Bez usilovné pracovitosti není talentů ani géniů.
 NavigaceTagyRSS FeedSecurity-Portal.cz |
|
PřihlášeníNáhodný obsah
|
This work is licensed under a Creative Commons Attribution-Share Alike 3.0 Unported License.
CC-BY-SA Security-Portal.cz | secured by paranoid sense | we hack to learn
Ještě by to chtělo lokalizaci do nějakýho normálního jazyka... Nic proti slovenštině, ale číst se nedá. A směsice češtiny a slovenštiny není moc hezká. Každopádně tomu nějak nerozumím - když je projekt cílen primárně pro ČR.
Momentalne tam je email z dovodu odoslania loginu a hesla na e-mail po druhe pri zabudnutom hesle zadas login a email porovnaju sa hashe v db ak sedia odosle sa nove heslo ak nie bohuzial.
Takisto sa bude riesit ako cmeliky pisal odosielanie noviniek mailom ale to bude dobrovolne nastavenie (tj zadas nejaky mail najlepsie ak si vytvoris podla prezývky) aby nikto nemal tvoj pravy login alebo mail.
logicky dotaz, nicmene bude tam mozne i jeden ponechat pro zasilani notifikaci o novych zpravach
Váš login a email sa ukladá do databázy v podobe hashu
K čemu tam ten email teda je?
SQLi me if you can :) Cheese/
Pěkná práce :)
ps. my tu nemazeme konstruktivni komentare
Takze vlastne jen zjistili ze pokud hledaji na Googlu s Bing toolbarem, tak Bing vysledky prevezme klidne z Googlu.
Neni to jina verze toho sameho?
Clanek upravim a soupnu ho jen do blogu, pac o rypnuti do MS mi slo predevsim. I tak mi to neprijde feer.
ej to vsude, treba Engadget: http://www.engadget.com/2011/02/01/google-accuses-bing-of-cheating-piggy...
>> Here's how it works: find a search term that returns no matches for either site, make a "honeypot" page manually appear for the term, then have about 20 Google employees make the search (and click the top link) using Internet Explorer with both Suggested Sites and the Bing Toolbar on.
1) nenasel jsem, udej zdroj
2) treba listou bing, geo farmama... existuje asi tisic zpusobu
Apple Xerox nevykradl, dali Xeroxu asi 3 miliony a mohli si behem tri dnu vzit jakoukoliv technologii, kterou Xerox nechtel (GUI a mys)... a to pak vykradl MS, takze chronologie i udaje jsou spravne
boze...
1) Lide z Googlu sami popsali ze sli domu a tyto retezce zacali vyhledavat v IE s listou Bing - nechapu jak to nekdo muze splest, kdyz zada clanek, odkud bral informace kde to je popsalne takto slovo po slove (a navic v cetsine, nereknu kdyby autor umel treba blbe anglicky) ... a porad to tak pomotat
2) I kdyby to tak nebylo, jak by ty informace ziskali z Googlu? Google dovoli udelat nejakych 100 dotazu treba za minutu, pak okamzite uzivatele zablokuje protoze ho vyhodnoti jako robota co scrapuje vysledky - trosku predstavivosti
Kdyz uz nemate tu predstavivost ze to tak nemuze fungovat, a navic kdyz mate problemy se ctenim (treba dislexie) tak nepiste, protoze jinak clanek = 95% vlastni zaujeti a neschopnost, 5% fakta
To jak Google okopiroval celou sekci vyhledavani obrazku, nebo ze Google najednou zacal zobrazovat wallpapery na uvodni strance stejne jak to ma Bing to uz radeji preskocime protoze to nezapada to evil Microsoft teorie. Nemluve o tom filmu, ktery jak sami autori popsali je z pulky fikce. Uz jen proto ze clovek co se trochu vic zajima o IT vi, ze to vykradeni Applu Microsoftem nasledovalo po tom, co Apple prvni sel a vykradl Xerox kde to vsechno vymysleli.
*Nemam zadnou portebu stat za Microsoftem, ti si to prasi sami, ale zaroven me vadi do oci bijici neschopnost. Btw. uvidime jak dlouho ten komentar tady bude*
Nejspíš je to tak, jak říkáš.
Teď jsem si vzpomněl, že už tady mám rozlousknuté i zbylé tři hashe:
d7307963e65196de4610a63d0a887e82 - VN7KMOM0
b146a127603198a522ec324afc0cef11 - p9NXYDEy
9cd42a35c9a3d528882bab84eaa0c71a - BB7VenC2
Tie nerozlusknute mali pri mojom skumani spamboti (vzdy jeden spambot pre vsetky nicky rovnake hesla).
super komentar, je videt ze u toho nekdo premysli :]
odpoved je zde, muj text je opravdu zavadejici (opravim ho)
Encryption: first, all connections in Tor use TLS link encryption, so observers can't look inside to see which circuit a given cell is intended for. Further, the Tor client establishes an ephemeral encryption key with each relay in the circuit, so only the exit relay can read the cells. Both sides discard the circuit key when the circuit ends, so logging traffic and then breaking into the relay to discover the key won't work.
Takze to vypada, ze klient ma shared klic se vsemi routery v ustavenem retezci. V headeru tedy bude next hop router (neco jako source routing). Dany router ma take shared klice se vsemi, tedy i s next hopem.
Potom by si tedy museli drzet session (connection tracking?) s ostatnimy, aby vedeli kudy to poslat zpet (next hop).
Tuhle tezi dost kazi fakt, ze by koncovy router mohl zjistit identitu klienta, protoze koncova data desifruje do formy pozadavku (na web, mail, ...) a vedel by s kym ma dany klic nasherovany...
Asi by to chtelo podrobneji precist dokumentaci. Jestli muzete, rad si pockam na vase zjisteni :)
diky
S teorií souhlasím, ale stále se domnívám, že citace níže, kterou jsem vyjmul z článku, je zavádějící. Toť vše.
Router C zprávu zašifruje svým privátním klíčem, takže ji lze dešifrovat jeho veřejným klíčem, který zná každý (simply cool) a data následně také zašifruje veřejnými klíči všech routerů v řetězci. Klient data příjme, dešifruje veřejným klíčem routeru C a má výsledná data.Ano, to máte pravdu. Ten server pokud vím nebyl jeden a data odposlouchával, domnívám se, pouze v případě, že jeho server působící jako onion router byl poslední v řetězci, kde už z principu onion routingu data šifrována nejsou, pokud si je člověk nezašifruje pomocí end to end šifrování. Domnívám se, že každý uzel na trase rozhodně nemůže být schopen rozšifrovat data až "na kost", protože pak by byla anonymita dosti ohrožena.
http://www.smh.com.au/news/security/the-hack-of-the-year/2007/11/12/1194...
asymetricke sifrovani pouziva verejny a privatni klic... nesifruje se privatnim klicem, ale verejnym, takze desifrovani muze provest jen clovek, ktery ma privatni klic a zna passphrase
symetricke pouziva session klic (jeden)
predavani symetrickeho klice asymetrickym sifrovanim se nazyva hybrydni sifrovani (napr. SSLv3/TLS)
router zna jen sve neighbour routery a protoze se i client pro nej tvari jako router, tak nevi kam dal komunikace jde
jak jsem psal koncovy router je schopen odposlouchavat data, takze by se melo pouzivat sifrovane spojeni (HTTPS, SFTP, SSH, ...)
Už je tomu jářku několiko roků, ale zavzpomínkám a snad správně reprodukuju.
Jistý researcher připojil do sítě svůj vlastní server a na něm půl roku (rok?) odposlouchával veškerou procházející komunikaci. Dostal se tak hromadě zajímavých dat (loginy a hesla ke všemu možnému jako maily, fóra a dokonce i k bankovním účtům). A to nejen bežných lidí, ale i vysoce postavených politiků celého světa. Takže bych tipoval, že každá zpráva je na každém z uzlů skutečně rozšifrována a přešifrována pro transport k dalšímu uzlu/routeru.
V tu chvíli by ovšem každý router mohl odkrýt obsah zprávy. Navíc se pravděpodobně bavíme o symetrickém šifrování, kde pokud vím nejsou veřejné klíče.
Ještě mě napadá, že pokud bychom opravdu šifrovali privátním klíčem, tak obsah může rozšifrovat kdokoli veřejným klíčem.. takže jediný výsledek je že zpráva by byla podepsána pomocí privátního klíče.
V některých zdrojích jsem narazil na to, že asymetrické šifrování (veřejnými klíči) je použito pouze při sestavení řetězce. Pak se používají symetrické klíče, které přidělil iniciátor spojení každému z onion routerů. Tak by bylo možno zachovat cibulový charakter i po cestě zpět (i když tentokrát by se vrstvy přidávaly).
myslim ze nerozhodne jinak nez RD :]
CAPTCHA je tam schválně, protože se chci vyhnout případnému masivnímu využívání nějakým botem, takže bohužel, CAPTCHA zůstane. Pokud tedy cm3l1k1 jako hlavní admin nerozhodne jinak :)
Osobne uz nejakou dobu pouzivam toto, ale ten vas je hezci. Najde to router s presnosti na nekolik desitek metru. Jenom dejte prosim pryc ten CAPTCHA a bude to dokonaly ;).
Tak ještě jednou: Google Cars logují zdroje WIFI signálu, na které se dá připojit. Pokud přes tvůj notebook dealuješ signál dalším lidem z místa, kudy Google Cars projeli a měli šanci zachytit tvůj signál, pak jsi zanesen v databázi. V opačném případě se tam asi jen těžko můžeš objevit. Každopádně do toho kódu přidám javaskriptový alert, aby bylo na první pohled jasné, že zadaná MAC adresa se v databázi nenachází.
Zdravím,
zkoušel jsem svůj MAC a i když jsem s noťasem projezdil půl světa, tak mi to kupodivu hází Trenčín, kde jsem nikdy nebyl :-D
Podle toho, co jsem zjistil, by se mělo jednat o hodnotu, která udává, s jakou přesností byla pozice vrácena, a to v metrech. Zkoušel jsem si to prakticky ověřit a plus mínus by to tak být mělo, pokud mezi tím přístroj s danou MAC adresou nepřestěhuješ :)
:D mne to tiez vracia trencin