نمایش نتایج 1 تا 40 از 86

نام تاپیک: پروژه نظارت و کنترل از راه دور

Hybrid View

پست قبلی پست قبلی   پست بعدی پست بعدی
  1. #1

    نقل قول: پروژه نظارت و کنترل از راه دور

    نقل قول نوشته شده توسط Bad Programmer مشاهده تاپیک
    منم تعجب میکنم که استفاده از گواهینامه self-signed رو دور زدن ssl به حساب میارید.
    کلا همتون حرف زدن هاتون مغرضانه و بچه گانه است!
    فقط میخواید کل کل الکی بکنید بگید من اشتباه میکنم و چیزی بارم نیست
    حرف توی دهن آدم میذارن شما کی هستید به خدا
    من کجا گفتم این دور زدن SSL است؟!
    توضیح دادم ساختار و سلسله مراتب گواهینامه ها و طرز کار این پروتکل در وب چطور است، این مورد رو هم مثال زدم بعنوان نشانه و شواهدی بر صحت مطالبی که بیان کردم.
    وقتی گفتم مرورگر به کاربر هشدار میده میگه امن نیست ولی اگر خودت تایید میکنی قبولش کنیم، این چه ربطی به دور زدن SSL داره؟! تصمیمی هست که کاربر خودش میگیره چون ممکنه اون مورد امنیت براش مهم نباشه یا ممکنه از طریق دیگری مطلع هست که مشکلی وجود نداره و اون گواهینامه جعلی نیست.

  2. #2

    نقل قول: پروژه نظارت و کنترل از راه دور

    البته خود پروتکل SSL/TLS نقطهء ضعفش دقیقا در همین CA ها است. چون در امنیت معنا نداره شما به یک Third party اعتماد کنید. یعنی از این کار تا میشه اجتناب میکنن. ولی خب بهرحال ظاهرا راه دیگری نداشته روش بهتری کسی نتونسته ارائه کنه برای امنیت ارتباط کاربر با وبسایت ها در اینترنت جهانی.
    ضمنا خطر هک و سوء استفاده از CA ها همیشه وجود داره که قبلا هم نمونه اش رخ داده. بطور مثال: https://en.wikipedia.org/wiki/DigiNo...t_certificates

  3. #3
    کاربر دائمی آواتار golbafan
    تاریخ عضویت
    اردیبهشت 1388
    محل زندگی
    در قلب دوستان
    پست
    2,018

    نقل قول: پروژه نظارت و کنترل از راه دور

    نقل قول نوشته شده توسط SZsXsZS مشاهده تاپیک
    البته خود پروتکل SSL/TLS نقطهء ضعفش دقیقا در همین CA ها است. چون در امنیت معنا نداره شما به یک Third party اعتماد کنید. یعنی از این کار تا میشه اجتناب میکنن. ولی خب بهرحال ظاهرا راه دیگری نداشته روش بهتری کسی نتونسته ارائه کنه برای امنیت ارتباط کاربر با وبسایت ها در اینترنت جهانی.
    ضمنا خطر هک و سوء استفاده از CA ها همیشه وجود داره که قبلا هم نمونه اش رخ داده. بطور مثال: https://en.wikipedia.org/wiki/DigiNo...t_certificates
    خب این همونیه که من در چند پست قبل اشاره کردم و روش کاربردی رو هم به همراه تعریف MITM براتون نقل کردم...
    مساله همینه
    امنیت باید همه جانبه باشه.
    اشکالی هم که من از برنامه شما گرفتم مربوط به روش رمز نگاریتون نیست. بلکه مربوط به روش PPP در ارتباط رایانه هاست... حتی این مشکل در حالت P2P هم که معمولا در شبکه های داخلی شرکت ها و ادارات پیاده میشه موجوده
    شما وقتی ارتباط این نرم افزارها رو برقرار میکنی بالاخره باید به فایر وال اجازه بدی که از این درگاهها اطلاعات رد و بدل بشه.

    یک تست بهت میگم انجام بده...
    نرم افزارت رو با حالت run as admin اجرا کن و ببین چه پیامی میده؟
    اونوقت میبینی که فایر وال به خود نرم افزار این اجازه رو نمیده (چون امضا نداره) بلاکه داره درگاه رو برات باز میکنه و این خطرناکه

  4. #4

    نقل قول: پروژه نظارت و کنترل از راه دور

    نقل قول نوشته شده توسط golbafan مشاهده تاپیک
    خب این همونیه که من در چند پست قبل اشاره کردم و روش کاربردی رو هم به همراه تعریف MITM براتون نقل کردم...
    مساله همینه
    امنیت باید همه جانبه باشه.
    اشکالی هم که من از برنامه شما گرفتم مربوط به روش رمز نگاریتون نیست. بلکه مربوط به روش PPP در ارتباط رایانه هاست... حتی این مشکل در حالت P2P هم که معمولا در شبکه های داخلی شرکت ها و ادارات پیاده میشه موجوده
    شما وقتی ارتباط این نرم افزارها رو برقرار میکنی بالاخره باید به فایر وال اجازه بدی که از این درگاهها اطلاعات رد و بدل بشه.

    یک تست بهت میگم انجام بده...
    نرم افزارت رو با حالت run as admin اجرا کن و ببین چه پیامی میده؟
    اونوقت میبینی که فایر وال به خود نرم افزار این اجازه رو نمیده (چون امضا نداره) بلاکه داره درگاه رو برات باز میکنه و این خطرناکه
    برنامه من اشکالش از نظر خودم کمبودهای مهمش ایناست:
    - باید برای هر جلسه ارتباطی یک session key جدید ایجاد و استفاده بشه (الان همیشه از master key استفاده میشه).
    - مسئلهء پیچیده تر forward secrecy که نداره. برای این منظور باید از الگوریتم ها/پروتکل های پیشرفته ای استفاده کرد که باعث میشن اگر کلید اصلی دست نفوذگر بیفته با این حال نتونه ارتباطات قبلی رو رمزگشایی کنه. البته این یک ویژگی پیشرفته است که فکر میکنم خیلی از نرم افزارهای دیگر هم ندارن، ولی بهرصورت چیز خوبیه دیگه!! من دنبالش نرفتم دقیق نمیدونم چطور باید پیاده اش کرد، اونم برنامهء من که ارتباطش از طریق HTTP است و حالت سوکت مستقیم و پایدار نداره شاید به همین خاطر از یکسری کتابخانه های مربوطه نشه درش استفاده کرد.
    - امکانی برای تغییر کلید از راه دور (از طریق سمت مانیتورینگ) باید بهش اضافه کنم ویژگی مفیدیه (هم کلید کلاینت ها و هم کلید سرور واسط رو بشه توسط برنامهء کنترل تغییر داد).

    بقیش دیگه نمیفهمم چی میگی اصلا منظورت چیه! بنظرم باید بیشتر توضیح بدی. دقیقا بگو اشکال برنامهء من کجاست چطوری چه حمله و نفوذ یا سوء استفاده ای ازش ممکنه.

  5. #5
    کاربر دائمی آواتار golbafan
    تاریخ عضویت
    اردیبهشت 1388
    محل زندگی
    در قلب دوستان
    پست
    2,018

    نقل قول: پروژه نظارت و کنترل از راه دور

    نقل قول نوشته شده توسط SZsXsZS مشاهده تاپیک
    برنامه من اشکالش از نظر خودم کمبودهای مهمش ایناست:
    - باید برای هر جلسه ارتباطی یک session key جدید ایجاد و استفاده بشه (الان همیشه از master key استفاده میشه).
    - مسئلهء پیچیده تر forward secrecy که نداره. برای این منظور باید از الگوریتم ها/پروتکل های پیشرفته ای استفاده کرد که باعث میشن اگر کلید اصلی دست نفوذگر بیفته با این حال نتونه ارتباطات قبلی رو رمزگشایی کنه. البته این یک ویژگی پیشرفته است که فکر میکنم خیلی از نرم افزارهای دیگر هم ندارن، ولی بهرصورت چیز خوبیه دیگه!! من دنبالش نرفتم دقیق نمیدونم چطور باید پیاده اش کرد، اونم برنامهء من که ارتباطش از طریق HTTP است و حالت سوکت مستقیم و پایدار نداره شاید به همین خاطر از یکسری کتابخانه های مربوطه نشه درش استفاده کرد.
    - امکانی برای تغییر کلید از راه دور (از طریق سمت مانیتورینگ) باید بهش اضافه کنم ویژگی مفیدیه (هم کلید کلاینت ها و هم کلید سرور واسط رو بشه توسط برنامهء کنترل تغییر داد).
    فکر نمیکنم بشه forward secrecy رو براحتی روی http پیاده کنی. بنظرم باید همون ssl/tls رو با یک روش رمزنگاری مثل ECDHE پیاده کنی. اگه یک چیز آماده بخوای، کتابخانه openssl تمام موارد مورد نیاز شما رو داره.

    بقیش دیگه نمیفهمم چی میگی اصلا منظورت چیه! بنظرم باید بیشتر توضیح بدی. دقیقا بگو اشکال برنامهء من کجاست چطوری چه حمله و نفوذ یا سوء استفاده ای ازش ممکنه.
    خود نرم افزار به تنهایی مشکلی نداره. مشکل موقعی پیش میاد که شما بخوای مثلا از طریق اینترنت این ارتباط ها رو انجام بدی (یک جا خوندم که از یک کانتر بصورت هش شده استفاده کردی تا یک سری ارتباطات رو سازماندهی کنی) خب اگر شبکه اینترنت باشه و نا امن باشه میشه خیلی راحت ارتباط رو جعل کرد و نفوذ رو انجام داد!!!
    پس راه درست همون استفاده از ssl/tls هست با یک رمزنگاری نامتقارن مثل ECDHE که قابلیت forward secrecy رو بهت بده


    اینم ببین:
    http://sublimerobots.com/2015/01/sim...xample-python/

    اومده از روشهای Key Exchange استفاده کرده

  6. #6

    نقل قول: پروژه نظارت و کنترل از راه دور

    یک جا خوندم که از یک کانتر بصورت هش شده استفاده کردی تا یک سری ارتباطات رو سازماندهی کنی
    یادم نمیاد جایی چنین چیزی گفته باشم
    نقل قول نوشته شده توسط golbafan مشاهده تاپیک
    خود نرم افزار به تنهایی مشکلی نداره. مشکل موقعی پیش میاد که شما بخوای مثلا از طریق اینترنت این ارتباط ها رو انجام بدی خب اگر شبکه اینترنت باشه و نا امن باشه میشه خیلی راحت ارتباط رو جعل کرد و نفوذ رو انجام داد!!!
    آقا جان یه چیزی میگی ها!
    ارتباط رو بدون داشتن کلید رمزگذاری چطور میشه جعل کرد؟!!
    منظورت اصلا مشخص نیست.
    ما فرض میکنیم به کلاینت ها و سرور واسط نفوذ و دسترسی ای توسط یک هکر صورت نگرفته. در این صورت تنها راه نفوذگر اینه که دیتای رد و بدل شده رو بخونه یا دستکاری کنه. ولی این اطلاعات تماما رمز شده هستن. هیچکس بدون کلید نه میتونه اطلاعاتی رو بخونه و نه میتونه دستکاری کنه (اگر دستکاری کنه برنامه با چک کردن HMAC متوجه میشه و اون اطلاعات رو دور میندازه).

  7. #7
    کاربر دائمی آواتار golbafan
    تاریخ عضویت
    اردیبهشت 1388
    محل زندگی
    در قلب دوستان
    پست
    2,018

    نقل قول: پروژه نظارت و کنترل از راه دور

    نقل قول نوشته شده توسط SZsXsZS مشاهده تاپیک
    ارتباط رو بدون داشتن کلید رمزگذاری چطور میشه جعل کرد؟!!
    وای خداااااا
    چند بار باید توضیح بدم؟؟؟

    اصلا اصلا اصلا قرار نیست دیتای نرم افزار شما رو کاری باهاش داشته باشیم. تا اینجا درست؟
    قرار هم نیست کاری به رمز نگاری و کلید شما داشته باشیم...

    بحث نفوذ به رایانه هست. رایانه ای که در بستر اینترنت داره ارتباط میگیره و با روش کار شما بایستی یک درگاه و کانال ارتباطی رو هر از گاهی و یا دائما باز کنه...

    نقل قول نوشته شده توسط golbafan مشاهده تاپیک
    اشکالی هم که من از برنامه شما گرفتم مربوط به روش رمز نگاریتون نیست. بلکه مربوط به روش PPP در ارتباط رایانه هاست... حتی این مشکل در حالت P2P هم که معمولا در شبکه های داخلی شرکت ها و ادارات پیاده میشه موجوده
    شما وقتی ارتباط این نرم افزارها رو برقرار میکنی بالاخره باید به فایر وال اجازه بدی که از این درگاهها اطلاعات رد و بدل بشه.

  8. #8

    نقل قول: پروژه نظارت و کنترل از راه دور

    نقل قول نوشته شده توسط SZsXsZS مشاهده تاپیک
    برنامه من اشکالش از نظر خودم کمبودهای مهمش ایناست:
    - باید برای هر جلسه ارتباطی یک session key جدید ایجاد و استفاده بشه (الان همیشه از master key استفاده میشه).
    - مسئلهء پیچیده تر forward secrecy که نداره. برای این منظور باید از الگوریتم ها/پروتکل های پیشرفته ای استفاده کرد که باعث میشن اگر کلید اصلی دست نفوذگر بیفته با این حال نتونه ارتباطات قبلی رو رمزگشایی کنه. البته این یک ویژگی پیشرفته است که فکر میکنم خیلی از نرم افزارهای دیگر هم ندارن، ولی بهرصورت چیز خوبیه دیگه!! من دنبالش نرفتم دقیق نمیدونم چطور باید پیاده اش کرد، اونم برنامهء من که ارتباطش از طریق HTTP است و حالت سوکت مستقیم و پایدار نداره شاید به همین خاطر از یکسری کتابخانه های مربوطه نشه درش استفاده کرد.
    - امکانی برای تغییر کلید از راه دور (از طریق سمت مانیتورینگ) باید بهش اضافه کنم ویژگی مفیدیه (هم کلید کلاینت ها و هم کلید سرور واسط رو بشه توسط برنامهء کنترل تغییر داد).

    بقیش دیگه نمیفهمم چی میگی اصلا منظورت چیه! بنظرم باید بیشتر توضیح بدی. دقیقا بگو اشکال برنامهء من کجاست چطوری چه حمله و نفوذ یا سوء استفاده ای ازش ممکنه.
    فکر کردم دیدم وقتی forward secrecy رو پیاده نمیکنیم، چه ضرورتی برای session key هست؟
    حقیقتش هم نیازی نیست!
    اینجا هم پرسیدم گفتن ضرورت نداره: http://crypto.stackexchange.com/ques...-key-each-time
    البته اینکه میگیم ضرورت نداره یعنی حیاتی نیست، ولی تحت بعضی شرایط میتونه فوایدی داشته باشه بهرحال، ولی در کاربردهایی که خیلی مهم و حساس نیستن فکر نمیکنم ارزش پیاده سازی داشته باشه.
    البته در برنامهء بنده کلید اصلی هم مستقیما استفاده نشده و توسط HKDF، دو کلید یکی برای AES و دیگری برای HMAC ازش مشتق شده. ولی حتی این هم مطمئن نیستم ضرورت داشته باشه، ولی خب ضرری هم نداره و بهرحال وقتی میخوایم از کلید اصلی یک کلید دیگر هم مشتق کنیم (برای HMAC)، بهرحال باید از HKDF استفاده کنیم و بنابراین از نظر کد فرق چندانی نمیکنه که از کلید اصلی مستقیم استفاده کنیم یا نه.

  9. #9
    کاربر دائمی آواتار golbafan
    تاریخ عضویت
    اردیبهشت 1388
    محل زندگی
    در قلب دوستان
    پست
    2,018

    نقل قول: پروژه نظارت و کنترل از راه دور

    نقل قول نوشته شده توسط SZsXsZS مشاهده تاپیک
    فکر کردم دیدم وقتی forward secrecy رو پیاده نمیکنیم، چه ضرورتی برای session key هست؟
    حقیقتش هم نیازی نیست!
    اینجا هم پرسیدم گفتن ضرورت نداره: http://crypto.stackexchange.com/ques...-key-each-time
    البته اینکه میگیم ضرورت نداره یعنی حیاتی نیست، ولی تحت بعضی شرایط میتونه فوایدی داشته باشه بهرحال، ولی در کاربردهایی که خیلی مهم و حساس نیستن فکر نمیکنم ارزش پیاده سازی داشته باشه.
    خب این برای p2p و شبکه های محلی درسته البته...
    ولی وقتی بخوای این رو در اینترنت پیاده سازی کنی باید به تولید سیشن ها دقت کنی تا هر کسی نتونه خودشو جای تو جا بزنه و یک سیشن جعلی درست کنه و نرم افزار رو گول بزنه. ولی همونطور که گفتی این مساله رو باید بزاری روی الاکلنگ تا بر اساس اهمیت نرم افزار و معروف بودنش در جامعه جهانی روی امنیتش هم از سرمایه وقت و انرژی صرف کنی! مثلا نرم افزار تلگرام به علت وجود تعداد زیادی کاربر در دنیا و البته تبادل حجم زیاد اطلاعات مجبوره forward secrecy رو رعایت کنه. چون اعتبارش به اینه که بتونه امنیت کاربراش رو تامین کنه... (حالا کاری نداریم که خودش ممکنه اطلاعات کاربراشو بفروشه)

    البته در برنامهء بنده کلید اصلی هم مستقیما استفاده نشده و توسط HKDF، دو کلید یکی برای AES و دیگری برای HMAC ازش مشتق شده. ولی حتی این هم مطمئن نیستم ضرورت داشته باشه، ولی خب ضرری هم نداره و بهرحال وقتی میخوایم از کلید اصلی یک کلید دیگر هم مشتق کنیم (برای HMAC)، بهرحال باید از HKDF استفاده کنیم و بنابراین از نظر کد فرق چندانی نمیکنه که از کلید اصلی مستقیم استفاده کنیم یا نه.
    اینکه فرق چندانی میکنه یا نه رو دقیقا نمیدونم. ولی فکر میکنم این که کلید ها رو به این شکل مشتق میکنن یک استاندارد هست برای رعایت بهتر فکر کنم randomness و اعتماد بیشتر به سیستم...

  10. #10

    نقل قول: پروژه نظارت و کنترل از راه دور

    دیروز که به crypto.stackexchange.com سر زدم تعدادی موضوع جالب دیدم که خوندم، همینطور سرنخ ها رو گرفتم رسیدم به مقاله های دیگه، خلاصه یه 20 تایی موضوع و بحث رو خوندم، گذارم به ویکیپدیا هم افتاد، اونجا هم یه 20 تا مقالهء دیگه خوندم! خلاصه روز پرباری بود
    علم رمزنگاری خیلی گسترده است و مدام هم بروز میشه؛ آدم توی این رشته باید چند وقت یک بار دوباره تحقیق و مطالعه بکنه تا بروز باشه.
    راستی یه الگوریتم رمزنگاری دیدم توی ویکیپدیا که فقط چند خطه
    https://en.wikipedia.org/wiki/Speck_%28cipher%29
    اینم کدش:
    #include <stdint.h>

    #define ROR(x, r) ((x >> r) | (x << (64 - r)))
    #define ROL(x, r) ((x << r) | (x >> (64 - r)))
    #define R(x, y, k) (x = ROR(x, 8), x += y, x ^= k, y = ROL(y, 3), y ^= x)
    #define ROUNDS 32

    void encrypt(uint64_t const pt[static 2],
    uint64_t ct[static 2],
    uint64_t const K[static 2])
    {
    uint64_t y = pt[0], x = pt[1], b = K[0], a = K[1];

    R(x, y, b);
    for (int i = 0; i < ROUNDS - 1; i++) {
    R(a, b, i);
    R(x, y, b);
    }

    ct[0] = y;
    ct[1] = x;
    }

    موضوع اینه الگوریتم درست و حسابی هم هست ظاهرا، چون توسط متخصصان NSA طراحی شده.
    البته فکر نمیکنم امنیتش بتونه با AES برابری بکنه!

تاپیک های مشابه

  1. نرم افزار کنترل از راه دور نودهای شبکه ماتریکس Matrix Remote Control
    نوشته شده توسط net@rt در بخش ارزیابی نرم افزار
    پاسخ: 1
    آخرین پست: دوشنبه 22 اسفند 1390, 14:17 عصر
  2. سوال: كنترل از راه دور باتن هاي ماشين حساب كامپيوتر
    نوشته شده توسط meisam.jafarian در بخش برنامه نویسی با MFC و ++Visual C
    پاسخ: 2
    آخرین پست: پنج شنبه 02 مهر 1388, 15:01 عصر
  3. کنترل از راه دور کامپیوتر(Remote Desktop)
    نوشته شده توسط fereshteh_b در بخش ASP.NET Web Forms
    پاسخ: 8
    آخرین پست: پنج شنبه 09 خرداد 1387, 16:12 عصر
  4. نرم افزار کنترل از راه دور
    نوشته شده توسط omid777 در بخش برنامه نویسی موبایل
    پاسخ: 0
    آخرین پست: پنج شنبه 28 تیر 1386, 19:57 عصر
  5. کنترل از راه دور سرور 2000
    نوشته شده توسط سهراب رسولی در بخش شبکه و Networking‌
    پاسخ: 8
    آخرین پست: دوشنبه 08 فروردین 1384, 14:40 عصر

قوانین ایجاد تاپیک در تالار

  • شما نمی توانید تاپیک جدید ایجاد کنید
  • شما نمی توانید به تاپیک ها پاسخ دهید
  • شما نمی توانید ضمیمه ارسال کنید
  • شما نمی توانید پاسخ هایتان را ویرایش کنید
  •