-
e-Business
(
http://www.devprotalk.com/forumdisplay.php?f=24)
| vidak |
22. 03. 2011. 17:02 |
Vrlo detaljna specifikacija, vrlo detaljna.
Da li ste uzeli u obzir da pronalaženje rupa unutar web aplikacija naših banaka ne može dovesti do prikupljanja podataka koji se mogu zloupotrebiti, t.j. da podaci koje se mogu prikupiti su irelevantni za eventualnu zloupotrebu?
Analizom ste došli do informacija da se za kreiranje PDF dokumenata koriste skoro svi dostupni kreatori PDF dokumenata. To ste mogli i odokativnom metodom da utvrdite, zar ne?
U dva dokumenta, bez uvoda i zaključka, samo 5 stranica analize ?
|
| McKracken |
22. 03. 2011. 17:36 |
<MD mode on>
Citat:
I jedno istrazivanje koje opisuje kakve informacije mogu da se nadju u online dokumentima sa ciljem da budu zloupotrebljene:
|
Istrazivanja, projekti, startapi itd. Malo ga pretera :D
Doduse, podaci koji nisu obuhvaceni istrazivanjem sa ili bez cilja, ne mogu biti ciljani za istrazivanje potencijalne zloupotrebe istih ili slicnih, ali ne i drugih.
</MD mode off> |
| mangia |
22. 03. 2011. 19:59 |
Jel iko pokušavao sledeći scenario...
Citat:
- 'alo, Dragice, Gojko programer ovde... Kako koji Gojko, Gojko sa trećeg, Božin sin... Testiram sistem pa mi treba tvoja lozinka
- Zdravo Gojko... Joj ne sjećam se lozinke, mislim da sam zapisala... A evo piše na monitoru... "samsung"
|
|
| ivanhoe |
22. 03. 2011. 22:00 |
Citat:
Korišdenje javno dostupnih i besplatnih servisa može dovesti do iznenadnih
prekida u radu, kao i “curenja” informacija.
|
Sta ovo znaci? Ispod je slika servera, jel se to misli na open-source projekte ili na sta?
U svakom slucaju, mislim da vam nije dobar pristup sa svom tom "misterioznoscu"... ne navodis ni jedan konkretni primer, cak ni spisak banaka koje su testirane, kako su testirane, zapravo, za svaku pojedinu tvrdnju mi treba da ti verujemo na rec da je to bas tako... nije frka ja verujem, ali zasto bi ti verovao neko ko te ne poznaje? Morate neke konkretne podatke da navedete da bi ovo bio teaser, ovako je samo gomila nekakvih grafika koji su mozda tacni, a mozda ste se jedno vece naduvali i nacrtali ih u Photoshopu... :) |
Citat:
Originalno napisao vidak
Da li ste uzeli u obzir da pronalaženje rupa unutar web aplikacija naših banaka ne može dovesti do prikupljanja podataka koji se mogu zloupotrebiti, t.j. da podaci koje se mogu prikupiti su irelevantni za eventualnu zloupotrebu?
|
Ne znam odakle si izveo ovakav zakljucak ? Faktor rizika ima vise promenljivih.
Citat:
Originalno napisao vidak
Analizom ste došli do informacija da se za kreiranje PDF dokumenata koriste skoro svi dostupni kreatori PDF dokumenata. To ste mogli i odokativnom metodom da utvrdite, zar ne?
|
Poenta istrazivanja je da skrene paznju na potencijalna mesta curenja informacija u nekom sistemu. Kombinacija email adrese, verzije aplikacija koje se vrte kod te osobe i malo socijalnog inzenjeringa moze da dovede do mnogo veceg propusta ...
U konkretnom primeru smo mogli da navedemo tacne procente za svaku aplikaciju, kao i vise detalja o tome gde se koristi i kada ali nismo iz vise razloga. Medju njima jedan je taj da za ovo istrazivanje to nije bitna informacija a drugi je da neke informacije nisu objavljene kako ne bi ugrozavali bezbednost drugih.
Citat:
Originalno napisao McKracken
Istrazivanja, projekti, startapi itd. Malo ga pretera ...
|
Ovo je istrazivanje koje je sprovedeno sa ciljem podizanja svesti o bezbednosti veoma bitne stavke u mnogim sferama zivota. Utrosen je rad i vreme za njegovo sprovodjenje ;)
Citat:
Originalno napisao mangia
Jel iko pokušavao sledeći scenario...
|
Istrazivanje na temu socijalnog inzenjeringa se planira za neku blizu buducnost. |
Citat:
Originalno napisao ivanhoe
Sta ovo znaci? Ispod je slika servera, jel se to misli na open-source projekte ili na sta?
|
Konkretno na razne web widgete, analytics i sl. Ono sto se ucitava sa udaljenih servisa nad kojima nemamo kontrolu.
Citat:
U svakom slucaju, mislim da vam nije dobar pristup sa svom tom "misterioznoscu"... ne navodis ni jedan konkretni primer, cak ni spisak banaka koje su testirane, kako su testirane, zapravo, za svaku pojedinu tvrdnju mi treba da ti verujemo na rec da je to bas tako... nije frka ja verujem, ali zasto bi ti verovao neko ko te ne poznaje? Morate neke konkretne podatke da navedete da bi ovo bio teaser, ovako je samo gomila nekakvih grafika koji su mozda tacni, a mozda ste se jedno vece naduvali i nacrtali ih u Photoshopu...
|
Nema misterije, jednostavno kako nijedna strana ne bi bila ugrozena a da ipak dodjemo do nekih bitnih podataka za javnost, prilikom objavljivanja dolazi do selekcije informacija. Konkretno nema povezanosti izmedju konkretne web lokacije i propusta.
Spisak banaka je naveden u dokumentu kao link na: http://www.ubs-asb.com/Default.aspx?tabid=567. Metodi su takodje opisani (prilozen je link): ( http://netsec.rs/UserFiles/File/Test...0tehnikama.pdf i info da je utroseno po 10 min za svaku lokaciju.
Kakve konkretne podatke bi tacno zeleo da vidis a da ne pritom ne ugorzavaju bezbednost (korisnika,davalaca usluga,istrazivaca,...) ni sa jedne strane ? |
| vidak |
23. 03. 2011. 00:52 |
@Ivan
Ajde daj neki konkretan propust koji si uočio pa da i mi, koji čitamo ove postove, naučimo nešto novo.
'Vako SQL injection, email adresa i verzija PDF kreatora su previše opšte teme, a postoji puno tutorijala na YouTUBE-u, gde klinci od 10tak godina objašnjavaju neke od ovih problema.
|
@vidak kao sto rekoh cilj ovih istrazivanja nije da analiziramo konkretan propust i njegovu eksploataciju vec samo da skrenemo paznju na njegovo postojanje.
A ako zelis da naucis vise o web sigurnosti mozes za pocetak da pogledas moje slajdove sa raznih predavanja ili da se prijavis za neki od kurseva.
Pisanje uputstava za eksploataciju mi se ne cini kao tema koju bi izabrao a i kao sto si rekao vec ima toga puno po webu ... |
| vidak |
23. 03. 2011. 01:22 |
Citat:
Originalno napisao Ivan
(Napišite 96552)
kao sto rekoh cilj ovih istrazivanja nije da analiziramo konkretan propust i njegovu eksploataciju vec samo da skrenemo paznju na njegovo postojanje.
|
Iz ovoga se nameće zaključak da ste istraživali na apstraktnom uzorku t.j. da niste istraživali konkretnu situaciju??? Ne razumem ovakav koncept?
Napredni security kursevi!?
Jednodnevni kurs "PHP Security Coding"?
Dvodnevni kurs "Linux za Windows administratore"?
Jednodnevni kurs "Web Security"?
Verovatno sam ja idiot kada mi su mi za sve ovo trebale godine...
...još ako ti kažem da sam 10 nedelja slušao LPIC1 i LPIC2 u CET-u, sigurno ćeš me proglasiti totalnim moronom. ... ali to je samo moj problem |
| Vreme je GMT +2. Trenutno vreme je 05:46. |
|
Powered by vBulletin® Verzija 3.6.8
Copyright ©2000 - 2024, Jelsoft Enterprises Ltd.
Copyright © DevProTalk. All Rights Reserved.
Mišljenja, saveti, izjave, ponude ili druge informacije ili sadržaji nastali na Sajtu su vlasništvo onoga ko ih je kreirao, a ne DevProTalk.com, tako da ne morate da se oslanjate na njih.
Autori poruka su jedini odgovorni za ovakve sadržaje. DevProTalk.com ne garantuje tačnost, kompletnost ili upotrebnu vrednost informacija, stavova, saveta ili datih izjava. Ne postoje uslovi pod kojima bi mi bili odgovorni za štetu ili gubitak koji je posledica bilo čijeg oslanjanja na nepouzdane informacije, ili bilo kakve informacije nastale kroz komunikaciju između registrovanih članova.Web sajt može sadržavati linkove na druge web sajtove na Internetu ili neke druge sadržaje. Ne kontrolišemo niti podržavamo te druge web sajtove, niti smo pregledali bilo kakve sadržaje na takvim sajtovima. Mi nećemo biti odgovorni za legalnost, tačnost ili prikladnost bilo kog sadržaja, oglasa, proizvoda, usluga ili informacije lociranim na ili distribuiranih kroz druge web sajtove, niti za bilo kakvu štetu nastalu kao posledica takvih informacija. DevProTalk.com drži i čuva druga prava vlasništva na web sajtu. Web sajt sadrže materijale zaštićene copyright-om, zaštitne znakove i druge informacije o pravu vlasništva ili softver. Članovi mogu poslatu informacije zaštićene pravima vlasništva njihovih nosilaca i ona ostaju zaštićena bez obzira da li su oni koji prenose te informacije to naveli ili ne. Osim informacija koje su u javnom vlasništvu ili za koje dobijete dozvolu, nemate pravo da kopirate, modifikujete ili na bilo koji način menjate, objavljujete, prenosite, distribuirate, izvršavate, prikazujete ili prodajte bilo koju informaciju zaštićenu pravima vlasništva. Slanjem informacija ili sadržaja na bilo koji deo DevProTalk.com, Vi automatski dozvoljavate i predstavljate garanciju da imate pravo da dozvolite DevProTalk.com ili članovima DevProTalk.com bespovratnu, kontinualnu, neograničenu, globalnu dozvolu da koriste, kopiraju, izvršavaju, prikazuju i distribuiraju takve informacije i sadržaje i da iz takvih sadžaja koriste bilo koji deo u bilo koje svrhe, kao i pravo i dozvolu da koriste gore navedene sadržaje. Svi zaštitni znakovi (trademarks), logotipi, oznake usluga, firme ili imena proizvoda koji se pominju na ovom web sajtu su vlasništvo kojim raspolažu njihovi vlasnici.
