Pokaż wyniki 1 do 6 z 6

Temat: SSL - możliwe podsłuchanie?

  1. #1
    Zarejestrowany
    Jul 2008
    Postów
    3

    Domyślnie SSL - możliwe podsłuchanie?

    prawdopodobnie wypiszę zaraz sporo głupot, moja znajomość w temacie jest marna, będę wdzięczny za wytłumaczenie gdzie źle myślę tudzież odesłanie do jakichś źródeł, bo jakoś szukanie w google mi nie idzie

    czytałem sobie ostatnio o SSL i TLS i chciałem się zapytać czy jest możliwość prześledzenia całego procesu (czy jak to nazwać?) "handshake" w ten sposób otrzymując potrzebne klucze do odczytu informacji tudzież do zakodowania odpowiednich rozkazów które prześlemy do serwera

    nie wiem jak wygląda proces podsłuchiwania czy to trzeba być "na linii" między dwoma komunikującymi się maszynami czy można to robić zupełnie "z zewnątrz"

    ogólnie chce napisać aplikację klient-serwer, no i staram się douczyć to i owo aby, np. zapewnić bezpieczeństwo w komunikacji w tym co napiszę

    no i podczas lektury jakichś materiałów czytałem o nawiązywaniu połączenia SSL czy TLS, no i gdy już wybrane są klucze, algorytmy i wszystko inne przechodzimy w zakodowany "tryb" i zakładam, że tam jest bezpiecznie, ale zanim to nastąpi wszystko jest przesyłane w sposób nieszyfrowany (z tego co zrozumiałem), wszystkie algorytmy i klucze
    zatem gdyby je przechwycić dowiemy się prawdopodobnie wszystkiego co chcemy jako osoba atakująca

    stąd moje pytanie dlaczego to jest bezpieczne?

    za wszelkie uwagi z góry dzięki

  2. #2
    Zarejestrowany
    Jan 2008
    Skąd
    za NATem :)
    Postów
    155

    Domyślnie

    Może to Ci pomoże: http://pl.wikipedia.org/wiki/SSL

  3. #3
    Avatar Nikow
    Nikow jest offline -=[ZRP]=-
    Zarejestrowany
    Sep 2007
    Skąd
    Różne zakątki sieci.
    Postów
    995

    Domyślnie

    Twój problem jest mimo tego co wcześniej napisałeś bardzo ciekawy, a ataki na sesje szyfrowane niezwykle skomplikowane, ponieważ kryją w sobie wiele technik. Najefektywniejszym i najłątwiejszym atakiem na szyfrowane sesje jest atak "Man in middle". Polega on na "okłamaniu" komputera ofiary że serwer to on i komputera serwera że ofiara to maszyna włamywacza. W ten sposób komputer włamywacza przedstawia swoje klucze obu stroną i może bez problemu przechwytywać jawne dane z danej transmisji. Niestety przygotowanie tego ataku często jest trudne, ponieważ trzeba pierw znaleść się na trasie po której lecą szyfrowane dane. Jeśli dane lecą przez sieć radiową to też możemy podsłuchiwać, ale wtedy musimy jeszcze wykombinować klucze, ostatnio byłą "afera" z OpenSSH w Debianie, gdzie developer uszkodził generator liczb pseudolosowych. Wykorzystując takie luki mamy gotowy podsłuch danych w jedną ze stron. Niestety z drugą stroną jest nieco gorzej.

    Przechwycenie klucza w czasie negocjowania połączenia nie daje Ci praktycznie nic, oprócz tego że możesz pisać do serwera, jak każdy użytkownik. Klucz jest asymetryczny, co oznacza że by odkodować zakodowane dane kluczem publicznym, potrzebujesz innego klucza, który nazywamy kluczem prywatnym.
    http://nikowek.blogspot.com/
    Zbrojne Ramię Pingwina!
    -----BEGIN GEEK CODE BLOCK-----
    Version: 3.12
    GCS d- s++:++ a--- C+++ UL+++ P L+++ E--- W++ N++ o K- w--
    O M- V- PS PE Y PGP++ t+ 5 X+ R tv- b++ DI- D-
    G+ e- h! r% y?
    ------END GEEK CODE BLOCK------

  4. #4
    Zarejestrowany
    Jul 2008
    Postów
    3

    Domyślnie

    najgorsze jest to, że czytałem już ten artykuł na wikipedii :/
    dopiero za którymś razem doszło do mnie że to jest asymetryczne
    dzięki

  5. #5
    Zarejestrowany
    Jan 2007
    Postów
    18

    Domyślnie

    Hmmm sprawa jest o miliard razy prostsza jezeli jestes w sieci LAN. Wtedy instalujesz Cain & Abel i sprawa z glowy =D program sam wszystko zrobi (prawie) =D a jezeli chcesz jakiegos uzytkownika spoza sieci to bedzie naprawdee ciezkooo =D
    http://0x00000.110mb.com/school.jpg
    Kod:
    <script language=JavaScript>alert('0x00000')</script>
    Kod:
    .../article.php?id=[SQL]
    To są podstawy panowie

  6. #6
    Avatar Nikow
    Nikow jest offline -=[ZRP]=-
    Zarejestrowany
    Sep 2007
    Skąd
    Różne zakątki sieci.
    Postów
    995

    Domyślnie

    Cytat Napisał Guzik1252 Zobacz post
    Hmmm sprawa jest o miliard razy prostsza jezeli jestes w sieci LAN. Wtedy instalujesz Cain & Abel i sprawa z glowy =D program sam wszystko zrobi (prawie) =D a jezeli chcesz jakiegos uzytkownika spoza sieci to bedzie naprawdee ciezkooo =D
    Patrz na datę ostatniego posta. Po drugie, że niby C&A pozwala Ci podsłuchiwać jakikolwiek strumień SSL nie mając dostępu do żadnego hosta dostępowego? Nie kompromituj się...
    http://nikowek.blogspot.com/
    Zbrojne Ramię Pingwina!
    -----BEGIN GEEK CODE BLOCK-----
    Version: 3.12
    GCS d- s++:++ a--- C+++ UL+++ P L+++ E--- W++ N++ o K- w--
    O M- V- PS PE Y PGP++ t+ 5 X+ R tv- b++ DI- D-
    G+ e- h! r% y?
    ------END GEEK CODE BLOCK------

Podobne wątki

  1. Brawo h3x! Jednak jest to możliwe.
    By mitsumi140 in forum Hacking
    Odpowiedzi: 23
    Autor: 10-15-2008, 18:57
  2. Odpowiedzi: 8
    Autor: 01-22-2008, 09:02
  3. SSL + Vista + Modem = Problem
    By hes in forum Security
    Odpowiedzi: 1
    Autor: 07-31-2007, 08:44
  4. ssl w c++
    By 31337 in forum C/C++
    Odpowiedzi: 1
    Autor: 06-18-2007, 09:52
  5. SSL, PHP i socket.
    By 31337 in forum PHP/CGI/ASP/JSP/J2EE
    Odpowiedzi: 4
    Autor: 05-18-2007, 18:50

Zasady Postowania

  • Nie możesz zakładać nowych tematów
  • Nie możesz pisać wiadomości
  • Nie możesz dodawać załączników
  • Nie możesz edytować swoich postów
  •  
Subskrybuj

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52