Обсуждения на "openPGP в России" https://www.pgpru.com/%D4%EE%F0%F3%EC Последние комментарии на сайте "openPGP в России" https://www.pgpru.com/proekt/pravila ru project@pgpru.com Fri, 16 May 2008 07:09:44 +0400 Fri, 16 May 2008 07:09:44 +0400 openPGP в России https://www.pgpru.com/forum https://www.pgpru.com/images/pgpru_banner.gif 88 31 Re: Предсказуемый ГСЧ и небезопасные ключи в Debian/Ubuntu https://www.pgpru.com/comment23236 https://www.pgpru.com/comment23236    — SirYorik (16/05/2008 07:09):
"Все пользователи Debian и Ubuntu должны исходить из того, . . ."

укажите наконец версии, иначе смысл фразы равен "все мужики козлы, все бабы дуры, а всё что на debian дерьмо"]]> Fri, 16 May 2008 07:09:37 +0400 2008 Помогите расшифровать!!! https://www.pgpru.com/forum/kriptografija/pomogiterasshifrovatj https://www.pgpru.com/forum/kriptografija/pomogiterasshifrovatj    — Гость (16/05/2008 01:24):

Помогите расшифровать!!!

Задача по криптографии, подстановочный шифр.. не могу день уже расшифровать ;(


6gnYDhzLHx/WCB7TFgjdy8rDFh+KGh/NCg/dGgDfFwbjyw7PChzjG
x7PDsreEwPdyw3SCAbWDAjRD8u3sNenBase64en59en59en59en59
en59en59en59en59en59en59en59en59en59en59en59en59en59e
nt6S3sO7PChzjGx7TFQGKCBzMEB7cCBzjyw7LHwuKHgPeEwnfHsre
Ew+KEgjZHgbPDwHPywvMFh/eyx7SD6e0FA/LFQPYDcrZDMreEw+KC
RPeDB2KGQ/bHAPcDB2KGgnXD8rVFQnhFw/ODg+KFgCKDwveC8rQFh
zXCB7d1Mq3sOLZHg/gDByWyw/gDAiKHwLZHAHS1sreEwPdywfTDgL
eyx3PDAeKEwvcDsaKEB6KEB2KFQmKGQ/LFsq3sR3PCh/cEB7jy8r+
EwPdywPdyw7fD8reEw+KDQvNHsaKHwLLHsrLGcrdFgnYywvdyx7SD
8rfGg/Oyqe0FA/eEwnOywPdywXYFhHY1srjFh+KCgvYyw/LGgPWI8
rMGQ/LEcrTHsiK/wLPyx3PCh/cEB7jyw7ZDB23sQjZHsrWEA+KHgP
eEsreEw+KEg/j1srMHB6KHwLPywfPHwLZDsqXyxHSEA3SywPdywuK
CgnYHxzLDwPNHwPZFKe0HwmKHwLPyuXPGQXSFgDQ1BrcEAjNEBrWD
8i3sMq3sKe0/wLPyw3ZDw/hFhzOywDZGMreEwPdyw3SCAbWDAjRD8
rTGcr56P3t//zz/vOY

]]> Fri, 16 May 2008 01:24:49 +0400 Криптография https://www.pgpru.com/forum/kriptografija/pomogiterasshifrovatj?show_comments=1#comments Re: Запущен «Сервис меток времени» timeMARKER.org https://www.pgpru.com/comment23234 https://www.pgpru.com/comment23234    — Гость (15/05/2008 23:09):
Предлагаю сделать группу Гугл или воспользоваться готовой, куда каждый желающий может положить метку времени заверенную своим ключем. Там же можно у казать и координаты.
Ещё бы неплохо, чтобы об этом узнавал каждый, кто пользуется (или раздумывает, воспользоваться ли) сервисом. А вместо Гугла можно и pgpru.com :)]]> Thu, 15 May 2008 23:09:14 +0400 2008 Re: Запущен «Сервис меток времени» timeMARKER.org https://www.pgpru.com/comment23233 https://www.pgpru.com/comment23233    — Alex_BB (15/05/2008 21:47):
Предлагаю сделать группу Гугл или воспользоваться готовой, куда каждый желающий может положить метку времени заверенную своим ключем. Там же можно у казать и координаты.]]> Thu, 15 May 2008 21:47:26 +0400 2008 Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23232 https://www.pgpru.com/comment23232    — Гость (15/05/2008 21:24):
заставить уязвимое приложение выполнить комплекс настроек нового сетевого соединения в ОС
В конце wwwвидеоролика, объясняющего установку и работу с JanusVM в Windows, ясно видно (в правом нижнем углу), что наряду с новым сетевым соединением присутствует и прежнее. Да это и понятно – JanusVM выходит через него в интернет! Вряд ли очень сложно научить этому и пользовательское приложение, даже и без паролей и повышения приоритета.]]> Thu, 15 May 2008 21:24:57 +0400 Анонимность в Интернет Re: Предсказуемый ГСЧ и небезопасные ключи в Debian/Ubuntu https://www.pgpru.com/comment23231 https://www.pgpru.com/comment23231    — Гость (15/05/2008 20:50):
P. S. wwwТут детальный разбор полётов, в подтверждении к вышесказанному.

V.]]> Thu, 15 May 2008 20:50:57 +0400 2008 Re: Предсказуемый ГСЧ и небезопасные ключи в Debian/Ubuntu https://www.pgpru.com/comment23230 https://www.pgpru.com/comment23230    — Гость (15/05/2008 20:40):
Не стоит смешивать всё в одну кучу.
Смотрим еще раз wwwсюда.
Нижний hunk сделан rjk valgrind-а ради, о нём и написано в исходном дебиановском багрепорте. Он вполне корректен. Верхний hunk сделан совсем другим человеком (Kurt Roeckx) "по аналогии" (строчка кода такая же, которую закомментировали). Именно верхний hunk и приводит к беде.

(Это из комментариев в блоге Яна Григга).

И, да, надеяться на неинициализированную память как источник случайности, это идиотизм. В общем, команда openssl постаралась тоже на славу.

И еще чего мне непонятно, как в openssl до сих пор умудряются находить дыры, если её практически перестали развивать в плане функционала.

V.]]> Thu, 15 May 2008 20:40:20 +0400 2008 Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23229 https://www.pgpru.com/comment23229    — SATtva (15/05/2008 20:39):
Я всего лишь хотел обратить внимание на то, что JanusVM не виртуализирует пользовательское приложение, как это может показаться на первый взгляд

Речи об этом нигде не было. Теоретически, я допускаю, что противник может заставить уязвимое приложение выполнить комплекс настроек нового сетевого соединения в ОС (правда, для этого может понадобиться ещё и повысить привилегии в системе; и как он провернёт весь трюк в отсутствие пользовательского пароля для подключения к прову, тоже представляю слабо) и вывести соединение напрямую. Но это уже совершенно иная категория сложности атаки, исключительно целенаправленной.]]> Thu, 15 May 2008 20:39:57 +0400 Анонимность в Интернет Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23228 https://www.pgpru.com/comment23228    — Гость (15/05/2008 20:33):
Мне кажется что роль основной ОС здесь играет JanusVM, а гостевой – ваша обычная...
А вот мне как раз кажется, что наоборот :)]]> Thu, 15 May 2008 20:33:27 +0400 Анонимность в Интернет Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23227 https://www.pgpru.com/comment23227    — Гость (15/05/2008 20:29):
JanusVM сам никуда не подключается
Вы ведь не хотите сказать, что с помощью JanusVM я могу выходить в интернет без провайдера (и бесплатно! :) То есть, JanusVM, будучи Линуксом под WMware, подключается к интернету через интерфейс, предоставляемый провайдером.

То, что Вы говорите, равносильно тому, как если бы Вы подключались к интернету минуя своего интернет-провайдера.
То, что я говорю, равносильно тому, как если бы я подключился к интернет-провайдеру минуя JanusVM :)
Я всего лишь хотел обратить внимание на то, что JanusVM не виртуализирует пользовательское приложение, как это может показаться на первый взгляд, а всего лишь является виртуальным сетевым адаптером, который подключается к интернету через реальный сетевой адаптер, никак не блокируя доступ к нему для пользовательского приложения.]]> Thu, 15 May 2008 20:29:36 +0400 Анонимность в Интернет Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23226 https://www.pgpru.com/comment23226    — Гость (15/05/2008 19:56):
Виртуализируется линукс прокси-сервер, а моё приложение работает не внутри (под виртуализатором), а рядом с ним, в основной ОС!


Вы это делает вручную из него, после чего он практически становится сетевым провайдером для основной ОС.


Мне кажется что роль основной ОС здесь играет JanusVM, а гостевой – ваша обычная... Хотя с Janus не разбирался... м.б. я не прав.]]> Thu, 15 May 2008 19:56:46 +0400 Анонимность в Интернет Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23225 https://www.pgpru.com/comment23225    — SATtva (15/05/2008 16:38):
И совсем не очевидно, что моё приложение не сможет подключится к интернету напрямую, в обход прокси, тем же путём, что это делает JanusVM.

Вам картинку нарисовать что-ли? JanusVM сам никуда не подключается, Вы это делает вручную из него, после чего он практически становится сетевым провайдером для основной ОС. То, что Вы говорите, равносильно тому, как если бы Вы подключались к интернету минуя своего интернет-провайдера.]]> Thu, 15 May 2008 16:38:34 +0400 Анонимность в Интернет Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23224 https://www.pgpru.com/comment23224    — Гость (15/05/2008 14:39):
тем же путём, что как это делает сам JanusVM.]]> Thu, 15 May 2008 14:39:58 +0400 Анонимность в Интернет Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23223 https://www.pgpru.com/comment23223    — Гость (15/05/2008 14:30):
в случае виртуализатора ваше приложение крутится в гостевой ОС, которая, в свою очередь, крутится в основной ОС
В случае виртуализатора моего приложения (браузера) да, но в случае JanusVM виртуализируется не моё прилоржение! Виртуализируется линукс прокси-сервер, а моё приложение работает не внутри (под виртуализатором), а рядом с ним, в основной ОС! И совсем не очевидно, что моё приложение не сможет подключится к интернету напрямую, в обход прокси, тем же путём, что это делает JanusVM. Во всяком случае виртуальность тут ни при чём.]]> Thu, 15 May 2008 14:30:01 +0400 Анонимность в Интернет Re: Отменить запрос passphrase https://www.pgpru.com/comment23222 https://www.pgpru.com/comment23222    — Гость (15/05/2008 12:31):
Спаибо, разобрался]]> Thu, 15 May 2008 12:31:29 +0400 Работа с GnuPG Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23221 https://www.pgpru.com/comment23221    — Гость (15/05/2008 10:51):
ему прийдётся сломать сначала приложение, потом гостевую ОС, потом виртуализатор, а потом уже основную ОС.

ему прийдётся сломать сначала приложение, потом гостевую ОС, потом виртуализатор. а потом уже основную ОС.]]> Thu, 15 May 2008 10:51:26 +0400 Анонимность в Интернет Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23220 https://www.pgpru.com/comment23220    — Гость (15/05/2008 10:47):
Что помешает приложению обойти JanusVM, если это обычный локальный прокси, только зачем-то реализованный через виртуальную машину?

Вы недопонимаете. Дело в двух моментах:
  • Для удобства взаимодействия приложений между собой каждое из них может выполнять какой-то код при необходимости с правами пользователя, включая считывание сетевых настроек, и даже детекцию внешнего IP. Даже если приложение специфично, и настроено так, чтобы не позволять читать сетевые настройки, то в случае обнаружения в нём уязвимости, оно всё же выполнит злоумышленный код и сообщит эти сетевые настройки.
  • Тем, что каждое из приложений может прочитать из настроек компьютера, управляет операционная система, а она может и запретить это делать (случай мандатных политик доступа – а-ля SeLinux). В случае виртуальной машины, сама "гостевая операционная система" (ОС) не знает сетевых настроек, но основная система – в которой запущена гостевая, знает. Итак, в случае виртуализатора ваше приложение крутится в гостевой ОС, которая, в свою очередь, крутится в основной ОС.

Теперь резюме того "что и отукда вылезает":
  • Качество кода самой ОС как праивло существенно выше чем качество кода конкретного приложения, потому обойти ограничения ОС существенно сложнее. Также, качество виртуализатора в среднем тоже лучше чем качество приложения типа браузер (да, браузер – одна из самых дырявых программ на PC).
  • Итак,
    • Если само приложение позволяет легально смотреть настройки, то достаточно сделать так, чтобы оно крутилось в гостевой ОС (JanusVM или что-то т.п.), либо чтобы сама ОС в котором приложение запущено не позволяло смотреть эти настройки (мандатные политики доступа типа SeLinux).
    • Рассмотрим также вдобавок к предыдущему случаю возможность существовании уязвимости в приложении, которая всё же заставит его выдать сетевые настройки. В этом случае, если оно запущено на обычной ОС без VM, то злоумышленнику достаточно сломать самое простое – само приложение. Если приложение запущено в SeLinux, ему прийёдтся внагрузку сломать ещё и SeLinux. Если приложение запущено в виртуальной машине, ему прийдётся сломать сначала приложение, потом гостевую ОС, потом виртуализатор, а потом уже основную ОС.

Итак, что мы видим? Сломать, естественно, можно всегда (теоретически), только сломать иногда едва ли возможно. Что же даёт JanusVM теперь вам должно быть поняитно (концептуально).

Кстати, был известный тред OpenBSDшников и самого TdR о том, что "зря люди увлеклись виртуализацией: едвали те, кто не могут написать наормальные приложения, смогут написать недырявый виртуализатор, а потому рассматривать виртуализатор как средство защиты – тупость" (в оригинале были красочные эпитеты в чисто их стиле, кажется что-то типа "где вы взяли такую траву"). Это к тому, что если глубоко копать то можно столкнуться с рядом философских проблем, но по крайней мере в этом случае (этого топика) речь идёт о защите приложения перекладыванием ответственности с него на саму ОС, что почти всегда увеличит ожидаемую защиту.

Как-то так :)]]> Thu, 15 May 2008 10:47:39 +0400 Анонимность в Интернет Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23219 https://www.pgpru.com/comment23219    — Гость (15/05/2008 10:45):
Что помешает приложению обойти JanusVM, если это обычный локальный прокси, только зачем-то реализованный через виртуальную машину?

Вы недопонимаете. Дело в двух моментах:
  • Для удобства взаимодействия приложений между собой каждое из них может выполнять какой-то код при необходимости с правами пользователя, включая считывание сетевых настроек, и даже детекцию внешнего IP. Даже если приложение специфично, и настроено так, чтобы не позволять читать сетевые настройки, то в случае обнаружения в нём уязвимости, оно всё же выполнит злоумышленный код и сообщит эти сетевые настройки.
  • Тем, что каждое из приложений может прочитать из настроек компьютера, управляет операционная система, а она может и запретить это делать (случай мандатных политик доступа – а-ля SeLinux). В случае виртуальной машины, сама "гостевая операционная система" (ОС) не знает сетевых настроек, но основная система – в которой запущена гостевая, знает. Итак, в случае виртуализатора ваше приложение крутится в гостевой ОС, которая, в свою очередь, крутится в основной ОС.

Теперь резюме того "что и отукда вылезает":
  • Качество кода самой ОС как праивло существенно выше чем качество кода конкретного приложения, потому обойти ограничения ОС существенно сложнее. Также, качество виртуализатора в среднем тоже лучше чем качество приложения типа браузер (да, браузер – одна из самых дырявых программ на PC).
  • Итак,
    • Если само приложение позволяет легально смотреть настройки, то достаточно сделать так, чтобы оно крутилось в гостевой ОС (JanusVM или что-то т.п.), либо чтобы сама ОС в котором приложение запущено не позволяло смотреть эти настройки (мандатные политики доступа типа SeLinux).
    • Рассмотрим также вдобавок к предыдущему случаю возможность существовании уязвимости в приложении, которая всё же заставит его выдать сетевые настройки. В этом случае, если оно запущено на обычной ОС без VM, то злоумышленнику достаточно сломать самое простое – само приложение. Если приложение запущено в SeLinux, ему прийёдтся внагрузку сломать ещё и SeLinux. Если приложение запущено в виртуальной машине, ему прийдётся сломать сначала приложение, потом гостевую ОС, потом виртуализатор, а потом уже основную ОС.

Итак, что мы видим? Сломать, естественно, можно всегда (теоретически), только сломать иногда едва ли возможно. Что же даёт JanusVM теперь вам должно быть поняитно (концептуально).

Кстати, был известный тред OpenBSDшников и самого TdR о том, что "зря люди увлеклись виртуализацией: едвали те, кто не могут написать наормальные приложения, смогут написать недырявый виртуализатор, а потому рассматривать виртуализатор как средство защиты – тупость" (в оригинале были красочные эпитеты в чисто их стиле, кажется что-то типа "где вы взяли такую траву"). Это к тому, что если глубоко копать то можно столкнуться с рядом философских проблем, но по крайней мере в этом случае (этого топика) речь идёт о защите приложения перекладыванием ответственности с него на саму ОС, что почти всегда увеличит ожидаемую защиту.

Как-то так :)]]> Thu, 15 May 2008 10:45:49 +0400 Анонимность в Интернет Re: Предсказуемый ГСЧ и небезопасные ключи в Debian/Ubuntu https://www.pgpru.com/comment23218 https://www.pgpru.com/comment23218    — Гость (15/05/2008 10:27):
"апстрим плакал"
Тогда уж "плакалЪ".
пример кризиса модели открытой разработки
Скорее "базарной".]]> Thu, 15 May 2008 10:27:53 +0400 2008 Re: КАК клиент казино/покера узнает реальный IP https://www.pgpru.com/comment23217 https://www.pgpru.com/comment23217    — SATtva (15/05/2008 10:25):
Да потому, что этот прокси обеспечивает подключение к провайдеру. Соединение с провайдером устанавливается из JanusVM, который действует в роли NAT'а, одновременно заворачивая весь трафик в Tor. Реальная система просто не может знать свой внешний IP.]]> Thu, 15 May 2008 10:25:18 +0400 Анонимность в Интернет