Atak na vajrles ruter ili opusteno?

[Petar Marić]

Ne koristim bežičnu mreže putem mobilnog telefona u stanu jer:

1. imam laptop pa mi ne treba
2. mreža je po 802.11n standardu na 5Ghz
3. ne posedujem telefon koji ima wifi

Ali hajde da zarad diskusije kažemo da imam takav telefon koji se može povezati na moju kućnu mrežu i da ga želim koristiti. Ne vidim šta je problem sesti i jednom u 6 meseci (da, nova random lozinka svakih 6 meseci) otkucati 63 random karaktera, ako to značajno povećava stepen bezbednosti.

Što se tiče tvog utiska preterivanja, mnogima je preterivanje vezivanje pojasa ili korišćenje kondoma - lepo kaže naš narod: ko se čuva i Bog ga čuva.

[ivanhoe]

Originalno napisao Petar Marić

Ne vidim šta je problem sesti i jednom u 6 meseci (da, nova random lozinka svakih 6 meseci) otkucati 63 random karaktera, ako to značajno povećava stepen bezbednosti.

63 karaktera su korisna, ali menjanje sifre svakih N meseci ne povecava uopste nivo zastite... sem ako bi te neko napadao konstantno svo to vreme, onda ima smisla...

[misk0]

Originalno napisao Petar Marić

Što se tiče tvog utiska preterivanja, mnogima je preterivanje vezivanje pojasa ili korišćenje kondoma - lepo kaže naš narod: ko se čuva i Bog ga čuva.

Ne znam sta je na tvojoj kucnoj Wifi mrezi toliko 'vazno' kad ti je ovo poredjenje adekvatno - i pojas i kondom glavu cuvaju, za razliku od jedne WiFi mreze.

[Petar Marić]

Nije u pitanju kućna, već SOHO mreža. Poverljivi podaci mojih klijenata su mi veoma bitni, ali pošto iznamljujem stan nisam u mogućnosti da bušim zidove na 5 mesta zarad žične mreže.

Plastični primer: klijent traži da se napravi sto koji ima nosivost 100kg (po specifikaciji). Neki bi testirali njegovu nosivost sa 105-110kg. Ako je neznatna razlika u ceni izrade (a koristeći KeePass ne postoji razlika između automatizovanog unosa lozinke od 10 ili 63 znaka) u zavisnosti od uslova korišćenja testirao bih nosivost sa 250-300kg. Ako sto ipak popusti tokom korišćenja visoka je šansa da su njegovi radnici koristili na taj sto stavili predmet značajno teži od maksimalno dozvoljene nosivosti.

Korišćenjem jakih algoritama enkripcije uz slučajno generisane dugačke ključeve sa rokom trajanja mogu klijentu odgovorno da tvrdim da sam preduzeo neophodne mere obezbeđenja njegovog (npr.) AdSense ili NameCheap naloga. Uz doslednu primenu i dokumentovanje celokupnog procesa značajno sam smanjio svoj udeo odgovornosti ukoliko ipak dođe do upada.

A mom trenutnom klijentu je bilo dovoljno kauboj-kodera u zadnjih 15 godina. Na početku naše saradnje sam odmah morao da saniram 2 potvrđena incidenta u njegovim web aplikacijama. Od tada sam tokom revizija postojećeg koda i konfiguracija servera uočio barem još 50 propusta koji su mogli dovesti do ozbiljnih posledica po njegovo poslovanje: izgubljeni klijenti, krađa kartica i poverljivih podataka, nehatno distribuiranje zlonamernog softvera ka preko pola miliona posetioca mesečno, itd.

Po ugovoru moram preduzeti sve mere da umanjim mogućnost bilo kakvog vida zloupotrebe na najmanju moguću razumnu meru.

[misk0]

Mozes li mi objasniti da li postoji i gdje greska u onoj mojoj racunici gore i zasto je sifra od 63 karaktera sigurnija od one od 10 (u nekim realnim uslovima)?

Ako neko ima vishe racunarske snage (1000+nodes) vjerovatno mu je znatno lakse da ti pokuca na vrata, nasloni cijev na celo i izvuce sve podatke od tebe.

[twix]

Off Topic: omg

[Petar Marić]

Ključna reč je client perceived security, pojasnio sam i što.

[mangia]

Ja sam 100 puta podešavao ljudima kućne rutere. Objasnim da se mora staviti lozinka i tačka. Oni smisle neku debilnu, ja dodam barem 2-3 random cifre da za njihov mozak ne bude teška. Zapišem na kutiju od rutera, ugovor provajdera, i sl.

Sve radi super dok ne reinstališu sistem. Kutiju su bacili, ugovor izgubili, šifru zaboravili...

Od tada uzmem papirnu ljepljivu traku, zalijepim na ruter sa donje strane i na nju zapišem lozinku.

E i dalje me zivkaju ali ih samo podsjetim da okrenu ruter naglavačke...

[ivanhoe]

Originalno napisao misk0

Ako neko ima vishe racunarske snage (1000+nodes) vjerovatno mu je znatno lakse da ti pokuca na vrata, nasloni cijev na celo i izvuce sve podatke od tebe.

Svojevremeno su galeb.etf "uhakovali" tako sto su pretukli admina, tako da nazalost to i nije tako neverovatan scenario :/