Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Утечка идентификаторов пользователя через встроенный в брауз..., opennews (??), 28-Дек-17, (0) [смотреть все] Вот и какой я теперь анонимус , Аноним (-), 14:51 , 28-Дек-17, (2) +26 // и какая это новость , EHLO (?), 16:01 , 28-Дек-17, (16) +1 тор браузер говорили они , rshadow (ok), 16:12 , 28-Дек-17, (19) +4 // Через тор и другие полезные для корреляции косвенные штуки утекают, как у нас ту, Michael Shigorin (ok), 18:26 , 28-Дек-17, (33) –9 Никакой Вот потому никогда в браузерах пароли не сохраняю , ryoken (ok), 07:06 , 29-Дек-17, (69) +2 // не переживайте, все равно вас идентифицируют, koblin (ok), 14:20 , 29-Дек-17, (90) +3 // Вопрос в том кто, когда, как и с какой достоверностью , Аноним (-), 04:40 , 30-Дек-17, (102) +1 Ну, чисто теоретически чинится просто - надо заполнять поля только когда в них п, Crazy Alex (ok), 14:55 , 28-Дек-17, (3) +1 // Opera Magic Wand, вставляет пароль при нажатии на кнопку Всё уже было в Opera , Аноним (-), 15:13 , 28-Дек-17, (5) +15 // А ведь точно, я и забыл уже, Crazy Alex (ok), 15:50 , 28-Дек-17, (12) Точно, было Хороший был браузер С 5 по 12 версий , Аноним (-), 18:17 , 28-Дек-17, (30) +10 // С рекламой - в 7-ой точно, Аноним (-), 12:23 , 29-Дек-17, (85) Расширение для ФФ с таким же поведениемhttps firefox add0n com secure-login ht, Аноним (-), 13:08 , 30-Дек-17, (106) +1 Не зря я не пользовался встроенными запоминалками паролей , Аноним (-), 14:57 , 28-Дек-17, (4) +8 // Не зря я юзаю хромиум, Аноним (-), 19:33 , 28-Дек-17, (43) –3 // Который делает то же самое, только после клика по странице , Аноним (-), 19:56 , 28-Дек-17, (45) +4 Палю тему - запоминайте пароль с парой недостающих или лишних символов и тогда н, Аноним (-), 15:15 , 28-Дек-17, (6) –3 // Какая разница Вы -то для таргетинга один и тот же Что с буквами, что с недост, Аноним (-), 15:28 , 28-Дек-17, (7) +2 // Цель атаки - запомненный хэш пароля из Менеджера ,таргетинг это маленькая непри, pavlinux (ok), 15:40 , 28-Дек-17, (11) –2 // Заполненный весь пароль, а не хеш Но подставляется только на этом сайте где был , Анм (?), 17:13 , 28-Дек-17, (25) Знаю ещё один способ обмануть таргетинг я сам был в ахуе, когда узнал пароль , iZEN (ok), 20:42 , 28-Дек-17, (49) –4 Логин обычно не является чем-то секретным, так что в зависимости от сайта сторон, Гентушник (ok), 15:37 , 29-Дек-17, (91) В менеджере паролей запоминаются логин и пароль, привязанные к сайту, на котором, iZEN (ok), 20:51 , 28-Дек-17, (52) –1 Последнее время наблюдаю таргетирование по IP, ох как мне любят показывать дет, Аноним (-), 10:43 , 09-Янв-18, (115) Шо, вместо , запоминать Один сайт - одна виртуалка, а лучше комп , pavlinux (ok), 15:33 , 28-Дек-17, (10) +8 // Может Qubes наконец взлетит , whiteout (?), 11:18 , 29-Дек-17, (81) с отдельным IP из отдельного датацентра в отдельном города выделенной страны на , Аноним (-), 10:44 , 09-Янв-18, (116) Так там ПОКА ЕЩЁ не в пароле дело, а в утащенном адресе мыла , ryoken (ok), 07:07 , 29-Дек-17, (70) есть ещё и более-менее постоянный ip адрес Для идентификации пользователя доста, DmA (??), 08:45 , 29-Дек-17, (74) Минутку, но ведь пользователь зарегистрирован на этом сайте и скорее всего лишь , Аноним (-), 15:32 , 28-Дек-17, (8) +2 // Или не хочет логиниться, Crazy Alex (ok), 15:52 , 28-Дек-17, (13) –2 // Заставить, pavlinux (ok), 15:56 , 28-Дек-17, (15) +2 // Ну раз логин и пароль скрипт может получить, то можно сразу и залогинить пользов, Гентушник (ok), 15:41 , 29-Дек-17, (92) И спам от его имени автоматом отправить Ты только что почти изобрел спамеров , Аноним (-), 04:59 , 30-Дек-17, (104) Огромная часть сайтов продаёт место, а за содержимым не следит , Аноним (-), 10:46 , 09-Янв-18, (117) В FF по клику выпадает список Автоматом не заполняет , Аноним (-), 15:32 , 28-Дек-17, (9) +1 // Это если у тебя несколько вариантов запомнено Если один - подставляет сразу, Crazy Alex (ok), 15:52 , 28-Дек-17, (14) +2 // Не совсем По клику выпадает form history https support mozilla org ru kb upra, Аноним (-), 17:57 , 28-Дек-17, (29) +1 Что там насчёт Pale Moon https github com MoonchildProductions Pale-Moon issu, Аноним (-), 16:07 , 28-Дек-17, (17) +2 // Да что - подвержен, конечно , Crazy Alex (ok), 18:25 , 28-Дек-17, (32) +2 // Таки да https github com MoonchildProductions Pale-Moon issues 1559 issueco, Аноним (-), 04:00 , 29-Дек-17, (68) Так там же и написано решение предложенное выше - заполнять, когда кликнул на, ойой (?), 12:23 , 29-Дек-17, (84) В Pale Moon уже пофиксили - отключили автозаполнение по умолчанию - https git, Аноним (-), 19:30 , 29-Дек-17, (100) Утечка идентификаторов пользователя через встроенный в брауз..., Дуплик (ok), 16:07 , 28-Дек-17, (18) –3 // Ну если ты не хранишь пароли в браузере, ты либо хранишь пароли на листочке, либ, Отражение луны (ok), 16:37 , 28-Дек-17, (23) // А так хорошо начинали Пароли, сохраненные в браузере, не зашифрованы каким-то , XoRe (ok), 16:56 , 28-Дек-17, (24) // В фаерфоксе зашифрованы мастер паролем, в хроме и наверно клонах пароли в реесте, Анм (?), 17:16 , 28-Дек-17, (27) +2 В хроме и хромоподобных пароли открытым текстом лежат в БД SQLite Enjoy ё безоп, Вася (??), 12:52 , 29-Дек-17, (88) начинать тут надо с модели угроз Если мы подразумеваем более-менее обновляющийс, Crazy Alex (ok), 18:23 , 28-Дек-17, (31) +2 Стырили ноут телефон , XoRe (ok), 01:06 , 29-Дек-17, (66) В этом случае лучше полное шифрование на уровне ФС или блочного устройства, ибо , Гентушник (ok), 15:51 , 29-Дек-17, (95) В Сафари и ФФ зашиврованы , Аноним (-), 18:56 , 28-Дек-17, (35) –2 Для этого есть encfs , user (??), 22:19 , 28-Дек-17, (56) Хинт Firefox FIPS-140 , PnDx (ok), 12:28 , 29-Дек-17, (87) В FF есть мастер пароль Плюс можно синхронизировать пароли между девайсами на ко, Гентушник (ok), 15:49 , 29-Дек-17, (94) Не совсем Хром хранит пароли в гном кейринге Ты можешь настроить его так, что , Отражение луны (ok), 15:51 , 29-Дек-17, (96) +1 Как связана запоминаемость пароля и устойчивость к подбору Например есть пароль, ryoken (ok), 07:11 , 29-Дек-17, (71) –1 // Один такой пароль - можно Десятки - нет Твой вариант - один пароль для множест, Отражение луны (ok), 15:48 , 29-Дек-17, (93) Основная проблема хранения паролей в файле - то, что они проходят через буфер об, Отражение луны (ok), 15:55 , 29-Дек-17, (97) Это спорно В буфере обмена может быть что угодно а в менеджере паролей заведомо, Аноним (-), 05:04 , 30-Дек-17, (105) Однако, исправно обламываются о мастер-пароль Чтобы стырить пароли, малвари нуж, Аноним84701 (ok), 16:43 , 30-Дек-17, (112) почему же тогда мой фурефокс не ведет себя столь постыдным образом, а вставляет , Аноним (-), 16:13 , 28-Дек-17, (20) +1 // Возможно дело в настройках не по умолчанию , ойой (?), 12:25 , 29-Дек-17, (86) Тем веселее, кстати, смотрится недавняя новость о новом менеджере паролей в фаер, Аноним (-), 16:37 , 28-Дек-17, (22) +1 Господи да вот вам идея для авторизации на сатйах опишите ее кто-нибдуь в RFC, а, Аноним (-), 17:16 , 28-Дек-17, (26) –1 // Кажется, Вы описали клиентские сертификаты Это уже есть в браузере и использует, Аноним (-), 19:17 , 28-Дек-17, (41) +1 у меня была идея получше, но это как оказалось был велосипед, Аноним (-), 01:16 , 30-Дек-17, (101) JavaScript Было бы смешно Если бы не навевало Тоску И грусть Вот между проч, Анонимный Алкоголик (??), 04:47 , 30-Дек-17, (103) безопасность уровня фаерфопс В Chrome с этим все в порядке -- требуется явно кл, Аноним (-), 17:38 , 28-Дек-17, (28) –3 // Разницы никакой, Crazy Alex (ok), 18:27 , 28-Дек-17, (34) Так это же всё меняет , Аноним (-), 19:00 , 28-Дек-17, (38) Если я правильно понимаю, имелся в виду любой клик на странице, а не на форме вв, Аноним (-), 19:23 , 28-Дек-17, (42) // Да , Аноним (-), 19:58 , 28-Дек-17, (46) –1 А скриптовый клик прокатит , rpm (?), 00:25 , 29-Дек-17, (65) +2 // А что на 99 9 прозрачная форма поверх всего уже не катит в качестве ловушки для, КО (?), 10:17 , 29-Дек-17, (79) А зачем Юзер и так тыкнет в какое-то место, никаких прозрачных ловушек не надо , Аноним (-), 11:41 , 29-Дек-17, (82) Пользователь, зарегистрировавшийся на сайте с определенным идентификатором, види, Аноним (-), 18:59 , 28-Дек-17, (37) +8 // Более того, и бороться с этим бесполезно, т к если у тебя на сайте в профиле вве, vitalif (ok), 20:42 , 28-Дек-17, (50) // Тут как бы весь цимес в том что пользователь идентифицируется даже если он на са, Гентушник (ok), 15:56 , 29-Дек-17, (98) NoScript успешно спасает от этих проблем Даже если разрешить выполнение скрипто, Ordu (ok), 21:06 , 28-Дек-17, (55) // Хватит форсить этот древний бренд Давеча на форчане появились малварные домены , Аноним (-), 22:36 , 28-Дек-17, (57)   // Их только юматрикс блокирует Или, например, адблок-плюс тоже может , Аноним (-), 23:46 , 28-Дек-17, (61)   // ABP может наверное, юблок точно может , но проблема в том, что там блеклист с , Аноним (-), 01:15 , 29-Дек-17, (67)   И даже если ты разрешил Наконец-то понял, для чего сайты запршивают капчю с доро, DmA (??), 08:56 , 29-Дек-17, (75)   А сайт и рад - чел с блокировщиком рекламы и слежки дохода не приносит, а ресурс, Аноним (-), 13:38 , 30-Дек-17, (108) –1   Спасибо В Adblock-plus блеклист с вайтлистом я не использую, потому что они уж, Аноним (-), 10:30 , 29-Дек-17, (80)   124 124 example com js main js или 124 124 example com scriptНо есть е, Аноним (-), 11:49 , 29-Дек-17, (83)   Спасибо , Аноним (-), 18:34 , 29-Дек-17, (99) –1   Что ж ты так переживаешь, что кто-нибудь что-нибудь зафорсит, да тебя не спросит, Ordu (ok), 00:15 , 29-Дек-17, (62) –1   В Firefox about configsignon autofillForms - falsehttp kb mozillazine org Sig, Аноним (-), 23:34 , 28-Дек-17, (58) 1 Не использовать менеджер паролей 2 Использовать для электронной почты отдель, Аноним (-), 23:37 , 28-Дек-17, (59) +1 // почтовый клиент, ryoken (ok), 07:16 , 29-Дек-17, (72) –1 в firefox есть контейнеры, Аноним (-), 13:43 , 30-Дек-17, (110) +1 Давно отключаю в Firefox запоминание истории, не фиг мой диск изнашивать всякими, DmA (??), 08:42 , 29-Дек-17, (73) Мозиле фундешен нужно разок проучить всех пользователей Firefox добавить в как, DmA (??), 09:04 , 29-Дек-17, (76) –2 // А ещё лучше не только сохранённых паролей, но и вводимых пользователем без сохра, DmA (??), 13:44 , 29-Дек-17, (89) между действительностью и её описанием всегда есть глубокий разлом, переполненны, Аноним (-), 13:30 , 30-Дек-17, (107) i Bы сели за компьютер - значит вы собираетесь какую-то информацию о себе повед, eganru (?), 13:40 , 30-Дек-17, (109) +1 // На себя стучишь , Аноним (-), 13:44 , 30-Дек-17, (111) Какие будут ваши предложения Не сохранять пароли, это первое правило Отчищать , Аноним (-), 09:54 , 31-Дек-17, (114) Кто ими пользуется ССЗБ , Аноним (-), 09:50 , 31-Дек-17, (113) 2,3,4,6,8,9,17,18,20,22,26,28,37,55,58,59,73,76,113

Сообщения

[Сортировка по времени | RSS]

	57. "Утечка идентификаторов пользователя через встроенный в брауз..."	+/–
	Сообщение от Аноним (-), 28-Дек-17, 22:36
	Хватит форсить этот древний бренд. Давеча на форчане появились малварные домены. Утята с носкриптом удивлялись, почему это у них не ломается вёрстка, а юзеры юматрикса жалуются и шумиху поднимают. Наивно вякая: да не разрешайте сторонние скрипты и всё ок. А разгадка одна: носкрипт не блочит XHR запросы, а суть была именно в них, никаких скриптов с тех малварных доменов не тянулось, всё чисто на родных скриптах форчана (и если левые домены не отвечали на XHR запросы, свои скрипты ломали css сайта). И утята, посещая форчан и разрешая 1st-party скрипты, делают те же запросы, что и люди без носкрипта.
	Ответить | Правка | Наверх | Cообщить модератору

	61. "Утечка идентификаторов пользователя через встроенный в брауз..."	+/–
	Сообщение от Аноним (-), 28-Дек-17, 23:46
	>носкрипт не блочит XHR запросы Их только юматрикс блокирует? Или, например, адблок-плюс тоже может?
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Утечка идентификаторов пользователя через встроенный в брауз..."	+/–
	Сообщение от Аноним (-), 29-Дек-17, 01:15
	ABP может (наверное, юблок точно может), но проблема в том, что там блеклист (с вайтлистом). И новых доменов в фильтрах не будет, как не было сейчас в случае с форчаном. Суть юматрикса и аналогов (Request Policy, покойный Policeman) в подходе source-destination и 1st-party/3rd-party, а не конкретных фильтрах на основе доменов/url. Дефолтные настройки юматрикса разрешают из 3rd-party только css и картинки, всё остальное (отправка кук, аудио-видео, плагины, скрипты, XHR (и вебсокеты), фреймы и оставшиеся запросы, не попавшее в существующие категории) запрещено. И даже если ты разрешил на условном форчане скрипты и XHR гугла, для работы рекапчи, то когда там внезапно появляются новые левые домены, ты от них по дефолту защищён. Носкрипт же может блочить (говорю про старую версию, новым не пользовался) скрипты, фреймы, плагины, аудио-видео, шрифты и webgl. Но не XHR, куки и сетевые запросы без категорий. Может он может что-то ещё через ABE-правила, но кто их использует-то? И дополнительный его фейл был в том, что он рулил скриптами только на основании destination, без source. Т.е. если ты разрешил где-то example.com (на нём самом или на example.org), то он будет разрешён везде. Касается и постоянных, и временных правил (из-за чего временные очень желательно очищать в нём вручную). Весьма весёлая фича. Предсказывая возможный коммент с волшебными базвордами носкрипта (XSS, clickjacking), отправляю читать это: https://github.com/gorhill/uMatrix/issues/297#issuecomment-1... > Clickjacking = Blocking third party frames > As far as XSS is concerned, there are a myriad of techniques for it, most of which rely on scripts, frames and browser exploits (one could in theory execute JavaScript via HTML IMG tags, but browsers no longer allow that to happen). > The only thing NoScript has on uMatrix (which does not make up for its deficiencies and lower performance) is the feature referred to as 'surrogate scripts'. Essentially mirroring a library, or a modified version of a given library (e.g. mootools, or jquery). uBlock used to have this.
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Утечка идентификаторов пользователя через встроенный в брауз..."	+/–
	Сообщение от DmA (??), 29-Дек-17, 08:56
	И даже если ты разрешил > на условном форчане скрипты и XHR гугла, для работы рекапчи, то > когда там внезапно появляются новые левые домены, ты от них по > дефолту защищён. Наконец-то понял, для чего сайты запршивают капчю с дорожными знаками и фасадами зданий :) - чтобы я этого сайта скрипты и XHR разрешил хотя бы временно в своём  uMatrix :) В общем, если встретите капчю "а ля дорожные знаки", то бегите с этого сайта!
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Утечка идентификаторов пользователя через встроенный в брауз..."	–1 +/–
	Сообщение от Аноним (-), 30-Дек-17, 13:38
	А сайт и рад - чел с блокировщиком рекламы и слежки дохода не приносит, а ресурсы сервера тратит. Вот только с такими замашками вообще от инета надо отключаться, потому что удаком быть выгоднее, и кто не будет использовать малейшую возможность использовать что-то для потенциальной выгоды проиграет конкурентам, обанкротится и вылетит с рынка на йух. Рыночек порешал. Естественный отбор в действии.
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Утечка идентификаторов пользователя через встроенный в брауз..."	+/–
	Сообщение от Аноним (-), 29-Дек-17, 10:30
	Спасибо! В Adblock-plus блеклист (с вайтлистом) я не использую, потому что они уж очень большие, а блокирую вручную то, что мешает, как мне кажется. Т.е. всякие лишние картинки. Или открываю Open blockable items и смотрю там, что можно заблокировать, в т.ч. скрипты и xss, хотя из-за последнего может нарушаться разметка. Куки у меня разрешены только на сайтах, где я авторизуюсь. Вопрос (извините, я не специалист): как через Adblock-plus найти и вручную заблокировать шпионские скрипты и XHR?
	Ответить | Правка | К родителю #67 | Наверх | Cообщить модератору

	83. "Утечка идентификаторов пользователя через встроенный в брауз..."	+/–
	Сообщение от Аноним (-), 29-Дек-17, 11:49
	> Вопрос (извините, я не специалист): как через Adblock-plus найти и вручную заблокировать шпионские скрипты ||example.com/js/main.js или ||example.com/*$script Но есть ещё инлайн-скрипты. > и XHR? Только полностью домен блокировать ||example.com^ С 1st-party XHR не получится блокировать (это только в юматриксе видел). Лучше юблок, юматрикс или RP юзать для этого. С ABP какое-то извращение.
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Утечка идентификаторов пользователя через встроенный в брауз..."	–1 +/–
	Сообщение от Аноним (-), 29-Дек-17, 18:34
	>> Вопрос (извините, я не специалист): как через Adblock-plus найти и вручную заблокировать шпионские скрипты > ||example.com/js/main.js или ||example.com/*$script > Но есть ещё инлайн-скрипты. >> и XHR? > Только полностью домен блокировать ||example.com^ > С 1st-party XHR не получится блокировать (это только в юматриксе видел). > Лучше юблок, юматрикс или RP юзать для этого. С ABP какое-то извращение. Спасибо!
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Утечка идентификаторов пользователя через встроенный в брауз..."	–1 +/–
	Сообщение от Ordu (ok), 29-Дек-17, 00:15
	> Хватит форсить этот древний бренд. Что ж ты так переживаешь, что кто-нибудь что-нибудь зафорсит, да тебя не спросит? Вся жизнь -- игра^W информационная война? Хочешь я тебе подкину пару ресурсов, которые специализированы на осасывании информационных военов из прочих частей интернета -- им там весело жить таким воюющим концентратом, и другим они при этом не столь мешают. Всем хорошо.
	Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема