Хроники пентестера

[@noonesshadow]

>> используйте стойкие, уникальные пароли везде, особенно на внешних веб-приложениях.
>> Доступ к интерфейсам администрирования сайтом предоставляйте только доверенному списку IP-адресов.
Советы 5летней давности
Авторизация по сертификатам, лучше IPSec.

[@bondbig]

ipsec к авторизации не имеет никакого отношения, если что -)

[@noonesshadow]

Имеет)

[@bondbig]

Ох, неужели? И какое же?

[@noonesshadow]

Определимся с терминологией:
Идентификация — присвоение чему-либо (пользователям например) идентификаторов, а также получение от чего-либо (пользователя) идентификатора для сопоставления с данными в системе
Самый простой пример — логин
Аутентификация — подтверждение аутентичности идентификатора (права пользоваться этим идентификатором)
Например используя:
— Пароль
— Токен
— Сертификат IPSec

Авторизация — на основании подтвержденного идентификатора предоставление доступа к разрешенным ресурсам системы

Многие реализации IPSec могут авторизовывать пользователей и компьютеры (разрешено-запрещено подключение) на основе данных аутетнификации

[@bondbig]

Я рад, что ты все-таки разобрался с терминологией и сделал это меньше чем за сутки. Отличный результат.
Теперь ты знаешь, что ipsec не имеет к авторизации никакого отношения, лишь к аутентификации в некоторых реализациях.

[@noonesshadow]

к аутентификации IPSec имеет отношение всегда
к авторизации — в зависимости от задачи, он МОЖЕТ авторизовать, если этого требует задача

[@bondbig]

ок, покажи мне реализацию ipsec, которая производит авторизацию.

[@noonesshadow]

Реализации этого rfc
tools.ietf.org/html/rfc4301

[@bondbig]

ок, зачтем PAD как имеющую отношение к ipsec.

[@noonesshadow]

любая политика доступа — это уже авторизация
SPD туда же :)

[@devteev]

смысл в том, что некоторые вещи остаются неизменными ;)

[@noonesshadow]

Я уже немного пожалел о резкости первого комментария, виноват, не посмотрел сразу в профиль
С уважением отношусь к вашему продукту xspider
Чего, правда, не могу сказать о секлабе..)

Но правда, стойкие пароли к ftp, это же… вызывает улыбку… стойкий пароль который передается открытым текстом…

[@devteev]

да, секлаб действительно порой неожиданно (!) удивляет, например — http://www.securitylab.ru/analytics/407323.php

>> Но правда, стойкие пароли к ftp, это же… вызывает улыбку… стойкий пароль который передается открытым текстом…

не соглашусь! пароль действительно передается открытым текстом, но для того, чтобы его перехватить злоумышленнику требуется прослушивать этот трафик, т.е. преодолеть некоторые защитные механизмы. Тут речь больше идет о том, что использовать пароль вида «123» на ftp не является безопасным) И разумеется стоит использовать защищенные протоколы везде, где это возможно.

[@videns]

Плохая статья, нет ни одного упоминания и скриншота MaxPatrol ((

[@devteev]

^_^ :D

[@LukaSafonov]

Не хватает пункта — повышение уровня осведомленности пользователей.

[@Raz0r]

Кому нужно повышать осведомленность в плане веб-безопасности в первую очередь, так это администраторам. Многие из них просто не в курсе как обеспечить выполнение пунктов, перечисленных в статье.