Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Утечка параметров аутентификации через незащищённые серверы ..., opennews (ok), 25-Мрт-18, (0) [смотреть все] Мораль такова, надо нормально настраивать конфиги демонов А ещё лучше обкатывать, AntonAlekseevich (ok), 22:25 , 25-Мрт-18, (1) –4   // Внезапный вывод Может поделишься с менее смышлёными, чем же так плох etcd на , Аноним (-), 00:48 , 26-Мрт-18, (19)   // Тем, что до версии 2 1 etcd не поддерживал аутентификацию, а в более новых выпус, Аноним (-), 01:55 , 26-Мрт-18, (22) +12   // Полно протаколов не поддерживающих аудантифирацию и шифрование и что Если очень , Аноним (-), 04:23 , 26-Мрт-18, (25) –1   Вы заставляете мои глаза кровоточить , XoRe (ok), 16:04 , 26-Мрт-18, (58) +9   etcd 8212 специализированное хранилище Его в основном используют для взаимод, Аноним (-), 05:03 , 26-Мрт-18, (27) +1   Puppet Ansible Chef Saltstack , Moomintroll (ok), 10:56 , 26-Мрт-18, (37)   А плейбуки с паролями будут на гитхабе лежать , Аноним (-), 13:12 , 26-Мрт-18, (41) +1   А плейбуки умеют генерить пароли , kazh (?), 13:43 , 26-Мрт-18, (42)   Пересобирать весь кластер ежемесячно ради смены пароля , Аноним (-), 14:05 , 26-Мрт-18, (44)   Или использовать лдап и цербера, mogwai (ok), 07:16 , 27-Мрт-18, (75) –1   8220 Vault 8221 is a feature of ansible that allows keeping sensitive data s, angra (ok), 21:14 , 26-Мрт-18, (68)   в этом месте обычно поднимают табличку BULLSHIT три слова совпали,ага поскольку, пох (?), 14:17 , 26-Мрт-18, (47) +1   В hashicorp эту проблему помешали, но красношляпа такая шляпа, Аноним (-), 07:45 , 27-Мрт-18, (76)   Ничего этого не будет Я просто посмеюсь с очередного дурачка, списавшего удобны, Аноним (-), 14:43 , 27-Мрт-18, (85)   Это не внезапный выход, а перенос Театра безопасности в компьютерную сферу На , AntonAlekseevich (ok), 14:02 , 05-Апр-18, (90)   мораль такова Нужно включить фаервол на блокирование всех входящих соединений к, Аноним (-), 04:21 , 26-Мрт-18, (24) +2   // Причём этой морали лет 20 уже как минимум А дле некоторых оно до сих пор не оче, Crazy Alex (ok), 14:14 , 26-Мрт-18, (46) +2   // Это понятно Но куча серверного софта становится не нужна при таком раскладе То, anonymous (??), 17:07 , 26-Мрт-18, (62) –2   Не знаю как 20, но 10 лет назад это было не особо нужно на линуксе, так как хипс, angra (ok), 21:20 , 26-Мрт-18, (69) +1   Нужно было всегда, и 10 лет тому, и 20, и 500 До идеи 171 кого надо пущать, о, Аноним (-), 14:37 , 27-Мрт-18, (84) –1   Попробуй обосновать Или ты привык следовать догмам, а не пользоваться мозгом Пр, angra (ok), 16:34 , 27-Мрт-18, (86) +1   еще лет через двадцать ты поймешь, что и исходящих тоже , пох (?), 14:17 , 26-Мрт-18, (49) +1   etcd supports SSL TLS as well as authentication through client certificates, bot, Легион (?), 23:05 , 28-Мрт-18, (88)   Он русские сервра проанализировал Давайте пригласим на семинар Статья 272 УК РФ, Анотоним (?), 22:29 , 25-Мрт-18, (2) –22 // Кхм, какой коллекционный экземпляр И что ж такое админишь, родимый, что взбелен, Crazy Alex (ok), 22:32 , 25-Мрт-18, (3) +21 // Таков типичный девопс, ага (?), 22:52 , 25-Мрт-18, (5) +10 // Тогда нечего удивляться Новомодные хипстеры-девопсы это такие мартышки, которые, vantoo (ok), 01:21 , 26-Мрт-18, (21) +4 удалить и накатать образ стоит 15 минут и 2 бакса на админа,разобраться что же н, Аноним (-), 12:25 , 26-Мрт-18, (39) –3 угу, а когда залетевший дятел все это разрушит - бизнес объявляет банкротство д, пох (?), 14:19 , 26-Мрт-18, (50) +1 Через пару месяцев про этот бизнес никто не вспомнит А банкротство - это част, anonymous (??), 17:09 , 26-Мрт-18, (63) –1 Ну я вот более вменяемых вижу А здесь карикатура какая-то, Crazy Alex (ok), 14:12 , 26-Мрт-18, (45) Это он намекает на то, что исследователь безопасности у нас рискует присесть По, anonymous (??), 23:24 , 25-Мрт-18, (7) +3 // Ну не присесть, но объяснительную напишешь , pavlinux (ok), 00:28 , 26-Мрт-18, (13) –2 Лет 10 назад может быть Сейчас уже не уверен , anonymous (??), 08:56 , 26-Мрт-18, (28) –1 Есть разница, исследовать безопасность по заказу владельца инфраструктуры ИЛИ по, Анотоним (?), 21:46 , 26-Мрт-18, (71) Поэтому надо оставаться анонимом Слишком много сброда всякого кругом , Аноним (-), 23:18 , 25-Мрт-18, (6) +5 // Кагбэ, именно что было рекурсивный запрос всех ключей GET http , YetAnotherOnanym (ok), 04:37 , 26-Мрт-18, (26) +2 // Запрос ключей чтобы посчитать статистику , Аноним (-), 13:48 , 26-Мрт-18, (43) –3 Лучшая защита хранилища данных - запрет начальства доступаться к хранилищу не им, IRASoldier (?), 23:27 , 25-Мрт-18, (9) +2 // Ты прям Америку переоткрыл Статей уголовных вагон Поэтому любая деятельность, , anonymous (??), 23:56 , 25-Мрт-18, (11) –2 // А можно как-нибиудь на тянуть в наш инженерно-технический мир все это гуманитарн, Аноним (-), 00:38 , 26-Мрт-18, (17) +1 если хотите разобраться ищите яхве против баала как осилите копайте дальше в, anon66 (?), 03:30 , 26-Мрт-18, (23) когда вместо мануалов по сетевым протоколам курил протоколы сионских мудрецов, IRASoldier (?), 11:19 , 26-Мрт-18, (38) +2 Какая есть Никто же не виноват, что людишки не могут без регулирования , anonymous (??), 08:59 , 26-Мрт-18, (29) –2 да да да, anonymous (??), 10:13 , 26-Мрт-18, (33) –2 Я так думаю , anonymous (??), 10:14 , 26-Мрт-18, (34) –2 может, появились какие-то надежные средства у крыши не может же быть человеку, Аноним (-), 00:06 , 26-Мрт-18, (12) Тычо Это щаз не модно, и без смузи Контейнерчик в докере запилил - и хорошо , amonymous (?), 10:15 , 26-Мрт-18, (36) +2 Простите, вы когда уходите, дом не запираете Если запираете, то почему , Sindzicat (?), 09:37 , 26-Мрт-18, (32) // иначе ты можешь нечаянно зайти, исключительно в целях сбора статистики о моих ве, Аноним (-), 14:22 , 26-Мрт-18, (51) +1 Начнём, с того, что домушники стимулируют людишек хранить деньги в банках Поэто, anonymous (??), 17:34 , 26-Мрт-18, (64) а майнить через etcd можно говорят, сейчас только ради этого и ломают сервера , рыба ест людей (?), 09:25 , 26-Мрт-18, (30) –1 // вы никуда не годный хипстер, не видать вам халявных монерок Через etcd нужно ра, пох (?), 14:24 , 26-Мрт-18, (52) –1 имхо, если придумать любую ошибку конфигурации, а потом просканировать 0 0 0 0 0, Нанобот (ok), 09:34 , 26-Мрт-18, (31) –1 Жесть блин Все вот эти вот монго-редисы-этцды - это ж стильно-модный-молодёжный, amonymous (?), 10:15 , 26-Мрт-18, (35) –2 Новость срочно в номер Если приехать на парковку у супермаркета и оставить маш, Аноним (-), 12:34 , 26-Мрт-18, (40) +4 // В основном ругаются потому что доступы режут совершенно невменяемо и не предоста, Crazy Alex (ok), 14:17 , 26-Мрт-18, (48) // угу, в результате - по джампхосту на каждой кастрюле, имеющей внешний интерфейс , пох (?), 16:26 , 26-Мрт-18, (59) дружище, новость-то не об этом если бы все так делали, я бы давно на работу не х, Аноним (-), 14:30 , 26-Мрт-18, (53) +2 Оо, жаркий спор ansible-docker хомячков Лол , anonymouse (?), 15:40 , 26-Мрт-18, (57) // А что не так с ansible , freehck (ok), 16:32 , 26-Мрт-18, (60) // То что каждый сервер должен быть конфигурирован вручную, и пропущен через цыпочк, MoronDude (?), 16:50 , 26-Мрт-18, (61) –1 // Ansible это инструмент, как нож или топор Если его использует умный человек, то, angra (ok), 21:35 , 26-Мрт-18, (70) умным не нужен ansible - они создают свой Заточенный строго под их задачи И это, нах (?), 22:24 , 26-Мрт-18, (72) +1 Согласен Если нужно настроить новые сервера с одинаковой конфигурацие можно вос, MoronDude (?), 02:10 , 27-Мрт-18, (73) Как заданием об изменении одной строки на тысяче серверов обеспечить мамкиному , foobar (??), 07:55 , 27-Мрт-18, (77) –2 только почему-то зовут именно их оттуда, когда девопсики обосpались и щас конте, забыл_пароль_от_тигар (?), 09:29 , 27-Мрт-18, (80) –1 не, этих не зовут нафиг они нужны если ansible не знают пусть продолжают локал, ыы (?), 09:32 , 27-Мрт-18, (81) –1 ansible -это такой, своеобразный ну какой есть аналог групповых политик от , ыы (?), 09:25 , 27-Мрт-18, (79) +1 Я по большей части троил Но если серьезно то автомацией не все проблемы решаютс, MoronDude (?), 17:00 , 27-Мрт-18, (87) Ежели юзать конфигманагер, то ВСЕ изменения должны выполняться плейбуками манифе, Легион (?), 23:21 , 28-Мрт-18, (89) Разве что если тебе платят почасово, совести не хватает, чтобы отказаться от раз, angra (ok), 13:00 , 27-Мрт-18, (83) И это тоже Но только если задачу действительно неудобно решать имеющимися инстр, angra (ok), 12:56 , 27-Мрт-18, (82) –1 1,2,30,31,35,40,57

Сообщения

[Сортировка по времени | RSS]

1. "Утечка параметров аутентификации через незащищённые серверы ..."	–4 +/–
Сообщение от AntonAlekseevich (ok), 25-Мрт-18, 22:25
Мораль такова, надо нормально настраивать конфиги демонов. А ещё лучше обкатывать каждый .+ конфиг через каждый эксплоит-тест. А ЕЩЁ лучше не использовать etcd на критических объектах.
Ответить | Правка | Наверх | Cообщить модератору

	19. "Утечка параметров аутентификации через незащищённые серверы ..."	+/–
	Сообщение от Аноним (-), 26-Мрт-18, 00:48
	> А ЕЩЁ лучше не использовать etcd на критических объектах. Внезапный вывод. Может поделишься с менее смышлёными, чем же так плох etcd на «критических объектах»?
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Утечка параметров аутентификации через незащищённые серверы ..."	+12 +/–
	Сообщение от Аноним (-), 26-Мрт-18, 01:55
	> чем же так плох etcd на «критических объектах»? Тем, что до версии 2.1 etcd не поддерживал аутентификацию, а в более новых выпусках для обеспечения обратной совместимости в настройках по умолчанию аутентификация отключена. Практически наверняка есть ещё какие-то проблемы, не с безопасностью, так с надёжностью. Теперь вы попросите ткнуть вас носом в эти проблемы, чтобы убедиться, что я не пустомеля. В ответ я пробормочу что-то невнятное. Возможно, честно признаюсь, что об etcd слышу исключительно из новостей типа этой. Возможно, скажу, что всё современное хипстерское, коим является и etcd, вообще не ориентировано ни на стабильность, ни на безопасность, а рассчитано лишь на пересоздание с нуля виртуалки в случае любых проблем. Объясню, что по финансовым/политическим/маркетинговым причинам авторам надо быстрее и больше, а потому в таком софте априори отсутствуют особенности систем (безопасность, надёжность, отлаженность), требующие при разработке длительного погружения в какой-то аспект (анализ, продумывание, изучение вариантов, хотя бы минимальное изучение предметной области) без достижения видимого для инвестора результата (функционала, который можно потыкать). Вы, конечно, на эти оправдания не поведётесь и будете правы: ведь раз на ошибку вам не могу указать я, значит её и вовсе нет. Через какое-то время (от нескольких месяцев до пары лет) появится похожая новость об уязвимости. Вы опять напишите традиционное "не бывает софта без глупых ошибок" и пойдёте пересоздавать образы виртуалок. Кто-то на форуме вам напишет, что ЭТО не предназначено для использования в продакшне и делать этого не стоит. И всё повторится заново.
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Утечка параметров аутентификации через незащищённые серверы ..."	–1 +/–
	Сообщение от Аноним (-), 26-Мрт-18, 04:23
	Полно протаколов не поддерживающих аудантифирацию и шифрование и что? Если очень надо из интернета соединяться можно ssh тунель делать
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Утечка параметров аутентификации через незащищённые серверы ..."	+9 +/–
	Сообщение от XoRe (ok), 26-Мрт-18, 16:04
	> Полно протаколов не поддерживающих аудантифирацию и шифрование и что? Вы заставляете мои глаза кровоточить.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Утечка параметров аутентификации через незащищённые серверы ..."	+1 +/–
	Сообщение от Аноним (-), 26-Мрт-18, 05:03
	etcd — специализированное хранилище. Его в основном используют для взаимодействия микросервисов внутри облачной среды. При нормальном использовании, оно не должно торчать наружу. Именно в нем, зачастую, хранятся параметры для аутентификации в других сервисах (что, в общем-то, и показало исследование). По хорошему, если защитить etcd, то придется хранить пароль/ключи на каждой ноде. Из-за этого это будет никогда не меняемый пароль, который будут руками забивать в каждый образ. Секьюрности от такого решения не особо прибавится, а гемморой вырастет. Именно по этому никто не выставляет etcd наружу и именно поэтому долгого времени в нём в принципе не было аутентификации. Проблемы с серверами из текущего исследования в ошибках конфигурации сети. Даже в статье написано о том, что нужно использовать фаервол, а не паролить etcd.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	37. "Утечка параметров аутентификации через незащищённые серверы ..."	+/–
	Сообщение от Moomintroll (ok), 26-Мрт-18, 10:56
	> будет никогда не меняемый пароль, который будут руками забивать в каждый образ Puppet/Ansible/Chef/Saltstack...
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Утечка параметров аутентификации через незащищённые серверы ..."	+1 +/–
	Сообщение от Аноним (-), 26-Мрт-18, 13:12
	А плейбуки с паролями будут на гитхабе лежать?
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Утечка параметров аутентификации через незащищённые серверы ..."	+/–
	Сообщение от kazh (?), 26-Мрт-18, 13:43
	А плейбуки умеют генерить пароли.
	Ответить | Правка | Наверх | Cообщить модератору

	44. "Утечка параметров аутентификации через незащищённые серверы ..."	+/–
	Сообщение от Аноним (-), 26-Мрт-18, 14:05
	Пересобирать весь кластер ежемесячно ради смены пароля?
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Утечка параметров аутентификации через незащищённые серверы ..."	–1 +/–
	Сообщение от mogwai (ok), 27-Мрт-18, 07:16
	Или использовать лдап и цербера
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Утечка параметров аутентификации через незащищённые серверы ..."	+/–
	Сообщение от angra (ok), 26-Мрт-18, 21:14
	“Vault” is a feature of ansible that allows keeping sensitive data such as passwords or keys in encrypted files, rather than as plaintext in your playbooks or roles. These vault files can then be distributed or placed in source control.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	47. "Утечка параметров аутентификации через незащищённые серверы ..."	+1 +/–
	Сообщение от пох (?), 26-Мрт-18, 14:17
	> Его в основном используют для взаимодействия микросервисов внутри облачной среды. в этом месте обычно поднимают табличку BULLSHIT! (три слова совпали,ага) > По хорошему, если защитить etcd, то придется хранить пароль/ключи на каждой ноде. поскольку это микросервисы и по ним никто не лазит, ибо некуда (а при взломе сервиса у тебя проблема посерьезнее etcd), да и живут недолго - в общем-то, это значительно безопаснее, чем не иметь их вообще. А если серьезно - отсутствие аутентификации на запись (зачем она микросервису вообще сдалась?) в сервере конфигураций(!) - это, простите, п-ц в головах. но чем дальше ухожу от тех ребят, которые на моих глазах строили сервисные архитектуры во времена, когда инструментов для убогих еще в помине не было (даже ansible не было - а автоматическая настройка прода у нас - была, и нет, при проломе продовской машины ты не мог вжух и поперезаписывать конфиги других машин, такого маразма нам и в голову бы не пришло соорудить), тем больше понимаю, что времена адекватных девопов давно прошли и времена адекватного софта тоже.
	Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

	76. "Утечка параметров аутентификации через незащищённые серверы ..."	+/–
	Сообщение от Аноним (-), 27-Мрт-18, 07:45
	В hashicorp эту проблему помешали, но красношляпа такая шляпа
	Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

	85. "Утечка параметров аутентификации через незащищённые серверы ..."	+/–
	Сообщение от Аноним (-), 27-Мрт-18, 14:43
	Ничего этого не будет. Я просто посмеюсь с очередного дурачка, списавшего удобный инструмент потому, что ему там жупел в виде каких-то хипстеров померещился.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	90. "Утечка параметров аутентификации через незащищённые серверы ..."	+/–
	Сообщение от AntonAlekseevich (ok), 05-Апр-18, 14:02
	> Внезапный вывод. Это не внезапный выход, а перенос "Театра безопасности" в компьютерную сферу. На фоне недавних событий определение "Театр безопасности" так и остается театром. То что я написал это вредно для действия, а не как руководство сделать себе инфраструктуру безопаснее в угоду юзабильности. А те негативные комментарии оставленные ниже это комментарии тех людей которые восприняли моё сообщение буквально плюсом люди поставившие минуса тоже восприняли сообщение буквально, а не как вредный совет.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	24. "Утечка параметров аутентификации через незащищённые серверы ..."	+2 +/–
	Сообщение от Аноним (-), 26-Мрт-18, 04:21
	мораль такова. Нужно включить фаервол на блокирование всех входящих соединений кроме нескольких нужных.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	46. "Утечка параметров аутентификации через незащищённые серверы ..."	+2 +/–
	Сообщение от Crazy Alex (ok), 26-Мрт-18, 14:14
	Причём этой морали лет 20 уже как минимум. А дле некоторых оно до сих пор не очевидно почему-то
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Утечка параметров аутентификации через незащищённые серверы ..."	–2 +/–
	Сообщение от anonymous (??), 26-Мрт-18, 17:07
	Это понятно. Но куча серверного софта становится не нужна при таком раскладе. Тот же мускуль. Нафиг ему сервер, когда его уже никто в здравом уме наружу не выставляет?
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Утечка параметров аутентификации через незащищённые серверы ..."	+1 +/–
	Сообщение от angra (ok), 26-Мрт-18, 21:20
	Не знаю как 20, но 10 лет назад это было не особо нужно на линуксе, так как хипстеры еще не пришли в IT и не наделали всяких nosql БД без аутентификации.
	Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

	84. "Утечка параметров аутентификации через незащищённые серверы ..."	–1 +/–
	Сообщение от Аноним (-), 27-Мрт-18, 14:37
	Нужно было всегда, и 10 лет тому, и 20, и 500. До идеи «кого надо пущать, остальных не пущать» додумались ещё задолго до этих наших интренетов. Но до админов локалхостов и ланчиков на 10 пользователей начало доходить только когда «хипстеры пришли в IT», а влияние эффекта неуловимого Джо сильно уменьшилось.
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Утечка параметров аутентификации через незащищённые серверы ..."	+1 +/–
	Сообщение от angra (ok), 27-Мрт-18, 16:34
	Попробуй обосновать. Или ты привык следовать догмам, а не пользоваться мозгом? Практика показывает, что открытый фаервол можно даже сейчас использовать, если на серверах нет модно-молодежных сервисов. И оно работает без взломов, годами, на сотнях серверов по всему миру.
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Утечка параметров аутентификации через незащищённые серверы ..."	+1 +/–
	Сообщение от пох (?), 26-Мрт-18, 14:17
	> мораль такова. Нужно включить фаервол на блокирование всех входящих соединений еще лет через двадцать ты поймешь, что и исходящих тоже.
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

	88. "Утечка параметров аутентификации через незащищённые серверы ..."	+/–
	Сообщение от Легион (?), 28-Мрт-18, 23:05
	etcd supports SSL/TLS as well as authentication through client certificates, both for clients to server as well as peer (server to server / cluster) communication.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема