Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Атака TunnelVision, позволяющая перенаправить VPN-трафик через манипуляции с DHCP, opennews (??), 07-Май-24, (0) [смотреть все] Круто, спасибо за информацию , tcpip (??), 11:31 , 07-Май-24, (1) // при наличии доступа к локальной сети перестал дальше читать, лол, КО (?), 12:04 , 07-Май-24, (12) +13 // да пусть даже доступ будет Современные энтерпрайз давно умеют отсекать неавтори, Анониматор (?), 12:20 , 07-Май-24, (21) +3 // Вы только сообщите об этом современным энтерпрайз админам, что бы они всё это на, Аноним (28), 12:52 , 07-Май-24, (28) +14 Я сначала также подумал, но, с другой стороны VPN часто рекламируют как способ о, Анонимус3000 (?), 12:42 , 07-Май-24, (25) +8 // В публичных сетях скорее всего пользуешься андроидом, где атака не работает Есл, Аноним (33), 13:37 , 07-Май-24, (33) –6 Только в этой рекламе забывают рассказать, что сервер VPN должен быть свой, а не, EULA (?), 12:07 , 13-Май-24, (141) клиенты под вирегуард попенвпн самому собирать тобишь , нейм (?), 08:15 , 16-Май-24, (143) Сервер для начала свой собрать Кто даст гарантию, что на чужом сервере нет мужик, EULA (?), 05:15 , 17-Май-24, (149) Это история про провайдеров, когда роутер провайдерский , Аноним (29), 12:55 , 07-Май-24, (29) // Это история про любую локалку со злоумышленном внутри и где комутаторы не фильру, Ivan_83 (ok), 22:55 , 07-Май-24, (60) +2 А в чем проблема Допустим у тебя есть роутер с впном, есть праводер которому эт, Аноним (-), 21:43 , 07-Май-24, (55) // а ты посмотри на add-default-route для VPN и для DHCP clientв худшем случае, есл, penetrator (?), 05:43 , 08-Май-24, (86) Я обычно не юзаю DHCP - так что на меня этот чит вообще не сработает Но идея пр, Аноним (-), 10:12 , 08-Май-24, (93) +1 А зря, сеть до провайдера - тоже LAN, а адреса он обычно раздает по DHCP , fi (ok), 17:35 , 08-Май-24, (102) +1 // Только это часто ADSL GPON где линк абонент-провайдер можно сказать физически из, Ivan_83 (ok), 22:05 , 08-Май-24, (109) +1 1 схема VLAN per customer как раз работает поверх LAN - вот тут и прилетит DH, fi (ok), 13:09 , 13-Май-24, (142) Сразу хотелось бы вставить часть комментария с HN They also claim that it affec, Bklrexte (ok), 11:31 , 07-Май-24, (2) // А у нас вообще запрещены, так, что не страшно https opennet ru 46944-law, Аноним (4), 11:35 , 07-Май-24, (4) +6 // Всегда поражался тупостью местных законовыдумывателей, им там хоть раз в голову , cheburnator9000 (ok), 12:15 , 07-Май-24, (18) // Тупость это когда от действий страдает придумывающий всё это В данном случае ст, Аноним (33), 13:43 , 07-Май-24, (35) +2 И в чем проблема Вот прикрутили бота-модератора помимо админов и норм на Опенн, Banned (?), 14:12 , 07-Май-24, (38) Просто некоторые мб никогда не взаимодействовали с формальщиной далее чем подпис, Бывалый Смузихлёб (ok), 07:44 , 08-Май-24, (87) –5 firewall может быть частью ОС, но никак не VPN клиентов , Вирт (?), 11:40 , 07-Май-24, (5) +3 // нет никакой разницы, с т з кода Грубо говоря, на примере линукса, нет особой р, тыквенное латте (?), 12:07 , 07-Май-24, (15) –1 Ну зачем вы такое говорите У касперсокго и нод32 свой фаервол и прекрасно они р, Бум (?), 18:34 , 10-Май-24, (126) Не использовать DHCP, а юзать статические IP адреса Не вариант , Аноним (3), 11:34 , 07-Май-24, (3) –1 // причем в url ах тоже, а еще надо помнить мак шлюза, чтобы арп не подставили, вот, Аноним (23), 12:40 , 07-Май-24, (23) 2 чая Если получил контроль над DHCP в локалке - так там до VPN-а можно всё у, 1 (??), 13:35 , 07-Май-24, (32) +1 // Вы не поверите, но не нужно получать контроля над DHCP, достаточно запустить сво, Аноним (44), 15:43 , 07-Май-24, (44) // Не поверю Так как у меня в LAN 1 юзверь на 1 VLAN , 1 (??), 16:48 , 07-Май-24, (47) +1 и локалка из одного пентиума-3 1999 года , Аноним (52), 17:40 , 07-Май-24, (52) –1 Не вариант, когда у тебя больше двух хостов А в современном жилье их даже у стар, Ivan_83 (ok), 22:57 , 07-Май-24, (61) Можно юзать dhcp и игнорировать все получаемые маршруты dns ы с сетевых интерфей, Бум (?), 18:40 , 10-Май-24, (128) // И кстати, метрика у маршрутов с дианмическим назначением гораздо выше низкоприо, Бум (?), 18:47 , 10-Май-24, (130) Объясните 822 о 822 в 822 о 822 щ 822 у 822 не шарящему в сетях, провай, Аноним (6), 11:41 , 07-Май-24, (6) // провайдер не может а чел который там работает может , Аноним (19), 12:17 , 07-Май-24, (19) +1 Читать шифрованные пакеты да, дешифровывать их нет и никогда не сможет Замедлят, cheburnator9000 (ok), 12:19 , 07-Май-24, (20) +1 // дополню - даже если провайдер подделает ваш впн сервер или айпи, то ваш клиент н, Бум (?), 18:37 , 10-Май-24, (127) Если ты к впн подключаешься напрямую без роутера или через роутер которым управл, Аноним (42), 14:56 , 07-Май-24, (42) В определенных условиях и допущениях, как оказывается, таки может попробовать , Аноним (-), 21:45 , 07-Май-24, (56) Чувак, у тебя проблема не техническая а административная Перехват твоего трафика, Ivan_83 (ok), 22:59 , 07-Май-24, (62) +1 // видимо, Аноним (96), 11:11 , 08-Май-24, (96) // Вообще-то ivan_83 как и я таки - следовали тому совету и локацию сменили И по к, Аноним (132), 06:39 , 11-Май-24, (132) Если например это роутер в гостинице и к нему подключился клиент, клиент получае, fidoman (ok), 18:22 , 08-Май-24, (103) Просто отключить DHCP, не , Аноним (7), 11:43 , 07-Май-24, (7) +1 // Ты так популярно объяснил почему в моей конфиге эта атака не сработает , Аноним (-), 21:47 , 07-Май-24, (57) И бегать настраивать по десяткам девайсов Лучше купите веб смарт свитч и настрой, Ivan_83 (ok), 23:00 , 07-Май-24, (63) // Да, настроить 1 раз по десятку устройств, и потом не париться о упавшем DHCP-се, Аноним (75), 02:27 , 08-Май-24, (75) // У меня dnsmasq ни разу ни где не падал А вообще, в локалке может быть куча DHCP , Ivan_83 (ok), 04:23 , 08-Май-24, (80) Зато у меня на OpenWRT падает постоянно Потому что превратили прошивку в раздут, Аноним (96), 11:06 , 08-Май-24, (94) и при соединении по вайфай, если адрес не задан статически, то на несколько секу, Аноним (96), 11:09 , 08-Май-24, (95) Это оффтопик http netlab dhis org wiki software openwrt software openwrt softw, Ivan_83 (ok), 13:09 , 08-Май-24, (100) Ну так сделали эрзац системды - да еще в наихучшем виде, когда jail процесс от, Аноним (-), 19:17 , 09-Май-24, (120) все современные протоколы VPN используют дэйтаграммы, а не TCP для wg0 эта атака, Аноним (7), 11:51 , 07-Май-24, (9) // Это не так работает В ОС есть общая таблица маршрутизации Чем более длинный пр, Ivan_83 (ok), 23:07 , 07-Май-24, (64) +1 // Спасибо, понятно Значит ффтопку эти все VPNы на основе таблиц маршрутизации в я, Аноним (75), 02:38 , 08-Май-24, (76) –1 // Если у вас сокс5 прокси и впн клиент разные приложения - то будет точно так же к, Ivan_83 (ok), 04:24 , 08-Май-24, (81) внезапно wg кладет болт на таблицу маршрутизации и заворачивает пакеты согласно , wd (?), 04:44 , 08-Май-24, (85) +1 Я чайник в сетях, поэтому мне не понятно 1 почему 0 имеет меньший приоритет, ч, Аноним (7), 11:54 , 07-Май-24, (10) +3 // Не парься, все годные закладки в железе , Аноним (14), 12:06 , 07-Май-24, (14) +1 // Какое удовольствие попариться самому, чтобы попарить закладчиков ммм , Аноним (70), 23:19 , 07-Май-24, (70) 1 При выборе маршрута берется наиболее совпадающий маршрут маска 24 означает ч, MEXAHOTABOP (ok), 12:10 , 07-Май-24, (17) +1 // Ничего не понял 1 Если 24 приоритетнее, чем 0, то почему при врубании VPN с 0, Аноним (7), 12:37 , 07-Май-24, (22) // Бугага, а конечно, чтобы их блокировать удобнее было, Аноним (23), 12:42 , 07-Май-24, (24) Скрыто модератором, Аноним (7), 12:43 , 07-Май-24, (26) –1 Т е перед тем как выдать ИПшник, ДХЦП еще и скорость мерит Или даже гонка, кто, OpenEcho (?), 23:40 , 07-Май-24, (73) Поиск идёт по самому длинному префиксу Самым приоритетным будет 32, потом 31 и, Ivan_83 (ok), 23:11 , 07-Май-24, (65) +1 // Спасибо за инфу , Аноним (75), 03:01 , 08-Май-24, (77) Потому что это все, что не указанно эксплицитли, 1 - это уже более конретней, з, OpenEcho (?), 23:36 , 07-Май-24, (72) Мощно , Аноним (13), 12:06 , 07-Май-24, (13) Можно ещё таскать с собой wifi-роутер, который будет подключаться к сети, а сам , Алкоголизм (?), 12:51 , 07-Май-24, (27) // Так тебе просто роутер целиком завернут куда не нужно, Аноним (33), 13:39 , 07-Май-24, (34) // Роутер то да, но впн клиент будет за роутером и до него вредные маршруты не дойд, Ivan_83 (ok), 23:13 , 07-Май-24, (66) +2 Я вот не понял VPN зло или DHCP , Banned (?), 13:57 , 07-Май-24, (36) // ОС которые слепо верят DHCP, Аноним (42), 15:00 , 07-Май-24, (43) +1 // Вы же верите электрикам и сантехникам - они вам базовый сервис организуют Или вы, Ivan_83 (ok), 23:15 , 07-Май-24, (67) –1 // Ага и службе безопасности верим, которая звонит с левого номера нет , а так вер, Аноним (89), 08:19 , 08-Май-24, (89) +1 А напрасно М ков которые путают фазу и ноль или просто не парятся - в природе, Аноним (-), 22:06 , 08-Май-24, (110) Уже ДАВНО есть дифф автоматы, которые гарантируют что если вы схватитесь за пров, Ivan_83 (ok), 22:19 , 08-Май-24, (111) Ну вообще-то проверявшие как это работает на своей тушке нет, сам я под 220 сов, Аноним (117), 18:25 , 09-Май-24, (117) У нас дифф миним по разу на каждом срабатывал, никто ничего не почуствовал Диф, Ivan_83 (ok), 01:48 , 10-Май-24, (121) Хрена вы там неаккуратные Я всего 1 чела видел который на себе тестил, правда, , Аноним (-), 06:47 , 11-Май-24, (133) Дифференциальный автомат Schneider Electric EZ9D22640 - 5500 руб, это самый доро, Ivan_83 (ok), 01:08 , 12-Май-24, (138) Ну дык Вот и жмутся на них А ставить китайскую электрику, особенно дешевую - ну, Аноним (-), 13:47 , 16-Май-24, (144) Это же только если правильно подключить такой автомат и правильно поставить земл, Аноним (33), 18:43 , 09-Май-24, (118) Дифф автомату земля не нужна от слова совсем, он срабатывает от РАЗНИЦЫ дифф же, Ivan_83 (ok), 01:58 , 10-Май-24, (123) Это тебе только так КАЖЕТСЯ извините, это для исчеричных чудил, которые пока чт, Аноним (33), 18:42 , 10-Май-24, (129) Да, и утекает оно обычно через тушку человека, который стоит ногами на полу или , Ivan_83 (ok), 02:30 , 11-Май-24, (131) Это как раз наименее тупой вариант Иначе остается дофига опасного контура где н, Аноним (-), 07:01 , 11-Май-24, (135) Дифавтомат таки - не оперирует землей Он ставится между фазой и нулем в разрыв , Аноним (-), 06:59 , 11-Май-24, (134) А если завесить IPv6 SLAAC или DHCP то та же винда будет считать его и его DNS-с, Tron is Whistling (?), 14:48 , 07-Май-24, (40) +2 // да и RA тоже ничего так себе , Tron is Whistling (?), 14:48 , 07-Май-24, (41) Для икспердов, которые говорят, мол, DHCP это плохо, кто получит доступ к моей л, Аноним (46), 16:00 , 07-Май-24, (46) +1 // DCHP 8212 атавизм для легаси сетей Мобильные провайдеры как раз-таки с радос, Аноним (48), 17:21 , 07-Май-24, (48) // Есть ли примеры таких провайдеров в РФ , Oleg (??), 21:08 , 07-Май-24, (54) Чувак, есть DHCPv6, и есть RA Они все ни чуть не лучше DHCPv4, просто там IPv6 , Ivan_83 (ok), 23:16 , 07-Май-24, (68) // DHCPv6 8212 костыль У RA совершенно другая семантика В частности, RA позвол, Аноним (48), 03:44 , 08-Май-24, (79) Это вообще никаким боком к DHCP Источник времени, тем более доверенный, к DCHP , Аноним (48), 17:23 , 07-Май-24, (49) // Почитайте уже какие опции есть в DHCP Там не только список DNS, но NTP, SMTP, IR, Ivan_83 (ok), 23:18 , 07-Май-24, (69) // В DHCP можно произвольную информацию передавать с кастомными номерами опций, лиш, Аноним (48), 03:43 , 08-Май-24, (78) 1 Клиент в запросе указывает опции которые он хочет Если сервер передаст лишнее, Ivan_83 (ok), 04:30 , 08-Май-24, (82) И да, админ сети может положить на вас с прибором и просто на фаере завернуть вс, Ivan_83 (ok), 04:33 , 08-Май-24, (83) Мда А ещё электрик или просто хуллиган может провести DoS атаку и вырубить автом, Ivan_83 (ok), 22:53 , 07-Май-24, (59)   // Теперь ждём от авторов такие новейших открытий как - DoS атака на DHCP сервер дл, Ivan_83 (ok), 04:35 , 08-Май-24, (84)   // Желаю удачи, если на всех рабочих станциях файрволы акцептят только установленны, OpenEcho (?), 13:31 , 08-Май-24, (101)   // Зачем нужные фаеры за пределами роутера Это вас никак не защитит В неуправляемо, Ivan_83 (ok), 21:41 , 08-Май-24, (106)   А у вас в локалках полное доверие всем Вот именно для этого локалка и должна быт, OpenEcho (?), 17:28 , 09-Май-24, (115)   Доверие не нужно Я вообще думаю почти полностью отказатся от фаера дома и расшар, Ivan_83 (ok), 01:55 , 10-Май-24, (122)   Это какой такой DNS сервер у вас http https понимает в конфиге , Ivan_83 (ok), 21:44 , 08-Май-24, (108)   http s выше только для понимания о чем wpad и блокать надо не на ДНС а на фа, OpenEcho (?), 17:44 , 09-Май-24, (116)   Походу с понимаем у вас не очень С админством тоже, ибо вместо централизованно, Ivan_83 (ok), 02:04 , 10-Май-24, (124)   Ну вот на этом пожалуй и закончим, удачи в домашних локалках мистер , OpenEcho (?), 11:37 , 10-Май-24, (125)   Централизованое админство имеет минус оно видите ли в случае чего очень удобно , Аноним (132), 07:04 , 11-Май-24, (136) +1   This Секьюрность не должна быть - single point of failures, это многоступенч, OpenEcho (?), 14:16 , 11-Май-24, (137)   А что будет если атакующий вот этот центр сертификации - раз т - и сертифициру, Аноним (-), 14:38 , 16-Май-24, (146)   Всё от установленого уровня секьюрности зависит Центр сертификации в серьёзных , OpenEcho (?), 17:19 , 16-Май-24, (148)   А что будет если атакующий вот этот центр сертификации - раздолбит - и сертифици, Аноним (-), 14:39 , 16-Май-24, (147)   Это вы сами себе придумали сценарий и сами его радостно хакнули , Ivan_83 (ok), 01:12 , 12-Май-24, (139)   Вообще-то этот сценарий опробован на практике еще сто лет назад неким Comodohack, Аноним (-), 14:36 , 16-Май-24, (145)   DHCP - костыль Использовали бы IPX и не надо было бы никакого DHCP Опять же без, 1 (??), 09:30 , 08-Май-24, (90)   // DHCP relay agent, DHCP screening - проблема решена лет 15 как минимум , Ivan_83 (ok), 13:06 , 08-Май-24, (99) +1   Психология виндовс админа и цисковода С этим уже только на пенсию , Аноним (104), 20:43 , 08-Май-24, (104)   // У меня длинки вебсмарт только, и венду я не админю уже лет 10 за деньги , Ivan_83 (ok), 21:43 , 08-Май-24, (107)   Так вроде при использовании VPN соединение должно быть зашифровано и злоумышленн, Аноним (70), 23:26 , 07-Май-24, (71) // Соединение между девасом где клиент и хостом где впн сервер - да Но суть в том, , Ivan_83 (ok), 01:39 , 08-Май-24, (74) +1 Надо пользоваться Tor over VPN , Аноним (91), 09:46 , 08-Май-24, (91) Кто-то просто прочитал инструкцию к DHCP-серверу Уровень расследований возрос , Аноним (92), 10:01 , 08-Май-24, (92) +4 // 2 чая этому господину Как любили говорить вот и выросло поколение и оно ос, 1 (??), 11:17 , 08-Май-24, (97) Собственно именно поэтому и нужен ip netns - чтобы виртуальный интерфейс был еди, anonymous (??), 13:06 , 08-Май-24, (98) // Ну дык в дефолтном неэмспейсе сеть можно вообще выпилить Так всякое фуфло с тел, Аноним (-), 04:08 , 09-Май-24, (112) –1 Даже имея секурное клиентское устройство и правильную криптографию, можно получи, Аноним (104), 20:55 , 08-Май-24, (105) А что в списке уязвимых делает wireguard Там нет никаких DHCP, захардкоженные в , Аноним (114), 12:16 , 09-Май-24, (114) // А почему нет Вот вы будете ходить через варегард в инет 0 0 0 0 0 , а провайдер, Ivan_83 (ok), 01:16 , 12-Май-24, (140) 1,2,3,6,7,9,10,13,27,36,40,46,59,71,91,92,98,105,114

Сообщения

[Сортировка по времени | RSS]

59. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
Сообщение от Ivan_83 (ok), 07-Май-24, 22:53
Мда. А ещё электрик или просто хуллиган может провести DoS атаку и вырубить автомат в подъездном щитке. А другой хулиган может какахами с потолка топить что приведёт к повреждению электроники. И ещё 100500 вариантов из серии "враждабное окружение". DHCP - мастхэв, статика - это для лузеров из прошлого века и p2p линков. В адекватной локалке уже пора бы обзавестись управляемыми коммутаторами хотя бы web smart серии (где всё мышкой через браузер), стоят они не сильно дороже не управляемых, зато там можно все левые DHCP хосты отфильтровать так что они смогут хакать только себя. Там на самом деле куча всяких фишек, включая ARP/ND испекцию, упомянутый выше DHCP screening и тп.
Ответить | Правка | Наверх | Cообщить модератору

	84. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 08-Май-24, 04:35
	Теперь ждём от авторов такие новейших открытий как: - DoS атака на DHCP сервер для исчерпания свободных лиз; - WPAD извращения с подсовыванием своих проксей, как через DHCP так и через регистрацию доменов.
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от OpenEcho (?), 08-Май-24, 13:31
	> - DoS атака на DHCP сервер для исчерпания свободных лиз; Желаю удачи, если на всех рабочих станциях файрволы акцептят только установленный админом IP of DHCP и режет все левые bootpc (кстати будет работать и с "новостью"). Ну и arpwatch никто не отменял > - WPAD извращения с подсовыванием своих проксей, как через DHCP так и через регистрацию доменов. DNS: http(s)?://wpad.* => reject
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 08-Май-24, 21:41
	Зачем нужные фаеры за пределами роутера?) > на всех рабочих станциях файрволы акцептят только установленный админом IP of DHCP и режет все левые bootpc (кстати будет работать и с "новостью"). Это вас никак не защитит. В неуправляемой локалке я могу вам отправлять с любого MAC+IP любые пакеты. Защита от подмены MAC - port inspection у длинка называется и позволяет ограничивать количество MAC адресов на каждом порте коммутатора. Правда это не удобно при наличии виртуалок, придётся им или без инета или нужно NAT поднимать на хосте виртуализации. DHCP relay agent, DHCP screening - это как раз чтобы коммутатор фильтровал лишнее и пересылал только от нужных DHCP серверов пакеты.
	Ответить | Правка | Наверх | Cообщить модератору

	115. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от OpenEcho (?), 09-Май-24, 17:28
	> Зачем нужные фаеры за пределами роутера?) А у вас в локалках полное доверие всем? >> на всех рабочих станциях файрволы акцептят только установленный админом IP of DHCP и режет все левые bootpc (кстати будет работать и с "новостью"). > Это вас никак не защитит. > В неуправляемой локалке я могу вам отправлять с любого MAC+IP любые пакеты. Вот именно для этого локалка и должна быть управляемая, или мы про домашню сеть с двумя тремя юзерами где на  802.1X свитч не наскребли ? > DHCP relay agent, DHCP screening - это как раз чтобы коммутатор фильтровал > лишнее и пересылал только от нужных DHCP серверов пакеты. Т.е. все таки "нормальный" свитч есть ;)
	Ответить | Правка | Наверх | Cообщить модератору

	122. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 10-Май-24, 01:55
	Доверие не нужно. Я вообще думаю почти полностью отказатся от фаера дома и расшарить локалку в инет. На приватных сервисах поставлю TTL=1 и оно само автоматом за локалку не выйдет. > 802.1X Не удобно, им на практике почти никто не пользуется. И я вам не про дурацкую фильтрацию по IP которую вы собрались на каждом хосте настраивать, а про фильтрацию DHCP на уровне коммутатора, которая настраивается один раз и для всех сразу.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 08-Май-24, 21:44
	> DNS: http(s)?://wpad.* => reject Это какой такой DNS сервер у вас http/https понимает в конфиге?))))
	Ответить | Правка | К родителю #101 | Наверх | Cообщить модератору

	116. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от OpenEcho (?), 09-Май-24, 17:44
	>> DNS: http(s)?://wpad.* => reject > Это какой такой DNS сервер у вас http/https понимает в конфиге?)))) http(s)? выше только для понимания о чем wpad.* и блокать надо не на ДНС а на файрволе, на рабочих станциях
	Ответить | Правка | Наверх | Cообщить модератору

	124. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 10-Май-24, 02:04
	Походу с понимаем у вас не очень :) С админством тоже, ибо вместо централизованного управления у вас индивидуальный тюнинг каждого хоста. Сомневаюсь что у вас есть представление о том, как блочить WPAD на уровне фаера, особенно если это не ngfw какой нить а условных *tables в линухах. У нормальных админов WPAD блочится и на уровне DHCP и на уровне DNS сервера на роутере. DHCP выдаёт WPAD на роутер, роутер отдаёт там DIRECT. Это 5 строчек, 4 из которых в nginx. В DNS нужно прописывать либо регэкспами либо пачку записей, для этого надо почитать доку и узнать как клиенты перебирают доменные имена в поисках.
	Ответить | Правка | Наверх | Cообщить модератору

	125. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от OpenEcho (?), 10-Май-24, 11:37
	> Походу с понимаем у вас не очень :) Ну вот на этом пожалуй и закончим, удачи в домашних локалках мистер
	Ответить | Правка | Наверх | Cообщить модератору

	136. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+1 +/–
	Сообщение от Аноним (132), 11-Май-24, 07:04
	> Походу с понимаем у вас не очень :) > С админством тоже, ибо вместо централизованного управления у вас индивидуальный тюнинг > каждого хоста. Централизованое админство имеет минус: оно видите ли в случае чего очень удобно оказывается не только админу... :). Особенно хороша в этом AD, там сразу можно всей конторе малварь раздать не отходя от кассы. Удобно то как! А вы потом можете подумать что с этой конторой делать и как ее вообще оживить, когда там ВСЕ компы - с троянами. Удобство и безопасность живут по разную сторону улицы ;)
	Ответить | Правка | К родителю #124 | Наверх | Cообщить модератору

	137. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от OpenEcho (?), 11-Май-24, 14:16
	>> Походу с понимаем у вас не очень :) >> С админством тоже, ибо вместо централизованного управления у вас индивидуальный тюнинг >> каждого хоста. > Централизованое админство имеет минус: оно видите ли в случае чего очень удобно > оказывается не только админу... :). Особенно хороша в этом AD, там > сразу можно всей конторе малварь раздать не отходя от кассы. Удобно > то как! А вы потом можете подумать что с этой конторой > делать и как ее вообще оживить, когда там ВСЕ компы - > с троянами. Удобство и безопасность живут по разную сторону улицы ;) This ^^^ Секьюрность не должна быть - single point of failures, это многоступенчатая задача, начиная от air gaped центра сертификации SSL и заканчивая lock-downed рабочими станциями которые настраиваются автоматически и "удобно" удаленно, бегать с флэшкой  по локалке совсем не надо, но и права админов должны быть так же легко отзываемыми через то же центр сетификации в случае когда один админ дал подруге поиграть на своем компютере и ликнули ключики
	Ответить | Правка | Наверх | Cообщить модератору

	146. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Аноним (-), 16-Май-24, 14:38
	> права админов должны быть так же легко отзываемыми через то же > центр сетификации в случае когда один админ дал подруге поиграть на > своем компютере и ликнули ключики А что будет если атакующий вот этот центр сертификации - раз...т - и сертифицирует себя от души на все и вся? Ну так, навеяно тем как комодохакер себе серты на все подряд выписал, вопрос то не теоретический а после вполне себе прецедентов вот именно этсамого :)))
	Ответить | Правка | Наверх | Cообщить модератору

	148. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от OpenEcho (?), 16-Май-24, 17:19
	> А что будет если атакующий вот этот центр сертификации - раз...т - > и сертифицирует себя от души на все и вся? Всё от установленого уровня секьюрности зависит. Центр сертификации в серьёзных организациях не должен быть вообще онлайн, а на отдельных изолированных, географически распределенных машинах, доступ к приватному ключу по схеме авторизации Шамира, для того, чтобы подписать/отозвать сертификаты админов
	Ответить | Правка | Наверх | Cообщить модератору

	147. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Аноним (-), 16-Май-24, 14:39
	> права админов должны быть так же легко отзываемыми через то же > центр сетификации в случае когда один админ дал подруге поиграть на > своем компютере и ликнули ключики А что будет если атакующий вот этот центр сертификации - раздолбит - и сертифицирует себя от души на все и вся? Ну так, навеяно тем как comodohacker серты на все подряд вплоть до виндусапдейта выписал, вопрос то не теоретический, а после вполне себе практических прецедентов.
	Ответить | Правка | К родителю #137 | Наверх | Cообщить модератору

	139. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 12-Май-24, 01:12
	Это вы сами себе придумали сценарий и сами его радостно хакнули.
	Ответить | Правка | К родителю #136 | Наверх | Cообщить модератору

	145. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Аноним (-), 16-Май-24, 14:36
	> Это вы сами себе придумали сценарий и сами его радостно хакнули. Вообще-то этот сценарий опробован на практике еще сто лет назад неким Comodohacker'ом. Который раздолбал фирму Diginotar (УЦ SSL такой _БЫЛ_ - уже не с нами) в хламину. Затроянив через АД - тадам - ВСЕ КОМПЫ В ФИРМЕ. И даже суперсекурная фирменная железка от RSA не помогла - он прямо ей и подписал серты на кучу всего. Включая виндусапдейт и прочие интересные вещи. Вы же хотели удобство? Так что процессить сертификаты ручками - ну что вы, как можно. Вот, удобно же, на автомате то. ...после чего дигинотар и не придумал ничего умнее как заявление на банкротство подавать, что еще УЦ с таким факапом и таким подарком в сети фирмы может то? :) И кстати не так давно были прецеденты когда еще пару фирм через AD разнесли в таком же духе, но за их дальнейшей участью я не следил - запоминается только первый прецедент, показываюший что так можно было.
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от 1 (??), 08-Май-24, 09:30
	DHCP - костыль. Использовали бы IPX и не надо было бы никакого DHCP. Опять же без всякой авторизации получать кучу настроек на устройство от того, кто первым откликнулся по сети, такое себе. Вот и приходится извращаться с RADIUS и 801.2x на свитчиках.
	Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

	99. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+1 +/–
	Сообщение от Ivan_83 (ok), 08-Май-24, 13:06
	DHCP relay agent, DHCP screening - проблема решена лет 15 как минимум.
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Аноним (104), 08-Май-24, 20:43
	Психология виндовс админа и цисковода. С этим уже только на пенсию.
	Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

	107. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 08-Май-24, 21:43
	У меня длинки вебсмарт только, и венду я не админю уже лет 10 за деньги.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема