The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Представлен новый вид атаки по перехвату данных, передаваемы..."
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от opennews (??) on 06-Авг-13, 23:13 
На прошедшей конференции Black Hat была обнародована (http://www.kb.cert.org/vuls/id/987798) информация о новом виде атаки BREACH,  позволяющей восстановить содержимое отдельных секретных идентификаторов (например, сессионные cookie и CSRF-токены), передаваемых внутри зашифрованного HTTPS-соединения. Метод атаки BREACH практически идентичен представленной в прошлом году атаке CRIME (https://www.opennet.ru/opennews/art.shtml?num=34869) (Compression Ratio Info-leak Made Easy), за тем исключением, что атака оперирует особенностью изменения характера потока при сжатии на уровне HTTP, а не при сжатии на уровне TLS/SSL, как в случае с CRIME.

Для организации атаки требуется получение контроля за трафиком на промежуточном шлюзе и выполнение на стороне браузера клиента JavaScript-кода злоумышленника (в случае получения контроля над транзитным шлюзом, осуществить подстановку JavaScript-кода в незащищённый трафик не составляет труда). Атака строится на возможности выделения в отслеживаемом зашифрованном трафике блоков данных с метками, отправляемыми подставным JavaScript-кодом на сайт, для которого требуется перехватить идентификационные данные, в рамках общего шифрованного канала связи.

Так как содержимое отправляемых JavaScript-кодом помеченных пакетов известно, за исключением секретного идентификатора, и известен размер всех данных, то путем повторной отправки подставных запросов атакующий может символ за символом угадать содержимое искомых данных, сопоставляя свои попытки изменением размера сжатых данных (восстановление CSRF-токена было продемонстрировано за 30 секунд, потребовав отправки примерно 4000 пробных запросов). Точность восстановления оценивается в 95%.


Если для защиты от CRIME уже повсеместно отключено сжатие на уровне TLS/SSL, то в случае BREACH требуется отключение сжатия gzip/deflate на уровне HTTP. В качестве метода защиты на уровне web-приложений, предлагается случайным образом менять представление секретных идентификаторов при каждом запросе, например, через операцию XOR со случайной маской.

URL: http://threatpost.com/breach-compression-attack-steals-https...
Новость: https://www.opennet.ru/opennews/art.shtml?num=37614

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 06-Авг-13, 23:13 
как хорошо что в последнем firefox убрали опцию "noscript"
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Представлен новый вид атаки по перехвату данных, передаваемы..."  –2 +/
Сообщение от Аноним (??) on 06-Авг-13, 23:19 
«Честному человеку скрывать нечего» ©
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

5. "Представлен новый вид атаки по перехвату данных, передаваемы..."  –4 +/
Сообщение от JOO on 06-Авг-13, 23:36 
"Все врут" ©
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

7. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +5 +/
Сообщение от Аноним (??) on 06-Авг-13, 23:40 
> "Все врут" ©

Врет ли врун, когда говорит, что он врет?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

9. "Представлен новый вид атаки по перехвату данных, передаваемы..."  –3 +/
Сообщение от Аноним (??) on 07-Авг-13, 00:06 
Рекурсия
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

12. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +7 +/
Сообщение от Аноним (??) on 07-Авг-13, 00:10 
> Рекурсия

Нет, всего лишь антиномия.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

16. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +11 +/
Сообщение от Ordu email(ok) on 07-Авг-13, 00:16 
Нет. Это не рекурсия. Что за манера сводить всё разнообразие проявлений окружающей среды к своему ограниченному лексикону? Это не рекурсия, а логический парадокс. Гурманы, разбирающиеся в сортах парадоксов, назвали бы его антиномией. Сия антиномия, известна как минимум, со времён Древней Греции. Ну и да, к сегодняшнему дню, математика вполне в состоянии справится с этим парадоксом, поэтому называть его парадоксом не совсем корректно. Но, для сельской местности, сойдёт.
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

25. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Gabrusenko on 07-Авг-13, 08:40 
автореференция это
Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

46. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +3 +/
Сообщение от Аноним (??) on 07-Авг-13, 13:31 
Автореферентные высказывания, безусловно, относятся к рекуррентным (возвратным), которые не очень грамотные люди и называют обычно рекурсивными.
Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

68. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от X86 (ok) on 10-Авг-13, 14:20 
Спасибо тебе, что ты есть, мыслящий человек! :)
Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

18. "Представлен новый вид атаки по перехвату данных, передаваемы..."  –2 +/
Сообщение от JOO on 07-Авг-13, 00:33 
Уговорил. Доформулирую.
Все лгут, но не всегда.
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

65. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 08-Авг-13, 23:52 
> Уговорил. Доформулирую.
> Все лгут, но не всегда.

Как говорил Капитан Очевидность, "я говорю правду всегда, кроме случаев, когда я лгу".

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

23. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Andrew Kolchoogin (ok) on 07-Авг-13, 07:22 
Цирюльник в деревне занимается тем, что бреет тех людей, которые не бреются сами. Бреет ли он при этом сам себя?
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

36. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от the joker (ok) on 07-Авг-13, 11:55 
> Цирюльник в деревне занимается тем, что бреет тех людей,
> которые не бреются сами. Бреет ли он при этом сам себя?

Оба ответа (противоположных) верны одновременно:
а) Да, он бреется сам.
б) Нет, его бреет цирюльник.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

64. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 08-Авг-13, 23:50 
Нет, он вообще не бреется. Потому что автор поста выше забыл указать, что цирюльник бреет _всех_, кто не бреется сам. А без этой детали все становится очень просто (как говорят слесари на автобазе).
Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

40. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Anonymous_Smoke on 07-Авг-13, 12:24 
Не бреет. Он вообще не бреет бороду.
Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

45. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 13:30 
Не он, а она.
Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

49. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +1 +/
Сообщение от Филимон Шорохов on 07-Авг-13, 14:21 
Цирюльник - индеец. У них бороды не растут.
Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

50. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 14:36 
Врет! Врун всегда врет!
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

55. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 19:00 
всё же не врёт, получается
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

4. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +1 +/
Сообщение от marks on 06-Авг-13, 23:31 
Расширения ставить религия не позволяет?
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

6. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +4 +/
Сообщение от Аноним (??) on 06-Авг-13, 23:40 
> Расширения ставить религия не позволяет?

<sarcasm>
Мозилловцы уже обсуждают необходимость выпилить API-функции, требуемые для работы NoScript, ввиду того, что этим расширением пользуется менее 1% народа
</sarcasm>

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

11. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Crazy Alex (ok) on 07-Авг-13, 00:09 
Ссылочку приведете?
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

14. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +1 +/
Сообщение от Аноним (??) on 07-Авг-13, 00:10 
> Ссылочку приведете?

Это инсайд.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

35. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +3 +/
Сообщение от Аноним (??) on 07-Авг-13, 11:50 
> Это инсайд.

Это жирный троллинг, имхо.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

60. "Представлен новый вид атаки по перехвату данных, передаваемы..."  –1 +/
Сообщение от Шакалик on 08-Авг-13, 02:07 
>> Это инсайд.
> Это жирный троллинг, имхо.

Увы, нет.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

26. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +1 +/
Сообщение от хрюкотающий зелюк on 07-Авг-13, 09:17 
> Мозилловцы уже обсуждают необходимость выпилить API-функции, требуемые для работы NoScript, ввиду того, что этим расширением пользуется менее 1% народа

только ради NoScript сижу на фоксе, неужели???

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

8. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 00:04 
Интересно какой логикой надо обладать что бы запилить по умолчанию недофаербаг, недопанельку сетевой активности и выкинуть фичи по отрубанию джаваскриптов. С какой радости вот это расширениями нельзя оставить, что это за регилия такая?
Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

10. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 00:07 
«Целостность интерфейса»™ же.
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

34. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 11:47 
> «Целостность интерфейса»™ же.

Кроме того это достаточно глубокое влезание в механику браузера. Расширения... файрбаг прославился тем что вызывает ... уйму БАГОВ в процессе своей работы.

Опыт других браузеров показал что таки как часть браузера это работает лучше. А расширением теперь будет выборочно включаться JS, да. В этом есть некая логика: в core стоит оставить то что надо часто, а что надо редко (задр@чиваются с отключкой JS только продвинутые пользователи) - аддонами.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

66. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 08-Авг-13, 23:54 
Обеспечение API для аддонов в core, как правило, гораздо сложнее реализации тех функций, которые вынесены в аддоны.
Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

67. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 09-Авг-13, 00:44 
> В этом есть некая логика: в core стоит оставить то что надо часто, а что надо редко (задр@чиваются с отключкой JS только продвинутые пользователи) - аддонами.

Могу ещё раз повторить вопрос и переформулировать его. Вот есть простой пользователь. Есть функции в ядре броузера. Допустим две. Первая предоставлять интерфейс к недофаербагу, вторая - возможность включить/отключить скрипты на сайтах.
Теперь вопрос. У нас простые пользователи каждые второй сайт крутят в фаербаге? Это нужнее чем иметь возможность включить-выключить скрипты на глючных сайтах? Какая тут логика? Особая?

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

13. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Crazy Alex (ok) on 07-Авг-13, 00:10 
Да не выкидывал фичу, там новость непонятно как писали. Убрали из окошка настроек, оставив в about:config
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

22. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноным (ok) on 07-Авг-13, 02:49 
Большинству не нужно, всё, можно выкидывать.
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

28. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +1 +/
Сообщение от SubGun (ok) on 07-Авг-13, 10:20 
Пропаганда меньшинства запрещена)
Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

37. "Представлен новый вид атаки по перехвату данных, передаваемы..."  –2 +/
Сообщение от the joker (ok) on 07-Авг-13, 11:59 
> Пропаганда меньшинства запрещена)

Меньшинства-то как раз под защитой. А вот кто защитит большинство от этих самых меньшинств (которых расплодилось, как собак нерезанных)?

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

38. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от ИТтаджик on 07-Авг-13, 12:13 
>> Пропаганда меньшинства запрещена)
> Меньшинства-то как раз под защитой. А вот кто защитит большинство от этих
> самых меньшинств (которых расплодилось, как собак нерезанных)?

Ссыкливое большинство, умеющее только гадить на форумах и мелкопакостить в Манежах, иного недостойно.

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

17. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +3 +/
Сообщение от Аноним (??) on 07-Авг-13, 00:17 
> как хорошо что в последнем firefox убрали опцию "noscript"

Но при этом добавили опцию, блокирующую выполнение незащищенных скриптов на защищенных страницах, бгг
См. https://www.opennet.ru/opennews/art.shtml?num=37609

> Включение системы блокирования смешанного контента, предназначенной для защиты пользователей от MITM-атак (man-in-the-middle) и от интеграции прослушивающих вставок на HTTPS-страницы. Начиная с Firefox 23 при наличии на доступной через HTTPS странице обращений к незащищённым HTTP-ресурсам, некоторые виды обращения по HTTP будут блокироваться по умолчанию. Блокироваться будет только активный контент, т.е. незащищённые запросы скриптов.

 

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

20. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +11 +/
Сообщение от Xasd (ok) on 07-Авг-13, 01:41 
> как хорошо что в последнем firefox убрали опцию "noscript"

Javascript тут не причём.

если предполижить что Javascript отключен -- то туже самую атаку можно сделать через <IFRAME> в сочитании с <META HTTP-EQUIV="REFRESH" ...>

так что прекратите пороть чушь.

если уж хотите глобального_и_радикального решения проблемы.

то нужно запретить HTTP-протокол , и разрешить только HTTPS (с обязательной проверкой сертификата по DANE (DNS-based Authentication of Named Entities)).

а также запретить IFRAME , и вообще все все ресурсы (даже картинки) подгружать только через CORS (Cross-origin resource sharing)...

...а Javascript тут виноват только в последнюю очередь...

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

33. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 11:29 
> если уж хотите глобального_и_радикального решения проблемы.
> то нужно запретить HTTP-протокол , и разрешить только HTTPS (с обязательной проверкой
> сертификата по DANE (DNS-based Authentication of Named Entities)).

...после чего соотв. ауторити просто начнут выписку левых сертов и вся эта фигня пойдет лесом, как обычно.

Сам по себе https в его текущем виде защитой является не больше чем бронежилет из картона. Выглядит может и как настоящий, только пули не очень хорошо задерживает.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

52. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Xasd (ok) on 07-Авг-13, 16:58 
>> если уж хотите глобального_и_радикального решения проблемы.
>> то нужно запретить HTTP-протокол , и разрешить только HTTPS (с обязательной проверкой
>> сертификата по DANE (DNS-based Authentication of Named Entities)).
> ...после чего соотв. ауторити просто начнут выписку левых сертов и вся эта
> фигня пойдет лесом, как обычно.

ды ауторити пусть хоть обвыписываются своими левыми сертифкатами, но всё равно это не будет иметь приоритета перед DANE.

в случае если есть хотя бы ОДНА ошибка в двух проверках (DANE или ауторити) -- сайт уже считается скомпрометированным и НЕ будет открыватсья в www-браузере.

(так написанно на wiki-страничке от Мозилки)

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

56. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 19:21 
> не будет иметь приоритета перед DANE.

Поэтому MITM просто поставит свой DNS сервер без этой байды посередине. Поскольку сайтов которые так не умеют будет много и еще долгие годы, типовой хомяк просто не замтит что ему DNS немного заменили. На иной, который так не умеет. Что как бы нормальная ситуация - ведь полинтернета тоже это не умеет.

Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

47. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от лох on 07-Авг-13, 13:31 
>> передаваемых внутри зашифрованного HTTPS-соединения
> запретить HTTP-протокол , и разрешить только HTTPS

перепутал?

> туже самую атаку можно сделать через <IFRAME>

ту же самую атаку можно будет сделать всегда, если клиент (браузер, плеер, хз-что) будет иметь возможность отправлять запрос через скомпрометированный гейт без участия юзера. Вне зависимости от протокола (НТТР/S, SPDY, FUCK и т.д.) и содержания страницы (HTML4/5, iframe, flash, jpg -- кстати жпеги тоже "ломали").

> если уж хотите глобального_и_радикального решения проблемы
> запретить IFRAME , и вообще все все ресурсы

может сразу запретить весь интернет.

> прекратите пороть чушь

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

57. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 19:23 
> юзера. Вне зависимости от протокола

Вот это не обязательно, кстати. Если на уровне протокола предусмотреть некий padding данных, с рандомизацией размера и прочая - MITM таки *будет* в этом случае чертыхаться.

Ответить | Правка | ^ к родителю #47 | Наверх | Cообщить модератору

48. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 13:37 
IFRAME NoScript тоже умеет блочить. Это расширение вообще очень мощная штука для безопасности, рекомендую посмотреть.
Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

24. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +2 +/
Сообщение от Аноним (??) on 07-Авг-13, 07:38 
убрали и павильно. Если бы можно было для определенныз сацтов разрешать это одно, а как там оно все равно бесполездно.
Кому надо отключит через эбоут:конфиг или расширением носкрипт.
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

30. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 11:14 
Б-ть, не печатайте на опеннет с тетрисов.
Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

29. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +1 +/
Сообщение от Аноним (??) on 07-Авг-13, 11:13 
>  как хорошо что в последнем firefox убрали опцию "noscript"

Поэтому есть аддон NoScript, который куда более разумно поступает - позволяет выборочно разрешить JS тем сайтам которые нужны и без него не работают.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 06-Авг-13, 23:27 
Ох уж этот жабакод злоумышленника
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

15. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Crazy Alex (ok) on 07-Авг-13, 00:11 
Не понял - а что, так сложно не позволять исполнять незащищенный JS на защищенной странице?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

19. "Представлен новый вид атаки по перехвату данных, передаваемы..."  –2 +/
Сообщение от Xasd (ok) on 07-Авг-13, 01:33 
> Не понял - а что, так сложно не позволять исполнять незащищенный JS на защищенной странице?

например заходишь ты на

http://twitter.com

и сервер тебя переадресовывает на

httpS://twitter.com

но это происходит в НОРМАЛЬНОМ случае..

..а в случае атаки:

ты заходишь на

http://twitter.com

и тут включается CRIME-скрипт (или как его там?) ВМЕСТО переадесации на

httpS://twitter.com

# P.S.: стоит ли говорить про http-закоговок ---- HTTP Strict Transport Security (?) , который уже не позволит второй раз зайти на http если ты уже бывал хоть раз на https. так-что Firefox можно сказать УЖЕ на 99% защищён от этой фигни , если разработчик сайта вспомнил про "HTTP Strict Transport Security" . а если разработчик не вспомнил про этот заголовок -- то Firefox тоже защищён (но менее чем на 99%) :)

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

27. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 09:55 
а ежели сразу на https:// заходить, тогда, выходит, атака невозможно?
не лучше ль тогда сварганить плагин, меняющий где только можно http на https?
Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

39. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +3 +/
Сообщение от Anonymouse on 07-Авг-13, 12:21 
Уже есть такой. См. eff.org/https-everywhere
Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

32. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 11:27 
> не вспомнил про этот заголовок -- то Firefox тоже защищён (но менее чем на 99%) :)

Свежий лис не грузит не-HTTPS контент на HTTPS страницах по умолчанию.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

44. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Crazy Alex (ok) on 07-Авг-13, 13:26 
Ага, дошло. Ну да, можно же через формы или ифреймы дергать раз за разом HTTPS-адрес с разными параметрами...
Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

53. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Xasd (ok) on 07-Авг-13, 17:01 
> ...можно же через формы или ифреймы дергать раз
> за разом HTTPS-адрес с разными параметрами...

верно! :)

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

21. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 01:55 
Нужно больше песочниц.
Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

31. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 11:26 
> Не понял - а что, так сложно не позволять исполнять незащищенный JS
> на защищенной странице?

Свежий 23-й лис кстати так и сделает - матюкнется что не шифрованный контент на шифрованной странице и не будет его вгружать.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

41. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +2 +/
Сообщение от Аноним (??) on 07-Авг-13, 12:54 
Если есть "выполнение на стороне браузера клиента JavaScript-кода злоумышленника", то зачем всё остальное?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

42. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Нанобот (ok) on 07-Авг-13, 12:55 
>В качестве метода защиты на уровне web-приложений, предлагается случайным образом менять представление секретных идентификаторов при каждом запросе, например, через операцию XOR со случайной маской.

костыли! причём кривые

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

43. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 13:15 
Подскажите плиз, если у апача отключить mod_deflate и mod_gzip, то эксплуатация будет невозможна????
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

51. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 15:17 
хотел сказать, "эксплуатация уязвимости будет невозможна?"
Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

54. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Sylvia (ok) on 07-Авг-13, 18:06 
очень понравился лаконичный ответ Игоря Сысоева

"gzip off" от SSL-enabled sites.
--
Igor Sysoev

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

58. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 19:24 
> "gzip off" от SSL-enabled sites.

Только у SSL еще встроенное сжатие zlib есть. Это как раз соседняя атака. Сколько там еще костылей надо поставить, ась?

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

61. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Sylvia (ok) on 08-Авг-13, 07:25 
в nginx сжатие на уровне openssl давно отключено
Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

59. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 07-Авг-13, 21:03 
>> "gzip off" от SSL-enabled sites.

Бред сивой кобыли

gzip относиться только к модулю (HTTP)

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

62. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Sylvia (ok) on 08-Авг-13, 07:27 
>>> "gzip off" от SSL-enabled sites.
> Бред сивой кобыли
> gzip относиться только к модулю (HTTP)

директива работает на любом блоке server {} втч и в случае listen 443 ssl;
и да, нам как раз и нужно отключить сжатие на уровне http

Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

63. "Представлен новый вид атаки по перехвату данных, передаваемы..."  +/
Сообщение от Аноним (??) on 08-Авг-13, 14:42 
if ( $scheme = "https" ) { gzip off }
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру