یک آسیب پذیری جدید SSH وجود دارد، ترراپین (کاغذ پی دی افو این پتانسیل بدی را دارد - اما فقط در شرایط بسیار محدود. برای درک مشکل، باید بفهمیم SSH برای انجام چه کاری طراحی شده است. به عنوان ابزاری برای دریافت پوسته خط فرمان در رایانه راه دور جایگزین telnet می شود. Telnet تمام آن متن را به صورت شفاف ارسال می کند، اما SSH همه آن را در داخل یک تونل رمزگذاری شده با کلید عمومی قرار می دهد. این برنامه برای مذاکره ایمن با یک شبکه غیر دوستانه طراحی شده است، به همین دلیل است که مشتریان SSH در مورد پذیرش کلیدهای جدید بسیار صریح هستند و در صورت تغییر یک کلید هشدار می دهند.
SSH از یک شمارشگر توالی برای تشخیص بدحجابی های Man-in-the-Middle (MitM) مانند حذف بسته، پخش مجدد یا ترتیب مجدد استفاده می کند. این توالی در واقع در بسته گنجانده نشده است، اما به عنوان بخشی از بررسی احراز هویت پیام (MAC) از چندین حالت رمزگذاری استفاده می شود. این بدان معناست که اگر بسته ای از تونل رمزگذاری شده حذف شود، MAC روی بقیه بسته ها از کار می افتد و باعث بازنشانی کامل اتصال می شود. این دنباله در واقع از صفر شروع می شود و اولین بسته رمزگذاری نشده پس از مبادله بنرهای نسخه ارسال می شود. در تئوری، این بدان معنی است که مهاجمی که در مرحله پیش رمزگذاری با بسته ها دست و پنجه نرم می کند، کل اتصال را نیز بی اعتبار می کند. فقط یک مشکل وجود دارد
نوآوری محققان Terrapin این است که یک مهاجم با دسترسی MitM به اتصال میتواند تعدادی پیام خوش خیم را در مرحله پیش رمزگذاری وارد کند و سپس اولین تعداد پیامها را در مرحله رمزگذاری شده بیصدا رها کند. فقط کمی دنباله TCP برای هر پیامی بازنویسی می شود و نه سرور و نه مشتری نمی توانند فریب را تشخیص دهند. این یک ترفند واقعا جالب است - اما چه کاری می توانیم با آن انجام دهیم؟
برای اکثر پیاده سازی های SSH، زیاد نیست. را نسخه 9.6 نسخه OpenSSH این اشکال را برطرف میکند و آن را از نظر رمزنگاری جدید مینامد، اما اشاره میکند که تأثیر واقعی به غیرفعال کردن برخی از ویژگیهای مبهمسازی زمانبندی اضافه شده به نسخه 9.5 محدود میشود.
هیچ تاثیر قابل تشخیص دیگری بر رازداری جلسه یا یکپارچگی جلسه وجود ندارد.
با این حال، حداقل برای یک سرور SSH دیگر، AsyncSSH، وجود دارد خیلی بیشتر در خطر است. این کتابخانه پایتون هم یک سرور SSH و هم کلاینت است و در هر کدام یک آسیبپذیری Terrapin وجود دارد. برای یک کلاینت AsyncSSH، این آسیبپذیری امکان تزریق پیامهای اطلاعات برنامههای افزودنی را قبل از انتقال به رمزگذاری میکند. مثال ارائه شده این است که الگوریتم احراز هویت مشتری را می توان کاهش داد، که به نظر چندان مفید نیست.
آسیب پذیری قابل توجه تر زمانی است که از هر کلاینت SSH برای اتصال به سرور AsynchSSH استفاده می شود. اگر مهاجم نیز یک حساب کاربری در آن سرور داشته باشد، اتصال قربانی می تواند به یک پوسته کنترل شده توسط مهاجم هدایت شود. در حالی که این به طور مستقیم رمزگذاری SSH را نمی شکند، اساساً همان اثر را دارد. این یک نوع آسیبپذیری آسمانی نیست، زیرا شرایط پیشنیاز برای بهرهبرداری بسیار محدود است. این قطعا یک رویکرد منحصر به فرد و جدید است، و ما پیش بینی می کنیم که یافته های بیشتری از سایر محققان بر اساس این تکنیک باشد.
AlphV مصادره شده است - و توقیف نشده است
در یک حماسه خنده دار، FBI با AlphV تگ بازی کرده است روی یک سایت باج افزار پیاز. یک سرویس پیاز TOR از یک کلید عمومی-خصوصی استفاده می کند که در آن کلید عمومی آدرس onion. است و کلید خصوصی تمام جادوی مسیریابی را که کاربر را به سرویس متصل می کند کنترل می کند. FBI ظاهرا سرور فیزیکی را دستگیر کرد و از آن کلید خصوصی برای هدایت آدرس .onion به صفحه حذف استفاده کرد.
ظاهراً ادمینهای AlphV کنترل کلید خصوصی را نیز حفظ کردهاند، زیرا یک پیام نسبتاً گستاخانه جایگزین اطلاعیه FBI میشد. در نسخه "unseized"، یک گربه سیاه یک آدرس پیاز جدید ارائه می دهد. اوه، و به عنوان تلافی برای موارد ناچیز، AlphV محدودیت خود را در مورد هدف قرار دادن بیمارستان ها و سایر زیرساخت های حیاتی لغو کرده است. تنها چیزی که باقی میماند، بیمیلی آنها برای هدف قرار دادن کشورهای مشترک المنافع، یعنی اتحاد جماهیر شوروی قدیمی است.
نشت خودکار
این یکی در ابتدا بسیار بد به نظر می رسد. برنامه های اندروید به اطلاعات کاربری مدیریت رمز عبور دسترسی پیدا می کنند. اما یک نگاه عمیق تر ممکن است ناراحتی ما را کاهش دهد. بنابراین ابتدا به یاد داشته باشید که برنامه های اندروید دارای نمای بومی برای عملیات عادی هستند و همچنین دارای نمای وب برای نمایش محتوای وب هستند. مشکل اینجاست که وقتی یک مدیر رمز عبور به صورت خودکار در یک وبسایت در آن وبنما تکمیل میشود، محتویات به رابط برنامه بومی برمیگردند.
سپس مدل تهدید این است که یک برنامه نامعتبر وب سایتی را برای یک جریان احراز هویت «ورود به سیستم» راه اندازی می کند. مدیر گذرواژه شما سایت فیسبوک/گوگل/مایکروسافت را شناسایی میکند و برای تکمیل خودکار اعتبارنامهها پیشنهاد میدهد. و پس از تکمیل خودکار، خود برنامه اکنون آنها را گرفته است. کمی طول میکشد تا گوگل و شرکتهای مدیریت رمز عبور درباره اینکه مشکل دقیقاً مربوط به چه کسی است و در صورت لزوم اصلاحات به توافق برسند. برای جزئیات بیشتر، PDF موجود است.
بیت ها و بایت ها
برخورد هش به طور کلی چیز بدی است. اگر یک الگوریتم هش احتمال برخورد احتمالی دارد، وقت آن است که آن را برای هر کار جدی بازنشسته کنید. اما اگر ما فقط نیاز به برخورد با 7 بایت اول داشته باشیم چه می شود؟ به عنوان مثال، در استفاده با git، SHA-256 اغلب به دلیل قابلیت استفاده به 7 بایت اول کوتاه می شود. برخورد با آنها چقدر سخت است؟ و در مورد اضافه کردن 7 بایت آخر چطور؟ [دیوید بوکانان] اعداد را برای ما اجرا کردو اجازه دهید بگوییم که شما واقعاً باید تمام بایت های یک هش 256 بیتی را برای استحکام رمزنگاری بررسی کنید. با برخی از ترفندها برای کارایی، 128 بیت هش SHA256 فقط 93,000 دلار هزینه دارد و حدود یک ماه طول می کشد.
در اینجا یک ایده جدید/قدیمی وجود دارد: یک ایمیل بفرستید، شامل یک .
و ایمیل دوم با هدرهای کامل. سرور ایمیل دریافت کننده چه خواهد کرد؟ در برخی موارد، این ایمیل عجیب و غریب به عنوان یک پیام واحد و در برخی موارد، دو تا است. به عبارت دیگر، شما با قاچاق SMTP مواجه می شوید. این واقعاً یک مشکل است، زیرا یک میزبان ایمیل را فریب می دهد تا ایمیل های دلخواه شما را به عنوان پیام های قابل اعتماد ارسال کند. آیا می خواهید پیامی به عنوان bill.gates (at)microsoft.com ارسال کنید و DKIM را بررسی کنید؟ از طریق سرورهای office365 پیامی را قاچاق کنید! از سوی دیگر، این یکی قبلاً برای تعدادی از سرویسهای آسیبپذیر افشا شده است، بنابراین احتمالاً شانس خود را از دست دادهاید.
و برای کمی تفریح، شبیه ساز فیشینگ مایکروسافت فیش واقعی را می گیرد! یعنی مایکروسافت اکنون یک ابزار شبیهساز حمله دارد که میتواند به شما در ارسال ایمیلهای فیشینگ جعلی کمک کند تا به کاربران آموزش دهد که روی آن پیوند کلیک نکنند. [وایشا برنارد] در حال اجرای آزمایشی ابزار بود و متوجه شد که یکی از پیوندهای جعلی به یک صفحه تلاقی ناموجود خاموش است و از یک دامنه ثبت نشده ارسال شده است. هر دو را ثبت کنید و شبیه ساز فیشینگ دندان واقعی دارد. ظاهراً [Vaisha] باگهای متعددی را به دست آورد که در نهایت مشکل را برطرف کرد، که نشان میدهد کنجکاو بودن به درد میخورد.
- محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
- PlatoData.Network Vertical Generative Ai. به خودت قدرت بده دسترسی به اینجا.
- PlatoAiStream. هوش وب 3 دانش تقویت شده دسترسی به اینجا.
- PlatoESG. کربن ، CleanTech، انرژی، محیط، خورشیدی، مدیریت پسماند دسترسی به اینجا.
- PlatoHealth. هوش بیوتکنولوژی و آزمایشات بالینی. دسترسی به اینجا.
- منبع: https://hackaday.com/2023/12/22/this-week-in-security-terrapin-seized-unseized-and-autospill/
- : دارد
- :است
- :نه
- :جایی که
- 000
- 7
- 9
- a
- درباره ما
- پذیرش
- دسترسی
- حساب
- واقعی
- واقعا
- اضافه
- اضافه کردن
- نشانی
- آدرس
- پس از
- در برابر
- نام
- الگوریتم
- معرفی
- اجازه می دهد تا
- قبلا
- همچنین
- an
- و
- اندروید
- سبقت جستن
- هر
- نرم افزار
- روش
- برنامه های
- هستند
- AS
- At
- حمله
- تصدیق
- به عقب
- بد
- آگهی ها
- BE
- بوده
- بودن
- میان
- لایحه
- بیت
- سیاه پوست
- هر دو
- نعمت ها
- شکستن
- اشکال
- حوادث احتمالی
- بنا
- دسته
- اما
- فراخوانی
- CAN
- اسیر
- موارد
- CAT
- شانس
- تغییر
- بررسی
- چگونگی، امر، تفصیل، شرایط محیط، پیش امد، شرح
- موقعیت
- واضح
- کلیک
- مشتری
- مشتریان
- CO
- برخورد
- برخورد
- COM
- کشور مشترک
- شرکت
- کامل
- کامپیوتر
- تلاقی
- اتصال
- ارتباط
- متصل
- محتوا
- محتویات
- کنترل
- گروه شاهد
- هزینه
- مقابله با
- مجوزها و اعتبارات
- بحرانی
- زیرساخت های بحرانی
- رمزنگاری
- رمزنگاری شده
- کنجکاو
- DA
- داود
- فریب
- عمیق تر
- قطعا
- طراحی
- جزئیات
- تشخیص
- مستقیما
- پریشانی
- do
- میکند
- نمی کند
- دامنه
- کمرنگ
- قطره
- هر
- به دست آورده
- اثر
- بهره وری
- پست الکترونیک
- ایمیل
- رمزگذاری
- رمزگذاری
- تمام
- اساسا
- کاملا
- مثال
- رد و بدل شده
- بهره برداری
- گسترش
- خیلی
- چشم
- نتواند
- جعلی
- اف بی آی
- امکان پذیر است
- امکانات
- سرانجام
- یافته ها
- نام خانوادگی
- ثابت
- ثابت
- جریان
- برای
- از جانب
- کامل
- سرگرمی
- عموما
- دریافت کنید
- رفتن
- داده
- دادن
- می رود
- گوگل
- کردم
- دست
- سخت
- مخلوط
- حس کردن
- آیا
- هدر
- کمک
- اینجا کلیک نمایید
- خنده دار
- بیمارستان ها
- میزبان
- چگونه
- HTML
- HTTPS
- اندیشه
- if
- تأثیر
- پیاده سازی ها
- in
- در دیگر
- شامل
- مشمول
- مستقل
- اطلاعات
- شالوده
- در ابتدا
- ابداع
- داخل
- نمونه
- تمامیت
- جالب
- رابط
- به
- IT
- خود
- JPG
- تنها
- فقط یکی
- نگه داشته شد
- کلید
- کلید
- نام
- راه اندازی
- کمترین
- کتابخانه
- پسندیدن
- محدود شده
- لاین
- ارتباط دادن
- لینک ها
- کوچک
- نگاه کنيد
- از دست رفته
- مک
- شعبده بازي
- مدیر
- به معنی
- پیام
- پیام
- مایکروسافت
- قدرت
- MITM
- مدل
- حالت های
- ماه
- بیش
- اکثر
- بسیار
- چندگانه
- بومی
- لازم
- نیاز
- ضروری
- نه
- شبکه
- جدید
- نه
- نه
- طبیعی
- قابل توجه
- اطلاع..
- یادداشت برداری
- رمان
- اکنون
- عدد
- تعداد
- of
- خاموش
- پیشنهادات
- غالبا
- oh
- قدیمی
- on
- ONE
- فقط
- عملیات
- or
- دیگر
- ما
- خارج
- روی
- بسته
- با ما
- بخش
- ویژه
- کلمه عبور
- مدیر رمز عبور
- کشور
- فاز
- فیشینگ
- فیزیکی
- افلاطون
- هوش داده افلاطون
- PlatoData
- بازی
- پتانسیل
- هدیه
- زیبا
- قبلا
- خصوصی
- کلید خصوصی
- شاید
- مشکل
- عمومی
- کلید عمومی
- پــایتــون
- باجافزار
- نسبتا
- واقعی
- متوجه
- واقعا
- دریافت
- تغییر مسیر
- ثبت نام
- آزاد
- بی میلی
- بقایای
- به یاد داشته باشید
- دور
- حذف شده
- محققان
- REST
- محدودیت
- حفظ شده است
- مجازات
- بازنویسی
- نیرومندی
- مسیریابی
- دویدن
- با خیال راحت
- حماسه
- دلیل
- همان
- گفتن
- دوم
- تیم امنیت لاتاری
- به نظر می رسد
- مشاهده گردید
- کشف و ضبط
- ارسال
- در حال ارسال
- فرستاده
- دنباله
- جدی
- سرور
- سرویس
- خدمات
- جلسه
- تنظیم
- چند
- SHA256
- صدف
- نشان
- نمایش
- شبیه ساز
- تنها
- سایت
- So
- برخی از
- شوروی
- شروع می شود
- ایالات
- TAG
- گرفتن
- مصرف
- هدف
- هدف گذاری
- تکنیک
- آزمون
- تست اجرا
- متن
- که
- La
- شان
- آنها
- سپس
- نظریه
- چیز
- این
- این هفته
- کسانی که
- تهدید
- از طریق
- زمان
- زمان
- به
- هم
- ابزار
- تور
- قطار
- انتقال
- راه اندازی
- مورد اعتماد
- تونل
- دو
- فهمیدن
- غیر دوستانه
- اتحادیه
- منحصر به فرد
- ثبت نشده
- بر
- قابلیت استفاده
- استفاده کنید
- استفاده
- کاربر
- کاربران
- استفاده
- نسخه
- بسیار
- چشم انداز
- آسیب پذیری
- آسیب پذیر
- می خواهم
- بود
- we
- وب
- سایت اینترنتی
- هفته
- خوب
- چی
- چه زمانی
- که
- در حین
- تمام
- چرا
- اراده
- با
- کلمات
- مهاجرت کاری
- خواهد بود
- شما
- شما
- زفیرنت
- صفر