לגלישה באתר בגירסה המותאמת לסלולאר

בהנהלת:

אופן הצפייה:
הסתרת שרשור מעל   תגובות
עץ הודעות:
ברוכים הבאים לפורום אבטחת מידע

אנא הקפידו לקרוא את נוהלי פורום אבטחת מידע במאמרים


מספר כללי התנהגות
* אנא קראו את כללי הפורום לפני כתיבת ההודעה הראשונה.
* אין לפרסם בפורום - בשביל זה נועדו הלוחות
* אנא הקפידו לשרשר, כל הודעה חדשה דוחקת אחרת לדף הקודם
* אין לעבור על חוקי מדינת ישראל בכל הקשור לפריצות וכיו'
* לפעמים אמירת אינה פשע..

Deviation ו- Y0NaTaN

תוכנה למניעת צפייה באתרי פורנו לבית
29/03/15 14:24
26צפיות
איפה אני מוצאת  תוכנה פשוטה למנוע צפייה באתרי פורנו ?
לדעתי קל יותר לבקש סינון מספקית האינטרנט. לכולן יש דרכים
29/03/15 19:33
20צפיות
לסנן - ולרוב זה נוח יותר מכל תוכנה שניתן להסיר או לעקוף.
 
ב-012 למשל ניתן להגדיר דרך האתר שלהם (אם הסינון מופעל) איזו דרגת סינון.
 
גם עדיף להגדיר *אתרים מותרים* בודדים, מאשר לסנן, כי תמיד יש פרצות (ועצם הגדרת הפורנו לא קבועה).
K9- מעולה, פשוט, קל וחינמי!
30/03/15 18:01
18צפיות
|*|פורומים חדשים בתפוז|*|
26/03/15 11:37
2צפיות
|*|האם אתם בעלי עסק קטן או בינוני וצריכים הכוונה בכל הנוגע להתנהלות הפיננסית מול הבנק? האם אתם מכירים את קרנות הסיוע שעומדות לרשות העסק שלכם?
פורום מימון עסקים בהנהלה חדשה ואתם מוזמנים להיכנס לפורום ולהתייעץ:
http://www.tapuz.co.il/forums2008/forumpage.aspx?f...

|*|יש לכם שאלות לגבי החזרי מיסים? אתם מעוניינים לקבל יותר מידע בנוגע למס רכישה?
היכנסו עכשיו לפורום דיני מיסים וקבלו את כל התשובות לשאלותיכם:
http://www.tapuz.co.il/Forums2008/forumpage.aspx?f...

|*|את סובלת מצניחת רחם? יש לך שאלות לגבי חיזוק שרירי רצפת האגן?
היכנסי עכשיו לפורום רצפת האגן והעלי את שאלותיך בנושא:
http://www.tapuz.co.il/forums2008/forumpage.aspx?f...
CSRF שאלה
23/03/15 13:26
37צפיות
היי חברים,
האם ב CSRF ההתקפה נעשת מאותו הדפדפן או מדפדפנים מסוג שונה?
ז"א נגיד אני שולח לנתקף לינק עם לינק זדוני שיעשה פעולה מסויימת בלי שהוא ידע מזה האם בשביל שזה יחשב CSRF וההתקפה תעבוד הוא צריך לפתוח את הלינק באותו דפדפן שבו נמצא האתר שאני רוצה שהפעולה תיעשה?  או הנתקף צריך לפתוח את הלינק בדפדפן שונה?
 
אשמח ללינק הסבר אם יש למישהו.
תודה
זה תלוי בהתקפה
24/03/15 09:31
26צפיות
אם ההתקפה מבוססת על משתמש מאומת ההתקפה תפעל רק דרך הדפדפן המאומת - לא רק שצריך שזה יהיה אותו דפדפן, אלא הסשן צריך להיות פעיל.
 
במידה ולא אז לא.
 
 
אממ
25/03/15 09:17
22צפיות
אם זה משתמש לא מאומת זה כבר לא התקפה, מה בדיוק יש לי לעשות בזה אם היוזר לא התחבר?
זה כמו שתגיד תישה clickJaking למשתמש לא מאומת...
אז לא הבנתי ,אני צריך להיות באות דפדפן? או שלא?
|*|נפתח פורום גישור|*|
22/03/15 14:29
2צפיות
|שמאל|יש לכם סכסוך משפחתי על ירושה? קלקלתם את היחסים עם השכנים?
כנראה שהליך גישור הוא הפתרון בשבילכם!

היכנסו עכשיו לפורום גישור והעלו את שאלותיכם בנושא:
http://www.tapuz.co.il/forums2008/forumpage.aspx?f...
º
איפה אתם שומרים את הסיסמאות שלכם?
17/03/15 04:03
28צפיות
ברשת, באחד משירותי האיכסון. זמין ונוח
17/03/15 17:16
36צפיות
יש רק לקוות שההצפנה שמבטיחים שקיימת בהם, אכן עובדת...
 
.
לי יש תכנת גלישה AVANT
18/03/15 12:41
55צפיות
היא שומרת עבורי ברשת את הסיסמאות
מאד יעיל ונוח
 
מישהו כותב לDATABASE SQL שלנו
15/03/15 22:45
38צפיות
שלום 
ברשותינו אתר אינטרנט הכתוב בASPNET מאוחסן על גבי שרת יעודי עם IIS והדטה בייס שלו מוגדר כקובץ MDF של SQL EXPRESS - השרת SQL מוגדר לא לאפשר חיבור מרחוק 
הקבצי MDF יושבים בתוך ספריית APP_DATA ויש למשתמש הדיפולטי של IIS הראשת כתיבה אליהם כדי לאפשר כתיבה של נתונים לדטה בייס 
באופן תמוהה מישהו מצליח להוסיף נתונים (לינקים לכל מיני אתרי פרסום) בתוך השדות של הדטה בייס ובזה לדפוק לנו את כל התוכן של האתר 
אין סיכוי שמישהו מתחבר לניהול של האתר כי זה לא אפשרי 
 
אשמח לעצה כיצד ניתן לבדוק מאיפה הפריצה ואיך הם כותבים לדטה בייס למרות שהם לא יכולים להריץ קוד על השרת 
בתודה מראש 
לפי התיאור שלך, רוב הסיכוים שמדובר על התופעה של ...
16/03/15 11:31
45צפיות
לפי התיאור שלך, רוב הסיכוים שמדובר על התופעה של sql injection . בסוג התקפה המדוברת, התוקף מנצל את חולשות בקוד האתר. למשל תיבות קלט שלא קיימת בהם בקרה וניתוח של קלט מהמשתמש, מה שמאפשר לבצע שאילטות SQL לא מתוכננות ( לא מורשות ) . Input boxes ללא בקרה בשילוב עם אפשרות של שאילתות SQL ישירות מהקוד של האתר לבסיס נתונים ללא שימוש בפרמטרים מוגדרים מראש  (sqlParameter) מהוות פרצה בשביל התקפת sql injection  . מנגנון שני שמאפשר את sql injection  הוא שימוש ב Query Strings [GET] בצורה לא מבוקרת.
צירפתי מספר קישורים שמסבירים את הנושא בפשטות ואיך להתמודד איתו :
וגם דוגמה פשוטה שנותנת אפשרות לראות אך התהליך מתבצע:
דבר נוסף שכדאי לבצע זה הפעלה והגדרה של LOGGING מורחב בשרת IIS . כך ניתן יהיה לזהות מה בידיוק התוקף מבצע , מהיכן הוא מגיע וכו'.
תודה על התגובה אבל
17/03/15 14:53
21צפיות
לדעתי לא מדובר בגישה לDB דרך הקוד של האתר
בעיקר כי באתר יש רק שדה של תגובה שבו יש קלט של טקטס מהמשתמש ולכאורה השינוי על הדטה בייס היה אמור להיות רק בטבלה של התגובות - אבל השינוי שהתוקף מצליח לבצע הוא בטבלה של המאמרים עצמם - שם בצד של המשתמש אנחנו לא מקבלים שום קלט
 
וגם למיטב ידיעתי - בASPNET כבר מובנת יכולת בסיסית של מניעת SQL INJECT על יד ENCODEING של הקלט (לא כך ?)
 
יש לוגים של השרת IIS - אבל הלוגים הרגילים - לא מוצא דרך להפריד תוקף מגולשים תמימים - ההאם יש לך המלצה ללוגים אחרים ? האם יש לוגים של השרת SQL EXPRESS שאפשר לנתח כדי לראות עדכון רוחבי כזה בכל השדות ?
 
כל זה לוקח אותי למסקנה שאיכשוה הוא מצליח לעבוד ישירות מול ה-DB ושאני מפספס משהו בהגדרה של ההרשאות (כאמור ההרשאות הם ברמת הווינדוס לתקייה APP_DATA)
 
האם בקוד ASPNET של התוקף יש דרך להגדיר קובץ MDF מרוחק כזה שיושב בלינק של האתר שלנו ולבצע עליו מניפולציות ?
 
השינוי היחיד שעשיתי כרגע הוא לשנות את השם שם הקובץ SQL מהשם הגנרי DATABASE.MDF למשהו שהוא פחות גנרי וניתן לניחוש - למרות שאין לי מושג איך גם כשאתה יודע את השם הדטה בייס אתה יכול להשתמש בו בצורה מרוחקת :)
מספר דברים בנושא של בסיסי נתונים...
19/03/15 10:39
11צפיות
דבר ראשון לצורך הביצוע של sql injection מספיק גם שדה קלט בודד שלא נבנה ותוכנן בצורה מאובטחת כמו שכבר הסברתי בתגובה הקודמת, ושגם ניתן למנוע את הבעייה בכלים מובנים ופשוטים שאותם גם פירטתי מקודם. דבר נוסף כל הראיון של  sql injection הוא כתיבה לטבלאות שבונה האתר לא רצה שאליהם הנתונים ירשמו. גם כדאי להוסיף שלצורך הביצוע של הזרקת SQL תיבת קלט לא חייבת כלל מראש להיות כזו שאמורה להוסיף פרטים לבסיס נתונים, אלה מספיק שתיהיה מקושרת למנגנון השאילתות, גם אם המתכנן האתר התכוון בעזרת תיבה הזו רק לשלוף נתונים מהבסיס הנתונים ( למשל שדות קלט של הזדהות באתר או כל פנייה אחרת לבסיס נתונים שהאתר עושה בו שימוש ) . נקודה נוספת היא שלא קיים מנגנון מובנה ב ASP.NET שאמור למנוע את תופעה המדוברת, כי הוא רק יגביל את החופש פעולה של המתכנת, המנגנונים הם ברמת המתכנת שאותם כבר מניתי בתגובה הקודמת.
בקשר לתקשורת והזדהות מול שרת SQL , ברוב המקרים עדיף להגדיר את השרת שניתן יהיה להזדהות מולו רק דרך SQL Server Autentication ולהגדיר ברת SQL משתמשים נפרדים . אופצייה זו נותנת אפשרות לבודד את ההרשאות ומשתמשים של שרת SQL מההשאות והמשתמשים של שרת Windows ושרת IIS , ובקשר לתקשורת לשרת SQL , תמיד כדאי לבדוק שהיא מוגדרת בדרך של תקשורת SQL מאובטחת במקום קיצורי דרך שנועדו לצורך של בדיקות בלבד. צירפתי קישור שמסביר את הנושא:
דבר נוסף שצריך להבין זה שקובץ MDF זה לא קובץ שכותבים עיליו ישירות, כמו למשל לקובץ טקסט, אלה מדובר על הקובץ אמור להיות בשימוש על ידי שאילתות שעוברות דרך שרת SQL ואם הכל מוגדר בצורה תקינה לא ניתן לתקשר איתו מרחוק. כמובן שכדאי לבדוק דברים סטנדרטיים כמו למשל אם פורט 1433 של שרת SQL לא פתוח לכיוון האינטרנט, אם לא קיימות הרשאות מיותרות בסיפריות מפורסמות על ידי  IIS למשל Directory Browsing וכו .
 
עבור לשרת אפאצ'י עם PERL.
17/03/15 00:20
111צפיות
תמיד ימצאו חורים ב-MS
כל מי שמעורה בתחום של אבטחת מידע בכלל ובנושאים של WEB בפרט..
17/03/15 13:20
27צפיות
כל מי שמעורה בתחום של אבטחת מידע בכלל ובנושאים של web security בפרט מודע לזה שלאבטח שרת LINUX שמריץ Apache ועוד בשילוב עם Perl CGI ו SQL כלשהו, למשל mysql יהיה בדרך כלל משימה קשה ביותר ולפעמים גם בלתי אפשרית בגלל מספר רב של גורמים ושבניגוד לשרתי Microsoft IIS  ששם רוב הבעיות נובעות מבוני האתרים שלא מבינים בנושאים של אבטחת מידע והבעיות מערכתיות שמתגלות זוכות לפתרון מיידי על ידי ההפצה ויישום אוטומטי של ה hotfixes . מצד שני בשרתי Apache שעושים שימוש ב PERL ו CGI יכולות להיות פרצות אבטחה שידועות כבר יותר מעשרים שנה ועוד לא קיבלו מענה , למשל מקרה המדובר : https://news.ycombinator.com/item?id=8813479
לזה אפשר להוסיף את הבעייה שמנגנון ה CGI זה תמיד מטרה רכה שכל תוקף תמיד יעדיף לבחור בה: http://www.governmentsecurity.org/_/articles/hacking-cgi.html .
גם אפשר להזכיר את הבעיות של תקיפת שרת ישירות, וזה שלכל סוג של חולשה בשרת Apache ישר מתפרסמים שלל כלים שנותנים אפשרות לנצל את הפרצה גם על ידי גורמים שרק צריכים לדעת להריץ את הקובץ בלי להבין יותר מדי :
ואפשר להוסיף עוד מספר רב של ההיבטים על הנושא.
תודה - כרגע זה לא מעשי כל הקוד של האתר כתוב ASPNET וSQL
17/03/15 14:54
18צפיות
וגם לעניות דעתי לינוקס הואלא יותר בטוח
פה לפחות יש אבא שמחוייב כביכול לשלוח עדכוני תוכנה ברגע שמתגלית פרצה בלינוקס זה לא תמיד עובד :)
אגב פרצות של 20 שנה - גם ל-MS יש כאלה.
17/03/15 17:12
37צפיות
ועובדה היא שרוב השרתים מבוססי לינוקס, ועמידים יחסית.
בשרתים של Microsoft לא קיימות פרצות שמוכרות מסיבה אחת ...
19/03/15 11:22
28צפיות
בשרתים של Microsoft לא קיימות פרצות מוכרות כמו כאלה שהזכרתי מקודם ב Linux מסיבה אחת פשוטה לכל הפרצות המוכרות של Microsoft  מייד נבנים HotFixes שפותרים את הבעייה . ב Linux המצב שונה לגמרי , המקרה המפורסם ביותר מהשנים האחרונות , שגם מי שלא נמצא בתחום מכיר אותו זה מקרה של heartbleed .
שבמקרה המדובר כל מי שהשתמש במודול של openssl , ( שירותי HTTPS , SSH ,SSLVPN, מרכזיות טלפון , שרתי RADIUS , נתבים של CISCO , JUNIPER , ומוצרים רבים אחרים ) ושהדבר המשותף ביניהם הייה שכולם היו שרתים על בסיס של LINUX היו חשופים במשך מספר שנים לחולשה ידועה שניתן הייה לנצל אותה בקלות וגם אחרי שהתפרסמו מספר גרסאות חדשות של מודול OPENSSL כל פעם הייה מסתבר שהבעייה לא נפתרה .
כל זה לא אומר שלא ניתן להשתמש כלל בפתרונות מבוססים LINUX , אלה רק שצריך לדעת בידיוק מה הסיכונים ואיך לנהל אותם ובאיזה מקרים פיתרון ספציפי מתאים ואיך ניתן לאבטח אותו.
גם במקרה הזה תיקון נוצר מהר מאוד
19/03/15 13:46
26צפיות
השאלה אם גם בלינוקס היה לך מקרה של לקוח, כמו הנ"ל, שלא יודע מי פורץ אליו ולמה.
מהר מאוד במוסגי LINUX , רק כשנתיים מאז שהבעייה נוצרה...
22/03/15 12:31
23צפיות
מהר מאוד במוסגי LINUX , רק כשנתיים מאז שהבעייה המדוברת נוצרה. גם ההמשך הוא הייה אופייני וצפוי מראש לטיפול בבעיות אבטחה ב LINUX , ההמשך הוא שבמשך שנה מאז שהפרצה התפרסמה בכל מקום אפשרי יצאו כעשרה מהדורות תיקון לבעייה הראשונית במודול של OPENSSL וכל מה שמשותף לכל הגרסאות, זה שכל אחת מהן הביאה איתה בעייה יותר חמורה מהקודמת. גרסה האחרונה לעכשיו התפרסמה בשבוע שעבר והיא אמורה לטפל בבעייה בשם OpenSSL “FREAK” vulnerability
והגרסה הבעייתית הקודמת היתה אמורה לטפל בבעייה שנוצרה על ידי גרסה אחת לפני זה, שכולם הכירו אותה בשם POODLE
אפשר לראות את כל הרשימה של הפרצות שהתגלו רק במודול המדובר :
לזה אפשר גם להוסיף שבניגוד למערכות של Microsoft ששם הפתרון לבעיות הוא על ידי הפצה אוטומטית, במקרה של LINUX לא קיימת הפצה של התקונים אוטומטיים ולפעמים גם לא ניתן לעדכן את המודול הבעייתי וצריך לקמפל את כל המערכת מחדש ולפעמים גם זה לא אפשרי וצריך להמתין עד שמי שמפתח את התוכנה יואיל בטובו לכלול בגרסה החדשה את התיקון הנדרש. דבר נוסף ב LINUX קשה מאוד ולפעמים גם בילתי אפשרי למפות את כל המערכות שדורשות טיפול בבעייה, בגלל שהתיעוד של השימוש במודולים שונים לא תמיד קיים, כמו למשל שהסתבר עכשיו שהבעייה הנוכחית ב OPENSSL משפעיה גם על מערכות ויישומים של IOS ו Android . כל המדובר הייה בהקשר של מערכות SSL ששם אבטחה היא השיקול העיקרי. במערכות יותר מורכבות כמו Apache , בעייות אבטחה הם הרבה יותר סבוכות והניצול שלהם הוא הרבה יותר נרחב . צירפתי רשימה מתומצתת מהאתר הרשמי של Apache
לרוב האנשים שלא באים מהתחום מדובר על רשימה של אותיות ומספרים, אבל למי שמתעסק בנושאים האלה יום יום ויודע מה הסיכונים העומדים מאחורי כל האותיות ומספרים האלה, מדובר על סימן אזהרה אדום מהסוג של "מוקשים הזהר" שמספיק בשביל לא להתקרב לצרות מהסוג המדובר או לעשות את רוב המאמצים לצורך הסבה של השרתים האלה למערכת אחרת יותר מוגנת, צפוייה, מתועדת ונתמכת, ואפילו שהרישוי שלה הוא לא בחינם, אבל לטווח ארוך השיכול הכולל יוצא פי כמה וכמה יותר זול.  
בקשר ל SQLI
23/03/15 13:22
15צפיות
מצורף מאמר על שאילתות פרמטריות בSQL שזה למעשה אחד המיטיגציות המרכזיות ל SQLI :
 
בהצלחה
 
בוא נראה
25/03/15 14:15
232צפיות
 
Schannel - ספריית ההצפנה של מיקרוסופט.  
לתשומת לבך, האחרון מטפל באותה בעיית FREAK שאתה טוען שהתיקון האחרון לheartbleed הביא.
 
למיקרוסופט לפעמים לוקח 19 שנה מאז שהבעיה נוצרת עד שהיא מתוקנת. וזה לא מקרה חד פעמי. וגם כשהם מתקנים לפעמים התיקון לא טוב ולוקח עוד ארבע שנים בשביל תיקון שאולי עובד.
 
אני מציע שתעדכן את הידע שלך בלינוקס. בכל דיסטריביושן מרכזי ניתן לקנפג עדכונים אוטומטיים.  אני לא בטוח שאני ממליץ לעשות את זה.  הניסיון עם מיקרוסופט מראה שלפעמים זה יכול להיות בעייתי.
 
בשורה התחתונה, מיקרוסופט לא מספקת שירות יותר טוב ממה שמקבלים בסביבת הקוד הפתוח.  למעשה, בהשוואה לספקים אחרים, קצב התיקון שלהם הוא לא משהו. אז תעשה טובה ותפסיק להפחיד.  אותי הרבה יותר מפחיד לחשוב על מה מיקרוסופט יודעים אבל לא טורחים לתקן כי אף אחד עוד לא פרסם את זה...
לא הייתי ממהר ואומר
25/03/15 21:02
20צפיות
שרוב השרתים הם לינוקס...
ים אפליקציות שבדקתי יושבות על פלטפורמת מיקרוסופט..
סטטיסטיקות
26/03/15 03:14
13צפיות
 
למעשה, למעט הדו"ח הישן של IDC שמספר ש-75% מהשרתים שנמכרים עם מערכת הפעלה נמכרים עם ווינדוס, ולא מספר כמה שרתים נמכרים בלי מערכת הפעלה, לא ראיתי שום סטטיסטיקה שבה רוב השרתים יושבים על איזו פלטפורמת מיקרוסופט.
º
הרוב עדיין. השאלה המעניינת היא מי נפרצים יותר
26/03/15 23:32
1צפיות
המשך עם נורטון אנטיוירוס 360
12/03/15 05:44
31צפיות
שלום,
כבר שלוש שנים שאני משתמש בנורטון לאבטחת המחשבים הביתיים שלי.
בהתחלה זה היה Norton™ Internet Security ובשנה האחרונה השתמשתי ב Norton 360™ בשלושת המחשבים הביתיים שלי.
כעת אני נדרש לחדש את המנוי לשנה נוספת (60$ לשלושת המחשבים).
רציתי לשמוע דעות בעד ונגד התוכנה ואם נגד מה מומלץ לרכוש למחשב ברמה הביתית.
אציין כי לא נתקלתי במהלך השנים בהם אני משתמש בתוכנות של החברה בבעיית וירוסים שאני מודע להם.
 
תודה לכל עצה
נדב
ראשית חוכמה(אוניברסלית) היא לחטט בפורום
12/03/15 10:38
25צפיות
יש לא מעט מידע בנושא ותשובות חוזרות ונישנות על שאלת אנטי וירוס נפוצה.
לטעמי בבית הייתי חוסך 60$ יקרים ומתקין תוכנות אנטי חופשיות כמו אווירה וכדו' + הגנה נוספת כמו malwarebyts   או hitman.
איכותן טובה ויותר והן יתנו לך שקט ראוי.
נשמע קצת הרבה. חפש דילים - יש לא מעט
12/03/15 13:18
23צפיות
אישית אני מעדיף את ESET. גם קספרסקי טובה. כדאי לגוון, כמו עם כל דבר.
30$ עד מחר ב09:00 שעון ישראל
13/03/15 12:19
37צפיות
צריך להקליד כתובת "משלוח אמריקאית" כדי לקבל מפתח באימייל.
אין פה שום המלצה, קיבלתי מאמזון מייל על המבצע.
יותר מדיי תקלות עם נורטון
13/03/15 20:04
35צפיות
במהלך השנים האחרונות קניתי כמה רישיונות. שוב ושוב נאצלתי לזנוח אותם (לזרוק לפח ולהפסיק להשתמש) מרוב תקלות. רוב ההתקנות שלי התקלקלו ספונטנית(!) ודרשו תיקון / הסרה מהמחשב. ולא שהתקנתי את 360 עם שלל הפיצ'רים שלו, אלא את החבילות הקלות יותר של NIS ו- Norton AntiVirus.
 
נכון להיום ממליץ על ESET בתשלום ו- Avast בחינם.
 
רכשתי NORTON SECURITY לפי המלצת sweetums
13/03/15 20:56
20צפיות
תודה
חבל על כל דולר
14/03/15 09:21
34צפיות
אני עם AVG החינמי כבר מספר שנים
הוא מגן עלי מצוין, ולא נפגעתי אפילו פעם אחת
אין כל טעם להשקיע כסף בתוכנת אנטי וירוס במחשבים ביתיים
זה מנוגד לכל היגיון, ולא משנה מה יכתבו לך כאן כל המומחים למיניהם
מה שאפשר להישג בחינם ? לא קונים בכסף, נקודה
קח 60$ ותקנה בהם מתנות לילדים לאישה
 
יש כמובן את AVAST ועוד תוכנות חינמיות
בהצלחה
 
 
 
º
ובמחשב עסקי?
16/03/15 22:25
12צפיות
º
אלה שבתשלום - קאספרסקי; ESET.
17/03/15 00:22
9צפיות
שייכות לתחום?
10/03/15 12:03
44צפיות
שלום, 
בהיותי אשת מדעי הרוח אשמח לדעת אם אבטחת מידע נחשב לחלק מהנדסת מחשבים. 
תודה מראש
אביבית 
כיום האבטחה היא נושא בין-תחומי, אבל במקורה החלה אכן כחלק
12/03/15 04:44
32צפיות
מתחום המיחשוב ('הנדסת' זה יותר תואר אקדמי, שנועד לספק מסלול לימוד - פחות משקף את התחום).
º
תודה רבה!
12/03/15 06:03
8צפיות
ועוד משהו מעניין בתחום- CSI: Cyber. סידרה נוספת בזיכיון.
17/03/15 02:38
15צפיות
נשמעת מעניין. הכוכבת ארקט אמרה בראיון שהיו להם יועצים מקצועיים והיא אפילו למדה בעצמה משהו.
 
ידוע שאם למישהו יש את הסיסמא לגלישה האלחוטית שלי
02/03/15 16:28
67צפיות
אז יש לו אפשרות קלה למחשב שלי. אבל גם אם אחליף סיסמא, עדיין מה אם לאנשים מסוימים יש קשרים בחב' האינטרנט , והם יכולים לקבל את הסיסמא שלי, ואני לא יכולה להמנע מזה.
 
האם יש דרך נוספת לאבטחה ?
אם יש סיסמה בכניסה למערכת, זו תהיה חסימה נוספת
02/03/15 22:21
46צפיות
כדאי גם לוודא שאין תיקיות שיתופיות.
 
כדאי אגב להבדיל - סיסמה לגישה לאינטרנט (לספקית) לעומת סיסמה לנתב האלחוטי, כדי להתחבר אליו (כי הוא מחובר כבר לרשת). שני דברים שונים.
 
אם מישהו יודע את הראשונה, לא אמור לדעת את השניה. אבל מי שיודע את השניה, יוכל לדעת את הראשונה.
כוונתי שיש לו סיסמה לנתב האלחוטי של, אם כך...
03/03/15 09:10
37צפיות
1. היכן ואיך משנים את הסיסמא בכניסה למערכת ? והאם זה מספיק ?
2. סיסמה גישה לאינטרנט, נראה לי שאין לי, איך אפשר לדעת ?
3. היכן מוודאים תיקיות שיתופיות ?
 
תודה על הכל...
היי
03/03/15 13:10
33צפיות
אם אתה משנה את הסיסמה לנתב ושפ הצפנה כמו WPA2 ולא עובד בצורה לא מאובטחת  כמו WEP אז הפריצה תהיה קשה יותר.
º
אפשר הסבר יותר פשוט, איך אני מבצעת כל זאת?
03/03/15 18:15
23צפיות
תלוי בדגם הנתב. אם חדש של בזק, יהיה אשף הגדרות שיגדיר
04/03/15 11:28
94צפיות
אוטומאטית. כל חיבור מוצפן (WPA2 לסוגיו) מחייב סיסמה.
 
* סיסמת גישה לאינטרנט גם חייבת להיות, אפילו אולי לא ידועה לך. ניתן לברר בתמיכה של הספקית. סביר שהוכנסה כבר לנתב.
 
* רק תיקיות 'ציבוריות' משותפות בחלונות כברירת מחדל. אין קשר בינן לפרטיות, שאינן משותפות כברירת מחדל (כמו כן כדי לקבל גישה צריך 'להצטרף' לרשת הביתית, מה שמחייב סיסמה אוטומטית שרק את יכולה לדעת).
האשף המדובר, מהווה אותה פרצת אבטחה שרצו למנוע מלכתחילה...
הודעה זו מכילה תמונות
05/03/15 11:41
47צפיות
האשף המדובר, הוא זה שמהווה את אותה פרצת אבטחה שרצו למנוע מלכתחילה. האשף המדובר, הוא בסך הכל ממשק ניהול של ציוד קצה שמבוסס על הפרוטוקטל tr-069 שלכל מי שיש לו גישה לממשק ניהול הזה מצד של הספק האינטרנט או ספק תשתיות ( כל המוקדנים למיניהם וגם מערכות אוטומצייה ) יש לו אפשרות מלאה לנהל את הנתב, כולל לבטל את ההצפנה, להחליף את ה FirmWare של הנתב, לייצר SSID חדש בסיגנון של bezeq free wifi , לנטר את כל התעבורה ברשת של הלקוח וכו'. ולצורך של האבטחה של הנתב דבר ראשון יש לכבות את המנגנון הזה של שליטה מרחוק, רק שללקוח מין השורה אין את הידע הנדרש ואת הצורך לביצוע של הפעולה זו.
איזה נתב תומך בפרוטוקול tr-069 ?
24/03/15 12:57
22צפיות
האם אני אמורה לקבל מהספק איתו אני גולשת, או רק באופן פרטי כמו מסיסקו או צ'קפוינט?
 
בכל מקרה אני לא עסק מחפשת פתרון לא יקר.
לא אמור לשנות ללקוח ביתי (ויש להניח שאין פורצים מהצד של
25/03/15 00:54
6צפיות
התמיכה...).
זה שיקול שלי, אתה לא יכול לדעת אף פעם מה קורה אצל כל אחד,
25/03/15 08:47
7צפיות
מתבקשת עדיין תשובה.
באמת שאין סיבה לחשש משם. תיאורטית ניתן לפרוץ כל דבר מכל מקום
25/03/15 16:05
9צפיות
בפועל - זה עדיין עניין נדיר. אם מישהו יחפש אותך - סביר שהוא ימצא, ולא משנה היכן תהיי; הביטחון היחידי הוא להתנתק מהרשת ולהוציא את הסוללה מהנייד...
כמו שציינתי בתשובתי לעיל - לא ניתן להיכנס למחשב, גם למי שיש גישה לראוטר, אם יש סיסמה בכניסה למערכת ההפעלה + לא הוגדרו שיתופים על תיקיות אישיות (יש שיתוף אוטומטי לתיקיות ציבוריות, אבל לרוב אין בהן משהו).  
 
אם כך אך בכל זאת אולי בדרך אחרת מגיעים לאימייל שלי?
26/03/15 18:07
6צפיות
למרות שאני היחידה שיש לי שליטה על  הסיסמא.
º
ולמחשב שלי ?
26/03/15 18:08
2צפיות
אילו סימנים יש שהגיעו?
26/03/15 23:05
8צפיות
ויש דרכים לגלות גם מבלי לפרוץ מבחוץ - התחזות לחברה רשמית; התחזות לחברים; טרויאני.    
º
כן, כל האופציות נכונות, אז מה עושים ?
27/03/15 09:37
4צפיות
אם מסרת מידע (דרך מייל או צ'אט) או שנגנב, אז צריך להחליף
27/03/15 11:11
5צפיות
סיסמאות בכל אתרי המייל וחברתיים (חשוב גם להכניס מס' סלולארי לאימות, למנוע שינוי ע"י פורצים פוטנציאליים).  
 
לווידוא שאין תוכנת ריגול, צריך להריץ 2 אנטי רוגלות (לא במקביל) - malwarebytes וכן SuperAntiSpyware, ולמחוק כל מה שהן ימצאו.
 
כדאי גם שלא לרכז סיסמאות ופרטים בקובץ ספציפי במחשב, אלא בתוך הודעת מייל (טיוטה למשל), או בקובץ שיהיה באתר איכסון ברשת. יהיה קשה יותר להגיע אליהם כך.
תודה , אבל
27/03/15 17:19
37צפיות
אין הכוונתי לתוכנות ריגול, וגם סיסמאות אני מחליפה, כוונתי לאנשים ספציפים, איך נמנעים מזה.
צריך דוגמאות לנסיונות כאלה; סימנים לכך שיש להם מידע
27/03/15 22:45
6צפיות
שאינו אמור להיות להם.
תאמין לי שיש
29/03/15 15:07
4צפיות
לא יכולה לפרט בפורום כמובן, האם יש לך פתרונות רציניים בשבילי!!!
º
בלי מידע מדויק יותר, קשה לדעת. שלחי לי מסר
29/03/15 19:31
9צפיות
|*|פורומים חדשים בתפוז|*|
04/03/15 11:16
3צפיות
|מטוס|היעדים הבאים שלכם:
|קדימה|טיולים ביפן ? ארץ השמש עולה בפורום חדש:
http://www.tapuz.co.il/forums2008/forumPage.aspx?f...

|קדימה|תאילנד ? הייתם? עומדים להיות? חולמים להיות? בואו לדבר על זה:
http://www.tapuz.co.il/forums2008/forumPage.aspx?f...

|קדימה|טיולים בסין ? לבד, עם קבוצה, היסטוריה או תרבות. מתעניינים? מקומכם כאן:
http://www.tapuz.co.il/forums2008/forumpage.aspx?f...

|קדימה|טיולים בסקנדינביה ? לא משנה איזו מדינה תבחרו:
http://www.tapuz.co.il/forums2008/forumpage.aspx?f...

|קדימה|טיולים באיטליה ? לא רק בשביל האוכל והאופנה:
http://www.tapuz.co.il/forums2008/forumpage.aspx?f...


|@|פורומים טיפוליים חדשים:
|קדימה|תטא הילינג ? שיטת התקשור המסתורית עכשיו בפורום חדש:
http://www.tapuz.co.il/forums2008/forumPage.aspx?f...

|קדימה|פורום טיפול בפסוריאזיס ? אם אתם חולים או אם בני משפחתכם, בואו לדבר עם מטפל:
http://www.tapuz.co.il/forums2008/forumPage.aspx?f...
איך אפשר לראות התחברויות אחרונות בSSH (לינוקוס)
02/03/15 14:58
28צפיות
האם יש פקודות שאפשר לראות חיבורים אחרונים ? נראה לי שניסו לפרוץ אליי ביום חמישי שעבר וביצעו שיתוק מוחלט של פורט 5060
 
האם יש דרך לדעת מי נכנס מאיפה ומה הוא עשה?
 
אשמח לרשימה פקודות ללינוקס בSSH
 
תודה
היי ברוכים הבאים
02/03/15 16:14
23צפיות
בלינק מטה מדברים על לוגים של ssh בלינוקס ,
תבדוק אולי זה יעזור לך:
http://unix.stackexchange.com/questions/114189/whe...
תבדוק גם כאן
02/03/15 16:16
12צפיות
כאן מדברים על אובונטו:
http://unix.stackexchange.com/questions/127432/log...
תבדוק גם כאן
02/03/15 16:16
11צפיות
כאן מדברים על אובונטו:
http://unix.stackexchange.com/questions/127432/log...
הפורט המדובר הוא של שרת SIP . בדרך כלל ...
הודעה זו מכילה תמונות
02/03/15 18:11
22צפיות
הפורט המדובר הוא של שרת SIP . בדרך כלל של מרכזיית Asterisk , אם מדובר על Linux . הפורט יכול להיות "משותק" בדרך כלל בגלל שני סיבות, אחת היא שאין שום שרות שמשתמש ( שמאזין ) בפורט המדובר ואפשרות השנייה היא שהפורט סגור ב FireWall . מה שאתה צריך לבדוק אם בכלל יש Process שפתח את הפורט . גם כדאי לדעת שהפורט הספציפי הזה הוא יעד להתקפות של הגורמים שמנסים להשתלט על המרכזיות טלפון שהותקנו על ידי אנשים שהנושא של אבטחת מידע לא מוכר להם כלל. בכל מקרה מומלץ מאוד להגן על השרתים שפונים לכיוון האינטרנט על ידי מערכות IDPS שגם יודעות לתעד, גם למנוע וגם לחסום את רוב ההתקפות מסוג זה. צירפתי צילום מסך מיומן האירועים של מערכת מסוג זה, שבו אפשר לראות בברור את ניסיונות התקיפה על הפורט המדובר.
שאלה עיונית לגבי SALT בהאשינג של סיסמאות
25/02/15 03:13
46צפיות
מובן לי העיקרון מאחורי השימוש ב-SALT בהאשינג של סיסמאות. מוסיפים מחרוזת אקראית לסיסמא ומצפינים את הסיסמא יחד עם המחרוזת.
מה שפחות מובן לי זה הקטע של איכסון ה-SALT.
בסופו של דבר, ה-SALT חייב להיות מאוכסן בפני עצמו בצורה לא מוצפנת. היות וכל העניין עם ה-SALT נועד למנוע השוואה של סיסמא מוצפנת מול DICTIONARY במקרה שעותק של ה-DB מגיע לידיים הלא נכונות, אזי גם במקרה של סיסמאות מוצפנות עם SALT, כשנופל ה-DB לידיים של האקר, נופלים גם ה-SALTS. במקרה כזה, היות ויש רשימה ידועה של סיסמאות ”חלשות“, אפשר לייצר DICTIONARY של סיסמאות כאשר הן מוצפנות יחד עם ה-SALT.
אז אם ככה, זה לא שהסיסמאות מוגנות באיזה מנגנון מיוחד שממש משנה את כללי המשחק. זה בס״ה מכביד קצת על האקר פוטנציאלי, אבל לא מנטרל שום דבר בצורה יותר ”מובנית“.
לא? פיספסתי משהו?
שאלה מצויינת
25/02/15 05:19
30צפיות
המטרה של המלח היא כפולה.  הוא מוריד את הכדאיות של בניית מילון והוא מונע שימוש כפול בהאש מחושב.
 
כשמשתמשים במלח, צריך לבנות מילון לכל ערך אפשרי של המלח.  אם המלח הוא שני תווים, זה מכפיל את גודל המילון (גם מקום וגם זמן בניה) בפקטור של 4,096.  מלח של ששה עשר תווים מגדיל את גודל המילון כך שלא הבניה ולא האיכסון פרקטיים.
 
בנוסף, אם התוקף משיג קובץ עם סיסמאות מוצפנות, כאשר יש מלח, התוקף צריך לנסות כל סיסמה פעם אחת ולהשוות מול כל המשתמשים.  אם יש מלח, התוקף צריך לנסות כל סיסמה עבור כל משתמש בניפרד.
לא צריך לבנות מילון לכל ערך אפשרי של המלח
25/02/15 06:28
23צפיות
צריך לבנות רק מילונים לאותם ערכי מלח שהשתמשו בהם בפועל.
יותר מזה – צריך לבנות מילונים רק למלח של סיסמאות שאותם רוצים לפרוץ.
נכון שזה מוריד הרבה מהיעילות, אבל זה לא משנה מבטל את האפשרות לפריצה באמצעות מילון.
 
מה שכן, נראה לי שבתפוז, גם אחרי הפריצה הגדולה מלפני שנה־שנתיים, עדיין שומרים את הסיסמאות בכלל לא מוצפנות. הגעתי למסקנה הזו בגלל שהם מגבילים את אורך הסיסמא ל-20 תווים כשבאים להחליף סיסמא.
 
אם עושים hash זה לא אמור לשנות כמה תווים יש בסיסמא המקורית.
 
מטומטמים.
זו בדיוק המטרה
25/02/15 08:30
19צפיות
בניית מילון אומר שאת בונה מראש את ההאש של כל הסיסמאות שאת רוצה לבדוק ואז המילון הזה חוסך לך זמן בהשוואה.  את זה את לא יכולה לעשות אם הערך של המלח לא ידוע לך מראש.  מה שמגן מפני בדיקה של רשימת מילים זה שימוש בפונקציית האש שלוקחת הרבה זמן (עשירית שניה?).  זה אומר שתוקף יכול לפרוץ רק סיסמאות חלשות מאוד.
 
אני לא יודע מה קורה בתפוז.
º
כמה סיסמאות יש במילונים המקובלים?
25/02/15 08:36
9צפיות
תלוי...
25/02/15 09:45
24צפיות
John the Ripper מגיע עם מילון של 3559 מילים. הוא משתמש בזה כבסיס לייצור של סיסמאות נוספות, כך שקשה להשליך מזה.
 
המילון rockyou.txt כולל מעל 14 מיליון.
 
rainbow tables קטנים מכילים 70 ביליון. גדולים יותר מכילים טריליונים.
אוקיי. בנתי.
25/02/15 10:42
20צפיות
משימה לסוכנויות ממשלתיות וכאלה.
בקיצור
01/03/15 20:33
15צפיות
כדי להשתמש במילונים האלה תכין הרבה סבלנות ואחרי זה גם לא בטוח שתצליח לפתח משהו.
וזה בתנאי שעשית אנומרציה ליוזר שאתה בטוח שקיים ואז לנסות לפתח את הסיסמה..
אחד הפיתרונות שקיים לנושא, הוא שימוש במה שמכונה...
25/02/15 20:39
29צפיות
אחד הפיתרונות שקיים לנושא, הוא שימוש במה שמכונה Pepper . מדובר על זה שלכל HASH  של הסיסמא משתמשים ב SALT יחודי ( שונה מהאחרים ) שהוא מאוחסן גם באותו בסיס נתונים, אבל SALT הוא לא clear text , אלה מוצפן בעזרת מחרוזת נוספת, שהיא מכונה  Pepper והיא מחרוזת גלובלית לכל הבסיס נתונים ומאוחסנת בנפרד ממנו בצורה מאובטחת. התוצאה, היא שאם הבסיס נתונים נגנב, לא ניתן יהיה לפענח את הסיסמאות ללא ה Pepper שלא כלול כלל במעגר שנגנב. במקרה הזה לא השיטה של יצירת rainbow table ולא שיטות אחרות נותנות פיתרון סביר להתקפה.
אבל כל מי שיש לו גישה לקוד, יש לו גם גישה ל-PEPPER הזה, לא?
25/02/15 20:45
17צפיות
ואם יש צורך יום אחד לשנות את ה-PEPPER, איך עושים את זה? זה אפשרי בכלל? הרי אי אפשר לשחזר את הסיסמאות ולעשות להן מחדש HASH באמצעות ה-PEPPER החדש.
 
ואיך מתבצע האיחסון הנפרד של הפלפל? DataBase נפרד?
כל מי שיש לו גישה לקוד אין לו גישה ל-PEPPER, בגלל ש...
26/02/15 16:37
21צפיות
כל מי שיש לו גישה לקוד לא תהייה לו  ל-PEPPER, מכיוון שבכדי לקבל את הגישה ל-PEPPER צריך שיהיו לך או הרשאות קריאה לספרייה ולקובץ שבו מאוחסנת מחרוזת של PEPPER וההרשאות האלה ניתנות רק לתהליך שמריץ את הפונקצייה ששולפת את ה PEPPER ומשתמשת בו, או אופצייה שנייה זה להריץ את קוד המדובר שזה גם לא אפשרי, בגלל שרק ל process מוגדר יש את ההרשאות להריץ את הקוד. בדרך כלל לא נהוג ולא ניתן לשנות את PEPPER בגלל מספר סיבות שאחת מהן היא מנגנוני HASH חד כיווניים בידיוק כמו שלא נהוג לשנות root certificate authority אחרי שקיימים כבר סרטיפיקטים חתומים והם בשימוש . האיחסון של Pepper מתבצע בדרך כלל לא בבסיס נתונים, אלה בקובץ תצורה שנשמר בסיפרייה שיש לה הגדרות גישה מחמירות נדרשות . קיימיות עוד הרבה אפשרויות שונות להצפנה של סיסמאות על ידי פונקציות איטיות בסיגנון של Bcrypt למשל.
|*|נפתח פורום כבדי שמיעה וחרשים|*|
26/02/15 13:27
2צפיות
|שמאל|אנו שמחים לבשר על פתיחתו המחודשת של פורום כבדי שמיעה וחרשים.
אז איך מתמודדים עם ליקויי שמיעה? מהם הזכויות והשירותים שרלוונטיים לאוכלוסיית החרשים? ומהם מכשירי השמיעה שהכי מתאימים?

אתם מוזמנים להיכנס לפורום כבר עכשיו ולהעלות נושאים לדיון, לשאול ולשתף!
http://www.tapuz.co.il/forums2008/forumpage.aspx?f...
|*|נפתח פורום טיפול באמנויות|*|
22/02/15 14:03
4צפיות
|צבע|רוצים לגשת לחיים בצורה קצת אחרת?
פורום טיפול באמנויות ? פורום חדש שקם על מנת לתת לכם את האפשרות לשאול הכל על לימודי טיפול באמצעות אמנויות.

לגעת בנפש של האדם הוא אחד האתגרים הגדולים ביותר איתם האנושות מתמודדת.
לחקור ולבדוק הפעם, לא באמצעים הקונבנציונליים אלא באמצעות כלים קצת שונים, לא שגרתיים.
בואו להתייעץ ולשמוע עוד על הלימודים בתחום -  מה התואר כולל? מה דרישות הקבלה? למי זה מתאים?

מחכים לכם עכשיו בפורום:http://www.tapuz.co.il/Forums2008/forumpage.aspx?f...

yac ! איך מתפטרים מזה?!
19/02/15 19:35
71צפיות
שלום,
תוכנה בשם yac השתלטה על הדפדפן שלי ואינני יכול לגלוש לאתר כלשהו מבלי שזה יעבור דרך האתר של yac המעכב גלישה כי הוא רושם את כל נתוני הגלישה שלי.
הסרתי את הדפדפן (פיירפוקס) והתקנתי מחדש וזה לא עזר. ב add ons הסרתי הכל, בלוח הבקרה והיכן לא, אך אי אפשר להתפטר מזה!
מישהו התנסה בכך?
בבקשה
21/02/15 04:08
58צפיות
הנה, כאן.
Flix

עסקים נבחרים

עוד...
רוצה שהעסק שלך יופיע בתפוז עסקים?

האזור שלי בפורום
עוד בנושא הפורום


מקרא סימנים
ללא תוכן תגובה להודעה
הודעה חדשה אורח בפורום
הודעה מקורית הודעה נעוצה