Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Утечка идентификаторов пользователя через встроенный в брауз..., opennews (??), 28-Дек-17, (0) [смотреть все] Вот и какой я теперь анонимус , Аноним (-), 14:51 , 28-Дек-17, (2) +26 // и какая это новость , EHLO (?), 16:01 , 28-Дек-17, (16) +1 тор браузер говорили они , rshadow (ok), 16:12 , 28-Дек-17, (19) +4 // Через тор и другие полезные для корреляции косвенные штуки утекают, как у нас ту, Michael Shigorin (ok), 18:26 , 28-Дек-17, (33) –9 Никакой Вот потому никогда в браузерах пароли не сохраняю , ryoken (ok), 07:06 , 29-Дек-17, (69) +2 // не переживайте, все равно вас идентифицируют, koblin (ok), 14:20 , 29-Дек-17, (90) +3 // Вопрос в том кто, когда, как и с какой достоверностью , Аноним (-), 04:40 , 30-Дек-17, (102) +1 Ну, чисто теоретически чинится просто - надо заполнять поля только когда в них п, Crazy Alex (ok), 14:55 , 28-Дек-17, (3) +1 // Opera Magic Wand, вставляет пароль при нажатии на кнопку Всё уже было в Opera , Аноним (-), 15:13 , 28-Дек-17, (5) +15 // А ведь точно, я и забыл уже, Crazy Alex (ok), 15:50 , 28-Дек-17, (12) Точно, было Хороший был браузер С 5 по 12 версий , Аноним (-), 18:17 , 28-Дек-17, (30) +10 // С рекламой - в 7-ой точно, Аноним (-), 12:23 , 29-Дек-17, (85) Расширение для ФФ с таким же поведениемhttps firefox add0n com secure-login ht, Аноним (-), 13:08 , 30-Дек-17, (106) +1 Не зря я не пользовался встроенными запоминалками паролей , Аноним (-), 14:57 , 28-Дек-17, (4) +8 // Не зря я юзаю хромиум, Аноним (-), 19:33 , 28-Дек-17, (43) –3 // Который делает то же самое, только после клика по странице , Аноним (-), 19:56 , 28-Дек-17, (45) +4 Палю тему - запоминайте пароль с парой недостающих или лишних символов и тогда н, Аноним (-), 15:15 , 28-Дек-17, (6) –3 // Какая разница Вы -то для таргетинга один и тот же Что с буквами, что с недост, Аноним (-), 15:28 , 28-Дек-17, (7) +2 // Цель атаки - запомненный хэш пароля из Менеджера ,таргетинг это маленькая непри, pavlinux (ok), 15:40 , 28-Дек-17, (11) –2 // Заполненный весь пароль, а не хеш Но подставляется только на этом сайте где был , Анм (?), 17:13 , 28-Дек-17, (25) Знаю ещё один способ обмануть таргетинг я сам был в ахуе, когда узнал пароль , iZEN (ok), 20:42 , 28-Дек-17, (49) –4 Логин обычно не является чем-то секретным, так что в зависимости от сайта сторон, Гентушник (ok), 15:37 , 29-Дек-17, (91) В менеджере паролей запоминаются логин и пароль, привязанные к сайту, на котором, iZEN (ok), 20:51 , 28-Дек-17, (52) –1 Последнее время наблюдаю таргетирование по IP, ох как мне любят показывать дет, Аноним (-), 10:43 , 09-Янв-18, (115) Шо, вместо , запоминать Один сайт - одна виртуалка, а лучше комп , pavlinux (ok), 15:33 , 28-Дек-17, (10) +8 // Может Qubes наконец взлетит , whiteout (?), 11:18 , 29-Дек-17, (81) с отдельным IP из отдельного датацентра в отдельном города выделенной страны на , Аноним (-), 10:44 , 09-Янв-18, (116) Так там ПОКА ЕЩЁ не в пароле дело, а в утащенном адресе мыла , ryoken (ok), 07:07 , 29-Дек-17, (70) есть ещё и более-менее постоянный ip адрес Для идентификации пользователя доста, DmA (??), 08:45 , 29-Дек-17, (74) Минутку, но ведь пользователь зарегистрирован на этом сайте и скорее всего лишь , Аноним (-), 15:32 , 28-Дек-17, (8) +2 // Или не хочет логиниться, Crazy Alex (ok), 15:52 , 28-Дек-17, (13) –2 // Заставить, pavlinux (ok), 15:56 , 28-Дек-17, (15) +2 // Ну раз логин и пароль скрипт может получить, то можно сразу и залогинить пользов, Гентушник (ok), 15:41 , 29-Дек-17, (92) И спам от его имени автоматом отправить Ты только что почти изобрел спамеров , Аноним (-), 04:59 , 30-Дек-17, (104) Огромная часть сайтов продаёт место, а за содержимым не следит , Аноним (-), 10:46 , 09-Янв-18, (117) В FF по клику выпадает список Автоматом не заполняет , Аноним (-), 15:32 , 28-Дек-17, (9) +1 // Это если у тебя несколько вариантов запомнено Если один - подставляет сразу, Crazy Alex (ok), 15:52 , 28-Дек-17, (14) +2 // Не совсем По клику выпадает form history https support mozilla org ru kb upra, Аноним (-), 17:57 , 28-Дек-17, (29) +1 Что там насчёт Pale Moon https github com MoonchildProductions Pale-Moon issu, Аноним (-), 16:07 , 28-Дек-17, (17) +2 // Да что - подвержен, конечно , Crazy Alex (ok), 18:25 , 28-Дек-17, (32) +2 // Таки да https github com MoonchildProductions Pale-Moon issues 1559 issueco, Аноним (-), 04:00 , 29-Дек-17, (68) Так там же и написано решение предложенное выше - заполнять, когда кликнул на, ойой (?), 12:23 , 29-Дек-17, (84) В Pale Moon уже пофиксили - отключили автозаполнение по умолчанию - https git, Аноним (-), 19:30 , 29-Дек-17, (100) Утечка идентификаторов пользователя через встроенный в брауз..., Дуплик (ok), 16:07 , 28-Дек-17, (18) –3 // Ну если ты не хранишь пароли в браузере, ты либо хранишь пароли на листочке, либ, Отражение луны (ok), 16:37 , 28-Дек-17, (23) // А так хорошо начинали Пароли, сохраненные в браузере, не зашифрованы каким-то , XoRe (ok), 16:56 , 28-Дек-17, (24) // В фаерфоксе зашифрованы мастер паролем, в хроме и наверно клонах пароли в реесте, Анм (?), 17:16 , 28-Дек-17, (27) +2 В хроме и хромоподобных пароли открытым текстом лежат в БД SQLite Enjoy ё безоп, Вася (??), 12:52 , 29-Дек-17, (88) начинать тут надо с модели угроз Если мы подразумеваем более-менее обновляющийс, Crazy Alex (ok), 18:23 , 28-Дек-17, (31) +2 Стырили ноут телефон , XoRe (ok), 01:06 , 29-Дек-17, (66) В этом случае лучше полное шифрование на уровне ФС или блочного устройства, ибо , Гентушник (ok), 15:51 , 29-Дек-17, (95) В Сафари и ФФ зашиврованы , Аноним (-), 18:56 , 28-Дек-17, (35) –2 Для этого есть encfs , user (??), 22:19 , 28-Дек-17, (56) Хинт Firefox FIPS-140 , PnDx (ok), 12:28 , 29-Дек-17, (87) В FF есть мастер пароль Плюс можно синхронизировать пароли между девайсами на ко, Гентушник (ok), 15:49 , 29-Дек-17, (94) Не совсем Хром хранит пароли в гном кейринге Ты можешь настроить его так, что , Отражение луны (ok), 15:51 , 29-Дек-17, (96) +1 Как связана запоминаемость пароля и устойчивость к подбору Например есть пароль, ryoken (ok), 07:11 , 29-Дек-17, (71) –1 // Один такой пароль - можно Десятки - нет Твой вариант - один пароль для множест, Отражение луны (ok), 15:48 , 29-Дек-17, (93) Основная проблема хранения паролей в файле - то, что они проходят через буфер об, Отражение луны (ok), 15:55 , 29-Дек-17, (97) Это спорно В буфере обмена может быть что угодно а в менеджере паролей заведомо, Аноним (-), 05:04 , 30-Дек-17, (105) Однако, исправно обламываются о мастер-пароль Чтобы стырить пароли, малвари нуж, Аноним84701 (ok), 16:43 , 30-Дек-17, (112) почему же тогда мой фурефокс не ведет себя столь постыдным образом, а вставляет , Аноним (-), 16:13 , 28-Дек-17, (20) +1 // Возможно дело в настройках не по умолчанию , ойой (?), 12:25 , 29-Дек-17, (86) Тем веселее, кстати, смотрится недавняя новость о новом менеджере паролей в фаер, Аноним (-), 16:37 , 28-Дек-17, (22) +1 Господи да вот вам идея для авторизации на сатйах опишите ее кто-нибдуь в RFC, а, Аноним (-), 17:16 , 28-Дек-17, (26) –1 // Кажется, Вы описали клиентские сертификаты Это уже есть в браузере и использует, Аноним (-), 19:17 , 28-Дек-17, (41) +1 у меня была идея получше, но это как оказалось был велосипед, Аноним (-), 01:16 , 30-Дек-17, (101) JavaScript Было бы смешно Если бы не навевало Тоску И грусть Вот между проч, Анонимный Алкоголик (??), 04:47 , 30-Дек-17, (103) безопасность уровня фаерфопс В Chrome с этим все в порядке -- требуется явно кл, Аноним (-), 17:38 , 28-Дек-17, (28) –3 // Разницы никакой, Crazy Alex (ok), 18:27 , 28-Дек-17, (34) Так это же всё меняет , Аноним (-), 19:00 , 28-Дек-17, (38) Если я правильно понимаю, имелся в виду любой клик на странице, а не на форме вв, Аноним (-), 19:23 , 28-Дек-17, (42) // Да , Аноним (-), 19:58 , 28-Дек-17, (46) –1 А скриптовый клик прокатит , rpm (?), 00:25 , 29-Дек-17, (65) +2 // А что на 99 9 прозрачная форма поверх всего уже не катит в качестве ловушки для, КО (?), 10:17 , 29-Дек-17, (79) А зачем Юзер и так тыкнет в какое-то место, никаких прозрачных ловушек не надо , Аноним (-), 11:41 , 29-Дек-17, (82) Пользователь, зарегистрировавшийся на сайте с определенным идентификатором, види, Аноним (-), 18:59 , 28-Дек-17, (37) +8   // Более того, и бороться с этим бесполезно, т к если у тебя на сайте в профиле вве, vitalif (ok), 20:42 , 28-Дек-17, (50)   // Тут как бы весь цимес в том что пользователь идентифицируется даже если он на са, Гентушник (ok), 15:56 , 29-Дек-17, (98)   NoScript успешно спасает от этих проблем Даже если разрешить выполнение скрипто, Ordu (ok), 21:06 , 28-Дек-17, (55) // Хватит форсить этот древний бренд Давеча на форчане появились малварные домены , Аноним (-), 22:36 , 28-Дек-17, (57) // Их только юматрикс блокирует Или, например, адблок-плюс тоже может , Аноним (-), 23:46 , 28-Дек-17, (61) // ABP может наверное, юблок точно может , но проблема в том, что там блеклист с , Аноним (-), 01:15 , 29-Дек-17, (67) И даже если ты разрешил Наконец-то понял, для чего сайты запршивают капчю с доро, DmA (??), 08:56 , 29-Дек-17, (75) А сайт и рад - чел с блокировщиком рекламы и слежки дохода не приносит, а ресурс, Аноним (-), 13:38 , 30-Дек-17, (108) –1 Спасибо В Adblock-plus блеклист с вайтлистом я не использую, потому что они уж, Аноним (-), 10:30 , 29-Дек-17, (80) 124 124 example com js main js или 124 124 example com scriptНо есть е, Аноним (-), 11:49 , 29-Дек-17, (83) Спасибо , Аноним (-), 18:34 , 29-Дек-17, (99) –1 Что ж ты так переживаешь, что кто-нибудь что-нибудь зафорсит, да тебя не спросит, Ordu (ok), 00:15 , 29-Дек-17, (62) –1 В Firefox about configsignon autofillForms - falsehttp kb mozillazine org Sig, Аноним (-), 23:34 , 28-Дек-17, (58) 1 Не использовать менеджер паролей 2 Использовать для электронной почты отдель, Аноним (-), 23:37 , 28-Дек-17, (59) +1 // почтовый клиент, ryoken (ok), 07:16 , 29-Дек-17, (72) –1 в firefox есть контейнеры, Аноним (-), 13:43 , 30-Дек-17, (110) +1 Давно отключаю в Firefox запоминание истории, не фиг мой диск изнашивать всякими, DmA (??), 08:42 , 29-Дек-17, (73) Мозиле фундешен нужно разок проучить всех пользователей Firefox добавить в как, DmA (??), 09:04 , 29-Дек-17, (76) –2 // А ещё лучше не только сохранённых паролей, но и вводимых пользователем без сохра, DmA (??), 13:44 , 29-Дек-17, (89) между действительностью и её описанием всегда есть глубокий разлом, переполненны, Аноним (-), 13:30 , 30-Дек-17, (107) i Bы сели за компьютер - значит вы собираетесь какую-то информацию о себе повед, eganru (?), 13:40 , 30-Дек-17, (109) +1 // На себя стучишь , Аноним (-), 13:44 , 30-Дек-17, (111) Какие будут ваши предложения Не сохранять пароли, это первое правило Отчищать , Аноним (-), 09:54 , 31-Дек-17, (114) Кто ими пользуется ССЗБ , Аноним (-), 09:50 , 31-Дек-17, (113) 2,3,4,6,8,9,17,18,20,22,26,28,37,55,58,59,73,76,113

Сообщения

[Сортировка по времени | RSS]

37. "Утечка идентификаторов пользователя через встроенный в брауз..."	+8 +/–
Сообщение от Аноним (-), 28-Дек-17, 18:59
Пользователь, зарегистрировавшийся на сайте с определенным идентификатором, видимо, доверяет этому сайту знать этот идентификатор. Соответственно, браузер правомерно автоматически подставляет его в формы на этом сайте. И если владельцы сайта допускают показ такой рекламы, вытягивающей доверенную пользователем информацию, значит владельцы сайта предали своих пользователей и вся вина лежит только на них. Это не уязвимость, а вопрос доверия. Можно ли доверять сайтам, которые позволяют рекламным сетям, лайкокнопкам и всяким аналитиксам собирать информацию о своих пользователях? Например, opennet.ru делится как минимум с Google, Facebook, Gravatar и Yandex.
Ответить | Правка | Наверх | Cообщить модератору

	50. "Утечка идентификаторов пользователя через встроенный в брауз..."	+/–
	Сообщение от vitalif (ok), 28-Дек-17, 20:42
	Более того, и бороться с этим бесполезно, т.к если у тебя на сайте в профиле введен емейл, точно так же можно его взять и на стороне сервера скормить рекламной сети. А при выходе запомнить в куках. Единственный момент - надо, конечно, сделать, чтобы в невидимые формы ничего не подставлялось. Но проблему отслеживания это не решит... Ну или уже по дефолту вообще всю информацию надо очищать, то есть перетаскивать функционал тор браузера в ФФ.
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Утечка идентификаторов пользователя через встроенный в брауз..."	+/–
	Сообщение от Гентушник (ok), 29-Дек-17, 15:56
	Тут как бы весь цимес в том что пользователь идентифицируется даже если он на сайт не залогинен и кукисы не сохраняет.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема