Здравствуйте Гость [ Вход | Регистрация ] | Форум в сети 6726-й день

Шановні користувачі! Запрошуємо вас до офіційного телеграм-канала 0day Community. Тут ви зможете поспілкуватися одне з одним та дізнатися про останні новини щодо роботи ресурса, поставити запитання до адміністрації, тощо. Перейти до телеграм-канала можна відсканувавши QR-код або натиснувши на посилання: @zeroday_ua

 Захист системи "Мій Київстар", омг! омг!
нарада
May 26 2015, 17:14
  
Пост #1



Репутация:   249  
Be Human
***

Группа: Пользователи
Сообщений: 1 256
С нами с: 26-July 09
Мєгажесть, КС про безпеку даних своїх абонентів ваабщє не напрягається biggrin.gif
https://www.ssllabs.com/ssltest/analyze.htm...=my.kyivstar.ua
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
 
 Reply to this topicStart new topic
Ответов(1 - 16)
PhoeniX07
May 26 2015, 17:22
  
Пост #2



Репутация:   462  
Старожил
****

Группа: Пользователи
Сообщений: 3 716
С нами с: 3-January 10
А для простих смертных?
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
нарада
May 26 2015, 17:31
  
Пост #3



Репутация:   249  
Be Human
***

Группа: Пользователи
Сообщений: 1 256
С нами с: 26-July 09
(PhoeniX07 @ May 26 2015, 18:22) Перейти к цитате

А для простих смертных?

Мало би бути хоча б "B". Найвища оцінка "А+"
Наразі, оцінка безпеки "шифрованих" даних на їхньому сайті дорівнює "F" – що означає один з най-найнижчих показників захисту трафіку.
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
tiss
May 26 2015, 18:31
  
Пост #4



Репутация:   335  
Старожил
****

Группа: Пользователи
Сообщений: 4 818
С нами с: 21-April 09
(нарада @ May 26 2015, 18:31) Перейти к цитате

Мало би бути хоча б "B". Найвища оцінка "А+"
Наразі, оцінка безпеки "шифрованих" даних на їхньому сайті дорівнює "F" – що означає один з най-найнижчих показників захисту трафіку.


Ну пожалуйста - взломайте систему smile.gif Оценка Ф у них только потому, что ТЛС 1.0 поддерживают исключительно. А с шифрованием там всё гут. Шифрование это Cipher Strength
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
нарада
May 26 2015, 18:53
  
Пост #5



Репутация:   249  
Be Human
***

Группа: Пользователи
Сообщений: 1 256
С нами с: 26-July 09
(tiss @ May 26 2015, 19:31) Перейти к цитате

Ну пожалуйста - взломайте систему smile.gif Оценка Ф у них только потому, что ТЛС 1.0 поддерживают исключительно. А с шифрованием там всё гут. Шифрование это Cipher Strength

Ну мені не потрібно її ламати, але перехват паролів для того, кому це потрібно - буде як подарунок!
Стосовно "виключно TLS 1.0 , ну нєт. Перегляньте тут, якщо ви так впевнені в обізнаності "Cipher Strength" wink.gif

https://sslcheck.globalsign.com/ru/sslcheck...ua#193.41.60.38
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
tiss
May 26 2015, 19:22
  
Пост #6



Репутация:   335  
Старожил
****

Группа: Пользователи
Сообщений: 4 818
С нами с: 21-April 09
По пунктам

(нарада @ May 26 2015, 19:53) Перейти к цитате

Перегляньте тут, якщо ви так впевнені в обізнаності "Cipher Strength" wink.gif

Cipher Strength - Стойкость шифра. Что не так? Имеет оценку 80. В переводе на общепонятный - хрен сломаешь, Т.е. если данные зашифрованы, для злоумышленника будет проблемой их вскрыть

Ну мені не потрібно її ламати, але перехват паролів для того, кому це потрібно - буде як подарунок!

Вот здесь подробнее - какая именно уязвимость позволит злоумышленникам получить пароль "як подарунок"?


Стосовно "виключно TLS 1.0 , ну нєт.


Ну почему же нэт? По первой ссылочке Protocol Support - оценка 0. Читаем ниже
Protocols
TLS 1.2 No
TLS 1.1 No
TLS 1.0 Yes
SSL 3 No
SSL 2 No

В протоколе 1.0 реализованы алгоритмы шифрования, которые были признаны НЕбезопасными и убраны из последующих версий.

Исходя из вышесказанного при использовании клиентом НЕбезопасного браузера настройка безопасности сайта КС даст возможность использовать НЕкриптостойкий алгоритм, который может быть расшифрован злоумышленником лет через 5...

А оценку ССЛлаб делает по минимуму. Бодался я как-то с "хакером", который пытался доказать уязвимость нашей системы используя оценку ССЛлаба.

ЗЫ. Споры о том, что кого-то легко взломать бессмысленны пока не произведён взлом.
ЗЗЫ. И да - КС говно!

Сообщение отредактировал tiss - May 26 2015, 19:24
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
PhoeniX07
May 26 2015, 19:37
  
Пост #7



Репутация:   462  
Старожил
****

Группа: Пользователи
Сообщений: 3 716
С нами с: 3-January 10
Тс решил зарисоваться, но не вышло. wink.gif
ф значит все очень плохо, если А значит все хорошо прям адмирал ясен хрен.
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
_NemO_
May 26 2015, 20:24
  
Пост #8



Репутация:   746  
Ветеран
*****

Группа: Пользователи
Сообщений: 5 414
С нами с: 2-April 06
От нефиг делать получил A+ d.gif
https://www.ssllabs.com/ssltest/analyze.html?d=nemo.pp.ua
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
Credo
May 26 2015, 20:30
  
Пост #9



Репутация:   180  
Cтаршой
**

Группа: Пользователи
Сообщений: 962
С нами с: 7-January 07
Быдлоадмины там просто в Киевстаре)))
У меня на тестовом сайте оценка А.
https://www.ssllabs.com/ssltest/analyze.html?d=knopiki.com
Магазинчик клиента будет продавать ночнушки ))) https://knopiki.com/category/odezhda-dlya-doma-i-sna/
Сертификат аж за 3 доллара.

Сертификат все перевыпускают бесплатно. Настроить сервер нормально 15 минут.
Банальное наплювательское отношение админов к работе.

З.Ы. Если тут есть представители Киевстара. Настрою недорого нормально ssl )))
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
tiss
May 26 2015, 20:31
  
Пост #10



Репутация:   335  
Старожил
****

Группа: Пользователи
Сообщений: 4 818
С нами с: 21-April 09
(_NemO_ @ May 26 2015, 21:24) Перейти к цитате

От нефиг делать получил A+ d.gif
https://www.ssllabs.com/ssltest/analyze.html?d=nemo.pp.ua


Грац! drinks.gif
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
Credo
May 26 2015, 20:39
  
Пост #11



Репутация:   180  
Cтаршой
**

Группа: Пользователи
Сообщений: 962
С нами с: 7-January 07
Сделал и я с А на А+
По времени 2 минуты )))
https://www.ssllabs.com/ssltest/analyze.html?d=knopiki.com

Сообщение отредактировал Credo - May 26 2015, 20:51
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
imenno
May 26 2015, 22:04
  
Пост #12



Репутация:   970  
Мистер Равлик
******

Группа: Пользователи
Сообщений: 16 192
С нами с: 24-March 06
У лайфа оценка А. ВТФ там у киевстара происходит?


Сообщение отредактировал imenno - May 26 2015, 22:06
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
нарада
May 26 2015, 23:39
  
Пост #13



Репутация:   249  
Be Human
***

Группа: Пользователи
Сообщений: 1 256
С нами с: 26-July 09
(Credo @ May 26 2015, 21:30) Перейти к цитате

Быдлоадмины там просто в Киевстаре)))

Банальное наплювательское отношение админов к работе.


Так і я ж про то smile.gif

SSLUseStapling on
SSLStaplingCache "shmcb:logs/stapling_cache(128000)"

SSLProtocol all -SSLv2 -SSLv3

SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:DES-CBC3-SHA:!AES128-SHA:!AES256-SHA:!AES128-SHA256:!AES256-SHA256:!AES128-GCM-SHA256:!AES256-GCM-SHA384:!DHE-RSA-AES128-SHA:!DHE-RSA-AES128-SHA256:!DHE-RSA-AES128-GCM-SHA256:!DHE-RSA-CAMELLIA256-SHA:!CAMELLIA256-SHA:!DHE-RSA-CAMELLIA128-SHA:!CAMELLIA128-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!SRP:!DSS:!RC4:!3DES

SSLHonorCipherOrder on

Header always set Strict-Transport-Security "max-age=31536000"


Дарую свій конфіг для Apache ))

Буде вам А+
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
нарада
May 29 2015, 1:57
  
Пост #14



Репутация:   249  
Be Human
***

Группа: Пользователи
Сообщений: 1 256
С нами с: 26-July 09
Ось тут дуже корисна статейко: Выбор ciphersuites для TLS и уязвимость Logjam.
http://habrahabr.ru/post/258673/
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
imenno
Apr 26 2016, 22:04
  
Пост #15



Репутация:   970  
Мистер Равлик
******

Группа: Пользователи
Сообщений: 16 192
С нами с: 24-March 06
Всё ОК. gy.gif
Open in new window
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
Morftimg
Apr 27 2016, 7:21
  
Пост #16

Благодарности: 10

Репутация:   754  
0day rescue
****

Группа: Модеры
Сообщений: 4 491
С нами с: 21-April 06
Если сразу пишет эрорр, что это значит?) Супер пентагонский шифр?)

Сообщение отредактировал Morftimg - Apr 27 2016, 7:21
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
Celin
Apr 27 2016, 8:21
  
Пост #17



Репутация:   -342  
rtfm
*****

Группа: Пользователи
Сообщений: 5 264
С нами с: 4-April 08
Значит до проверки дело не дошло. Блокер
Сначала нужно сессию установить...
User is offlineProfile CardPM
Go to the top of the page
+Quote Post
« Предыдущая тема · Взлом и Защита · Следующая тема »
 

Reply to this topicStart new topic

 

Стиль отображения: Переключить: Стандартный · Линейный · Переключить: Каскадный

Подписка на тему · Сообщить другу · Версия для печати · Подписка на этот форум

Удалить установленные форумом cookies · Отметить все сообщения прочитанными · Кто онлайн?
- Упрощённая версия
 Сейчас: 14th August 2024 - 13:43
Сайт не розміщує електронні версії творів, а займається лише колекціонуванням та каталогізацією посилань, що публікуються нашими користувачами. Якщо Ви є правовласником якоїсь частини опублікованого матеріалу та не бажаєте, щоб посилання на нього знаходилось в нашому каталозі, зв’яжіться з нами і ми видалимо його. Файли для обміну надані користувачами сайту і адміністрація не несе відповідальності за їх вміст.