abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 18:00 | IT novinky

Společnost Jolla představila nový chytrý telefon Jolla C. Jedná se o limitovanou sérii pro členy komunitního programu Sailfish Community Device Program. Cena telefonu je 169 Eur.

Ladislav Hagara | Komentářů: 7
včera 15:51 | Nová verze

Byl vydán XenServer 7 s kódovým názvem Dundee. Z novinek lze zmínit podporu introspekce virtuálních počítačů nebo TLS 1.2. Další informace například na stránkách Xen Orchestra.

Ladislav Hagara | Komentářů: 0
včera 14:14 | Nová verze

Google Chrome 51 byl prohlášen za stabilní. Nejnovější stabilní verze 51.0.2704.63 tohoto webového prohlížeče přináší řadu oprav a vylepšení (YouTube). Opraveno bylo také 42 bezpečnostních chyb. Mariusz Mlynski získal za nalezení 4 z nich celkově 30 000 dolarů.

Ladislav Hagara | Komentářů: 0
25.5. 22:36 | Pozvánky

Czech JBoss User Group vás srdečně zve na setkání JBUG v Brně, které se koná ve středu 1. června 2016 v prostorách Fakulty informatiky Masarykovy univerzity v místnosti A318 (nová část budovy) od 18:00. Přednáší Josef Karásek na téma Write, build and run your Java EE apps in OpenShift without data centre. Více informací na Facebooku nebo srazy.info.

mjedlick | Komentářů: 0
24.5. 11:34 | Zajímavý článek

Mozilla.cz radí, jak na plynulejší přehrávání YouTube videí. Pokud se vám videa na YouTube nepřehrávají moc plynule, může vám pomoci vypnutí podpory formátů VP8 a VP9, které YouTube používá jako výchozí. Jejich přehrávání není hardwarově akcelerované, takže s ním má počítač více práce. Oproti tomu formát H.264 je akcelerovaný velmi dobře. Všechno, co budete potřebovat, je doplněk h264ify.

Ladislav Hagara | Komentářů: 63
24.5. 00:30 | Komunita

Nadace The Document Foundation (TDF) zastřešuje nejenom svobodný kancelářský balík LibreOffice, ale také projekt Document Liberation. Ten byl založen v dubnu 2014 (zprávička) a jeho cílem je vývoj knihoven pro zpřístupnění (osvobození) dokumentů vytvořených v proprietárních formátech. K dispozici jsou již knihovny například pro formáty Corel WordPerfect, Microsoft Works, Corel Draw, Microsoft Publisher, Microsoft Visio nebo

… více »
Ladislav Hagara | Komentářů: 2
23.5. 20:10 | Nová verze

Včera, 22. mája 2016, bola vydaná nová verzia 1.2.0 populárneho webmailového klienta Roundcube Webmail (Release Announcement). Medzi nové vlastnosti je mozné spomenúť: kompatibilita s PHP7, PGP šifrovanie (na strane klienta aj servera), vyhladávanie mailov podla časových intervalov a ďalsie. Súčasťou novej verzie je aj množstvo malých zlepšení a bug fixov (ich kompletný zoznam je možné najsť v Changelogu). Stiahnuť novu verziu Roundcube je možné v Download sekcií.

timeos | Komentářů: 0
23.5. 07:00 | Nová verze

Byla vydána verze 8.0.1 překladače funkcionálního programovacího jazyka Haskell (Wikipedie) Glasgow Haskell Compiler (GHC). Nová major verze 8 vychází po téměř šesti letech od vydání verze 7. Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 0
22.5. 20:00 | Zajímavý článek

Nezisková organizace Girls Who Code (Wikipedie), jejíž cílem je podpořit a zvýšit počet holek a žen ve světě IT, zveřejnila sérií videí, ve kterých rozebírá 3 důvody, proč nemohou holky programovat: mají prsa, menstruují a jsou krásné.

Ladislav Hagara | Komentářů: 190
22.5. 20:00 | Nová verze

Po více než třech měsících vývoje od vydání verze 229 (zprávička) oznámil Zbigniew Jędrzejewski-Szmek vydání verze 230 správce systému a služeb systemd (GitHub, NEWS). Lennart Poettering nedávno oznámil, že letošní konference systemd.conf věnována systemd proběhne v Berlíně ve dnech 28. září až 1. října. CFP běží do 1. srpna.

Ladislav Hagara | Komentářů: 94
Jaký poměr stran pracovní plochy (příp. složené z více monitorů) preferujete?
 (7%)
 (14%)
 (51%)
 (22%)
 (4%)
 (2%)
 (1%)
Celkem 390 hlasů
 Komentářů: 28, poslední 25.5. 03:44
    Rozcestník
    Reklama

    Jak nedělat autentizační token

    7.9.2008 17:27 | Přečteno: 1947× | phpMyAdmin | poslední úprava: 7.9.2008 18:01

    Do phpMyAdmina chtějí protlačit podporu pro jeden autentizační token. Jak tato věc funguje na hardwarové úrovni nevím (má tam být nějaký autentizační kalkulátor, který na výzvu vygeneruje nějakou unikátní odpověď), ale docela mě pobavil přístup k bezpečnosti softwarového řešení okolo. Celá popisovaná věc se jmenuje Swekey a stojí za ním firma Musbe, založená jen kvůli tomuto zařízení (to develop and market an innovative authentication technology).

    Token se strká do USB (v dnešní době to asi ani jinak nejde) a celou věc obsluhuje v Linuxu jakási binárka komunikující s tokenem přes libusb. No aspoň, že to bude hnít v userspace a ne v kernelu. Bohužel pokud to chcete použít na něčem jiném než i386, máte smůlu. Protože nám se jedná o autentizaci webové aplikace, máme ještě k dispozici další binárku a to plugin do prohlížeče Firefox (pro Windows případně ještě ActiveX pro MSIE).

    Když už se uživateli poštěstí toto rozběhat (a nebude řešit takové nepodstatné otázky, jako třeba: proč binárka obsluhující ten token musí používat curl?), může vyzkoušet úžasné možnosti, které nám tato autentizace skýtá. A hlavně se podívat na kód, který se o autentizaci stará, protože ten již k dispozici máme. Kromě phpMyAdmina, kde je jakási meziverze už v SVN, ještě existuje plugin pro SquirrelMail a prý i patch pro RoundCube, modul pro PAM atd.

    Jak vlastně celá věc funguje?

    1. Načte se ID z USB tokenu
    2. Ze serveru se stáhne náhodný token (platný dvě minuty)
    3. Náhodný token se nacpe do USB tokenu a ten vygeneruje OTP (jednorázové heslo)
    4. ID tokenu, náhodný token a OTP se pošle na server a ten je ověří

    No vypadá to celkem jednoduše, tož pojďme se podívat jak to soudruzi naimplementovali. Podotýkám, že v patchi pro phpMyAdmin, už pomaly níže popsané problémy mizí, ale za cenu víceméně kompletního přepsání kódu, jak se (ne)budou vyvíjet patche/pluginy pro ostatní programy netuším, nicméně autoři pořád někde preferují původní řešení.

    Komunikace

    První věc, která kohokoliv musela praštit do očí bylo použití nešifrovaného HTTP spojení při komunikaci se serverem. Což ve spojení s jednoduchým až triviální protokolem, znamená, že kdokoliv, kdo je schopný na jakýkoliv HTTP požadavek odeslat odpověď "HTTP/1.0 200 OK\n\nOK" se může stát autentizačním serverem, který autentizuje cokoliv komukoliv. Soudruzi sice v patchi pro phpMyAdmina přešli na HTTPS s ověřováním certifikátu, ale z výkonnostních důvodů jinde zůstane nadále HTTP. Vskutku inovativní řešení.

    Umístění souborů

    Mapování tokenů na uživatele mělo být umístěno v kořenovém adresáři phpMyAdmina a tedy přístupné přes web. Což ve spojení s předhozí zranitelností znamená, že jediná informace, kterou by případný útočník potřeboval - ID klíče, který mu dovolí přístu, může bez problémů získat napsáním správného URL.

    Dočasné soubory

    Protože náhodný token je platný dvě minuty, rozhodli se autoři ušetřit námahu jejich serveru s generováním a tento token cachovat. Bohužel ukládat pevně pojmenovaný soubor do adresáře /tmp není zrovna nejlepší nápad a už vůbec není dobrý nápad tento soubor vytvářet s právy 777. Co by se asi stalo, kdyby náhodný uživatel na serveru do tohoto souboru uložil třeba nějaký film a ten se následně začal odesílat na jejich server jako náhodný token při autentizaci?

    No nechtějte to

    Většina zde zmíněných problémů existuje ve všech implementacích tohoto tokenu, do kterých jsem se koukal. Kromě toho každá implementace přidává spoustu unikátních programátorských chyb. Zájemcům o pobavení se doporučuji modul pro PAM, který je vlastně jen spouštěč skriptu v bashi, který volá curl a komunikuje se serverem.

    Update

    Při psaní tohoto článečku mě napadl ještě jeden problém, kterým to asi bude trpět, ale nechtěl jsem to psát dokud to neověřím, což se právě stalo. Přístup k tokenu z prohlížeče není pluginem nijak omezován, takže jakákoliv stránka může zjistit ID vašeho tokenu a vygenerovat si OTP heslo. No lepší podmínky pro krádež identity si už lze představit jen těžko :-).

           

    Hodnocení: 100 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    7.9.2008 18:12 Aleš Kapica | skóre: 44 | blog: kenyho_stesky | Ostrava
    Rozbalit Rozbalit vše Re: Jak nedělat autentizační token
    Jen ať si to do toho strčí, to je jejich věc. Na stejné místo si pak můžou strčit i celý phpMyAdmin.
    7.9.2008 23:59 Michal Čihař | skóre: 61 | blog: Bláboly | Praha
    Rozbalit Rozbalit vše Re: Jak nedělat autentizační token
    23.10.2008 13:39 Pev | skóre: 28
    Rozbalit Rozbalit vše Re: Jak nedělat autentizační token
    Jen ať si to do toho strčí, to je jejich věc. Na stejné místo si pak můžou strčit i celý phpMyAdmin.
    No psát tohle jednomu z autorů phpMyAdmina můžete buď jen z nevědomosti o autorově zainteresovanosti v tomto projektu nebo z osobní averze k autorovi. Nebo Vám snad přijde phpMyAdmin na nic? Neříkám, že nejde spravovat mysql bez něj, ale pro servery bez SSH (webservery s mysql) je neocenitelný pomocník. Je to jedna z killer apps a jeden z mála důvodů, proč zatím používám víc mysql než postgresql. Kdyby tak phpPgAdmin měl takové možnosti jako phpMyAdmin...

    Jinak k příspěvku - taky bych tu hrůzu vůbec do phpMyAdmin nepřidával...
    stativ avatar 8.9.2008 09:07 stativ | skóre: 54 | blog: SlaNé roury
    Rozbalit Rozbalit vše Re: Jak nedělat autentizační token
    A to není možné je hezky nechat, ať si to spravují mimo tvůj strom? Nevidím sebemenší důvod proč si pouštět takovouhle potenciálně nebezpečnou prasárnu do kódu.
    Ať sežeru elfa i s chlupama!!! ljirkovsky.wordpress.com stativ.tk
    8.9.2008 09:59 Michal Čihař | skóre: 61 | blog: Bláboly | Praha
    Rozbalit Rozbalit vše Re: Jak nedělat autentizační token
    No pokud je donutíme ke kvalitnímu kódu, tak je lepší, aby to bylo začleněno. Jestli se nám to ovšem podaří, toť ovšem otázka :-).

    Založit nové vláknoNahoru

    ISSN 1214-1267  
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.