Hakovan sajt odeljenja za visokotehnološki kriminal

[dinke]

Ma daj, i bez toga broj mogucih kombinacija za normalan pass je dovoljno veliki da nijedan script ne moze da ga provali brute force attackom.

Npr 8 karaktera (slova up/low case i brojevi) = 62^8 = 218 340 105 584 896 kombinacija!

Na stranu sto bi trebalo prikazati captchu posle 3 neuspesna logina, blokirati account posle 10 pokusaja (to upravo ovaj forum radi) i stavljati sleep izmedju 2 uzastopna requesta, ...

[Petar Marić]

sleep() u okviru HTTP request/response ciklusa nikako, osim ako ne želite sam-svoj-DOS pošto vešt haker tada može naterati svu Apache decu da samo sede i vrte prstima.

[vidak]

Originalno napisao Petar Marić

sleep() u okviru HTTP request/response ciklusa nikako, osim ako ne želite sam-svoj-DOS pošto vešt haker tada može naterati svu Apache decu da samo sede i vrte prstima.

kako se to radi i šta je alternativa?

predpostavljam da ne misliš da sa jedne IP adrese se pokrene više zahteva npr. python threading pa onda zaguši server?

[ivanhoe]

Originalno napisao dinke

Ma daj, i bez toga broj mogucih kombinacija za normalan pass je dovoljno veliki da nijedan script ne moze da ga provali brute force attackom.

i ne napadaju se brute force, napadaju se pomocu dictionary-ja, ceste kombinacije tipa ime + par cifri i sl, ime-cifra-ime i sl. Cak i jako duge sifre se jako lako provale ako koriste poznatu rec. Tako da si onda osudjen da imas random sifre teske za kucanje, koje ces morati da zapises ili snimis negde, sto je potencijalna rupa...

A sa druge strane ako je baza utf8, zaste ne bi recimo otkucao sifru laku za pamcenje na cirilici (ili tamilskom pismu nebitno), tebi je to jednostavno, a skripta ce ga tesko provaliti

Takodje, ne postoji dobar nacin da se branis od provaljivanja sifri osim da privremeno blokiras accounte nakon par gresaka. Ali kod velikih sistema onda imas drugi problem, da haker moze da napada vise accounta istovremeno. Ti blokiras jedan na sat vremena, on predje na sledeci, i tako u krug, pa kroz sat vremena nastavi sa onim prvim. Ako pokrene takav napad preko Tora ili anonimnih proxija, ne mozes ni da ga blokiras po IP-ju...

ako pretpostavimo da nema neki sistem koji alarmira admina na veliki broj pogresnih logina(a mislim da vecina nema), onda ce napadac da ima par dana/nedelja/meseci fore da dzara po loginima dok neko ne primeti... sanse su ogromne da ce za mnogo manje vremena provaliti bar par accounta gde su sifre perica123 i qwerty...

[twix]

Off Topic: btw sumnjam da iko vise koristi brute force, pored toliko drugih propusta i nepaznje.

[degojs]

Ako je sistem baš kritičan onda ima raznih rešenja.

Supruga mog brata je radila za jednu osiguravajuću kompaniju i otprilike ovako ide: šifra na serveru se automatski menja svakih par minuta (i to je nešto random), a korisnik ima mali uređaj koji je sinhronizovan sa serverom i tu na ekranu može da vidi koja je trenutna lozinka na serveru.

I kad se loguješ, ukucavaju se dve lozinke: jednu koju prepisuješ sa tog uređaja, a drugu koju si sam postavio.

[vidak]

Originalno napisao degojs

Ako je sistem baš kritičan onda ima raznih rešenja.

Supruga mog brata je radila za jednu osiguravajuću kompaniju i otprilike ovako ide: šifra na serveru se automatski menja svakih par minuta (i to je nešto random), a korisnik ima mali uređaj koji je sinhronizovan sa serverom i tu na ekranu može da vidi koja je trenutna lozinka na serveru.

I kad se loguješ, ukucavaju se dve lozinke: jednu koju prepisuješ sa tog uređaja, a drugu koju si sam postavio.

Ne postoji neprobojan sistem.

U knjizi 'Primenjena Kriptografija' autor zastupa stav da sistem zaštite treba da bude takav da su troškovi njegovog probijanja veći od koristi koju napadač ima od dobijenih podataka.

U istoj knjizi postoji gomila različitih protokola sa detaljnim objašnjenijma i primerima iz realnog života. Interesantno je to da u osnovi ne postoji protokol koji nema nedostatak.... bla, bla, bla....

[mangia]

Originalno napisao degojs

...... za jednu osiguravajuću kompaniju i otprilike ovako ide: šifra na serveru se automatski menja svakih par minuta (i to je nešto random), a korisnik ima mali uređaj koji je sinhronizovan sa serverom i tu na ekranu može da vidi koja je trenutna lozinka na serveru.

I kad se loguješ, ukucavaju se dve lozinke: jednu koju prepisuješ sa tog uređaja, a drugu koju si sam postavio.

A ja neki dan u jednoj od najvecih osiguravajucih kuca i teta ce meni

"samo da pogledam u bazi"

nakon toga browsuje kroz foldere na C (!!!!) particiji
osiguranje - 2009 - osiguranja2009.xls

trt trt trt skrola kroz excel.... e evo vas...

[dinke]

Originalno napisao mangia

A ja neki dan u jednoj od najvecih osiguravajucih kuca ...

Nedostaje kljucna rec: u Srbiji

[mangia]

Originalno napisao dinke

Nedostaje kljucna rec: u Srbiji

Ovo je bilo u BiH ... ali osim PayPal-a nema neke razlike između nas...