Uradna stran monera delila viruse, ki so kradli kriptovalute

Hvala.

https://www.cyberscoop.com/easy-fake-ex...

SeMiNeSanja se vsak dan nauči kaj novega.

darkolord je 27. nov 2019 ob 23:05 izjavil:

Microsoft ne podpisuje certifikatov razvijalcem. Ne vem zakaj še vedno vztrajaš pri tem.

Če hočeš, da bo certifikat povsod tretiran kot veljaven, ga mora podpisati eden izmed CA-jev, ki so privzeto v seznamu Trusted CA-jev. Če ne želiš, da ti npr. Windows SmartScreen teži, mora certifikat biti EV (Extended Validation), kjer je postopek preverjanja istovetnosti precej bolj strikten in se ga vsi po-defaultu-Trusted-CAji morajo zelo dobro držati, kar se tudi redno preverja, sicer tvegajo izločitev iz seznama (in propad).

To je že res...ampak to je TEORIJA.

Še banke marsičesa ne uspevajo preverjati, država ne najde lastnikov podjetij, itd. itd. Kako pa naj nek EV s 100% zanesljivostjo preveri Janeza Novaka, da mu ni posredoval ponarejena dokazila o identiteti?

Pri drugih, 'manj striktnih' tipih validacije, pa imaš vse divje...od community do mailbox 'potrditev'. Imam certifikat za Gmail mail account, pa sem rabil samo potrditi mail, da je prispel na ta account. Če sem res Janez ali pa mogoče celo Pepca, pa ni nihče preveril.

Kot sem že prej enkrat rekel, je vse v ZAUPANJU. Nenazadnje se vsa stvar tako tudi imenuje 'Chain of Trust'... kdo komu zaupa in koliko.

A ne glede na vse - Kako naj jaz kot uporabnik XY vem, da je nek dll v resnici spisal Janez Novak, ne pa Lojze Mlinar, ki ga je 'požegnal' s svojim podpisom? Kako naj vem, da bi tisti dll moral biti podpisan od Janeza Novaka, da bi bil 'ta pravi'? Ne morem!
In kdo dejansko gre vsako komponento pregledovati in za vsako komponento ve, kdo bi moral biti njen avtor?
Če bi to bilo tako 'samoumevno' in enostavno, potem poleg download-a nebi nihče rabil objavljati hash-a. Problem je le, da tudi hash ni problem spremeniti na tistega od fake paketa, če si že tako daleč prišel, da si uspel fake paket naložiti.

MrStein je 27. nov 2019 ob 23:44 izjavil:

Ja, super, en naj ponaredi TSVN.exe, z veljavnim (vsaj navidez) in smo končali.

Pa še monero.exe (ali kak se fajl imenuje), da smo on topic.

Se vedno nisi odgovoril kako bos preprecil zlorabo s strani certuma? Kaj jim preprecuje, da naredijo certifikat z imenom stefan in zbuildajo in podpisejo TSVN.EXE?

MrStein je 28. nov 2019 ob 20:04 izjavil:

poweroff je 23. nov 2019 ob 15:35 izjavil:

Kako si tehnično predstavljaš, da binary izračuna in preveri svoj hash, pri čemer moraš hash v binary zapisati na tak način, da bo končni hash točno enak tistemu, ki ga bo binary izračunal iz sebe?

Naloga za študenta prvega letnika. Bom čez pet minut, samo da do konca nova sporočila v temi preberem. (pa za jezik se odločim)

(govora je sicer bilo o podpisu, ampak.. korak po korak)

LOL, komaj čakam.

Hint: ko v samega sebe zapišeš hash, se hash tebe spremeni, pa saj to veš, ne?

Mrsteinu je ta koncept hashiranja in zapisivanja samega sebe vase malcek nejasen. In mu ni jasn, da je to zahtevna naloga.

Za fiksno izbiro hash funkcije, pa je verjetnost, da je problem neresljiv velika 1/e oziroma malo vec kot 30%.

evo:

#!/bin/sh
#282a4f6243830c5f1d8945aa52a9d884#

# compute file hash
hash=$(( head -c 11  $0 ; tail -c +44 $0 ) | md5sum | awk '{print $1}')

echo izracunan hash je $hash

# read stored hash
ehash=$( head -c 43  $0 | tail -c 32  )

echo pricakovan hash je $ehash

if [ "$hash" != "$ehash" ]
then
        echo ni enako, prekinjam izvajanje1
        exit
fi

echo vse zgleda OK, zacenjam izvajati program

#do something
echo danes je datum $(date)

Facebook dev je 28. nov 2019 ob 20:23 izjavil:

Mrsteinu je ta koncept hashiranja in zapisivanja samega sebe vase malcek nejasen. In mu ni jasn, da je to zahtevna naloga.

Seveda mu je jasno, da je za laike zahtevna naloga. Za računalničarje je to par minut dela.

PS: Če je tu kaj white space malo drugačen in seveda hash ne velja več, lahko dam zazipano nekam. Povejte kam.

Eh, pa še bug je: piše "prekinjam izvajanje1" namesto "prekinjam izvajanje!"

O, LOL! Pa ti se norca delaš človek. Iz samega sebe.

Kot prvo - si sploh pognal tole skripto?

Torej, rečem takole:

md5sum has.sh 

In dobim hash:

ceb79abf96ff19b6e5077118c54a7809  has.sh

Zdaj v MrSteinovi "skripti" zamenjam:

#282a4f6243830c5f1d8945aa52a9d884#

s temle:

#ceb79abf96ff19b6e5077118c54a7809#

In rečem spet:

md5sum has.sh 

Glej ga zlomka... hash je sedaj drugačen:

acb43cfa9a31c9f27734d10b93e0377e  has.sh

Zdaj,... tole lahko ponovim tisočkrat, pa bo vedno isto.

Je pa res, kar je rekel Jype... če tole vajo ponavljaš dovolj časa (in dodajaš še druge spremembe), boš mogoče celo prišel do kolizije in to bo uspelo.

MrStein je 28. nov 2019 ob 20:12 izjavil:

kow je 26. nov 2019 ob 20:25 izjavil:

https://src.getmonero.org/resources/use...

(datoteka s hashi je podpisana)

Na download strani ni: https://web.getmonero.org/downloads/

Kako ni?
https://web.getmonero.org/downloads/has...

Glede zaščite bi se moral pa potencialni hacker potruditi ravno toliko kolikor si se ti. Torej spremeniti bi moral kodo in nato čekirati vse hashe in jih dodajati v datoteko, datoteko hashirati in preverjat, ali se hash ujema.

MrStein, prosim ne smeši več samega sebe.

Tisti tvoj džambo-mambo s head in tail naredi samo to, da pri hashiranju "odrežeš" ven vrstico s hashem in potem računaš hash nad ostalim.

To je seveda bullshit od "zaščite".

Odgovori raje na tole: https://slo-tech.com/forum/t755572/p652...

Kako boš rešil tale "glej ga zlomka" problem?

Evo še base64 kodirano, da se ne lovite s copy paste:

IyEvYmluL3NoCiMyODJhNGY2MjQzODMwYzVmMWQ4OTQ1YWE1MmE5ZDg4NCMKCiMgY29tcHV0ZSBm
aWxlIGhhc2gKaGFzaD0kKCggaGVhZCAtYyAxMSAgJDAgOyB0YWlsIC1jICs0NCAkMCApIHwgbWQ1
c3VtIHwgYXdrICd7cHJpbnQgJDF9JykKCmVjaG8gaXpyYWN1bmFuIGhhc2ggamUgJGhhc2gKCiMg
cmVhZCBzdG9yZWQgaGFzaAplaGFzaD0kKCBoZWFkIC1jIDQzICAkMCB8IHRhaWwgLWMgMzIgICkg
CgplY2hvIHByaWNha292YW4gaGFzaCBqZSAkZWhhc2gKCmlmIFsgIiRoYXNoIiAhPSAiJGVoYXNo
IiBdCnRoZW4KCWVjaG8gbmkgZW5ha28sIHByZWtpbmphbSBpenZhamFuamUxCglleGl0CmZpCgpl
Y2hvIHZzZSB6Z2xlZGEgT0ssIHphY2VuamFtIGl6dmFqYXRpIHByb2dyYW0KCiNkbyBzb21ldGhp
bmcKZWNobyBkYW5lcyBqZSBkYXR1bSAkKGRhdGUpCgoKCg==

jype je 28. nov 2019 ob 22:48 izjavil:

MrStein je 28. nov 2019 ob 21:24 izjavil:

Seveda ščiti.

Ne, ne ščiti.

Daj pol tako spremenjen program. Ni problema. Čakam.

MrStein je 28. nov 2019 ob 21:40 izjavil:

Facebook dev je ugotovil tisto, kar študenti prvega letnika že vedo: uporaba hash-ev kot zaščite pred manipulacijami je bedasta! (OK, nesmiselna)

Ne, ni, ravno nasprotno.

Kaka magija pa bi preprečila, da zraven program.exe nepridipravi spremenijo še MDSUMS datoteko?

poweroff je 28. nov 2019 ob 22:43 izjavil:

To je seveda bullshit od "zaščite".

Čestitam tudi tebi!

(zdaj moraš samo še đajpa prepričat)

MrStein je 28. nov 2019 ob 22:52 izjavil:

Daj pol tako spremenjen program. Ni problema. Čakam.

Kar čakaj, policaj, bom koj nazaj, u-u!

poweroff je 28. nov 2019 ob 23:44 izjavil:

MrStein, ne razumem kaj si hotel dokazati?

Da se program, ki preveri lasten hash, napiše v par minutah (ker je nekdo trdil, da ni možno).

Razen tega, da si dokazal, da pojma nimaš.

To ti dokazuješ z vsakim sporočilom. Ravnokar si recimo pokazal, da niti o EV nimaš pojma.

Ker to tvojo skripto je čisto enostavno "pohekat" tako, da bo rekla, da je hash pravi.

Čestitam še enkrat. Prišel si na nivo mojega prvega sporočila.
A lahko zdaj nadaljujemo? Ali potrebuješ premor?

Ker naslednja točka je, ko ti pokažeš neko meso glede onih namigovanj (mahanje z roko, kot eni pravijo) da se da nekako zaobiti, ponarediti ali karkoli pač, glede podpisov.

Napeto čakamo...
(čeprav vemo, da vsebine od vemo-koga ne bo, ker še nikoli ni bilo)

MrStein je 29. nov 2019 ob 18:23 izjavil:

Da se program, ki preveri lasten hash, napiše v par minutah (ker je nekdo trdil, da ni možno).

Ti si butast, ali se butastega delaš?

Ravno tvoj primer dokazuje, da tisti tvoj program NE preverja lastnega hasha. Ker pravilen pristop bi bil:
- izračunaj MD5 hash programa
- ta hash je enak tistemu, ki je zapisan v 2. vrstici

Zdaj torej napiši tak program, ki bo imel v vrstici zapisan tak hash, da bo md5sum ime_programa, vrnilo točno ta hash iz 2. vrstice.

O tem govorimo fant, o tem.

Ne se sedaj ven vleči in spreminjati teme.

Govorimo o tem, da je binarna datoteka "samopodpisana" na tak način, da je njen hash enak tistemu, ki je zapisan nekje v njej. Ti sti neumno trdil, da je to mogoče, potem pa dokazal da sploh ne razumeš v čem je problem.

In ja, če me vprašaš, je teoretično to mogoče - s pomočjo iskanja kolizije. Ampak v praksi je tako "podpisovanje" samega sebe praktično nemogoče.

Kateri del napisat algoritma, ki bo v dateteko vstavil hash in preveril, da se celotna datoteka zahasherira v ta hash pa je tezek???

Edino kar je zahtevno je to, da bo ta algoritem računal več let, ampak to pri tebi ni problem ane?

MrStein, eksplicino si trdil neumnosti. In si to potem nam vsem tudi dokazal.

Ampak ker pametuješ naprej - kako konkretno bi rešil navedeni problem? Se pravi, da "napadalec" tvojo skripto modificira in potem njen hash v drugi vrstici ustrezno popravi, da bo skripta rekla, da je vse OK?

(Se pravi, kako bi ti to preprečil)

Ahaaa, zdaj je pa nemogoče. No, se le strinjamo.

Poglej si tale moj post in svojih par prejšnjih in naslednjih:
https://slo-tech.com/novice/t755572/p65...

Lahko sicer predpostavim, da ti ni bilo jasno o čem govorimo, dokler s svojim neposrečenim poskusom nisi dojel kje je problem.