритм то открыт.
	Ответить | Правка | ^ к родителю #80 | Наверх | Cообщить модератору

	93. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Xasd (ok) on 20-Сен-11, 17:02
	вектор инициализации не связан с генерацией ключей... ...(он используется в процессе шифрования), и нужен для того чтобы одни и теже зашифрованные-блоки открытого-текста (находящиеся в одном и томже месте зашифрованного сообщения, тобишь в данном случае в начале запроса) -- получались-бы каждый раз разными а раз блоки получатся разными -- то вероятность одинаковых блоков (например при CBC-режиме-шифрования) уменьшается при увелечении размера блоков (например AES-256 имеет меньшею вероятность получения повторяющихся зашифрованных-блоков, чем AES-128)
	Ответить | Правка | ^ к родителю #86 | Наверх | Cообщить модератору

	108. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 18:16
	> вектор инициализации не связан... Насколько я понимаю расшифровка (определение ключа) идет не на основе нахождения одинаковых блоков а на основе перебора - сопоставления известных исходных данных возможным вариантам их шифровки исходя из алгоритма шифрования. Алгоритм шифрования и вектор инициализации нам также известны как и сами данные, поэтому перебор можно существенно сократить. Вопрос в том на сколько существенно. Усложнение алгоритма/инициализации приводит к тормозам при шифровке/дешифровке, значит сильно их не усложнишь, а значит имея исходные данные и зная соответствующие особенности расшифровать за приемлемое время можно. Уж не знаю насколько это верное утверждение, в криптоматематике не силен, но спецы наверное не зря такого сочетания побаиваются.
	Ответить | Правка | ^ к родителю #93 | Наверх | Cообщить модератору

	91. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Moomintroll (ok) on 20-Сен-11, 17:01
	> что например если я [теоретически... это ещё надо до-продумать :)] отправлю несколько огромных писем с эталонными данными... а потом проснифлю зашифрованный трафик IMAP? SMTP-сервер добавит к Вашим письмам с эталонными данными совсем не эталонные заголовки непредсказуемой длины, что очень сильно осложнит жизнь. А приличная хеш-функция, если мне не изменяет склероз, должна при изменении одного бита во входных данных изменить не менее половины бит в результирующем хеше. Т.е. при шифровании письма целиком с заголовками и без, результат не будет иметь ничего общего... > например, по криптоактвности (большая порция данных) я могу почти-достоверно определить что "вот щаз качается моё огромнное письмо" Неее... Это я отправляю home video своему корешу... ;-)
	Ответить | Правка | ^ к родителю #80 | Наверх | Cообщить модератору

	95. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Xasd (ok) on 20-Сен-11, 17:05
	> SMTP-сервер добавит к Вашим письмам с эталонными данными совсем не эталонные заголовки непредсказуемой длины эт Вы верно подметили... один такой случайный заголовок (находящийся ПЕРЕД данными) -- напрочь вероятнее всего испортит всю идею. ...но яже так и написал: что нужно-додумать-всё-это :-) вдруг например случайные заголовки окажутся не такими уж и "случйными" %) %) %)... или ещё чтонибудь всплывёт..... :)
	Ответить | Правка | ^ к родителю #91 | Наверх | Cообщить модератору

29. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от Аноним (??) on 20-Сен-11, 11:38
>только переход на новый протокол Ура! Давно пора.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

31. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от Аноним (??) on 20-Сен-11, 11:41
Зачем такие сложности? Headless webkit публичная точка доступа wifi репроксирование без ssl ... Profit. Намного проще.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	96. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от KOL (ok) on 20-Сен-11, 17:09
	>репроксирование без ssl Честно говоря не понял. Если удаленный узел принудительно перенаправляет соединение на https, то что Вы с этим будете делать?
	Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

	116. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от zerot (ok) on 20-Сен-11, 21:46
	отвечая на ваш вопрос что делать можно - ну, тут в одной недетской конторе безопасность додумалась подменять сертификаты то есть идёте вы скажем в гугловую почту по https, а вам говорят - надо бы принять сертификат ... - вы его качаете, смотрите - вроде навскидку "по диагонали" правильно всё ... и в большинстве случаев жмёте "принять" - а если посмотреть кто удостоверяет его - окажется что якобы какой нибудь Microsoft, что уже странно. Но дальше оказывается, что этот издательский микрософтовый сертификат подписан самоподписанным сертификатом локальной конторы, который честно растиражирован на рабочие машины пользователей этой конторы как доверенный - как результат шибко умный сервер безопасников имеет весь контент в нешифрованном виде, пользователи не замечают лапшу на ушах и большого брата в личной переписке ... правильно, не фиг служебное железо использовать в личных целях :) - похожую схему можно выстроить и от провайдера, обязав разместить в доверенных издателях сертификат провайдера - например для личного кабинета
	Ответить | Правка | ^ к родителю #96 | Наверх | Cообщить модератору

	119. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от KOL (ok) on 20-Сен-11, 23:31
	> отвечая на ваш вопрос что делать можно > ... > похожую схему можно выстроить и от провайдера, обязав разместить в доверенных издателях > сертификат провайдера - например для личного кабинета Навскидку, разместить iframe в том же личном кабинете провайдера гораздо проще, чем обязать юзеров использовать самоподписанные сертификаты. Ведь в большинстве атак получение cookies является достаточным для дальнейших действий.
	Ответить | Правка | ^ к родителю #116 | Наверх | Cообщить модератору

	139. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Chief Security II on 21-Сен-11, 15:39
	> отвечая на ваш вопрос что делать можно Но дальше оказывается, что этот издательский микрософтовый > сертификат подписан самоподписанным сертификатом локальной конторы, который честно растиражирован > на рабочие машины пользователей этой конторы как доверенный > - > как результат шибко умный сервер безопасников имеет весь контент в нешифрованном виде, > пользователи не замечают лапшу на ушах и большого брата в личной > переписке ... правильно, не фиг служебное железо использовать в личных целях > :) > - > похожую схему можно выстроить и от провайдера, обязав разместить в доверенных издателях > сертификат провайдера - например для личного кабинета Какой онанизм! В условиях конторы на комп пользователя политиками ставится кейлогер, типа Employee Monitor, коих чуть больше чем много. Есть под все платформы. Заодно они еще и зарплату считают.
	Ответить | Правка | ^ к родителю #116 | Наверх | Cообщить модератору

32. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
Сообщение от Аноним (??) on 20-Сен-11, 11:42
Разве возможность зашифровать данные, посмотреть результат шифрования и НЕ узнать ключ не является одним из правил криптографии? Или тут не об этом?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	42. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 12:29
	> Разве возможность зашифровать данные, посмотреть результат шифрования и НЕ узнать ключ > не является одним из правил криптографии? Или тут не об этом? В данном случае незашифрованные данные известны, их генерирует используемый для атаки JavaScript.
	Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

36. "Представлен первый успешный способ атаки на SSL/TLS"	+3 +/–
Сообщение от Yakov Markovitch on 20-Сен-11, 11:50
> Тай Данг (Thai Duong) и Джулиано Риццо (Juliano Rizzo) Прошу прощения, но он не Тай Данг, а Тхай Дыонг. Поправьте, пожалуйста, если можно.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	110. "Представлен первый успешный способ атаки на SSL/TLS"	–1 +/–
	Сообщение от fi (ok) on 20-Сен-11, 18:49
	Откуда такая информация? в языках от латинского в 'Th' 'h' не читается. И обычно звучит как 't', разве только в английском чуть по другому.
	Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

	114. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от sndev (ok) on 20-Сен-11, 19:36
	C каких пор китайский берет начало в латинском языке ? :D
	Ответить | Правка | ^ к родителю #110 | Наверх | Cообщить модератору

	145. "Представлен первый успешный способ атаки на SSL/TLS"	–1 +/–
	Сообщение от fi (ok) on 22-Сен-11, 12:45
	> C каких пор китайский берет начало в латинском языке ? :D А что "Thai" - это китайские иероглифы?
	Ответить | Правка | ^ к родителю #114 | Наверх | Cообщить модератору

	120. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Yakov Markovitch on 20-Сен-11, 23:33
	> Откуда такая информация? в языках от латинского в 'Th' 'h' не читается. > И обычно звучит как 't', разве только в английском чуть по > другому. Это даже не китайский - это вьетнамский. Он вьетнамец. Thái Dương.
	Ответить | Правка | ^ к родителю #110 | Наверх | Cообщить модератору

39. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от Stax (ok) on 20-Сен-11, 12:17
> которые используются атакующим для воссоздания отдельных блоков для шифра TLS/SSL, работающего на базе алгоритма AES Так. А вот, например, если браузер и вебсервер новый (openssl больше какой-то версии), то SSL по умолчанию использует 256-ти битный Camellia, а не AES. Как данная атака к этому относится?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	50. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Аноним (??) on 20-Сен-11, 13:20
	>> которые используются атакующим для воссоздания отдельных блоков для шифра TLS/SSL, работающего на базе алгоритма AES > Так. А вот, например, если браузер и вебсервер новый (openssl больше какой-то > версии), то SSL по умолчанию использует 256-ти битный Camellia, а не > AES. Как данная атака к этому относится? Camellia патентована. И - где она повсеместно на серверах? А - самое главное - проблема не в шифрах, проблема В ПРОТОКОЛЕ. Компренде?
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	98. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Stax (ok) on 20-Сен-11, 17:12
	Ну, любой сервер на текущей версии редхата/центоси/SL как минимум по умолчанию предлагает Camellia из апача ;)  А редхат обычно патентованные алгоритмы вырезает от греха подальше, вон ecc до сих пор в openssl выключена.. То, что проблема в протоколе понятно; непонятно, какую роль тут играет шифр. Как я понял из описания, воссоздать блоки шифрования по контрольным меткам получается используя именно особенности AES.
	Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

	112. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 18:57
	Вот мне тоже это интересно, почему именно AES ? Зная алгоритм шифрования, исходные данные, и результат, подобрать можно только AES или это общая болезнь ? Существует ли такой алгоритм который не ломается относительно быстро если известны исходные данные и сам алгоритм ?
	Ответить | Правка | ^ к родителю #98 | Наверх | Cообщить модератору

44. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
Сообщение от Аноним (??) on 20-Сен-11, 12:59
И всё равно неповоротливые задницы миллиардеров не пошевелятся, чтобы что-то изменить: их всё устраивает. HTML5 не хотят, каким образом повсеместно наступил Web 2.0 даже не знаю. Нужен пинок посильнее, вроде взлома ряда важных клиентов с последующей миграцией на другие способы обеспечения безопасности.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	53. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 13:21
	> И всё равно неповоротливые задницы миллиардеров не пошевелятся, чтобы что-то изменить: > их всё устраивает. HTML5 не хотят, каким образом повсеместно наступил Web > 2.0 даже не знаю. Нужен пинок посильнее, вроде взлома ряда важных > клиентов с последующей миграцией на другие способы обеспечения безопасности. Ты притворяешься или и правда клиника? Сколько времени что-то становится стандартом де-факто? Сколько x500/x509 стандартом становились? Напомнить? И бабло вливалось лярдами, и движущая сила покруче RMS была. И что?
	Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

	111. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от fi (ok) on 20-Сен-11, 18:53
	> Сколько x500/x509 стандартом становились? Напомнить? И бабло вливалось лярдами, и движущая  сила покруче RMS была. И что? Да его с самого начало нужно было закапать, что собственно и выразилось в выпуске light версии. зы. А если вспомнить сколько стандартов вообще умерло не родившись ... :) зы2. а HTML5 будет, он действительно нужен.
	Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

54. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от Pentarh on 20-Сен-11, 13:27
То есть, обе вкладки будут юзать одну и туже SSL сессию. Яваскрипт будет отправлять в банк заведомо известные данные. Снифер будет видеть эти данные в зашифрованном виде, и зная их исходники, сможет подобрать ключ. Ы?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

55. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от Аноним (??) on 20-Сен-11, 14:05
Абалдеть! :D Дяденьки открыли классический криптоанализ с возможностью генерации открытого текста. Только я недопонял, а salt-то хде? >JavaScript-код используется для отправки на сайт с которым работает жертва фиктивных запросов с изначально известными контрольными метками
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	64. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 14:49
	> Абалдеть! :D Дяденьки открыли классический криптоанализ с возможностью генерации открытого > текста. Только я недопонял, а salt-то хде? >>JavaScript-код используется для отправки на сайт с которым работает жертва фиктивных запросов с изначально известными контрольными метками Salt вычисляется по известному алгоритму. Курить матчасть до просветления.
	Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

	69. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 15:00
	Salt вычисляется А не берётся случайно?
	Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

	72. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Кирилл (??) on 20-Сен-11, 15:04
	> Salt вычисляется > А не берётся случайно? Случайного в компе, увы, нет.
	Ответить | Правка | ^ к родителю #69 | Наверх | Cообщить модератору

	78. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Xasd (ok) on 20-Сен-11, 15:33
	> Случайного в компе, увы, нет. а у меня в компе есть (/dev/random и чуть-меннее-случайный /dev/urandom) ... ...сажите -- у меня волшебный комп? o_0
	Ответить | Правка | ^ к родителю #72 | Наверх | Cообщить модератору

	83. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Кирилл (??) on 20-Сен-11, 16:14
	Толку то, примесь вычисляется.
	Ответить | Правка | ^ к родителю #78 | Наверх | Cообщить модератору

	103. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 17:21
	>> Случайного в компе, увы, нет. > а у меня в компе есть (/dev/random и чуть-меннее-случайный /dev/urandom) ... > ...сажите -- у меня волшебный комп? o_0 Ты просто трындишь. /dev/random не является полноценным аппаратным рандомизатором. Или у тебя, анон, Sun SPARC выпуска 2001 года? В них - да, /dev/random хардверный.
	Ответить | Правка | ^ к родителю #78 | Наверх | Cообщить модератору

	106. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Xasd (ok) on 20-Сен-11, 17:32
	зачем мне на домашнем компьютере (на котором установлен www-браузер с поддержкой TLS/SSL) аппаратный рандомайзер от Sun SPARC? :-) .. то что я щёлкаю клавиши на клавиатуре, то что мой жосткий диск производит хаотичную активность, то что я постоянно двигаю мышкой по столу -- всё это хотите сказать не является случайными данными? ЛОЛ
	Ответить | Правка | ^ к родителю #103 | Наверх | Cообщить модератору

	117. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от zerot (ok) on 20-Сен-11, 21:52
	> /dev/random не является полноценным аппаратным рандомизатором. Или у тебя, анон, Sun SPARC > выпуска 2001 года? В них - да, /dev/random хардверный. ну, товарищ привёл неудачный пример а если так - в качестве демонстрации идеи ? tail -20 /var/log/maillog | md5sum думаю идея понятна - в компе вполне можно получить значение, которое будет практически случайным
	Ответить | Правка | ^ к родителю #103 | Наверх | Cообщить модератору

	118. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Аноним (??) on 20-Сен-11, 23:10
	Ну допустим получили, а как потом не зная этой соли на принимающей стороне расшифровать ?
	Ответить | Правка | ^ к родителю #117 | Наверх | Cообщить модератору

	126. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Кирилл (??) on 21-Сен-11, 11:16
	Да никак. "Соль" или Примесь задаётся заранее известным алгоритмом или из таблицы.
	Ответить | Правка | ^ к родителю #118 | Наверх | Cообщить модератору

	133. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 21-Сен-11, 14:19
	> Да никак. "Соль" или Примесь задаётся заранее известным алгоритмом или из таблицы. Отсыпь.
	Ответить | Правка | ^ к родителю #126 | Наверх | Cообщить модератору

	94. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 20-Сен-11, 17:04
	>А не берётся случайно? man генератор псевдослучайных чисел
	Ответить | Правка | ^ к родителю #69 | Наверх | Cообщить модератору

68. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
Сообщение от Кирилл (??) on 20-Сен-11, 15:00
В общем, если пользуетесь платежами по карточке, то держите открытым только одно окно в браузере.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	79. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Xasd (ok) on 20-Сен-11, 15:37
	> В общем, если пользуетесь платежами по карточке, то держите открытым только одно > окно в браузере. именно! плюсую :-) а ещё с увелечением числа CSRF-уязвимостей в интернетах          (причём авторы этих сайтов обычно не хотят верить что на их сайте есть CSRF-уязвимость, пока не сделаешь персонально-для-них эксплоит)     -- вообще делаю вывод что в броузере должно быть открыто только одно окно с сайтом :-) [а потом ещё и кнопку выход недайбох забыть нажать!]
	Ответить | Правка | ^ к родителю #68 | Наверх | Cообщить модератору

	132. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от XoRe (ok) on 21-Сен-11, 12:44
	> В общем, если пользуетесь платежами по карточке, то держите открытым только одно > окно в браузере. Можно пользоваться каким-то одним браузером только для банка. Например, FF - для всего, Chrome - для банка. Или Chrome - для всего, какой-нибудь Safari - для банка. А если банк хочет только IE, то это только на руку всему миру - IE только для банка =)
	Ответить | Правка | ^ к родителю #68 | Наверх | Cообщить модератору

82. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
Сообщение от stimpack on 20-Сен-11, 16:11
платные (или собственные) vpn-аккаунты внезапно должны стать очень популярными.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

124. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от Аноним (??) on 21-Сен-11, 09:11
А для параноиков лучше ходить лично на рынок (там камер меньше) и покупать за наличку. Но при этом дома, обязательно, "держите открытым только одно окно в браузере". :)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	128. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Michael Shigorin (ok) on 21-Сен-11, 11:46
	> А для параноиков лучше ходить лично на рынок (там камер меньше) > и покупать за наличку. Так и делаем, плюс своё (в качестве дизель-генератора).
	Ответить | Правка | ^ к родителю #124 | Наверх | Cообщить модератору

129. "Одноразовые пароли"	+1 +/–
Сообщение от Стас Агарков on 21-Сен-11, 12:00
Используйте одноразовые пароли как в телебанке ВТБ24 и вам не будет страшен никакой перехват сессии.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	136. "Одноразовые пароли"	+/–
	Сообщение от scor (ok) on 21-Сен-11, 14:39
	И как эти пароли защищают от MitM?:) Даже на википедии в первых строках: "Использование одноразовых паролей само по себе не защищает от атак, основанных на активном вмешательстве в канал связи, используемый для аутентификации"
	Ответить | Правка | ^ к родителю #129 | Наверх | Cообщить модератору

131. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от XoRe (ok) on 21-Сен-11, 12:41
Насчет сниффания - может и не нужно, если удастся похитрить с DNS. Подставить свой ip для домена сайт-банка.рф. Возможно, это реально сделать на JavaScript - работать с кешем DNS на машине клиента. Вообще для банка хорошо бы использовать Шифр Вернама (система одноразовых блокнотов) ( http://ru.wikipedia.org/wiki/%D0%A8%D0%B... ). Сделать сайт банка, где статика грузится с одного домена (там простой tls, пусть ломают), а динамика, запросы, бабло, текст - с другого домена (там шифр вермана). Допустим, одна банковская операция занимает 1-10 кб текстового трафика. Допустим, в день делается 10 операций. Тогда в день будет тратиться 10-100 кб. Пусть даже 1 Мб трафика в день. При регистрации можно передать клиенту флешку с 2 гигами одноразовых паролей (1 гиг на шифрование передачи, 1 гиг на дешифрование приема). Этого должно хватить с головой на год-другой. И все, через интернет сие взломать не возможно, даже пустив весь банковский трафик через сниффер.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	135. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 21-Сен-11, 14:28
	>Вермана Да чего вы до него докапались-то? Хватит адекватной реализации любого сильного алгоритма шифрования, адекватного протокола и достаточной длины ключа.
	Ответить | Правка | ^ к родителю #131 | Наверх | Cообщить модератору

	142. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от XoRe (ok) on 22-Сен-11, 03:00
	>>Вермана > Да чего вы до него докапались-то? > Хватит адекватной реализации любого сильного алгоритма шифрования, адекватного протокола > и достаточной длины ключа. А почему-бы и нет? Шифр не требователен к ресурсам проца. При текущих объемах жестких и флешек хранить пару гиг одноразовых данных - не проблема. А так пока видна гонка алгоритмов: - хаха! мы сделали алгоритм сложности 2 в степени n! - хаха! мы научились понижать степень на 2! - хаха! мы сделали такую большую n, что по барабану на ваши 2! - хаха! мы научились взламывать при любом n! А ещё видна гонка шифрующих/дешифрующих мощностей. Знаете, сколько раз winrar шифрует ключ? С другой стороны, знаете, сколько миллиардов паролей в секунду подбирает одна видеокарта? Поэтому шифр, для которого доказана абсолютная криптостойкость (при любом росте мощностей), заслуживает внимания. Возможно, при развитии квантовой криптографии (когда сниффер палится), все равно придут к чему-то подобному.
	Ответить | Правка | ^ к родителю #135 | Наверх | Cообщить модератору

134. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
Сообщение от Макар Жук on 21-Сен-11, 14:23
Не понятно причём здесь недостатки протоколов, если взломаются сообщения зашифрованные по алгоритму AES
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	137. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 21-Сен-11, 14:39
	> Не понятно причём здесь недостатки протоколов, если взломаются сообщения зашифрованные > по алгоритму AES Я так понял, сообщения шифруются одним ключиком в течение всего сеанса или достаточного для проведения атаки времени. AES, вероятно, недостаточно стоек при возможности выбора открытых текстов и при данной (недостаточной?) длине ключа.
	Ответить | Правка | ^ к родителю #134 | Наверх | Cообщить модератору

	138. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Макар Жук on 21-Сен-11, 15:12
	>>недостаточно стоек при возможности выбора открытых текстов Я не думают что алгоритм не проверили на стойкость к этому виду атаки, прежде чем его сделали стандартом. >>при данной (недостаточной?) длине ключа. Вообще то при такой длине ключа как 128-256 бит, сообщение не должно быть расшифровано за 5-10 минут, иначе ключ не был бы пригоден для защиты данных.
	Ответить | Правка | ^ к родителю #137 | Наверх | Cообщить модератору

	141. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 21-Сен-11, 21:09
	Надо детально смотреть, что и как они там "поломали". Честно, мне - лень. :D
	Ответить | Правка | ^ к родителю #138 | Наверх | Cообщить модератору

	143. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от XoRe (ok) on 22-Сен-11, 03:05
	>>>недостаточно стоек при возможности выбора открытых текстов > Я не думают что алгоритм не проверили на стойкость к этому виду > атаки, прежде чем его сделали стандартом. >>>при данной (недостаточной?) длине ключа. > Вообще то при такой длине ключа как 128-256 бит, сообщение не должно > быть расшифровано за 5-10 минут, иначе ключ не был бы пригоден > для защиты данных. Грубо говоря: Дано: - есть функция хеширования xor; - есть исходные данные; - есть результат хеширования; Вопрос: - за сколько можно узнать ключ хеширования? Правильно - мгновенно. исходник -> xor -> результат = ключ. Только в статье не xor, а aes.
	Ответить | Правка | ^ к родителю #138 | Наверх | Cообщить модератору

	144. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Макар Жук on 22-Сен-11, 09:41
	> Грубо говоря: > Дано: > - есть функция хеширования xor; > - есть исходные данные; > - есть результат хеширования; > Вопрос: > - за сколько можно узнать ключ хеширования? > Правильно - мгновенно. > исходник -> xor -> результат = ключ. > Только в статье не xor, а aes. Хеширование и шифрование это не одно и тоже, так что предложенный алгоритм не прокатит -)
	Ответить | Правка | ^ к родителю #143 | Наверх | Cообщить модератору

	146. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 22-Сен-11, 22:55
	И, битовая операция XOR (исключающее ИЛИ) - это тоже совсем не шифрование. ;)
	Ответить | Правка | ^ к родителю #144 | Наверх | Cообщить модератору

	147. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 22-Сен-11, 22:56
	И не хеширование.
	Ответить | Правка | ^ к родителю #146 | Наверх | Cообщить модератору

	148. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 22-Сен-11, 22:57
	И когда уже эта фигня про "xor-шифрование" перестанет проникать в неокрепшие умы?
	Ответить | Правка | ^ к родителю #147 | Наверх | Cообщить модератору

	150. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от XoRe (ok) on 23-Сен-11, 01:25
	> И когда уже эта фигня про "xor-шифрование" перестанет проникать в неокрепшие умы? Шифр вернама как раз работает через xor. И считается абсолютно стойким шифром.
	Ответить | Правка | ^ к родителю #148 | Наверх | Cообщить модератору

	152. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 23-Сен-11, 12:34
	> Шифр вернама как раз работает через xor. > И считается абсолютно стойким шифром. Шифр Вернама работает через ключ гаммирования длины == длине открытого текста. Гамму можно класть хоть xor-ом (сложение под mod 2), хоть по любому другому модулю, например, для англ. алфавита по mod 26 (или сколько там букв? :D), хоть любым другим раком.
	Ответить | Правка | ^ к родителю #150 | Наверх | Cообщить модератору

	153. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от XoRe (ok) on 24-Сен-11, 02:13
	>> Шифр вернама как раз работает через xor. >> И считается абсолютно стойким шифром. > Шифр Вернама работает через ключ гаммирования длины == длине открытого текста. Гамму > можно класть хоть xor-ом (сложение под mod 2), хоть по любому > другому модулю, например, для англ. алфавита по mod 26 (или сколько > там букв? :D), хоть любым другим раком. Ну да. Нагенерить несколько гигов рандомных данных, обменяться этими гигами, и шифровать) И ведь не расшифровать, даже вклинившись.
	Ответить | Правка | ^ к родителю #152 | Наверх | Cообщить модератору

	149. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от XoRe (ok) on 23-Сен-11, 01:24
	> И не хеширование. Все такие умные. Знают правильные определения. А подумать дальше определений - понять, что это грубый пример описанного способа - не осилили. В моем примере можно написать не xor, а md5. Суть в том, что когда известны первоначальный и зашифрованный блоки, можно попробовать подобрать ключ шифрования.
	Ответить | Правка | ^ к родителю #147 | Наверх | Cообщить модератору

	151. "Представлен первый успешный способ атаки на SSL/TLS"	+1 +/–
	Сообщение от Аноним (??) on 23-Сен-11, 12:29
	>Вопрос: >- за сколько можно узнать ключ хеширования? >Правильно - мгновенно. >можно попробовать > подобрать Вот в этом "можно попробовать" и есть вся соль.
	Ответить | Правка | ^ к родителю #149 | Наверх | Cообщить модератору

	154. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от XoRe (ok) on 24-Сен-11, 02:15
	>>Вопрос: >>- за сколько можно узнать ключ хеширования? >>Правильно - мгновенно. >>можно попробовать >> подобрать > Вот в этом "можно попробовать" и есть вся соль. AES уже попробовали. Слава богу, что каждый протокол нужно взламывать в частном порядке, и достаточно просто перейти на TLS 1.1/1.2.
	Ответить | Правка | ^ к родителю #151 | Наверх | Cообщить модератору

	155. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 24-Сен-11, 14:23
	> AES уже попробовали. Разве тут что-то было про aes?
	Ответить | Правка | ^ к родителю #154 | Наверх | Cообщить модератору

	156. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от XoRe (ok) on 24-Сен-11, 16:20
	>> AES уже попробовали. > Разве тут что-то было про aes? JavaScript-код используется для отправки на сайт, с которым работает жертва, фиктивных запросов с изначально известными контрольными метками, которые используются атакующим для воссоздания отдельных блоков для шифра TLS/SSL, работающего на базе алгоритма AES. Вы читали новость?
	Ответить | Правка | ^ к родителю #155 | Наверх | Cообщить модератору

	157. "Представлен первый успешный способ атаки на SSL/TLS"	+/–
	Сообщение от Аноним (??) on 24-Сен-11, 17:29
	>>> AES уже попробовали. :E Уязвимость _в протоколе_ SSL. AES вполне себе живой. ;)
	Ответить | Правка | ^ к родителю #156 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема