Mình nghĩ cần điều chỉnh lại 1 chút:

- Đề phòng client không hỗ trợ SSL
 

Hầu hết các web brower giờ cái nào không hỗ trợ SSL?
 

Gõ http:// thì trang web sẽ wwwect về https để ép người dùng sử dụng https.
 

Mình confirm là Apache phiên bản mới (mình không nhớ rõ 2.x bao nhiêu) nhưng cho phép 1 IP multiple ssl certs.
 

@freakmind

cert chứa domain trong CN, nên client kiểm tra là kiểm tra domain name. Còn việc hạn chế 1 ip - 1 cert là do hạn chế của Name Virtual Host đối với apache httpd http://wiki.apache.org/httpd/NameBasedSSLVHosts

Trong tài liệu bạn gửi có sơ đồ cụ thể cho việc này. Lúc thiết lập SSL thì HTTP GET request chưa được web server handle nên chưa thể xử lý Name Virtual Host (field Host trong HTTP request) -> 1 ip chỉ có thể gắn với 1 cert, tuy nhiên không có ai cấm bạn sử dụng 1 cert cho nhiều ip, tất nhiên với điều kiện là các ip đó đều resolve ra 1 domain đã ghi trong CN của cert đó.
 

@freakmind

Xin bạn nói rõ hơn việc 1 cert chỉ gắn với một ip và domain?

Theo tui nghĩ thì cert chỉ gắn với domain. Domain có thể có nhiều ip (load balancing).

Xin nói thêm nếu arp poison + sslstrip thì attacker có thể lấy được session cookie 

freakmind wrote:

Mình nghĩ có một số lý do chính :
- Đề phòng client không hỗ trợ SSL
- Performance (cost cho server encrypt...)
- Không ai để home page là https cả vì chắc chắn là người dùng sẽ gõ thiếu
- Chỉ dùng được 1 domain trên 1 ip với https
 

Cái màu vàng này hay à nha. Bạn giải thích một chút được không?  

myquartz wrote:

FB, Gmail và Yahoo áp dụng cái này giờ khó rồi.
Đơn giản là hãy dùng HTTPS, cả 3 site trên đều cho phép bật mặc định dùng HTTPS. Mã hoá rồi thì man trên giời cũng ko middle được (dĩ nhiên cũng phải biết tí chút là khi nào SSL Cert bị giả mạo và trình duyệt từ chối nhé). 

Ai trong dân kĩ thuật cũng biết SSL/TLS sẽ hỗ trợ việc chống lại man-in-middle attack. Thế nhưng đó là người dùng am hiểu kĩ thuật, còn người dùng bình thường chả mấy quan tâm, nhất là dân business.

Việc HTTPS không được yêu cầu mặc định trong các website cũng là một nguyên nhân khiến kiểu tấn công này vẫn dung hại. Đáng nhẽ các website phải ép người dùng dùng HTTPS để an toàn

Đã bảo là cái title được giật cho vui và để có cái mà bàn luận mà, dĩ nhiên thực tế là Gmail và Yahoo đã chơi trò ép người dùng được một thời gian rồi

Mặt khác, SSL/TLS hiện đang bị kiểu tấn công do lão mrro mới công bố đe doạ nghiêm trọng. Kĩ thuật tấn công đó khó khăn khi tấn công từ xa, nhưng nếu tấn công trong một mạng local dạng mạng wireless, khi các dữ liệu dễ dàng bị nghe lén thì khả năng tấn công diễn ra dễ dàng hơn rất nhiều. Đọc thêm bài viết trên blog của lão mrro để rõ thêm

Một câu hỏi nhỏ: Các bạn thử nghĩ tại sao mà các trang web hầu hết đều không áp dụng giao thức HTTPS là yêu cầu kết nối mặc định ?  

Mình nhận được của 1 trường ĐH tư ở Malaysia 

xin lỗi BQT do không có mục nào hướng dẫn về web nên mem ko biết để vào mục nào cho phải

chào mọi người mình đang viết ứng dụng về semantic web.
cho mình hỏi ai biết sử dụng chương trình protege hay altova semanticWorks không xin cho mình hướng dẫn cơ bản để sử dụng được chương trình.

và cho hỏi thêm nữa là VD mình đã có ontology http://www.mediafire.com/?dw9ayx1gwyy5ihe
giờ làm thế nào để biểu diễn nó trên website (viết bằng PHP)
mong mọi người chỉ giáo
cảm ơn nhiều
chúc mọi người vui vẻ 

có bác nào biết các giới hạn số lượng kết nối tại một thời điểm trong squid ạ chỉ em với. 

acl [Name] [Iprange]
acl limitusercon maxconn [number]
http_access deny [Name] limitusercon

Is memcached secure?

Access to memcached is not protected by a username and password, neither is the data within it. So while access control does not exist natively for memcached, simple things can be done to harden your instance of memcached to make it secure:

* Prevent external access - Deploy memcached behind your firewall and only allow machines from within a specific network to access to the cache.
* Encrypt the data you store in the cache – I personally feel like this is overkill because for most applications it adds an extra hoop to jump through every single time you visit the cache. But for the hyper-paranoid that work in shared environments, I suppose this is something worth considering.
* Choose obscure keys – there is no way for a user to query memcached for a list of keys, therefore the only way for someone to retrieve information stored there is if they know the key for the corresponding information. Therefore, if your keys have predictable names then it would be relatively easy for someone to guess them. So make your keys somewhat obscure. Consider creating a simple key like “object:10032” and then generate a sha1 hash of it. This will create a very obscure key name while using a very standard, easy to remember key naming scheme of your choosing.

So is memcached secure? Well, while it does not have built in security features, it can easily be made secure.
 

1/ Thế code đó khi đem cái crackpass.py về localhost chạy nó có thành công không?

2/ Nếu server không stable mà chạy không được thì code chưa tốt rồi, cần suy nghĩ thêm. Ở trên có gợi ý cách giải quyết đó. 

mình đã cài đặt ok rồi, và chạy cũng được, nhưng trong phần load không có mục local , còn các phần như session, encrypted SAM mình không hiểu là gì, bạn có thể chỉ mình được không, mình cảm ơn nhiều lắm 

Encrypted SAM : To import hashes from the SYSTEM and SAM files located in the Windows system32/config directory. You can only access these files on a Windows partition from which Windows was NOT started.
 

Session file: To restore a previously recorded automatic session file.
 

Thôi nào bình tĩnh đi mấy bồ hai bồ đang thảo luận rất đúng hướng về vấn đề side-channel attack mà

Nhận tiện thảo luận về vấn đề Side-Channel attack, tớ thắc mắc không rõ Social Engineering có phải là một dạng Side-Channel attack ko ? vì nó cũng không tấn công ngay vào trực diện đối tượng mà tấn công các đối tượng gián tiếp  

Attempts to break a cryptosystem by deceiving or coercing people
with legitimate access are not typically called side-channel attacks

CÁc pro chỉ giúp mình xài ophcrack trên linux với, mình cài đặt xong rồi nhưng không biết sử dụng như thế nào, ở window thì khi cài xong thì load là ok, còn linux thì mình không biết có cần cấu hình gì khi cài đặt xong không, các thứ cần thiết mình đã có đầy đủ, mong mọi người chỉ giáo giúp 

bây giờ thì rỏ thèn nào thích tỏ vẻ rồi nhé ) 

tỏ vẻ với bạn làm mẹ gì, rách việc .

Còn thích source à, đây :

Code:

/* Copyright (c) Microsoft Corporation. All rights reserved. */
#include <mmlite.h>
#include <tchar.h>
#if defined(_MSC_VER) && !defined(_DEBUG)
#pragma function(strcmp)
#endif
#if defined(_MSC_VER) && (_MSC_VER != 1400 || !defined(ppc)) && (_MSC_VER != 1310) && (_MSC_VER != 1200) && defined(_UNICODE)
#pragma function(wcscmp)
#endif
/* Compare strings pointed by pSrt1, pSrt2. Return 0 if same, < 0 if pStr1
* less then pStr2, > 0 otherwise.
*/
int _tcscmp(const _TCHAR *pStr1, const _TCHAR *pStr2)
{
_TCHAR c1, c2;
INT v;
do {
c1 = *pStr1++;
c2 = *pStr2++;
/* the casts are necessary when pStr1 is shorter & char is signed */
v = (UINT)c1 - (UINT)c2;
} while ((v == 0) && (c1 != '\0'));
return v;
}

copyright @ Mircosoft nhá =]]

@g4mm4 : em hông có host, mà cái time link trên nó trả về khá ổn định đó anh, thử đi nhé  

Đó chỉ là một đoạn code check password thôi, không có yêu cầu code này không bị lỗi nha. Nên mình thích viết vậy đấy, chủ topic muốn có một ví dụ để thử nghiệm mà ) . Và nếu không biết strcmp hoạt động thế nào, thì mình đã chẳng viết như trên  

truyennxt wrote:

to cr4zyb0y: Rất vui nếu bạn đã viết xong thì hãy gửi cho mọi người xem.

To lamer: Em thực sự không phải dân chuyên cntt . Em đang theo học Banking và đang muốn học thêm cntt. Vì thế anh bảo em viết code thì em ko thể viết ngay mà phải "đọc hiểu" đã anh ạ . 

Code:

ori_pass = "AAA"
def check_pass(input):
i = 0
for c in ori_pass :
if(c != input[i]):
return False
else :
i = i + 1
return True
if __name__ == '__main__':
input = str(raw_input())
if (len(input) == len(ori_pass)) and check_pass(input):
print "You got it !"

Code đây, ai thử attack đi  

for (i = 0; i < sizeof(secret_passwd); i++) {
result &= (s[i] == secret_passwd[i]);
}
return result;

truyennxt wrote:

Trong mấy ngày qua mình có đọc về cái kiểu tấn công này. Trong bài đọc mình thấy sơ qua ý chính của kiểu tấn công này là lợi dụng "độ trễ" (latency). Vậy "độ trễ" là gì mà attacker lại tấn công nó mà lấy đi USD ở thị trường chứng khoán. Mình có ý định lên hỏi "độ trễ" là gì, nhưng nghĩ ngẫm "nên tìm hiểu trước khi hỏi". Nên mình ngồi mạng search về cái khái niệm khó hiểu này.

Khái niệm độ trễ biểu thị quãng thời gian bạn phải chờ trước khi nhận được thứ mình cần. Theo từ điển Merriam-Webster thì latency có nghĩa là 'khoảng thời gian từ khi ra lệnh đến khi nhận được sự phản hồi' 

Mình chỉ biết là như vậy, và "theo mình nghĩ" thì khi một lệnh A được gửi đi rồi "chờ" phản hồi lại thì attacker sẽ lợi dụng thời điểm đó để có thể "can thiệp" rồi gửi phản hồi "giả". Cộng thêm có thể "chặn" phản hồi "thật".

Vậy về phượng diện "sâu" hơn của "kỹ thuật" thì attacker làm thế nào để "lợi dụng" độ trễ này? 

Hiểu sai rồi, side-channel attack dựa vào các thông tin phản hồi trong xử lý thông tin ví dụ như thời gian để dự đoán các tiến trình xử lý của ứng dụng.

Một ví dụ như thế này:
input là string password nhập vào để kiểm tra

Code:

input = args;
for (k=0;k<input.length();k++) {
if (input[k]!=password[k]) {
exit("wrong password")
else {
for (i=0;i<1000000;i++) { do_something() }
}
}

Đoạn mã trên có thể bị lỗi Side-Channel-Attack, và attacker có thể lợi dụng để tìm ra password. Thử tìm hiểu tại sao xem nhỉ ?> 

chào mọi người,

mình bắt đầu viết loạt bài trên blog cá nhân (vì hiện giờ HVA chưa hỗ trợ LaTeX) để giới thiệu mật mã hiện đại. hi vọng là sẽ nhận được nhiều góp ý, câu hỏi cũng như thảo luận.

- Bài 1: http://vnhacker.blogspot.com/2010/05/mat-ma-hien-ai-1.html

-m  

Em đang có hướng sẽ cố gắng học master ở nước ngoài chuyên ngành quản trị hệ thống (System Administrator) trong khoảng 2 năm tới.

Nhờ mọi người định hướng giúp em, để em có cái bia rõ ràng mà phóng tên cho nó chuẩn

- Em cần phải chuẩn bị những gì?
- Trường nào thì phù hợp
- Học bổng
...



 

heroandtn3 wrote:

Ikut3 wrote:

Mọi người chỉ lo bảo vệ password thôi. Thế còn username thì sao ? .
Trong khái niệm authentication (2factor) thì username = 50 % - password = 50%

Ở đây ví dụ mình đặt user - pass thế này

Code:

suamaydao - 123456elcaro

Mọi người có thấy username kia có gì lạ không ? 

Không . Có điểm đặc biệt là user này xuất phát từ chữ ký của anh xnohat.
Có gì lạ ở đây hả bạn? 

Cậu tô đậm user - password sau đó view source là thấy.

Để rõ hơn cậu so sánh với cái này

Code:

suamaydao - 123456elcaro

Mình nghĩ nó lạ đó  

mình đã làm theo hướng dẫn ở trang: http://www.backtrack-linux.org/tutorials/usb-live-install/

extract thành công
nhưng khi khởi động lại máy thì chưa bôt đc!(có lẽ thiếu file boot)
mình đã search rồi nhưng vẫn chưa bít phải làm thế nào! bạn nào rảnh thì chỉ mình nha!

tiện thể cho hỏi main G31 có mặc định cho phép boot từ USb ko?
nếu không thì xin đc chỉ giáo! 

conco711 wrote:

Mình muốn theo con đường viết phần mềm diệt virus thì phải học như thế nào? 

Cái đấy đơn giản mà?
trước tiên phải học quang boom và lựu đạn như bác quảng  

Hình như có một số bạn bị ngộ nhận giữa việc tồn tại nhiều dự án về cloud, việc người ta nghe nói nhiều đến cloud, với sự hứa hẹn mức độ thành công của cloud.

Riếng bản thân mình cho rằng cái điều khó khăn nhất trong commercial cloud computing không phải là về infrastructure hay performance, mà là về security. Bản thân security research về cloud vẫn còn quá nhiều vấn đề phải giải quyết, vì vậy mình chưa nhìn ra được bất cứ một sự hứa hẹn nào về cloud trong tương lai gần.

Ngay cả bản thân các công ty như MS, google, yahoo mặc dù đang phát triển cloud nhưng mình không chắc đến bao giờ họ mới cho ra cái cloud nào ổn ổn. Cái này mình đã trực tiếp trao đổi với một bác làm ở MS research và một prof ở USyd nên cũng biết chút đỉnh.  

@motminhanh: cloud computing còn đang trong cái nôi phát triển về mọi mặt, trong tương lai gần bạn khó mà có thể làm gỉ được. Nếu làm về mảng này có lẽ chỉ đi lên PhD thì có tương lai, chứ về mặt ứng dụng thì khó sống.

Nếu bạn muốn làm về security của cloud computing thì có một số các vấn đề mở khá phổ biến như SLA, resource allocation, separation of resources, fairness, etc.