(no subject)

[katia-jung.livejournal.com]

Мне тут на днях авторитетно заявили, что, дескать, любой компетентый ИТшник да за пять минут получит доступ ко всем записям, которые я веду в ЖЖ под замком...Это правда или слухи? Можно элементарно вскрыть?

Comments

[raventus.livejournal.com]

Бред.
Только узнав пароль.

[dr-von-ozgg.livejournal.com]

Ну вот пароль-то как раз можно узнать, хоть и не так просто. Трафик же можно "слушать", а пароль вряд л ишифруется.
Вопрос только в том, какому айтишнику надо знать чужие пароли. Нет, конечно, до моего ЖЖ добрался наш ИТ-отдел, но на работе я из принципа не вхожу под своим аккаунтом, а то мало ли... У меня там есть шокирующие некоторых записи по замком :)

[raventus.livejournal.com]

Теоретически надо смотреть запросы на предмет адреса страницы логина. Находим такой пакет, откладываем его в сторонку - пароль есть. Но опять же, в жж видел безопасный вход, то есть там, по идее пароль будет защищен.
Остается атака на локальный комп, т.е. куки и снифферы. Тут надо самому следить...
В любом случае количество геморроя огромно...

[dr-von-ozgg.livejournal.com]

Огромно, но если человеку приспичит, такой вероятности лучше не исключать :)
Я бы сказал так: не каждый айтиншик сможет это сделать. И не каждому придёт такое в голову.

[raventus.livejournal.com]

Именно. Безопасное соединение + контроль за своим компом, я думаю, решат проблему)

[katia-jung.livejournal.com]

что значит безопасное соединение? когда оно опасно? просветите темноту, пжлста

[raventus.livejournal.com]

При использовании безопасного соединения все данные между сервером и клиентом шифруются. В обычном случае данные идут в открытом виде, т.е. перехватив пакет, что не так уж сложно в локальной сети, можно без проблем извлечь из него данные, например, логин или пароль.

[mivlad.livejournal.com]

При логине в ЖЖ пароль в открытом виде не передаётся, если не отключать javascript.

[raventus.livejournal.com]

не принципиально
всё равно, поймав такой пакет можно зайти с другого компьютера... не думаю, что там хитрая шифровка...

?

Re: Reply to your comment...

[mivlad.livejournal.com]

Ну в принципе да. Только перехватывать придётся пакет не логина, а с кукой.

Re: Reply to your comment...

[raventus.livejournal.com]

зачем?
хватаем этот зашифрованный пароль, посылаем его от своего имени и, вуаля, мы вошли...

Re: Reply to your comment...

[mivlad.livejournal.com]

Там challenge-response схема.

Re: Reply to your comment...

[raventus.livejournal.com]

Хм. А не обойдется ли она перехватом большего числа пакетов?

Не слишком компетентен в данном вопросе) Буду благодарен за краткое описание)

Re: Reply to your comment...

[mivlad.livejournal.com]

Сервер формирует строку и отдаёт клиенту. Клиент её хеширует вместе с паролем и отдаёт хеш серверу. Тот со своей стороны повторяет процедуру и сравнивает результаты. Так что ни пароль, ни непосредственно его хеш по сети не ходят.

Да и как бы то ни было, в данном случае действительно проще свистнуть куку.

Re: Reply to your comment...

[raventus.livejournal.com]

Опять же вопрос количества пакетов... К кукам не всегда есть доступ...

Сидит вот, например, админ на гейте, открыл и забавляется...

Re: Reply to your comment...

[mivlad.livejournal.com]

Как это нет доступа? Не телепатически же они на компьютер пользователя попадают.

Re: Reply to your comment...

[raventus.livejournal.com]

Ниже ситуцию объяснил же...

Сижу я на гейте, через меня идёт траффик. Сидит за компом пользователь, к которому нет доступа, допустим, путём шпионским программ. Физическое воздействие недопустимо.

Вот пусть будет так. )

[mivlad.livejournal.com]

Вы знаете, что такое Cookie?

[raventus.livejournal.com]

Знаю, но, видимо, сегодня сильно торможу. Его также никто не мешает вытянуть из пакета..... Вернее выцеляются заголовки, но это детали...

Кстати, не тот ли хэш пишется в куки?

Re: Reply to your comment...

[mivlad.livejournal.com]

Нет, скорее всего другой.

Re: Reply to your comment...

[raventus.livejournal.com]

ай, не то немного написал...

поправка к предыдущему комменту:
возможно, только если алгоритм обратимый...

надо поковырять на досуге. интересно аж стало.