| 1.1, Страдивариус (?), 11:15, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ] [↓] [к модератору]
| +7 +/– | |
Чё? Уязвимость называется: don't trust host by its IP. Известна с глубоких 90-х.
Я ещё пачку уязвимостей придумал, если вы подключаетесь к недоверенному провайдеру VPN. Впрочем все они так же основаны на том, что IP - это не то, что надо.
| | |
| |
| 2.18, Аноним (-), 12:35, 11/08/2023 [^] [^^] [^^^] [ответить] [↓] [к модератору]
| +/– | |
Грубо говоря, если атакующий может прописывать вашему хосту роуты как хочет - вы уже основательно нарываетесь. И впн в этом случае мало поможет - можно придумать более 9000 способов обмануть его маршрутизацией. Туда же и DNS-leak баянный.
...а вон тот тунель прописаный by-IP и с мануальным прописыванием роутов это явно не проберет :)
| | |
| |
| |
| 4.51, Аноним (-), 10:27, 12/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> Хорошо, что есть HTTPS, который, как мы знаем по заветам экспертов опеннет
> - не нужон.
В результате атакующий как минимум...
1) Знает что вы ходили - вон туда. VPN свою функцию не выполнил раз.
2) Может прицельно зарубить загрузку ресурса. VPN свою функцию не выполнил два.
3) При удачном сочетании звезд (например роскомовский сертификат, или глупая апликуха не чекающая серты, таких легион) - произвести атаку даже и на HTTPS.
4) Это все течет довольно много данных о вашей активности.
Вопрос: а зачем вам тогда VPN был нужен? :)
| | |
|
| 3.32, Бывалый смузихлёб (?), 15:42, 11/08/2023 [^] [^^] [^^^] [ответить] [↓] [↑] [к модератору]
| +/– |
В итоге проблемы в статье упираются в горе-оптимизации, которые позволяют системе самой убрать защиты
Или это целенаправленно-оставленные дыры, особенно на фоне распространения всяких цысокс обилием дыр
| | |
|
| |
| 3.55, Аноним (-), 19:12, 12/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– | |
> Да тут вопрос вообще принципиальный - Что такое недоверенный провайдер?
Например, цепляешься ты к вафле в кафешме. Она открытая, кто угодно может твой траф менять как угодно. И гарантий что вон тот тип с ноутом не хаксор и не отредиректит тебя и твой DHCP немного - примерно ноль.
Впрочем и обычному провайдеру доверять особо не следует. Вон например господа в DNS врут, редиректят на свои сайты-заглушки, врезают рекламу и делают еще более 9000 милых вещей. Можете конечно "доверять" им - но тогда про вас Цукерберг все правильно написал.
| | |
| 3.78, Страдивариус (?), 01:59, 04/09/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> Да тут вопрос вообще принципиальный - Что такое недоверенный провайдер?
У меня написано провайдер VPN, а не просто провайдер. Тот, который сделан и админится не тобою лично, очевидно.
| | |
|
|
| |
| |
| 3.56, Аноним (-), 19:14, 12/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– | |
> Вот бы таике простейшие скрипты в iOS и Андроид без рута.
Человек, если тебя приковали на цепь - есть плохие новости. Убежать ты в случае чего как раз и не сможешь. И будешь наиболее уязвимым как раз.
| | |
| 3.61, Аноним (61), 21:00, 13/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> Вот бы таике простейшие скрипты в iOS и Андроид без рута.
Чтобы это было надёжно и стабильно, это тогда надо поменять идейку вендора в фундаменте операционки.
А тогда эффективнее девайс на другой операционке.
Короче: сабж сделан так, что для серьёзки не пригоден бай дезайн. Только поиграться, да пивка с доставкой заказать.
| | |
|
| |
| |
| 4.36, Электрон (?), 16:59, 11/08/2023 [^] [^^] [^^^] [ответить] [↓] [к модератору]
| +1 +/– |
Почему же не может по DHCP выдаваться белый (глобальный) IPv4 конечному устройству из своего диапазона адресов, честно арендуемых?
У меня так и было, подсеть /26, так еще можно было себе статически неиспользуемый адрес взять, благо свободных много было.
| | |
|
|
|
| 1.3, Аноним (3), 11:16, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +1 +/– |
А ведь при достаточном контроле сети (ISP) никак не проверишь, ты подключаешься, или посредник притворяется тобой.
| | |
| |
| |
| 3.9, Аноним (3), 11:35, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
О чём и речь, что с твоей стороны и с удалённой стороны всё будет абсолютно обычным, а как оно на самом деле тебе не видно.
| | |
| |
| 4.26, Аноним (23), 13:07, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
mitm это называется
полно провайдеров в деревнях, кторые подрубаю клиентов
по статическому ip без всякой авторизации
| | |
|
|
| 2.50, Бум (?), 07:54, 12/08/2023 [^] [^^] [^^^] [ответить] [↓] [↑] [к модератору]
| +1 +/– |
Как не проверить? SSL, IPSEC ключи/сертификаты, всё в зашифрованном виде ходит. А если в свой роутер подключаете кабель провайдера, то по умолчанию вы должны этот порт в серую зону вывести и всё что уходит/приходит дальше вашей домашней сети должно само собой быть подозрительным. Атаки описанные в статье "нууу, атакующий должен сидеть сзади вашего системника возле порта сетевой карты", и "нууу трафик должен быть http", и "нууу вы не должны шифровать трафик до VPN при инкапсуляции", и "и тогда мы сможем вас атаковать!" Обалденная атака!
| | |
| |
| 3.67, Аноним (-), 00:48, 14/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> Как не проверить? SSL, IPSEC ключи/сертификаты, всё в зашифрованном виде ходит.
IPSec застрянет на первом же нате или фаерволе, так что ты его сам же и отключишь. Или останешься без доступа к своим ресурсам. Уж как там тебе удобно.
| | |
|
| |
| 3.65, Аноним (3), 22:56, 13/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Как часто ты проверяешь хеши любимых сайтов? А если они при этом меняют серты регулярно или даже используют околорандомные cdn-серты? А теперь, ты готов делать это для каждого подключения без исключений?
| | |
|
|
| 1.4, Аноним (10), 11:19, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +1 +/– | |
> атакующий, контролирующий локальную сеть и DNS-сервер
Защититься просто: не используем DNS-сервер, "любезно предоставленный" провайдером. Только DNSCrypt, только хардкор.
| | |
| |
| 2.7, Аноним (3), 11:25, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| –2 +/– |
Провайдерский так-то пореже отваливается. Ну и ничто не мешает проксировать твой dnscrypt, а так днс серверу митм устроили одним из первых шагов.
| | |
| |
| |
| 4.13, Аноним (3), 11:57, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– |
Это смотря какой митм. А самое интересное, что все публичные сервера dnscrypt подконтрольны определённым группам. Ну и когда я проверял защиту от вмешательства в трафик, только примерно 1% серверов работал, как надо.
| | |
| |
| 5.14, Аноним (10), 12:05, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– |
В интернете всё кому-то подконтрольно. Вопрос лишь в том, кому ты доверяешь больше: 1) мутному DNS-серверу, пришедшему из wifi-сети, 2) провайдерскому DNS от тащмайора, 3) или сверхпопулярным 1.1.1.1/8.8.8.8/whatever, в которых ты растворяешься среди миллиардов таких же юзеров, а владельцы на другом конце земного шара срть на тебя хотели.
| | |
| |
| 6.16, Аноним (16), 12:29, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +2 +/– |
Так срать хотели, что "селе в убыток" сервер держат. Помнится shodan стал NTP-сервером из общепринятого пула затем, чтобы получать уведомления о появлении устройств в сети и сканировать их когза они появляются.
| | |
| |
| 7.27, Аноним (23), 13:11, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
какова вероятность попасть на этот убыточный днс-сервер?
ааа.. точно! они держат тучу убыточных сервров, как и tor node,
чтобы поймать того васяна
| | |
| 7.64, Аноним (61), 21:23, 13/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
Есть интернет вещи. Которые ходят за обновлениями, плагинами, купленной хомяком функциональности. И есть статистика по доменам. Ради этой пары обстоятельств стоило поднять такие DNS/NTP сервера.
Это часть инфраструктуры огромного, развесистого бизнеса. Ну и Васька с Иваном если зайдут, то тоже неплохо.
| | |
|
|
|
|
| 3.19, Аноним (-), 12:37, 11/08/2023 [^] [^^] [^^^] [ответить] [↓] [↑] [к модератору]
| +1 +/– |
> Провайдерский так-то пореже отваливается. Ну и ничто не мешает проксировать
> твой dnscrypt, а так днс серверу митм устроили одним из первых шагов.
Зато гадости делает почаще. Особенно провайдерский. Особенно в Эрафии, где половина блоков росглавжандарма на этом держится.
| | |
| |
| 4.28, Аноним (23), 13:13, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
этого везде хватает по миру.. зри в корень!
Страшно не то что контролируют, а то что продают инфу всем кому не попадя
а может и под заказ
| | |
| |
| |
| |
| 7.46, Аноньимъ (ok), 23:36, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
 > По дружбе? Это дебилы..
> Дебилы с доступом к данным? Тогда не страшно
Ну чего сразу дебилы, не такие уж в ЦРУ дебилы сидят.
| | |
|
|
| 5.54, Аноним (-), 18:37, 12/08/2023 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– |
> этого везде хватает по миру.. зри в корень!
> Страшно не то что контролируют, а то что продают инфу всем кому не попадя
> а может и под заказ
Когда шпионят - это пассивная агрессия. А когда hijack'ают трафик и пытаются лечить что правильно - уже таки активная. Другой уровень эскалации и угроз.
| | |
| |
| 6.74, Аноним (74), 13:40, 14/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> А когда hijack'ают трафик
Это безусловная опасность с вытекающими последствиями.
Думаю равнодушных тут не будет
Но вот сбор персональных данных, может быть применен для разработки масштабной операции, например по отьему всего имущества, вот тут отложенные последствия с более тяжким итогом
| | |
| |
| 7.76, Аноним (-), 20:04, 16/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Может быть. А может и не быть. Вон то - уже есть, и не оставляет свободы для иллюзий и трактовок. Это просто агрессия. Надлежит отвечать на удар ударом. Можете как вариант подставить другую щеку, но вам и ее набьют как показала практика.
| | |
|
|
|
|
| 3.47, Электрон (?), 02:15, 12/08/2023 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– | |
> Провайдерский так-то пореже отваливается.
dnscrypt-proxy что на Golang, позволяет хоть десять зекрал-резолверов прописать, выберется лучший по пингу. Советую начать использовать.
| | |
|
|
| 1.6, Аноним (16), 11:24, 11/08/2023 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +1 +/– | |
>Атака сводится к тому, что подконтрольный атакующему шлюз выдаёт жертве IP-адрес из подсети, в которой находится целевой хост, трафик к которому необходимо перехватить.
WireGuard следует записанным в конфиге подсетям буквально. Для него эта атака неприменима.
| | |
| |
| |
| 3.68, Аноним (-), 02:04, 14/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
>>Из подверженных проблеме VPN упоминаются ... WireGuard для Windows
> Виндовый, видимо, не следует.
Маздай он и есть маздай. Нельзя сделать винду приватной и безопасной - это заведомо провальное начинание.
| | |
|
|
| |
| 2.69, Аноним (-), 02:05, 14/08/2023 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– | |
> А если внутри впн идет туннель впн или трафик tor?
Поздравляю с открытием. В этой вселенной возможно почти бесконечное количество абстракций. И вы все правильно понимаете - атакующие не могут предусмотреть все.
| | |
|
| |
| 2.42, Аноним (35), 21:39, 11/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
А что поделать, если современному человеку проще один раз сказать про фейсбук, чем сто раз объяснять, почему не открывается example.com...
| | |
|
| |
| 2.59, Аноним (-), 14:53, 13/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Клиентский и серверный сертификат всегда были будут 100% безопасными. нО это же надо настроивадьь.. ату этих аноноф, да святись зеленый замочек
| | |
| 2.63, Аноним (61), 21:17, 13/08/2023 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> Доверенных сетей больше не существует. Пора уже закрыть эту тему.
И VPN та самая затычка. Но погромисты иногда выдумывают искусственные ограничения, думая, что можно упростить, а оно нельзя упростить.
И, видимо, дефолтный клиент многих сервисов, заточненный под простого хомячка, видимо, часто сделан для сказочных условий у честных людей. Без учёта прочих возможностей.
| | |
|
|
