Про дятлов.

>>Да все проще - раз везде HTTP/FTP, можно поставить man-in-the-middle (с помощью ARP-спуфинга) у того же провайдера, где стоит оригинальный сервер, который будет во всем трафике заменять строку [старый ключ] заменять на строку [новый ключ].

>двоечник. rtfm :)

>geek (*) (26.02.2007 12:08:17)

Да забей, уже пол-года назад обсуждалось. Пришли к выводу о том, что в случае паранойи надо срочно обращатся за профессиональной помощью...

>У тебя либо заниженная самооценка либо ты не знешь что такое диззассемблер :)

И шо ты этим хотел сказать?

>Да все проще - раз везде HTTP/FTP, можно поставить man-in-the-middle (с помощью ARP-спуфинга) у того же провайдера, где стоит оригинальный сервер, который будет во всем трафике заменять строку [старый ключ] заменять на строку [новый ключ].

Не понял, как это поможет подделать подпись пакетов? Открытые ключи для проверки лежат в коробке с дистром, финжерпринты от них админ знает наизусть.

При условии сохранности закрытого ключа (его нет на www сервере вообще), и доступности и аутентичности открытого (лежит в коробке, fingerprint известен) хоть сколько мэнов в середине не ставь -- максимум можно добиться не получения апдейтов на систему.

Слющайте, а таки-да. Тема работает. Они собрались и пошли долбить!

>Не понял, как это поможет подделать подпись пакетов? Открытые ключи для проверки лежат в коробке с дистром, финжерпринты от них админ знает наизусть.

Ну только если дистр в коробке покупаешь. Если скачиваешь с инета - приватный ключ лежит там же на сервере. Ну и даже если ты покупаешь в коробке, ставя софт с других репозиториев и с сайта производителя, ты можешь получить вовсе не то, что хотел.

Вот редхатовцы удивятся, если скачают со своего сайта публичные ключи, которые они не размещали.

>Ну и даже если ты покупаешь в коробке, ставя софт с других репозиториев и с сайта производителя, ты можешь получить вовсе не то, что хотел.

Другие репозитории -- зло. Но если они понадобятся, то ведь есть https для достоверного получения открытого ключа. Ключи от корневых центров сертификации в той же коробке :)

>Вот редхатовцы удивятся, если скачают со своего сайта публичные ключи, которые они не размещали.

HTTP/FTP + man-in-the-middle = сам знаешь что

Кроме того, все качают с зеркал, потому оригинальный сервер безбожно тормозит.

>есть https для достоверного получения открытого ключа.

Пример в студию. Сколько лет живу - нигде не видел.

>Другие репозитории -- зло. Но если они понадобятся, то ведь есть https >для достоверного получения открытого ключа. Ключи от корневых центров >сертификации в той же коробке :)

А ты думаешь что все нужные сторонние репозитарии всегда подписаны ключем из одного из корневых центров? Это между прочим денег нехилых стоит.

З.Ы. Тут выше был коммент про параною -рекомендую ознакомиться

>З.Ы. Тут выше был коммент про параною -рекомендую ознакомиться

Параноиком быть плохо. Но параноиков (в отличии от админов, плюющих на шифрование, подписи и т. д.) в биореакторе не ждут.

>.. в биореакторе не ждут.

что не мешает их туда посылать :)

>>Не понял, как это поможет подделать подпись пакетов? Открытые ключи для проверки лежат в коробке с дистром, финжерпринты от них админ знает наизусть.

>Ну только если дистр в коробке покупаешь. Если скачиваешь с инета - приватный ключ лежит там же на сервере.

БУ-ГА-ГА. Скажи, а для чего они там лежат? Чтобы малолетним ксакепам было легче до них добраться?

Сорри, s/приватный/публичный/

> Да и даже если ты от одного вида атак защитишься, останется еще куча вариантов, как натянуть почти любой комп. :)

"Дорогой журнал ][akep, пишет тебе твой постоянный читатель Василий^W133tx@k3p..."

Иди-ка ты в жопу, да.

>Иди-ка ты в жопу, да.

Че, тебя и твой комп в жопу натянуть?

ламыры..... люди, используйте сырцы.....

>Сорри, s/приватный/публичный/

и как ты подпишешь пакет публичным ключём, ксакеп? :)

>и как ты подпишешь пакет публичным ключём, ксакеп? :)

Ты совсем дурачок или прикидываешься? О подписывании никто не говорит. Просто если подменили дистр, лежащий там же публичный ключ могли тоже подменить. А в случае man-in-the-middle - даже если публичный ключ лежит на другом HTTP/FTP сервере.

Товарищ ламер, публичный ключ идёт вместе с дистрибутивом, а не берётся по FTP. :) Иначе толку от него ноль целых хрен десятых. Завязывайте позориться.

>Товарищ ламер, публичный ключ идёт вместе с дистрибутивом, а не берётся по FTP. :) Иначе толку от него ноль целых хрен десятых. Завязывайте позориться.

Дальше своего носа не видит, а еще и модератор... Позор!

А дистрибутив, надо понимать, ты не с FTP скачиваешь? Или linuxcenter, где ты его покупаешь, не с FTP скачивает?

Прикинь, есть ещё такая фича, как покупка CD, слыхал? Плюс неизменность ключа годами, от дистрибутива к дистрибутиву. Проверка контрольной суммы скачанного ISO из нескольких независимых источников.

Кончай троллить, надоел.

В такие дискуссии лучше не вляпываться. Ибо пока не ответишь, будет ощущение, что обосрали, а ответишь --- испачкался. :(

>Прикинь, есть ещё такая фича, как покупка CD, слыхал?

1. Ты всегда покупал официальный CD у производителя, а не у всяких линуксцентров, да?

>Плюс неизменность ключа годами, от дистрибутива к дистрибутиву.

2. Ты всегда проверял, что ключ всегда один и тот же?

Да и если строго говорить, man-in-the-middle тоже может висеть годами.

>Проверка контрольной суммы скачанного ISO из нескольких независимых источников.

3. Ты всегда так поступал?

Причем со всеми источниками ты связан через man-in-the-middle, которому никто не мешает заменять во всем FTP/HTTP трафике то, что нужно тебе, на то, что нужно ему.

А если ты так не делал, с чего ты взял, что все остальные юзеры будут так делать?

>Кончай троллить, надоел.

Кончай из себя строить суперкрутого админа, машины которого никто никогда в жизни не сломает, да? Взломщики тоже не дремлют, и многие из них в предметной области разбираются не хуже тебя.

P.S. Я админ, а не взломщик, потому что мне это нахер не сдалось. Просто не люблю, когда админы наплевательски относятся к вопросам безопасности, ставят себе пароли типа r00tr00t, а вместо этого выдумывают, что отсутствие компилятора охренеть как помешает взломщику.

Тузик, ты что ли?

А за тузика ответишь!