LINUX.ORG.RU
ФорумTalks

Еггогология - Возрождение!

 


0

1

Я думаю пора возрождать такую замечательную науку как - Еггогология, будь-то Гугл выдающий свой ЕГГОГ в виде «Извините, что-то пошло не так», или Яндекс со своим ЕГГОГом «Ой, произошло что-то не то», или еще какой нибудь echo $webengine на JS непонимает, что случилось и какая ошибка произошла, я думаю братцы вся ответственность на нас с вами, только мы можем помочь этим ребятам разобраться в том, ЧТО ПОШЛО НЕ ТАК, какой номер ошибки или проблемы, коли они никак не в силах!



Последнее исправление: cheetah111v (всего исправлений: 1)

Ответ на: комментарий от xavaco5033

Ясно, пользователь как наиболее тупое из божьих созданий должно аки слепой котёнок тыкаться в одно и то же место без возможности устранить неведомую ошибку или проблему, превосходный юзер-экспириенс.

cheetah111v
() автор топика
Ответ на: комментарий от peregrine

А как можно исправить уязвимости типа padding oracle, кроме сокрытия кода ошибки? Считается ли security through obscurity случайный sleep, вставленный с целью защиты от timing attack?

kmeaw ★★★
()
Ответ на: комментарий от cheetah111v

Не всем это нужно. Ты ведь не знаешь как починить лифт у себя в подъезде? А утечку заза? Сильно от этого страдаешь?

chenbr0
()
Ответ на: комментарий от ilovewindows

на какой адрес слать чаю этому господину?!

nerfur ★★★
()
Ответ на: комментарий от cheetah111v

в общем случае — да. по идее, конечно, к этому должен прилагаться фронтенд, на котором нельзя спровоцировать 4XX ошибку, но это уже как повезет. а 500е всё равно не про юзера.

xavaco5033
()

Ты так пишешь, будто шестой десяток разменял... Если не седьмой.

Shadow ★★★★★
()
Ответ на: комментарий от kmeaw

А как можно исправить уязвимости типа padding oracle, сокрытием кода ошибки в браузере?

MrClon ★★★★★
()
Ответ на: комментарий от peregrine

как и всегда до этого, прикинь. но ты можешь задавить ИБшных неучей своим авторитетом, пускай они наконец-то *поймут*

xavaco5033
()
Ответ на: комментарий от kmeaw

Считается ли security through obscurity случайный sleep

Нет, это простая глупость, не имеющая никакого отношения к ИБ. Если у тебя появилась нужда лепить слипы для безопасности, значит ты где-то так налажал, что боржоми пить уже поздно.

peregrine ★★★★★
()
Ответ на: комментарий от xavaco5033

Ну я знаю что там вечно лажа, почти с самого появления ИБ как псевдонауки. Что их давить, их эксплуатировать надо, что вполне неплохо из-за их уровня.

peregrine ★★★★★
()
Ответ на: комментарий от xavaco5033

Нет товарищ майор, только то что не запрещено.

peregrine ★★★★★
()
Ответ на: комментарий от peregrine

В той же криптографии, например, время выполнения процедуры может быть использовано для атаки на шифр.

cvs-255 ★★★★★
()
Ответ на: комментарий от cvs-255

Не время, а сложность. Если ты привязываешься ко времени, то твою функцию просто перепишут без слипа и всё.

peregrine ★★★★★
()
Ответ на: комментарий от kmeaw

а почему паддинг оракле до юзера доехать должен? ну назови это ошибка 345643 и покажи пользаку, пусть хоть при звонке в тп внешний номер ошибки скажет.

нет, мы будем жрать говно и пользователей этим же говном кормить станем.

deep-purple ★★★★★
()
Ответ на: комментарий от cvs-255

Те кому охота поломать твой шифр, имея данные. Разберут тихонько на дизассемблере что там происходит и напишут правильно. Т.е. если у тебя шифрование эффективно за счёт того что ты говнокодер, это не шифрование, а ты говнокодер.

peregrine ★★★★★
()
Ответ на: комментарий от peregrine

И как это поможет взломать конкретно мои данные? Они же не смогут заменить тот код, который у меня на сервере и со слипами, на свой, без слипов. А значит мой сервер будет по прежнему вставлять случайный слип при операциях шифрования, что как раз и блокирует возможность атаки по времени

cvs-255 ★★★★★
()
Последнее исправление: cvs-255 (всего исправлений: 2)
Ответ на: комментарий от cvs-255

Обычно в таких случаях могут. Иногда даже получить физический доступ к вашему серверу и копию его винтов тоже. Подкуп или обман нужных людей никто не отменял, обычно это самый простой и действенный метод взлома.

peregrine ★★★★★
()
Последнее исправление: peregrine (всего исправлений: 1)
Ответ на: комментарий от peregrine

Если кто-то получил физический доступ к серверу и может менять установленное ПО, то это уже совершенно другой случай, не имеющий отношения к обсуждаемой теме.

Прелесть атак по времени, padding oracle итп в том, что не требуется ничего подменять на сервере, внедрять бэкдоры итд.

cvs-255 ★★★★★
()
Последнее исправление: cvs-255 (всего исправлений: 2)
Ответ на: комментарий от kmeaw

Считается ли security through obscurity случайный sleep, вставленный с целью защиты от timing attack?

Допустим, ты вставил sleep, который ждёт от одной до двух секунд. Атакующий сделает несколько тысяч запросов каждого вида, усреднит время, вычтет 1,5, и вот у твоей системы уже как-будто и нет случайного sleep’а.

i-rinat ★★★★★
()
Ответ на: комментарий от cvs-255

что как раз и блокирует возможность атаки по времени

lmao

i-rinat ★★★★★
()
Ответ на: комментарий от i-rinat

Вместо одного запроса - тысячи, это как минимум в тысячи раз замедляет взлом

cvs-255 ★★★★★
()
Ответ на: комментарий от cvs-255

Я намекаю на то, что сами чувствительные данные на сервере должны быть зашифрованы и не должны храниться в сыром виде. Всё что может там быть, это хеш от пароля к этим данным.

peregrine ★★★★★
()
Ответ на: комментарий от peregrine

А какое отношение шифрование данных при хранении на сервере имеет к вставлению sleep для предотвращения timing attack?

cvs-255 ★★★★★
()
Ответ на: комментарий от i-rinat

Хотя конено лучше не просто равномерно случайный sleep, а sleep чтобы суммарное время было констаной + равномерно случайный

cvs-255 ★★★★★
()
Ответ на: комментарий от cvs-255

Если данные шифрованны, то timing attack не работает, при условии что ключ не утёк. А если он утёк, то и никакие слипы не помогут.

peregrine ★★★★★
()
Последнее исправление: peregrine (всего исправлений: 1)
Ответ на: комментарий от cvs-255

Хотя конено лучше не просто равномерно случайный sleep, а sleep чтобы суммарное время было констаной

Ещё чуть-чуть, и дойдём до вычислений, которые занимают одно и то же время для любого результата. Как раз решение для предотвращения атаки замером времени. Подбирать sleep опасно, потому что подобрать в точности практически нереально, а ошибка в любую сторону — канал утечки данных.

равномерно случайный

Пустая трата ресурсов. Это не даёт ничего полезного.

i-rinat ★★★★★
()
Последнее исправление: i-rinat (всего исправлений: 1)
Ответ на: комментарий от peregrine

Если данные шифрованны, то timing attack не работает, при условии что ключ не утёк.

Поищи описание padding oracle.

А, стоп. Я посмотрел в предыдущих сообщениях. Ты хочешь гомоморфное шифрование. Прогресс там есть, но до широкого распространения всё ещё далеко.

i-rinat ★★★★★
()
Последнее исправление: i-rinat (всего исправлений: 1)
Ответ на: комментарий от i-rinat

Не только. Для начала хотя бы выносили то что не надо обрабатывать в простой шифр и расшифровывали бы на клиенте клиентским ключом. На практике далеко не всегда есть нужда делать на сервере какие-то операции с шифрованными данными. Это может и клиент делать, если нужно, а у него уже отдельная история как безопасности добиться.

peregrine ★★★★★
()
Ответ на: комментарий от peregrine

Расшифровывание чего-то на клиенте клиентским ключем вообще к обсуждаемой теме отношения не имеет

cvs-255 ★★★★★
()
Ответ на: комментарий от cvs-255

Если ты занимаешься криптой, а не пародией на неё, то имеет. Но обычно у нас маркетинговая пародия, а как же иначе-то, владельцы сервера то хотят читать всё, как и полиция? Вот и имеем то что имеем, а именно кучу неучей, не знающих ничего про ИБ, но знающих про цирк и принимающих его за ИБ. Стыдно, товарищи.

peregrine ★★★★★
()
Последнее исправление: peregrine (всего исправлений: 1)
Ответ на: комментарий от peregrine

Ты смешиваешь все в одну кучу. Конкретно сейчас обсуждали использование слипов для предотвращения timing attack. То, о чем ты пишешь, отношения к этому не имеет

cvs-255 ★★★★★
()
Ответ на: комментарий от peregrine

Ты уверен, что понимаешь, о чём пишешь? Потому что я вот совсем не понимаю, что ты пытаешься сказать.

i-rinat ★★★★★
()
Ответ на: комментарий от deep-purple

Если пользователь поймёт, что при отправке одних данных он получает ошибку 345643, а при отправке других уже ошибку 345644, то он сможет продвинуться в своей атаке. Аналогично, если пользователь заметит, что если в одном случае он получает ошибку через 1мс, а в другом через 1с, то это тоже позволяет сделать выводы.

Подобные трюки использовали для расковыривания формата микрокода Intel, для поиска недокументированных инструкций CPU, для перебора списка пользователей через sshd, для атак на криптосистемы (Vaudenay) по их реакции на неверный padding.

Для того, чтобы разбирать ошибки, нужна хорошая система трассировки и логирования. Для того, чтобы служба поддержки могла реагировать на сообщения об ошибок от пользоавтеля, достаточно присваивать запросам request ID и показывать его при ошибке («произошла ошибка при обработке запроса 2020005122482349, обратитесь в поддержку, если ошибка воспроизводится»).

Если есть желание пойти на компромисс, то можно расширить ответ классом ошибки, поясняющий, связана ли проблема с запросом пользователя:

  1. Пользователь прислал настолько плохой запрос, что бессмысленно пытаться присылать его повторно без изменений когда-либо в дальнейшем. Пример: синтаксическая ошибка во время разбора запроса.

  2. Пользователь прислал такой запрос, который сервер прямо сейчас выполнить не может. Пример: кончилась пользовательская квота на запросы.

  3. Пользователь перевёл своим запросом обработчик на сервере в непредусмотренное разработчиком состояние. Пример: разработчик забыл, что в его СУБД колонка для хранения имени пользователя имеет ограничение в 16 символов, и не учёл это в процедуре валидации, что привело к ошибке при обработке запроса INSERT.

kmeaw ★★★
()
Ответ на: комментарий от i-rinat

Когда у тебя слипы, то никакой информационной безопасности нет. Всё что есть, это надежда на то, что сервер имеет надёжную физическую защиту и на нём нет дырявого ПО. Можно с таким же результатом данные на диске в сейф пихать или в лесу закапывать в стеклянной банке чтоб никто не видел и рассуждать о том, какая же у тебя крутая информационная безопасность. Если у тебя информационная безопасность, то хоть будь сервер в руках злоумышленника, всё что он сможет сделать это сломать его или попортить данные, при этом клиенты об этом узнают, но не прочитать их.

peregrine ★★★★★
()
Ответ на: комментарий от peregrine

Твой сервер от физического вмешательства может охранять взвод чуваков с автоматами, но его при этом могут взломать через timing attack

Защита от физического вмешательства, защита от запуска зловредного кода и защита от атаки на шифрование связи сервера с внешним миром - это разные вещи и не надо мешать их в кучу

cvs-255 ★★★★★
()
Последнее исправление: cvs-255 (всего исправлений: 1)
Ответ на: комментарий от cvs-255

Потому что ИБ как науки до сих пор нет и не будет, учитывая то что вместо подумать надо бах-бах и в проду, а когда данные юзеров сопрут, ну с кем такого не было, да, потому и делают разные костыли, да. Кстати, не читал основной документ про ИБ в РФ? Во, держи, это чтоб иллюзий не было чем она занимается у нас.

peregrine ★★★★★
()
Последнее исправление: peregrine (всего исправлений: 1)
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.