RIPE sice 2FA ma, ale je to implementovane na dnesni dobu tak trochu drevacky a jeste jak tu padlo jen s opt-inem. A podporuji tam akorat TOTP a max. jeden prostredek pro druhy faktor. O nejakem FIDO/WebAuth ci vice tokenech si clovek muze stale nechat jen zdat :-)
Necekejte ze se za spanelske platy ve spanelsku nekdo predre.
Asi zrovna zacala siesta. Neni vyjimkou kdy pri telefonatech se spanelskymi kolegy u konkurencniho operatora tito hned zavesili ze zacina siesta (nejednalo se o ops).
Inu jiny kraj jiny mrav. My cesi se zas predreme zadarmo i v dobe obeda coz take neni idealni.
Ani neni treba, vetsina autentikatoru umi export.
Na jednu stranu skvela vec, kdy si sam umim obstarat zalozni autentikator, na stranu druhou to neni idealni z hlediska bezpecnosti.
Trochu se bojim, ze celkem bezny stav bude, ze je nekde ulozeno, jak se ke sluzbe prihlasit, treba v nejake slozce, kde je vedle sebe obrazek s QR kodem a textovy dokument s heslem, kdyz toto unikne, tak cely dvoufaktor ztraci smysl.
Ale samozrejme nechci nijak komentovat, co se stalo v konkretnim pripade ve zpravicce, o tom nemam zadne informace ani nevim, jake jsou moznosti prihlaseni k RIPE, zpravy uctu atd.
No, jedna vec je ten portal... SSO ucet a aspon nejaka moznost MFA. A tim ochranite ty RPKI ROA, ktere sejmuli Orange. Ale to je jen cast podstatne sirsiho problemu. Ono pak existuje tradicni databaze... design 20+let stary, co mimo jine slouzi jako podklad pro automaticke generovani filtru u IXP i upstreamu (route zaznamy & spol), kde ale jde napachat podobne skody.
Ano, tam jako moznost mate moznost pro autorizaci zmen pouzit SSO ucet (ale jen na webove aktualizace), X509/PGP certifikaty (ale ty take ne vsude) ... no a nebo heslo (jedina moznost pro restAPI) zadratovane v maintainer objektu. A ted pozor, ta hesla se tam stale ukladaji v MD5. Ne, to neni vtip... sice od roku 2011 uz nejsou verejne dostupne (a co bylo se zneplatnilo), ale porad se to interne pouziva. A nic jineho na ulozeni hesla v te databazi pouzit ani nejde.
Je to v realu jeste horsi, nez si myslime :-)
Tak víte co, ideální z hlediska bezpečnosti by taky bylo, kdyby domů vedlo patero mříží, laserový zabezpečovač a'la James Bond, čtyři čtečky sítnice, pět čteček otisků prstů a na každých dveřích ještě ověření kartou -- a na závěr pak nutnost zatelefonovat vrátnému. Problém je, že by se v tom nedalo žít.
Zabezpečovat je třeba natolik, nakolik to, co zabezpečuju to zabezpečení potřebuje. Zrovna u RIPE by se to, ano, z logiky věci dost hodilo, ale obecně se to říci ani náhodou nedá.
Pokud je pravda, že to heslo uniklo z uložených hesel v prohlížeči, která si přečetl nějaký malware, pak je vlastně úplně irelevantní, jestli to heslo bylo ripeadmin nebo třeba m#P52s@ap$V.
Porad je ale take pravda, ze unikem hesla na strane koncoveho uzivatele nelze ospravedlnovat chronicky mrzke zabezpeceni na strane poskytovatele sluzby. A tady proste ma RIPE historicky fatalni mezery. Netvrdim, ze to je chyba jen lidi tam pracujicich - hodne veci ridi komunita, ale tahouni co by tu bezpecnost na strane infrastruktury posouvali proste chybi a urcite komunita ma lidi, co by svym hlasem tohle dokazala posunout k lepsimu.
A ano, je na miste se bavit o tom, ze ukladat hesla v MD5 je v roce 2023 proste fail. Snaha schovat se tady "za komunitu" je obycejny alibismus. Realne dnes RIPE jede security through obscurity, kdy se spoleha na to, ze ty MD5 hashe z internich systemu neutecou. A takovych "hrdinu" uz bylo v historii take spousta, ze?
Porad je nutne znat i jmeno uzivatele. A trefit jmeno uzivatele se spravnym opravneni samo o sobe take jednoduche neni - skoro bych tipoval, ze v pripade Orange slo o nejakeho byvaleho zamestnance a ucet byl sdileny - coz samo o sobe je take chyba (k videni v praxi celkem casto). MFA ochranit v takovem pripade muze. Poznamka smerovala nicmene k tomu, ze v roce 2023 by se sluselo implementovat trosku modernejsi a uzivatelsky privetivejsi metody MFA, nez je TOTP - RIPE rozhodne neni chuda organizace a podobne malickosti se rady prehlizi.
Já dneska nějak nerozumím světu kolem sebe :).
Ta Snow není whitehat, protože to by jenom změnila heslo a nerozbila jim síť; co bylo její motivací? Vydírání pro nové heslo? To u takové služby asi moc nejde, jakmile se Orange ověří s RIPE, tak jim heslo resetnou. Má ten účet na Twitteru dost anonymní, že po ní teď nepůjdou?
Btw. „V úterý se útočníkovi s přezdívkou Snow“ - útočnici, má tam v profilu „she/her“