Ez elég súlyosnak néz ki.

DRM is theft

Foleg hogy a gyartok neha meg az 1-2 eves eszkozeikre is vonakodva adnak ki firmware frissiteseket, a szolgaltatoi eszkozok frissitese is lassabb szokott lenni az extra tesztelesek miatt. Raadasul a tobbseg meg sok eve vett 150/300-as n-es routereket, repeatereket hasznal, amikre tuti nem jon mar update... nem beszelve arrol, hogy az atlag user nem is tudja hogy frissitenie kellene, vagy ha igen akkor hogy. Szoval a halozatok nagy resze varhatoan serulekeny marad.

Az a baj a világgal, hogy a hülyék mindenben holtbiztosak, az okosak meg tele vannak kételyekkel.

No igen! Nekem is ez jutott eszembe rögtön, hogy rengeteg rendszer lyukas is marad, független ettől a felfedezéstől. Az alig 2 éves routeremre sem jött frissítés amióta megvan (persze, sejtem, hogy anyi lik nincs benne mint a szeretett windózunkban, de, hogy a sokak által jelzett hibát sem hajlandóak javítani, az felháborító) .

Mióta Scarlett Johansson sztár lett jól alszom!

Ja, a linux levlistát néztem, a kernelt érintő sérülékenységek elleni patcheket tegnapelőtt küldte be Johannes Berg, a wireless stack maintainere, szóval még az sincs befoltozva, meg a Mikrotiknál se láttam még semmit, pedig ők is érintettek a jelek szerint... szóval elég gázos a helyzet (ez a kettő az, amire valamennyire rálátok és érint is)

[ Szerkesztve ]

DRM is theft

Még lehet rá hegeszteni OpenWRT-t, ők nemsoká belerakják.

"What is Linux? I only joined because of the the penguin..." - meanwhile in the linux community. http://9gag.com/gag/arpZGOy

hát nekem az Asus RT-N65U routeremhez már mondhatni alap support sincs, csak kézikönyv letöltés, ami volt elérhető 1-2 firmware, már azt sem lehet levadászni...

Gondolom a megfelelő szerveknek ezek jórésze már megvolt egy ideje.

Mindig meglep milyen sokan hiszik el, hogy van ingyen ebéd.

Majd ha amcsi elnököt látok rohangálni a legújab csamcsunggal vagy szifonnal... Ha jól rémlik, még Obama berryjétől(!) is sikítófrászt kaptak a biztonságiak anno.

Ez persze nem (csak) wifi kérdés, de része lehet.

[ Szerkesztve ]

Mindig meglep milyen sokan hiszik el, hogy van ingyen ebéd.

Lehet hogy még korán van, és ezért nem találtam, hogy konkrétan milyen eszközökön tesztelt, tudja esetleg valaki?

"Bonyolult kérdésre egyszerű választ keresni helyénvaló, de ritkán célravezető megoldás" (Wayne Chapman)

Nagyvonalakban olyan ez, mint amikor a szaksajtó világvégét kiállt amikor találnak valami durvább hibát az Androidban és mindenkit felszólít arra, hogy frissítse a rendszerét mert egyébként ki tudja mi lesz vele. Csak éppen a gyártók nem adnak ki hozzá javítást.

TP-Link Archer C2 V3. Ehhez legalább még van letölthető firmware. 2018-as.
Bár teljesen jól működik, de most akkor mégis ki kellene dobni és venni egy újat, aminek a supportja szintén nulla?

3 nappal ezelott jott ki a Synology a frissitessel, amiben ez is benne van, azert ez nem rossz:

"Fixed multiple security vulnerabilities regarding FragAttacks on RT2600ac and MR2200ac (Synology-SA-21:20)."

hide ssid és csókolom
vagy az is kevés ha nem látszik a hálózat?

Mindenkit egyforma külső inger ér, de egyén függő, h éljük meg :P

Van az oldalon test tool meg hozzá live usb image is - bár annyi nehezítés van, hogy csak bizonyos wifi chipekkel működik.

DRM is theft

Ezen még bárki is meglepődik?

"Mond szépen angolul: Gyors róka!"

ez remélem költői kérdés volt...

"Mond szépen angolul: Gyors róka!"

Igen.

Tudom, te nyilván tudtál róla egész eddig, csak nem akartál szólni.

[ Szerkesztve ]

DRM is theft

no offense, de minden évben van pár cikk amiben "feltráják", hogy a vezeték nélküli (és egyéb más is...) eszközök biztonsága mennyire el van maradva és ismert hibákat nem javítanak ki. Nem is beszélve a szabványról, wep-et már fősulin hobbiból is törtünk, wpa2 akkor már nagyobb dolog volt de nem lehetetlen... több mint 10 év távlatából meg már inkább vicc, wpa3 nincs elterjedve és nem eröltették meg megukat nagyon... na mind1 csak 1 kis reggeli kirohanás, de nem kell félni semmi sem biztonságos, ha a megfelelő ember(ek) vesznek célba akkor nincs menekvés. (Régi logut cikk is volt, hogy lophattalan autó nincs, ha kell trélerezik de ha kinézik akkor valahogy el fogják vinni nincs mese, ez ugyan így van.)

"Mond szépen angolul: Gyors róka!"

És hogy néz ki a gyakorlatban egy ilyen törés? Tényleg érdekelne. Akár a wep is.

A wep az elég egyszerű. A wpa-t már szótárazni kell, de majd elmondja a kollega

Mindenkit egyforma külső inger ér, de egyén függő, h éljük meg :P

A wep-et sima liba (RC4 titkosítás és rossz implementáció miatt). Ha nem akarsz csendben maradni, akkor kb 5-30 MP alatt törhető, ha türelmes vagy akkor aktív (kimenő) adatforgalom nélkül is törhető, csak meg kell várni egy authentikációs kérést.

#18 - body007: ez már a WPA időkben sem volt elég, ez konkrétan csak a fogyasztó megtévesztése

[ Szerkesztve ]

JOGI NYILATKOZAT: A bejegyzéseim és hozzászólásaim a személyes véleményemet tükrözik; ezek nem tekinthetők a munkáltatóm hivatalos állásfoglalásának...

A hide ssid azok ellen véd, akik akkor sem tudnák feltörni ha látható lenne a hálózat.

Lassan kiderül, hogy amit korábban abszurd humornak gondoltunk, az csak szimpla jövőbelátás volt.

Meg arra jó hogy nem spammeljék szét a különböző idegen device-ok requestekkel

Nokia 3310->3410->3100->6500 Slide(RiP Nokia)->Acer Liquid Metal ->Xiaomi Hongmi-> Xiaomi Redmi Note 3

WEP annyira faék egyszerű, hogy anno egy Centrino 1.6GHz-es laptoppal parkokban/padokon üldögélve csak úgy szórakozásból napi 3-4 hálózatot nyomtam fel, ha jól emlékszem egy CardBus/PCMCIA DWL‑G650+ kártyát használva. (Nem, vissza nem éltem a dologgal, szamba megosztásokban nem turkáltam) A laptop ~1órát ment aksiról, szóval sejtheted mennyire nehéz művelet volt. Ha nem volt forgalom lehetett generáltatni vele le/felkapcsolódást és abból kiszedni ami kell.
WPA az már más osztály. Ott szótár használata ajánlott vagy valami GPU támogatott visszafejtés, de még úgy is hosszú idő. Legalábbis eddig úgy volt.

[ Szerkesztve ]

Anyósomnak 1043nd v1-re pakoltam fel legfrissebb openwrt-t kb egy hónapja. Fényévekkel megbízhatóbb mint a gyári szenny amit ráokádnak a gyárban.
Nekem archer c7 1750 van, egyelőre gyári sw-vel, de erre is kb egy hónapja jött frissítés. Ha nem javítják ezt akkor erre is kúszik fel az openwrt.

Szándékosan úgy vásárolok routert hogy owrt kompatibilis legyen, rakás régi szutyok eszközt lehet újraéleszteni vele.

Nem lepődünk meg rajta, de azért ne az legyen már az alap, hogy "persze, hogy nem biztonságos".
Véleményem szerint valamilyen módon kötelezni kellene a gyártókat, hogy a termékek biztonsága feleljen meg valamilyen kritériumrendszernek. Nem tudom konkrétan hogyan lehetne ezt megoldani, de azért az nem elfogható állapot, hogy folyamatosan arról szólnak a hírek, hogy mi hogyan törhető, kiket zsaroltak meg, mivel éltek vissza a hackerek.
Ahelyett, hogy a termékeket próbálnák szabályozni 20+ éve megy, hogy mindent hibát a felhasználó nyakába varnak. A user miért nem frissített? Ha frissített, akkor miért windowst használ? Miért nem volt tűzfala? Ha volt tűzfala, akkor miért xyz terméket választotta. És még sorolhatnám....
Szóval nem meglepett vagyok, hanem felháborodott, hogy IT biztonság terén ég mindig itt tartunk.

Az egy dolog, hogy egy-egy gyártó bénázik, nem frissít, akárni.

Az viszont teljesen más, hogy egy másfél évtizede széles körben használt biztonsági szabványról derül ki, hogy eredendően komoly biztonsági problémái vannak, amiket eddig ráadásul senki sem vett észre és ezt szerintem nyugodtan lehet meglepőnek nevezni, mert erre nem nagyon számított senki komolyan.

DRM is theft

aki bármikor is azt hitte hogy az az vagy kegyetlenül naiv vagy csak erősen tájékozatlan. koncepcionális szinten nem tud secure lenni.

A tipikus munkafolyamat legjobb tesztszimulációja a tipikus munkafolyamat. A "napi anti-corporate hsz"-ok felelőse :)

ez most valami hülye vicc akart lenni?

A tipikus munkafolyamat legjobb tesztszimulációja a tipikus munkafolyamat. A "napi anti-corporate hsz"-ok felelőse :)

én ezek miatt már nem is ready-made routerekben gondolkozom saját terepen. ha másnak kell akkor viszont nálam is peremfeltétel hogy olyat nem amire macerás OpenWRT-t tenni ésvagy valami (leginkább a wifi vagy a hardveres NAT) nem megy vele normálisan

A tipikus munkafolyamat legjobb tesztszimulációja a tipikus munkafolyamat. A "napi anti-corporate hsz"-ok felelőse :)

Azért egy rakat Intel sebezhetőség is ez a kategória volt, amire ment a vérokádás. Kérdés mennyire voltak másfél évtizede ezek a módszerek szakemberek előtt is akár ismertek? mivel hibamentes rendszert nem lehet alkotni, így biztonságosat sem, csak za a kérdés, mikor fogják felfedezni a lyukat és az akkor mekkora lyuk lesz.

Kíváncsi leszek a mikrotik mikor javítja.

Amikor sikerül backportolni a régi kernelre , Remélhetőleg a hetesben benne lesz minden ilyesmi, de még sok a szívás.

Le az elipszilonos jével, éljen a "j" !!!

Az openwrt tippet köszi.
Viszont az openwrt is korlátos, pl a 4/32 MB RAMos routereknél. És nekem ilyen van, így nem tudom felrakjam-e.

Az ilyen hibak egy resze szandekos. Titkosszolgalatok beepulnek cegekhez, vagy zsaroljak oket, hogy kihasznalhato hibakat hagyjanak a szoftverbe hardverbe.

Még nem jött ki olyan verzió, ami tartalmazná a javítást tudtommal.

"What is Linux? I only joined because of the the penguin..." - meanwhile in the linux community. http://9gag.com/gag/arpZGOy

Minden napra jut valami frankó sebezhetőség

Life is a game... The game is my life!

Véleményem szerint valamilyen módon kötelezni kellene a gyártókat, hogy a termékek biztonsága feleljen meg valamilyen kritériumrendszernek.

Ez így is van. A szabványban rögzített dolgoknak meg is felelnek a gyártók... Jah, hogy magában a szabványban van a hiba??

Abban egyetértek veled, hogy a gyártóknak kutya kötelessége lenne:
- "belátható" idejű support-ot (min. 4-5 év) biztosítani termékre és ezt nem üzleti oldalról nézni csak
- ha nem is automata firmware frissítést biztosítani, de legalább valahogy jelezze a készülék, hogy van frissítés (ugye nem túl valószínű, hogy átlag user naponta mászkál a webes beállítófelületre, így ezt valahogy /LED?/ meg kellene oldani)

Az egész biztonsági problémát rátolni a felhasználóra, nem túl elegáns megoldás...

"Sokkal könnyebb gazdagon boldognak lenni, mint szegényen" (Moldován András)

Nem csinaljak szarul, csak a rengeteg akciobol evtizedek alatt kiderul 1-2, akar veletlenul is. Es abbol azert meglehet becsulni, hogy kb milyen dolgok folynak a hatterben. Peldaul az egyik neves router gyartohoz beepulve atirtak a titkositas veletlenszam generatorat, es ugy mar viszonylag konnyen torhetove valt a titkositas.

Nem tudom láttáok-e A harcosok klubb-ját? Na abban van egy gyönyörű rész ami a vállalati hozzáállást mutatja be. Mikor kolléga elmesélte a repülőn ülő sorstársnak, hogy hogyan működnek a nagy autógyártóknál a hibák (nem)visszahívása... IT sec ugyan ez. Költésges. A fejlesztéseknél a cél a Medium Level Product a többit max kitoljuk 1-1 frissítésben... ha kell.

[ Szerkesztve ]

"Mond szépen angolul: Gyors róka!"

A leguccsó 6-os bétában van már javítás Mikrotikekhez, szóval haladnak a fiúk

Le az elipszilonos jével, éljen a "j" !!!

A Mikrotik már ki is adta a javítást, a stabil verzióban is:
!) wireless - fixed all affecting 'FragAttacks' vulnerabilities (CVE-2020-24587, CVE-2020-24588, CVE-2020-26144, CVE-2020-26146, CVE-2020-26147);

azt gondoltam volna hogy a mikrotik kb aznap kiadja amikor nyilvánosságra hozzák . Gondolom ők is tudtak róla már korábban és dolgoztak rajta .

Tudom, olvastam már előtted, ifjú padavan...

[ Szerkesztve ]

Le az elipszilonos jével, éljen a "j" !!!