Идущий по пути к высшей мудрости - Пост сетевой безпасности. [entries|archive|friends|userinfo]
magistral77

[ website | Элитарный блог ]
[ userinfo | ljr userinfo ]
[ archive | journal archive ]

Пост сетевой безпасности. [Nov. 27th, 2011|01:16 pm]
Previous Entry Add to Memories Tell A Friend Next Entry
[Tags|, ]

Оригинал взят у [info]ratibor59@lj в Пост сетевой безпасности.
Imagecupol


Юноше, выбирающему почтовый ящик в интернете, советую остановить свой выбор на gmail. Почему Гуглемыло?
У этого почтового сервиса много достоинств. Во-первых,- большой объем для хранения писем (7 с гаком гигов), во-вторых удобство в настройках, которые позволяют работать с несколькими почтовыми ящиками (и не только получать, но и писать от их лица), создавать эффективные фильтры на все случаи жизни и и т.д.
А главное, - безопасность. Правильно настроенный gmail практически невозможно взломать ни одному сраному хайкеру (об этом в следующем посте).

А пока мы рассмотрим с Вами еще одно важное достоинство gmail - возможность работать с шифрованным трафиком. Последнее обстоятельство немаловажно. Помните, во время разразившейся в сети истерики по поводу того, что Скайп передал ФСБ исходники, позволяющие прослушать перехваченные переговоры? Одновременно с этим, всплыла информация о том, что федералы перехватили переписку по gmail одного ДПНИ-шника кажется, со всеми паролями и перепиской. По есть тупо просмотрели трафик (и не обязательно у провайдера), а поскольку он был не зашифрован, то им оставалось только поковыряться в найденном.

На самом деле, этого не случилось бы, если бы наш пациент соблюдал элементарные правила безопасности. А именно,- поставил бы в настройках "трафик только по https" Это бы позволило работать с gmail только в защищенных режимах TSL, SSL, которые шифруются 128-битным шифрованием. Возможность работы gmail с https - одно из главных преимуществ:



Важно! Надо только поставить в общих настройках "Безопасность соединения: Использовать только https":



Проследите также, чтобы ваш браузер в настройках поддерживал TSL, SSL (обычно это по умолчанию):

У Хрома:


В Файрфоксе:



Для сравнения, - ни один из популярных отечественных почтовых сервисов этой услуги не предоставляет. Ни Майл ру, ни Яндекс ни Раблер. То есть вся переписка, которая ведется на них онлайн, будет доступна нашим правоохранительным органам, если они пожелают просмотреть трафик. Остается только добавить, что эти почтовые сервисы находятся в зоне ru, что само по себе уже небезопасно. Ибо на эту зону распространяется действие слепого российского басманного правосудия,- вспомним как по решению суда был изят почтовый ящик murz@ru.ru, а потом кто-то, получивший к нему доступ уничтожил все записи у ЖЖ-юзера kenigtiger.
Одним словом, не читайте советских газет по утрам и не пользуйтесь отечественными почтовыми сервисами. То же самое касается и социальных сетей. Ни одноклассники, ни в_контакте не поддерживают работы с https, - только с http. Поэтому не стоит поддерживать отечественного производителя, если он не заботится о безопасности своих клиентов.

Именно поэтому юноше, обдумывающем революцию, следует пользоваться забугорными социальными сетями, такими как твиттер и фейсбук, который тоже поддерживает работу с https. Неслучайно до истерики Дурова, нашему нанопрезиденту силовики разрешали пользоваться только в этих двух социальных сетях. И пару слов о ЖЖ. https здесь только при вводе пароля, и, говорят при оплате (ни разу не пользовался). Поэтому, все лички (личные сообщения), передаваемые через ЖЖ, вполне доступны господам в погонах. Поэтому лучше используйте для этого лички в facebook и twitter, предварительно указав в настройках использование https, и будет Вам счастье:



Также в защищенном режиме https можно общаться и на других сайтах. И что важно, - в гугле можно вести поиск в безопасном режиме. С некоторых пор авторизованных юзеров при поиске автоматически перенаправляют на поиск в https. В вебе адрес для защищенного поиска - https://encrypted.google.com

Более подробно о том, как заставить Firefox работать на https с сайтами, которые его поддерживают, можно узнать здесь например: http://tigor.org.ua/force-firefox-to-use-https/

Можно дополнительно защитить https - соединение, настроив соответствующим образом Ваш Firefox или Хром. Для этого можете поискать соответствующие расширения/дополнения по запросу "https". И не только с помощью их.

Для тех же, кто предпочитает не скупиться, есть возможность приобрести коммерческий продукт "КриптоПро CSP 3.6", для работы с тем же TLS в firefox отсюда (http://cryptopro.ru/downloads). Там же найдете цену для бессрочной лицензии. Лично меня порадовал следующий пассаж от компании КриптоПро:

"КриптоПро CSP 3.6, 3.0, 2.0 имеют сертификат соответствия ФСБ России и могут использоваться для формирования ключей шифрования и ключей электронной цифровой подписи, шифрования и имитозащиты данных, обеспечения целостности и подлинности информации, не содержащей сведений, составляющих государственную тайну"

Без комментариев.

Ну и по поводу шифровки не только веб-трафика(шифрование почты при работе с почтового клиента, мгновенного обмена сообщениями вроде ICQ, итд), , можно легко найти информацию в интернете, Гуглите и обрящите.

Остается добавить, что есть несколько способов надежно защитить не только защищенный (https) веб-трафик (например для работы в публичных местах, интернет-кафе итд). Для этого существует множество утилит, со сложными настройками, и требующие наличия внешних серверов (STunnel итд).

Но так как тут предоставляется информация не для узких специалистов, а для простых пользователей, которым нажал, и чтобы работало, то предлагаю воспользоваться шифрованием с помощью PPTP VPN и OpenVPN, купив себе учетную запись на месяц-другой для пользования стороннего сервака у добрых и нежадных ребят.


Вот Вам навскидку:

http://openvpn.ru/tseni/uslugi-i-tseni.html
https://vpn-service.us/news/35/
http://vpnonline.ru/
http://openvpn.int.ru/
http://safe-inet.com/

А вообще, - подобных сайтов тьма-тьмущая, есть и с Божескими ценами, гуглите и обрящите.
Что же касается гуглемыла, то выбирая себе сервер, - учтите, что если Вы зайдете в почтовый ящик с айпи другой страны, то он может слегка насторожиться.

Впрочем, о том, как настроить gmail, так, чтобы его никогда не смог взломать никакой сраный хаккер, напишу в следующем посте про сетевую безопасность.
LinkLeave a comment

Comments:
[User Picture]
From:[info]siraenuhlaalu@lj
Date:November 27th, 2011 - 05:41 am
(Link)
Пиздец дилетантство. Для перехвата трафика, зашифрованного по SSL достаточно поставить машину посередине и шифровать трафик от клиента сертификатом, подписанным любым удостоверяющим центром. Более подробно в firefox : edit->preferences->advanced, вкладка encryption->view certificates, вкладка authorities.
Так вот, если сертификат для домена gmail.com подписан любым из указанных там удостоверяющих центров, он будет считаться действующим. Таким образом, для перехвата трафика достаточно подписать абсолютно любой сертификат с полем cn=gmail cn=com и подставлять его клиенту на прозрачном прокси.
[User Picture]
From:[info]magistral77@lj
Date:November 27th, 2011 - 05:43 am
(Link)
Практические примеры такого уже встречались?
[User Picture]
From:[info]siraenuhlaalu@lj
Date:November 27th, 2011 - 06:02 am
(Link)
есть целый рынок подобных устройств: http://malaya-zemlya.livejournal.com/679679.html сомневаюсь, что у нас в 16 центре нет подобных.
[User Picture]
From:[info]magistral77@lj
Date:November 27th, 2011 - 06:04 am
(Link)
пиздец
[User Picture]
From:[info]siraenuhlaalu@lj
Date:November 27th, 2011 - 06:04 am
(Link)
кстати, есть вторая атака, ещё более весёлая -- прокси может вообще не шифровать трафик от gmail к клиенту и тупо отсылать всё в открытом виде, никто и не заметит ;)
[User Picture]
From:[info]magistral77@lj
Date:November 27th, 2011 - 06:05 am
(Link)
Про такие я читал, когда Tor обсуждали - парень писал, что ему с утра уже три пароля к gmail прилетело ;)
[User Picture]
From:[info]siraenuhlaalu@lj
Date:November 27th, 2011 - 06:14 am
(Link)
ну это известный факт -- народ не понимая, как работают те или иные технологии лезет куда-то и потом начинает яростно дрочить на свою якобы безопасность.
[User Picture]
From:[info]siraenuhlaalu@lj
Date:November 27th, 2011 - 06:44 am
(Link)
кстати, у большинства из этих VPN-сервисов ключи передаются в открытом виде, а у клиента присутствует та же проблема с MITM, поскольку применяется аналогичная модель аутентификации.
[User Picture]
From:[info]magistral77@lj
Date:November 27th, 2011 - 06:51 am
(Link)
Какие альтернативы?
[User Picture]
From:[info]siraenuhlaalu@lj
Date:November 27th, 2011 - 08:45 am
(Link)
Вот этот вопрос куда интереснее, поскольку в первую очередь следует грамотно оценивать риски и модель нарушителя.

Схема инфраструктуры публичных ключей (PKI), используемая в SSL(ака https pop3s imaps и т.д.) изначально строилась исходя из требований безопасного банковского обмена (и взаимодействия с клиентами), когда правительства имеют полное право на инспектирование транзакций для борьбы с экономическими преступлениями, но при этом, злоумышленником считается любое лицо, отличное от оного правительства, клиента или банка.
В такой модели доверия клиент проверяет сертификат сервера, основываясь на следующих критериях:
0. валидность сертификата в целом, проверка контрольной суммы.
1. валидность сертификата по времени: время выдачи сертификата находится в прошлом, а время действия сертификата в будущем,
2. соответствие сертификат-домен.
3. факт подписи сертификата одним из удостоверяющих центров, поддерживаемых клиентом (их там порядка 200).
из этих трёх критериев только третий представляет сложность для желающего подделать сертификат.

По VPN-сервисам. проблемы там на самом деле две:
0. пересылка сертификатов и !ключей! в открытом виде.
1. аналогичная схема PKI, за исключением привязки сертификат-домен. Т.е. если ФСБ купит годовую подписку на сервис и встроит полученный сертификат в MITM-шлюз по дороге от тебя до провайдера VPN, они смогут спокойно перехватывать любой трафик (чудо, правда!)

Более-менее надёжной моделью является PGP с верификацией ключей по альтернативному каналу. т.е. ты передаёшь ключ лично или по сети но затем звонишь с телефона-автомата получателю и диктуешь ему fingerprint ключа (или хотя бы начало-конец). он, в свою очередь, передаёт fingerprint тебе. Дальше с помощью этих ключей шифруется вся почта.