Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Около 10% выходных узлов Tor были вовлечены в атаку по перехвату SSH-подключений"	+/–
Сообщение от opennews (??), 23-Окт-26, 14:34
Опубликованы детали инцидента, в ходе которого злоумышленникам удалось получить контроль над 333 выходными узлами сети Tor (всего в Tor около 3000 выходных узлов) и организовать на них перехват нешифрованного трафика и перенаправление SSH-соединений. Атака началась  2 октября (в пятницу вечером), но была выявлена и начала блокироваться 4 октября. 5 октября все скомпрометированные серверы были отключены операторами или самими атакующими. Разбирательство показало, что атакующие получили доступ к серверам за два месяца до начала атаки на пользователей Tor и установили в скомпрометированных системах вредоносное ПО Ebury 1.8.3... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66531
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 23-Окт-26, 14:34	–12 +/–
Почему по дефолту SSH не отключает вход по паролю - не понятно. Хотя уже давно известны случае даже простых брутфорсных подборов.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4, #5, #8, #37, #55

2. Сообщение от опеншлёпивпродакшн (?), 23-Окт-26, 14:35	+/–
Наконец-то эти предупреждения оправдали себя. Кто-то не удержался, а надо было подождать ещё 10 лет, когда у всех будет StrictHostKeyChecking=no.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #54

3. Сообщение от Аноним (1), 23-Окт-26, 14:40	–1 +/–
Дать им манок-сервер со всякими мусорными почтовыми сервисами. Пусть тратят силы на это) Как вариант.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

4. Сообщение от Аноним (4), 23-Окт-26, 14:40	+4 +/–
Так ведь, чтобы сгенерировать и добавить на сервер свой ключ, сначала нужно войти по паролю, по-другому никак. Если по дефолту вход по паролю будет откючен, а свой ключ для входа ты еще не добавил, как ты подключишься к серверу?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #7, #12, #13, #52, #67

5. Сообщение от Аноним (5), 23-Окт-26, 14:45	+/–
В DragonFlyBSD так и сделано. Это во всяких RHEL8 (в современных хз, не проверял) даже PermitRootLogin включен по-дефолту.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #17

6. Сообщение от Энтомолог_русолог (ok), 23-Окт-26, 14:48	–2 +/–
> вредоносное ПО Ebury 1.8.3 Увидев ссылку подумал там на гитхаб она, типа «можете взять исходники вредоноса или бинарник от автора». А она на какую-то помойку eset
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #24

7. Сообщение от Аноним (1), 23-Окт-26, 14:52	–2 +/–
В данном случае мы пытаемся убрать любой факт присутствия пароля. Поэтому только какой-нибудь альтернативный способ добавления ключа.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

8. Сообщение от Аноним (8), 23-Окт-26, 14:53	+/–
Это же какие простые брутфорсные подборы, если пароли словарные?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #10

9. Сообщение от Аноним (8), 23-Окт-26, 14:58	+/–
Этот Eset вендузятники знают.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #16, #20, #31

10. Сообщение от Аноним (1), 23-Окт-26, 15:01	+/–
Социальная инженерия. Пароли - туфта
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #61

12. Сообщение от Аноним (12), 23-Окт-26, 15:05	+/–
Ключ добавляется при наливке сервера, с добрым утром.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

13. Сообщение от Аноним (13), 23-Окт-26, 15:05	+5 +/–
Как ты подключишься к серверу по паролю? Тебе нужно чтобы кто-то создал пользователя и сообщил тебе пароль. Если этот кто-то может создать пользователя, то почему бы ему не положить туда и ключ заодно?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #15

14. Сообщение от Аноним (14), 23-Окт-26, 15:15	–2 +/–
Минуточку! Но ведь таким способом, если я правильно понимаю, как работает ssh, перехватить можно было не открытое содержимое пароля, а его хэш? Т.е. сервер передаёт соль клиенту, клиент считает хэш пароля с этой солью, и передаёт посчитанный хэш обратно? То есть после этого надо было ещё и пароль по хэшу подобрать. Впрочем, возможно, при этом ещё и согласовывался самый нестойкий из поддерживаемых клиентом алгоритмов.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19, #23, #27, #56

15. Сообщение от Аноним (4), 23-Окт-26, 15:17	+/–
Ну, покупаю vps, в инструкции написан логин и пароль
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #26, #34

16. Сообщение от Энтомолог_русолог (ok), 23-Окт-26, 15:18	+/–
> Этот Eset вендузятники знают. Да вроде уже и виндузятники никаких левых (анти)вирусов не юзают, говорят в 10/11 достаточно MSного
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #72

17. Сообщение от Ivan_83 (ok), 23-Окт-26, 15:18	+1 +/–
Запрещать вход root - большая глупость, которая увеличивает секурность практически никак.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #60

19. Сообщение от eugener (ok), 23-Окт-26, 15:25	+/–
Если работало как вы описываете, то пароль они узнать не могли, но это и не нужно, они работали как человек в середине и просто передавали соль/хеш между сторонами, ну а дальше вклинивались в сессию и выполняли свои действия.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #28

20. Сообщение от КО (?), 23-Окт-26, 15:28	+/–
Они намного больше ПО знают, это естественно )
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

23. Сообщение от funny.falcon (?), 23-Окт-26, 15:33	+2 +/–
Кажется, ты не прав: ssh получает пароль в исходном виде, чтобы аутентифицировать пользователя в системе через PAM. Если он получит хешированный с рандомной солью, то как он его сравнит с содержимым /etc/password ? А PAM может утентифицировать пользователей и не из локального списка. https://www.rfc-editor.org/info/rfc4252/#section-8
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

24. Сообщение от Аноним (24), 23-Окт-26, 15:33	–1 +/–
ESET -- один из немногих, которых ещё не стыдно поставить. Не так напозорился, скажем так.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #53

26. Сообщение от Аноним (26), 23-Окт-26, 15:40	+/–
Больше не покупай у них сервера. В нормальных местах можно свой публичный ключ указать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #47, #63

27. Сообщение от Ivan_83 (ok), 23-Окт-26, 15:40	+/–
Там разные способы передачи есть, в том числе через агента. Но после получения хостового ключа и наборов шифров соединение переходит на зашифрованный режим и считается что передавать там пароль в открытом виде не проблема. Кроме того логин промт передаётся тоже текстом и настраивается.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #33

28. Сообщение от Ivan_83 (ok), 23-Окт-26, 15:43	–1 +/–
Если сервер сливает какой то nonce/соль то на этом ваш перехват пароля обламывается. Если вы вместо nonce сервера передадите свою - то в ответ получите какойнить hmac(nonce, password) и обратно этот фарш вы не провернёте чтобы достать пароль и повторить hmac с nonce полученным от сервера.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #30

30. Сообщение от eugener (ok), 23-Окт-26, 15:50	+/–
я и написал, что пароль так не перехватить, но это и не нужно, достаточно стать man-in-the-middle (передавать данные между сторонами как есть) в аутентифицированной сессии.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #36

31. Сообщение от maximnik0 (?), 23-Окт-26, 16:09	+/–
>Этот Eset вендузятники знают. Так порт антивирусника есть и под linux.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #35

33. Сообщение от funny.falcon (?), 23-Окт-26, 16:14	+/–
И тут случился классический MitM
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

34. Сообщение от Энтомолог_русолог (ok), 23-Окт-26, 16:33	+1 +/–
Все хостинг-провайдеры дают возможность сразу положить ключ, без всяких паролей Прекращай в глаза любиться
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #66

35. Сообщение от Энтомолог_русолог (ok), 23-Окт-26, 16:35	–1 +/–
А зачем? Не, я могу понять когда у тебя файлопомойка на самбе или когда у тебя свои почтовые сервера, а не чужие. Там еще может пригодиться. А зачем бы на десктопе в линухе антивирь? Юзаю линуху на десктопе с 2000 года(до этого 1997-2000 юзал FreeBSD) и пока за эти 26 лет не было необходимости в антивире на моем компе
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #49

36. Сообщение от Ivan_83 (ok), 23-Окт-26, 16:38	+/–
Ээээ а в чём прикол то? Ну будешь ты зашифрованные данные не ядром ОС роутить а в приложении из сокета в сокет прекладывать - это же ничего тебе не даст.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #40

37. Сообщение от Аноним (52), 23-Окт-26, 16:38	+/–
Достаточно сверять отпечатки ключей сервера, но соевые без TOFU не могут.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

40. Сообщение от eugener (ok), 23-Окт-26, 16:43	+1 +/–
Расшифрованные! Там же ясно написано что сессионные ключи не совпадали и под раздачу попали те, кто проигнорировал предупреждение о подключении к неизвестному серверу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #44

44. Сообщение от Ivan_83 (ok), 23-Окт-26, 17:01	+/–
Пардон, я потерял нить и прошляпил :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

47. Сообщение от Аноним (47), 23-Окт-26, 17:11	+/–
Ещё неизвестно, что безопаснее: получить от них пароль, тут же залогиниться по SSH и самому всё сделать, или закачивать ключ через браузер и ихний мутный фронтенд. Сразу после установки ОС всё равно какое-то время она очень слабо защищена, пока настроишь все iptables и прочее.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #48

48. Сообщение от Жук (?), 23-Окт-26, 17:25	+3 +/–
Так ты же публичный ключ туда через них закачаешь, а не приватный. Если публичный даже и утечет куда-либо, то вообще пофиг. А хостер и так имеет полный доступ к твоей машине в системе виртуализации.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

49. Сообщение от maximnik0 (?), 23-Окт-26, 17:25	+/–
2-ная загрузка.Проверить что скачал _сейчас ситуация получше,а раньше даже на проверенных сайтах запросто можно было троян словить.Переносные диски-задолбался автораны всякие вырезать.У клиентов - винда не стартует: вирус в 80% случаев.А xp чем хороша была - можно было даже не стартующию операционку поченить через средство проверки системных файлов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

52. Сообщение от Аноним (52), 23-Окт-26, 17:54	+/–
> свой ключ для входа ты еще не добавил А зачем свой ключ куда-то добавлять? Ставишь сразу с вшитым сертификатом со своего образа и забудь уже про эту мышиную возню с ключами, паролями. А потом вася уволился, а ключи не удалили, потому что вон туда он лазил срочно чинить, ему без тикета ключ добавили, а к концу инцидента благополучно забыли, зачем вообще так подставляться? Это ж не локалхост под кроватью.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

53. Сообщение от Аноним (55), 23-Окт-26, 17:57	–2 +/–
Базовый Microsoft Defender уже давно ничем не хуже всех остальных, а в плане нагрузки на систему вообще лучший. https://opennet.ru/66476-microsoft
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

54. Сообщение от Аноним (55), 23-Окт-26, 17:58	–1 +/–
>Наконец-то https://opennet.ru/46944-law
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

55. Сообщение от Аноним (55), 23-Окт-26, 18:03	–1 +/–
https://opennet.ru/63659-proton
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

56. Сообщение от Zzz (??), 23-Окт-26, 18:28	+1 +/–
Здесь речь про интерактивный вход. Сервер принимает символы пароля в открытом виде, сохраняет их и организует сессию к легитимному хосту. У подставного сервера отпечаток ключа не соответствует отпечатку, сохраненному у пользователя. Это как раз и вызывает предупреждение.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #70

59. Сообщение от nagual (ok), 23-Окт-26, 19:09	+/–
Вор у вора отмычку украл. Хорошие люди по паролям через тор-сеть на свои сервера не ходят.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #69

60. Сообщение от Аноним (60), 23-Окт-26, 19:19	+2 +/–
Как и все эти вопли, когда пользовательское приложение орет, что не будет работать под рутом. Хотя это вообще не его собачье дело.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #64

61. Сообщение от Аноним (61), 23-Окт-26, 19:35	+/–
Необходимость бекапов и само наличие ключа в виде данных на сколько-нибудь рабочей машине делает ключ не более секурным, чем сложный пароль
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #68

62. Сообщение от Аноним (61), 23-Окт-26, 19:36	+/–
Ждём скандал с выходными узлами КВНов, заботливо созданных "добрыми дядями" для страждущих котиков с тытрубчика, верящих в добрых копов.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #73

63. Сообщение от Аноним (4), 23-Окт-26, 19:45	+/–
А в нормальных местах можно купить за 2 евро в месяц с полным ядром от AMD EPYC 9454, без ограничений по нагрузке, 2 ГБ ОЗУ, 30 ГБ NVME и 20 ТБ трафика?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

64. Сообщение от Аноним (52), 23-Окт-26, 19:48	+/–
Тяжёлое наследие юникс-систем семидесятых помноженное на неудержимое желание аутишников косплеить эту романтическую эпоху. Фетишизм чистой воды.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #71

65. Сообщение от Аноним (65), 23-Окт-26, 20:03	+/–
> Как именно атакующие получили доступ к захваченным Tor-узлам пока не ясно Вроде понятно, точно так же, как с пейджерами, цисками и HSM.
Ответить | Правка | Наверх | Cообщить модератору

66. Сообщение от slashfast (ok), 23-Окт-26, 20:26	+/–
Я вот тоже удивлен, за что 10 минусов челу накинули, если его мысль верна
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

67. Сообщение от penetrator (?), 23-Окт-26, 20:29	+/–
очень даже как, но стандартного единого для всех дистров способа нет что касается новости единственное что инетресено это "Для сбора паролей к SSH было организовано перенаправление SSH-запросов на один из 12 серверов злоумышленников." все остальное обычный митм который выдавал неверный фингерпринт на который юзер забил
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

68. Сообщение от фф (?), 23-Окт-26, 20:50	+/–
а вы бекапы, особенно чувствительных данных типа приватных ключей, не шифруете чтоли?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

69. Сообщение от trampSpirit (?), 23-Окт-26, 20:57	+/–
Не тебе решать как и кому ходить.  Интернет-Это последняя территория свободы. И все любители охолопить люднй должны идти лесом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #75

70. Сообщение от Аноним (70), 23-Окт-26, 21:08	+/–
> У подставного сервера отпечаток ключа не соответствует отпечатку, сохраненному у пользователя. Это как раз и вызывает предупреждение. И не дает клиенту присоединиться к х3р пойми какому серверу, а вот если отпечаток не сохранен, тогда беда при первом коннекте, но все же выявить MitM в таком случае можно, если только подсмотреть отпечаток после соединения с сервером на самом сервере и надеяться на то, что человек по середине тупо не подделывает этот отпечаток (последовательность байт) при передаче. Человек по середине должен фактически как только получит пароль от сервера, сам зайти в него и подсунуть свои же ключи, а потом пассивно все расшифровывать, чтобы не заморачиваться с проблемами активного MitM-а.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56 Ответы: #74

71. Сообщение от Аноним (71), 23-Окт-26, 21:18	+/–
А что ты здесь до сих пор? Чего не пользуешся наследием 1990-х? Там можно под Administrator работать всем, софт запускать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

72. Сообщение от Аноним (72), 23-Окт-26, 21:30	+/–
На самом деле антивирус вообще не нужен. Окна последних версий настолько защищены что никокй вирус ничего не сделает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

73. Сообщение от Аноним (72), 23-Окт-26, 21:32    Скрыто ботом-модератором	+/–
Тытруба не нужна. Это рак интернетов. Я бы удалил Тытрубу со всем содержимым.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62

74. Сообщение от Аноним (74), 23-Окт-26, 21:44	+/–
ИМХО отпечаток не пересылается по сети, он вычисляется на клиентской машине после получения публичного ключа сервера, не?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70

75. Сообщение от Аноним (74), 23-Окт-26, 21:47    Скрыто ботом-модератором	+/–
Согласен! Тем более некоторое дырявое ПО может передать в сеть весь $HOME/.ssh Вместе с ключами!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

76. Сообщение от Аноним (76), 23-Окт-26, 22:18	+/–
> всего в Tor около 3000 выходных узлов Tor все? Больше не дает ни анонимности ни секурности? Все под трехбуквенными организациями и какерами???
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема