Neonz lapai piemeklēta parole

millencolin raksta, ka ar Neonz lapu kaut kas nav kārtībā, jo tajā ir parādījies savdabīgs ieraksts. Izrādās pie visa vainīgs ir Lethal ar saviem eksperimentiem, kas iesaka palasīties Apollo rakstu par pareizi paroļu izvēli.

Vēsturei ir saglabāta kopija no ievietotā ieraksta. Šajā sakarā man komentāru nav, jo principā šādi skaneri ir ikdiena. Ļoti daudzi garlaikojas un tā pavisam nejauši aiz neko darīt paņem un katram gadījumam noskanē tavu serveri vai arī uzlaiž virsū brute force paroļu meklētāju.

No šādām lietām pasargāts nav neviens un teorētiski, ja kāds ļoti gribēs, tad pielasīs paroli arī ar visiem simboliem. Neņemos uzskatīt sevi par drošības ekspertu, bet pāris lietas, kas, manuprāt, varētu apturēt nesankcionētu pieeju varētu būt šādas.

1. Neizmantot standarta nosaukumu administrācijas direktorijai – admin, administration, _admin, utt.
2. Ja, tomēr tiek izmantota kāda no standarta direktorijām, tad liekam vienu pietiekami sarežģītu paroli, lai skanerim būtu, ko pasvīst.
3. Tīri teorētiski pieļaujot iespēju, ka kāds tiks mūsu “admin” direktorijā, varam sagādāt pārsteigumu jaunajam ciemiņam un parādīt viņam tukšu lapu. Cilvēks, protams, būs nedaudz pārsteigts un sāks meklēt īsto failu ar kuru kaut ko var rediģēt. Tad lūk, ja administrācijas daļa ir gana sarežģīta ar daudziem skiptiem, tad vislabākais būtu izveidot apakšdirektoriju ar unikālu un tikai jums zināmu nosaukumu, piemēram, “margarinz”, “sv1ests” kurā glabāt visus skriptus vai arī kādu speciālu failu ar īpašu nosaukumu.
4. Īpašai direktorijai vai failam izveidojam vienkāršu php skriptu ar autorizāciju, tā var būt gana vienkārša, bet jābūt ar pārbaudi uz neveiksmīgiem pieslēgšanās mēģinājumiem. Teiksim, pēc trim nepareizām paroles ievadīšanas reizēm nobloķējam šo lietotāju un nosūtam e-pastu ar IP adresi un visām lietām.

Principā jau var izdomāt vēl dažādas lietas, bet šīs ir gana vienkārši realizējamas lietas un neprasa pārāk lielas pūles, lai izveidotu.

Tweet about this on TwitterShare on FacebookShare on VKShare on RedditShare on Google+Share on LinkedInEmail this to someone

59 komentāri par “Neonz lapai piemeklēta parole

  1. Krsh

    Tomēr ar tiem simboliem ir kā ir – pietiek ielikt kaut vienu alternatīvu simbolu parolē (es domāju šādus – ѢᅧṬ (ceru, ka redzami)), un kaut kāds burteforce 99.99% gadījumu ieberžas. Abet uzrakstīt tādus simbolus ir viegli – turam nospiestu Alt un uzsitam uz numpad klavieres 12, 11 vai ko citu.

    Atbildēt
  2. Aleksejs

    Problēma ar sarežģītām parolēm ir to atcerēšanās sarežģītība. Taču eksistē veidi, kā padarīt šo lietu vienkāršāku
    Piemēram, paroli:
    D,sL,mdt,sjL,a,sjt!
    ir grūti atcerēties, ja vien nepasaka, ka patiesībā šī parole ir vienas visiem zināmas dziesmas (kurai vārdus sarakstījis Baumaņu Kārlis, ja kas) pirmā pantiņa vārdu pirmie burti ar pantiņā izmantotajām pieturzīmēm (cerams, ka esmu pareizi salicis).
    Šādi izdomātas paroles ir daudzreiz maz ticamāk, ka kāds ieliks savā crackošanas vārdnīcā. Bez tam, neviens neliedz izmantot blakus šai metodei vēl kādu:
    Piemēram: izvēlamies divus vārdus: zebiekste elektromotors, tad apvienojam šos vārdus: zebiekste#elektromotors. Metodi var uzlabot speciāli izmantojot kaut kādu žargonu, jaucot vairāku valodu vārdus kopā, rakstot kļūdaini šos vārdus utt.

    Atbildēt
  3. Ežu Sargs

    Es parasti rakstu paroles, ņemot vienu taustiņu pa kreisi un uz augšu no īstā… idiotisms -> 8e8958wjw. Ar tiem unikoda simboliem gan ir krutāk, bet vai vienmēr, uz visiem OS un devaisiem tas nostrādās?

    Atbildēt
  4. e-remit

    Vēl esmu lietojis paroles, kad paroles nav vārdi, bet zīmējums uz klaviatūras. Šādus parasti ļoti ātri var uzrakstīt, un pat skatoties, ko raksti, grūti izsekot.

    Atbildēt
  5. sm

    Jums, jaunieš,i nekad nav sanācis ieberzties izmantojot svešu klavieri?
    Kā es vienreiz Francijā meklēju ! un @ zīmes 🙂 Nav jau tālu jāmeklē, tepat Igaunijā eksotikas pietiek.
    Pamatā vajag 8+ simbolus un lai tur nav vārdnīcas elementi. burtu a125tāšana ar s1mb0liem nepalielina drošību. Savukārt paroles garums palielina ļoti spēcīgi.

    Atbildēt
  6. lasītājs

    Lai cik pamācoši būtu tā āksta mērķi, ar šādām darbībām viņš pārkāpj likumu un ir saucams pie atbildības. Puikas, jokot ir forši, bet likumus ievērot vēl foršāk. Lai tev lēts advokāts citkārt, vecozēn. Kristaps jau tevi diezin vai kur sūdzēs, bet, ja man kāds āksts lapā kaut ko ieliktu un vēl parakstītos un savu IP atstātu un e-mailu, tad uz tiesu veči, tikai uz tiesu. Eksperimentēt tu vari uz savas otrās personības. Ja iet pa ielu cilvēks bez vērtību skalas, tad nekas, izņemot likumu, neliedz viņam visus nošaut. Un zini? Lielākajā daļā gadījumu, tādu killeru nemaz uz ielām nav tik daudz. Vēl jau jauki tas, ka coolynx popularizē šitādu ākstu izdarības. Ja gribēja uzrakstīt par tādu lietu, tad varēja neminēt varoņa vārdu.

    Atbildēt
  7. lasītājs

    Ā un par lietu, ja runā: pēc katras paroles pārbaudes vajag uzlikt kaut kādu sleep, lai automatizētos skriptus (arī parastos lietotājus) sabremzētu. Plus vēl vajag konta bloķēšanu uz laika periodu, ja ir veikti vairāk nekā 5 neveiksmīgi pieslēgšanās mēģinājumi, piemēram, vienas stundas laikā. Šo gan var pielietot tikai tad, ja arī lietotājvārds netiek publiskots masām.

    Atbildēt
  8. Kloons

    qwerty visspilgtaakais piemeers…. 😀 un asdfgh arii neatpaliek… times.lv laikam vienreiz papeetija savu lietotaaju paroliites… cik atceros bija jautri 🙂
    Me ar izmanto izkaartojumu uz klavas.. piemeers:
    hu8ji9k7
    Protams sleeptie simboli ar buut jaasaak izmantot… kaut izsaukumziimi pieliec savai parolei saakumaa vai beigaas 🙂
    vai arii ko inciigaaku beigaas… *.LoL =) idejiski nebeidzama teema… visiem itkaa saprotama, bet kad paskataas statistiku… visiem slinkums kauko domaat, bet nu kauns ja admins noslinko….

    Atbildēt
  9. Kloons

    lasītājs:
    Priecājies ka ir šādi cilvēki, kas pārbauda tavu drabu!
    Ja tur iebristu kāds ar mērķi iznīcināt postus….
    Būtu bēdīgi.
    Kaukur jāpameklē hakera definīcija…
    ja atceros skanējā apmēram tā: "Cilvēks, kas izklaides pēc uzlauž kautko, vai atrod caurumu un informē par to saimnieku, nenodarot nekaadu ļaunumu!"
    Vēl bija kautkas par krackeriem… tur bija ka tieši mērķis ir izpurgāt tavu darbu… $$$ nospert utt…

    Atbildēt
  10. fxz

    lasītājs: vai tu tiešām cilvēku, kas ielicis šāda tipa info tavā lapā, vilktu uz tiesu? Tiesā gan jautri pasmietos 😉
    Protams es šeit nerunāju par ielaušanos komerclapās…

    Atbildēt
  11. sm

    Rakstīt teikumu nav risinājums. Katrs vārds un tā locījumi, ko var atrast vārdnīcā, ir viens simbols lielākā alfabētā.
    Tas ir kā mainīt eksponenciālas funkcijas bāzi. Mainot unikālās zīmes tiek mainīta pakāpe.

    Atbildēt
  12. whitefox

    Ideja jau vairs nav nekāda jaunā. Izjutu arī pret savu lapeli šāda veida darbības. Protams, lamerim nekas neizdevās. Caurumu meklēja neīstajā vietā! =)
    Jautājums – kādēļ lasot lethal.fabrika.lv man rodas sajūta, ka lasu podu? =) Vai tad tiešām "letālajam" ir tik grūti ar savām līkajām rokām pamainīt kaut ko, lai būtu kāda "konfektīte" un atšķirības?!

    Atbildēt
  13. Pow

    lasītājs, darot sleep peec katra autorizaacijas meegjinaajuma noziimee, ka ja kaads visu laiku meegjinaas konekteet (dictionary attack), legaali lietotaaji nevarees piekonekteet — efektiivs DoS.

    Atbildēt
  14. whitefox

    lasītājs, darot sleep peec katra autorizaacijas meegjinaajuma noziimee, ka ja kaads visu laiku meegjinaas konekteet (dictionary attack), legaali lietotaaji nevarees piekonekteet — efektiivs DoS.

    Php skripts taču izpildās katrai individuālai sesijai, nevis visām sesijām. Aizture notiks tikai vienai sesijai. Sleep patiesībā tikai atvieglos servera noslodzi un darbu pārējiem lietotājiem, ja kāds uzbruks.

    Atbildēt
  15. hvz

    <b>sm</b>
    1) Daudz tu zini brutforce rīkus, kas operē ar vārdiem, nevis simboliem?
    2) vārdu ir daudzi jo daudzi tūkstoši un tā eksponences pakāpe palielinās tik daudz, ka šobrīd brutforceri nespēj to atkost pieņemamā laikā….

    Atbildēt
  16. ManInBlack

    mja, atradushi par ko breeku celt. kam negadaas atstaat kaadu vienkaarshu paroliiti kaut kur? kaapeec visur sacereet mega super puper kuulaas paroles? visas taapat nevar atcereeties, savukaart lietot vienu vairaakaas vietaas arii ir galiigi garaam.
    kas attiecas uz admin sadaljaam – ok, var jau taisiit pokemonveidiigaas mapes /aDm1nZz/ etc., tachu, ja parole tieshaam ir normaala, tad webiskaa bruteforce tik aatri galaa netiks.
    normaala parole – lielie/mazie burti + cipari/simboli. nesaprotu, kaa var iedomaaties likt kaut kaadu sunja vaardu or smth savai kastei. veel tak var lietot visur vienu 16 simbolu paroli, tachu katraa vietaa capitalizeet citus burtus. arii buus pa kedu.

    Atbildēt
  17. Zigmaars

    Es zinu veel interesantaaku lietu!
    Latvijaa ir vismaz 2 maajaslapas, kuraam vispaar nav paroles un visus datus var mainiit tik taa:)) Atliek tikai ieiet admin direktorijaa!:)

    Atbildēt
  18. sm

    hwz: Nezinu daudz rīkus, infai, kas man ir svarīga lietoju PGP un tai, kas nav svarīga vienkāršu pretdummiju paroli no 10 simboliem.
    Ja kāds gribēs zināt, iedos man pa aknām kamēr pateikšu. Galvenais bekapus regulāri taisīt 🙂
    Ja ir jāaizsargā citu cilvēku privātie dati, nauda un tamlīdzīgi, tad parole nav risinājums.

    Atbildēt
  19. lasītājs (Jāzeps)

    Mana mājaslapa ir esuntu.com
    Kā jau līdzībās teicu, pret terorismu līdzekļu nav – ja gribēs kāds biezais iznīcināt zemeslodi, viņš to var izdarīt mēneša laikā. Bet ziniet, viņi negrib. Jo tā ir tā pasaule iekārtota. Mēs darām to, kas ir atļauts, pieņemts un nedarām citu. Ja darām to citu, tad pasaule iet bojā. Ja pasaule iet bojā. Ja pasaule iet bojā, iet bojā arī mēs. Ja mēs iet bojā, mēs neesam. Ja mēs neesam, mēs nemaz nevar aptvert, cik vareni un iznīcinoši esam. Bet bez tās aptveršanas iespējas nav kaifa neko iznīcināt.
    No tā, ka tas jauneklis uzminēja paroli, nekāda labuma nav ne Kristapam, ne pārējiem. Labums ir no coolynx posta, kurš, tiesa, varēja neizcelt tā āksta veikumu.
    Vārdu ‘hacker’ vispār mutē neņemiet, jo no tā, ko jūs darāt, līdz hackošanai ir tik tālu, cik no Rīgas līdz mēnesim. Ja jau gribas kādu skanīgu birku sev pielikt, tad sauciet sevi par script kiddies. Cik man zināms, tas arī skaitoties cienījams tituls, turklāt vēl jūsu žanra.

    Atbildēt
  20. Neonz

    Par to aizsardzību pret šādām izdarībām. Būtībā viss ko coolynx ieteica ir pareizas lietas. Bet…
    1) Šādu lieto netaisīju, jo tas dzinējs tika rakstīts kā atvērtais kods un ir cerība, ka kaut kad tiks arī opensourcēts un jebkurš viņu varēs lietot. Tāpēc arī ieliku administrēšanas scenārijam tādu nosaukumu, ko vairumam ļaužu nebūtu problēmu atcerēties.
    2) No vienas puses ir pareizi likt sarežģītas paroles, bet tā kā man jau ir bijusi bēdīga pieredze ar paroļu aizmiršanu, tad pēdējā laikā cenšos likt nedaudz vienkāršākas. Turēt paroles pierakstītas uz papīra lapiņas pilnīgi noteikti nav drošāk.
    3) Sāku apdomāt domu, ka vajadzēs pie nepareizas paroles nevis sūtīt lietotājam "403 Forbidden", bet gan redirektēt uz tukšu lapu ar "200 Ok". Tas noteikti apgrūtinātu dzīvi skeneriem.
    4) Jā, šāda lieta noteikti tiks ielikta, ka pēc vairākiem neveiksmīgiem mēģinājumiem, IP adrese tiek nobloķēta uz noteiktu laiku. Šobrīd pastāv iespēja nokonfigurēt, ka var ielogoties no noteiktas IP un/vai pārlūkprogrammas, bet to neesmu iespējojis (tā laikam tas pareizi latviski saucas), jo ierakstus mēdzu pievienot no daudzām un dažādām vietām – mājām, skolas, darba, publiskajiem interneta piekļuves punktiem.
    Katrā ziņā pie drošības savā dzinējā noteikti piestrādāšu.
    Kloons: Tāda "fīča" kā ierakstu dzēšana manai administrēšanas sadaļai vēl nav izveidota. Būtībā ieraksta pievienošana bija vienīgais, ko tur varēja izdarīt. Visam citam būtu vajadzīga FTP vai SSH pieeja.

    Atbildēt
  21. Delfins

    #20. neko nejēdzi no kodešanas.
    kā savilkumu var piedavat sekojošā kārtībā/prioritātē
    1. 3 retry (+ban?)
    2. gara parole (pofig kas pa simboliem)
    3. ip restrict
    4. pie garas paroles palidzes slēp() pieminetais.
    pieļauju ka brute force uz 99.N+Exxxx% aplauzisies

    Atbildēt
  22. Mamuts

    Gribētu piebilst ka coolynx atkal slikti ir ieazinies ar publicējamo materiālu. Jā ok ir pamainīt nosaukumus utt. Bet ir kāda lieta kas ar būtu jāpiemin, tas ir, skaidrs ka mēs visi staigājam pa interneta plašumiem utt. un reģistrējamies kaut kur, nu lūk vairums cilvēciņu reģistrējas visur ar vienu paroli, kuru lieto ar’uz sava projekta un šis ir neona stāsts!!!!
    Nekāds brute force!!!! Prosta hasha atlauzšana, kas iegūts no kādas neta vietas un vsjo!!!!

    Atbildēt
  23. Didulis

    Es izmantoju garos teikumiņus. Cenšos izvēlēties tos pēc iespējas stulbākus, bet viegli skanošus, kas galvā iesēstos un paarsvarā tie mēdz būt angļu valodā. Viens piemērs, ko es pirms paaris gadiem izmantoju kā Windows paroli –
    "dontfuckmymindontheedgeofthehell".
    Pirmajā skatienā tas līdzinās bezjēdzīgam simbolu savirknējumam. Taču iedziļinoties var manīt, ka tas ir pietiekoši skanīgs, lai varētu iegaumēt. Kad kādus 2 mēnešus diendienā biju rakstījis šo paroli, man drusku piegriezās un tagad izmantoju līdzīga stila paroles, kas ir uz pusi īsākas.
    Runājot par ALT + KODS, tad tur ir viens mīnus, tas ideāli strādās tikai uz identiski nokonfigurētām Windows kastēm. Ja nemaldos, tad tas bija atkarīgs no Regional Settings vai tamlīdzīgām fīčām.
    Un kā mums labi zināms, tad parole nav drošākais datu aizsardzības līdzeklis. Ne par velti kompānijas saak izgatavot iekārtas ar pirkstu nospiedumu nolasītājiem un līdzīgiem identificēšanas veidiem. Kad šīs tehnoloģijas būs iegājušās tautās, tad bez miesas bojājumu nodarīšanas taviem datiem klāt netiks. 😉

    Atbildēt
  24. Maita

    Un kā mums labi zināms, tad parole nav drošākais datu aizsardzības līdzeklis. Ne par velti kompānijas saak izgatavot iekārtas ar pirkstu nospiedumu nolasītājiem un līdzīgiem identificēšanas veidiem.

    Ha, ha, ha.

    Atbildēt
  25. Aleksejs

    [quote]Un kā mums labi zināms, tad parole nav drošākais datu aizsardzības līdzeklis. Ne par velti kompānijas saak izgatavot iekārtas ar pirkstu nospiedumu nolasītājiem un līdzīgiem identificēšanas veidiem. Kad šīs tehnoloģijas būs iegājušās tautās, tad bez miesas bojājumu nodarīšanas taviem datiem klāt netiks.[/quote]
    Ha, ha, ha 2 reāli ir 3 veidu autentifikācija:
    1) Ko tu zini; What you are
    2) Kas tev ir; What you have
    3) Kas tu esi; What you are
    http://www.ciphersbyritter.com/GLOSSARY.HTM#U
    Biometrijas pielietošana ir iespējama tikai tad, ja var uzticēties (gan biometrisko datu sniedzējs, gan biometrisko datu saņemējs), gan nolasīšanas iekārtai, gan saņemošajai iekārtai. Izveidot sistēmu, lai varētu autentificēties Internetā tikai ar, piemēram, pirkstu nospiedumu, ir samērā nereāli, jo tai pašai nabaga php lapai nav ne mazākās sajēgas, vai konkrēto atbildi ir atsūtījis pirkstu nospiedumu nolasītājs, vai arī speciāla programma, kas "emulē" pirkstu nospiedumu nolasītāja funkcijas un sūta "pareizos" datus. Reāli viselastīgākais risinājums, kas prasa vismazākos ieguldījumus ir izmantot tikai pirmā veida autentifikāciju.

    Atbildēt
  26. Spameris

    Ha, ha, ha 3 🙂
    Ieteikums dažiem:

    Many computer users today have to keep track of dozens of passwords: for network accounts, online services, premium web sites. Some write their passwords on a piece of paper, leaving their accounts vulnerable to thieves or in-house snoops. Others choose the same password for different applications, which makes life easy for intruders of all kinds.
    With Password Safe, a free Windows utility designed by Bruce Schneier, users can keep their passwords securely encrypted on their computers. A single Safe Combination–just one thing to remember–unlocks them all.

    Bet par to, kā veiksmīgi izvēlēties paroli jālasa iekš "Practical Cryptography".

    Atbildēt
  27. Pow

    2) No vienas puses ir pareizi likt sarežģītas paroles, bet tā kā man jau ir bijusi bēdīga pieredze ar paroļu aizmiršanu, tad pēdējā laikā cenšos likt nedaudz vienkāršākas. Turēt paroles pierakstītas uz papīra lapiņas pilnīgi noteikti nav drošāk.

    pilniigas mulkjiibas. droshiiba shajaa gadiijumaa ir atkariiga no taa, kur papiira lapinja atrodas.

    Atbildēt
  28. MJAUMJAU

    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH

    Atbildēt
  29. IGAIGA

    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH
    Uzmini kas ir pidaras !?? coolynx tu esi vienkars lohs un tavs pods smirds iztiri to LOH

    Atbildēt
  30. Pow

    aabele, neredzu probleemu, ja monitors atrodas man maajaas, kur tu diezvai kaadreiz iekljuusi. Un ja iekljuusi tad taa lapinja buus peedeejais par ko es iespringshu.

    Atbildēt

Ieraksti komentāru

Tava e-pasta adrese netiks publicēta.