Po roce vývoje od vydání verze 1.24.0 byla vydána nová stabilní verze 1.26.0 webového serveru a reverzní proxy nginx (Wikipedie). Nová verze přináší řadu novinek. Podrobný přehled v souboru CHANGES-1.26.
Byla vydána nová verze 6.2 živé linuxové distribuce Tails (The Amnesic Incognito Live System), jež klade důraz na ochranu soukromí uživatelů a anonymitu. Přehled změn v příslušném seznamu. Tor Browser byl povýšen na verzi 13.0.14.
Byla vydána nová verze 30.0.0 frameworku pro vývoj multiplatformních desktopových aplikací pomocí JavaScriptu, HTML a CSS Electron (Wikipedie, GitHub). Chromium bylo aktualizováno na verzi 124.0.6367.49, V8 na verzi 12.4 a Node.js na verzi 20.11.1. Electron byl původně vyvíjen pro editor Atom pod názvem Atom Shell. Dnes je na Electronu postavena celá řada dalších aplikací.
Byla vydána nová verze 9.0.0 otevřeného emulátoru procesorů a virtualizačního nástroje QEMU (Wikipedie). Přispělo 220 vývojářů. Provedeno bylo více než 2 700 commitů. Přehled úprav a nových vlastností v seznamu změn.
Evropský parlament dnes přijal směrnici týkající se tzv. práva spotřebitele na opravu. Poslanci ji podpořili 584 hlasy (3 bylo proti a 14 se zdrželo hlasování). Směrnice ujasňuje povinnosti výrobců opravovat zboží a motivovat spotřebitele k tomu, aby si výrobky nechávali opravit a prodloužili tak jejich životnost.
Bylo oznámeno (cs) vydání Fedora Linuxu 40. Přehled novinek ve Fedora Workstation 40 a Fedora KDE 40 na stránkách Fedora Magazinu. Současně byl oznámen notebook Slimbook Fedora 2.
ČTK (Česká tisková kancelář) upozorňuje (X), že na jejím zpravodajském webu České noviny byly dnes dopoledne neznámým útočníkem umístěny dva smyšlené texty, které nepocházejí z její produkce. Jde o text s titulkem „BIS zabránila pokusu o atentát na nově zvoleného slovenského prezidenta Petra Pelligriniho“ a o údajné mimořádné prohlášení ministra Lipavského k témuž. Tyto dezinformace byly útočníky zveřejněny i s příslušnými notifikacemi v mobilní aplikaci Českých novin. ČTK ve svém zpravodajském servisu žádnou informaci v tomto znění nevydala.
Byla založena nadace Open Home Foundation zastřešující více než 240 projektů, standardů, ovladačů a knihoven (Home Assistant, ESPHome, Zigpy, Piper, Improv Wi-Fi, Wyoming, …) pro otevřenou chytrou domácnost s důrazem na soukromí, možnost výběru a udržitelnost.
Společnost Meta otevírá svůj operační systém Meta Horizon OS pro headsety pro virtuální a rozšířenou realitu. Vedle Meta Quest se bude používat i v připravovaných headsetech od Asusu a Lenova.
Společnost Espressif (ESP8266, ESP32, …) získala většinový podíl ve společnosti M5Stack, čímž posiluje ekosystém AIoT.
Řešení dotazu:
Jakym zpusobem zajistite, ze vas virtual provider nezkopiruje, nespusti nekde bokem, neprihlasi se do systemu a neukrade data?Nijak.
To jako opravdu? Ani sifrovani by nepomohlo? Nechce se mi verit, ze lidi tohle neresi :-OTo je asi jako říct, že se ti nechce věřit, že lidi za polárním kruhem neřeší, aby byl v zimě co čtyřiadvacet hodin bílý den. Proti některým útokům se dá dejme tomu jakžtakž bránit nebo je aspoň detekovat. Ale v případě, že má někdo v rukou celou tvojí infrastrukturu, je to jako bojovat s vlkem (klasickou) plácačkou na mouchy. Jediná slušná ochrana je mít infrastrukturu „pod zámkem“, tedy fyzický server, fyzicky chráněný.
Tak ještě jednou - neříkám že data na VPS je možné 100% zabezpečit. Ale říkám že je možné jejich získání natolik ztížit že námaha potřebná na překonání těch překážek bude nepřiměřeně velká vzhledem k ceně těch dat.Tak mi nezbývá než ti ještě jednou připomenout, že tvé srovnání je úplně zbytečné, protože v tvých úvahách úplně chybí cena a složitost samotného zabezpečení.
Takže řešit jak zadat to heslo je tady poměrně irelevantní.To, že něco neumíš, ještě neznamená, že je to irelevantní.
Ale trvám na tom že pro pár php skriptů a soukromých mailů je běžné šifrování VPSky dostatečná ochrana bez ohledu na to že existuje tucet způsobů jak ji prolomit.Myslím, že šifrování je v tom případě zbytečně silná ochrana. Pokud mají správci dotyčné VPSky jako koníčka procházet disky zákazníků a hledat tam zajímavé e-maily, nebudu se bránit šifrováním, ale odchodem k jinému poskytovateli.
Zajímavé, aeskeyfind jsem neznal. Předpokládal jsem že v dumpu fyzické paměti bude potřeba hledat key podle znalosti toho kam by si ho kernel měl uložit, ale netušil jsem že AES klíč v tom blobu lze najít hrubou silou. Díky za rozšíření obzorů :) Z readme aeskeyfind:
The program uses the following algorithm: 1. Iterate through each byte of the memory image. Treat the following block of 176 or 240 bytes as an AES key schedule. 2. For each word in the potential key schedule, calculate the Hamming distance from that word to the key schedule word that should have been generated from the surrounding words. 3. If the total number of bits violating the constraints on a correct AES key schedule is sufficiently small, output the key.
Jako ochranu před tímto druhem útoku by asi stačilo ten AES key schedule rozstrkat různě po paměti, aby nebylo všechno po hromadě. Zajímalo by mě jestli to tak novější jádra dělají když je tenhle útok známý?
Mimochodem co je 'foriana'? Nic relevantního s tímhle jménem nemůžu najít...
Jako ochranu před tímto druhem útoku by asi stačilo ten AES key schedule rozstrkat různě po paměti, aby nebylo všechno po hromadě.K tomu pak právě lze použít ta Foriana, na složení zpátky :).
Mimochodem co je 'foriana'?Druhý odkaz z Googlu, ale možná mě bublinkují.
Druhý odkaz z Googlu, ale možná mě bublinkují.
Já mám tenhle odkaz až na druhé stránce výsledků. Možná v tom hraje roli i regionální cílení - od vás je SK celkem za rohem, ode mě celkem ne, tak mi Google SK odkazy nedává. Kdo ví. Ale dík za link.
Jako ochranu před tímto druhem útoku by asi stačilo ten AES key schedule rozstrkat různě po paměti, aby nebylo všechno po hromadě. Zajímalo by mě jestli to tak novější jádra dělají když je tenhle útok známý?Jsou přístupy kdy dešifrovací klíč v paměti není vůbec - klíč je držen pouze v cache procesoru, odkud je o něco těžší ho získat. Viz. http://frozencache.blogspot.com/. Ale to může pomoci jen u některých útoků na fyzické počítače (např. u podchlazení a vyndání RAM z běžícího stroje tam pak ten klíč jaksi nikde není) a je to za cenu značné ztráty výkonu (cache obsahuje klíč a nelze ji využít na to k čemu byla původně určena). Je to omezeně použitelné asi jen v okrajových případech (např. při uspávání notebooku přemístím klíče do cache). U útoků kdy útočník může i zapisovat do paměti to pak nepomůže vůbec (dát někam do paměti kód který to z cache vykopíruje zpět do paměti na místo kde se rychle spustí je vcelku jednoduché) U VPS kde udělat snapshot paměti (včetně cache/registrů procesoru) je vcelku triviální (někdy jsou i nástroje na stěhování "živých" virtuálů na jiné fyzické stroje a udělat z toho nástroj na kopírování stroje do sandboxu, kde je následně zapauzován a hacknut je jednoduché)
Mimochodem co je 'foriana'? Nic relevantního s tímhle jménem nemůžu najít...http://hysteria.sk/~niekt0/foriana/
a je to za cenu značné ztráty výkonu (cache obsahuje klíč a nelze ji využít na to k čemu byla původně určena)Šlo to nějak ohackovat přes AES-NI, kde na udržení stavu šifry stačily nějaké debug registry a cache tak nebylo potřeba zamykat. Na kolikátém místě jsi měl ten odkaz? Pokud níže než na druhém, tak toho o mě Google ví nějak moc.
Na kolikátém místě jsi měl ten odkaz? Pokud níže než na druhém, tak toho o mě Google ví nějak moc.Na třetím ...
Jsou přístupy kdy dešifrovací klíč v paměti není vůbec - klíč je držen pouze v cache procesoru, odkud je o něco těžší ho získat. Viz. http://frozencache.blogspot.com/.Zdá se mi to, nebo tím už jsi úplně mimo kontext VPS?
takze google videl jen to, ze prostredi je cz - aspon doufamPanopticlick znáš? :)
Tím lze docílit že se provozovatel nedostane do běžícího serveru.Erm... nemá náhodou run-time k dispozici celý obraz RAM? Vzhledem k tomuto faktu mi přijde celý zbytek příspěvku tak nějak prázdný.
Nechapu proc tu dvacet lidi resi takovou trivialitu a tvrdi ze to nejde.Třeba protože před pár měsíci dostali za úkol otestovat, jak složité jer prolomit se do takové zašifrované VPS, a trvalo jim to pár minut? ;)
Samozrejme ze to neni zadnej problem.Pán je těžké king :D.
Staci disk toho VPS sifrovat - napr. pouzit LIKS.Zřejmě LUKS? Jak zákazníci zadávají heslo? Jak se zákazníci brání odposlechu toho zadávaného hesla? Jenom kecy.
Tiskni Sdílej: