Звонок в ФСБ:
- Ой, я журналист, тут случайно удалил нужный файл на своем компьютере...
- Не волнуйтесь, у нас все ваши файлы хранятся на специальном сервере...

:)

(Reply to this)

такое ощущение, что вообще ничего защищенного нет на этом свете

(Reply to this) (Thread)

в интернете, во всяком случае, нет

(Reply to this) (Parent)

это неверное ощущение.

хотя, конечно, я бы не стал доверять сколь-нибудь ценные сведения стороннему серверу.

(Reply to this) (Parent)

А я вообще не понимаю всенародной любви к мылу.ру
Зачем, почему?..

(Reply to this) (Thread)

Во-во. Мейл.ру - мудацкая компания.

(Reply to this) (Parent)

пользуйтесь gmail

(Reply to this) (Thread)

Накопив достаточное количество персональной информации о клиенте и подгадав, когда его несколько дней не будет в Сети (некоторые в ЖЖ сообщают о своих отпусках и командировках), можно взломать любую бесплатную почту. О чем есть многочисленные примеры, в том числе касательно gmail.com.
Не такие уж большие деньги стоит завести себе почту на собственном домене.

(Reply to this) (Parent) (Thread)

Совершенно верно. Аренда хостинга и собственного домена за несколько десятков долларов/год позволит избежать ряда проблем.

(Reply to this) (Parent)

> Не такие уж большие деньги стоит завести себе почту на собственном домене.

Вы, видимо, имеете в виду собственный сервер. Иначе, если ваш домен обслыживается третьими лицами, они тоже теоретически могут иметь доступ к Вашей почте.

А почему бы Вам не пользоваться GnuPG для защиты почты? Это вполне обеспечит если не устойчивость, то по крайней мере - конфиденциальность переписки с теми, кто тоже пользуется такими средствами.

(Reply to this) (Parent) (Thread)

Насчет "третьих лиц". Это не третьи, а вторые лица, с ними надо контактировать без помощи почты, напрямую. Обычно они дорожат репутацией и охраняют вас от посягательств третьих лиц.

(Reply to this) (Parent) (Thread)

а. Прошу прощения, я, видимо, неправильно понял модель угроз. Я думал, Вы переживаете о потери конфиденциальности своей переписки. Тогда вторые лица - это Ваши корреспонденты, а третьи - как раз работники провайдера (сотрудничающие с четвертыми - чиновниками официальной власти). В этом случае GnuPG было бы актуально.

Если мы говорим об отношениях с провайдером в процессе восстановления пароля, как одного из вариантов атаки (я считаю это несколько однобоким, см. соседний тред), то да - второе лицо - провайдер, а третье - мальчик, зовущий себя "какер хелл" или как-то так. Но, в общем, если процесс восстановления пароля стандартизован и техподдержка не делает ерунды, то бесплатная почта ничем не отличется от платной.

(Reply to this) (Parent)

А что такое GnuPG? Где прочесть, как им пользоваться?

(Reply to this) (Parent) (Thread)

GnuPG - это бесплатная программа шифрования, аналог коммерческой программы PGP, про которую, возможно Вы слышали. Пользователи GnuPG/PGP могут обмениваться зашифрованными e-mail или сообщениями через Jabber (и, наверное, ICQ, судя по плагину для Miranda).

GnuPG для Windows: http://www.gpg4win.org/

(Reply to this) (Parent)

> Накопив достаточное количество персональной информации о клиенте и подгадав, когда его несколько дней не будет в Сети (некоторые в ЖЖ сообщают о своих отпусках и командировках), можно взломать любую бесплатную почту.

Это, кстати, ничем не подтвержденное высказывание. Другое дело, что для его опровержения необходимо показать, что существует бесплатная служба электронной почты, эккаунт на которой взломать нельзя. А это сделать довольно трудно - поскольку Вы не определили временных рамок для такой проверки.

(Reply to this) (Parent) (Thread)

Пользователь labas@lj, проживающий в Мюнхене, сообщил в ЖЖ, что на 10 дней уезжает в Швейцарию, где не будет иметь доступа к интернету. На следующий день к его провайдеру (немецкому) обратился также проживающий в Германии подонок - от имени Лабаса - якобы потерял пароль к почте. Провайдер потребовал сообщить некоторые данные плюс прислать скан паспорта. Нужные данные подонок поднакопил, изучая журнал Лабаса, а скан паспорта исполнил фотошопом, взяв для основы чей-то чужой паспорт. Конечно, вернувшись, Игорь вернул себе сначала почту (провайдер жутко испугался), а потом контроль над ЖЖ. Но к тому времени ведшийся на протяжении шести лет журнал уже был уничтожен.
Не надо придираться к словам. Имелось в виду, что взломать можно любую почту, где предполагается восстановление пароля и где клиент не знаком лично с хозяином. Поэтому я и говорю, что единственный выход - когда клиент и хозяин объединены в одном лице. Все остальные варианты уязвимы.

(Reply to this) (Parent) (Thread)

Поймите, пожалуйста, меня правильно, но эта история не подтверждает Ваш тезис. Вы приводите описание конкретной атаки, которая оказалась успешной из-за неверно организованной работы техподдержки провайдера.

Если бы правилами провайдера была предусмотрена ровно одна процедура восстановления утраченого пароля - посредством дополнительного разделяемого нетривиального секрета (я здесь сознательно не употребляю словосочетание "контрольный вопрос", поскольку варианты "девичья фамилия матери" заведомо уязвимы), эта атака не сработала бы. Могла сработать другая - например, атакующий мог сам работать в службе техподдержки провайдера.

> Имелось в виду, что взломать можно любую почту, где предполагается восстановление пароля и где клиент не знаком лично с хозяином.

Вот у меня есть основания полагать, что знакомство с хозяином никак не убережет Вас от уязвимостей в самом почтовом сервере, например. Его тоже можно взломать. Или от того, что Вы выбрали слабый пароль. Да, впоследствии вы, возможно, восстановите контроль над почтовым ящиком, но конфиденциальность переписки уже будет утеряна.

Например, в gmail помимо двух способа восстановления пароля: через контрольный вопрос и через отправку письма на заранее зарегистрированый e-mail, можно заполнить форму: http://www.google.com/support/accounts/bin/request.py?contact_type=ara&ctx=accounts

Дальше в действие вступает социальный инжениринг. Если этот процесс отлажен правильно, или если бы его вообще не было, атака на пользователей gmail была бы более сложной.

Поэтому если бы у меня стояла задача иметь надежную почту на бесплатном хостинге, я бы искал именно тот, где восстановление пароля силами администраторов невозможно (ну, если отмести тот факт, что атакующий - работает в провайдере или является другом работника). Думаю, такие все-таки существуют. Однако, в этом случае пользователю придется смириться с тем, что утрата контрольного вопроса равняется потере почты навсегда.

> Поэтому я и говорю, что единственный выход - когда клиент и хозяин объединены в одном лице.

это опять же не защищает от дырок в ПО - только от социального инжениринга, и то, я не думаю, что на 100%. Вот, например, дырку в Adobe Flash нашли относительно недавно. Представьте, что я посылаю Вам письмо от имени какого-нибудь знакомого со ссылкой на страничку с flash-роликом (или, проще, публикую прямо тут, в журнале), Вы просматриваете страничку, а я получаю доступ к Вашему компьютеру, устанавливаю клавиатурный сниффер, и - готово дело, все пароли у меня, а Вы ничего не узнали. Вариантов масса, в общем. На сегодняшний день самй простой - заговорить зубы техподдержке провайдера, но это не значит, что других нет.

(Reply to this) (Parent) (Thread)

Я говорю только о социальных взломах. Тот самый последователь Кевина Митника, который ломал Лабаса, сам недавно был взломан - техническими средствами, безо всякой социальной инженерии. Просто поработали профессионалы. Я ведь намеренно не касаюсь собственно хакерских методик. Думаю, что люди, профессионально взламывающие системы защиты банков, без труда проникнут в любую почту. Только им это не нужно. Что же касается спецслужб, им и взламывать-то не нужно, любой российский провайдер откроет им все, что они захотят.

(Reply to this) (Parent)

Есть бесплатные почтовые сервисы, которые в принципе не допускают возможности восстановления пароля. Потерял пароль -- потерял ящик. Пример: lavabit.com. Предложите способ (хотя бы на уровне мысленного эксперимента) как можно взломать такую почту за несколько дней.

(Reply to this) (Parent)

Майл.ру широко опозорилось ещё во времена первой премии "Дебют", ящик которой сломали после первого же показа по телевизору.

Тошнотворнейший сервис, напоминает нефтяную вышку - та качает деньги, не обращая ни на кого внимания, благодаря мировой коньюнктуре, а эти благодаря престижности и интуитивности своего названия. К профессионализму ни то, ни другое отношения не имеет.

(Reply to this)

Последнее время по "мылру" я получаю безбрежный спам процентов примерно на 99% - и оттого подумываю, чтобы закрыть эту лавочку. (Правильно ли я понял, что Вы бы посоветовали поступить именно так?) Но остаются три нерешённых вопроса:

1. Как тогда уничтожить все (любые!) следы своего присутствия на этом сервере (особенно, если они хранят резервные копии э-мейлов)?

2. Можно ли при этом сохранить все полезные письма и адреса, выведя их предварительно с этого сервера?

3. Как при этом включить автоматическую переадресацию для тех, кто не знает о моём уходе с "мыла" и продолжает слать мне свои э-мейлы туда? (Всех ведь не упомнишь и - главное - не предугадаешь и не предупредишь "вручную"!)

И ещё вопрос чуть на другую тему:

Считаете ли Вы, что надо закрывать свои аккаунты на "одноклассниках", "вконтакте" и прочих виртуальных коммуналках такого рода? (Я слышал, их "пасут" спецслужбы, причём не только России.)

Заранее спасибо!

(Reply to this) (Thread)

Насчет "одноклассников" и "в контакте" ничего не знаю, аккаунтов там не имею и не посещаю эти ресурсы.
Насчет мейл.ру: я бы посоветовал нужные письма переслать в другое место либо просто скопировать в отдельную папку на компьютере, после чего почту закрыть. Три месяца после закрытия никто не сможет завести почту с Вашим адресом, а потом адрес освобождается.
Любая переадресация возможна только если почта не убита.
Но думаю, что даже при закрытии почты следы Вашего присутствия на их сервере все равно останутся.

(Reply to this) (Parent)

>Последнее время по "мылру" я получаю безбрежный спам процентов примерно на 99%

А вы с какой почтой сравниваете? Как раз мейл.ру спам отсеивает великолепно.

(Reply to this) (Parent)

А у меня другой вопрос: а в чем, собственно, проблема?
Я разговоров неконфиденциальных ни с кем не веду, тайной переписки тоже, о планах своих в жж не пишу... Ничем из вышеперечисленного не дорожу. Могу завести все новое. Особо ценного, что должно бы храниться вечно на ящике мэйла ру нет. Копии на личном компе.
Чем мне может навредить взломанный ящик или жж?
Ну я правда не понимаю.

(Reply to this) (Thread)

Некоторые дорожат контентом своего ЖЖ. Взломать ЖЖ, не взломав предварительно ящик, очень трудно.

(Reply to this) (Parent)

На эту тему есть замечательная статья: «'I've Got Nothing to Hide' and Other Misunderstandings of Privacy»

(Reply to this) (Parent) (Thread)

Т.е. речь идет о праве личной, конфиденциальной информации и обязанности государства это право охранять. Но так как многие люди, также, как и я, не понимают, где в таких случаях нарушается это право, то они и не взывают к государству с требованием это право защитить.
Буду иметь в виду, спасибо.

(Reply to this) (Parent)

Литература. Причем - довольно плохая. А на самом деле - забалтывание вопроса, как, впрочем, обычно.
Есть или нет, чего скрывать - это дело личное, но надо понимать, что прослушать ваш телефон и посмотреть вашу почту можно всегда и это уже должно принимать во внимание. А если это технически возможно, то все остальное - это бессмысленные разговоры "про демократию".
Не надо говорить в телефон то, что можно использовать против вас и уж совсем странно, когда какая-то публикация на общедоступном сервере является "ценной": записали на пять флэшечек и в банки - трехлитровые с притертой крышечкой.

(Reply to this) (Parent) (Thread)

> А на самом деле - забалтывание вопроса, как, впрочем, обычно.

Я надеюсь, Вы не будете развивать этот тезис в сторону мирового заговора Жидомассонской Закулисы, замалчивающей вопросы правейси с целью получения мирового господства, причем источники этого заговора прослеживаются еще в Протоколах Сионских Мудрецов? ;)

> но надо понимать, что прослушать ваш телефон и посмотреть вашу почту можно всегда и это уже должно принимать во внимание. А если это технически возможно, то все остальное - это бессмысленные разговоры "про демократию".

у меня есть основания полагать, что при принятии определенных мер со стороны абонента, его прослушка даст очень мало. Сюда относится и сильная криптография, и анонимизаторы, и - и то, и другое доступно в Интернет.

> записали на пять флэшечек и в банки - трехлитровые с притертой крышечкой.

вот это как раз - очень слабая защита.

Кстати, если Вы уж ругаете статью, не затруднит ли Вас подробно пояснить, что в ней плохого и, быть может, даже предложить что-то лучше по этому предмету?

(Reply to this) (Parent) (Thread)

>> А на самом деле - забалтывание вопроса, как, впрочем, обычно.

>Я надеюсь, Вы не будете развивать этот тезис в сторону мирового заговора Жидомассонской Закулисы,

Мы же сейчас не обсуждаем цели, с которыми забалтывают вопросы.

>замалчивающей вопросы правейси с целью получения мирового господства, причем источники этого заговора >прослеживаются еще в Протоколах Сионских Мудрецов? ;)

Это что, такой "хороший тон" - похихикать с умным видом по поводу "Протоколов"? Вы про это знаете что-то, что мне неизвестно?
Вы бы еще какую-нибудь пословицу-и-поговорку привели б в качестве аргумента.

>> но надо понимать, что прослушать ваш телефон и посмотреть вашу почту можно всегда и это уже должно
>>принимать во внимание. А если это технически возможно, то все остальное - это бессмысленные
>>разговоры "про демократию".

>у меня есть основания полагать, что при принятии определенных мер со стороны абонента, его прослушка
>даст очень мало. Сюда относится и сильная криптография, и анонимизаторы, и - и то, и другое доступно
>в Интернет.
>
Полагать Вы можете, что угодно и куда угодно. Ваша "сильная криптография" автоматически нелегальна, и,
если "кому-то" станет надо, Вы все свои "ключи" сами вспомните, даже обладая слабой памятью.
Надеюсь, что не надо объяснять, что телефонный аппарат с шифрацией - малополезное устройство, если,
конечно, круг Вашего общения строго не ограничен, а уж дырка для прослушивания есть на каждой
телефонной станции. Более того, современные АТС позволяют "копировать" голосовой поток на любой
телефонный номер - "интересанту" даже идти никуда не надо.
>
>> записали на пять флэшечек и в банки - трехлитровые с притертой крышечкой.

>вот это как раз - очень слабая защита.

Вы, как я понял, не видите разницы между защитой информации от несанкционированного доступа
и ее сохранностью. Я же явно написал:" странно, когда какая-то публикация на общедоступном
сервере является "ценной"" - Вы, почему-то, предпочли это опустить, продемонстрировав
непонимание предмета.
>
>Кстати, если Вы уж ругаете статью, не затруднит ли Вас подробно пояснить, что в ней плохого
>и, быть может, даже предложить что-то лучше по этому предмету?
>
Что можно сказать про статью, в которой на трех страницах автор обсасывает в разных формах
то, что он назвал "аргументом мне нечего скрывать"? Он что, настолько туп, чтобы понять, что
90% населения все это попросту безразлично. Потому, что действительно - _нечего_ скрывать.
Ну, нажрался, ну, побил свою бабу - делов-то!

А предложить - уже. Не болтайте лишнего по телефону. Храните флешечки в трехлитровых банках,
если думаете, что записанные на них Ваши мысли могут предсталять интерес для "человечества".

(Reply to this) (Parent)

Ой, а зачем вы убрали аккаунт дочки с одноклассников?

(Reply to this) (Thread)

вот этого я, кстати, тоже не понимаю. Может, объясните? Получается, что вы недалеко ушли от нелюбимых вами мэйлов и гебешников - влмываться в личную жизнь своего ребенка:(

(Reply to this) (Parent) (Thread)

Мой ребенок умер.

(Reply to this) (Parent) (Thread)

Простите за нечаянно причиненную боль. Сочувствую...

(Reply to this) (Parent)

То есть речь просто о захвате вашего имущества, условно говоря?
А навредить-то это как-то может?
Или я не правильно понимаю суть?

(Reply to this) (Thread)

Если вам все равно, сломают вас или нет, советую везде поставить пароль: 12345.

(Reply to this) (Parent)

я сделал кросс-пост тут
www.crealitika.ru

реально интересно - как отреагирует Mail (и отреагирует ли вообще)

(Reply to this)

(Reply to this)

И мэйл.ру, и одноклассники - это одна большая дыра. Кстати, ася - не намного безопаснее.

Вообще, лучше настроить почтовую программу и пользоваться ей. Любая почтовая программа после отработки поп3-сервера дает команду на очистку ящика. А база будет храниться у вас на машине. Все же немного безопаснее.

(Reply to this)

хихи

(Reply to this)