Security-all

A feladat elméleti, de érdekel. Szerintem nem megoldható. Kíváncsi vagyok, ti hogyan látjátok. Valószínű, hogy az egyik blogpost is ráhangolta erre a gondolkodásomat, de más úton merült fel bennem a kérdés:

Van egy szoftver, ami nyílt forrású, akit érdekel, az letöltheti, átnézheti.

Te binárisokat is közreadsz az egyszerűség kedvéért.

Hogyan tudja a user verifikálni, hogy az általad felrakott bináris a publikus forrásokból lett buildelve?

(Ez még relatíve könnyen megoldható)

Mi a helyzet, ha ez egy online szolgáltatás? (az egyik blogban volt erre a szavazós dolog, nekem az alapgondolatom, ami felmerült, egy online augmented reality játék, ahol szeretnéd bizonyítani, hogy nem trackeled a usert)

Ma cseréltem a korábbit 1.4.4-es rkhunter-re, erre ilyesmivel zaklat:
Warning: The following suspicious shared memory segments have been found:
         Process: /usr/bin/xfdesktop    PID: 2021    Owner: locsemege
         Process: /usr/bin/python2.7    PID: 2518    Owner: locsemege
         Process: /usr/bin/python2.7    PID: 2518    Owner: locsemege
         Process: /usr/bin/emerald    PID: 2438    Owner: locsemege
         Process: /usr/lib64/firefox/firefox    PID: 3087    Owner: locsemege
         Process: /usr/lib64/firefox/firefox    PID: 3087    Owner: locsemege
         Process: /usr/lib64/firefox/firefox    PID: 3087    Owner: locsemege
         Process: /usr/lib64/firefox/firefox    PID: 3087    Owner: locsemege

Az a python2.7 valójában egy timeline nevű kisalkalmazás, egyfajta egyszerű szervező, határidő napló féleség. Le lehet szúrni egy időpontra vagy intervallumra, hogy mikor mi a dolgom.

Van-e arról valakinek infója, hogy a shared memória használata miképpen hordozhat veszélyeket, s mi alapján gyanakszik bármire is az rkhunter, továbbá mennyire jogos ez a részéről?

Ezen egy ideje rágódom, de nem találtam jó megoldást.

Van egy gép, linux, netfilter, publikus IP cím.
Bejövő smtp, submission, pop3, imaps kapcsolódásokat egy másik gépre továbbítja: linux, postfix, dovecot.
Bejövő http és https kéréseket egy harmadik gépre: windows, valami webserver.

A mail serveren lejárt a startcom cert.

Szeretnék helyette letsencryptet, de ami példákat eddig láttam, mind http-t akart használni. Az meg nem jut el a géphez.

Valaki belefutott ebbe már?

Valami jó ötlet?

Nekem csak az jutott így hirtelen az eszembe, hogy a win gépre menjen egy letsencrypt és aztán az új fájlt kézzel majd valaki áthozza. De ez azért gáz.

A Petya valóban csak a master file table-t titkosítja? Vagy csinál még valami mást low-level ami problémát okoz a visszaállításban?
Egy merevlemez fájljai visszaállíthatóak a master file table teljes elvesztése esetén is. Elvesznek ugyan a fájlnevek és a könyvtárstruktúra de a fájlok tartalma sértetlen. Természetesen egy banki rendszer még nem indítható el a fájlok raw visszanyerése után. A teljes adatvesztésnél viszont jobb a helyzet.

(Lassan a home userek is rájönnek, hogy backupolni netán archiválni bizony szükséges. Ha erőműveknél, bankoknál nem fordítottak erre időt az felelőtlenség)

Sziasztok,

gondolkodok egy 8 csatornás "független, hardveres" kamera rendszerben.

Az első kérdésem, hogy szerintetek mit érdemes választani IP alapú-t vagy CCTV-s? Nem tudom mennyire megbízhatóak, főleg az IP alapúnál lehetnek-e újraindítások?

Továbbá még bizonytalan vagyok a márkában is amit érdemes lenne megnéznem 3-4MP-ben gondolkodnék.

Várom a tapasztalatotokat és segítségeteket!

Köszi!

Kalmi

[ intel.malwaretech.com/WannaCrypt.html ]

Sziasztok!

Létezik a pureftpd-nek olyan beállítása, hogy TLS-t követel mindenhonnan, kivéve egy ip-t vagy tartományt? Nem igazán találtam ilyesmit, de nem hiszem el, hogy ne lenne.

Köszönöm!

"Május elsején lezárult a NIST (az Egyesült Államok Nemzeti Szabványügyi és Technológiai Intézete) által megfogalmazott új digitális személyazonossági irányelvek (Digital Identity Guidelines) nyilvános vitája, és az anyag készen áll a véglegesítésre. A tervezet új, továbbfejlesztett jelszókövetelményeket tartalmaz, megváltoztatva az eddigi szokásokat és a hozzájuk kapcsolódó kellemetlenségeket."

Melyek a fő változások?
• Nincs többé kötelező szabály a jelszavak összetételéről
• Megszűnik a rendszeres kötelező jelszóváltoztatás
• Megszűnik a jelszóemlékeztető és a tudás alapú azonosítás
• Feketelista
• Több karakterből lehet majd választani
• A minimális hosszúság 8 karakter lesz
• Az egyfaktoros azonosítás nem elég, az sms-eket viszont nem kellene használni

http://www.napi.hu/tech/gyokeres_valtozas_kozeleg_a_jelszavaknal_ez_ont…
https://pages.nist.gov/800-63-3/sp800-63-3.html

Megtalaltak egy ilyennel a fejlesztok hogy ok ezt szeretnek hasznalni ssh kulcskezelesre:
https://krypt.co/
Termeszetesen semmi okat nem latom annak hogy a maceken jol bevalt ssh-add tipusu kulcskezelest kivaltsuk egy kitudja mifele appal, aminek a FAQ-jaban (https://krypt.co/why_kryptonite/) talalhato reszek kozul ez szerintem szemenszedett hazugsag, en legalabbis soha nem hallottam meg olyanrol hogy az ssh agentbol (regen pageantoztam, miota macezek pedig a beepitett ssh agentet hasznalom, ami ha joltudom openssh) ki lehetne szedni a kulcsot plaintextkent (szoljatok ha tevedek):

Public-key authentication
A user-level process or malware can use a decrypted key stored in an agent without knowledge of the user. Furthermore, the same malware can pose as an SSH agent and direct SSH to use it using the SSH_AUTH_SOCK environment variable, receiving the key in plaintext the first time it is used.

Velemenyek?

Update: elso duhomben felreertelmeztem a leirtakat, kroozo helyesen leirta mirol van szo, koszonet erte, igy mar van ertelme a dolognak, ettol fuggetlenul turost a fejlesztoknek, nem ssh accot :D

Belépnék az ebay-re, azt mondja a chrome, hogy your connection is not private!!!!4négy!

Megnézem, hogy mi a gondja, azt mondja, hogy Err Certificate transparency required

Nézem, mi a fene, csak nem a Startcomtól szerezték be a tanúsítványt :-)

Hát nem.

Azt mondja, there are issues with this site's certificate chain
Issued to signin.ebay.com
Issued by Symantec

Most akkor mi van? A Symantec is feketelistára került? Vagy valami más a gond? Azt nem árulja el a chrome, hogy konkrétan mi nem tetszik neki.