Полигон-2

alecv написал:

[q]

Можно хоть 3DES/RC4 разрешить для совместимости с MSIE 3. есть еще чудесный cipher NULL то есть SSL без шифрования канала вообще.

[/q]

Одно время были снифферы, которые успешно проворачивали атаку на понижение стойкости шифра (вмешивались в процедуру рукопожатия и умоляли сервер общаться с клиентом с шифром, который по зубам снифферу - прим. для юзеров). Собственно, это причина почему серверы крупных компаний сейчас работают только по серьёзным алгоритмам защиты (TLS 1.2) с недетскими шифрами. Поэтому сейчас эта метода слива полезной информации у лохов не актуальна, и я не слышал, чтобы кто-то ещё использовал этот способ. Но включение старых версий SSL и слабых шифров - дыра в безопасности.

Другое дело,

rw6hrm написал:

[q]

А вообще париться по поводу "сниффания трафика", персональных данных и аналогичной фигни - ей-догу, не стоит. Ерунда всё это.

[/q]

Аудитория форума очень специфическая. Чтобы украденный трафик пригодился, надо написать софт, выковыривающий из ЛС домашние адреса и телефоны, а также e-mail из профиля. И это всё, что можно сделать (по крайней мере, именно на этом сайте). Ещё возможность угона аккаунта с целью рассылки спама возможна. Но движок очень редкий, чтобы кто-то писал под него софт.
Насколько я слышал, все угоны учётных записей здесь были из-за простых паролей.

тема почищена (см. http://www.phantom.sannata.ru/...#pp482020)

прошу воздержаться от неумеренного флуда

Предлагаю вернуться к вопросу включения https

1. так как не все могут/хотят использовать https включить его можно опционально - те не делать реврайта на https
2. сертификат можно взять бесплатный - Let's Encrypt включается легко и просто. сам использую и могу ответственно рекомендовать.
3. включать слабые шифры смысла нет, это наоборот может создать проблемы


Поясню необходимость иметь возможность работать через https: если ранее утечки паролей и прочей информации могли быть только через транзитные открытые прокси, общественные wi-fi сети и прочие изначально скомпрометированные точки, то сейчас ситуация для России серьезно усугубляются из-за закона яровой, а именно из-за развертывания у провайдеров DPI (Deep Packet Inspection) и системами хранения данных и трафика.
Сами по себе DPI нам не мешают, но вот то что трафик будет хранится у каждого провайдера и доступ к этим данным будет (точнее уже) иметь почти любой - это проблема.

Как пример использования трафика - мошенники делают грамотные фейковые письма используя данные из реальной переписки. И это уже реальность - первые такие письма были замечены мной уже летом 2018ого. Что будут делать с накопленной базой паролей и email я думаю объяснять не надо.

Соответственно, моя рекомендация, как руководителя ИБ, включить https. Да, это не панацея, но от глупых мошенников убережет. По технической части готов проконсультировать.

Когда трафик между клиентом и сервером не шифруется, стоит ли удивляться этому:
topic/30008

Не надо подбирать никаких паролей, взламывать хэши ит.п.
Надо просто перехватить трафик и смотреть, что после символов inpassword= . Там ваш пароль.

SuperMax написал:

[q]

Предлагаю вернуться к вопросу включения https
...
моя рекомендация, как руководителя ИБ, включить https. Да, это не панацея, но от глупых мошенников убережет.

[/q]

Поддержу.