Вы молодец, но все это не гарантирует, что ящик навсегда останется с Вами. Например, про обход двухфакторной аутентификации в GMail писалось буквально на днях, опять же, при наличии троянской программы на Вашем компьютере доступ у атакующего есть везде, где есть доступ у Вас.
Не достаточно чего-то одного, все уровни защиты одинаково необходимы. Для правильной организации защиты все равно необходимо допустить возможность взлома ящика.
Так а в чем фан?
Да, XSS работает именно так.
Да, можно найти ошибку в приложении. Я в таких случаях сообщаю разработчику приложений, чего и Вам порекомендовал бы. А вот найти, что ошибок нет, к сожалению, практически невозможно для более-менее крупного куска кода.
NotScript/NoJS помимо отключения JS имеет функционал предотвращения XSS ошибок. Так же встроенный функционал имеют Chrome и Internet Explorer, в них Ваш пример тоже не работает. Это не гарантирует защиту, но это лучше, чем ничего и иногда спасает.
Да, защита работает если она есть и не работает, если ее нет. Статья была посвящена именно этому.
Да, корпоративные пользователи — это пользователи, даже если они разработчики. Поэтому и им статья тоже адресована.
Напишите в службу поддержки как можно больше всего — ранее использованные пароли, вопросы и ответы на секретные вопросы- все, что может вас идентифицировать, как владельца. На «красивые» емейлы постоянно идут атаки с целью угнать, в т.ч. через восстановление доступа, поэтому к ним служба поддержки относится параноидально. Последние заходы и письма мало чем помогают, нужна информация о действиях, которые были сделаны до утраты ящика. Напишите что ящику более 10 лет, если не помните точную дату — это тоже информация.
Ошибки связанные с функционированием самой почты были, есть, и, как ни печально, в ближайшее время будут. Это понимают все разработчики софта. Да, мы отлавливаем их и стараемся менять и планировать новую архитектуру почты так, чтобы допускать их меньше. И раз Вы так внимательно за ними следите, то согласитесь, что стало лучше, чем было, например, год назад.
В некоторых случаях мы завязаны на другие проекты, например для secure-флага требуется чтобы связанные проекты реализовали поддержку https. Проект files, например, реализовал поддержку https в конце февраля, так что да, мы об этом знаем и работаем.
Как было сказано чуть выше, для пользователя есть способы защиты и от этих ошибок, но с определенными сайд-эффектами которые надо понимать. В частности, привязка сессии к IP адресу (есть в настройках безопасности) помогает во многих случаях защититься от воровства кук. Установка плагинов типа NotScript/NoJS во многих случах (в частности в Вашем примере) спасает от XSS.
А если хотите продолжать, то, повторюсь, мы с удовольствием примем на работу специалистов по безопасности, присылайте резюме.
Не самый правильный вариант, кстати. Если пароли все-таки в большинстве случаев хранят в виде хэешей, то ответы на секретные вопросы могут хранить и в открытом тексте. Если с какого-нибудь форума уведут базу эккаунтов, где будет ответ на секретный вопрос в открытом тексте, то есть возможность остаться без всех учеток сразу.
Предвидя вопрос: мы секретные ответы перед хранением нормализуем, солим и хэшируем.
Принимает — да, но использует первые 8. Посмотрите сорсы libpurple, которая входит в состав Pidgin, файлы protocols/oscar/oscar.h, protocols/oscar/familiy_icq.c.
Это не проблема Pidgin, это проблема протокола, которая унаследована вместе с ICQ и решить ее можно только изменив протокол (и поломав совместимость с существующими клиентами).
Но знаете, я про ICQ могу сказать не больше любого другого человека, который может поискать сорсы в интернетах. Лучше задать вопрос по планам относительно протокола разработчикам ICQ.
Вопрос, на самом деле хороший, но не в тему поста, попрошу коллег из ICQ ответить.
Быстрый поиск по define MAXICQPASSLEN показывает, что скорее всего да. И более того, если его просто увеличить, то как минимум Pidgin и Aim сломаются. Думаю, это отвечает на следующий вопрос.
3. Шифровальные (криптографические) средства, являющиеся компонентами программных операционных систем, криптографические возможности которых не могут быть изменены пользователями, которые разработаны для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и техническая документация (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т.д.) на которые является доступной.
— сюда проходят все пользовательские ОС, включая телефонные.
8. Портативные или мобильные радиоэлектронные средства гражданского назначения (например, для использования в коммерческих гражданских системах сотовой радиосвязи), которые не способны к сквозному шифрованию (т.е. от абонента до абонента).
— т.е. любой сотовый телефон без функций шифрования голосового потока.
А вообще — просто поищите на той же странице по продуктам на которые поданы нотификации. Практически по всем популярным моделям телефонов они поданы, вы можете их свободно ввозить. Например iPhone 5 с iOS 6 со 2го октября.
Почему незаконной? Вы как раз таки сослались на документ, который указывает, какие криптографические средства не требуют сертификации, на них достаточно подать нотификацию. Т.е. если вы ввозите партию телефонов с поддержкой SSL, то обязаны подать заявление (нотификацию), но не обязаны получать каких-либо разрешений.
В «спам» попадают письма не из-за того, что у домена рассыльщика плохая репутация в postmaster, решение о блокировке принимается независимо от репутации, хотя и коррелирует с ней, потому что в расчет берутся примерно те же факторы, в частности количество жалоб. Если вы сделаете «грязную» рассылку с нарушением правил или по списку без opt-in, то проблемы будут независимо от того, будет использован DKIM и домен зарегистрирован в postmaster или нет, репутация в postmaster не связана с этим решением напрямую. Рассылки «влетят» в блеклисты по каким-либо параметрам, после чего вынести их будет довольно сложно. Но вот если рассыльщик «легально» зарегистрирован в постмастере, корректно оформляет рассылки и подписывает письма, то вероятность того, что будет заблокирована легальная рассылка существенно меньше.
ну да, а народ плачет, колется бьется током в момент замены лампочки, но продолжает паять конденсаторы вместо того, чтобы два провода в ближайшей коробке местами поменять.
Не достаточно чего-то одного, все уровни защиты одинаково необходимы. Для правильной организации защиты все равно необходимо допустить возможность взлома ящика.
Да, XSS работает именно так.
Да, можно найти ошибку в приложении. Я в таких случаях сообщаю разработчику приложений, чего и Вам порекомендовал бы. А вот найти, что ошибок нет, к сожалению, практически невозможно для более-менее крупного куска кода.
NotScript/NoJS помимо отключения JS имеет функционал предотвращения XSS ошибок. Так же встроенный функционал имеют Chrome и Internet Explorer, в них Ваш пример тоже не работает. Это не гарантирует защиту, но это лучше, чем ничего и иногда спасает.
Да, защита работает если она есть и не работает, если ее нет. Статья была посвящена именно этому.
Да, корпоративные пользователи — это пользователи, даже если они разработчики. Поэтому и им статья тоже адресована.
Ошибки связанные с функционированием самой почты были, есть, и, как ни печально, в ближайшее время будут. Это понимают все разработчики софта. Да, мы отлавливаем их и стараемся менять и планировать новую архитектуру почты так, чтобы допускать их меньше. И раз Вы так внимательно за ними следите, то согласитесь, что стало лучше, чем было, например, год назад.
В некоторых случаях мы завязаны на другие проекты, например для secure-флага требуется чтобы связанные проекты реализовали поддержку https. Проект files, например, реализовал поддержку https в конце февраля, так что да, мы об этом знаем и работаем.
Как было сказано чуть выше, для пользователя есть способы защиты и от этих ошибок, но с определенными сайд-эффектами которые надо понимать. В частности, привязка сессии к IP адресу (есть в настройках безопасности) помогает во многих случаях защититься от воровства кук. Установка плагинов типа NotScript/NoJS во многих случах (в частности в Вашем примере) спасает от XSS.
А если хотите продолжать, то, повторюсь, мы с удовольствием примем на работу специалистов по безопасности, присылайте резюме.
Предвидя вопрос: мы секретные ответы перед хранением нормализуем, солим и хэшируем.
#define MAXICQPASSLEN 8
…
if (passwdlen > MAXICQPASSLEN)
passwdlen = MAXICQPASSLEN;
Это не проблема Pidgin, это проблема протокола, которая унаследована вместе с ICQ и решить ее можно только изменив протокол (и поломав совместимость с существующими клиентами).
Но знаете, я про ICQ могу сказать не больше любого другого человека, который может поискать сорсы в интернетах. Лучше задать вопрос по планам относительно протокола разработчикам ICQ.
Быстрый поиск по define MAXICQPASSLEN показывает, что скорее всего да. И более того, если его просто увеличить, то как минимум Pidgin и Aim сломаются. Думаю, это отвечает на следующий вопрос.
3. Шифровальные (криптографические) средства, являющиеся компонентами программных операционных систем, криптографические возможности которых не могут быть изменены пользователями, которые разработаны для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и техническая документация (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т.д.) на которые является доступной.
— сюда проходят все пользовательские ОС, включая телефонные.
8. Портативные или мобильные радиоэлектронные средства гражданского назначения (например, для использования в коммерческих гражданских системах сотовой радиосвязи), которые не способны к сквозному шифрованию (т.е. от абонента до абонента).
— т.е. любой сотовый телефон без функций шифрования голосового потока.
А вообще — просто поищите на той же странице по продуктам на которые поданы нотификации. Практически по всем популярным моделям телефонов они поданы, вы можете их свободно ввозить. Например iPhone 5 с iOS 6 со 2го октября.
Но вообще как-то странно — из-за большого количества POP3-подключений блокировать доступ к Web-интерфейсу.
колетсябьется током в момент замены лампочки, но продолжает паять конденсаторы вместо того, чтобы два провода в ближайшей коробке местами поменять.