The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Метод создания фиктивных отпечатков пальцев для разблокировк..., opennews (??), 12-Май-17, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


33. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +1 +/–
Сообщение от Аноним (-), 12-Май-17, 13:04 
> Может будут убирать с телефонов эти ненавистные сканеры.

У меня есть старый планшет без сканера и более новый телефон со сканером. На обоих одни и те же программы с возможностью его использовать. И как же лятть я мучаюсь на планшете с этими паролями и пинами!
Уверен, что НЕ "будут убирать с телефонов эти ненавистные сканеры". Потому что это очень удобно.


Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

56. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  –1 +/–
Сообщение от Аноним (-), 12-Май-17, 15:24 
Ну что-же, бегите с удобством в свой цифровой концлагерь. Ради такого удобства все там и будете.
Ответить | Правка | Наверх | Cообщить модератору

61. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +/–
Сообщение от Аноним84701 (ok), 12-Май-17, 15:51 
> Ну что-же, бегите с удобством в свой цифровой концлагерь. Ради такого удобства все там и будете.

Ну вот я пользуюсь уже лет десять (в тинкпады их уже давно встраивают).
Очень удобно на десктопе для того же su/sudo или для разблокировки после сна, хватает простого "auth   sufficient   pam_fprintd.so"  в PAM и  вместо нудного вбивания паролей достаточно провести пальцем по считывалке.
Данные хранятся  в ~/.fprint, ну и скорее всего, в самом сканере.

Это просто дополнительный метод аутентификации, не требующий каких-то паролей в открытом виде (в отличие от "грамотно спроектированных систем и софта", привет  с джиням.длл и окошкам, как минимум, вплоть до седьмой версии :) ). В чем тут "цифровой концлагерь" -- не ясно. Мусью слышал звон, да не засек, откуда он?


Ответить | Правка | Наверх | Cообщить модератору

66. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +/–
Сообщение от Michael Shigorinemail (ok), 12-Май-17, 16:26 
> Ну вот я пользуюсь уже лет десять (в тинкпады их уже давно встраивают).

Когда там в багтраке пробегала демонстрация аутентификации по холодному отпечатку -- не помню уже, а только идея оставлять "пароль" на всей полированной мебели мне как-то изначально показалась непривлекательной.

Ответить | Правка | Наверх | Cообщить модератору

72. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +/–
Сообщение от Аноним84701 (ok), 12-Май-17, 18:07 
>> Ну вот я пользуюсь уже лет десять (в тинкпады их уже давно встраивают).
> Когда там в багтраке пробегала демонстрация аутентификации по холодному отпечатку -- не
> помню уже,

*пожимая плечами* Да в курсе я, в курсе.
Вот, пожалуйста:
http://www.instructables.com/id/How-To-Fool-a-Fingerprint-Se...-/

> а только идея оставлять "пароль" на всей полированной мебели
> мне как-то изначально показалась непривлекательной.

По моему, вы слишком категоричны.
Еще раз: это НЕ пароль. Не стоит путать теплое с мягким.
Моим отпечатком вы _не расшифруете_ хомяк и не подмените мои мастер-пароли в claws/keepass/GPG.

А еще, требуется качественный отпечаток плюс физический доступ к машинке, т.е. нужно хорошенько пошариться у меня дома (и если кто-то готов на это пойти, то возможность разблокировки экрана злоумышленником будет самой меньшей из моих проблем. Тем более, тогда можно вспомнить про скрытые камеры, прослушки и аппаратные кейлоггеры вкупе с ректальным криптоанализом) или  совершить кучу не менее подозрительных телодвижений на рабочем месте,  причем, с сомнительным результатом.
Поэтому да, чисто теоретически оно обходится. А на практике, в _моих_ юзкейзах и, что не менее важно, окружении – особо не влияет на безопасность.

Ответить | Правка | Наверх | Cообщить модератору

75. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  –4 +/–
Сообщение от Аноним (-), 12-Май-17, 18:22 
Хорошо ангажированную недоучку отбрил.


Ответить | Правка | Наверх | Cообщить модератору

80. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +1 +/–
Сообщение от пох (?), 12-Май-17, 20:40 
> Вот, пожалуйста:

оно очень ненадежное - и только для оптического сенсора, которые нынче немодно.

>> а только идея оставлять "пароль" на всей полированной мебели
>> мне как-то изначально показалась непривлекательной.

хуже - на той самой мобиле/ноуте(у кого там еще не сенсорный экран - тот лох) которую у тебя и отжали.

> Еще раз: это НЕ пароль. Не стоит путать теплое с мягким.
> Моим отпечатком вы _не расшифруете_ хомяк и не подмените мои мастер-пароли в
> claws/keepass/GPG.

блин, ну а нафиг он нужен-то тогда, если это не sso, а какая-то бесполезная хрень?

> проблем. Тем более, тогда можно вспомнить про скрытые камеры, прослушки и

ну вот смысл отпечатков отчасти как раз в том, что они слегка нивелируют ничем не скрытые камеры (на меня вон, четыре смотрит. Смотрите-смотрите, лохи. Дро..у -то я под столом!)
(интересно, кому-то уже удавалось надежно стырить отпечаток прямо через камеру? В принципе-то, его хорошо видно)

> аппаратные кейлоггеры вкупе с ректальным криптоанализом) или  совершить кучу не
> менее подозрительных телодвижений на рабочем месте,  причем, с сомнительным

0. ждем твоего похода в сортир
1. прикладываем поддельный палец
2. nc -l highport | sh & clear
- чего тут куча и подозрительного?

> результатом.

да ну нафиг, ты через пять минут сольешь все свои секретные пароли сам - еще, может, к чему вне твоего ебеме подойдут?

> Поэтому да, чисто теоретически оно обходится. А на практике, в _моих_ юзкейзах
> и, что не менее важно, окружении – особо не влияет на
> безопасность.

на практике можно и ипхон не запирать - в конце-концов, все равно вряд ли пацаньчики его вернут.

Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

84. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +/–
Сообщение от Аноним84701 (ok), 12-Май-17, 22:03 
Вот же ж ... опеннет во всей его красе.

>> Вот, пожалуйста:
> оно очень ненадежное - и только для оптического сенсора, которые нынче немодно.

У меня именно такой.
И еще, дорогие мои Капитаны, насчет возможности обхода меня стебал еще коллега году в эдак 2009-2010, так что увы, ничего нового вы мне не рассказали.

> хуже - на той самой мобиле/ноуте(у кого там еще не сенсорный экран
> - тот лох) которую у тебя и отжали.

Дальше-то что? Пароль-то ваш тоже в той самой мебели, которую у вас отжали. Физический доступ со всеми вытекающими.
И если это воришки и прочие, и им повезло стянуть ноут из дома/c рабочего места (иначе оно -> ВЫКЛ.), то никто заморачиваться съемом отпечатков пальцев не будет, а уж после ребута вообще по барабану, кто там чего отпечатает, потому как хоум зашифрован, все второстепенные пароли в keepass, в claws пароли тоже все закрыты.  Кстати, в качесте ложки дегтя (плюнуть в рожу я ведь скорее всего не смогу), специально для такого случая включен "power-on-password".  Оно конечно не так секурно, как любит рекламировать ленова, но мастер-паролей вроде бы нет и просто отключением питания/батарейки оно тоже не "лечится".

А если это не воришки ... ну не знаю, АНБ за мной вроде бы не охотится, рептилоиды тоже, да и уязвимость против физического доступа со стороны организации или замотивированных и подготовленных индивидов, это все таки несколько иная ступень угрозы, да.

>> Еще раз: это НЕ пароль. Не стоит путать теплое с мягким.
>> Моим отпечатком вы _не расшифруете_ хомяк и не подмените мои мастер-пароли в
>> claws/keepass/GPG.
> блин, ну а нафиг он нужен-то тогда, если это не sso, а
> какая-то бесполезная хрень?

Я уже писал для чего.
И да, для sso по отпечатку нужно хранить пароли в незашифрованном виде, а это, как бы, две большие разницы.

>> т.е. нужно хорошенько пошариться у меня дома (и если кто-то готов на это пойти, то возможность разблокировки экрана злоумышленником будет самой меньшей из моих проблем. Тем более, тогда можно вспомнить про скрытые камеры, прослушки и аппаратные кейлоггеры вкупе с ректальным криптоанализом)
> ну вот смысл отпечатков отчасти как раз в том, что они слегка нивелируют ничем не скрытые камеры

Я так понимаю, читали вы по диагонали и просто повыдергивали понравившиеся места?

>> аппаратные кейлоггеры вкупе с ректальным криптоанализом) или  совершить кучу не
>> менее подозрительных телодвижений на рабочем месте,  причем, с сомнительным
> 0. ждем твоего похода в сортир
> 1. прикладываем поддельный палец
> 2. nc -l highport | sh & clear
> - чего тут куча и подозрительного?

Когда кто-то возится с чужим ноутом? Ну совсем ничего подозрительного, ага.
А вообще, вещи в целом без пригляда на долгое время не остаются.

Во вторых, та же схема:
0. подсыпаем слабительного завистлив^W гордому необладателю сканера
1. ждем спешнейшего забега в сортир
1.1a лока нет => профит!
1.1б успел поставить лок? => дампим раму
1.1б встраиваем аппаратный жучок
1.1б надуваем коня сферического


> да ну нафиг, ты через пять минут сольешь все свои секретные пароли
> сам - еще, может, к чему вне твоего ебеме подойдут?

Конечно-конечно.
Кстати, у меня еще пароль от доступа к конфигурации (только через LAN) домашнего роутера на бумажке  под оным хранится. Вот я лох, да? Любой АНБшник или рептилоид залезет, найдет и подключится!

>> Поэтому да, чисто теоретически оно обходится. А на практике, в _моих_ юзкейзах
>> и, что не менее важно, окружении – особо не влияет на
>> безопасность.
> на практике можно и ипхон не запирать - в конце-концов, все равно
> вряд ли пацаньчики его вернут.

Не сочтите за праздное любопытство, но зачем отдавать айфон "пацанчикам", если они его возвращать не собираются?

Ответить | Правка | Наверх | Cообщить модератору

87. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +/–
Сообщение от Аноним (-), 13-Май-17, 00:13 
> в claws пароли тоже все закрыты.

Можно полюбопытствовать, каким образом? Не видел в нём такой фичи.

Ответить | Правка | Наверх | Cообщить модератору

91. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +1 +/–
Сообщение от Аноним84701 (ok), 13-Май-17, 01:00 
>> в claws пароли тоже все закрыты.
> Можно полюбопытствовать, каким образом? Не видел в нём такой фичи.

Официально добавили не так давно:
https://www.opennet.ru/opennews/art.shtml?num=44933
> Изменён метод хранения паролей - все пароли теперь хранятся в отдельном файле
> ~/.claws-mail/passwordstorerc с применением шифрования (используется AES-256-CBC
> с мастер-паролем или сгенерированным ключом PASSCRYPT_KEY).

Опции => Other => Miscellaneous => "use a master password"

Неофициально все это давно хранилось зашифрованом виде с захардкоженым  ключом и, соответсвенно, велосипедилось при наличии базовых скилов в сишке, только влет:


# порылся, нашел, основной кусок из патча
+#include <openssl/blowfish.h>
...
+#include "../gtk/inputdialog.h"
+gchar masterpass[MASTER_PASS_LEN] = {0};
+void get_masterpass()
+{        
+        if (mlock(&masterpass,MASTER_PASS_LEN) !=0){
+                g_warning("Could not mlock 'masterpass' buffer");
+                exit(-1);
+        }
+        /* read masterpassword */
+        gchar *tmp_pass = input_dialog_query_password(NULL, "Claws-Mail");
+        if (tmp_pass == NULL){
+                g_warning("Empty 'masterpass'!");
+                exit(-1);
+        }
+        strncpy(masterpass, tmp_pass, sizeof(masterpass));   
+        bzero(tmp_pass, strlen(tmp_pass));
+        //g_free(tmp_pass);
+}
 void passcrypt_encrypt(gchar *password, guint len)
 {
-       crypt_cfb_buf(PASSCRYPT_KEY, password, len, 1, 0 );
+       crypt_cfb_buf(masterpass, password, len, 1, 0 );
 }
 
 void passcrypt_decrypt(gchar *password, guint len)
 {
-       crypt_cfb_buf(PASSCRYPT_KEY, password, len, 1, 1 );
+       crypt_cfb_buf(masterpass, password, len, 1, 1 );
 }

А вот если добавлять опцию в гуй и  прочие плюшки, типа замены пароля налету, то да, кода будет больше.
И да, основная проблема (была), к сожалению,  в мнении апстрима насчет "нужности":
http://lists.claws-mail.org/pipermail/users/2014-June/010161...
> Ricardo Mones
> > I suspect he wants CM alone to be password-protected, so it cannot be accessed when his session is active...
>  I guessed so, but if you don't protect the filesystem this would be
> as efective as chalking an inverted pentacle around your seat.

http://lists.claws-mail.org/pipermail/users/2014-June/010168...
> Colin Leroy
> > I suspect he wants CM alone to be password-protected, so it cannot be
> > accessed when his session is active...
> Well, in this case the active but abandonned session should be locked.
> Unix provides us with great tools to enhance security, we have no need
> to reinvent wheels and protect launch of arbitrary software via
>

Ответить | Правка | Наверх | Cообщить модератору

102. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +/–
Сообщение от Аноним (-), 13-Май-17, 23:49 
Спасибо! Буду обновлять, стало быть. Внутренний параноик ликует.
Ответить | Правка | Наверх | Cообщить модератору

90. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  –1 +/–
Сообщение от Раздолбай (?), 13-Май-17, 00:37 
> У меня именно такой.

даже с "таким" (при условии что ленова ничего не меняла в сенсоре пятнадцать лет, что вряд ли - хотя бы цветастых светодиодиков раньше не было) - ковырялись мы еще тогда, очень неудобно и ненадежно выходило. Статья как раз тем и интересна, что кто-то вынужден ковыряться с клеем и изолентой, без гарантий успеха, а у кого-то - правильный рисунок на пальце (приклеен, да ;-)

> Физический доступ со всеми вытекающими.

ты мягкое с теплым не путай - отжать у лоха мобилу/ноут "без цели сбыта"(а чо, я ж вернул!) - это хулиганство, отделаешься условным. Вламываться в квартиру - это уже совсем другая статья, сильно дороже выйдет. (дать лоху в процессе в ухо - бесценно...в смысле, пойдешь за разбой, "тяжкое", со всеми вытекающими, будьте осторожны при экспериментах). Такая вот она разная бывает, физика.

>> - чего тут куча и подозрительного?
> Когда кто-то возится с чужим ноутом?

ну мало ли - мимо проходил, а там обои нескучные, остановился поглазеть. "долгое время" для набирания этого однострочника вовсе не потребуется, это тебе не "дампим раму" (ну да, спасет что в линуксе nc обычно поломанный, но можно ж много чего еще понабирать с тем же результатом).

> Не сочтите за праздное любопытство, но зачем отдавать айфон "пацанчикам"

ну, обычно они быстро бегают, и больно дерутся.

Ну и да, это все писалось не к тому что сканеры плохи, а к тому что неплохо бы понимать, чего именно опасаться, полагаясь на сканер. Я вот совсем не хочу на таком ноуте какие-то пароли набирать (кроме специальных для этого ноута), отсутствие sso при полученном кем-то доступе к юзерской сессии уже не спасет - alias gpg=fake.gpg, и превед - сам же ты и скормишь свои пароли куда надо (заметим, после упомянутого однострочника не надо стоять рядом с ноутом, чтобы подложить тебе и поддельный бинарник, и алиасов в .profile, и много чего еще).

И да, хозяйке на заметку, от неожиданной надобности в сортир неплохо помогает nfc. (ну да, придется сменить устаревшую ленову на модный мак-про, или самому что-то колхозить) Минусы, надеюсь, тоже очевидны.


Ответить | Правка | К родителю #84 | Наверх | Cообщить модератору

92. "Метод создания фиктивных отпечатков пальцев для разблокировк..."  +/–
Сообщение от Аноним (-), 13-Май-17, 09:36 

> Тем более, тогда можно вспомнить про скрытые камеры, прослушки и
> аппаратные кейлоггеры вкупе с ректальным криптоанализом) или  совершить кучу не
> менее подозрительных телодвижений на рабочем месте,  причем, с сомнительным результатом.

А кто первый встал, того и тапки!

Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру