Сетевая безопасность это просто.

[akoK]

Эта тема посвящена обучению основам безопасности в глобальной сети. Ведь намного проще избежать опасности, чем пытаться изгнать вредоносное программное обеспечение и "рвать волосы" по утерянным паролям, пустым интернет-кошелькам, потери ICQ номеров и прочих приятных мелочей, без которых уже невозможно представить активного пользователя компьютера.

В данной теме вы можете задать вопросы, связанные с аспектами сетевой безопасности нашему прекрасному -=V.I.P.=- Софтфорума Saule.

Прошу учесть, перед тем, как задать вопрос:

1. Вопрос должен касаться аспектов сетевой безопасности. Личные вопросы будут удаляться, и наказываться те, кто их задаёт.

2. Убедительная просьба, воздержаться от вопросов в провокационной форме (Почему Касперский хуже NOD32?)

3. Не требуйте моментального ответа, мы все люди, у которых есть работа, обязанности, хобби. Форуму уделяем много времени, но не живём тут круглосуточно.

4. Saule не проводит консультации в ЛС, для этого есть эта тема.

5. Saule не оказывает помощи в лечении ПК от вредоносного кода, для этого необходимо обратиться в раздел "Лечение систем от компьютерных вирусов", выполнив правила оформления запроса о помощи.

Изменено 27 ноября, 2010 пользователем akoK
добавил пункт

[Dann]

Здравствуйте, Юлия!!! Рад!

Мои вопросы.

1. Продолжение использование-консоли-восстановления-для-отключения-драйвера.

Правильно понял, что конфликт на уровне dll у Sanitar можно было решить используя консоль восстановления и ему не нужно было откатываться на 2005 год?

тема: http://www.softboard.ru/index.php/topic/67120-винда-на-меня-обиделась/

2. Что произошло тут, почему при выборе режимов система больше не грузилась?

тема: http://www.softboard.ru/index.php/topic/66916-не-открывается-режим-безопасности/

[Saule]

Правильно понял, что конфликт на уровне dll у Sanitar можно было решить используя консоль восстановления?

Теоретически правильно ("теоретически" - потому что мы не знаем, что именно произошло конкретно в этом случае, т.к. нет никаких данных) Но, если мы имеем ситуацию, что система перестала грузиться после установки какого-либо ПО с драйверами (и перезагрузка не помогла), то, конечно, можно загрузиться в консоль и отключить драйвер, из-за которого это происходит.

Только не используйте в данном случае фразу "конфликт на уровне dll" (под "dll" подразумеваем динамический модуль). Говорим о конфликте драйверов.

Также выводы (просто мысли, которые пришли в голову):

- пользователь пишет о секундах, что выглядит немного двояко - не совсем понятно, речь идет о секундах при попытке загрузится или уже после Logon'а. Интуитивно (на основе числа) выбираем первый вариант, так как после логона секунд, скорее всего, было бы 58))

-

"не успеваю увидеть что за ошибки"

- не отключена опция "выполнить автоматическую перезагрузку" при отказе системы. Никак в данном случае не поможет пользователю, но эту настройку в любом случае желательно отключать (Панель управления > Система > вкладка "Дополнительно" > кнопка "Параметры" в разделе "Загрузка и восстановление" > в разделе "Отказ системы" убрать галку с "Выполнить автоматическую перезагрузку"). На безопасность никак не влияет, но вот в этой ситуации, если бы она была отключена - у нас были бы данные.

С экрана необязательно - можно посмотреть и в журнале событий: Start > Run > eventvwr.msc > System > ищем строку с источником "System Error" и смотрим параметры (это опять-таки к данному случаю не относится, так как система у нас уже не грузится).

почему при выборе режимов система больше не грузилась?

Девушка через msconfig установила опцию /SAFEBOOT ("принудительную" загрузку в безопасный режим), когда безопасный режим не работал (представим, что его вообще "не было" на этой системе).. В результате: что бы она не выбирала, при попытке загрузиться - автоматически давалась команда "грузимся в безопасный режим" (из-за /SAFEBOOT). И так как такого режима "не было" - её выкидывало...

В этом случае нужно было отредактировать файл boot.ini, удалив: /safeboot:minimal (вместо "minimal" может быть другой параметр/параметры).

Для примера, "принудительная" загрузка в безопасный режим в boot.ini выглядела бы примерно так:

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn /safeboot:minimal

Нужно было исправить на:

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn

Кстати, консоль восстановления могла бы помочь и тут (команда bootcfg: http://support.microsoft.com/kb/291980).

Иные варианты: подключить этот диск к другому компьютеру (как slave) и отредактировать boot.ini вручную. Либо загрузится с помощью любого BootCD, который позволяет получить доступ к системному диску, и также отредактировать boot.ini вручную.

Эти действия - не лечение. Это восстановление возможности загрузится в операционную систему (начинать с восстановления безопасного режима было бы сложнее, так как мы не знаем из-за чего он пропал).

Вывод: не ждем, пока петушок клюнет, а устанавливаем консоль восстановления (сразу после установки системы, чтобы в привычку вошло). Очень удобно - ничего в трудной ситуации не нужно искать

[lwowich2009]

Здравствуйте!Сделал,как советует Saule, т.е.убрал галочку с "Выполнить автоматическую ререзагрузку". И наткнулся на "Удалённый помощник". Он включён. Для чего он? Может его отключить? Брандмауэр Windows отключён,т.к. установлен Kaspersky Internet Security 2010. Спасибо.

[Yezhishe]

"Удалённый помощник" - это программа, позволяющая кому-нибудь, коему отправляете "приглашение", издалека войти на Вашу машину в текущий сеанс работы и получить доступ и к Рабочему Столу, и к программам, и к дискам\файлам...

Лично я убиваю его на всех машинах, что под руку попадаются, поскольку считаю это лишней дыркой в безопасности. Для удалённого доступа есть отдельные программы, которые (IMHO) лучше подходят для этой цели, поскольку их можно немедленно после использования удалить.

[Dann]

Спасибо, Юлия!

А можно вот еще объяснить про ссылку, почему её выбрали для случая 2?

Windows не стартует ни в ни в нормальном, ни в безопасном режиме.

не ждем, пока петушок клюнет, а устанавливаем

Дык уже! :D Спасибо!

Юлия, не отвечайте сразу, мне прям неудобно. Мне не к спеху, подожду!

[Saule]

А можно вот еще объяснить про ссылку, почему её выбрали для случая 2?

Эта ссылка, к сожалению, бесполезна для случая 2.

Почему бесполезна? Потому что система грузилась в нормальный режим до изменений в boot.ini (это основной момент). Второстепенность: "на экране все время выбор режимов" - без Userinit система грузится гораздо дальше, чем выбор режимов (хотя пользователь может путать выбор режима и вход в аккаунт, поэтому этот момент и считаем за второстепенный).

Статья же написала для случая, когда у пользователя поврежден параметр Userinit.

В двух словах о том, что такое Userinit.

Userinit Logon Application (userinit.exe) - небольшой системный файлик, у которого есть очень важные задача - запустить Shell пользователя (оболочку системы; explorer.exe или альтернативную). Сделав своё дело, этот процесс завершается (его не будет в Task Manager).

(также userinit.exe может выполнять и некоторые другие функции; к примеру: запускать logon-скрипты и пр., тут это не важно)

Если userinit.exe отсутствует/либо поврежден ключ его запуска - система начнет грузится, но ровно до того места, когда "по сценарию" winlogon.exe должен запустить Userinit... И если Userinit запустить невозможно - пользователь не сможет войти в свою систему (UserInit: user - пользователь; init - инициализация).

Параметр Userinit в реестре и его значение по умолчанию:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"Userinit"="C:\WINDOWS\system32\userinit.exe,"

Теперь в каких случаях нужна эта ссылка.

Вирусов, которые прописывают себя в Userinit, очень много (а что: рано грузимся; легко использовать; запускаем explorer.exe, поэтому можно беспрепятственно писать в него, как родитель и т.п.)... И вот после удаления подобных вирусов, бывает, что возникают проблемы.

Ситуации, когда проблемы могут произойти.

(т.е. в каких ситуациях userinit.exe может отсутствовать/либо может быть поврежден ключ его запуска)

1. Вирус заменил настоящий userinit.exe или заразил его (модифицировал). Антивирус нашел и удалил вирусный файл (удалил, но не вернул на место настоящий userinit.exe/не заменил зараженный файл обратно на хороший/не вылечил).

Результат после перезагрузки: пользователь больше не сможет войти в свою систему (т.к. файла userinit.exe больше нет).

2. Вирус прописал себя в реестре вместо userinit.exe (вместо значения по умолчанию). Антивирус нашел и удалил вирусный файл.

Результат после перезагрузки: пользователь больше не сможет войти в свою систему (т.к. нет больше файла, прописанного в Userinit - и Winlogon ничего не может запустить). Приведенная ссылка работает для этого случая!

3. Вирус прописался в реестре вместо userinit.exe (или рядом). И кто-то при лечении системы этот параметр неправильно "почистил" (полностью удалил запись и не внес значение по умолчанию/внес запись в неправильном виде и т.п.) Под "кто-то" подразумеваем пользователя/какую-либо программу/помощника...

Результат: пользователь больше не сможет войти в свою систему (т.к. winlogon "не понимает", что ему нужно запустить). Приведенная ссылка работает для этого случая!

... Вообще вирусы "издевались" над Userinit как могли (утрирую). Некоторые, например, еще и переименовали настоящий userinit.exe (присваивали ему случайно имя; для примера, вида: "de7d6534.exe"), созвая тем самым дополнительные неудобства.

В общем вариантов масса, но суть одна: Userinit - уязвимое место системы (по возможности его бы очень полезно защитить).

Очень мало нормальных программ использует Userinit (могу вспомнить только: GeSWall, Siemens Simatic software, Soluto, DeviceInspector...). Поэтому, если видите в Userinit что-то постороннее (и вы этого туда не добавляли) - это не нормально. Только помните, что с Userinit нужно действовать предельно аккуратно.

Ну вот как-то так, раз уж затронули бедный userinit

Да, и в приведенной ссылке подробно написано о том, как исправить параметр Userinit в случае, когда он был поврежден.

[Dann]

Благодарю! Вопросов стало больше чем было. Помаленьку вникаю.

[Saule]

lwowich2009, выше Вам уже ответили. Помочь заметить то, что "Удаленный помощник" на Вашем компьютере включен, мог бы AVZ.

Его "Поиск потенциальных уязвимостей" вывел бы примерно следующее:

8. Поиск потенциальных уязвимостей.....>> Безопасность: разрешена отправка приглашений удаленному помощнику

Опция "Поиск потенциальных уязвимостей" > кнопка "Пуск" > смотрим в протоколе раздел 8:

Благодарю! Вопросов стало больше чем было. Помаленьку вникаю.

Если сложно, то обращай внимание на то, что именно не понятно. Подберу другие слова))

Вопросы просто такие, что от краткого ответа нет особенного смысла :)

[Dann]

Что означает такое сообщение:

тема: http://www.softboard.ru/index.php/topic/67238-skydns/

[Yezhishe]

Ну я же в той теме постом ниже дал краткий перевод этого сообщения...

[Dann]

Ну я же в той теме постом ниже дал краткий перевод этого сообщения...

Ну я потому и спрашиваю тут, уважаемый Yezhishe. Тоже читать умею и понимаю, что Ваш перевод неправильный. Там такого не написано:

Используемый тип сертификата SSL говорит о том, что организация, его использующая - не имеет легально подтверждённого права оказывать подобные услуги. Информация, которой Вы будете обмениваться с этим сайтом - не шифруется и ничем не защищается

Там написано наоборот. Может у Вас переводчик сломался? :blushing:

Спрашиваю почему такие сообщения появляются на самом деле, без перевода отсебятины. И как относится к таким сообщениям.

[Yezhishe]

Ну я и не стремился сделать дословный перевод... Считал нужным передать суть предупреждения - и не более того, потому особо слова и не подбирал. Но смею утверждать, что передал правильно.

P.S. Переводчики не использую. Вообще. Ни локальные, ни онлайн - как-то незачем...

[Andrey_al]

Спрашиваю почему такие сообщения появляются на самом деле

появляются они потому, что в настройках браузера поставлена соответствующая галочка, что - то вроде - "предупреждать о неблагонадежных или мошеннических сайтах"... это всего лишь предупреждение или предположение (а, отнюдь, не приговор), что бы обратить внимание, что на этом сайте, возможно, надо держать "ухо востро"... или, по - крайней мере, не расслабляться

И как относится к таким сообщениям

относиться, как к предупреждениям, ну а дальнейшие действия выбирать на свое усмотрение, тем более, что выбор предлагается (в виде двух кнопок, уйти или продолжить), но, если на 100% нет уверенности в благонадежности ресурса, то не оставлять там своих конфиденциальных данных, таких как пароли, номера кредитных карт и прочее..., если ты конкретно знаешь этот ресурс и полностью доверяешь ему (например, ты являешься его создателем), то эти предупреждения можно просто игнорировать..., если же, не смотря ни на что, они тебя смущают или раздражают, то в этом случае надо изменить настройки безопасности браузера и подобные подсказки больше не будут тревожить...

Изменено 2 декабря, 2010 пользователем Andrey_al

[Dann]

Ну я и не стремился сделать дословный перевод... Считал нужным передать суть предупреждения - и не более того, потому особо слова и не подбирал. Но смею утверждать, что передал правильно.

Неправильно, Yezhishe! :blushing:. Про суть и говорю. Неловко говорить, кто Вы, а кто я, но Вы не правы с сутью. Поэтому сюда к Saule и пришел. Чтобы не Вы ответили. Могу в личку написать, но тему ведь создавли. Я про шифрование и суть.

Andrey_al, спасибо! Почему этот сайт неблагонадежный? Не понимаю. Шифрование ведь работает? В чем подвох?

[Andrey_al]

Почему этот сайт неблагонадежный? Не понимаю. Шифрование ведь работает? В чем подвох?

дело не в том, что шифрование присутствует, как таковое, а то, что сертификат, необходимый для этого вида шифрования не подтвержден никем, скорее всего, является самоподписным... т.е. шифрование, несмотря ни на что, присутствует, но не исключает возможности, что на другом конце этого шифрованного канала находится неблагонадежный партнер, не обязательно, что это так, но не надо исключать такой возможности... о потенциальной опасности и говорит это сообщение... не надо его воспринимать, как суд в последней инстанции или руководство к какому - то действию, это, всего лишь, предупреждение или напоминание (например, подходя к шоссе попадаются знаки и таблички, предупреждающие, что по этой трассе движутся транспортные средства, которые могут представлять опасность для здоровья и жизни, но, ни в коей мере это не приговор и не неизбежное событие, а всего лишь напоминание о бдительности и повышенном внимании на этом участке...)

Изменено 2 декабря, 2010 пользователем Andrey_al

[Saule]

Почему этот сайт неблагонадежный? Не понимаю. Шифрование ведь работает? В чем подвох?

Это предупреждение появляется в связи с тем, что компания, которой этот сайт принадлежит, не приобрела EV SSL (extended validation), либо OV SSL (organization validation) сертификат у какого-либо удостоверяющего центра (таких как: VeriSign и пр.). Компания купила только DV SSL сертификат (domain validation), который не подразумевает проверку организации и теоретически является менее надежным (чем EV или OV SSL). Шифрование при этом работает, и это соединение от прослушивания защищено.

DV сертификат имеет льготную стоимость (он дешевле) + получить его легче и быстрее (делается меньше проверок). С одной стороны это удобно, особенно для небольших компаний, которых не заботит бренд. Но является менее надежным (больше предназначен для C/R email-систем), потому что:

- технический фактор: в таких ключах сопоставляется меньше данных. По сути проверяется только доменное имя(?) и, если использовать атаку, построенную на том, что доменное имя сайта уязвимо - возврат другого IP, используя DNS (изменение IP адреса на DNS серверах), то теоретически ваши данные может получить третья сторона.

- мошеннический фактор: теоретически такой тип сертификата может получить не настоящий банк/не настоящая организация. Т.е. покупка сертификата может осуществляться только для того, чтобы выглядеть безопасным сайтом... (однако, даже EV SSL и "green address bar" не являются 100% гарантией того, что вы общаетесь не с мошенниками; у того же Comodo были случаи, когда они не только давали, но и продлевали сертификаты тем, кто пишет вирусы).

Как относится к подобным предупреждениям? Конечно, индивидуально. И да, воспринимать их только как предупреждение. Всё зависит от сайта (от предоставляемых им услуг) и от того, какие данные вы хотите ему передать.. Есть большая разница между простым открытием сайта и предоставлением ему номера своей кредитной карты...

DV - это не криминал и многие компании (если не сказать "половина" https, в том числе и банки некоторых стран) не заказывают EV SSL и используют DV. Среди них есть даже те, кто имеет какое-то отношение к безопасности (пример). Поэтому, если вы доверяете компании - значит доверяете. И еще раз: такое https-соединение всё-равно будет шифроваться/будет защищено от прослушивания, в отличие от http. Если бы при открытии любой http-страницы вам бы выдавалось предупреждение о том, что вводимые вами данные ничем не защищены и шифрование не работает (поскольку это так) - вы бы открывали сайты? Открывали выборочно?

Так что в этом смысле бережем только кредитную карту и данные, которые удостоверяют вашу личность. Ну и любые другие данные, которые для вас важны.. - всё это можно только через https (НЕ через http), и только в том случае, если вы доверяете организации (магазину, банку, государственному учреждению и пр.). Хотя большинство людей это не особенно заботит..

--------------------

HTTPS - это тот же HTTP, только с шифрованием.

Причем шифрование можно реализовать, используя свой собственный сертификат (не пользуясь платной услугой удостоверяющего центра). Но собственный сертификат (self-signed) будет еще гораздо менее надежен, так как защита в этом случае будет работать только от пассивного прослушивания. Для защиты от активного прослушивания необходимо, чтобы пользователь ("клиент") имел возможность проверить, действительно ли передаваемые данные шифруются ключом сервера, а не ключом, подставленным злоумышленником посередине (атаки MITM, man-in-the-middle, "человек посередине"). Поэтому покупается сертификат... либо реализуется система, чтобы и клиент и сервер знали ключ (в этом случае ключ должен быть установлен на системе пользователя!).

Под

пассивным прослушиванием

подразумеваем: сниффер.

Под

активным прослушиванием

: сниффер + действия, направленные на внедрение в сессию, в процесс обмена ключами (в данном случае нужно подменить ключи, чтобы иметь возможность получать расшифрованные данные). Эти действия могут быть выполнены как автоматически (есть снифферы, поддерживающие MITM-атаки на HTTPS/SSL), так и вручную злоумышленником.

По приоритетам (без мошеннического фактора):

HTTP

- нет шифрования. Потенциальные враги: пассивное прослушивание; активное прослушивание; специфические атаки.

HTTPS self-signed

- шифрование работает частично (исключение: ключ установлен у вас в системе). Потенциальные враги:

пассивное прослушивание

; активное прослушивание; специфические атаки.

HTTPS с DV

- шифрование работает, но данных сопоставляется не очень много. Потенциальные враги:

пассивное прослушивание

;

активное прослушивание

; специфические атаки (напр., направленные на то, что доменные имена подвержены уязвимостям).

HTTPS c EV/OV

- шифрование работает; можно вводить данные кредитной карты, если доверяете компании. Потенциальные враги:

пассивное прослушивание; активное прослушивание

; специфические атаки.

Не знаю, ребята, стоит ли утруждать вас такими подробностями. Но тема раскрыта. Прежде чем давать данные кредитной карты - думаем, так как недостаточная защита соединения может привести к тому, что данные попадут в том числе и третьей стороне.

Перевод сообщения сделать?

Только(?) Comodo так реагирует на DV SSL.

Литературно не умею:

SSL сертификат данного сайта указывает на то, что организация (которой этот сайт принадлежит), возможно, не подвергалась доверенной сторонней проверке на то, что бизнес этой компании легальный. И, не смотря на то, что информация, передаваемая между вами и этим сайтом, будет зашифрована, у вас нет уверенности в том, с кем на самом деле вы обмениваетесь данными, т.к. многие сайты, связанные с кибер-преступлениями, используют этот тип сертификата (добавление: потому что этот тип сертификата легче получить - надеюсь, что это логически понятно и не воспринимается буквально как: все, кто купил DV - мошенники). Поэтому, прежде чем обмениваться конфиденциальной информацией (логины и пароли, личные идентификационные данные или финансовые реквизиты, такие как номера кредитных карт) с любыми сайтами, на которые генерируются подобные предупреждения, вам следует поискать альтернативные методы утверждения дел/бизнеса или рассмотреть отказ от сделки/операции.

[Saule]

дело не в том, что шифрование присутствует

Дело как раз в этом, насколько я поняла вопрос.

сертификат, необходимый для этого вида шифрования не подтвержден никем

Сертификат подтвержден Thawte, Inc. (Thawte DV SSL). Просто кликните по сертификату - в нем всё написано. 128-битное шифрование.

Почему решили купить подешевле - нужно спросить skydns (посчитали, что этого достаточно/может подороже купят позже/может быть еще что-то - гадать бесполезно).

Изменено 21 января, 2011 пользователем Saule

[Sanitar]

Saule у тебя как то давно была тема про отключение ненужных и потенциально опасных служб. Может его как то восстановить? :blushing: И еще, была у тебя кладовая с заплатками для винды(самыми важными). Считаю такие вещи нельзя херить. Мне например эти вещи очень помогли, теперь они опять понадобились, да думаю многим будет полезно. :blushing:

[mikemet]

Поддерживаю Sanitar - про потенциально опасные службы (...и для "семерочки" хотелось бы в частности :rolleyes:) неплохо бы обозор в отдельной ,скажем ,теме.

[Dann]

Дело как раз в этом, насколько я поняла вопрос..?

Да, я про шифрование. Спасибо! Внимательно читаю.

Andrey_al пишет про ситуацию с самоподписным ключом?

Если бы skydns не купили сертикат и пустили всё по http, никакого предупреждения на страницу не было? :)

Наглядный литературный пример атаки "человек посередине" можно увидеть в "Сказке о царе Салтане" Пушкина, где фигурируют три "человека посередине": ткачиха, повариха и Бабариха. Именно они подменяют письма, адресованные царю, и его ответную корреспонденцию.

Спасибо! :)

[Saule]

Andrey_al пишет про ситуацию с самоподписным ключом?

Andrey_al пишет в общем и в целом, абстрагируясь от конкретной ситуации. И всё пишет верно.

Если бы skydns не купили сертикат и пустили всё по http, никакого предупреждения на страницу не было? :)

Ирония судьбы. Но да, предупреждения бы не было.

[Taymer]

Периодически браузеры ловят, то что на скрине.

Вопросов несколько:

1)Что это такое?

2)Откуда берётся?

3)Насколько опасно?

4)Как сделать так чтоб это не повторялось?

Пока нашёл выход в том что в Опера разрешаю или запрещаю вручную приём куков. А Мозиле так

[Andrey_al]

1) это куки

2) из интернета, с посещаемых сайтов

3) ни на сколько

4) отключить в настройках браузера прием куков, хотя это вызовет некоторые неудобства

что бы не получать tracking cookies (как правило это подгружаемый контент со сторонних сайтов, больше рекламного характера) на твоей картиночке следует снять галочку с "Принимать куки со сторонних сайтов"

P.S. есть смысл посетить википедию и почитать о том, что такое куки

P.P.S.

Пока нашёл выход

обычно выход там же, где и вход... создается впечатление, что многие выходят в сеть не для того, что бы там работать или развлекаться (каждому свое), а исключительно ради борьбы, неважно с кем или с чем, если нет реальных угроз, то мы их придумаем или создадим... Изменено 4 декабря, 2010 пользователем Andrey_al

[Taymer]

то мы их придумаем или создадим...

Так AVG ругается на эти куки, открываешь браузер и он выдаёт сообщение обнаружена угроза. Сканирую и эти куки оказываются в хранилище, не думаю что антивирь абы что будет убирать в хранилище вирусов.

есть смысл посетить википедию и почитать о том, что такое куки

Читал, я просто подумал что есть другой способ не принимать именно вредоносные куки, т.к запрещать всё подряд очень неудобно.

А Вы абсолютно уверенны что вреда в этих куках нет?

Изменено 4 декабря, 2010 пользователем Taymer