PDA

View Full Version : Timing attacks



eshpilen
پنج شنبه 22 دی 1390, 12:58 عصر
راجع به این حمله ها و روش جلوگیری ازش کسی چیزی میدونه؟
یکسری منابع که خوندم:
http://rdist.root.org/2010/01/07/timing-independent-array-comparison/
http://rdist.root.org/2009/05/28/timing-attack-in-google-keyczar-library/
http://codahale.com/a-lesson-in-timing-attacks/
http://en.wikipedia.org/wiki/Timing_attack

eshpilen
پنج شنبه 22 دی 1390, 12:59 عصر
اگر امکان داره یک مقدار در موردش توضیح بدید شاید علاقمند شدیم
این یک نوع حمله ای هست شبیه بیماری های صعب العلاج!!
بنظرم هر برنامه نویسی از فهمیدنش حالش گرفته میشه.
چون میشه گفت برنامه ها پر هستن از ضعف هایی برای این نوع حمله (البته با شدت و ضعف در عملی بودن و هزینهء این کار و وخامت نتایج درصورت هک شدن)، و در ضمن کشف و برطرف کردن اون فرمول کلی و سرراستی برای تمام موارد نداره و در بعضی موارد این کار میتونه واقعا دشوار باشه.

بنظرم میشه گفت بیشتر برنامه نویسها از این حمله اطلاع ندارن یا اطلاع و مهارت کافی ندارن نسبت بهش و میشه گفت خیلی از برنامه های شبکه و وب دربرابر این حمله ضعف دارن.

در این حمله نفوذگر با استفاده از زمانی که اجرای برنامه طول میکشه اطلاعاتی رو بدست میاره.

طبق ادعاها و تست های عملی ای که در منابع مطرح شدن، نباید این حمله رو دست کم گرفت و میتونه در خیلی موارد کاملا عملی باشه و به نتایج واقعا وخیمی هم منجر بشه؛ مثلا طرف تونسته با استفاده از این روش کلید خصوصی سرور رو کشف کنه. البته این ضعف بعدا در کتابخانهء SSL مورد نظر که منشاء ضعف بوده برطرف شده.

منابع میگن که این حمله حتی در محیط اینترنت و نسبت به وبسایت ها قابل اجراست، ولی طبیعتا اجراش در LAN ساده تر و سریعتره و در موارد بیشتری عملی خواهد بود.

احتمالا میتونیم بگیم نوع خیلی متداول و مهم این حمله با استفاده از طرز کار الگوریتم های استاندارد مقایسهء رشته ای عمل میکنه. ولی مسلما تنها به این عملیات و این الگوریتم ها محدود نمیشه.

از مقایسهء رشته ای یه مثال میزنم:
فرض کنید شما یک کلید رمز گذاشتید برای عملیات خاصی.
کلیدتون مثلا 390212456 است. البته من کلید کوتاه و ساده و در نتیجه ضعیفی رو انتخاب کردم بخاطر ساده بودن مثال و راحت شدن توضیح.
حالا نفوذگر میاد و برنامه ای مینویسه که درخواستهایی رو با حداکثر سرعت ممکن به سرور شما ارسال میکنه. در درخواست اول کلید به این صورت ارسال میشه: 000000000.
الگوریتمهای استاندارد مقایسهء رشته به این صورت عمل میکنن که در یک حلقه از اولین کاراکتر دو رشته شروع به مقایسه میکنن و به محض اینکه به اولین مورد اختلاف برسن مقایسه خاتمه پیدا میکنه و از حلقه خارج میشه، ولی اگر در مقایسه تا آخرین کاراکتر اختلافی پیدا نشه دو رشته یکسان هستند.
بنابراین اگر شما یک رشته رو با رشتهء دیگری مقایسه کنید و تعداد کاراکترهای مشترک اونها از ابتدای رشته تا جایی که اولین مورد اختلاف پیدا میشه 5 تا باشه، این عملیات مقایسه دورهای حلقه و عملیات و در نتیجه زمان بیشتری صرف میکنه نسبت به مقایسهء دو رشته که 2 کاراکتر اول اونها با هم یکسانه.
نفوذگر با استفاده از همین اختلاف زمانها میتونه متوجه بشه که آیا یکی دو کاراکتر اول رو درست انتخاب کرده یا نه، و به همین شکل یکی بعد از دیگری کاراکترهای بعدی رو هم کشف میکنه.
یعنی مثلا در درخواست های بعدی حالتهای ممکن برای دو رقم اول رو تست میکنه و هر وقت زمان اجرا افزایش پیدا کرد متوجه میشه که دو رقم اول رو بدست آورده، بعد دو رقم اول کشف شده رو در رشته ثابت میکنه و سراغ تغییر یک یا دو رقم بعدی میره و همینطور دست آخر کل ارقام کلید ما رو به همین راحتی کشف میکنه.

البته اجرای این حمله در عمل اینقدر ساده نیست و نیاز به تعداد زیادی درخواست داره (بخصوص در اینترنت و وب) تا توسط محاسبات آماری بشه تاثیر پارازیت و پارامترهای نامعلوم دیگر دخیل در زمان اجرای برنامه رو تشخیص داد و جدا کرد. ولی با اینحال بازم این حمله در بسیاری موارد میتونه عملی باشه. بستگی به پارامترهای مختلف منجمله طول کلید داره که به نتیجه رسیدن این حمله چقدر زمان بخواد.
طبق مثال و محاسبه ای که در یکی از منابع آمده، بطور مثال میشه یک HMAC رو در عرض کمتر از یک هفته با فرض اینکه بتونیم در هر ثانیه 10 درخواست اجرا کنیم کشف کرد.
طبیعتا با بالا رفتن سرعت و کیفیت اینترنت، اجرای این حمله راحتتر و سریعتر میشه و در موارد بیشتری میشه عملیش کرد.

روش پیشنهاد شده برای جلوگیری از ضعف مقایسهء رشته ها استفاده از الگوریتم هایی برای مقایسه است که همیشه یک تعداد عملیات ثابت و در نتیجه زمان ثابتی رو صرف میکنن. شاید این الگوریتم ها نسبت به الگوریتم های استاندارد پرفورمنس کمتری داشته باشن، اما از نظر امنیتی لازمه که برای چنین مواردی از این الگوریتم ها استفاده بشه.
نمونه ای از این الگوریتم در یکی از لینک هایی که گذاشتم مطرح شده.

بازم میگم که این ضعف و حمله فقط به مقایسهء رشته ها و کشف کلید و اینها محدود نمیشه. من با اینکه قبلا راجع به این حمله چیزی نخونده بودم (تاجاییکه یادم میاد) اما با یکی از موارد مشابه در پروژهء خودم برخورد داشتم. اون مورد کاملا متفاوت بود و با اینکه اهمیتش به اندازهء کشف یک کلید نبود اما بازم اهمیت داشت. مورد من این بود که اگر کسی تلاش میکرد با یک نام کاربری خاص لاگین کنه، اگر نام کاربری در دیتابیس وجود داشت طبیعتا یکسری عملیات اضافه و بخصوص عمل هش کردن و مقایسهء هش پسورد کاربر با هش ثبت شده در دیتابیس انجام میشد. خب ولی اگر نام کاربری در دیتابیس وجود نداشته باشه دیگه این عملیات انجام نمیشه و نفوذگر با استفاده از همین اختلاف زمان میتونه براحتی نامهای کاربری معتبر و غیرمعتبر در سایت رو از هم تشخیص بده. ضمنا چون از هش bcrypt استفاده کردم که عمدا با الگوریتم سنگین و زمانبری طراحی شده، بنظرم این حمله خیلی راحتتر و سریعتر هم میشه.
خب بنابراین کاری که من کردم این بود که حتی اگر نام کاربری در دیتابیس وجود نداشته باشه بازهم یک عملیات مقایسهء هش که هیچ کار خاصی جز صرف زمان نمیکنه انجام میدم.
حالا باوجود این کار بازم جای پرسش داره که آیا تمام تفاوت عملیات و زمان همین بوده و آیا عملیات دیگر باعث اختلاف زمان قابل تشخیص نمیشن؟ مثلا همینکه درصورت وجود کاربر تابع mysql_fetch_row رو هم اجرا میکنیم باعث ایجاد اختلاف زمانی قابل تشخیص نمیشه؟ بنظرم میشه! همینطور درمورد هر بخش از کد و شرطها و بلاک هایی که اجرا میشن. پس میبینید که قضیهء کشف و برطرف کردن ضعفهای این حمله چقدر گسترده و پردردسر است.
البته احتمالا فیکس کردن تمام این نوع ضعف ها در بیشتر برنامه ها اصلا ممکن نیست یا خیلی دشوار و هزینه بره و صرف نمیکنه، ولی حداقل موارد واقعا مهم رو باید سعی کرد تا فیکس کرد.

mbf5923
پنج شنبه 22 دی 1390, 13:55 عصر
دوست عزیز این حملات تا الانی که من این پست رو میدم روی هیچ سایت اینترنتی انجام نشده :چشمک:
در ضمن جای این بحث در این تاپیک نیست

djsaeedkhan
پنج شنبه 22 دی 1390, 14:09 عصر
دوست عزیز این حملات تا الانی که من این پست رو میدم روی هیچ سایت اینترنتی انجام نشده :چشمک:
در ضمن جای این بحث در این تاپیک نیست

دوست عزیز اولا با این سرعت اینترنتی که ما داریم فکر نکنم هیچ وقت روی سایت ها (ما ها) بتونیم و بتونن از این روش استفاده کرد.
ولی این روش بیشتر در برنامه های نرم افزاری استفاده می شه. یا همونطور که گفتن در شبکه های لوکال

با این حال روش بسیار هوشمندانه و خلاقانه ای هست. و منو یاد این آورد که
همیشه ویروس نویس ها (یا هکرها) یک قدم جلو تر از آنتی ویروس نویس ها( یا آنتی هکر ها) هستند

eshpilen
پنج شنبه 22 دی 1390, 15:50 عصر
دوست عزیز این حملات تا الانی که من این پست رو میدم روی هیچ سایت اینترنتی انجام نشده :چشمک:

اولا که برای این ادعا منبع و سند لطف کنید.
دوما حتی اگر واقعا موردی ثبت نشده باشه بازم دلیل نمیشه؛ ممکنه انجام شده ولی کشف نشده و کسی صداش رو درنیاورده.
سعی کنید برای هرچیزی مستدل و مستند صحبت کنید.
هرچیزی اثبات میخواد، نه اینکه همینطوری یه حرفی بزنیم.
اونایی که این کاره ان و متخصص هستن کلی تحقیق و تست و تحلیل کردن میگن شدنیه، بعد شما میگی نه.


در ضمن جای این بحث در این تاپیک نیستمنظورتون رو متوجه نشدم!

eshpilen
پنج شنبه 22 دی 1390, 15:54 عصر
دوست عزیز اولا با این سرعت اینترنتی که ما داریم فکر نکنم هیچ وقت روی سایت ها (ما ها) بتونیم و بتونن از این روش استفاده کرد.

بله؟!
کسی نمیاد از دایالاپ شما حمله کنه که.
سرعت اینترنت ADSL یا اینترنت هایی که خارج از کشور دارن یعنی کافی نیست؟
در ضمن نرم افزاری که طراحی میشه اگر بخواد واقعا حرفه ای باشه باید تمام شرایط و انواع محیطها و کاربران در سراسر جهان رو درنظر بگیره. این خیلی مسخره هست که بگیم این نرم افزار با اینترنت فعلی ایران امنه اما با اینترنت کرهء جنوبی امنیت نداره :لبخند:
ضمنا یکی از همون کرهء جنوبی به سایتتون حمله میکنه خب.


ولی این روش بیشتر در برنامه های نرم افزاری استفاده می شه. یا همونطور که گفتن در شبکه های لوکالبله میدونم. ولی متخصصان و کسانی که تست های عملی انجام دادن میگن در اینترنت و درمورد وب هم در خیلی موارد امکان پذیره. ممکنه سخت تر و زمانبر باشه، اما به هیچ وجه غیرممکن نیست.

eshpilen
پنج شنبه 22 دی 1390, 16:34 عصر
8. CONCLUSION
This article studied the scope and potential of performing a remote timing attack,
both on a LAN and across the Internet.
...
We have shown that, even though the Internet
induces significant timing jitter, we can reliably distinguish remote timing differences
as low as 20μs. A LAN environment has lower timing jitter, allowing
us to reliably distinguish remote timing differences as small as 100ns (possibly
even smaller). These precise timing differences can be distinguished with only
hundreds or possibly thousands of measurements.
...
We also observed, generally, that the round trip time or network hop count
did not significantly contribute to the network jitter, and thus network distance
may not confer immunity to remote timing attacks.
...
If an attacker can accurately perform timing measurements, then a number
of cryptographic or algorithmic weaknesses in a server might leak critical
information to the attacker. As a consequence, we recommend that the
algorithms used inside web and other Internet servers that process important
secrets be carefully audited and, where necessary, be modified to limit observable
differences in execution times to at most a few microseconds.


ترجمه:

8. نتیجه گیری
این مقاله محدوده و پتانسیل انجام یک حملهء زمانبندی راه دور را بر روی هردوی شبکهء محلی و اینترنت مطالعه کرد.
...
ما نشان داده ایم که، گرچه اینترنت میزان قابل توجهی نوسان زمان ایجاد میکند، ما میتوانیم بصورت قابل اتکایی تفاوتهای زمانی راه دور به کوچکی 20 میکروثانیه (م: 20 میلیونیم ثانیه) را تشخیص دهیم. یک محیط شبکهء محلی نوسان زمان کمتری ایجاد میکند، که به ما اجازه میدهد تفاوتهای زمانی به کوچکی 100 نانوثانیه (م: 100 میلیاردیم ثانیه) را تشخیص دهیم. این اختلافهای زمانی دقیق میتوانند تنها با صدها یا هزاران اندازه گیری مشخص شوند.
...
ما همچنین مشاهده کردیم، عموما، که زمان رفت و برگشت یا تعداد گره های شبکه باعث مقدار قابل توجهی نوسان شبکه نمیشود، و بنابراین فاصلهء شبکه میتواند به معنای ایمن بودن دربرابر حمله های زمانبندی راه دور نباشد.
...
اگر یک نفوذگر بتواند اندازه گیری های زمانبندی را بطور دقیقی انجام دهد، سپس تعدادی از ضعف های رمزنگاری یا الگوریتمی در یک سرور ممکن است اطلاعات بسیار مهمی را به نفوذگر نشت دهند. بعنوان یک نتیجه، ما توصیه میکنیم که الگوریتمهای استفاده شده در داخل وب و دیگر سرورهای اینترنت که اطلاعات محرمانهء مهمی را پردازش میکنند با دقت مورد بازبینی قرار گرفته، و هرجا که لازم است، جهت محدود کردن تفاوتهای قابل مشاهده در زمانهای اجرا به حداکثر چند میکروثانیه اصلاح شوند.

==============

منبع: http://www.cs.rice.edu/~dwallach/pub/crosby-timing2009.pdf (http://www.cs.rice.edu/%7Edwallach/pub/crosby-timing2009.pdf)
موقعیت ها و محدودیت های حمله های زمانبندی راه دور
SCOTT A. CROSBY, DAN S. WALLACH و RUDOLF H. RIEDI
دانشگاه Rice

mbf5923
پنج شنبه 22 دی 1390, 17:19 عصر
اولا که برای این ادعا منبع و سند لطف کنید.
من میگم نشده عزیزم،سند نشده رو لطف کنم؟!معمولا کسی که میگه شده سند لطف میکنه گرانقدر
اما با این حال سند نشدنش http://www.zone-h.org/archive هست که هیچ هکری تا حالا ادعا نکرده که با این روش سایتی رو هک کرده
در ضمن بنده در مورد هک همچین بی اطلاع نیستم ولی اظهار فضل بیخودی هم نمیکنم:لبخند:

eshpilen
پنج شنبه 22 دی 1390, 17:26 عصر
ضمنا از کجا میگید برای اجرای این حمله به سرعت اینترنت خیلی بالا نیاز هست؟
کجا همچین شرطی رو خوندید یا از چی به همچین نتیجه ای رسیدید؟
از نظر تئوریکش یک اینترنت 256 کیلوبیت از نظر سرعت ارسال و دریافت درخواست و پاسخ کندتر از اینترنت یک مگابیت نیست و Ping اونها یکسانه. تفاوت اصلی بین اینترنت یک مگابیت در ثانیه با 256 کیلوبیت، میزان حجم دیتای قابل ارسال و دریافت در واحد زمان هست. بنابراین اگر حجم درخواستها و پاسخها کم باشه، یک اینترنت متوسط هم میتونه کاملا کافی باشه. این تعداد درخواستها درواحد زمان نیست که محدود میشه، بلکه حجم کلی ارتباطات در واحد زمان هست که محدود میشه.

mbf5923
پنج شنبه 22 دی 1390, 17:34 عصر
از کجا میگید برای اجرای این حمله به سرعت اینترنت خیلی بالا نیاز هست؟
من چنین حرفی نزدم دوست خوبم
بحث اینه که در فضای وب این کار غیرممکن به نظر میاد
کمی اگه منطقی فکر کنیم میبینیم که گفتنی شاید بشه اما عملا...

pejman_view
پنج شنبه 22 دی 1390, 17:49 عصر
سلام

ممنون بخاطر مقاله تون اما این روش مشکل های خودش رو داره بگذارید یک کد خیلی ساده براتون می نویسم این رو امتحان کنید با سرعت زیاد صفحه را "رفرش" کنید. یک حلقه ساده که قرار است فقط اجرا شود و تمام شود حتی بررسی رمز عبور و ... را انجام نمی دهد.حال اگر دقت کنید عددهایی که نمایش داده می شود هیچ موقع یکسان نیست. البته من با میکروثانیه کار کردم چون عملیات های کامپیوتری کمتر از ثانیه انجام می شود.


$start = microtime(true);
$i = 0;
while($i < 1000000){
$i++;
}

echo microtime(true) - $start.PHP_EOL;

که تمامی این موارد به چند چیز مربوط می شود:
1- میزان فشار بر روی سخت افزار در آن زمان
2- میزان فشار بر روی اینترنت (مانند پینگ و ...)
3- سرعت یافتن در دیتابیس فرضاً در دیتابیس 1000 نام کاربری وجود دارد و دومین نام کاربری پژمان است. اگر پژمان وارد کنید سریع تر از آن پیدا خواهد کرد تا پ بزنید و ژ اینطور مجبور است کل رکوردها را بگردد تا پیدا کند و زمان افزایش می یابد. حتی اگر پژ هم وارد کنید با پ و ژ تفاوت خاصی پیدا نخواهد کرد.
خیلی از موارد درگیر این کار می شوند فعلاً زیاد نمی توان در فضای اینترنت به این روش اطمینان کرد. اما برای حملات این چنین به یک نرم افزار مانند winrar برای یافتن رمزعبور خیلی کمک خواهد کرد.

با آرزوی موفقیت.

mbf5923
پنج شنبه 22 دی 1390, 18:12 عصر
تازه این روی لوکال هستش و هیچ کار خاصی هم انجام نمیده حالا چه برسه به اینکه بخواد کد وارد کنه و با هم مقایسه کنه و.....:متعجب:

eshpilen
پنج شنبه 22 دی 1390, 18:14 عصر
اولا که برای این ادعا منبع و سند لطف کنید.
من میگم نشده عزیزم،سند نشده رو لطف کنم؟!معمولا کسی که میگه شده سند لطف میکنه گرانقدر
اما با این حال سند نشدنش http://www.zone-h.org/archive هست که هیچ هکری تا حالا ادعا نکرده که با این روش سایتی رو هک کرده
در ضمن بنده در مورد هک همچین بی اطلاع نیستم ولی اظهار فضل بیخودی هم نمیکنم:لبخند:
گفتم که بازم دلیل نمیشه و شاید استفاده شده و به هر دلیلی فاش نشده.
بعدش این سایت تک تک عملیات هکری رو که در طول تاریخ تاحالا توسط هرکسی در هرکجا انجام شده باید ثبت کرده باشه؟
هر کسی هک میکنه میره جار میزنه و روشش رو هم اعلام میکنه و در این سایت ثبت میشه؟
بنظرم منطقا این سایت نمایندهء عدهء محدودی از هک ها هست و اونم عمدتا از میان هک هایی که علنا فاش میشن.
بعدم یعنی این سایت هرچی توش ثبت شده همشون روش هک رو هم نوشتن؟

هک های فله ای و توسط جوجه هکرها و حتی آدمهای واقعا ناشی و بی سواد زیاد هست. اینقدر سایتهای زپرتی و حفره های گنده هست که خیلی ها میتونن هک کنن. اما بعضی هک ها کار هرکسی نیست و علم و دانش تخصصی و برنامه نویسی سفارشی میخواد.
اینطور سایتها پر هستن از اینطور هک ها. آدمهایی که میخوان خودنمایی کنن. درحالیکه خیلی هک های مهم و پیشرفته ممکنه تاحالا انجام شده باشن که طرفها اینقدر بچه نیستن که بخوان خودنمایی کنن و روش خودشون رو هم لو بدن یا به هر دلیلی اصلا نمیتونن یا نمیخوان این کار رو بکنن. چه بسا سازمانهای امنیتی یا گروههای خیلی حرفه ای تری از این روشها استفاده های مخفی میکنن.

گذشته از تمام اینها، برات منبع معتبر گذاشتم که طبق تحقیق و تست های متخصصان معتبر دانشگاهی، این حمله در اینترنت و وب هم کاملا شدنیه. البته اینکه دقیقا در چه مواردی ممکن باشه باز بحث و تحلیل و تست های خودش رو مطلبه. اون مثالی که من زدم یک مثال خیلی ساده و تئوریک فقط برای روشن کردن روش و مفهوم کلی بود. شاید اختلاف در مقایسهء رشته ای ساده اونقدری زیاد نباشه که بشه به این راحتی ازش سوء استفاده کرد (خودم الان یکسری تست زدم و به نتیجه ای نرسیدم). اما موارد و الگوریتم های پیچیده تر و عملیات سنگین تری وجود دارن که این حمله میتونه روشون کاملا عملی باشه.

بهرحال هم این بحثی که مطرح کردم یک مبحث پیشرفته هست و مسلما از هرکس و هر نرم افزاری انتظارش نمیره. بنظرم اکثر نرم افزارهایی که افراد عادی درست میکنن اینقدر ضعف و حفره های امنیتی گنده تر داره که حرف به اینطور موارد نمیرسه! یعنی باید همه چیز رو درست کرده باشن تا برسن به اینطور موارد.
بطور مثال اکثر افراد اصلا چیز خاصی از مباحث رمزنگاری نمیدونن. بنابراین برنامه های پیشرفته و دارای رمزنگاری و پروتکلهای حرفه ای امنیتی درست نمیکنن و طبیعتا با خیلی از این مسائل ظریف و پیشرفته هم سروکار ندارن.
بعد میگن بله سایت ما هک نشد.
بله سایت شما اصلا چیزی نداره و کار شما در سطح و اهمیتی نیست که بخواد با این روشها هک بشه.

متاسفانه وقتی آدم مباحث پیشرفته و علمی رو مطرح میکنه نه تنها کسی قادر به درک و تصور اهمیت و کاربردهای اونا نیست، بلکه بعضیا همینطوری از خودشون نظر درمیکنن و طرف مقابل رو هم به تمسخر میگیرن.
بنده شخصا اینقدر مباحث و الگوریتم ها و پروتکل های پیشرفته در زمینهء امنیت و رمزنگاری رو مطالعه کردم که فکر میکنم شاید حتی یک نفر هم در کل این فروم پیدا نشه که نصف اون مطالب رو هم بفهمه.
چون من هیچوقت نمیخواستم صرفا دنبال کارهای عادی و بازاری و هرچی که اکثرا یا خیلی از دیگران هم میتونن انجام بدن باشم. همیشه دوست داشتم تا نهایت گستردگی و عمق علم پیش برم. میگفتم چرا من نمیتونم، مگر دیگرانی که تونستن سوپرمن بودن؟
جالب اینکه همین افراد میان همش میگن خارجیها فلان کردن و ما چرا نکردیم و ما هم میتونیم یا باید بتونیم و غیره. درحالیکه در عمل هیچوقت همت و جدیت این رو از خودشون نشون نمیدن و میخوان چیزهای حجیم و پیچیده و حساس و پایه ای رو سرسری بگیرن و بیخیال بشن.
من از تحقیقات و رسانه های دانشگاهی و افراد خبره براتون سند میارم و اونا تحلیل و تست کردن، اما منابع شما ببینید چیاست و روش تحلیل و نتیجه گیریتون چیه.
چون سطح بحث من و شما با هم فرق میکنه.
البته من قبول دارم شاید بیان من منجر به برداشت اغراق آمیز شده باشه. ولی بهرحال بنده بر اساس منابع معتبر صحبت کردم و در وجود و عملی بودن این بحث حداقل در بعضی موارد و شرایط و بخصوص سناریوهای پیشرفته و حساس فکر نمیکنم شکی باشه. بله درمورد انبوه سایتها و برنامه های عادی شاید این مسئله یک در هزار هم بصورت جدی وجود نداشته باشه. ولی بهرحال اونی که سطحش بالاتره و میخواد برنامه های اصولی تر، مهمتر، امن تر و حساس تری رو طراحی کنه باید این دانش و مهارت رو داشته باشه.
بهتره ما بجای رد کردن و بحث رو کم ارزش و اغراق آمیز جلوه دادن، سعی کنیم تحقیق و تست اصولی انجام بدیم.

eshpilen
پنج شنبه 22 دی 1390, 18:17 عصر
از کجا میگید برای اجرای این حمله به سرعت اینترنت خیلی بالا نیاز هست؟
من چنین حرفی نزدم دوست خوبم
بحث اینه که در فضای وب این کار غیرممکن به نظر میاد
کمی اگه منطقی فکر کنیم میبینیم که گفتنی شاید بشه اما عملا...
عزیزم پس اونایی که تحقیق علمی کردن و منبعش رو برات گذاشتم از خودشون درآوردن این حرف رو؟
تست کردن، تحلیل کردن، برنامه نوشتن، نتیجه گرفتن. یه تحقیق دانشگاهی چند نفر متخصص هست.
غیرممکن نیست. ولی یحتمل درمورد سایتها و برنامه های عادی بخصوص با PHP احتمال خیلی کمتری داره.

djsaeedkhan
پنج شنبه 22 دی 1390, 18:21 عصر
آقایون آآآآقایووووون
ما اومدیم اینجا چیز یاد بگیری نه اینکه یکی این بگه یکی اون بگه

لطف بفرمایید هدف اولتون آموزش باشه
من از این پست چیزی رو که اصلا فکر هم نمی کردم وجود داشته باشه یاد گرفتم

با تشکر از همه شما

mbf5923
پنج شنبه 22 دی 1390, 18:29 عصر
اما منابع شما ببینید چیاست و روش تحلیل و نتیجه گیریتون چیه.
من متعجبم چطور شما که در مورد مسائل امنیتی تحقیق کردین سایت معتبر و جهانی zone-h رو اینجوری در موردش میگین!!!!
در ضمن بقیه ی اعضای این سایت هم همچین آدمای بی سوادی نیستن که شما اینجوری قضاوت میکنید
و همچنین شما دارین از تحقیقات آزمایشگاهی حرف میزنید در حالی که مثال دوست خوبمون عملا گویای همه چیز هست

eshpilen
پنج شنبه 22 دی 1390, 18:46 عصر
1- میزان فشار بر روی سخت افزار در آن زمان
2- میزان فشار بر روی اینترنت (مانند پینگ و ...)
3- سرعت یافتن در دیتابیس فرضاً در دیتابیس 1000 نام کاربری وجود دارد و دومین نام کاربری پژمان است. اگر پژمان وارد کنید سریع تر از آن پیدا خواهد کرد تا پ بزنید و ژ اینطور مجبور است کل رکوردها را بگردد تا پیدا کند و زمان افزایش می یابد. حتی اگر پژ هم وارد کنید با پ و ژ تفاوت خاصی پیدا نخواهد کرد.
خیلی از موارد درگیر این کار می شوند فعلاً زیاد نمی توان در فضای اینترنت به این روش اطمینان کرد. اما برای حملات این چنین به یک نرم افزار مانند winrar برای یافتن رمزعبور خیلی کمک خواهد کرد.

کم و بیش درسته و یحتمل درمورد PHP و موارد ساده و عادی حق با شماست، اما درکل مسئله به این سادگی نیست.
باید الگوریتم و برنامه های حرفه ای برای این حمله آماده بشن.
این برنامه ها عوامل غیرقابل پیشبینی رو با تعداد زیادی تست انجام دادن و محاسبات آماری فیلتر میکنن.
مثلا درسته از یک درخواست تا درخواست دیگه ممکنه یکسری پارامترها تغییر کرده باشه، اما در مجموع با فرضا 10 هزار بار تکرار تست، یک میانگین معنادار خواهیم داشت.
مثل یک تابع رندوم که هربار عدد متفاوتی رو تولید میکنه، ولی اگر تعداد زیادی اون رو اجرا کنید و بعد میانگین رو برای هر عدد بدست آمده بگیرید میبینید که درصدهای برابری بدست میاد که با محاسبات احتمالات ریاضی تطابق میکنه. حالا اگر به هر دلیل انحرافی در نتایج این تابع باشه، با تعداد تست های کم مشخص نمیشه، اما در ده هزار بار تست این انحراف میانگین مشاهده خواهد شد.
بعد به خیلی چیزها بستگی داره. درسته. ولی ما نباید فکر کنیم محیط و زبان لزوما محیط و زبان ماست. مثلا نباید فکر کنیم شیرهاست هست. نباید فکر کنیم ترافیک و بار جانبی روی سرور هست. شاید سرور اختصاصی باشه. شاید شرایط و کاربردش طوری باشه یا در ساعات خاصی حمله انجام بشه که تقریبا ترافیک و عملیات غیرقابل پیشبینی دیگری روش نباشه و از نظر پردازشی با عملیات دیگه تداخل پیش نیاد. میدونید که سرورها بهرحال منابع سخت افزاری زیاد و چند CPU دارن و دو پردازش لزوما با هم تداخل نخواهند داشت. هرکدام میتونن بصورت موازی انجام بشن به شرطی که منابع سرور اشباع نباشه یا بر سر منابع خاصی رقابت نداشته باشن.
برنامهء ما یا اون بخش و عملیات خاص ممکنه اصلا عملیات زمانبر یا متغییر دیگری نداشته باشه.
بعد بحث تفاوت زبان و محیط سخت افزاری و نرم افزاری هم مطرح هست. مثلا این تستهایی که انجام دادن فکر میکنم با جاوا یا برنامه های سرور نوشته شده با سی/سی++ و سرور و محیط سخت افزار و نرم افزار و کتابخانه های کاملا پروفشنالی صورت گرفته. هر زبان ممکنه یجور عمل کنه. هر کتابخانه. جاوا به بایت کد کامپایل میشه، درحالیکه PHP تفسیری هست. ممکنه این یه تاثیری داشته باشه. چون PHP هربار طبیعتا با پارامترهای دینامیک بیشتری سروکار داره، درحالیکه یک کد کامپایل شده میتونه ثبات و استقلال بیشتری داشته باشه. خلاصه قضیه پیچیده هست و کلی احتمالات پیش میاد. ما نمیتونیم همه چیز رو به همین راحتی با یک ذره فکر و دوتا تست ساده و آنی بفهمیم و مطمئن باشیم. اونایی که خیلی از من و شما حرفه ای تر بودن کلی وقت گذاشتن و تست های مختلف کردن، برنامهء مخصوصش رو نوشتن، و دست آخر یه چیزی میگن مسلما بی اعتبار نیست. میگه اختلاف زمانی تا 20 میکروثانیه رو از طریق اینترنت هم درمیاریم واست! و هیچ شرط خاص و استثنایی هم نیاورده براش.
من میگم اصلا چه بسا هکر بتونه روی میزان بار و عوامل غیرقابل پیشبینی اون سرور هم از طرق دیگر اطلاعاتی بدست بیاره. مثلا شاید از درخواستهای جانبی همزمان به بخش یا برنامهء دیگری روی اون سرور استفاده کنه تا ازش برای تخمین و تفکیک عوامل جانبی موثر در زمان در محاسبات خودش استفاده کنه.

البته بازم میگم که من روی موارد ساده اصرار ندارم. این مثالها خیلی ساده و عملیاتها جزیی هستن.
عملیات میتونه مراحل یک الگوریتم رمزنگاری باشه که طبیعتا خیلی پیچیده تر و سنگین تره و بنابراین اختلاف زمان خیلی بیشتر خواهد بود و یحتمل پارامترهای رندوم دیگر رو پوشش میده.
یا همون مثال تابع هش bcrypt که از پروژهء خودم زدم. این تابع حدود نیم ثانیه یا بیشتر و کمتر طول میکشه. پس حتما میشه این اختلاف زمانی رو تشخیص داد. دیگه بحث میکروثانیه و میلی ثانیه نیست. این بحث و حمله درمورد هر نوع اطلاعاتی که از هر مقدار اطلاعات زمانی بشه بدست آورد صدق میکنه.

eshpilen
پنج شنبه 22 دی 1390, 18:55 عصر
من متعجبم چطور شما که در مورد مسائل امنیتی تحقیق کردین سایت معتبر و جهانی zone-h رو اینجوری در موردش میگین!!!!
در ضمن بقیه ی اعضای این سایت هم همچین آدمای بی سوادی نیستن که شما اینجوری قضاوت میکنید
و همچنین شما دارین از تحقیقات آزمایشگاهی حرف میزنید در حالی که مثال دوست خوبمون عملا گویای همه چیز هست
داری مغلطه میکنی.
میگی چون در اون سایت موردی از هک با این روش درج نشده پس هک با این روش ممکن نیست.
بنظرت این استدلال صحیحی هست؟
اون سایت اصلا چکاره هست چقدر اعتبار داره و چی خلاف این بحث گفته که بشه ازش مطمئن بود؟
هرکدوم از اینا سند و استدلال میخواد.
شما صرفا از اینکه چنین موردی رو در اون سایت پیدا نکردی داری نتیجه ای کلی میگیری. درحالیکه تحقیقات آکادمیک عملی از منابع معتبر دربارش وجود داره. حداقل برو یه فرومی چیزی یه چیزی راجع بهش بپرس، با مسئولین همون سایت مطرح و سوال کن، به کسی ایمیل بزن. همینطوری با دوتا حرف و جستجو و نتیجه گیری سطحی که نمیشه همچین مسئله ای رو رد کرد.
اون تست دوست خوب شما هم درمقابل صدها و هزاران پارامتر و احتمال و گسترگی و پیچیدگی اینطور مباحث پیشرفته هیچی به حساب نمیاد. فکر کردی با دو خط کد و یک تست PHP همه چیز درمیاد؟
من نگفتم این حمله درمورد چنین موارد ساده و ابتدایی و PHP و ... صدق میکنه لزوما.
بنظر شما این تست کوچک با محیط و پارامترهایی که مجموعهء بسیار کوچکی از محیطها و پارامترهای مختلف هستن چیزی رو ثابت یا رد میکنه و آیا اونایی که تحقیق کردن و کلی مقاله نوشتن و رفرنس آوردن و منبع دانشگاهی داره تستهای خیلی بیشتر و پیچیده تر و حساب شده تری رو انجام ندادن؟

اینقدر هم به فکرتون نمیرسه که شاید وقتی یک عملیات پیچیده تر و سنگین تری باشه اختلاف زمانی میتونه خیلی بیشتر باشه و عوامل رندوم رو پوشش بده. فکر میکنید همه چیز و همهء عملیات و الگوریتم ها و روشها همون چیزهای ساده و محدودی هستن که خودتون بلدید و به فکرتون میرسه!

eshpilen
پنج شنبه 22 دی 1390, 19:11 عصر
همچین میگه سایت معتبر و جهانی Zone-H آدم فکر میکنه مرجع علمی در تمام زمینه هاست و اگر چیزی توش نبود یعنی وجود نداره!!
مقالهء ویکیپدیا راجع به Zone-H چند خط بیشتر ننوشته که اصل محتویش هم خط اولشه:
Zone-H is an archive of defaced (http://en.wikipedia.org/wiki/Defacement_%28vandalism%29) websites.
ترجمه: Zone-H آرشیوی از وبسایت های دیفیس شده است.

این بود سایت معتبر و جهانی شما؟
همچین گفتی من فکر کردم حالا چه خبره و من چقدر غافل بودم اونجا یه مرکز تجمع و تولید دانشمندان و علم رایانه هست!!
بابا خدایی شما خیلی باحالید.
فکر میکنید چون بین هکرها معروفه و از این نظرها اعتباری داره حالا دیگه خیلی کارش درسته و همه چیز باید اونجا باشه و اگر نبود یعنی وجود نداره.
عزیزم بیخودی جوگیر نشو. علم و اعتبار حقیقی در تمام زمینه ها اینطور نیست که همش در یک همچین سایتهایی متمرکز باشه. ظاهرا شما با منابع دیگر و درواقع منابع اصلی و پایه ای کار نداشتی! مثل خیلی های دیگه. وگرنه علم و اعتبار واقعی رو در اینطور سایتها نمیدیدی. فکر کردی دوتا هک و مک شد اوج سواد و خلاقیت. نه عزیزم خیلی از اونایی که میبینی دست دوم و سوم هستن که صرفا از دانش و ابداعات دانشمندان و مخترعان طراز اول استفاده (یا سوء استفاده) میکنن. زیاد گندشون نکن. همین سایت و گروه آشیانه که میگن من چند وقت رفتم توی فرومشون که دست آخر هم بخاطر اعتراض به کارهای سخیفی مثل درج علنی مشخصات ورود به ایمیل های هک شده یا کمک در نفوذ به سایتهای مردم منو از اونجا اخراج کردن (درحالیکه عنوان سایتشون یه چیزی کاملا خلاف این فعالیت ها رو نوشته). خدایی دنبال یک بحث و مطلب علمی و آدم باسواد گشتم چیز دندان گیری پیدا نکردم توی اون فروم. بجاش کلی کارهای سخیف و استفاده از نرم افزارهای آماده و یکسری بحثها و مطالب سطحی و ضعیف و ناقص و غلط. مثلا یک مقاله و تحلیل درست و حسابی قوی که نشون بده طرف خودش هم واقعا به چیزی درک و احاطه داره در زمینهء علم رمزنگاری، اونجا پیدا نکردم. یه چیزی مثل مقاله های ویکیپدیا حتی ترجمش هم نبود. درحالیکه من شخصا اگر در این زمینه تمرکز داشتم ده ها مقاله و مطلب جالب و علمی کامل و عمیق رو میتونستم تهیه کنم. دیگه دوتا مقالهء ویکیپدیا رو در زمینهء مباحث بسیار مهم و اساسی که میتونستم ترجمه کنم! و چرا تاحالا کسی این کار رو نکرده؟ بنظرم چون نمیفهمن. اگر میفهمیدن، میتونستن و جرات میکردن ترجمه کنن. و اگر مخاطب داشت و افراد دنبال چیزهای علمی و پایه ای درست و حسابی بودن، نه اینکه توی نرم افزارهای یک عده کم سواد مثل خودشون دنبال سوراخ بگردن نفوذ کنن و فکر کنن خیلی نابغه هستن. ضمنا هک بهرحال اکثرا سوء استفاده از خطاهای دیگران هست و هنری نیست. همهء انسانها اشتباه میکنن. اگر هنر داری راه حل اصولی ارائه بده و خودت چیز بی نقصی رو درست کن.
زیاد این محیطها و سایتها رو محور همه چیز فرض نکن.
علم و دانشمند که همش اونجا متمرکز نیست. در هیچ سایت و سازمان و گروه خاصی هم به تنهایی متمرکز نیست. گذشته از اینکه این محیطها و سایتها اونقدری هم اکثر افرادشون سواد ندارن و بزرگ نیستن. شاید درکلشون تعداد خیلی معدودی افراد باشن که واقعا دانشمند و نابغه باشن.

mbf5923
جمعه 23 دی 1390, 09:42 صبح
آقای دانشمند لطف کنید تا عصر یه مدرک درست از عملی بودن این چیزایی که از خودت سر هم میکنی اینجا بذار یعنی یک نمونه که با این روش نفوذ صورت گرفته است
در غیر اینصورت لطف کنید وقت ارزشمند فروم رو با حرفای بیهوده نگیرید
متشکرم

eshpilen
جمعه 23 دی 1390, 10:24 صبح
البته این درخواست منطقی ای است و بنده مثل دیگران نیستم که توی یک سایت که دونفر خودنما سایتهای هک شده را میگذارند دنبال همه چیز بگردم و بگوییم اگر چیزی در آن پیدا نشد به این معناست که وجود ندارد.
مثل اینست که بنده اگر در ویکیپدیا مقاله ای راجع به یک موضوعی پیدا نکردم بگویم آن چیز وجود ندارد!
تاحالا موارد متعددی بوده که راجع به بعضی موضوعات در ویکیپدیا چیزی پیدا نکرده ام، درحالیکه این سایت یکی از منابع اولیه و اصلی بنده است و درکل بزرگترین و بهترین دائرت المعارفی که تاکنون سراغ دارم (ظاهرا رسما هم بزرگترین دائرت المعارف جهان است).
هیچ منبعی جامع و معیار همه چیز نیست.
و بعضی چیزها را هم درواقع در هیچکدام از منابع نمیتوان پیدا کرد، اما وجود دارند.
درمورد اینکه این حمله در اینترنت و وب عملی است برایتان سند آوردم. آن سند بر اساس تحقیق و تستهای عملی یکسری افراد متخصص است و منبع دانشگاهی دارد.
حالا اینکه بگویید نمونهء واقعی هک را میخواهید خب حرف بدی نیست و بنده هم سر فرصت سعی میکنم راجع به آن تحقیق کنم و نتایج را چه منفی و چه مثبت به اطلاع میرسانم، و بهتر است شما هم بجای دوتا کد و تست ابتدایی و محدود و حرفها و نتیجه گیری های سطحی از منابع محدود همین کار را انجام دهید (هرچند شک دارم اینقدر همت و توان داشته باشید).
در نهایت هم حتی اگر یک نمونهء ثبت شده از این حمله پیدا نشود، دلیل بر غیرعملی بودن و انجام نشدن آن نمیشود. همانطور که گفتم ممکن است استفاده شده باشد اما افشا نشده باشد.
سعی کنید استنباطها و استدلال و اسناد درستی داشته باشید. گزاره های x نتیجه میدهد y شما همه از اساس مشکل منطقی دارند.
بطور مثال میگویید چون در فلان سایت ثبت نشده پس تاکنون انجام نشده. بنظرتان این نتیجه گیری منطقی صحیح و مطمئنی است؟ این فقط یک احتمال است.
بطور مثال میگویید چون تاکنون انجام نشده (برفرض محال که بتوانیم اینرا ثابت کنیم) پس نتیجه میشود که عملی نیست و انجام نخواهد شد. بازهم این استدلال و نتیجه گیری غلطی میباشد.
آیا ما در منطق و ریاضیات چنین اثبات های مخدوشی را میپذیریم؟
فکر میکنید چرا تحقیقات آکادمیک افراد متخصص چیز دیگری میگوید؟ بخاطر اینکه اسناد و روش استدلال شما درست است و مال آنها غلط؟!

eshpilen
جمعه 23 دی 1390, 10:37 صبح
در غیر اینصورت لطف کنید وقت ارزشمند فروم رو با حرفای بیهوده نگیریداحترام خوت رو حفظ کن!
فکر میکنی کی هستی که بتونی به من این حرف رو بزنی؟
و بر چه اساسی با چه اعتباری با چه سند و استدلالی محتوی این بحث و حرفای منو زیر سوال میبری، درحالیکه براش سند و منبع آکادمیک آوردم از متخصصان و دانشمندان واقعی که کلی زحمت کشیدن وقت و انرژی گذاشتن اونم چند نفری و تست هم انجام دادن.
سعی کن عصبانیت خودت رو مهار کنی.
من هرچی گفته باشم کیفیت و محتواش از حرفای روی هوای شما بیشتر بوده و حداقل یک بحث و مطالب پیشرفته رو مطرح کردم که خیلی افراد ازش اطلاعی ندارن.
در ضمن فکر نکن همه چیز میتونه و باید به شکلهای عملی ای وجود داشته باشه که شما انتظار دارید و براتون قابل درکه.
یکسری مسائل تئوریک هست ولی اساس خیلی چیزهای مهم هستن. از رمزنگاری RSA که بر اساس ریاضیات هست تا خیلی چیزهای دیگه.
شما مثلا الگوریتم رمزنگاری از خودت درست میکنی و به دیگران میگی اگر کسی تونست کرک کنه. خب شاید هیچکس در اینجا نتونه یا وقتش و اهمیتش رو نداشته باشه، اما باید بدونی که الگوریتم شما به این دلیل و به این راحتی یک چیز اصولی و امنی نمیشه.

واقعا که مضحکه وقتی امثال شما میگید وقت ارزشمند فروم!!
باشه شما برو آپلولوت رو هوا کن دانشمند بزرگ.

mbf5923
جمعه 23 دی 1390, 10:45 صبح
هرچند شک دارم اینقدر همت و توان داشته باشید).
این مورد به شما مربوط نمیشه دوست من

چون در فلان سایت ثبت نشده پس تاکنون انجام نشده
هکرهای به نام دنیا مثل کوین،مثل بهروز کمالیان،مثل Ghost95 آخرین دستاوردهای هکشون رو در این سایت قرار میدن تا قدرتشون رو به رخ هم بکشن پس این حرف غیر منطقی به نظر میرسه که کسی انجان داده و نگفته!!!

تحقیقات آکادمیک
بزرگوار تحقیقات آکادمیک،همون آکادمیک هستن
مثال میزنم:
روی CPU ها دیدید که مقادیری از فرکانس کاریشون قید شده اما هیچکدومشون حتی تا نصف اون هم کار نمیکنن میدونید چرا؟چون تحت شرایط آزمایشگاهی این کار انجام شده پس روش نوشته میشه ولی در عمل خارج آزمایشگاه امکان نداره.حدود 1سال پیش وقتی با چندتا از دوستان یک CPU 3.2 رو با overclock تا 2.8 ازش کار گرفتیم کاملا از بین رفت وقتی به شرکت سازندش اعلام کردیم گفت شرایط آزمایشتون درست نبوده و باید دمای محیط رو زیر صفر نگه میداشتین!!! حالا به نظرتون این منطقیه؟
حرف شما رو هم بنده رد نمیکنم که این کار شدنی هست،بله شاید بشه ولی نه در دنیای واقعی و شرایط غیر آزمایشگاهی خودتون یکم فکر کنید متوجه میشین.
در کل اگه منظورم رو درست نفهموندم و خدای نکرده شما احساس کردین که من قصد توهین دارم ازتون معذرت میخوام و صادقانه میگم که قصد توهین به شما و نظراتتون رو نداشتم ولی چون شرایط آزمایشگاهی که شما میفرمایید رو بنده عملا تجربه کردم(چه نرم افزاری و چه سخت افزاری) گفتم که نتایج تحقیقاتی تا عملیاتی شدن رهی صدساله در پیش داره

eshpilen
جمعه 23 دی 1390, 10:55 صبح
آقای دانشمند لطف کنید تا عصر یه مدرک درست از عملی بودن این چیزایی که از خودت سر هم میکنی اینجا بذار یعنی
گفتار شما اساسا بی معنی است.
و ناشی از عصبانیت و کینهء شخصی.
من سند و مدرک براتون گذاشتم. شما بفرمایید چه اشکالی داره و چرا پذیرفته نیست؟
این حرفا رو هم از خودم سرهم نکردم. کاملا مشخصه چون براش منابع متعدد و یک سند تحقیق آکادمیک گذاشتم.

اگر بحث عملی بودن باشه اونایی که متخصص هستن و تحقیق و تست کردن دارن میگن عملیه.
حالا شما باید سند و استدلالی در باب ایراد به آزمایشات و نتیجه گیری اونها بیارید که ردش کنه.
درحالیکه تنها استدلال شما این بوده که در سایت اعلام سایتهای دیفیس شده چنین موردی پیدا نمیشه.
سند بنده محکمتره یا مال شما؟
حالا گفتم اگر نمونهء واقعی بخواید میتونه درخواست و تحقیق مفیدی باشه، اما بهرصورت بود و نبود چنین نمونه ای اعتبار کل مطلب رو بصورت مطمئنی نقض نمیکنه و اثباتی در این باب نیست. چون دلیل نمیشه و احتمالات متعددی هست که چرا نمونهء عملی پیدا نمیشه.

دلیل اینکه شما اینقدر سطحی و متزلزل استدلال میکنید و منابع محدودی رو درحکم سند میدونید هم اینه که اصولا مطالعه و سواد کافی در حوزهء امنیت بصورت علمی اون ندارید و فکر میکنید چون کدنویسی و چندتا ترفند بلدید و احتمالا چند نوع هک کردن و روش جلوگیری، میتونید در هر مسئله ای بر همین اساس فتوا بدید!

وگرنه اگر دوتا الگوریتم و پروتکل علم رمزنگاری رو مطالعه کرده بودید پر از مواردی و جزییات و تمهیدات و بحثهای تئوریکی هستن که در عمل کسی تاحالا از خیلی از اونا سوء استفاده ای نکرده که افشا شده باشه. ولی این موارد از نظر تئوریک و محاسبات و اصول علم رمزنگاری پیشبینی میشن و براشون تمهید میشه. این حوزه خیلی پیچیده و گسترده هست و تست و استفادهء عملی تمام موارد کاری نیست که راحت باشه و بعضی از موارد اونا رو فقط هم متخصصان طراز اول، سازمانهای امنیتی و شرکتهایی که منابع زیادی در اختیار دارن میتونن انجام بدن. ضعفهای خیلی از این الگوریتم ها و پروتکل ها فقط بصورت تئوریک توسط متخصصان رمزنگاری کشف و اعلام میشن و بعدش اون الگوریتم ها از رده خارج یا اصلاح میشن.
طبق طرز فکر شما اگر بخوایم عمل کنیم پس همهء این کارها بیهوده هست!! تاوقتی نمونهء عملیش رو شخصا پیدا نکردیم پس مشکلی وجود نداره. نه؟

پس کلا شما دارید چی میگید نمیدونم اسمش رو باید چی گذاشت. خودتون فکر کنید ببینید چه اصطلاحی برازنده است!

mbf5923
جمعه 23 دی 1390, 11:03 صبح
کینه ی شخصی؟ :متعجب: مگه من و شما از قبلا همدیگه رو میشناسیم؟! نه دوست من من اصلا عصبانی نیستم بحث علمی باید این چیزا رو داشته باشه تا به نتیجه برسه تا من که سواد درستی ندارم چیزی یاد بگیرم اتفاقا از مباحثت با شما لذت میبرم برادر بزرگوار.

هم اینه که اصولا مطالعه و سواد کافی در حوزهء امنیت بصورت علمی اون ندارید
ضمنا لطف کنید به اضافه اون خواسته قبلی بنده مبنی بر معرفی یک نمونه انجام شده در محیط عملیاتی، پروژه های علمی رو که در زمینه امنیت شرکت کردین و موفقیت آمیز بوده رو هم نام ببرید
متشکر

mbf5923
جمعه 23 دی 1390, 11:12 صبح
راستی این ماجراش چی بوده دوست گرامی؟
سخنی با مدیریت (http://barnamenevis.org/showthread.php?311767-%D8%B3%D8%AE%D9%86%DB%8C-%D8%A8%D8%A7-%D9%85%D8%AF%DB%8C%D8%B1%DB%8C%D8%AA)

eshpilen
جمعه 23 دی 1390, 11:14 صبح
این مورد به شما مربوط نمیشه دوست من
هکرهای به نام دنیا مثل کوین،مثل بهروز کمالیان،مثل Ghost95 آخرین دستاوردهای هکشون رو در این سایت قرار میدن تا قدرتشون رو به رخ هم بکشن پس این حرف غیر منطقی به نظر میرسه که کسی انجان داده و نگفته!!!

من اینهمه منابع رمزنگاری و امنیت خوندم اسمی از این افراد نشنیدم. کدام الگوریتم رمزنگاری رو اختراع کردن؟ کدام دستاوردهای علمی در سطح جهانی رو داشتن؟ کدام پروتکل امنیتی رو طراحی کردن؟ کدام تحلیل ریاضی چشمگیر رو انجام دادن؟
خودتون دارید میگید هک. هک که همه چیز در این علم گسترده و پیچیده نیست.
هک یک محدودهء کوچکی هست و بکارگیری یکسری یافته ها و ضعفها که خیلی وقتا هم از خودشون نیست.
بعدهم این افراد هرکاره ای که باشن، بازهم دلیل نمیشه. مگه اینا علم و قدرت تمام دنیا رو دارن؟
این چه استدلال و انتظاری هست که شما دارید میگید چون کسی نگفته پس انجام نشده!
مگر همه دنبال به رخ کشیدن قدرتشون هستن؟ اصولا همین هدفی که میگید خودش نشانهء آدمهای سطحی و کوته بین هست. یک دانشمند بزرگ، یک محقق واقعی، افراد متعهد به اخلاق، افرادی که دنبال اهداف جدی تر و حساب شده تری هستن، نمیان هرکاری بکنن و هرکاری رو که میکنن برای خودنمایی همه جا جار بزنن. خیلی ها هم ممکنه برای سازمانها و افراد خاصی کار بکنن که اصلا اجازهء این کار رو ندارن.


روی CPU ها دیدید که مقادیری از فرکانس کاریشون قید شده اما هیچکدومشون حتی تا نصف اون هم کار نمیکنن میدونید چرا؟چون تحت شرایط آزمایشگاهی این کار انجام شده پس روش نوشته میشه ولی در عمل خارج آزمایشگاه امکان نداره.حدود 1سال پیش وقتی با چندتا از دوستان یک CPU 3.2 رو با overclock تا 2.8 ازش کار گرفتیم کاملا از بین رفت وقتی به شرکت سازندش اعلام کردیم گفت شرایط آزمایشتون درست نبوده و باید دمای محیط رو زیر صفر نگه میداشتین!!! حالا به نظرتون این منطقیه؟خب این چه ربطی به بحث ما داره.
در اندازه گیری های زمانی سرعت و فرکانس CPU نقش خاصی نداره.
نیاز نیست ما زمانهای دقیقی رو پیشبینی کنیم و اون زمانها در عمل دقیقا همونقدر باشن تا ما بتونیم اختلاف زمان رو کشف کنیم. فقط نیاز هست در زمان صرف شده برای هزاران درخواست، یک انحراف و افزایش زمان کوچک رو نسبت به هزاران درخواست دیگه پیدا کنیم. و ضمنا محتملا از الگوریتم ها و روشهای جانبی دیگری برای تشخیص و تفکیک و فیلتر کردن عوامل جانبی تاحد امکان استفاده میشه.


حرف شما رو هم بنده رد نمیکنم که این کار شدنی هست،بله شاید بشه ولی نه در دنیای واقعی و شرایط غیر آزمایشگاهی خودتون یکم فکر کنید متوجه میشین.عزیزم اونا که با تجهیزات دست ساز تست نکردن که بگیم شرایط آزمایش خیلی تخیلی بودن.
بله محتملا یکسری پارامترها کنترل شده تر بودن، ولی نه دیگه درحدی که نتیجه بدرد واقعیت نخوره.
اون دانشمندان و محققان هم اونقدری خنگ و بی اطلاع نیستن که همینطوری بیان نتیجهء یک آزمایشی رو که شرایط واقعیش وجود نداره بسط بدن و بگن در شرایط واقعی عملی هست.
تست انجام دادن وقتی میگن روی اینترنت هم تست کردیم، ببخشید، اون اینترنت اونا و کل مسیر و رایانه هایی که ارتباط ازش عبور میکرده یه چیز دیگه بوده غیر از اینترنت و رایانه های استاندارد؟
همچین چیزهایی هم مثل اینکه دمای CPU رو کاهش بدیم و غیره نخیر همچین شرایطی نبوده مسلما. اگر بوده منبعش رو که گذاشتم و شما توش پیدا کردی به ما هم بگو. یه تحقیق آکادمیک مسلما این شرایط آزمایش رو هم ذکر خواهد کرد.
مشکل شما اینه که اصلا روش و ترفندهای این حمله رو متوجه نشدید.
برای چی از هزاران درخواست برای کشف اختلاف زمانی یک مرحله استفاده میشه؟ بخاطر همین که هرچی تفاوت های رندوم و نویز و اغتشاش های مختلف هست توسط محاسبات آماری حذف بشن و با احتمال بالایی بشه نتیجهء نهایی رو بدست آورد.


در کل اگه منظورم رو درست نفهموندم و خدای نکرده شما احساس کردین که من قصد توهین دارم ازتون معذرت میخوام و صادقانه میگم که قصد توهین به شما و نظراتتون رو نداشتم ولی چون شرایط آزمایشگاهی که شما میفرمایید رو بنده عملا تجربه کردم(چه نرم افزاری و چه سخت افزاری) گفتم که نتایج تحقیقاتی تا عملیاتی شدن رهی صدساله در پیش داره عجب!
پس شما در لابراتوار کار کردید.
عزیزم نزن این حرفا رو. منم از علم و لابراتوار بی خبر نیستم.
علم و تحقیق و دانشمند امروزی اونم در این زمینه ها با این ادعاها، اینطورها هم نیست.
البته شاید لازم باشه بنده اون تحقیق رو کامل و دقیق بخونم.
شما هم نخونده این ادعاهای نامعقول رو نسبت ندید. یک عده دانشمند و محقق در این رشته با نتایجی که گرفتن خنگ که نیستن عزیزم! مگر اوسکول هستن برن مثلا CPU رو در دمای صفر نگه دارن و بعد بگن بله این نتیجه در اینترنت و وب هم عملیه!

eshpilen
جمعه 23 دی 1390, 11:25 صبح
راستی این ماجراش چی بوده دوست گرامی؟
سخنی با مدیریت (http://barnamenevis.org/showthread.php?311767-%D8%B3%D8%AE%D9%86%DB%8C-%D8%A8%D8%A7-%D9%85%D8%AF%DB%8C%D8%B1%DB%8C%D8%AA)
خب که چی؟ مثلا دنبال چی هستی؟ چطوری چه نتیجه ای میخوای بگیری و چطوری چه ربطی به بحث جاری داره؟ سند و استدلال میشه واسه شما؟
احتمالا تاپیک های منو سرچ کردی. از بین اون همه تاپیکهای پرمحتوی برداشتی همین تاپیک بی ربط رو آوردی.
خسته نباشید.
واقعا دنبال یادگیری و دانش حقیقی هستی اگر، باید از هرکسی با هراخلاقی بتونی یادبگیری و بحث کنی.
حالا مسائل جانبی هم پیش میاد طبیعتا. چون هیچکس Perfect نیست.

mbf5923
جمعه 23 دی 1390, 11:29 صبح
من اینهمه منابع رمزنگاری و امنیت خوندم اسمی از این افراد نشنیدم. کدام الگوریتم رمزنگاری رو اختراع کردن؟ کدام دستاوردهای علمی در سطح جهانی رو داشتن؟ کدام پروتکل امنیتی رو طراحی کردن؟ کدام تحلیل ریاضی چشمگیر رو انجام دادن؟
کوین میتنیک رجوع به دانشنامه ویکی (http://fa.wikipedia.org/wiki/%DA%A9%D9%88%DB%8C%D9%86_%D9%85%DB%8C%D8%AA%D9%86% DB%8C%DA%A9)
بهروز کمالیان هم ابداع کننده فایروال لایه های شبکه و مدیر آشیانه است
در ضمن بنده با دیدن این مطلب دیگه حرفی ندارم
سخنی با مدیریت (http://barnamenevis.org/showthread.php?311767-%D8%B3%D8%AE%D9%86%DB%8C-%D8%A8%D8%A7-%D9%85%D8%AF%DB%8C%D8%B1%DB%8C%D8%AA)
موفق باشید.

eshpilen
جمعه 23 دی 1390, 11:52 صبح
یک نمونه انجام شده در محیط عملیاتی، پروژه های علمی رو که در زمینه امنیت شرکت کردین و موفقیت آمیز بوده رو هم نام ببرید

اولا شما اول مال خودت رو بذار و ثابت کن.
دوما خب که چی میخوای چطوری به چه نتیجه ای برسی؟
اینکه بجای سند و استدلال و عمل دنبال سابقه دیگران بگردی، خب چی رو چطور چقدر ثابت میکنه؟
اصولا شما همهء منابع رو ول کردی و فقط دنبال فلان سایت و دنیای هکرهای خودنما هستی. تحقیق مستند و عملی یکسری متخصص و دانشمند رو قبول نداری و همینطوری روی هوا و پیشفرض های بدون پشتوانهء خودت رد میکنی و حالا دنبال پروژه های بنده میگردید و اگر نداشته باشم نتیجه میگیرید که کلا این موضوع و مطالب اشتباه بوده؟!
سوما نه قربونت من کار عملی خاصی ندارم.
چون بعکس دیگران سالها دنبال بحثهای پیشرفتهء تئوریش بودم. دنبال علم و پایه های محکم.
تازه الان کمی فراقت پیدا کردم تا برم دنبال پروژه های عملی.
بنظر من آدم باید اول تئوریش رو کامل و محکم کنه و بعد عمل.
طبیعتا خیلی ها وقت و همت این کار رو ندارن.
در دنیای رایانه ها تفکیک واضحی دیده میشه بین دانشمندان و مهندسان و کسانی که عملی کار میکنن و البته کم و بیش طیف و ترکیبی بین اینها هم وجود داره. چون واقعا کمتر کسی به تنهایی میتونه در هر دو بخش تئوریک و عملی دانش و مهارت گسترده و عمیق بدست بیاره. هرکدام از اینها سالها زمان و کلی زحمت میطلبه. اما اونایی که روی تئوری کار میکنن منشاء خیلی از چیزهایی هستن که من و شما استفاده میکنیم. و بارها قدرت خودشون رو ثابت کردن. بطور مثال الگوریتم RSA و کلا الگوریتم های رمزنگاری نامتقارن که یکی از مهمترین ابزارها برای امنیت فناوری اطلاعات دنیای امروز هستن بر اساس ریاضیات پیشرفته اختراع شدن. این کار یک برنامه نویس و مهندس عادی نیست. طرف باید ریاضیدان باشه. باید تئوریک کار باشه. و خیلی موارد دیگه که بازم توسط کسانی که فقط یا بیشتر در زمینهء تئوریک تخصص دارن و کار میکنن انجام پذیره.

خیالی نیست من چیزی رو که نباشم ادعا ندارم. اما میدونم که توان عملی زیادی هم دارم که بخش زیادی از اون بخاطر پشتوانهء تئوریک قوی ای هست که سالها دنبالش رفتم و هیچوقت نمیخواستم به بخش تئوریک اکتفا کنم و درواقع چون میدونستم قوی ترین کس از نظر عملی کسی هست که دانش تئوریش هم قوی تر باشه، رفتم دنبال علم و تئوری تا اینکه زود بخوام وارد کار عملی و تجارت و بازار کار بشم. اصولا در زمینهء تجارت و کارهای عادی شما خیلی از مسائل رو هرگز پیدا و درک نخواهید کرد.

ضمنا در زمینهء علم رمزنگاری و امنیت کنجکاو هستم بدونم شما تا چه حد سواد علمی و تئوریک حتی در حد پایه رو دارید. خیالی نیست اگر خواستید اهل مناظره هم هستم. البته باید در مناظرهء علمی و تئوریک دست از این روش استدلال و استناد ضعیف خودتون بردارید! ضمنا این میتونه بحث فوق العاده حجیم و سنگینی بشه.

eshpilen
جمعه 23 دی 1390, 12:00 عصر
کوین میتنیک رجوع به دانشنامه ویکی (http://fa.wikipedia.org/wiki/%DA%A9%D9%88%DB%8C%D9%86_%D9%85%DB%8C%D8%AA%D9%86% DB%8C%DA%A9)
بهروز کمالیان هم ابداع کننده فایروال لایه های شبکه و مدیر آشیانه است
در ضمن بنده با دیدن این مطلب دیگه حرفی ندارم
سخنی با مدیریت (http://barnamenevis.org/showthread.php?311767-%D8%B3%D8%AE%D9%86%DB%8C-%D8%A8%D8%A7-%D9%85%D8%AF%DB%8C%D8%B1%DB%8C%D8%AA)
موفق باشید.
lol
آهان این یارو چند وقت پیش مقالش رو خونده بودم.
ضمنا بنده مقاله های انگلیسی ویکیپدیا رو میخونم، نه فارسیش رو.
یه مقایسه بکنی میبینی که در همین مورد هم مقالهء انگلیسی چقدر مفصل تره.
تقریبا تمام مقاله های ویکیپدیا اینطور هستن (مگر مواردی که بیشتر مختص ایرانی هاست - مثلا تاریخ و فرهنگ و شخصیت هاشون).
فقط بنده خودم یک مقاله رو ترجمه کردم و گذاشتم که ترجمهء کامل نسخهء انگلیسیش هست.
کلا ملت ما اکثر کارها رو کامل و اصولی انجام نمیدن و خیلی مسائل رو سرسری میگیرن و بیشتر دنبال ظواهر و شهرت و اسمها هستن تا محتوا و قدرت واقعی.
وقت ندارن. میگن لازم نیست. همه چیز باید کوتاه و سریع باشه.
اما خارجیها این کار رو کردن و میکنن.
و ما میخوایم بهشون برسیم. چطوری واقعا؟ اینطوری میشه؟
ما حتی حاضر نیستیم نتیجهء زحمات اونا رو مطالعه کنیم. شاید بنظرمون خیلی سخته.

خب این طرف کی بود چی بود؟
شما مثل اینکه آدم بزرگی که دیدید این بوده فقط؟
ببخشید بخش دستاوردهای علمی طرف کجا بود اونوقت؟ چیزی نمیبینم!
مدرکش چیه. چی اختراع کرد. چه دستاورد مثبتی داشته. کدوم رسالهء علمی رو تالیف کرده.
من این افراد رو مرجع و خیلی دانشمند و نابغه نمیدونم.
یخورده سواد و هوش و خلاقیت و نبوغ دارن بهرحال که این کارا رو میکنن، اما اگر شما فکر میکنید این خیلی دانش و هوش و قدرته کاملا در اشتباه هستید.
دانشمند و قدرت واقعی اونایی هستن که RSA رو اختراع میکنن.
الگوریتم های رمزنگاری قوی رو طراحی کردن.
پروتکل های امنیتی پیشرفته رو.
تحلیل های ریاضی و تئوریک دانش رایانه و امنیت و رمزنگاری.
شما مراجعه کن به این مقاله ها و افراد و مقایسه کن.
بعد ببین اونایی که نام میبری در چه سطحی هستن و چکار کردن و آیا اصلا جنس و حیطهء تخصص و کارشون متفاوت نیست؟

بهره برداری کردن از دستاوردها و خطاهای دیگران بزرگترین کار دنیا نیست. و ساختن اغلب دشوارتر از خراب کردنه.

mbf5923
جمعه 23 دی 1390, 12:14 عصر
پروتکل های امنیتی پیشرفته رو.
خبرگزاری فارس (http://www.farsnews.com/newstext.php?nn=8809021244)
برو آقا خدا روزیت رو جای دیگه حواله کنه
بازم ما 4تا سند رو کردیم
ضمنا من اگه از اول میدونستم شما سابقه شایعه پراکنی داری وارد بحث نمیشدم
میگی نه؟
آقای مهدی موسوی (http://barnamenevis.org/member.php?41233-mehdi.mousavi) گفته:

eshpilen عزیز، اجازه بدید صادقانه صحبت کنیم. من اون اوائل، چند بار پیامهای طولانی شما رو خوندم اما حقیقتش حداقل اطلاعات فنی از خوندن اون نوشته ها عایدم شد در حالیکه باید زمان زیادی صرف (فقط) خوندنشون می کردم.
آدرس این گفته اینجا (http://barnamenevis.org/showthread.php?311767-%D8%B3%D8%AE%D9%86%DB%8C-%D8%A8%D8%A7-%D9%85%D8%AF%DB%8C%D8%B1%DB%8C%D8%AA/page2)

eshpilen
جمعه 23 دی 1390, 12:30 عصر
lol شماره 2 :لبخند:

این بهروز کمالیان که توی هیچ منبع علمی خاصی (البته بجز سایت هک و مک) چیزی نداره.
توی پروفایلش هم چیز خاصی ننوشته.

اینطور که میبینم من خیلی احتمال میدم اون چیزایی که خودم هم از علم رمزنگاری میدونم رو بلد نباشه.
کسی که رفت توی هک نمیاد اصول و الگوریتم رمزنگاری رو مطالعه کنه. مباحث خیلی پیشرفته و پایه ای نمیخونه. بلکه دنبال روش نفوذ و سوراخ میگرده و نرم افزار و کد آماده میگرده و خلاقیت و نبوغ خودش رو برای اینطور چیزها استفاده میکنه. مهارتش در این زمینه هاست.

نمیدونم شما چرا همش این افراد رو مطرح و مرجع فرض میکنید.
اینهمه مباحث و افراد بزرگ و منشاء وجود داشتن و دارن. ولی شما اسم دوتا هکر رو میارید که دستاورد علمی قابل توجهی ندارن.
فقط سایتی رو مرجع میدونید برای مباحث و تحقیقات علمی که توش سایت های دیفیس شده رو میذارن.

بنظر منکه ملت ما خیلی از مرحله پرت هستن.
ما واقعا دنبال چی هستیم؟
و چی میدونیم؟
آیا هکرها دانشمندترین و قدرتمندترین افراد هستن؟
هرکاری هکرها نکردن یعنی کسی نمیتونه؟
تازه خود تعریف هکر یک چیز واضحی و ثابتی نیست.
در ابتدا به کسانی که خیلی علاقمند بودن و با همه چیز ور میرفتن و دل و روده رو میکشیدن بیرون و دستکاری میکردن تا از طرز کارش سردربیارن میگفتن هکر.
یک هکر میتونه واقعا دانشمند هم باشه. میتونه تخصص واقعی و جامع و عمیق داشته باشه.
ولی همهء هکرها اینطور نیستن.
و چیزی که الان بیشتر بعنوان معنای هکر بکار میره اصلا یه چیز دیگه هست.

شما که واردی منو راهنمایی کن یه منبعی، ذکر کارهایی که کرده، مقالاتش، چی میدونه، چی اختراع کرده، اینا رو به من معرفی کن ببینم شاید واقعا اشتباه میکنم.
نه اینکه فقط میای اسمش رو میاری و چون بنظرت معروفه و توی گوگل نتیجه داره.
اگر واقعا خیلی کارش درسته خب نشون بده. چطوری کارش درسته؟
شاید کارش در یک زمینهء محدودی درسته. اصلا ربطی به بحث ما داره؟
شما فکر میکنی متخصصان NSA کیا هستن؟ افرادی مثل میتنیک و این طرف؟ اصلا اونا میتونن به چنین افرادی با شخصیت و خلق و خوی متزلزل و کودکانه اعتماد کنن؟ ممکنه از اینطور افراد هم استفاده هایی بکنن، ولی آدمهای قویتری هم دارن که اسمی ازشون برده نمیشه.

eshpilen
جمعه 23 دی 1390, 12:38 عصر
خبرگزاری فارس (http://www.farsnews.com/newstext.php?nn=8809021244)
برو آقا خدا روزیت رو جای دیگه حواله کنه
بازم ما 4تا سند رو کردیم4 تا نیست. یکی. اونم معلوم نیست حالا خب که چی.
اینکه من گفتم توی منابع علم رمزنگاری و امنیت اسمی ازش ندیدم واقعیته.
چون من منابع آموزشی و علمی و پایه ای پیشرفته رو خوندم. طبیعتا توی اونا اسم افرادی میاد که دستاورد علمی و آموزشی داشتن و اکتشافات و اختراعات جهانی انجام دادن.
مطمئن باش اگر کسی این کار رو بکنه اسمش در منابع میاد.
شما منبع آوردی یک خبر که مثلا فلان نرم افزار مهم رو ساخته.
خب منم که نگفتم بی سواده و هیچ کاری نکرده و هیچ توانی نداره. در اون حوزه حتما دانش و توانی داره و کاری کرده. ولی خب چه ارتباطی به بحث و موضوع ما داره؟ و اصلا بهتره یه تماس باهاش بگیری ببینی نظر خودش در این ارتباط چیه. شاید بهت سند و دلیل بهتری بده.

کل چیزی که از اینطور افراد درمیاد خبر ساخت یه نرم افزاره.
چیش بدرد منو و شما میخوره خب؟ آموزشی، مقاله ای، اصلا نرم افزارش بازمتنه یا انحصاری؟
توسط متخصصان طراز اول دنیا تست شده و چه نظری دادن؟
اهمیتش در چه سطحی هست؟
در چه حیطه ایه؟

ضمنا اینکه خبرگزاری ما گندش هم بکنه که عجیب و بی سابقه نیست. جنبهء سیاسی هم داره.

و نهایتش گفته هکرهای خودمون نتونستن بهش نفوذ کنن!
خب نتونن. مگر حالا قراره هر نرم افزاری قابل نفوذ باشه و اگر نباشه طرف خیلی نابغه بوده؟


ضمنا من اگه از اول میدونستم شما سابقه شایعه پراکنی داری وارد بحث نمیشدمبازم حرفای صدمن یک غاز بی معنی.
چیزهایی که من گفتم کجاش چطور شایعه بودن. شما بفرمایید یک مورد اثبات را!
دوتا اصطلاح و حرف زدن منطقی رو هم بلد نیستی درست انجام بدی.
واقعا خیلی میفهمید.
نهایت استدلال و سندت این شد که یک تاپیک و بحث بی ربطی رو پیش بکشی و به نظر یک نفر دیگه اتکا کنی.
خیلی افراد هم صریحا عکس این رو بارها گفتن. و خیلی ها بعد از خیلی از همین بحثها بهم درخواست دوستی دادن.

mbf5923
جمعه 23 دی 1390, 12:44 عصر
خیلی ها بعد از خیلی از همین بحثها بهم درخواست دوستی دادن
آهان پس برای درخواست دوستی و خودنمایی هرزنامه ارسال میکنی
خوب بابا از اول میگفتی ما رو این همه علاف نمیکردی

eshpilen
جمعه 23 دی 1390, 12:46 عصر
تازه اینم که گفته یک تیم از جوانان عزیز درستش کردن. نه خودش به تنهایی.
بعدم انگار ما نمیدونیم لایهء 7 چیه.
یحتمل یه چیزی کم و بیش مشابه IDS درست کرده که مشابه بازمتنش هست.
خب این نه چیز جدیدی هست و نه خیلی نبوغ آمیز.
لابد کلی هم محدودیت ایجاد میکنه. مثل بعضی ماجول های امنیتی که تا یک کلمه مشکوک وارد میکنی زرتی بلاک میکنن و خیلی وقتا نمیتونی دو خط مطلب فنی یا کد برنامه نویسی رو هم مثلا در یک فروم درج کنی (یک مدت تکنوتاکس این کار رو کرده بود و مثلا اگر توی ورودی کاربر /tmp وجود داشت پست بلاک میشد).
تامین امنیت با این روش کار سختی نیست. اونقدری از نظر سطح علمی بالا نیست. باید رشته هایی رو که در حمله ها استفاده میشن جمع کنی و همه رو سرچ و فیلتر کنی و از این حرفا. از نظر برنامه نویسی کار کثیفی هست.
از نظر علمی کار سطح بالا و اختراعی چیزی نیست. ممکنه سخت باشه و زمانبر، ولی یه چیزی هست در حد و حیطهء خودش.
ضمنا اینقدر دردسر و محدودیت در خیلی جاها ایجاد میکنه که صرف نمیکنه یا اصلا بدرد نمیخوره.

خسته نباشه SMS هم میفرسته. این دیگه اوج نبوغ و یک شاهکار برنامه نویسی هست :قهقهه:

یه منبع درست و حسابی بده نه کلیات و مبهمات یک خبر خبرگزاری میهنی رو.
وگرنه میشه همینطور که گفتم ازش برداشت کرد.
ببینیم واقعا چه روش و الگوریتمی داره و چقدر خاص و پیشرفته هست.
همینطور ادعا که نمیشه مثلا خیلی پیشرفته است! خیلی سخت است! خیلی باحاله! هیشکی نتونسته سوراخش کنه!!

رضا قربانی
جمعه 23 دی 1390, 22:08 عصر
ای بابا
از کجا به کجا کشیده شد.
ببخشید که بین گفتگوی دو عزیز بزرگوار دخالت می کنم و قصد توهین به کسی هم ندارم.
mbf5923 (http://barnamenevis.org/member.php?94132-mbf5923) عزیز : توی این انجمن هر کسی نظر و عقایدی داره و باید بهش احترام گذاشت ، چه درست باشه و چه غلط || می تونید بخونید و وقتتون رو بذارید و می تونید نخونید و وقتتون رو صرف جای دیگه ای کنید و نیازی نیست تاپیک های نامربوط رو برای کاربران آشکار کنید ، یک کاربری اومده و نظر شخصی خودش رو گفته برای کسانی که به این مباحث علاقه دارن . eshpilen (http://barnamenevis.org/member.php?148005-eshpilen) عزیز هم از اولی که می شناسم برخوردش اینطوریه و نیاز نیست ناراحت بشید (رفتار و افکار متفاوته و تمسخر کردن به افکار و رفتار دیگران هم زیاد کار جالبی نیست = خطاب به هر دو عزیز).

نه قصد توهین داشتم و نه تفکر دو عزیز رو تمسخر و زیر سوال بردم، فقط خواستم بگم گذشت هم چیز خوبیه و می تونید وققتون رو بهتر صرف کنید .

eshpilen
سه شنبه 27 دی 1390, 11:58 صبح
یکی از کاربران تقاضای نمونه های واقعی این حمله رو کرده بود.
من چند روز پیش به 3 نفر اعضای تیم دانشگاهی که تحقیق و مقالهء معرفی شده در این تاپیک رو تهیه کردن ایمیل زدم.
همینطور به یکی دو نفر دیگه که مقاله های اینترنتی در این مورد دادن.
الان دو نفر جواب دادن. البته نزدیک بود ایمیل ها رو قاطی اسپم ها/تبلیغات و بعضی ایمیل های دیگه دلیت کنم! (درواقع دلیت کردم و موقتا رفت توی سطل زباله که خوشبختانه متوجه شدم و نجاتش دادم) پس شاید قبلا کس دیگری هم جواب داده و اشتباها ایمیلش رو دلیت کرده باشم :لبخند:

یکی از ایمیل ها میگه:

PHP uses C for its comparison operator, which is likely impossible to attack remotely on common server platforms. We were able to observe timing differences in Java frameworks.

See the talk we gave at Blackhat:

http://www.youtube.com/watch?v=idjDiBtu93Y

And here's a good blog post overview:

http://blog.astrumfutura.com/2010/10/nanosecond-scale-remote-timing-attacks-on-php-applications-time-to-take-them-seriously/


ترجمه: « PHP از C برای عملگر مقایسه استفاده میکند که احتمالا نمیتوان از راه دور بر روی سرورهای متداول به آن حمله کرد. ما توانستیم اختلافهای زمانی را در فریمورک های جاوا مشاهده کنیم.
گفتگویی را که ما در Blackhat انجام دادیم ببینید: (لینک یوتیوب بالا)
و یک پست وبلاگ بررسی کلی وجود دارد: (لینک بالا) »

اینطور هم که خودم یخورده دیگه مطالعه کردم، عملگر مقایسهء جاوا به این نوع حمله خوب جواب میده. ظاهرا بخاطر کندتر بودنش (شاید پارامترهای دیگری هم درکار باشه).

بعدهم بطور کلی این حمله به هر نوع بدست آوردن اطلاعات محرمانه با استفاده از اختلاف زمانی مربوط میشه. فقط بحث مقایسهء رشته ها و عملیات های سطح پایین و جزیی و در نتیجه اختلاف زمانهای خیلی کوچکی که در عوامل رندوم و نویز گم میشن نیست. بطور مثال در مطالب اون پست وبلاگ از این صحبت میکنه که در خیلی از نرم افزارها میشه از طریق اختلاف زمانی مشهودی که وجود داره، نامهای کاربری معتبر و نامعتبر در یک سایت رو از هم تشخیص داد. این کار راحتتر و عملی هست چون تفاوت عملیاتی که درصورت اعتبار و عدم اعتبار نام کاربری انجام میشه اغلب زیاد هست از نظر پردازشی و زمانی که مصرف میکنه. پردازش و زمان اینطور عملیات میتونه صدها و هزاران برابر یک مقایسهء رشته ای ساده باشه. و بنابراین ممکنه با تعداد کمی تست براحتی مشخص بشه.
خب البته این ایراد به سایتهایی که نام کاربری در اونا چیز محرمانه ای نیست وارد نیست، ولی در خیلی نرم افزارها و سایتها هم هست که نامهای کاربری پابلیک نیست و خودش یک اطلاعات محرمانه تلقی میشه که افشای اونا میتونه یک ریسک امنیتی باشه. یه سیستم حرفه ای باید این مسائل رو درنظر بگیره. بخصوص در محیطهای حساس.

بعد تازه نرم افزارهای متعدد حرفه ای وجود دارن که به این مسئله بی توجه نبودن و یکسری باگها و ضعفهای خودشون رو در این زمینه برطرف کردن. در بین این نرم افزارها حتی فریمورک Zend دیده میشه. البته اینطور باگها درمورد زند یحتمل خیلی جدی نبودن، اما بهرحال اونا تصمیم گرفتن ریسک نکنن و بنظرشون مسئلهء امنیت چیزی نیست که بشه سبک شمرد؛ حتی اگر این فقط یک احتمال ضعیف باشه. ضمنا همیشه باید پیشرفت ها و اتفاقات آینده رو هم تاحدی که میشه درنظر داشت. حمله های زمانبندی و حتی امکانات سخت افزاری برای انجام اونها درحال پیشرفت بوده. اینکه ما بخوایم به یک فرضهای کلی و مبهم و اثبات نشده برای حال و آینده اتکا کنیم در مورد نرم افزارهای حرفه ای و بخشهای حساس قابل قبول نیست.

یکی دیگه از ایمیل ها هم گفته:

We don't give away our code for this, but it's not hard to write your own.

So far as I know, nobody does these sorts of attacks in the real world.

ترجمه: « ما کدمان را برای این به کسی نمیدهیم، اما نوشتن کد خودتان کار سختی نیست.
تاجاییکه من میدانم، هیچکس این نوع از حملات را در دنیای واقعی انجام نمیدهد. »

eshpilen
سه شنبه 27 دی 1390, 12:32 عصر
میشه این مورد رو با مثال بگی. نرم افزار زند فریم ورک توی چه مسئله ای بی توجه بوده یا نبوده؟ منظورتون رو خوب متوجه نشدم
همون منابعی که دادم رو خب یه نگاهی بکن. یه سرچ زدن توی صفحه برای کلمهء Zend که کار سختی نیست!

در اون مقالهء وبلاگ میگه:

As of version 1.11 which has been released as a beta, Zend Framework has been patched to remove several timing leaks primarily as a countermeasure against any future exploitation attempts of this nature. This is not considered a critical security vulnerability in the framework given the paucity of evidence that exploits are actively being pursued. Implementing it now, before exploits are widely in use, is simply an act of prudence that offers a measure of forward looking protection for Zend Framework users. I would encourage other frameworks and libraries to take similar steps

ترجمه: « از نسخهء 1.11 که بعنوان بتا منتشر شده است، فریمورک زند برای برطرف کردن چند نشت زمانی عمدتا بعنوان عمل متقابل دربرابر هر اکسپلویت آینده از این نوع پچ شده است. این یک آسیب پذیری امنیتی وخیم تلقی نمیشود، زیرا مدارک بسیار کمی وجود دارند که اکسپلویت ها درحال توسعه هستند. پیاده سازی آن درحال حاضر، قبل از اینکه اکسپلویت ها درحال استفاده باشند، به سادگی یک عمل احتیاطی است که یک دفاع برای آیندهء کاربران فریمورک زند ارائه میکند. من سایر فریمورک ها و کتابخانه ها را هم به برداشتن گامهای مشابه تشویق میکنم. »

eshpilen
سه شنبه 27 دی 1390, 18:48 عصر
ما کدمان را برای این به کسی نمیدهیم، اما نوشتن کد خودتان کار سختی نیستاینکه میگه کدمون رو نمیدیم فکر نکنید بخاطر انحصارطلبیه.
نه به احتمال زیاد بخاطر رعایت اصول حرفه ای و اخلاقی هست و اینکه دیگران از این برنامه سوء استفاده نکنن.

همه که مثل یکسری هکر بچه صفت و خودنما نیستن که دوتا چیز یاد گرفتن و دوتا سایت مردم رو هک میکنن فکر میکنن خیلی دانشمند و نابغه ان که تازه بشریت باید بخاطر وجودشون به خودش بباله و بهشون جایزه بده!