zulu_gluk Опубликовано: July 21, 2004 at 21:23 Опубликовано: July 21, 2004 at 21:23 Ваши комментарии, господа...
Doozer Опубликовано: July 22, 2004 at 01:37 Опубликовано: July 22, 2004 at 01:37 Хмммм... Слишком много если... Если клиент отвалится, если мак освободится, если серв свалится... НО, итог - таки да... таки не кузява. Такой "ХАК" я не признаю... Ломать надо платный софт. ето 1 а 2 - так это то, что в начале статьи сказано: "Как-то мой знакомый, который работает в одной из домашних сетей, попросил у меня выяснить, насколько высока устойчивость системы авторизации, применяемая в stargazer'е, установленного у него в сети. После изучения исходниго кода серверной части stargazer'а я продемонстрировал наглядный пример взлома, который собственно здесь и опубликован." Только нормальный человек после такого рода изучения - обязательно сообщит автору о возможности взлома... и/или предложит свой метод защиты. А в данном случае мы встретились с типичной формой тупого юзера, а не креатора, не человека кто хоть что то создал для людей. Поломать, нагадить, поюзать и выкинуть... в бывшем совке много любителей... PS. ох отыскал бы я этого мастера, да дал бы по рогам... да и клиента этого, кто попросил нагадить в сторону Старого-Дета-Чёта... пересодил бы на вечный диалап. жаль что как волки, сами-себя душим. (в этом плане я в восторге от русского сайта по поиску кряков... с надписью "РУССКОЕ (xUSSR) НЕ ЛОМАЕМ")
stg-34 Опубликовано: July 22, 2004 at 06:30 Опубликовано: July 22, 2004 at 06:30 Ага, популярность стг-2 растет С стг-1, с такой же системой шифрования, никто подобного не делал. Приятно В общем, проверю работает ли эта штука, но всё равно это первый звоночек, что нужно менять систему криптования. Займёмся
egor2fsys Опубликовано: July 22, 2004 at 07:56 Опубликовано: July 22, 2004 at 07:56 мдя .... DES все таки слабовато однако для рядового юзверя поставить линукс а тем более нормально его настроить и разобраться как ловить пакеты а потом их дешифровать - дык они закалебутся хотя конечно пожеланием автоур остается усилить систему защиты
zulu_gluk Опубликовано: July 22, 2004 at 08:54 Автор Опубликовано: July 22, 2004 at 08:54 Меня терзают смутные сомнения, но, ИМХО, кто-то захотел сделать антирекламу Старгейзера
Wapr-Old Опубликовано: July 22, 2004 at 10:25 Опубликовано: July 22, 2004 at 10:25 Чтобы понять актуальность этого метода, неплохо бы сравнить защиту СТГ и чего-нибудь коммерческого, например УТМ. Ежели окажется сравнимо, то пока наплевать. (имхо) Хотя конечно RSA рулит
ZeRoCoLd Опубликовано: July 22, 2004 at 11:25 Опубликовано: July 22, 2004 at 11:25 Забейте вы на ето Борис разработает метод защиты тотже ЮТМ или ЛанБилл ломается и все провайдерские биллинги ломаются у нас в городе у всех провов тырят трафик их не спасает не ланбилл не ЮТМ и даже не те что они разрабатывают так что забейте.
stg-34 Опубликовано: July 22, 2004 at 18:29 Опубликовано: July 22, 2004 at 18:29 Меня терзают смутные сомнения, но, ИМХО, кто-то захотел сделать антирекламу Старгейзера Тебя верно терзают сомнения. В адресе на страничке присутствует unity.net, оттуда один перец доделывал начатый мною на www.line.com.ua биллинг, который оказался крайне неудачным. И по не ясной для меня причине, они считают stg продолжением их биллинга, так, что думаю ноги растут оттуда. Но, что самое интересное, их биллинг тоже использует (или использовал, уже не знаю что там поменялось) криптование по DES
stg-34 Опубликовано: July 22, 2004 at 18:33 Опубликовано: July 22, 2004 at 18:33 Чтобы понять актуальность этого метода, неплохо бы сравнить защиту СТГ и чего-нибудь коммерческого, например УТМ. Ежели окажется сравнимо, то пока наплевать. (имхо)Хотя конечно RSA рулит Спокойно, сделаем систему неломаемой перебором
egor2fsys Опубликовано: July 22, 2004 at 18:53 Опубликовано: July 22, 2004 at 18:53 гы гы а вот уже и виндовый переборщик появился на свет на том же сайте причем ....
Hash Опубликовано: July 22, 2004 at 19:09 Опубликовано: July 22, 2004 at 19:09 Спокойно, сделаем систему неломаемой в перебором OpenSSL подойдет как нельзя лучше. А там уже выбирай любой алгоритм шифрования...
Hash Опубликовано: July 22, 2004 at 19:15 Опубликовано: July 22, 2004 at 19:15 В адресе на страничке присутствует unity.net, оттуда один перец доделывал начатый мною на www.line.com.ua биллинг Sergey Chvaluk - это чел, который написал эту статью. Тут его фото http://photo.alkar.net/users.php?id=4177 =)
stg-34 Опубликовано: July 22, 2004 at 19:27 Опубликовано: July 22, 2004 at 19:27 В адресе на страничке присутствует unity.net, оттуда один перец доделывал начатый мною на www.line.com.ua биллинг Sergey Chvaluk - это чел, который написал эту статью. Тут его фото http://photo.alkar.net/users.php?id=4177 =) Хм, а может его в СБУ сдать?
stg-34 Опубликовано: July 22, 2004 at 20:00 Опубликовано: July 22, 2004 at 20:00 На сколько я понимаю этот кряк может сломать только пароли длиной до 8 символов. Дело в том, что при длине пароля до 8-ми нужно делать перебор пароля состоящего только из латинских букв и цифр. При длине пароля более 8 символов нужно перебирать всё символы от 0 до 255, т.е. объем вычислений возрастает в хренову гору раз. Если у кого есть мощная машина, плз, подключитесь к проверке моего предположения, я ща пытаюсь это проверить, но у меня свободная машина это AMD K-6-2 380 Mhz, т.е. не очень быстро
Hash Опубликовано: July 22, 2004 at 21:17 Опубликовано: July 22, 2004 at 21:17 Если клиент отвалится, если мак освободится, если серв свалится... Кстати, думаю стоит сделать отдельный процесс, проверяющий "а живой ли стг ?", а если не живой, то вырулить фаерволом и закрыть доступ в инет.
zulu_gluk Опубликовано: July 23, 2004 at 11:51 Автор Опубликовано: July 23, 2004 at 11:51 Спокойно, сделаем систему неломаемой перебором ИМХО, теперь это todo №1
T2Lan Опубликовано: July 24, 2004 at 15:04 Опубликовано: July 24, 2004 at 15:04 А я поддерживаю идею ноги для профилактики поломать............Хотя эт в принципе хорошо, что это дело всплыло и есть метод борьбы.......
Wapr-Old Опубликовано: July 24, 2004 at 17:30 Опубликовано: July 24, 2004 at 17:30 Если у кого есть мощная машина, плз, подключитесь к проверке моего предположения, я ща пытаюсь это проверить, но у меня свободная машина это AMD K-6-2 380 Mhz, т.е. не очень быстро Машина-то есть, ты скажи какой пакет ломать ИМХО будет хорошо, если ты выложишь тестовые пакеты с паролем например 8-10 знаков, а мы той прогой их поломаем... -
Hash Опубликовано: July 24, 2004 at 17:53 Опубликовано: July 24, 2004 at 17:53 А я поддерживаю идею ноги для профилактики поломать.... А мне кажется, наоборот, ему можно спасибо сказать, за то, что не пожалев своего времени он потратил его на СТГ. Думаю, что лучше знать потенциальную опасность, чем потом разбиратся, а куда девается траф.
zulu_gluk Опубликовано: July 24, 2004 at 18:52 Автор Опубликовано: July 24, 2004 at 18:52 А мне кажется, наоборот, ему можно спасибо сказать, за то, что не пожалев своего времени он потратил его на СТГ. Спасибо тут не за что говорить. Вот если бы он рассказал об этом лично Борису, то да. А так как это делалось для того чтобы другие могли похакать своих провов, то предложение насчет ломания ног очень даже кстати.
Hash Опубликовано: July 24, 2004 at 19:19 Опубликовано: July 24, 2004 at 19:19 Спасибо тут не за что говорить. Т.е. ты считаешь, что лучше было бы, если этот чел не писал статью и не искал баги в СТГ? Так было бы лучше для всех? Вот если бы он рассказал об этом лично Борису, то да. Он сказал. Сказал всем, а не только Борису. Все в курсе уязвимости, это подстегнет провов обновить версию сервера. А так как это делалось для того чтобы другие могли похакать своих провов Откуда такие выводы? В статье написано мой знакомый, который работает в одной из домашних сетей, попросил у меня выяснить, насколько высока устойчивость системы авторизации, применяемая в stargazer'е, установленного у него в сети. Т.е. один из провайдеров, захотел проверить "а существует ли возможность кражи пароля?". Попросил знакомого проверить. И вот итог: у нас будет новая система аутентификации, которую уже невозможно поиметь таким образом. Я доволен таким ходом событий. А ноги ломать нужно тем, кто такие уязвимости использует в корыстных целях, а не тем, кто их ищет. Сейчас это баг в СТГ, а завтра в Apache. Доморощеным хакирам ведь все равно что юзать.
zulu_gluk Опубликовано: July 24, 2004 at 19:45 Автор Опубликовано: July 24, 2004 at 19:45 Откуда такие выводы? В статье написано А нахрена тогда делать несколько версий под разные оси?
dimaxicq Опубликовано: July 26, 2004 at 07:38 Опубликовано: July 26, 2004 at 07:38 to egor2fsys /однако для рядового юзверя поставить линукс а тем более нормально его настроить и разобраться как ловить пакеты а потом их дешифровать - дык они закалебутся / А в чем сложность ... ? to stg-34 /На сколько я понимаю этот кряк может сломать только пароли длиной до 8 символов. Дело в том, что при длине пароля до 8-ми нужно делать перебор пароля состоящего только из латинских букв и цифр. При длине пароля более 8 символов нужно перебирать всё символы от 0 до 255, т.е. объем вычислений возрастает в хренову гору раз. Если у кого есть мощная машина, плз, подключитесь к проверке моего предположения/ http://www.pcweek.ru/year1998/N36/CP1251/Internet/chapt3.htm http://www.racal.ru/rsp/des.htm http://electronica.finestreet.ru/1/?secure/crypt.shtml думаю, штурмовать незачем ... ( По общему мнению криптографов алгоритм DES одинарной длины уже не является защищенным поскольку на современном уровне развития вычислительной техники 56-битный ключ стал уязвим для полного поиска. Фактически DES уже запрещен для использования в правительственных структурах США и в настоящее время в качестве стандарта используется Triple DES (DES тройной длины) (см., TripleDES), который будет заменен новым стандартом AES в ближайшее время.) а просто пересмотреть организацию защиты. Стоикость системы - определяется числом атак на нее, а не супер секретностью. Согласен, вести себя надо достойно, а то не хакер получился, а пид...
Zep Опубликовано: July 28, 2004 at 13:56 Опубликовано: July 28, 2004 at 13:56 Читал я вот все это и подумал..... А что вам мешает взять VPN , подвинтить радиус-сервер к старгазеру, в ядро системы вшить поддержку MPPE-криптования и НЕ ИЗОБРЕТАТЬ КОЛЕСО!!!! ВОТ ВАМ И АУТЕНТИФИКАЦИЯ!!!!!
den68 Опубликовано: July 28, 2004 at 16:27 Опубликовано: July 28, 2004 at 16:27 Читал я вот все это и подумал..... А что вам мешает взять VPN , подвинтить радиус-сервер к старгазеру... Как-то не горячо воспринимается пддержка ВПН в СТГ, к сожалению.
Рекомендованные сообщения