тысячерукий хакер
Mar. 28th, 2011 11:30 pm![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
avvaЛюбопытное развитие событий в истории о поддельных сертификатах, о которой я писал пару дней назад. На pastebin.com появилось сообщение от человека, который берет на себя ответственность за этот взлом. Оно написано на ломаном английском, и полно забавного бахвальства -
Подробный рассказ о том, как он взломал Комодо (точнее, партнера Комодо), выглядит убедительными, особенно в сочетании с примерами кода в дополнительных посланиях (ссылки в конце этого). Комодо пока что не подтвердила и не опровергла, как я понимаю. Запись в блоге Wired подробно анализирует аргументы за и против того, что послание действительно написано настоящим хакером - например, какие из рассказанных в нем подробностей можно было и так найти на основании уже известных данных. В конце концов они приходят к выводу, что видимо письмо настоящее, и скорее всего правы. Замечу только еще одно обстоятельство, которое они не упоминают: подозрительно то, что автор письма приводит много разных объяснений и доказательств того, что это действительно он, но не приводит самое просто доказательство: подписать какой-то текст секретным ключом одного из подделанных им сертификатов. Такую подпись можно было бы легко проверить, и никто, кроме хакера (и может быть самой Комодо) не смог бы это сделать.
Предположим, что письмо настоящее, а не чей-то умелый троллинг или попытка запутать следы; все равно, конечно, может быть, что его автор делал это по заданию иранских властей, а не по своей инициативе, как он пишет. Но в целом я должен согласиться с критикой многих комментаторов к моей прошлой записи: я слишком охотно назвал наиболее вероятной версией то, что это иранские власти. Для уверенности в этом просто слишком мало данных. Одна из причин, по которой мне легко было согласиться с этим мнением самой фирмы Комодо - это то, что подделка именно этих сертификатов особенно полезна для правительства, контролирующего весь доступ к Интернету в данной стране. Ему тогда легко организовать MITM (man-in-the-middle attack, атаку, позволяющую читать чужую почту итд.), а отдельному хакеру - сложнее, и надо работать отдельно над каждой 'жертвой'. Но отнюдь не невозможно.
I'm not a group of hacker, I'm single hacker with experience of 1000 hackers, I'm single programmer with experience of 1000 programmers, I'm single planner/project manager with experience of 1000 project managers, so you are right, it's managed by a group of hackers, but it was only I with experience of 1000 hackers.Если верить этому хакеру, он действительно живет в Иране, но не имеет отношения к властям.
Подробный рассказ о том, как он взломал Комодо (точнее, партнера Комодо), выглядит убедительными, особенно в сочетании с примерами кода в дополнительных посланиях (ссылки в конце этого). Комодо пока что не подтвердила и не опровергла, как я понимаю. Запись в блоге Wired подробно анализирует аргументы за и против того, что послание действительно написано настоящим хакером - например, какие из рассказанных в нем подробностей можно было и так найти на основании уже известных данных. В конце концов они приходят к выводу, что видимо письмо настоящее, и скорее всего правы. Замечу только еще одно обстоятельство, которое они не упоминают: подозрительно то, что автор письма приводит много разных объяснений и доказательств того, что это действительно он, но не приводит самое просто доказательство: подписать какой-то текст секретным ключом одного из подделанных им сертификатов. Такую подпись можно было бы легко проверить, и никто, кроме хакера (и может быть самой Комодо) не смог бы это сделать.
Предположим, что письмо настоящее, а не чей-то умелый троллинг или попытка запутать следы; все равно, конечно, может быть, что его автор делал это по заданию иранских властей, а не по своей инициативе, как он пишет. Но в целом я должен согласиться с критикой многих комментаторов к моей прошлой записи: я слишком охотно назвал наиболее вероятной версией то, что это иранские власти. Для уверенности в этом просто слишком мало данных. Одна из причин, по которой мне легко было согласиться с этим мнением самой фирмы Комодо - это то, что подделка именно этих сертификатов особенно полезна для правительства, контролирующего весь доступ к Интернету в данной стране. Ему тогда легко организовать MITM (man-in-the-middle attack, атаку, позволяющую читать чужую почту итд.), а отдельному хакеру - сложнее, и надо работать отдельно над каждой 'жертвой'. Но отнюдь не невозможно.
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
no subject
Date: 2011-03-28 09:50 pm (UTC)Ты перехетрил всех хитрых хитрецов,
Сотворил солнце, небо и луну
Поистине, нет тебе противника!
(с) Гимн Индры, цитируется по памяти
no subject
Date: 2011-03-28 10:06 pm (UTC)Пароли рабоают только в зоне Ирана или просто хакер был в иране?
В любом случае это - клад для любой банды сетевых мошенников.
По google-mail и yahoo-mail сотни тысяч людей получают пароли на свои счета на банковских и других финансовых сайтах.
перхватил пару паролей состоятел+ных людей - и ты богатый человек.
no subject
Date: 2011-03-28 10:26 pm (UTC)Больше ничего специфически иранского нет, эта атака с тем же успехом работала бы из любого другого места.
no subject
Date: 2011-03-29 02:29 am (UTC)no subject
Date: 2011-03-29 11:53 am (UTC)http://avva.livejournal.com/2323076.html?thread=78015876#t78015876
no subject
Date: 2011-03-29 05:29 am (UTC)перхватил пару паролей состоятел+ных людей - и ты богатый человек.*
1. Перехватить пароль, посланный на гмаил.
2. ???
3. Профит
Дело, как всегда, за малым.
no subject
Date: 2011-03-29 11:53 am (UTC)http://avva.livejournal.com/2323076.html?thread=78015876#t78015876
no subject
Date: 2011-03-29 05:34 am (UTC)100 старушек - 12 миллионов
Date: 2011-03-29 11:52 am (UTC)Даже небольшие банды могут на этом достаточно нажиться.
Достаточно найти старушку, у которой выманить/выменять ее банковскую карту и реквизиты.
Потом со всех счетов, от которых есть пароли, перевести ей деньги и тут же за пару дней снять.
У моей знакомой старушки в США таким образом какие-то русские перевели через счет 120 тысяч долларов. Причем кто так и не узнали и не расследовали даже. Она ничего не потеряла, но ее счет был долгое время заморожен.
100 старушек - 12 миллионов.
Re: 100 старушек - 12 миллионов
Date: 2011-03-29 01:20 pm (UTC)Re: 100 старушек - 12 миллионов
Date: 2011-03-29 01:23 pm (UTC)...и сидеть, глупо улыбаясь, когда сайт банка спросит, например, грид-карту.
Re: 100 старушек - 12 миллионов
Date: 2011-03-29 05:53 pm (UTC)Т.е. пропускная способность системы органичена временем, в течение которого обнаруживается мухлеж, количеством денег, которые можно обналичить зараз без обнаружения, и количеством мулов, которые этим занимаются. Последний параметр как раз и требует для обогащения (если под обогащением не считать 1000 долларов, конечно) достаточно крупной организации.
no subject
Date: 2011-03-29 02:30 am (UTC)no subject
Date: 2011-03-29 02:34 am (UTC)no subject
Date: 2011-03-29 04:17 am (UTC)no subject
Date: 2011-03-29 05:43 am (UTC)no subject
Date: 2011-03-29 01:22 pm (UTC)no subject
Date: 2011-03-29 05:34 pm (UTC)no subject
Date: 2011-03-29 06:40 pm (UTC)no subject
Date: 2011-03-29 09:12 pm (UTC)no subject
Date: 2011-03-29 05:31 am (UTC)Забавно, кстати, тут то, что полагаясь на правдивость одной части сообщения в определении правдивости другой, мы совершаем ту же ошибку, что и система безопасности Комодо, которая из того, что некто знал пароль их партнёра сделала вывод, что этот некто и является этим партнёром и имеет право выдавать сертификаты на mail.google.com.
no subject
Date: 2011-03-29 07:05 am (UTC)Действительно забавный тип :)
А вот за такое:
this.url_nos = "https://secure.comodo.net/products/";
this.login = "gtadmin";
this.password = "TRIMMEDIT";
Комодо надо просто убивать...
no subject
Date: 2011-03-29 08:16 am (UTC)no subject
Date: 2011-03-29 08:36 am (UTC)no subject
Date: 2011-03-29 05:37 pm (UTC)no subject
Date: 2011-03-29 06:45 pm (UTC)Ну поэтому Комодо и certificate authority, а не просто сайт. У них пароль на целых 5 буквоцифр длиннее. Профессиионалы!
no subject
Date: 2011-03-29 08:24 am (UTC)этот прелестный комодо ещё и личные ключи депонирует? То есть можно ожидать в ближайшем будущем не только липовые сертификаты, но и увод личных ключей реальных сертификатов гугла?
Я фалломорфирую, извинити.
no subject
Date: 2011-03-29 08:44 am (UTC)no subject
Date: 2011-03-29 08:46 am (UTC)Каким образом ?
no subject
Date: 2011-03-29 08:52 am (UTC)no subject
Date: 2011-03-29 08:56 am (UTC)no subject
Date: 2011-03-29 09:06 am (UTC)Еще возможна генерация ключа самим клиентом (для сертификата, подписи и внешнего мира нужен public key, а на личный), тогда личный ключ нигде гулять не будет. Правда, простые API могут работать только с полями сертификата, а не парами ключей (я в детали этого комодовского api не всматривался).
no subject
Date: 2011-03-29 09:10 am (UTC)Я говорю о предположении avva и только. Ну и о том, какая прелестная у этого комода политика безопасности. Если сложить эти вещи, мой верхний комментарий, полагаю, станет понятен.
no subject
Date: 2011-03-29 09:25 am (UTC)no subject
Date: 2011-03-29 09:33 am (UTC)no subject
Date: 2011-03-29 09:41 am (UTC)no subject
Date: 2011-03-29 01:47 pm (UTC)А вот secure.google.com -- собственным CA, который подписан ГеоТрастом, хихи.
no subject
Date: 2011-03-29 01:50 pm (UTC)Впрочем я не спору для, а разъяснения ради.
no subject
Date: 2011-03-29 06:10 pm (UTC)no subject
Date: 2011-03-29 05:45 pm (UTC)Две кривые руки
Date: 2011-03-29 08:49 am (UTC)no subject
Date: 2011-03-29 03:14 pm (UTC)Он сделал проще: опубликовал секретный ключ для сертификата addons.mozilla.org, s/n 00 92 39 d5 34 8f 40 d1 69 5a 74 54 70 e1 f2 3f 43.
Проверил, работает - это действительно от него ключ. Похоже, места для сомнений не осталось.
no subject
Date: 2011-03-29 03:16 pm (UTC)no subject
Date: 2011-03-29 03:16 pm (UTC)-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----