zulu_gluk 23 Posted 2004-07-21 21:23:01 Share Posted 2004-07-21 21:23:01 Ваши комментарии, господа... Link to post Share on other sites
Doozer 0 Posted 2004-07-22 01:37:42 Share Posted 2004-07-22 01:37:42 Хмммм... Слишком много если... Если клиент отвалится, если мак освободится, если серв свалится... НО, итог - таки да... таки не кузява. Такой "ХАК" я не признаю... Ломать надо платный софт. ето 1 а 2 - так это то, что в начале статьи сказано: "Как-то мой знакомый, который работает в одной из домашних сетей, попросил у меня выяснить, насколько высока устойчивость системы авторизации, применяемая в stargazer'е, установленного у него в сети. После изучения исходниго кода серверной части stargazer'а я продемонстрировал наглядный пример взлома, который собственно здесь и опубликован." Только нормальный человек после такого рода изучения - обязательно сообщит автору о возможности взлома... и/или предложит свой метод защиты. А в данном случае мы встретились с типичной формой тупого юзера, а не креатора, не человека кто хоть что то создал для людей. Поломать, нагадить, поюзать и выкинуть... в бывшем совке много любителей... PS. ох отыскал бы я этого мастера, да дал бы по рогам... да и клиента этого, кто попросил нагадить в сторону Старого-Дета-Чёта... пересодил бы на вечный диалап. жаль что как волки, сами-себя душим. (в этом плане я в восторге от русского сайта по поиску кряков... с надписью "РУССКОЕ (xUSSR) НЕ ЛОМАЕМ") Link to post Share on other sites
stg-34 0 Posted 2004-07-22 06:30:53 Share Posted 2004-07-22 06:30:53 Ага, популярность стг-2 растет С стг-1, с такой же системой шифрования, никто подобного не делал. Приятно В общем, проверю работает ли эта штука, но всё равно это первый звоночек, что нужно менять систему криптования. Займёмся Link to post Share on other sites
egor2fsys 5 Posted 2004-07-22 07:56:28 Share Posted 2004-07-22 07:56:28 мдя .... DES все таки слабовато однако для рядового юзверя поставить линукс а тем более нормально его настроить и разобраться как ловить пакеты а потом их дешифровать - дык они закалебутся хотя конечно пожеланием автоур остается усилить систему защиты Link to post Share on other sites
zulu_gluk 23 Posted 2004-07-22 08:54:55 Author Share Posted 2004-07-22 08:54:55 Меня терзают смутные сомнения, но, ИМХО, кто-то захотел сделать антирекламу Старгейзера Link to post Share on other sites
Wapr-Old 0 Posted 2004-07-22 10:25:22 Share Posted 2004-07-22 10:25:22 Чтобы понять актуальность этого метода, неплохо бы сравнить защиту СТГ и чего-нибудь коммерческого, например УТМ. Ежели окажется сравнимо, то пока наплевать. (имхо) Хотя конечно RSA рулит Link to post Share on other sites
ZeRoCoLd 0 Posted 2004-07-22 11:25:19 Share Posted 2004-07-22 11:25:19 Забейте вы на ето Борис разработает метод защиты тотже ЮТМ или ЛанБилл ломается и все провайдерские биллинги ломаются у нас в городе у всех провов тырят трафик их не спасает не ланбилл не ЮТМ и даже не те что они разрабатывают так что забейте. Link to post Share on other sites
stg-34 0 Posted 2004-07-22 18:29:56 Share Posted 2004-07-22 18:29:56 Меня терзают смутные сомнения, но, ИМХО, кто-то захотел сделать антирекламу Старгейзера Тебя верно терзают сомнения. В адресе на страничке присутствует unity.net, оттуда один перец доделывал начатый мною на www.line.com.ua биллинг, который оказался крайне неудачным. И по не ясной для меня причине, они считают stg продолжением их биллинга, так, что думаю ноги растут оттуда. Но, что самое интересное, их биллинг тоже использует (или использовал, уже не знаю что там поменялось) криптование по DES Link to post Share on other sites
stg-34 0 Posted 2004-07-22 18:33:28 Share Posted 2004-07-22 18:33:28 Чтобы понять актуальность этого метода, неплохо бы сравнить защиту СТГ и чего-нибудь коммерческого, например УТМ. Ежели окажется сравнимо, то пока наплевать. (имхо)Хотя конечно RSA рулит Спокойно, сделаем систему неломаемой перебором Link to post Share on other sites
egor2fsys 5 Posted 2004-07-22 18:53:17 Share Posted 2004-07-22 18:53:17 гы гы а вот уже и виндовый переборщик появился на свет на том же сайте причем .... Link to post Share on other sites
Hash 0 Posted 2004-07-22 19:09:24 Share Posted 2004-07-22 19:09:24 Спокойно, сделаем систему неломаемой в перебором OpenSSL подойдет как нельзя лучше. А там уже выбирай любой алгоритм шифрования... Link to post Share on other sites
Hash 0 Posted 2004-07-22 19:15:04 Share Posted 2004-07-22 19:15:04 В адресе на страничке присутствует unity.net, оттуда один перец доделывал начатый мною на www.line.com.ua биллинг Sergey Chvaluk - это чел, который написал эту статью. Тут его фото http://photo.alkar.net/users.php?id=4177 =) Link to post Share on other sites
stg-34 0 Posted 2004-07-22 19:27:32 Share Posted 2004-07-22 19:27:32 В адресе на страничке присутствует unity.net, оттуда один перец доделывал начатый мною на www.line.com.ua биллинг Sergey Chvaluk - это чел, который написал эту статью. Тут его фото http://photo.alkar.net/users.php?id=4177 =) Хм, а может его в СБУ сдать? Link to post Share on other sites
stg-34 0 Posted 2004-07-22 20:00:05 Share Posted 2004-07-22 20:00:05 На сколько я понимаю этот кряк может сломать только пароли длиной до 8 символов. Дело в том, что при длине пароля до 8-ми нужно делать перебор пароля состоящего только из латинских букв и цифр. При длине пароля более 8 символов нужно перебирать всё символы от 0 до 255, т.е. объем вычислений возрастает в хренову гору раз. Если у кого есть мощная машина, плз, подключитесь к проверке моего предположения, я ща пытаюсь это проверить, но у меня свободная машина это AMD K-6-2 380 Mhz, т.е. не очень быстро Link to post Share on other sites
Hash 0 Posted 2004-07-22 21:17:42 Share Posted 2004-07-22 21:17:42 Если клиент отвалится, если мак освободится, если серв свалится... Кстати, думаю стоит сделать отдельный процесс, проверяющий "а живой ли стг ?", а если не живой, то вырулить фаерволом и закрыть доступ в инет. Link to post Share on other sites
zulu_gluk 23 Posted 2004-07-23 11:51:23 Author Share Posted 2004-07-23 11:51:23 Спокойно, сделаем систему неломаемой перебором ИМХО, теперь это todo №1 Link to post Share on other sites
T2Lan 0 Posted 2004-07-24 15:04:01 Share Posted 2004-07-24 15:04:01 А я поддерживаю идею ноги для профилактики поломать............Хотя эт в принципе хорошо, что это дело всплыло и есть метод борьбы....... Link to post Share on other sites
Wapr-Old 0 Posted 2004-07-24 17:30:20 Share Posted 2004-07-24 17:30:20 Если у кого есть мощная машина, плз, подключитесь к проверке моего предположения, я ща пытаюсь это проверить, но у меня свободная машина это AMD K-6-2 380 Mhz, т.е. не очень быстро Машина-то есть, ты скажи какой пакет ломать ИМХО будет хорошо, если ты выложишь тестовые пакеты с паролем например 8-10 знаков, а мы той прогой их поломаем... - Link to post Share on other sites
Hash 0 Posted 2004-07-24 17:53:57 Share Posted 2004-07-24 17:53:57 А я поддерживаю идею ноги для профилактики поломать.... А мне кажется, наоборот, ему можно спасибо сказать, за то, что не пожалев своего времени он потратил его на СТГ. Думаю, что лучше знать потенциальную опасность, чем потом разбиратся, а куда девается траф. Link to post Share on other sites
zulu_gluk 23 Posted 2004-07-24 18:52:38 Author Share Posted 2004-07-24 18:52:38 А мне кажется, наоборот, ему можно спасибо сказать, за то, что не пожалев своего времени он потратил его на СТГ. Спасибо тут не за что говорить. Вот если бы он рассказал об этом лично Борису, то да. А так как это делалось для того чтобы другие могли похакать своих провов, то предложение насчет ломания ног очень даже кстати. Link to post Share on other sites
Hash 0 Posted 2004-07-24 19:19:39 Share Posted 2004-07-24 19:19:39 Спасибо тут не за что говорить. Т.е. ты считаешь, что лучше было бы, если этот чел не писал статью и не искал баги в СТГ? Так было бы лучше для всех? Вот если бы он рассказал об этом лично Борису, то да. Он сказал. Сказал всем, а не только Борису. Все в курсе уязвимости, это подстегнет провов обновить версию сервера. А так как это делалось для того чтобы другие могли похакать своих провов Откуда такие выводы? В статье написано мой знакомый, который работает в одной из домашних сетей, попросил у меня выяснить, насколько высока устойчивость системы авторизации, применяемая в stargazer'е, установленного у него в сети. Т.е. один из провайдеров, захотел проверить "а существует ли возможность кражи пароля?". Попросил знакомого проверить. И вот итог: у нас будет новая система аутентификации, которую уже невозможно поиметь таким образом. Я доволен таким ходом событий. А ноги ломать нужно тем, кто такие уязвимости использует в корыстных целях, а не тем, кто их ищет. Сейчас это баг в СТГ, а завтра в Apache. Доморощеным хакирам ведь все равно что юзать. Link to post Share on other sites
zulu_gluk 23 Posted 2004-07-24 19:45:16 Author Share Posted 2004-07-24 19:45:16 Откуда такие выводы? В статье написано А нахрена тогда делать несколько версий под разные оси? Link to post Share on other sites
dimaxicq 0 Posted 2004-07-26 07:38:00 Share Posted 2004-07-26 07:38:00 to egor2fsys /однако для рядового юзверя поставить линукс а тем более нормально его настроить и разобраться как ловить пакеты а потом их дешифровать - дык они закалебутся / А в чем сложность ... ? to stg-34 /На сколько я понимаю этот кряк может сломать только пароли длиной до 8 символов. Дело в том, что при длине пароля до 8-ми нужно делать перебор пароля состоящего только из латинских букв и цифр. При длине пароля более 8 символов нужно перебирать всё символы от 0 до 255, т.е. объем вычислений возрастает в хренову гору раз. Если у кого есть мощная машина, плз, подключитесь к проверке моего предположения/ http://www.pcweek.ru/year1998/N36/CP1251/Internet/chapt3.htm http://www.racal.ru/rsp/des.htm http://electronica.finestreet.ru/1/?secure/crypt.shtml думаю, штурмовать незачем ... ( По общему мнению криптографов алгоритм DES одинарной длины уже не является защищенным поскольку на современном уровне развития вычислительной техники 56-битный ключ стал уязвим для полного поиска. Фактически DES уже запрещен для использования в правительственных структурах США и в настоящее время в качестве стандарта используется Triple DES (DES тройной длины) (см., TripleDES), который будет заменен новым стандартом AES в ближайшее время.) а просто пересмотреть организацию защиты. Стоикость системы - определяется числом атак на нее, а не супер секретностью. Согласен, вести себя надо достойно, а то не хакер получился, а пид... Link to post Share on other sites
Zep 0 Posted 2004-07-28 13:56:44 Share Posted 2004-07-28 13:56:44 Читал я вот все это и подумал..... А что вам мешает взять VPN , подвинтить радиус-сервер к старгазеру, в ядро системы вшить поддержку MPPE-криптования и НЕ ИЗОБРЕТАТЬ КОЛЕСО!!!! ВОТ ВАМ И АУТЕНТИФИКАЦИЯ!!!!! Link to post Share on other sites
den68 0 Posted 2004-07-28 16:27:46 Share Posted 2004-07-28 16:27:46 Читал я вот все это и подумал..... А что вам мешает взять VPN , подвинтить радиус-сервер к старгазеру... Как-то не горячо воспринимается пддержка ВПН в СТГ, к сожалению. Link to post Share on other sites
Recommended Posts