🚀 go-pugleaf

W dniu 10.05.2011 14:18, bofh@nano.pl pisze:
> Witam,
>
> czy ma ktos moze jakies dokladniejsze informacje o tych
> wirusach/trojanach? Non stop mam problemy z klientami, którym
> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
> z tym i każda informacja mi się przyda.
Jeżeli nie masz polityki jeden user/jedno konto to skutecznych metod 
chyba brak.

-- 
Pozdrawiam
Michoo

bofh@nano.pl wrote:

> Witam,
> 
> czy ma ktos moze jakies dokladniejsze informacje o tych
> wirusach/trojanach? 

Total Commander jest głównym podejrzanym.

> Non stop mam problemy z klientami, którym
> wykradziono hasła i wrzucono jakieś przekierowania. 

lub Remote File Inclue, PHP injection, SQL injection

> Szukam metody walki
> z tym i każda informacja mi się przyda.

dopuścić do FTPa tylko IPki z Polski?

-- 
Pozdrawiam
Lemat

W dniu 2011-05-10 14:18, bofh@nano.pl pisze:
> Witam,
>
> czy ma ktos moze jakies dokladniejsze informacje o tych
> wirusach/trojanach? Non stop mam problemy z klientami, którym
> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
> z tym i każda informacja mi się przyda.
>
>

Zrezygnuj z protokołu ftp na rzecz ftps. W ftp haslo jest przesylane 
otwartym tekstem, wiec byle snifer w sieci bardzo latwo moze je 
przechwycic. I to jest bardziej prawdopodobne niz trojany wykradajace hasla.

R

On 11.05.2011 08:12, Robson wrote:
> W dniu 2011-05-10 14:18, bofh@nano.pl pisze:
>> Witam,
>>
>> czy ma ktos moze jakies dokladniejsze informacje o tych
>> wirusach/trojanach? Non stop mam problemy z klientami, którym
>> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
>> z tym i każda informacja mi się przyda.
>>
>>
> 
> Zrezygnuj z protokołu ftp na rzecz ftps. W ftp haslo jest przesylane
> otwartym tekstem, wiec byle snifer w sieci bardzo latwo moze je
> przechwycic. I to jest bardziej prawdopodobne niz trojany wykradajace
> hasla.

To nie sniffer. Mam klientów z różnych sieci (hosting), a miałem od
cholery połączeń z jednego hosta z Grecji, który łączył się legalnie.
Więc sniffing wykluczony. Musiałby ktoś przejąć wiele hostów albo
routerów w wielu sieciach i wtedy sniffować. To jest wykradane przez
jakieś trojany/wirusy.
Sam host łączący się na ftp działa na dwa sposoby, albo dokleja do
index.html wywołanie obrazka z jakiegoś serwera (nieczynnego już), więc
podejrzewam, że ten obrazek to był jakiś exploit na dziury w
bibliotekach jpg/png. A drugie zachowanie jest ciekawsze, wrzuca plik
php na serwer, po sekundzie kasuje. W tym czasie jeszcze wykonuje ten plik.

-- 
wer <",,)~~
http://szumofob.eu

On 10.05.2011 21:59, Michoo wrote:
> W dniu 10.05.2011 14:18, bofh@nano.pl pisze:
>> Witam,
>>
>> czy ma ktos moze jakies dokladniejsze informacje o tych
>> wirusach/trojanach? Non stop mam problemy z klientami, którym
>> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
>> z tym i każda informacja mi się przyda.
> Jeżeli nie masz polityki jeden user/jedno konto to skutecznych metod
> chyba brak.
> 

Jeden klient jedno konto to normalka w hostingu.

-- 
wer <",,)~~
http://szumofob.eu

On 11.05.2011 01:27, Lemat wrote:
> bofh@nano.pl wrote:
> 
>> Witam,
>>
>> czy ma ktos moze jakies dokladniejsze informacje o tych
>> wirusach/trojanach? 
> 
> Total Commander jest głównym podejrzanym.
> 
>> Non stop mam problemy z klientami, którym
>> wykradziono hasła i wrzucono jakieś przekierowania. 
> 
> lub Remote File Inclue, PHP injection, SQL injection

To wrzucane jest przez ftp. Logi dokładnie to pokazują.

> 
>> Szukam metody walki
>> z tym i każda informacja mi się przyda.
> 
> dopuścić do FTPa tylko IPki z Polski?
> 

Nie każdy może geograficznie blokować.


-- 
wer <",,)~~
http://szumofob.eu

Dnia Tue, 10 May 2011 14:18:54 +0200, bofh@nano.pl napisał(a):

> Witam,

> czy ma ktos moze jakies dokladniejsze informacje o tych
> wirusach/trojanach? Non stop mam problemy z klientami, którym
> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
> z tym i każda informacja mi się przyda.

Czy masz jakiegoś fail2bana założonego na FTP? Ja miałem problem ze
skanowaniem słownikowym kont FTP, czasem coś trafiło i później pojawiały
się phishingi i inne takie.
Spotkałem się także z trojanami filującymi na np. Total Commander lub
FileZillę. Niestety, na to poradzi tylko klient.

Dość skuteczne na takie przypadki jest skanowanie antywirusowe na
poziomie FTP lub regularnie choćby ClamAVem i powiadomienia klientów +
wymuszona zmiana hasła FTP.

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek

On 11.05.2011 17:30, Sylwester Zarębski wrote:
> Dnia Tue, 10 May 2011 14:18:54 +0200, bofh@nano.pl napisał(a):
> 
>> Witam,
> 
>> czy ma ktos moze jakies dokladniejsze informacje o tych
>> wirusach/trojanach? Non stop mam problemy z klientami, którym
>> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
>> z tym i każda informacja mi się przyda.
> 
> Czy masz jakiegoś fail2bana założonego na FTP? Ja miałem problem ze
> skanowaniem słownikowym kont FTP, czasem coś trafiło i później pojawiały
> się phishingi i inne takie.
> Spotkałem się także z trojanami filującymi na np. Total Commander lub
> FileZillę. Niestety, na to poradzi tylko klient.
> 
> Dość skuteczne na takie przypadki jest skanowanie antywirusowe na
> poziomie FTP lub regularnie choćby ClamAVem i powiadomienia klientów +
> wymuszona zmiana hasła FTP.
> 

Niestety antywirus nie wyłapuje tego, bo wrzucane są linki, a nie sam
soft. Ew. soft w php, który często się zmienia. A wyłapać jest ciężko,
jak wiem, że klient złapał to informuję, ale problem jest w tym, jak to
znaleźć. Ostatnio nawet nie doklejają iframe, bo to jest często
sprawdzane, a sięgają po <img src albo z ciekawszych metod wrzucenie
.htaccess z redirect.

-- 
wer <",,)~~
http://szumofob.eu

On 05/10/2011 02:18 PM, bofh@nano.pl wrote:
> Witam,
> 
> czy ma ktos moze jakies dokladniejsze informacje o tych
> wirusach/trojanach? Non stop mam problemy z klientami, którym
> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
> z tym i każda informacja mi się przyda.
> 
> 

Może zaproponuj klientom zdefiniowanie konkretnych adresów / klas
adresowych z których się łączą ?

Jeżeli ktoś zawsze pracuje z domu/biura, będzie w stanie łatwo określić
te adresy. Ktoś pracujący z iplusa może podać klasę adresową iplusa, i
tak dalej.

Do tego jakiś panel z możliwością samodzielnego konfigurowania tych
ipków i masz problem z głowy.
Nie każdy klient będzie chciał z tego skorzystać, ale i tak skutecznie
zmniejsza to ryzyko.

-- 
Robert Jaroszuk
We do not see things as they are, we see them as we are.

GCS/IT/O d- s: a- C ULB++++$ P+ L++++$ E- W++ K- N++ DI+
V- M- PS+ PE++ Y(+) PGP++ t 5? X R !tv b+>++++ D- y+ G++
GPG key id:0x5D9659C3   |   pgp encrypted mail preferred
GPG fp:E1A9 C793 FCF2 8EBD 89E9 39D5 DED4 03D1 5D96 59C3

On 12.05.2011 10:54, Robert Jaroszuk wrote:
> On 05/10/2011 02:18 PM, bofh@nano.pl wrote:
>> Witam,
>>
>> czy ma ktos moze jakies dokladniejsze informacje o tych
>> wirusach/trojanach? Non stop mam problemy z klientami, którym
>> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
>> z tym i każda informacja mi się przyda.
>>
>>
> 
> Może zaproponuj klientom zdefiniowanie konkretnych adresów / klas
> adresowych z których się łączą ?
> 
> Jeżeli ktoś zawsze pracuje z domu/biura, będzie w stanie łatwo określić
> te adresy. Ktoś pracujący z iplusa może podać klasę adresową iplusa, i
> tak dalej.
> 
> Do tego jakiś panel z możliwością samodzielnego konfigurowania tych
> ipków i masz problem z głowy.
> Nie każdy klient będzie chciał z tego skorzystać, ale i tak skutecznie
> zmniejsza to ryzyko.
> 

To jest fajne jak masz 100 klientów. Przy share hosting ciężko zrobić,
żeby określony login był przypisany do jakiejś klasy. Poza tym często
stronę robi ktoś inny, kto inny wrzuca codziennie pliki z aktualizacją.
Z jeszcze innego IP ktoś wrzuca przez ftp obrazki z kamerki
internetowej. A wytłumaczenie czegokolwiek klientom to już koszmar.


-- 
wer <",,)~~
http://szumofob.eu

Robert Jaroszuk wrote:
> Może zaproponuj klientom zdefiniowanie konkretnych adresów / klas
> adresowych z których się łączą ?

Śmiem zaryzykować, że na coś takiego większość klientów poda swój adres,
ale IRL.

> Jeżeli ktoś zawsze pracuje z domu/biura, będzie w stanie łatwo określić
> te adresy. Ktoś pracujący z iplusa może podać klasę adresową iplusa, i
> tak dalej.

W przypadku ISP masz tak szerokie spektrum lokalizacji, z których
klienci się łączą, że ciężko iść tą drogą. Ja np. miałem klientów
jeżdżących m.in. po całej Azji, w tym do krajów, które słyną jako
źródło spamu i wszelkiej maści robactwa sieciowego, które najchętniej
bym wyciął na firewallu.

> Do tego jakiś panel z możliwością samodzielnego konfigurowania tych
> ipków i masz problem z głowy.
> Nie każdy klient będzie chciał z tego skorzystać, ale i tak skutecznie
> zmniejsza to ryzyko.

Problem w tym, że obowiązuje zasada Pareto. 90% ludzi nie wie co to IP,
gdzie/jak go sprawdzić i czy ma dynamiczny, czy stały. A jak jeszcze ich
ktoś za NAT-em schowa, to już w ogóle się nie dogadasz.

Przeciętnego klienta nie obchodzą technikalia. On płaci, klika w ikonkę
i to ma działać. A jak wykażesz się nadgorliwością i spróbujesz wyjaśnić
o co chodzi, to natychmiast zostaniesz zaproszony, żebyś zrobił to
za klienta. Oczywiście nieodpłatnie, w ramach supportu.

-- 
[ Marcin Kulas                              jid: hit@jabbed.org ]
[ „Bądź uczynny, pomagaj innym - a wtedy wszyscy wokół pomyślą, ]
[  że to co dla nich robisz, jest twoim zasranym obowiązkiem.”  ]

On 05/12/2011 11:10 AM, bofh@nano.pl wrote:

> To jest fajne jak masz 100 klientów. Przy share hosting ciężko zrobić,
> żeby określony login był przypisany do jakiejś klasy. Poza tym często
> stronę robi ktoś inny, kto inny wrzuca codziennie pliki z aktualizacją.
> Z jeszcze innego IP ktoś wrzuca przez ftp obrazki z kamerki
> internetowej. A wytłumaczenie czegokolwiek klientom to już koszmar.

Dlaczego ciężko?
Jak zrobisz dla jednego klienta to po prostu powielasz config na
pozostałych. Są moduły do takich rzeczy, chociażby do proftpd.

Poza tym to działa w rozwiązaniach share hostingowych (chociażby w
iq.pl) i z tego co wiem to nie ma problemów.

-- 
Robert Jaroszuk
We do not see things as they are, we see them as we are.

GCS/IT/O d- s: a- C ULB++++$ P+ L++++$ E- W++ K- N++ DI+
V- M- PS+ PE++ Y(+) PGP++ t 5? X R !tv b+>++++ D- y+ G++
GPG key id:0x5D9659C3   |   pgp encrypted mail preferred
GPG fp:E1A9 C793 FCF2 8EBD 89E9 39D5 DED4 03D1 5D96 59C3

On 05/12/2011 11:20 AM, Marcin Kulas wrote:
> Robert Jaroszuk wrote:
>> Może zaproponuj klientom zdefiniowanie konkretnych adresów / klas
>> adresowych z których się łączą ?
> 
> Śmiem zaryzykować, że na coś takiego większość klientów poda swój adres,
> ale IRL.

Kwestia tego jak to ludziom wytłumaczysz i jakie automaty w tle
uruchomisz. Co za problem dodać całą klasę adresową providera z którego
Klient zakłada konto? + ewentualnie dopisać jakąś logikę typu "jeśli
klasy adresowe dynamiczne to dopisuj tylko jeden adres IP", etc.

>> Jeżeli ktoś zawsze pracuje z domu/biura, będzie w stanie łatwo określić
>> te adresy. Ktoś pracujący z iplusa może podać klasę adresową iplusa, i
>> tak dalej.
> 
> W przypadku ISP masz tak szerokie spektrum lokalizacji, z których
> klienci się łączą, że ciężko iść tą drogą. Ja np. miałem klientów
> jeżdżących m.in. po całej Azji, w tym do krajów, które słyną jako
> źródło spamu i wszelkiej maści robactwa sieciowego, które najchętniej
> bym wyciął na firewallu.

Ale ilu takich klientów masz ?
Poza tym klient ma panel i jeżeli chce korzystać z tego typu
rozwiązania, to może każdorazowo się logować i dodawać sobie IP.
Albo wyłączyć - wtedy nie ma problemu.
Dla wyjątkowych klientów robisz wyjątki.

>> Do tego jakiś panel z możliwością samodzielnego konfigurowania tych
>> ipków i masz problem z głowy.
>> Nie każdy klient będzie chciał z tego skorzystać, ale i tak skutecznie
>> zmniejsza to ryzyko.
> 
> Problem w tym, że obowiązuje zasada Pareto. 90% ludzi nie wie co to IP,
> gdzie/jak go sprawdzić i czy ma dynamiczny, czy stały. A jak jeszcze ich
> ktoś za NAT-em schowa, to już w ogóle się nie dogadasz.

Nie wiem o jakiej zasadzie Pareto piszesz, jeżeli o 80/20 to troszkę się
Tobie pokićkało ;-)
Anyway - skutecznie starasz się udowodnić że coś nie zadziała, nie
próbując nawet tego zaimplementować.
Takie rozwiązanie działa i ma się dobrze w innych firmach, więc wyraźnie
widać że praktyka obaliła Twoją teorię o "zasadach Pareto".

> Przeciętnego klienta nie obchodzą technikalia. On płaci, klika w ikonkę
> i to ma działać. A jak wykażesz się nadgorliwością i spróbujesz wyjaśnić
> o co chodzi, to natychmiast zostaniesz zaproszony, żebyś zrobił to
> za klienta. Oczywiście nieodpłatnie, w ramach supportu.

Tia...

-- 
Robert Jaroszuk
We do not see things as they are, we see them as we are.

GCS/IT/O d- s: a- C ULB++++$ P+ L++++$ E- W++ K- N++ DI+
V- M- PS+ PE++ Y(+) PGP++ t 5? X R !tv b+>++++ D- y+ G++
GPG key id:0x5D9659C3   |   pgp encrypted mail preferred
GPG fp:E1A9 C793 FCF2 8EBD 89E9 39D5 DED4 03D1 5D96 59C3

On 2011-05-10, bofh@nano.pl <bofh@nano.pl> wrote:
> Witam,
>
> czy ma ktos moze jakies dokladniejsze informacje o tych
> wirusach/trojanach? Non stop mam problemy z klientami, którym
> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
> z tym i każda informacja mi się przyda.

Sprawa jest prosta, klient sobie ptaszkuje "zapamiętaj hasło"
w total commenrerze czy co-on-tam-ma. Potem lapie wirusa który
mu te hasła łądnie wyciąga i przesyła na serwer gdzieś daleko.
Potem normalnie, legalne loguje się robot i dokleja.

Dobrej metody na to nia ma, bo problem jest ewidentnie po stronie
kilenta. Admin może co najwyżej ograniczać rozmiary szkód przez
majstreowanie z uprawnieniami plików, chrootowaniem sesji ftp
i takimi tam. Wtedy, jak klientowi coś się doklei do strony
to tylko jego wina. Większy problem jak "to coś" jest skryptem
php próry np. wysyła spam.
Zadne fail2ban tu nie pomogą, bo to są normelne legelne sesje
ftp, hasło poprawne za pierwszym razem. Zmiana ftp na sftp
też noc nie da, bo hasłą są wykradane bezpośrednio z rejestru
windows czy innych tam plików ini.

Ja kombinowałem takie coś, że klient musi się zalogować na
jakąś stronę, to mu się wtedy otworzy dostęp na godzinę
z jego adresu IP. Zabezpieczenie z gatunku głupich, ale
na głupie roboty całkiem skuteczne. Do tego jeszcze system
wykrywania prób połączeń FTP z innych adresów (żeby kilent
wiedział że ktoś mu chciał wleźć). Tyle, że trzeba to jeszcze
klientom wytłumaczyć.

-- 
Konrad Stępień

On 12.05.2011 15:07, Konrad Stepien wrote:
> On 2011-05-10, bofh@nano.pl <bofh@nano.pl> wrote:
>> Witam,
>>
>> czy ma ktos moze jakies dokladniejsze informacje o tych
>> wirusach/trojanach? Non stop mam problemy z klientami, którym
>> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
>> z tym i każda informacja mi się przyda.
> 
> Sprawa jest prosta, klient sobie ptaszkuje "zapamiętaj hasło"
> w total commenrerze czy co-on-tam-ma. Potem lapie wirusa który
> mu te hasła łądnie wyciąga i przesyła na serwer gdzieś daleko.
> Potem normalnie, legalne loguje się robot i dokleja.
> 
> Dobrej metody na to nia ma, bo problem jest ewidentnie po stronie
> kilenta. Admin może co najwyżej ograniczać rozmiary szkód przez
> majstreowanie z uprawnieniami plików, chrootowaniem sesji ftp
> i takimi tam. Wtedy, jak klientowi coś się doklei do strony
> to tylko jego wina. Większy problem jak "to coś" jest skryptem
> php próry np. wysyła spam.
> Zadne fail2ban tu nie pomogą, bo to są normelne legelne sesje
> ftp, hasło poprawne za pierwszym razem. Zmiana ftp na sftp
> też noc nie da, bo hasłą są wykradane bezpośrednio z rejestru
> windows czy innych tam plików ini.
> 
> Ja kombinowałem takie coś, że klient musi się zalogować na
> jakąś stronę, to mu się wtedy otworzy dostęp na godzinę
> z jego adresu IP. Zabezpieczenie z gatunku głupich, ale
> na głupie roboty całkiem skuteczne. Do tego jeszcze system
> wykrywania prób połączeń FTP z innych adresów (żeby kilent
> wiedział że ktoś mu chciał wleźć). Tyle, że trzeba to jeszcze
> klientom wytłumaczyć.
> 

Myślałem o tym, to jest jedna z opcji. Myślę też o zmianie portu na inny
dla części klientów, żeby musieli się łączyć na inny port. Możliwe, że
wirus pobiera tylko hosta, login i password. Niestety zawsze najgorszy
jest czynnik ludzki. Dla wielu osób coś bardziej skomplikowanego niż
kliknięcie na ikonkę oznacza zamach na wolność osobistą.

-- 
wer <",,)~~
http://szumofob.eu

On 10 Maj, 14:18, "b...@nano.pl" <b...@nano.pl> wrote:
> Witam,
>
> czy ma ktos moze jakies dokladniejsze informacje o tych
> wirusach/trojanach? Non stop mam problemy z klientami, którym
> wykradziono hasła i wrzucono jakieś przekierowania. Szukam metody walki
> z tym i każda informacja mi się przyda.
>
> --
> wer <",,)~~http://szumofob.eu

Witam,

Miałem identyczną sytuację już jakiś czas temu.
Po zrezygnowaniu z Commandera problem ustąpił.
Po przejzeniu kodu okazało się, że zaraz po tagu <body> dopisywany
jest złośliwy kod.
Od tamtego czasu stosuję coś takiego:

$m='<b';
$m.='o';
$m.='d';
$m.='y>';
echo $m;
$hack="<body>";

Mam hostling na home.pl. Bez problemu otrzymałem listing z logu z
datami i nazwami plików które zostały pobrane i jako zmodyfikowane
ponownie umieszczone na moim koncie.
Złośliwy kod był doklejony tylko po tagu <body>. Pliki które nie
zostały zainfekowane  co oczywiste nie były ponownie umieszczane na
serwerze.

Nie wiem na ile się dzisiaj taka metoda sprawdzi bo nie zapobiega
przecież włamaniu, ale z uwagi że dokonują ich pewnie programy a nie
ludzie może uchronić przed problem z naszymi klientami.

Pozdrawiam Peter

W dniu 11.05.2011 11:53, bofh@nano.pl pisze:
> On 10.05.2011 21:59, Michoo wrote:
>> Jeżeli nie masz polityki jeden user/jedno konto to skutecznych metod
>> chyba brak.
>>
>
> Jeden klient jedno konto to normalka w hostingu.
Użytkownik, nie klient.

Jeżeli masz konto/użytkownik to możesz się pokusić o grepowanie z crona 
plików, które zostały zmodyfikowane i sprawdzanie, czy nie pojawił się 
problem a jeżeli tak to mail z żądaniem odpalenia antywirusa i zmiany 
hasła. Jeżeli jeden klient to de facto kilku użytkowników to 
odpowiedzialność się rozmywa a frustracja rośnie.

-- 
Pozdrawiam
Michoo

Robert Jaroszuk wrote:
> Kwestia tego jak to ludziom wytłumaczysz i jakie automaty w tle
> uruchomisz. Co za problem dodać całą klasę adresową providera z którego
> Klient zakłada konto? + ewentualnie dopisać jakąś logikę typu "jeśli
> klasy adresowe dynamiczne to dopisuj tylko jeden adres IP", etc.

Wiesz, w większej skali dochodzi problem wdrożenia mechanizmu.
Nie można wszystkim odgórnie zabrać tego, co wcześniej działało,
bo stopią się telefony. Jeśli dajesz coś, co skutkuje pozbawieniem
dostępu, klient powinien mieć możliwość to sobie WŁączyć. Praktyka
pokazuje, że nie włączają. Jeśli odgórnie włączysz, to choćbyś
uprzednio informował i pod nos podsuwał broszurki o co chodzi,
znajdzie się sporo ludzi, którzy nie raczą tego przeczytać,
bo mają wyćwiczony odruch dzwonienia z byle czym. Mają prawo.

Oczywiście wszystko jest kwestią kompromisu, ale już po samej akcji
wyplenienia klientów z portu 25/tcp widać było jak dużym wysiłkiem
to może być dla działu obsługi klienta.

[Azja]
> Ale ilu takich klientów masz ?

<dygresja>
Obecnie żadnego. Odpoczywam od ISP. Ale mógłbym policzyć takich
klientów na palcach jednej ręki, góra dwóch. Wpamięci najbardziej
zapadł mi jeden, który średnio raz na dwa tygodnie dzwonił po parę
razy z Chin, bo miał problemy. Akurat wtedy chodziło o cenzurę
i blokowanie w hotelach wyjścia na świat dla wybranych usług,
czy wręcz w ogóle jakieś cichociemne proxy, które sprawiało wrażenie,
że połączyć się można, ale psuło komunikację.
</>

> Poza tym klient ma panel i jeżeli chce korzystać z tego typu
> rozwiązania, to może każdorazowo się logować i dodawać sobie IP.
> Albo wyłączyć - wtedy nie ma problemu.
> Dla wyjątkowych klientów robisz wyjątki.

Zgoda. Ale nie zmienia to faktu, że klienci nie słuchają co się im mówi.
Dopiero za którymś razem, gdy problem się powtarza, zaczynają się uczyć.

> Nie wiem o jakiej zasadzie Pareto piszesz, jeżeli o 80/20 to troszkę się
> Tobie pokićkało ;-)

Ona nie dotyczy tylko i wyłącznie proporcji 80/20. Chodzi o zjawisko,
ogólnie. Klienci, z których jest najmniejszy zysk, narzekają najczęściej.
I z drugiej strony: klientów kumatych, którzy przejawiają umiejętność
czytania ze zrozumieniem, mozna policzyć na palcach.

> Anyway - skutecznie starasz się udowodnić że coś nie zadziała, nie
> próbując nawet tego zaimplementować.
> Takie rozwiązanie działa i ma się dobrze w innych firmach, więc wyraźnie
> widać że praktyka obaliła Twoją teorię o "zasadach Pareto".

Swego czasu na platformie pocztowej wprowadziłem mechanizm selektywnych,
predefiniowanych filtrów, ustawianych per konto przez klientów. Pomimo iż
pogrupowałem je tematycznie i ograniczyłem ilość checkboxów do ok. 10,
statystycznie 90% miało albo wszystko włączone, albo wszystko wyłączone.
A potem właśnie ta grupa ludzi wydzwaniała, że albo nie dostają ważnych
maili z egzotycznych krajów, albo że dostają tony spamu. Korelując
ustawienia filtrów z ich wypowiedziami, można było odnieść wrażenie,
że nie potrafią czytać ze zrozumieniem prostego tekstu.


A wracając do tematu wątku, wydaje mi się, że głównym problemem jest
splot kilku faktów:

- stosowanie popularnego systemu operacyjnego (najwięcej robactwa),
- stosowanie programów, które przechowują hasła w lekkomyślny sposób,
- brak wyobraźni lub niewiedza człowieka, który lekką rączką zostawia
gdziekolwiek dane umożliwiające nieuprawniony dostęp osobom trzecim.

Już w wątku padło, że największym podejrzanym jest Total Commander.
Mogę tylko potwierdzić z autopsji. Najsłabszym ogniwem jest zawsze
człowiek. W tym wypadku autor programu oraz użytkownik.

-- 
[ Marcin Kulas                              jid: hit@jabbed.org ]
[ „Bądź uczynny, pomagaj innym - a wtedy wszyscy wokół pomyślą, ]
[  że to co dla nich robisz, jest twoim zasranym obowiązkiem.”  ]

Dnia Thu, 12 May 2011 09:56:32 +0200, bofh@nano.pl napisał(a):

>> Dość skuteczne na takie przypadki jest skanowanie antywirusowe na
>> poziomie FTP lub regularnie choćby ClamAVem i powiadomienia klientów +
>> wymuszona zmiana hasła FTP.

> Niestety antywirus nie wyłapuje tego, bo wrzucane są linki, a nie sam
> soft. Ew. soft w php, który często się zmienia. A wyłapać jest ciężko,
> jak wiem, że klient złapał to informuję, ale problem jest w tym, jak to
> znaleźć. Ostatnio nawet nie doklejają iframe, bo to jest często
> sprawdzane, a sięgają po <img src albo z ciekawszych metod wrzucenie
> .htaccess z redirect.

Cóż, wszystkiego się nie wyłapie, taki żywot hostingu ;).

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek

On 05/12/2011 07:32 PM, Marcin Kulas wrote:

[ ciach ]

> Oczywiście wszystko jest kwestią kompromisu, ale już po samej akcji
> wyplenienia klientów z portu 25/tcp widać było jak dużym wysiłkiem
> to może być dla działu obsługi klienta.

Wszystko się zgadza, tyle że to niczego nie zmienia.
Pracowałem m.in. w hostingu/ICP/ISP ładnych kilka lat, różne nowości
wdrażałem i jakoś klienci je przeżyli. BOK także.
Świat idzie do przodu, więc nie ma co tutaj łez ronić, że będzie ciężko.
No będzie, ale co z tego? Chcesz stać w miejscu, gdy wszyscy inni się
rozwijają?

>> Ale ilu takich klientów masz ?
> 
> <dygresja>
> Obecnie żadnego. Odpoczywam od ISP. Ale mógłbym policzyć takich
> klientów na palcach jednej ręki, góra dwóch. Wpamięci najbardziej
> zapadł mi jeden, który średnio raz na dwa tygodnie dzwonił po parę
> razy z Chin, bo miał problemy. Akurat wtedy chodziło o cenzurę
> i blokowanie w hotelach wyjścia na świat dla wybranych usług,
> czy wręcz w ogóle jakieś cichociemne proxy, które sprawiało wrażenie,
> że połączyć się można, ale psuło komunikację.
> </>

Też takich klientów miałem, ale to niczego nie zmienia.
W każdej branży pojawiają się różne przeszkody i w każdej branży jakoś
sobie ludzie z nimi radzą.

>> Poza tym klient ma panel i jeżeli chce korzystać z tego typu
>> rozwiązania, to może każdorazowo się logować i dodawać sobie IP.
>> Albo wyłączyć - wtedy nie ma problemu.
>> Dla wyjątkowych klientów robisz wyjątki.
> 
> Zgoda. Ale nie zmienia to faktu, że klienci nie słuchają co się im mówi.
> Dopiero za którymś razem, gdy problem się powtarza, zaczynają się uczyć.

Wiesz, ja też bym chciał żeby każdy człowiek wykorzystywał 100% swojego
mózgu i żeby wszyscy wszystko w lot łapali.
Ale tak nie jest :)

>> Nie wiem o jakiej zasadzie Pareto piszesz, jeżeli o 80/20 to troszkę się
>> Tobie pokićkało ;-)
> 
> Ona nie dotyczy tylko i wyłącznie proporcji 80/20. Chodzi o zjawisko,
> ogólnie. Klienci, z których jest najmniejszy zysk, narzekają najczęściej.
> I z drugiej strony: klientów kumatych, którzy przejawiają umiejętność
> czytania ze zrozumieniem, mozna policzyć na palcach.

Uogólniasz, ale jest późno i nie chce mi się polemizować bo niczego to
nie zmieni.

>> Anyway - skutecznie starasz się udowodnić że coś nie zadziała, nie
>> próbując nawet tego zaimplementować.
>> Takie rozwiązanie działa i ma się dobrze w innych firmach, więc wyraźnie
>> widać że praktyka obaliła Twoją teorię o "zasadach Pareto".
> 
> Swego czasu na platformie pocztowej wprowadziłem mechanizm selektywnych,
> predefiniowanych filtrów, ustawianych per konto przez klientów. Pomimo iż
> pogrupowałem je tematycznie i ograniczyłem ilość checkboxów do ok. 10,
> statystycznie 90% miało albo wszystko włączone, albo wszystko wyłączone.
> A potem właśnie ta grupa ludzi wydzwaniała, że albo nie dostają ważnych
> maili z egzotycznych krajów, albo że dostają tony spamu. Korelując
> ustawienia filtrów z ich wypowiedziami, można było odnieść wrażenie,
> że nie potrafią czytać ze zrozumieniem prostego tekstu.

A myślisz że Ty zawsze potrafisz czytać ze zrozumieniem ?
Jak byś tak stanął obok siebie i popatrzył na swoje życie, to pewnie też
byś zauważył wiele momentów, w których mógłbyś o sobie napisać coś
podobnego.

Nie traktuj tego jako atak na Ciebie, po prostu każdy z nas tak ma,
tylko nie każdy to zauważa. Odnoszę wrażenie że Ty właśnie do tej grupy
"niedowidzących" ;-) należysz. Troszkę pokory ;-)

> A wracając do tematu wątku, wydaje mi się, że głównym problemem jest
> splot kilku faktów:
> 
> - stosowanie popularnego systemu operacyjnego (najwięcej robactwa),
> - stosowanie programów, które przechowują hasła w lekkomyślny sposób,
> - brak wyobraźni lub niewiedza człowieka, który lekką rączką zostawia
> gdziekolwiek dane umożliwiające nieuprawniony dostęp osobom trzecim.
> 
> Już w wątku padło, że największym podejrzanym jest Total Commander.
> Mogę tylko potwierdzić z autopsji. Najsłabszym ogniwem jest zawsze
> człowiek. W tym wypadku autor programu oraz użytkownik.

Zgadzam się w 100%.
Aczkolwiek do nas - specjalistów w zakresie IT/bezpieczeństwa należy
pomoc tym "nieumiejącym czytać ze zrozumieniem".
Dlatego jestem za tym aby wdrażać mechanizmy ochrony klienta przed
skutkami jego niewiedzy.

-- 
Robert Jaroszuk
We do not see things as they are, we see them as we are.

GCS/IT/O d- s: a- C ULB++++$ P+ L++++$ E- W++ K- N++ DI+
V- M- PS+ PE++ Y(+) PGP++ t 5? X R !tv b+>++++ D- y+ G++
GPG key id:0x5D9659C3   |   pgp encrypted mail preferred
GPG fp:E1A9 C793 FCF2 8EBD 89E9 39D5 DED4 03D1 5D96 59C3

bofh@nano.pl wrote:
> Niestety antywirus nie wyłapuje tego, bo wrzucane są linki, a nie sam
> soft. Ew. soft w php, który często się zmienia. A wyłapać jest ciężko,
> jak wiem, że klient złapał to informuję, ale problem jest w tym, jak to
> znaleźć. Ostatnio nawet nie doklejają iframe, bo to jest często
> sprawdzane, a sięgają po <img src albo z ciekawszych metod wrzucenie
> .htaccess z redirect.

A zobacz jaki procent połączeń pożądanych do nieuprawnionych ściąga,
a potem zapisuje te same pliki w czasie krótszym niż np. 10 sekund?
Może tu się da to szybko wyłapywać. FYI, pureftpd posiada ficzer
wywoływania skryptu po wrzuceniu pliku. Może się przydać.

-- 
[ Marcin Kulas                              jid: hit@jabbed.org ]
[ „Bądź uczynny, pomagaj innym - a wtedy wszyscy wokół pomyślą, ]
[  że to co dla nich robisz, jest twoim zasranym obowiązkiem.”  ]

On 2011-05-12, Marcin Kulas <hit@kropka.net> wrote:
> Robert Jaroszuk wrote:
>
> Już w wątku padło, że największym podejrzanym jest Total Commander.
> Mogę tylko potwierdzić z autopsji. Najsłabszym ogniwem jest zawsze
> człowiek. W tym wypadku autor programu oraz użytkownik.

Bo ja wiem, padło na TC bo popularny. Autor tu za dużo zrobić nie może.
Każdy program który ma opcję "zapamiętaj hasło" jest podatny na taki atak.
Chyba, że jakieś magazyny haseł zabezpieczone kolejnym hasłem, ale to nie dla
"przeciętnego klienta". Oczywiście, można te hasła mniej lub bardziej sprytnie
kodować, chować w różnych miejscach, ale jeśli autorzy trojana wezmą jakiś
program na celownik, to i tak te hasła wydłubią.

-- 
Konrad Stępień

On Mon, 16 May 2011 13:55:55 +0200, Konrad Stepien wrote:

> On 2011-05-12, Marcin Kulas <hit@kropka.net> wrote:
>> Robert Jaroszuk wrote:
>>
>> Już w wątku padło, że największym podejrzanym jest Total Commander.
>> Mogę tylko potwierdzić z autopsji. Najsłabszym ogniwem jest zawsze
>> człowiek. W tym wypadku autor programu oraz użytkownik.
> 
> Bo ja wiem, padło na TC bo popularny. Autor tu za dużo zrobić nie może.
> Każdy program który ma opcję "zapamiętaj hasło" jest podatny na taki atak.
> Chyba, że jakieś magazyny haseł zabezpieczone kolejnym hasłem, ale to nie dla
> "przeciętnego klienta". 

...a niby dlaczego? A poza tym, jak chodzi o FTP i TC, to TC ma plugin SFTP,
który pozwala używać uwierzytelnienia kluczem SSH i umie korzystać z z PuTTY
SSH Agenta (Pageanta). Passphrase do klucza/kluczy podajemy *raz* (przy
starcie Pageanta) i problem z głowy. No, przynajmniej póki nie pojawią się
trojany wykradające klucze...

-- 
Szymon Sokół (SS316-RIPE) -- Network Manager                                 B
Computer Center, AGH - University of Science and Technology, Cracow, Poland  O
http://home.agh.edu.pl/szymon/ PGP key id: RSA: 0x2ABE016B, DSS: 0xF9289982  F
Free speech includes the right not to listen, if not interested -- Heinlein  H

Dnia Mon, 16 May 2011 20:02:03 +0200, Szymon Sokół napisał(a):

> ...a niby dlaczego? A poza tym, jak chodzi o FTP i TC, to TC ma plugin SFTP,
> który pozwala używać uwierzytelnienia kluczem SSH i umie korzystać z z PuTTY
> SSH Agenta (Pageanta). Passphrase do klucza/kluczy podajemy *raz* (przy
> starcie Pageanta) i problem z głowy. No, przynajmniej póki nie pojawią się
> trojany wykradające klucze...

To, że istnieje taki plugin wcale nie znaczy, że ZU będzie go używać, bo
tak się nie dzieje, choćby właśnie z powodu skomplikowania użycia.
Generowanie kluczy jest za trudne, a podawania hasła ZU chce uniknąć. Ma
za niego pamiętać i działać. Zawsze.
Niestety, z tego powodu trojany mają używanie, bo TC jest bardzo
popularnym programem i polecanym wszem i wobec.

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek

On 16.05.2011 20:02, Szymon Sokół wrote:
> On Mon, 16 May 2011 13:55:55 +0200, Konrad Stepien wrote:
> 
>> On 2011-05-12, Marcin Kulas <hit@kropka.net> wrote:
>>> Robert Jaroszuk wrote:
>>>
>>> Już w wątku padło, że największym podejrzanym jest Total Commander.
>>> Mogę tylko potwierdzić z autopsji. Najsłabszym ogniwem jest zawsze
>>> człowiek. W tym wypadku autor programu oraz użytkownik.
>>
>> Bo ja wiem, padło na TC bo popularny. Autor tu za dużo zrobić nie może.
>> Każdy program który ma opcję "zapamiętaj hasło" jest podatny na taki atak.
>> Chyba, że jakieś magazyny haseł zabezpieczone kolejnym hasłem, ale to nie dla
>> "przeciętnego klienta". 
> 
> ...a niby dlaczego? A poza tym, jak chodzi o FTP i TC, to TC ma plugin SFTP,
> który pozwala używać uwierzytelnienia kluczem SSH i umie korzystać z z PuTTY
> SSH Agenta (Pageanta). Passphrase do klucza/kluczy podajemy *raz* (przy
> starcie Pageanta) i problem z głowy. No, przynajmniej póki nie pojawią się
> trojany wykradające klucze...
> 

I trojan wtedy wykrada hasło, bo np ma keylogera. Problemem jest to, że
hasła są wykradane, a nie sama transmisja.

-- 
wer <",,)~~
http://szumofob.eu

On 2011-05-16, Szymon Sokół <szymon@bastard.operator.from.hell.pl> wrote:
> On Mon, 16 May 2011 13:55:55 +0200, Konrad Stepien wrote:
>
>> On 2011-05-12, Marcin Kulas <hit@kropka.net> wrote:
>>> Robert Jaroszuk wrote:
>>>
>>> Już w wątku padło, że największym podejrzanym jest Total Commander.
>>> Mogę tylko potwierdzić z autopsji. Najsłabszym ogniwem jest zawsze
>>> człowiek. W tym wypadku autor programu oraz użytkownik.
>> 
>> Bo ja wiem, padło na TC bo popularny. Autor tu za dużo zrobić nie może.
>> Każdy program który ma opcję "zapamiętaj hasło" jest podatny na taki atak.
>> Chyba, że jakieś magazyny haseł zabezpieczone kolejnym hasłem, ale to nie dla
>> "przeciętnego klienta". 
>
> ...a niby dlaczego? A poza tym, jak chodzi o FTP i TC, to TC ma plugin SFTP,
> który pozwala używać uwierzytelnienia kluczem SSH i umie korzystać z z PuTTY
> SSH Agenta (Pageanta). Passphrase do klucza/kluczy podajemy *raz* (przy
> starcie Pageanta) i problem z głowy. No, przynajmniej póki nie pojawią się
> trojany wykradające klucze...

No i fajnie, o ile ktoś to klientowi zainstaluje i pokaże z raz jak to działa,
to nie ma problemu. Ale w to, że ZU tak sam z siebie toto zainstaluje i
skonfiguruje, to ja jakoś słabo wierzę.


-- 
Konrad Stępień

On 2011-05-18, bofh@nano.pl <bofh@nano.pl> wrote:
> On 16.05.2011 20:02, Szymon Sokół wrote:
>> On Mon, 16 May 2011 13:55:55 +0200, Konrad Stepien wrote:
>> 
>> ...a niby dlaczego? A poza tym, jak chodzi o FTP i TC, to TC ma plugin SFTP,
>> który pozwala używać uwierzytelnienia kluczem SSH i umie korzystać z z PuTTY
>> SSH Agenta (Pageanta). Passphrase do klucza/kluczy podajemy *raz* (przy
>> starcie Pageanta) i problem z głowy. No, przynajmniej póki nie pojawią się
>> trojany wykradające klucze...
>
> I trojan wtedy wykrada hasło, bo np ma keylogera. Problemem jest to, że

Bez przesady, keylogger to już "większa większość". Sposób Szymona jest dobry
nie dlatego, że szyfruje transmisję, tylko dlatego, że nie wystarczy wydłubać
hasła z rejestru czy innego .ini.

> hasła są wykradane, a nie sama transmisja.

A to jest w 100% prawda. Problemem jest to, że łatwo wejść na system klienta,
a delaj to już z górki. Wszystkie kombinacje jak to u klienta skonfigurować
to niestety leczenie objawowe. Bo przyczyną pierwotną jest to, że ten trojan
w ogóle na maszynę klienta sie dostał.

-- 
Konrad Stępień

On Wed, 18 May 2011 09:57:02 +0200, bofh@nano.pl wrote:

> On 16.05.2011 20:02, Szymon Sokół wrote:
>> On Mon, 16 May 2011 13:55:55 +0200, Konrad Stepien wrote:
>> 
>>> On 2011-05-12, Marcin Kulas <hit@kropka.net> wrote:
>>>> Robert Jaroszuk wrote:
>>>>
>>>> Już w wątku padło, że największym podejrzanym jest Total Commander.
>>>> Mogę tylko potwierdzić z autopsji. Najsłabszym ogniwem jest zawsze
>>>> człowiek. W tym wypadku autor programu oraz użytkownik.
>>>
>>> Bo ja wiem, padło na TC bo popularny. Autor tu za dużo zrobić nie może.
>>> Każdy program który ma opcję "zapamiętaj hasło" jest podatny na taki atak.
>>> Chyba, że jakieś magazyny haseł zabezpieczone kolejnym hasłem, ale to nie dla
>>> "przeciętnego klienta". 
>> 
>> ...a niby dlaczego? A poza tym, jak chodzi o FTP i TC, to TC ma plugin SFTP,
>> który pozwala używać uwierzytelnienia kluczem SSH i umie korzystać z z PuTTY
>> SSH Agenta (Pageanta). Passphrase do klucza/kluczy podajemy *raz* (przy
>> starcie Pageanta) i problem z głowy. No, przynajmniej póki nie pojawią się
>> trojany wykradające klucze...
>> 
> 
> I trojan wtedy wykrada hasło, bo np ma keylogera. Problemem jest to, że
> hasła są wykradane, a nie sama transmisja.

Erm, której części "uwierzytelnienia kluczem" nie zrozumiałeś? Cały dowcip
polega na tym, że hasło do konta na serwerze *w ogóle* się tu nie pojawia. 
A passphrase do klucza trojan sobie może wykradać do woli, dopóki nie wie,
co z nim zrobić (patrz ostatnie zdanie).

-- 
Szymon Sokół (SS316-RIPE) -- Network Manager                                 B
Computer Center, AGH - University of Science and Technology, Cracow, Poland  O
http://home.agh.edu.pl/szymon/ PGP key id: RSA: 0x2ABE016B, DSS: 0xF9289982  F
Free speech includes the right not to listen, if not interested -- Heinlein  H

On 18.05.2011 22:14, Szymon Sokół wrote:
> On Wed, 18 May 2011 09:57:02 +0200, bofh@nano.pl wrote:
> 
>> On 16.05.2011 20:02, Szymon Sokół wrote:
>>> On Mon, 16 May 2011 13:55:55 +0200, Konrad Stepien wrote:
>>>
>>>> On 2011-05-12, Marcin Kulas <hit@kropka.net> wrote:
>>>>> Robert Jaroszuk wrote:
>>>>>
>>>>> Już w wątku padło, że największym podejrzanym jest Total Commander.
>>>>> Mogę tylko potwierdzić z autopsji. Najsłabszym ogniwem jest zawsze
>>>>> człowiek. W tym wypadku autor programu oraz użytkownik.
>>>>
>>>> Bo ja wiem, padło na TC bo popularny. Autor tu za dużo zrobić nie może.
>>>> Każdy program który ma opcję "zapamiętaj hasło" jest podatny na taki atak.
>>>> Chyba, że jakieś magazyny haseł zabezpieczone kolejnym hasłem, ale to nie dla
>>>> "przeciętnego klienta". 
>>>
>>> ...a niby dlaczego? A poza tym, jak chodzi o FTP i TC, to TC ma plugin SFTP,
>>> który pozwala używać uwierzytelnienia kluczem SSH i umie korzystać z z PuTTY
>>> SSH Agenta (Pageanta). Passphrase do klucza/kluczy podajemy *raz* (przy
>>> starcie Pageanta) i problem z głowy. No, przynajmniej póki nie pojawią się
>>> trojany wykradające klucze...
>>>
>>
>> I trojan wtedy wykrada hasło, bo np ma keylogera. Problemem jest to, że
>> hasła są wykradane, a nie sama transmisja.
> 
> Erm, której części "uwierzytelnienia kluczem" nie zrozumiałeś? Cały dowcip
> polega na tym, że hasło do konta na serwerze *w ogóle* się tu nie pojawia. 
> A passphrase do klucza trojan sobie może wykradać do woli, dopóki nie wie,
> co z nim zrobić (patrz ostatnie zdanie).
> 

Każda metoda jest dobra dopóki jest mało popularna. Jeśli trojan siedzi
na komputerze ofiary to nie jest już problemem zmiana tego co ma wykradać.


-- 
wer <",,)~~
http://szumofob.eu

W dniu 19.05.2011 09:34, bofh@nano.pl pisze:
> Każda metoda jest dobra dopóki jest mało popularna. Jeśli trojan siedzi
> na komputerze ofiary to nie jest już problemem zmiana tego co ma wykradać.
Dlatego z kumplem przygotowaliśmy do logowania się z uczelnianych 
laboratoriów poprawioną wersję putty z kluczami w zasobach - skoro było 
tylko 2 użytkowników to trojany nie wiedziały co wykradać...


W sumie może to i jest dobry pomysł - nie wpuszczać total commandera i 
udostępnić userom poprawioną wersję winscp z zapakowanym do środka kluczem.

-- 
Pozdrawiam
Michoo

On 2011-05-19, Michoo <michoo_news@vp.pl> wrote:
> W dniu 19.05.2011 09:34, bofh@nano.pl pisze:
>> Każda metoda jest dobra dopóki jest mało popularna. Jeśli trojan siedzi
>> na komputerze ofiary to nie jest już problemem zmiana tego co ma wykradać.
> Dlatego z kumplem przygotowaliśmy do logowania się z uczelnianych 
> laboratoriów poprawioną wersję putty z kluczami w zasobach - skoro było 
> tylko 2 użytkowników to trojany nie wiedziały co wykradać...
>
> W sumie może to i jest dobry pomysł - nie wpuszczać total commandera i 
> udostępnić userom poprawioną wersję winscp z zapakowanym do środka kluczem.

Tylko jak masz zamiar "nie wpuścić total commandera"?
To nie http gdzie browser przedstawia się w nagłówkach. Można co najwyżej
zablokować całe FTP, ale i tak zostaje TC z pluginem sftp (ale nie wiem jak
taka akurat kombinacje jest podatna na wykradanie haseł).

A jeśli user ma maka to co mu po winscp? A jeśli user w ogóle nie ma komputera
tylko jakiegoś smartfona czy tablet?

-- 
Konrad Stępień

W dniu 20.05.2011 17:23, Konrad Stepien pisze:
> On 2011-05-19, Michoo<michoo_news@vp.pl>  wrote:
>> W sumie może to i jest dobry pomysł - nie wpuszczać total commandera i
>> udostępnić userom poprawioną wersję winscp z zapakowanym do środka kluczem.
>
> Tylko jak masz zamiar "nie wpuścić total commandera"?
Wyciąć FTP.

> A jeśli user ma maka to co mu po winscp?
Jak user ma maka to wgra sobie klucz i po problemie.

> A jeśli user w ogóle nie ma komputera
> tylko jakiegoś smartfona czy tablet?
Jak jest toto na linuksie to pewnie można dodać klucz. Jak nie to user 
ma pecha. (Ale nie sądzę, żeby ludzie zbyt często grzebali na koncie www 
ze smartfona.)

Jak już pisałem - 'dobrej' metody poza banowaniem zainfekowanych userów 
nie znam.

-- 
Pozdrawiam
Michoo

Dnia Sat, 21 May 2011 01:56:00 +0200, Michoo napisał(a):

> W dniu 20.05.2011 17:23, Konrad Stepien pisze:
>> On 2011-05-19, Michoo<michoo_news@vp.pl>  wrote:
>>> W sumie może to i jest dobry pomysł - nie wpuszczać total commandera i
>>> udostępnić userom poprawioną wersję winscp z zapakowanym do środka kluczem.
>> Tylko jak masz zamiar "nie wpuścić total commandera"?
> Wyciąć FTP.

ROTFL. BP,ANMSP.

A serio, propozycja jest kompletnie nieprzystająca do rzeczywistości, bo
protokoły SCP/SFTP są kompletnym marginesem w porównaniu do FTP. FTP,
owszem, jest skopany z zasady, ale nie ma dziś żadnej sensownej
alternatywy. Wspomniane "zamienniki" są propozycją dla geeków, a nie ZU,
który odpala np. IE, loguje się (i zapamiętuje login/hasło) i kopiuje
pliki. Niektórzy z tych ZU zostają namówieni na korzystanie z TC, który
jest dużo wygodniejszy w obsłudze FTP i również pozwala na zapamiętanie
loginu/hasła.
Konieczność używania kluczy na dzień dzisiejszy spowoduje co najwyżej
migrację do innego operatora, który takich cyrków nie wyprawia.

Poza tym, czy już wspomniałem, że w przypadkach złamania (proste hasło)
lub wykradnięcia (trojan) hasła, ZU nie ma sobie nic do zarzucenia? ;)
A historia lubi się powtarzać...

W efekcie stwierdzam, że walka z wiatrakami nie ma sensu i pozostaje
jedynie stosowanie skryptów skanujących dla serwera FTP (upload) lub
działania post factum (skanowanie co 24h).

-- 
pozdrawiam
Sylwester Zarębski

Aby wysłać email zmień zbieracz w adresie na sylwek

On Sat, 21 May 2011 14:08:11 +0200, Sylwester Zarêbski wrote:

> Dnia Sat, 21 May 2011 01:56:00 +0200, Michoo napisał(a):
> 
>> W dniu 20.05.2011 17:23, Konrad Stepien pisze:
>>> On 2011-05-19, Michoo<michoo_news@vp.pl>  wrote:
>>>> W sumie może to i jest dobry pomysł - nie wpuszczać total commandera i
>>>> udostępnić userom poprawioną wersję winscp z zapakowanym do środka kluczem.
>>> Tylko jak masz zamiar "nie wpuścić total commandera"?
>> Wyciąć FTP.
> 
> ROTFL. BP,ANMSP.
> 
> A serio, propozycja jest kompletnie nieprzystająca do rzeczywistości, bo
> protokoły SCP/SFTP są kompletnym marginesem w porównaniu do FTP. FTP,
> owszem, jest skopany z zasady, ale nie ma dziś żadnej sensownej
> alternatywy. Wspomniane "zamienniki" są propozycją dla geeków, a nie ZU,

No cóż. Nie wiem, czy te 30000 studentów (i 4000 pracowników) AGH to
wyłącznie geeki, ale my FTP wyłączyliśmy i dostęp do serwerów dajemy po
SCP/SFTP. Użytkownicy jakoś z tym żyją.

-- 
Szymon Sokół (SS316-RIPE) -- Network Manager                                 B
Computer Center, AGH - University of Science and Technology, Cracow, Poland  O
http://home.agh.edu.pl/szymon/ PGP key id: RSA: 0x2ABE016B, DSS: 0xF9289982  F
Free speech includes the right not to listen, if not interested -- Heinlein  H

On 2011-05-21, Szymon Sokół <szymon@bastard.operator.from.hell.pl> wrote:

>> A serio, propozycja jest kompletnie nieprzystająca do rzeczywistości, bo
>> protokoły SCP/SFTP są kompletnym marginesem w porównaniu do FTP. FTP,
>> owszem, jest skopany z zasady, ale nie ma dziś żadnej sensownej
>> alternatywy. Wspomniane "zamienniki" są propozycją dla geeków, a nie ZU,
>
> No cóż. Nie wiem, czy te 30000 studentów (i 4000 pracowników) AGH to
> wyłącznie geeki, ale my FTP wyłączyliśmy i dostęp do serwerów dajemy po
> SCP/SFTP. Użytkownicy jakoś z tym żyją.

Cóż, w porównaniu z tak zwanym ZU z którym maja do czynienia admini
firm hostujących strony www, to nawet najbardziej tępy student AGH jest
geekiem. Po drugie, jeśli masz userów jakkoliwiek zorganizowanych, to
można duuuużo więcej niż przy świadczeniu usług "dla ludności".
Student dostaje konkretne wytyczne, że ma być tak i tak i ma g. do gadania.
Klient zagłosuje nogami, i jak już ktoś napisał, pójdzie sobie do innej
firmy.

-- 
Konrad Stępień

On 2011-05-20, Michoo <michoo_news@vp.pl> wrote:
> W dniu 20.05.2011 17:23, Konrad Stepien pisze:
>> On 2011-05-19, Michoo<michoo_news@vp.pl>  wrote:
>>> W sumie może to i jest dobry pomysł - nie wpuszczać total commandera i
>>> udostępnić userom poprawioną wersję winscp z zapakowanym do środka kluczem.
>>
>> Tylko jak masz zamiar "nie wpuścić total commandera"?
> Wyciąć FTP.

I stracić jakieś 50% klientów.

>> A jeśli user ma maka to co mu po winscp?
> Jak user ma maka to wgra sobie klucz i po problemie.

Jasne. Dla typowego mac-usera nie ma nic prostszego.

>> A jeśli user w ogóle nie ma komputera
>> tylko jakiegoś smartfona czy tablet?
> Jak jest toto na linuksie to pewnie można dodać klucz. Jak nie to user 
> ma pecha. (Ale nie sądzę, żeby ludzie zbyt często grzebali na koncie www 
> ze smartfona.)

Android bazuje na linuksie, ale a wasadzie tylko na kernelu. Caly userland
jest z zupełnie innej bajki. Jak user ma pecha, to ty też masz pecha,
bo dochody spadają i przez to twoja pensja też.

> Jak już pisałem - 'dobrej' metody poza banowaniem zainfekowanych userów 
> nie znam.

Jest. Izolowanie userów tak bardzo jak się da. W koncu jeśli taki trojan zrobi
kuku tylko userowi, to jest jego problem. Albo się nauczy, albo obrazi i pójdzie
gdzieś indziej (gdzie będzie miał powtórkę z rozrywki).
Problem jest w tym jak skutecznie izolować. Bo taki trojan może np. wrzucić
kod spamujący, przez co można wpaść na różne spamlisty itp.

-- 
Konrad Stępień

Konrad Stepien <konrad@sekator.interdata.net.pl> writes:

> Jest. Izolowanie userów tak bardzo jak się da. W koncu jeśli taki trojan zrobi
> kuku tylko userowi, to jest jego problem. Albo się nauczy, albo obrazi i pójdzie
> gdzieś indziej (gdzie będzie miał powtórkę z rozrywki).
> Problem jest w tym jak skutecznie izolować. Bo taki trojan może np. wrzucić
> kod spamujący, przez co można wpaść na różne spamlisty itp.

No właśnie. Przedzielenie każdemu userowi osobnego serwera maili z
osobnym IP jakoś wydaje się nieosiągalne.

  MJ

On 21.05.2011 15:21, Szymon Sokół wrote:
> On Sat, 21 May 2011 14:08:11 +0200, Sylwester Zarêbski wrote:
> 
>> Dnia Sat, 21 May 2011 01:56:00 +0200, Michoo napisał(a):
>>
>>> W dniu 20.05.2011 17:23, Konrad Stepien pisze:
>>>> On 2011-05-19, Michoo<michoo_news@vp.pl>  wrote:
>>>>> W sumie może to i jest dobry pomysł - nie wpuszczać total commandera i
>>>>> udostępnić userom poprawioną wersję winscp z zapakowanym do środka kluczem.
>>>> Tylko jak masz zamiar "nie wpuścić total commandera"?
>>> Wyciąć FTP.
>>
>> ROTFL. BP,ANMSP.
>>
>> A serio, propozycja jest kompletnie nieprzystająca do rzeczywistości, bo
>> protokoły SCP/SFTP są kompletnym marginesem w porównaniu do FTP. FTP,
>> owszem, jest skopany z zasady, ale nie ma dziś żadnej sensownej
>> alternatywy. Wspomniane "zamienniki" są propozycją dla geeków, a nie ZU,
> 
> No cóż. Nie wiem, czy te 30000 studentów (i 4000 pracowników) AGH to
> wyłącznie geeki, ale my FTP wyłączyliśmy i dostęp do serwerów dajemy po
> SCP/SFTP. Użytkownicy jakoś z tym żyją.
> 

Tak, tylko student i pracownik to inny przypadek niż klient. W dodatku
często jest tak, że klient udostępnia hasło do konkretnego katalogu
firmie trzeciej (jakieś firmy robiące strony).

-- 
wer <",,)~~
http://szumofob.eu

On 2011-05-22, Michal Jankowski <michalj@fuw.edu.pl> wrote:
> Konrad Stepien <konrad@sekator.interdata.net.pl> writes:
>
>> Jest. Izolowanie userów tak bardzo jak się da. W koncu jeśli taki trojan zrobi
>> kuku tylko userowi, to jest jego problem. Albo się nauczy, albo obrazi i pójdzie
>> gdzieś indziej (gdzie będzie miał powtórkę z rozrywki).
>> Problem jest w tym jak skutecznie izolować. Bo taki trojan może np. wrzucić
>> kod spamujący, przez co można wpaść na różne spamlisty itp.
>
> No właśnie. Przedzielenie każdemu userowi osobnego serwera maili z
> osobnym IP jakoś wydaje się nieosiągalne.

To można leczyć "objawowo". Wysyłanie tylko z autoryzacją, nawet z
localhost-a. Większość trojanów już tutaj się wyłoży.
Dodatkowo limiter na ilość wysyłanych maili na godzinę (z możliwością zgłoszenia
przez klienta własnych newsletterów itp.)
Jak np. mam tak, że można sobie założyć konto i ma się tydzień na opłacenie.
Oczywiście miałem pacjentów którzy zakładali konto i puszczali spam.
No to teraz jest limit, że konta na "okresie próbnym" mają limit 3 maili
na godzinę. Od czasu jak to zrobiłem, miałem jeszcze ze 2 spamerów i
się odczepili.

-- 
Konrad Stępień

Konrad Stepien <konrad@sekator.interdata.net.pl> writes:

>> No właśnie. Przedzielenie każdemu userowi osobnego serwera maili z
>> osobnym IP jakoś wydaje się nieosiągalne.
>
> To można leczyć "objawowo". Wysyłanie tylko z autoryzacją, nawet z
> localhost-a. Większość trojanów już tutaj się wyłoży.

Albo i nie. Kilka razy już miałem sytuację, że po wycieknięciu hasła
zaczęły lecieć spamy z uwierzytelnieniem (w tym ze dwa razy przez
interfejs webowy do maila a pozostałe przez SMTP).

Można to wykrywać (jeszcze...), bo spamerzy lubią podkładać własne
From, albo po liczbie tych maili, albo po liczbie IP łączących się
jako ten sam user w krótkim czasie - ale to jest rzeźbienie w g.

  MJ

On 2011-05-25, Michal Jankowski <michalj@fuw.edu.pl> wrote:
> Konrad Stepien <konrad@sekator.interdata.net.pl> writes:
>
>>> No właśnie. Przedzielenie każdemu userowi osobnego serwera maili z
>>> osobnym IP jakoś wydaje się nieosiągalne.
>>
>> To można leczyć "objawowo". Wysyłanie tylko z autoryzacją, nawet z
>> localhost-a. Większość trojanów już tutaj się wyłoży.
>
> Albo i nie. Kilka razy już miałem sytuację, że po wycieknięciu hasła
> zaczęły lecieć spamy z uwierzytelnieniem (w tym ze dwa razy przez
> interfejs webowy do maila a pozostałe przez SMTP).

To tak, ale ja pisałem o robactwie które dokleja kod php do stron.
To są przeważnie prościutkie skrypciki.

-- 
Konrad Stępień

On Thu, 12 May 2011 19:32:33 +0200 Marcin Kulas <hit@kropka.net> wrote:
> Robert Jaroszuk wrote:
> ogólnie. Klienci, z których jest najmniejszy zysk, narzekają najczęściej.
> I z drugiej strony: klientów kumatych, którzy przejawiają umiejętność
> czytania ze zrozumieniem, mozna policzyć na palcach.

Przyszło mi do głowy, że instrukcje dla użytkowników powinny być pisane
w formie komiksów (z małą liczba dialogów). A może zamieszczać filmy?
Kliknij i obejrzyj film o tym, jak nasz administrator, w dziwnym
kapeluszu na głowie, konfiguruje SFTP!

> A wracając do tematu wątku, wydaje mi się, że głównym problemem jest
> splot kilku faktów:
> - stosowanie popularnego systemu operacyjnego (najwięcej robactwa),
> - stosowanie programów, które przechowują hasła w lekkomyślny sposób,
> - brak wyobraźni lub niewiedza człowieka, który lekką rączką zostawia
> gdziekolwiek dane umożliwiające nieuprawniony dostęp osobom trzecim.
> Już w wątku padło, że największym podejrzanym jest Total Commander.
> Mogę tylko potwierdzić z autopsji. Najsłabszym ogniwem jest zawsze
> człowiek. W tym wypadku autor programu oraz użytkownik.

Zadziwia mnie ilu jest pasjonatów, którym chce się hodować i łapać
wirusy. To budzi nadzieję, że jednak jest wielu userów, których stać na
aktywność wykraczającą poza tępe klikanie w obrazki.

R.
-- 
Tą bronią zabójczą są media, które robią ludziom wodę z mózgu. I tą bronią
   macie walczyć i zwyciężać. (kpt. Z. Sulatycki do uczniów WSKSiM)

On Sun, 22 May 2011 22:52:47 +0200 Michal Jankowski <michalj@fuw.edu.pl> wrote:
> Konrad Stepien <konrad@sekator.interdata.net.pl> writes:
>> Jest. Izolowanie userów tak bardzo jak się da. W koncu jeśli taki trojan zrobi
>> kuku tylko userowi, to jest jego problem. Albo się nauczy, albo obrazi i pójdzie
>> gdzieś indziej (gdzie będzie miał powtórkę z rozrywki).
>> Problem jest w tym jak skutecznie izolować. Bo taki trojan może np. wrzucić
>> kod spamujący, przez co można wpaść na różne spamlisty itp.
> No właśnie. Przedzielenie każdemu userowi osobnego serwera maili z
> osobnym IP jakoś wydaje się nieosiągalne.

IPv6?

R.
-- 
Tą bronią zabójczą są media, które robią ludziom wodę z mózgu. I tą bronią
   macie walczyć i zwyciężać. (kpt. Z. Sulatycki do uczniów WSKSiM)

On 2011-05-27, Rafał Maszkowski <rzm@icm.edu.pl> wrote:
> On Thu, 12 May 2011 19:32:33 +0200 Marcin Kulas <hit@kropka.net> wrote:
>> Robert Jaroszuk wrote:
>> ogólnie. Klienci, z których jest najmniejszy zysk, narzekają najczęściej.
>> I z drugiej strony: klientów kumatych, którzy przejawiają umiejętność
>> czytania ze zrozumieniem, mozna policzyć na palcach.
>
> Przyszło mi do głowy, że instrukcje dla użytkowników powinny być pisane
> w formie komiksów (z małą liczba dialogów). A może zamieszczać filmy?
> Kliknij i obejrzyj film o tym, jak nasz administrator, w dziwnym
> kapeluszu na głowie, konfiguruje SFTP!

No, wideotutoriale się mnożą. Mnie to osobiście wkurza, bo z takiego tutka
np. nie da się przekleić tekstu. Ale widać dla ZU to jest jakiś sposób.
Z komiksami też dobry pomysł, np. instrukcje do drukarek takie trcohę
komiksowe są, dużo obrazków, mało tekstu.

-- 
Konrad Stępień

On 30.05.2011 01:53, Konrad Stepien wrote:
> On 2011-05-27, Rafał Maszkowski <rzm@icm.edu.pl> wrote:
>> On Thu, 12 May 2011 19:32:33 +0200 Marcin Kulas <hit@kropka.net> wrote:
>>> Robert Jaroszuk wrote:
>>> ogólnie. Klienci, z których jest najmniejszy zysk, narzekają najczęściej.
>>> I z drugiej strony: klientów kumatych, którzy przejawiają umiejętność
>>> czytania ze zrozumieniem, mozna policzyć na palcach.
>>
>> Przyszło mi do głowy, że instrukcje dla użytkowników powinny być pisane
>> w formie komiksów (z małą liczba dialogów). A może zamieszczać filmy?
>> Kliknij i obejrzyj film o tym, jak nasz administrator, w dziwnym
>> kapeluszu na głowie, konfiguruje SFTP!
> 
> No, wideotutoriale się mnożą. Mnie to osobiście wkurza, bo z takiego tutka
> np. nie da się przekleić tekstu. Ale widać dla ZU to jest jakiś sposób.
> Z komiksami też dobry pomysł, np. instrukcje do drukarek takie trcohę
> komiksowe są, dużo obrazków, mało tekstu.
> 

Taa, kiedyś w instrukcji do RS-6000 (jakby ktoś nie pamiętał, to był
taki uniksowy serwer IBM na PowerPC) 3 strony były zajęte rysunkami jak
obsługiwać mysz.

-- 
wer <",,)~~
http://szumofob.eu

On 2011-05-30, bofh@nano.pl <bofh@nano.pl> wrote:
> On 30.05.2011 01:53, Konrad Stepien wrote:
>> On 2011-05-27, Rafał Maszkowski <rzm@icm.edu.pl> wrote:
>>> On Thu, 12 May 2011 19:32:33 +0200 Marcin Kulas <hit@kropka.net> wrote:
>>>> Robert Jaroszuk wrote:
>>>> ogólnie. Klienci, z których jest najmniejszy zysk, narzekają najczęściej.
>>>> I z drugiej strony: klientów kumatych, którzy przejawiają umiejętność
>>>> czytania ze zrozumieniem, mozna policzyć na palcach.
>>>
>>> Przyszło mi do głowy, że instrukcje dla użytkowników powinny być pisane
>>> w formie komiksów (z małą liczba dialogów). A może zamieszczać filmy?
>>> Kliknij i obejrzyj film o tym, jak nasz administrator, w dziwnym
>>> kapeluszu na głowie, konfiguruje SFTP!
>> 
>> No, wideotutoriale się mnożą. Mnie to osobiście wkurza, bo z takiego tutka
>> np. nie da się przekleić tekstu. Ale widać dla ZU to jest jakiś sposób.
>> Z komiksami też dobry pomysł, np. instrukcje do drukarek takie trcohę
>> komiksowe są, dużo obrazków, mało tekstu.
>
> Taa, kiedyś w instrukcji do RS-6000 (jakby ktoś nie pamiętał, to był
> taki uniksowy serwer IBM na PowerPC) 3 strony były zajęte rysunkami jak
> obsługiwać mysz.

Oooo fajnie, akurat nabyłem sobie RS-6000 po cenie złomu, ale bez instrukcji.
Tak BTW bardzo fajna maszyna, tylko trochę za dużo prądu żre żeby ją
produkcyjnie wykorzystać. Za to wygląda imponująco, PC-ty nawet rackowe
to już nie to samo.

-- 
Konrad Stępień

W dniu 2011-05-21 15:21, Szymon Sokół pisze:
> On Sat, 21 May 2011 14:08:11 +0200, Sylwester Zarêbski wrote:
> 
>> Dnia Sat, 21 May 2011 01:56:00 +0200, Michoo napisał(a):
>>
>>> W dniu 20.05.2011 17:23, Konrad Stepien pisze:
>>>> On 2011-05-19, Michoo<michoo_news@vp.pl>  wrote:
>>>>> W sumie może to i jest dobry pomysł - nie wpuszczać total commandera i
>>>>> udostępnić userom poprawioną wersję winscp z zapakowanym do środka kluczem.
>>>> Tylko jak masz zamiar "nie wpuścić total commandera"?
>>> Wyciąć FTP.
>>
>> ROTFL. BP,ANMSP.
>>
>> A serio, propozycja jest kompletnie nieprzystająca do rzeczywistości, bo
>> protokoły SCP/SFTP są kompletnym marginesem w porównaniu do FTP. FTP,
>> owszem, jest skopany z zasady, ale nie ma dziś żadnej sensownej
>> alternatywy. Wspomniane "zamienniki" są propozycją dla geeków, a nie ZU,
> 
> No cóż. Nie wiem, czy te 30000 studentów (i 4000 pracowników) AGH to
> wyłącznie geeki, ale my FTP wyłączyliśmy i dostęp do serwerów dajemy po
> SCP/SFTP. Użytkownicy jakoś z tym żyją.
> 
Gratuluję sukcesu. Jednak nie na wszystkich nawet uczelniach (nawet w
tym samym mieście) możliwe jest to do osiągnięcia. problem trafia na
jakiegoś pracownika rektoratu, bądź biura prasowego i już staje się
polityczny...

Poza tym, Szymonie nawet wycinając wszedzie FTP - nie masz pewności że,
o ile hasło do ulubionego konta nie będzie brzmiało "Niusia123", i tak
zostanie zapisane, najlepiej w pliku \!\!Ważne\Hasła.txt na pulpicie
albo w mailu - wraz z danymi konta. A czasem nawet jesli będzie brzmiało
"Niusia123"....

Ostatnio wyłapałem podobną sytuację - radosnego uzywania zainfekowanego
komputera (bo co ten tam antywirus jakaiś sie pluje - ja wiem lepiej)
przez co cały serwis jednego z kół studenckich został miło ochrzczony
dodatkami zaczynającymi się od gzip_inflate ...

Pozdrawiam
serdecznie

markooff