crypt of decay - про Охуенно Новую ВафлеАтаку [entries|archive|friends|userinfo]
ketmar

[ userinfo | ljr userinfo ]
[ archive | journal archive ]

про Охуенно Новую ВафлеАтаку [Oct. 17th, 2017|12:47 am]
Previous Entry Add to Memories Tell A Friend Next Entry
нихуя не удивлён. когда сапоги тачает даже не пирожник, а уебан с интеллектом табурета, то ещё и не такое возможно.
Linkmeow!

Comments:
[User Picture]
From:[info]mattekudasai
Date:October 16th, 2017 - 10:48 pm
(Link)
Я даже не знаю, как такой обосрамс исправлять. Туча клиентов не будет проапдейчена никогда. Туча аксес поинтов тоже.

Вангую масовый подрыв, когда пропатчат стандарт и старых клиентов (кек) начнут слать нахуй плюс-минус везде.
[User Picture]
From:[info]ketmar
Date:October 16th, 2017 - 10:52 pm
(Link)
так фикс тривиальный же: тупо не реинитить стэйт при получении повторных 3-пакетов от клиента. точнее, мне кажется что тривиальный: я только краткое описание дырки прочитал, а не сам протокол. если они обосрались сильнее, то совсем беда, да. тогда надо полностью handshake переделывать.
[User Picture]
From:[info]mattekudasai
Date:October 16th, 2017 - 11:17 pm
(Link)
Пишут, что уязвимы и клиенты и точки. То есть, им надо как-то это закрыть, сохранив при том обратную совместимость.
[User Picture]
From:[info]ketmar
Date:October 16th, 2017 - 11:21 pm
(Link)
прекратив реининить на 3-пакете. после чего клиент будет вынужден тупо начинать рукопожатие сначала, если некоторое время не получает ack — что он, по-моему, сейчас и так делает. ну, или дропать весь коннект и всё петь заново, если получает в ответ хуету — что будет происходить при подмене nonce/key.

а то, что в эфире будут летать дубликаты 3-пакетов — это совершенно неважно. и сейчас неважно, и дальше будет неважно. потому что при правильно реализованом крипто узнать, какой 3-пакет тебе акнули — не проблема.
[User Picture]
From:[info]ketmar
Date:October 16th, 2017 - 11:24 pm
(Link)
впрочем, хочу заметить, что IANAC, и мои рассуждения про крипто лучше не принимать как что-то нормальное.
[User Picture]
From:[info]steinkrauz
Date:October 17th, 2017 - 08:46 am
(Link)
Думаю, ты достаточно близок к истине: сами исследователи написали, что уязвимость легко патчится, и при этом остаётся обратная совместимость, причём как у точки доступа, так и у клиента.
[User Picture]
From:[info]mattekudasai
Date:October 17th, 2017 - 10:57 am
(Link)
Ну тогда хорошо - обосрамс обычный, а не эпический.
From:(Anonymous)
Date:October 17th, 2017 - 08:53 pm
(Link)
клиенты уязвимы все, а точки только в режиме клиента или с fast transition (802.11R). точки/роутеры с fast transition у нормальных людей практически не бывают, бывают у капиталистов/корпорастов. это всё касается wpa2+aes.

поэтому патчить достаточно только клиентов, большая часть которых не будет пропатчена никогда (старые андроиды, прочие кофеварки)
From:(Anonymous)
Date:October 17th, 2017 - 12:42 am
(Link)
Совет дня от секурити эксперта: не забывайте обновлять антивирус!
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 12:49 am
(Link)
угу. примерно такие и делали. самое смешное в том, что в самом-то крипто всё нормально — если рассматривать компоненты по отдельности. а как правильно делать handshake, того в стандарте толком нет. вот и сделали как вышло. вышло не очень.
From:(Anonymous)
Date:October 17th, 2017 - 12:44 am
(Link)
табурет - скутер
From:(Anonymous)
Date:October 17th, 2017 - 04:31 am
(Link)
опять все вокруг пидарасы, а ты дартаньян.
13 лет этот wpa2 продержался, мало, что ли?
надо просто понимать, что уязвимости рано или поздно найдутся ВЕЗДЕ, сломано будет ВСЁ, рано или поздно.
вот ситуация, в которой миллиарды устройств превращаются в тыкву - это да. Но это уже к другим людям вопрос.
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 04:38 am
(Link)
то, что какое-то говно столько лет работало — ещё не значит, что это не говно. и насчёт «продержался» — это тоже неизвестно. как будто о подобных дырках сразу на весь свет орут, а не спокойно продают их в даркнете.

и да, я д'артаньян. потому что ошибка совершенно очевидная, без проблем вылавливаемая в интеграционных тестах. более того: ошибка человека, который никогда не имел полевого опыта security — примерно как забыть проверить результат `malloc()` в сишечке. нефатально, но когда вылазит, то все охуевают: «как так, детская хуйня же!» конечно, детская. потому что у человека нет опыта, и не выработался нужный рефлекс.

и пост мой вовсе не о том, что всё всегда надо делать без ошибок: это, понятно, нереально. пост о том, что даже очень хорошие инженеры (а у меня нет повода считать их плохими инженерами) неизбежно накосячат, если будут делать что-то, для чего у них нет опыта и/или квалификации.

а про интеллект и табуреты — это, во-первых, обычная моя стилизация, а во-вторых, относится не к инженерам, а к комитету, курироваашему разработку стандарта. вот там — наглухо дегенераты, которые тупо решили сэкономить на провессионалах, и посадили сапожников делать пироги.
From:(Anonymous)
Date:October 17th, 2017 - 05:54 am
(Link)
> как будто о подобных дырках сразу на весь свет орут, а не спокойно продают их в даркнете.
не орут, конечно, но годами такое в секрете всё равно не держится. Если уж
> ошибка совершенно очевидная
то её переоткрыли бы сто раз.
C heartbleed тоже всем всё стало «очевидно» сразу же после его опубликования.

по поводу malloc() рассуждать можно много, как и по поводу сишечки в целом. Одно ясно - си и секюрити между собой не пересекаются никак.
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 06:05 am
(Link)
>то её переоткрыли бы сто раз.
ты категорически уверен, что не переоткрывали, и не продавали кучу лет? в открытом коде, который люди двадцать лет глазами смотрят, до сих пор древние ошибки находят периодически. а тут специализированный протокол, который с мегахуёвым описанием, которое ещё и очень целенаправленно искать надо, а не просто «мне повезёт» и скачал. к тому же смотреть надо не абы кому, а тому, кто в теме. и не только расшифровать мутные спеки, но ещё и разобрать реализации. и вся эта прорва труда просто так, потому что стало нечего делать. потому что всё же работает, и про дырки не кричат, и даже есть работы криптоаналитиков, которые показывают, что security там реализовано правильно (реально есть, и реально правильно).

к тому же повышеный интерес к подобным штукам — относительно недавняя фишка, лет пять как стало модно, а то и меньше.

>C heartbleed тоже всем всё стало «очевидно» сразу же после его опубликования.
и до тоже. только не на публике.

>Одно ясно - си и секюрити между собой не пересекаются никак.
попробуй добыть из архива штучку под названием «абстрактное мышление». клёвая штучка.
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 06:07 am
(Link)
это я выше про то, что публичное исследование мотивировано было довольно слабо. а непубличное — весьма и весьма, потому что непубличные рабочие эксплоиты стоят очень приличных денег. достаточно очевидно, кто будет вкладываться в поиск, а кто нет, и куда это потом пойдёт.
From:[info]silly_sad
Date:October 17th, 2017 - 08:16 am
(Link)
> уязвимости рано или поздно найдутся ВЕЗДЕ, сломано будет ВСЁ, рано или поздно.

ty tupoje gumanitarnoje gavno.
From:(Anonymous)
Date:October 17th, 2017 - 04:50 am
(Link)
пизда андроеду
может, теперь пидарасы научатся не фрагментировать инфраструктуру
хотя не, не научатся
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 04:57 am
(Link)
на самом деле проще: всем категорически похуй. literally. шумиха и так-то не сильно большая, а через неделю никто и не вспомнит. тем более вендоры, которые и раньше спокойно себе ставили ведроиды столетней давности с такой же давности незакрытыми дырками. ты действительно думаешь, что на этот раз все зашевелятся, а не подождут, пока массовый потребитель (у которого мозгов и памяти меньше, чем у золотой рыбки) отвлечётся на что-то новое?
From:(Anonymous)
Date:October 17th, 2017 - 06:04 am
(Link)
фрагментация тут ни при чём
вот у меня на нетбуке mint 13 стоит, патча я там что-то не вижу, и что-то мне говорит о том, что и не увижу
а вот на венде увижу, кстати, и даже на хрюше, скорее всего
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 06:08 am
(Link)
>mint
кажется, я знаю, где проблема.
From:(Anonymous)
Date:October 17th, 2017 - 06:14 am
(Link)
как это?

https://www.debian.org/security/2017/dsa-3999
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 06:18 am
(Link)
а при чём тут дебиан? минт делают тупые дилетанты, которые про security знают только то, что это буквы такие.
From:(Anonymous)
Date:October 17th, 2017 - 06:23 am
(Link)
Анон хуйню несет какую-то. Новый впа-суппликант на минт давно прилетел, естественно (но не на говно мамонта из 2012 года).
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 06:25 am
(Link)
ну, тогда я неправ.
From:(Anonymous)
Date:October 17th, 2017 - 06:31 am
(Link)
Я только не понял, зачем дебиан его пропатчил - ведь это нарушает СТАБИЛЬНОСТЬ.
From:(Anonymous)
Date:October 17th, 2017 - 12:36 pm
(Link)
Ваш комментарий есть полная хуйня, вы ничего не понимаете в СТАБИЛЬНОСТИ.

Q: How is security handled in Debian?

A: Once the security team receives a notification of an incident, one or more members review it and consider its impact on the stable release of Debian (i.e. if it's vulnerable or not). If our system is vulnerable, we work on a fix for the problem. The package maintainer is contacted as well, if they didn't contact the security team already. Finally, the fix is tested and new packages are prepared, which are then compiled on all stable architectures and uploaded afterwards. After all of that is done, an advisory is published.

https://wiki.debian.org/DebianReleases
From:(Anonymous)
Date:October 17th, 2017 - 06:34 am
(Link)
хуйню несёшь ты, анон.
если у меня стоит говно мамонта - на то, наверное, есть причина?
и да, речь именно о том, что ваши линуксы уже через пять лет превращаются в говно мамонта.
[User Picture]
From:[info]mattekudasai
Date:October 17th, 2017 - 11:06 am
(Link)
Как будто тебе кто-то обещал саппортить говно мамонта забесплатно. DIY, штоле.
From:(Anonymous)
Date:October 18th, 2017 - 05:05 am
(Link)
а платный саппорт у них кончится в апреле 2019.
а у семёрки (вышедшей в 2009) в 2020.
и что-то мне говорит о том, что критические заплатки будут и после.

да и не говорю я, что мне кто-то что-то должен, просто констатирую факты.
From:(Anonymous)
Date:October 17th, 2017 - 09:01 pm
(Link)
а на слаку, что характерно, ещё не прилетел.
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 09:08 pm
(Link)
ща посмотрю, давно не обновлял current. возможно, ещё нет — будет позже, значит. хотя я не слежу особо за апдейтами, у меня всё равно чуть ли ни треть (а то и половина) системы самосборная.
From:(Anonymous)
Date:October 17th, 2017 - 06:33 am
(Link)
а, ну да, теперь у меня линукс неправильный.
вот только минт это убунту, а убунту это дебиан, а в том поддержка если ещё не протухла, то скоро протухнет.
дебиан тоже говно?
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 06:41 am
(Link)
>дебиан тоже говно?
хорошее такое, с большим сроком выдержки говнище.
From:(Anonymous)
Date:October 22nd, 2017 - 12:07 am
(Link)
Хехехе
From:(Anonymous)
Date:October 17th, 2017 - 11:12 am
(Link)
А что скажешь про Parrot?
https://www.parrotsec.org/
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 11:14 am
(Link)
ничего не скажу, не знаю. и разбираться лень, извини.
[User Picture]
From:[info]steinkrauz
Date:October 17th, 2017 - 08:47 am
(Link)
А в продуктай Майкрософт такой проблемы нет (с)

Вот реально, ВНЕЗАПНО, на винде эта уязвимость практически не работает.
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 08:51 am
(Link)
ну, молодцы, значит. иногда и m$ нечаянно делает что-то не очень через жопу. ;-)
[User Picture]
From:[info]steinkrauz
Date:October 17th, 2017 - 08:59 am
(Link)
Дык, если работать со всякого рода проприетарным софтом, то быстро понимаешь, что майки выпускают весьма высококачественный софт.

А уж какая конфетка у них был WinPhone 8... Чтоб Наделлу на том свете черти ебали, андроид в сравнении -- сплошные боль и страданияхве.
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 09:03 am
(Link)
он неудобный, поэтому я его как качественный рассматривать не могу.

но говноид, конечно, выдающаяся дрянь, да.
[User Picture]
From:[info]steinkrauz
Date:October 17th, 2017 - 09:14 am
(Link)
Это ты ещё неудобный софт не видел.
Вот представь, что тебе явовский апп-сервер генерит страничку, реализующую интерфейс, принцип функционирования которого явно берёт свои корни из экранных форм мейнфреймов 70-х. Причём не смотря на то, что это web-интерфейс, кнопка "Назад" или команда "Открыть в новом окне" ожидаемым образом срабатывают через два раза на третий.

И никакого API. Хочешь кастомизировать -- работай напрямки с БД, или правь существующий код. Явовский декомпилер вендор любезно прилагает)
[User Picture]
From:[info]ketmar
Date:October 17th, 2017 - 09:16 am
(Link)
почему — нормальный энтерпрайзный софт жы. он где-то так и выглядит.
[User Picture]
From:[info]mattekudasai
Date:October 17th, 2017 - 11:01 am
(Link)
Был. Но они начали с 7.* и много пользователей проебали, и меня тоже.
Наебав с обещанным обновлением на моей люмии с 7.8 до 8.
From:(Anonymous)
Date:October 17th, 2017 - 10:52 am
(Link)
Хорошая статья по теме.

Семеро молодых людей, сидящих перед влиятельными законодателями США, не были студентами или младшими аналитиками из какого-нибудь научной лаборатории. Нет, Space Rogue, Kingpin, Mudge и остальные были хакерами, которые явились из глубин киберпространства, чтобы предупредить мир о серьезной опасности. Ваши компьютеры, сообщили они комиссии Сената в мае 1998 года, в опасности: и ПО, и устройства, и связывающие их сети. Компаниям, которые их создают, на это плевать, потому что они не несут за возможный ущерб никакой ответственности, а у правительства нет ни навыков, ни воли, чтобы как-то это изменить.


«Если вас заботит компьютерная безопасность, в Интернете вы ее не найдете», — заявил 27-летний длинноволосый Mudge, выглядевший тогда как библейский пророк. Любой из явившихся на собрание семи человек, добавил он, может за полчаса отключить весь Интернет, отправив в сеть набор тщательно скоординированных команд. Потрясенные серьезностью этого заявления, сенаторы лишь мрачно закивали. «Мы должны что-то с этим сделать», — сказал Фред Томпсон, один из организаторов комиссии. Однако вместо решения проблемы нас ждала череда упущенных возможностей, и 17 лет спустя мы все еще расплачиваемся за давнее пренебрежение безопасностью.

История L0pht
https://bitnovosti.com/2015/11/08/net-of-insecurity-part-3/
From:(Anonymous)
Date:October 29th, 2017 - 09:40 am
(Link)
Да! Да! Отключай! Отключай меня полностью! кек
From:(Anonymous)
Date:October 18th, 2017 - 08:27 am

Phrack кто-нибудь читает?

(Link)
Охуенчик от 2010 г.
http://phrack.org/issues/67/2.html#article

|=---=[ Quotes

I wouldn't recommend sex, drugs or insanity for everyone,
but they've always worked for me.

In a closed society where everybody's guilty, the only
crime is getting caught. In a world of thieves, the only final sin
is stupidity.

The Edge... there is no honest way to explain it because
the only people who really know where it is are the ones who have
gone over.

Computer games don't affect kids; I mean if Pac-Man
affected us as kids, we'd all be running around in darkened rooms,
munching magic pills and listening to repetitive electronic music.

|=---=[ Anything more you want to say

Hackers always w1n. And by hackers, I mean blackhats.
This fuckton of scada 0days isn't going anywhere anytime soon, but
you can be sure we will put them to good use.

I would also like to thank the Phrack staff for this honor.
From:(Anonymous)
Date:October 19th, 2017 - 11:42 pm

CVE-2017-13082: Key Reinstall in FT Handshake (802.11r)

(Link)
https://github.com/vanhoefm/krackattacks-test-ap-ft
From:(Anonymous)
Date:October 22nd, 2017 - 02:29 pm

Здесь это будет как нельзя кстати

(Link)
Reflections on Trusting Trust
Turing Award Lecture
Ken Thompson
http://vxer.org/lib/pdf/Reflections%20on%20Trusting%20Trust.pdf
...
The moral is obvious. You can't trust code that you did not totally create yourself. (Especially code from companies that employ people like me.) No amount of source-level verification or scrutiny will protect you from using untrusted code. In demonstrating the possibility of this kind of attack, I picked on the C compiler. I could have picked on any program-handling program such as an assembler, a loader, or even hardware microcode. As the level of program gets lower, these bugs will be harder and harder to detect. A well-installed microcode bug will be almost impossible to detect.