Pull to refresh
  • by relevance
  • by date
  • by rating

Hardened Gentoo: впечатления

Configuring Linux
Я начал с того, что выразил желание развеять распространённые опасения в том, что Hardened — это слишком сложно, либо от этого cтрадает стабильность, функциональность или производительность системы. Я уже продемонстрировал, что такое Hardened Gentoo в общих чертах, а теперь пройдёмся детальнее по этим опасениям.
Читать дальше →
Total votes 24: ↑18 and ↓6 +12
Views4K
Comments 13

Chaos Constructions HackAround '2007

Self Promo
С 29 ноября по 2 декабря в Санкт-Петербурге пройдет компьютерный фестиваль Chaos Constructions HackAround '2007[1]. Это событие для всех, кому интересны нестандартные и нетривиальные решения и подходы — как в области компьютеров, программного и аппаратного обеспечения, так и в любых других областях, даже не имеющих отношения к электронике.
На фестивале планируется ряд семинаров[2], главным образом на тему информационной безопасности. Среди конкурсов[3] стоит упомянуть «Hack Video», работы на который мы уже принимаем.
На большом экране, помимо конкурсной программы, будут демонстрироваться различные видеоролики на компьютерную тематику, а также работы с предыдущих фестивалей — как Chaos Constructions, так и зарубежных. Предполагается небольшая экспозиция исторических компьютеров.
Посетителям фестиваля предоставляется доступ в Интернет через Wi-Fi, а также розетки 220 вольт.

Ссылки:
[1] cc.org.ru/cch7
[2] cc.org.ru/cch7/index.php?uid=seminari
[3] cc.org.ru/cch7/index.php?uid=konkursi
Total votes 6: ↑5 and ↓1 +4
Views535
Comments 4

Mac OS — смена пароля root

IT-companies
После долгих танцев с бубном и пары сеансов чОрной магии я всё же научился «взламывать» MacOS X с целью смены пароля root(a) и, соответственно, всех пользователей системы. Да, это возможно сделать с помощью загрузочного диска, однако далеко не все загрузочные диски подходят ко всем компьютерам apple, а потому в роль пошли шаловливые ручонки!

Итак, всё довольно просто:
Читать дальше →
Total votes 6: ↑3 and ↓3 0
Views7.2K
Comments 7

Критика безопасности Mac OS X 10.5 — уже ли становится традицией?

Lumber room
Не оправился мир от скандалов по поводу состояния системы безопасности в ОС Windows Vista, как надо снова устремлять негодующие взгляды в сторону новой операционки. На сей раз многолюбимого яблочниками Лео. Некоторые скажут, что это кощунство, но я продолжу…

MacRumors приводит слова Heise Security:
[Leopard's firewall] is not activated by default and, even when activated, it does not behave as expected. Network connections to non-authorised services can still be established and even under the most restrictive setting, «Block all incoming connections,» it allows access to system services from the internet.

Частично переведу — мало того, что фаервол не включен по умолчанию, так даже если его включить, то ведёт себя он крайне странно. Соединения к неавторизованым ресурсам не блокируются, даже на самых жёстких настройках (Блокировать все входящие подключения) остаётся возможность доступа к системным сервисам из интернета.

Стоит задуматься. Ясно, что Apple более поворотлива, чем Microsoft и в ближайшее время выйдут все необходимые заплатки. Но почему никто не учится на чужих ошибках…
Total votes 10: ↑8 and ↓2 +6
Views235
Comments 2

Где мои ключи???!!!

Lumber room
Сугубо технический кросс-пост с моего основного блога:
— Нет, правда. Взяли вы полученный откуда-то сертификат, установили в localmachine store, и вдруг ваша программа его не видит!!! Это что? Это как? Что за безобразие? Караул! Грабят! Вирус! Ну, не совсем…
Читать дальше →
Total votes 12: ↑6 and ↓6 0
Views348
Comments 5

Так ли безопасно хранение пароля в виде хеша

Website development
Практически любой, даже начинающий разработчик, скажет вам, что пароли в базе надо хранить только в виде хеша (например md5). Это обеспечит их сохранность и увеличит безопасность системы в целом. Так ли это на самом деле?
В действительности нет, не так. Безопасность, да и сохранность, конечно повысится, но не очень сильно. В интернете уже давно есть базы хешей многих паролей. Трехминутный поиск только по Яндексу вывел меня на следующие сайты — MD5decrypter (568 002 хешей) и Insidepro (10 148 884 хешей). Уже не мало, ведь так? А это только открытые проекты и только по md5. Я думаю у любой серьезной хакерской группы есть свои базы, благо, с наличием бот-сетей распределенные вычисления перестают быть проблемой.
Кто-нибудь самый догадливый предложит, а давайте к пользовательскому паролю добавлять свой секретный длинный префикс. Ну или делать, например, md5 от md5. Взломщик никогда об этом не догадается и пароль не подберет.
Не поможет. В действительности при взломе хеша нам важен не оригинальный пароль, а поиск коллизии. Ведь неважно введем мы пароль 76854 или Fhndkts если md5(’76854′) будет совпадать с md5(’наша_секретная_строка’.’Fhndkts’).

Единственная проблема, что вариантов хешей все таки очень много и они будут занимать очень большое место в базе данных. да и поиск по ним потребует очень длительного времени.
Однако и эта проблема решается при помощи Rainbow Tables. Используя их мы на несколько порядков уменьшаем размер хранимой базы и скорость поиска пароля. Более подробно об этом можно почитать здесь и здесь. Для построение таких таблиц также нужны распределенные вычисления. И такие проекты есть — Rainbowcrack.com. Размах впечатляет — 2,628 таблиц, 102,080,000,000 цепочек (в каждой цепочке примерно 1000-1500 паролей), 1.49 Тб данных. Есть также российский подобный проект, но пока добились они намного меньшего.
Вот и как теперь хранить пароль?
denis.boltikov.ru
Total votes 31: ↑16 and ↓15 +1
Views6.7K
Comments 55

А мужики-то не знают: защита в Wordpress 2.4, дыры и апдейт в 2.3 и подсветка синтаксиса

WordPress
Пока пишутся большие посты и другие программы, сделаю небольшой обзор того, о чём следует знать, если не каждому, то большинству.
Читать дальше →
Total votes 24: ↑21 and ↓3 +18
Views1.6K
Comments 12

Эти замечательные VPN или о чём нужно помнить пользователям shared-ресурсов.

Lumber room
Вводная информация:
Провайдером мне предоставлен «доступ к сети с использованием технологии ADSL». Я являюсь пользователем Fedora Core 6. Эта операционная система постепенно выживает winXP с моего компьютера, не исключено, что скоро на большем из двух дисков тоже поселится какой-нибудь дистрибутив GNU Linux.

«Доступ к сети...» хорошо звучит, верно? И он на самом деле есть – внутри виртуальной частной сети провайдера можно поднять, к примеру, http-, irc- (что я и сделал) сервера. Можно и другие, но это менее актуально (трафик внутри сети тарифицируется, значит ftp отпадает, а что такое jabber мало кто из «подключенцев» слышал). Конечно динамический ip вносит некоторую долю неудобства, но в своем чате как-то приятней общаться.
Но речь пойдёт не об этом. Решил я как-то забить в адресную строку Konqueror`а что-то вроде smb://192.168.240.* (local ip address по версии pptpconfig или inet addr по версии ifconfig, по сути – динамические ip-адреса в виртуальной частной сети). С четвёртой попытки я получил возможность лицезреть shared-ресурсы другого компьютера. «Расшарены» они были, судя по всему, из расчёта, что их будут видеть пользователи локальной сети одного квартала. Увы, скорость соединения и тот факт, что трафик внутри сети тарифицируется (выяснил опытным путём – скачав какой-то mp3-файлик) не позволяли набить свой винт шедеврами советского кинематографа. Как же найти другие ресурсы? Ручной перебор – это долго и малоэффективно… Поскольку подключался я по протоколу Samba, значит в эту сторону и надо копать… ...man samba и почти сразу же натыкаемся на утилиту nmblookup. nmblookup -A позволяет просканировать машину с указанным ip на предмет shared-ресурсов (и ресурсов samba тоже). Если ввести несколько ip через пробел, то nbmlookup проверит их все. Поскольку я так и не разобрался как задать маску, то пришлось написать небольшой скриптик, выводящий интересующий меня диапазон адресов:
#!/bin/bash
for i in `seq 0 255`;
do
nmblookup -A 192.168.240.$i
done
Должен заметить, что на скорости 128kB/s сканирование 256-и ip занимает несколько минут. Первый поиск дал примерно полтора десятка машин. В их число попали несколько серверов с фильмами/музыкой/варезом для локальных сетей, и несколько компьютеров предприятий. На следующий день «попался» компьютер предприятия, на котором админил мой друг. Дело в том, что из-за проблем с программой типа банк-клиент, 2 машины его сети не были прикрыты прокси и были напрямую подключены к adsl-роутеру. Поскольку права сотрудников не были должным образом ограничены, то они пооткрывали диски друг для друга. Рабочие документы, базы данных, переписка, фотографии – всё открыто.
Читать дальше →
Total votes 31: ↑30 and ↓1 +29
Views1.2K
Comments 67

[Безопасность] Список дырявых плагинов WordPress

WordPress
Все уже знают, что очередной релиз Wordpress 2.3.3 в основном призван исправить бреши в безопасности (как обычно русскую версию можно скачать у Кактуса), но гарантирует ли это, что на ваш блог не смогут посягнуть?
Читать дальше →
Total votes 10: ↑8 and ↓2 +6
Views1.1K
Comments 10

Апдейт иль не апдейт — вот в чём вопрос…

Lumber room
Хочу поднять вопрос апдейтов ПО на рабочих машинах.
оговорюсь сразу, всё нижесказанное касается в первую очередь GNU/Linux систем.

Я думаю, многим хабралюдям знаком принцип «Работает — не трожь».
Так вот, иногда слепое следование этому принципу может подвести.
Пример:
Читать дальше →
Total votes 7: ↑6 and ↓1 +5
Views211
Comments 8

Bluetooth авторизация для Linux

Configuring Linux
Встречаем BlueProximity — небольшое приложение, следящее за bluetooth-устройством (мобильным телефоном например), и, при значительном удалении этого устройства, блокирует рабочий стол (или выполняет любое другое действие на ваш выбор).
Адрес проекта на sourceforge.
Обсуждение на ubuntuforums
P.s: Определённо решение отнюдь не универсальное и спорное, но думаю найдёт нишу для применения.
Total votes 20: ↑19 and ↓1 +18
Views2.7K
Comments 23

«Опасная» паранойя

Lumber room
Давным давно в эру модемов я увлекался сетевой безопасностью. Время прошло, паранойя осталась.
В наше время уже мало кто пользуется ftp, на смену пришли более удобные вещи, такие как svn, которые не явно, но заменяют ftp и избавляют от головной боли многих. Я же разработчик-одиночка, делаю все, от дизайна и верски, до программирование и оптимизации сервера под конкретную задачу. Поэтому мне удобней юзать старые добрые ftp итп. Я не говорю что svn мне не нужен, я активно им пользуюсь, но лишь для создания ревизий. Обновление софта на сервере осуществляю по ftp, кхм… точнее по sftp. Собственно о чем и хотел поговорить.
Когда я задумался о безопасности своего сервера, я мог представить что меня могут логировать или троянить, что могут тупо получить физ. доступ к компу итп, это все банальности. Но что делать, если «узкое» место в безопасности вашей системы — интернет-провайдер, поставщик услуг? Конечно, конечно, они отвечают за свои действия и их хлеб совсем другой бизнес. Но вот их сотрудники… Никого не оскорбляя перейдем к делу.
Что нужно иметь, чтобы построить безопасную систему с доступом к FTP и прочим сервисам (например mysql)?
Читать дальше →
Total votes 13: ↑12 and ↓1 +11
Views715
Comments 11

Русский в Португалии

Self Promo
Первый раз прошу о пиаре ) Для меня это очень важно. Это принесет мне известность по всей Португалии, как лучший дизайнер со всеми вытекающими последствиями. Ну, сами понимаете)
Читать дальше →
Total votes 80: ↑60 and ↓20 +40
Views971
Comments 149

Русский в Португалии II

Self Promo
Начало
Всем добрый вечер! Решил написать 2-ю часть, так как тут была целая битва. В тот же день после начала голосования (20 мая) пришел в школу и был крайне недоволен. Поставил всех в известность, училка отправила 5 сообщений на перемене, дома родители отправили два. Потом они созвонились с училкой, она им рассказала, как было. Через пару дней получили примерно следующее:
Читать дальше →
Total votes 21: ↑12 and ↓9 +3
Views640
Comments 2