Slo-Tech - Da je nerazumevanje delovanja in namena zaščitnih tehnologij lahko usodno, je pred kratkim dokazal švedski strokovnjak za računalniško varnost Dan Egerstad, ki je na različnih koncih sveta postavil štiri izhodne Tor točke in na njih prestrezal promet. Prestregel je tudi gesla nekaterih občutljivih ustanov, med drugim iranske, indijske, japonske, ruske in kazahstanske ambasade, britanskega in zunanjega ministra, nekaterih političnih strank, itd. Izkazalo se je, da uslužbenci teh ustanov pogosto uporabljajo povsem neustrezna gesla (recimo uslužbenci indijske ambasade "1234", uslužbenci mongolske ambasade "temp", itd.)
Namen "raziskave" je bil dokazati kaj lahko (in verjetno) počnejo tajne službe, saj med drugim Tor izhodne vzdržujejo sumljivi neznani posamezniki oz. organizacije. V Washingtonu je tako ista oseba oz. organizacija v Tor omrežje vključila več strežnikov s 5-10 TB podatkov mesečnega prometa, Tor točke vzdržujejo organizacije povezane z Rusko in Kitajsko vlado, itd..
Kaže je uporabil prestrezanje le za protokole POP3 in IMAP, ne pa tudi MITM napada za šifrirane seje, kot so nekateri domnevali. Očitno so celo uporabniki resnih državnih ustanov spregledali, da omrežje Tor ne nudi šifriranja, pač pa zgolj anonimizacijo, in da je za uporabo Tor omrežja potrebno pred tem uporabiti ostale mehanizme šifriranja podatkov (uporaba varnih protokolov, certifikatov in šifriranih programov za elektronsko pošto).
Dan Egerstad pravi, da verjetno ni bil edini, ki se je spomnil takšnega napada. Ne, res ni bil. Med prisluškovalci v Tor omrežju pa je skoraj gotovo tudi kakšna tajna služba...
Novice » Zasebnost » Kraja gesel ambasade
Matevžk ::
Ja, slabost Tora. Pri (neizobraženem) uporabniku povzroči lažen občutek varnosti. Medtem, ko bi brez uporabe Tora ta gesla verjetno težko kdo prestregel (jasno, kakšna resna obveščevalna služba brez problema), pri uporabi Tora (če nisi previden) izpostaviš svoje podatke tretji osebi z neznanimi motivi ...
lp, Matevžk
CaqKa ::
>>> Prestregel je tudi gesla nekaterih občutljivih ustanov, med drugim iranske, indijske, japonske, ruske in kazahstanske ambasade, britanskega in zunanjega ministra, nekaterih političnih strank, itd.
>>> Očitno so celo uporabniki resnih državnih ustanov spregledali, da omrežje Tor ne nudi šifriranja, pač pa zgolj anonimizacijo, i
zadeva ponuja anonimizacijo... kako d fak pa je ta tip potem ugotovil čigava so pripadajoča gesla?
>>> Očitno so celo uporabniki resnih državnih ustanov spregledali, da omrežje Tor ne nudi šifriranja, pač pa zgolj anonimizacijo, i
zadeva ponuja anonimizacijo... kako d fak pa je ta tip potem ugotovil čigava so pripadajoča gesla?
Kostko ::
zadeva ponuja anonimizacijo... kako d fak pa je ta tip potem ugotovil čigava so pripadajoča gesla?
Po ciljnem naslovu mogoče ? Za exit node je anonimiziran samo vir requesta, če pa request vsebuje prijavo na poštni strežnik ambasade...
Human stupidity is not convergent, it has no limit!
Zgodovina sprememb…
- spremenil: Kostko ()
RejZoR ::
PWNED
Pa ne moreš met za password "1234". Take logine maš lahko samo na neobčutljivih, low privilege accountih kjer itaq nimaš kej delat tud če prideš not z geslom.
Pa ne moreš met za password "1234". Take logine maš lahko samo na neobčutljivih, low privilege accountih kjer itaq nimaš kej delat tud če prideš not z geslom.
Angry Sheep Blog @ www.rejzor.com
JohanP ::
Čakuka - Kakor razumem si znotraj TOR omrežja anonimen samo navzven. Upravnik TOR mreže lahko s tvojim podatkom počne kar se mu zahoče.
'FireSTORM' ::
rejzor, welcome to the real world.
Veliko ljudi uporablja gesla, aka: Janez1
Ali kaj podobnega.
Veliko ljudi uporablja gesla, aka: Janez1
Ali kaj podobnega.
Those penguins.... They sure aint normal....
gzibret ::
Matthai - zanimiva novica. Sploh nisem pomislil na to, da bi lahko kake tajne službe naredile Tor točko in prestrezale promet. Bogi uporabnik izbere tor, ker je kao varen, in ravno na takšen način mu pokradejo podatke.
Svašta...
Svašta...
Vse je za neki dobr!
Liker ::
Glede na to cesa vse so razne obvescevalne sposobne, se sploh nebi cudil, ce se izkaze da so tor zasnovali (ali pa vsaj financirali razvoj) kar oni sami.
Namrec, kaj je lepsega, kot obljubljati anonimnost, kar definitivno privabi ljudi z obcutljivimi podatki, pa se lazen obcutek varnosti ustvaris, kar potem mocno olajsa zajem podatkov :)
Namrec, kaj je lepsega, kot obljubljati anonimnost, kar definitivno privabi ljudi z obcutljivimi podatki, pa se lazen obcutek varnosti ustvaris, kar potem mocno olajsa zajem podatkov :)
poweroff ::
zadeva ponuja anonimizacijo... kako d fak pa je ta tip potem ugotovil čigava so pripadajoča gesla?
Preprosto. Treba je namreč vedeti kaj točno zadeva dela. Poglejmo si na sliki:
Alice bi se rada povezala na Jane. Če se poveže na klasičen način, lahko:
a) Jane vidi njen IP (s tem si Alice zagotovi anonimnost, sicer se nasproti Jane še vedno lahko avtenticira z u/p, vendar z avtentikacijo ne razkrije nujno tudi svoje identitete - recimo da uporablja Hotmail/Gmail account)
b) napadalec postavljen takoj za Alice vidi da se Alice povezuje na Jane.
Če pa gre Alice na Jane preko Tor omrežja:
a) napadalec, postavljen takoj za Alice NE VIDI kam gre Alice
b) Jane NE VIDI od kje je prišla Alice
c) TODA: tretja Tor točka na sliki lahko na izhodu vidi, da se NEKDO povezuje na Jane.
Zdaj pa imamo v primeru c) dve možnosti:
c1) Alice se na Jane povezuje preko šifriranega kanala (SSL / IMAPS / POP3S / VPN / SSH...): v tem primeru tretja Tor točka pač vidi da se je NEKDO povezal na Jane. Vidi lahko obseg prometa, vsebine pa ne.
c2) Alice se na Jane povezuje preko NEšifriranega kanala (IMAP / POP3 / telnet / http...): v tem primeru tretja Tor točka vidi VSEBINO PROMETA na Jane. Vidi lahko NEŠIFRIRANA GESLA, e-pošto, submittasne querye, itd.
Razumljivo?
Preprosto. Treba je namreč vedeti kaj točno zadeva dela. Poglejmo si na sliki:
Alice bi se rada povezala na Jane. Če se poveže na klasičen način, lahko:
a) Jane vidi njen IP (s tem si Alice zagotovi anonimnost, sicer se nasproti Jane še vedno lahko avtenticira z u/p, vendar z avtentikacijo ne razkrije nujno tudi svoje identitete - recimo da uporablja Hotmail/Gmail account)
b) napadalec postavljen takoj za Alice vidi da se Alice povezuje na Jane.
Če pa gre Alice na Jane preko Tor omrežja:
a) napadalec, postavljen takoj za Alice NE VIDI kam gre Alice
b) Jane NE VIDI od kje je prišla Alice
c) TODA: tretja Tor točka na sliki lahko na izhodu vidi, da se NEKDO povezuje na Jane.
Zdaj pa imamo v primeru c) dve možnosti:
c1) Alice se na Jane povezuje preko šifriranega kanala (SSL / IMAPS / POP3S / VPN / SSH...): v tem primeru tretja Tor točka pač vidi da se je NEKDO povezal na Jane. Vidi lahko obseg prometa, vsebine pa ne.
c2) Alice se na Jane povezuje preko NEšifriranega kanala (IMAP / POP3 / telnet / http...): v tem primeru tretja Tor točka vidi VSEBINO PROMETA na Jane. Vidi lahko NEŠIFRIRANA GESLA, e-pošto, submittasne querye, itd.
Razumljivo?
sudo poweroff
Zgodovina sprememb…
- zavarovalo slike: gzibret ()
poweroff ::
Liker: Glede na to cesa vse so razne obvescevalne sposobne, se sploh nebi cudil, ce se izkaze da so tor zasnovali (ali pa vsaj financirali razvoj) kar oni sami.
Idejo onion routinga so dejansko zasnovali pri ameriški mornacrici. Rar tudi jasno piše na Tor spletni strani. Razvoj je potem zastal, in so ga prevzeli pri nevladni organizaciji EFF.
Namrec, kaj je lepsega, kot obljubljati anonimnost, kar definitivno privabi ljudi z obcutljivimi podatki, pa se lazen obcutek varnosti ustvaris, kar potem mocno olajsa zajem podatkov :)
Zadeva deluje zelo učinkovito, če jo le znaš uporabljati. Problem je, da večina ljudi zadeve ne razume in posledično ne zna uporabljat.
gzibret: Sploh nisem pomislil na to, da bi lahko kake tajne službe naredile Tor točko in prestrezale promet.
Jaz sem pa na to takoj pomislil. V bistvu sem se pogovarjal s profesorjem Viktorjem Mayerjemi-Schoenbergerjem iz Harvarda glede tega in mi je povedal naslednjo zanimivo štorijo:
"
...
At a 1996 conference here at Harvard indeed two speakers who worked for
and/or closely with the US government said "on the record" that government
agencies not just in the US but elsewhere as well run large remailers /
anonymizers around the world. They explicitly referred to anonymizing
remailers, not mail systems, and never mentioned hotmail.com or usa.net
(which makes sense because neither of them is a remailer). The statement was
made in public and I explicitly asked whether it was "on the record", to
which they said yes.
Later they publicly stated that the exchange never happened and the
statement was never made, but an official transcript of the Harvard
conference vindicates my version.
They also mentioned in response to a question on code breaking capabilities
by the US government that they themselves would use at least 1024 bit long
public key encryption to safeguard their own personal emails.
This is exactly what happened.
Hope this helps.
Best regards,
..."
Zabavno, ne?
Idejo onion routinga so dejansko zasnovali pri ameriški mornacrici. Rar tudi jasno piše na Tor spletni strani. Razvoj je potem zastal, in so ga prevzeli pri nevladni organizaciji EFF.
Namrec, kaj je lepsega, kot obljubljati anonimnost, kar definitivno privabi ljudi z obcutljivimi podatki, pa se lazen obcutek varnosti ustvaris, kar potem mocno olajsa zajem podatkov :)
Zadeva deluje zelo učinkovito, če jo le znaš uporabljati. Problem je, da večina ljudi zadeve ne razume in posledično ne zna uporabljat.
gzibret: Sploh nisem pomislil na to, da bi lahko kake tajne službe naredile Tor točko in prestrezale promet.
Jaz sem pa na to takoj pomislil. V bistvu sem se pogovarjal s profesorjem Viktorjem Mayerjemi-Schoenbergerjem iz Harvarda glede tega in mi je povedal naslednjo zanimivo štorijo:
"
...
At a 1996 conference here at Harvard indeed two speakers who worked for
and/or closely with the US government said "on the record" that government
agencies not just in the US but elsewhere as well run large remailers /
anonymizers around the world. They explicitly referred to anonymizing
remailers, not mail systems, and never mentioned hotmail.com or usa.net
(which makes sense because neither of them is a remailer). The statement was
made in public and I explicitly asked whether it was "on the record", to
which they said yes.
Later they publicly stated that the exchange never happened and the
statement was never made, but an official transcript of the Harvard
conference vindicates my version.
They also mentioned in response to a question on code breaking capabilities
by the US government that they themselves would use at least 1024 bit long
public key encryption to safeguard their own personal emails.
This is exactly what happened.
Hope this helps.
Best regards,
..."
Zabavno, ne?
sudo poweroff
MrStein ::
V nevidnem plašču prideš na pošto. Polno je še drugih strank.
Delavcu rečeš : "Jaz sem Franc X iz ulice Y itd. A mam kaj pošte ?"
Delavec : "Ja gospod X, od Fidel Castra, pravi, da njegov pes lepo okreva in sprašuje kdaj boste spet imeli čago v slovenski ambasadi."
itd...
Potem Franc pride domov in se čudi, kak neki so ugotovili kdo je in s kom se dopisuje. Če pa je bil neviden !
Delavcu rečeš : "Jaz sem Franc X iz ulice Y itd. A mam kaj pošte ?"
Delavec : "Ja gospod X, od Fidel Castra, pravi, da njegov pes lepo okreva in sprašuje kdaj boste spet imeli čago v slovenski ambasadi."
itd...
Potem Franc pride domov in se čudi, kak neki so ugotovili kdo je in s kom se dopisuje. Če pa je bil neviden !
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
CaqKa ::
>>> Razumljivo?
TOR sam po sebi po defaultu ne ponuja enkripcije, torej v točki c2 ne ponuja anonimizacije.
razumljivo da.
TOR sam po sebi po defaultu ne ponuja enkripcije, torej v točki c2 ne ponuja anonimizacije.
razumljivo da.
poweroff ::
TOR sam po sebi po defaultu ne ponuja enkripcije, torej v točki c2 ne ponuja anonimizacije.
razumljivo da.
V bistvu ni čisto tako. Tor ponuja ekripcijo, VENDAR zgolj znotraj omrežja. Glede anonimizcije pa je treba razumeti KAJ je anonimizacija. Tor ponuja anonimizacijo prometnih podatkov. V primeru, ko je avtentikacija (username+password) enaka identifikaciji (username=moje_ime.priimek@organizacija) in
NE uporabljaš end-to-end šifriranja, pa anonimizacije na točki C3 ni.
Sicer napadalec ne more ugotoviti tvojega IPja -lahko pa prebere tvojo pošto.
razumljivo da.
V bistvu ni čisto tako. Tor ponuja ekripcijo, VENDAR zgolj znotraj omrežja. Glede anonimizcije pa je treba razumeti KAJ je anonimizacija. Tor ponuja anonimizacijo prometnih podatkov. V primeru, ko je avtentikacija (username+password) enaka identifikaciji (username=moje_ime.priimek@organizacija) in
NE uporabljaš end-to-end šifriranja, pa anonimizacije na točki C3 ni.
Sicer napadalec ne more ugotoviti tvojega IPja -lahko pa prebere tvojo pošto.
sudo poweroff
Vredno ogleda ...
| Tema | Ogledi | Zadnje sporočilo | |
|---|---|---|---|
| Tema | Ogledi | Zadnje sporočilo | |
| » | Ali lahko ponudnik interneta vidi po katerih straneh srfaš? (strani: 1 2 )Oddelek: Pomoč in nasveti | 10035 (9105) | poweroff |
| » | Aretacija Dana Egerstada, ki je pred časom prestregel gesla številnih ambasadOddelek: Novice / Zasebnost | 2952 (2952) | Izi |
| » | Kraja gesel ambasadeOddelek: Novice / Zasebnost | 4754 (3818) | poweroff |
| » | Snakes On A TorOddelek: Novice / Zasebnost | 5329 (4641) | jype |
| » | Nadzor Tor izhodnih točk (strani: 1 2 )Oddelek: Novice / Zasebnost | 11437 (9973) | poweroff |