Vlákno názorů k článku
FritzFrog je P2P botnet útočící na SSH a těžící Monero
od lazywriter - - recently discovered P2P botnet, used only the...
-
Otázka je, jestli si můžete úplně vždycky vybrat. Jednu takovou šílenou krabičku nám například strčil poskytovatel připojení domů. Celkem slušného připojení, které navíc máme v ceně nájmu. Kdybych si řekl, že ji nechci, bude mě to stát mnoho tisíc ročně.
Bezpečnost vlastní sítě jsem vyřešil tak, že hned za krabičkou a navázaným powernetovým adaptérem je linuxový router s iptables (v praxi desktop co mi běží pod stolem) a až do něj připojené naše vlastní soukromé AP, ale to si běžný SOHO uživatel opravdu neudělá a navíc to tu krabičku jako takovou neochrání.
-
To je přece věc toho providera, když mu tu krabičku někdo/něco oloupe, jeho to bude stát výjezd technika, jemu to případně přetíží síť, jemu to ovlivní SLA.
Já si myslím, že pan kolega to bral tak, že zařízení providera má ochránit i jeho síť. Ale tak to není. Svým koncovým zařízením si ISP chráni svoji síť, uživatel si svým hraničním zařízením chrání tu svoji.
-
Tak mame svobodu, ze. Co kde "ma" a co "nema" delat nema nikdo pravo stanovovat.
Však on to nikdo nestanovuje. Je svaté právo každého mít systém jakkoliv nezabezpečený; bavili jsme se o tom z pohledu zabezpečení. Samozřejmě tato svoboda platí do té chvíle, dokud zařízení nebude využito k dalším (třeba zesilovacím) útokům; pak už to zasahuje do svobod druhých.
-
Filip JirsákStříbrný podporovatelNikoli. Klíč, přinejhorším alespoň silné heslo. Uživatelské jméno ve spoustě případů není potřeba hádat. Sůl s tím vůbec nijak nesouvisí, ta souvisí s hashováním hesel. Takže při vzdáleném přihlašování vůbec není ve hře.
Takže:
1. Používat pro přihlášení klíče a zakázat přihlášení heslem; pokud to není možné, ověřit, že se lze přihlásit jen na vybrané účty (tj. že tam není nějaký zapomenutý účet se slabým heslem) a těm nastavit silné heslo.
2. Nevěřit radám „odborníků“ v diskusních fórech, kteří si myslí, že když poslepují pár odborných termínů („dobře osolené heslo“), zamaskují tím, že vůbec nerozumí podstatě problematiky. -
Filip JirsákStříbrný podporovatel
Prosím vás, nepište o věcech, o kterých vůbec nic nevíte.
Sůl se používá v případě, kdy se místo hesla ukládá jenom jeho hash. Sůl se používá pro to, aby dvě stejná hesla neměla stejný hash. Je to opatření pro to, že když má někdo přístup k těm hashům (třeba správce, nebo útočník, když hashe uniknou), mohl by hashe porovnat se hashi známých hesel, a tak získat původní heslo. Používají se k tomu duhové tabulky, což jsou sady předpočítaných hashů pro často používaná hesla.
No a aby bylo možné ověřit správnost hesla, musí být ta sůl samozřejmě někde uložená – v drtivé většině případů je uložená přímo s tím hashem. Takže když se k takovým datům dostanete, nebudete sůl nijak louskat, ale prostě si jí přečtete.
-
Tak zas aby sme to uplne nezjednodusovali. Salt moze byt ulozeny pri riadku s uzivatelom ale nemusi to mat nazov 'salt' ako 'salt' sa da pouzit lubovolny udaj ktory sa uz nemeni, napriklad username ale datum vytvorenia uzivatela. Takze musite sa pozriet aj do kodu, naviac kod samotny moze pouzivat este nejaky dalsi kludne aj konstatny 'salt' (posun casu, XOR, ...) aby sa situacia este viac komplikovala pre utocnika.
-
Filip JirsákStříbrný podporovatel
To ale nic nemění na tom, že ta zmínka o soli je nesmysl. Navíc „sůl“ se to nazývá jen tehdy, pokud je to jiný údaj pro každé heslo. Pokud je to globální kód (třeba ve zdrojácích), nazývá se to „pepř“.
