Anton Nossik ([info]dolboeb) wrote,
2007-06-19 13:21:00
  • Previous
  • Memorize
  • Share
  • Next

Правда и мифы о "взломе ЖЖ"

В связи с недавними взломами отдельных журналов и сообществ ([info]vorobieva, [info]sholademi, [info]yakovlev_igor, [info]ru_yabloko, [info]desnicyn, [info]ru_politix и проч.) напрашиваются два закономерных вопроса: кто виноват, и что делать.

Механизм всех перечисленных взломов совпадает с тем, который был использован в своё время против [info]v_alksnis.

  • Подбирается пароль к почтовому ящику жертвы на веб-почтовом сервисе типа @Mail.Ru, Gmail.com или Pochta.Ru (во всех известных мне случаях пароль был достаточно короткий и простой для механического перебора, по свидетельству потерпевших)
  • Получив доступ к этому ящику, злоумышленник меняет в нём пароль и заказывает на почту напоминание пароля к ЖЖ
  • Получив пароль, злоумышленник заходит в ЖЖ под именем жертвы. Стирает все записи, пишет свои собственные, оставляет сообщения, подводящие аккаунт под заморозку — либо по жалобе взломщика, либо по жалобе самого владельца
  • Если администрация почтового сервера оказывает содействие потерпевшему, то он имеет возможность вернуть себе почтовый ящик с новым паролем, затем добиться восстановления своего ЖЖ, и вручную там восстанавливать разрушенное вандалом (как сделала [info]vorobieva). Если помощи от администрации почтового сервиса не добиться (как не получил её [info]yakovlev_igor от службы поддержки Гугла), то механизм общения со службой поддержки ЖЖ непонятен, и [info]ru_yabloko, как видим, недоступно.

    Конечно, очень хотелось бы, чтобы где-нибудь у админов ЖЖ существовала секретная кнопка, которая позволяла бы по первому требованию "откатывать" любой ЖЖ к положению за секунду до прихода хакера. Однако же проблема тут не только техническая, к сожалению. Есть еще интересный вопрос на каком основании саппорт ЖЖ должен на эту кнопку жать. По письму? А если это письмо от хакера, взломавшего ящик? По звонку? По личной авторизации? Проблема не то чтоб нерешаемая, но не стоит думать, что она давно и просто решена в ЖЖ или каких-либо иных многопользовательских системах.

    Больше всего для минимизации подобных рисков может сделать сам пользователь.

  • подбор паролей методом тыка (brute force) наиболее эффективен, если пользователь поленился сделать пароль к своей почте сложным. Не ленитесь
  • Не все пароли воруются методом тыка. Десятки тысяч компьютеров заражены троянскими программами, позволяющими красть пароли (а не только использовать машину для DDoS-атак без ведома её владельца). В этой связи необходимо пользоваться актуальной копией антивируса, не упускать возможность установки любых security updates операционной системы и броузерного софта, перестать открывать аттачменты в почте и ссылки, присланные знакомыми по ICQ
  • восстановление Вашего доступа к почтовому ящику гораздо быстрее, проще и эффективнее, если тот ящик, который Вы прописали в своём ЖЖ основным, находится в Вашем офисе или вузе, в ведении знакомого сисадмина, а не в системе, где есть еще десятки миллионов халявных пользователей, кроме Вас, и саппорт завален их письмами
  • ЖЖ с комментариями можно бэкапить различными программами, из которых мне больше всего почему-то нравится ljsm. Рекомендации по другим программам приветствуются
  • ЖЖ без комментариев можно транслировать взад-вперед — на другие блогхостинговые платформы и, при необходимости, обратно. Мой ЖЖ, например, транслируется сюда, сюда и сюда. Записи, которые туда экспортированы, доступны обратной трансляции в ЖЖ. Подзамочные посты таким способом спасти не удастся, к сожалению.
  • Если ничего из вышеперечисленного не сделано, остаётся мучительный и трудоёмкий путь восстановления публичных записей через кэш поисковых машин.

    Существуют ли механизмы избирательного backup/restore в СиксАпарте, и как (на каком основании) они могут быть задействованы, является темой отдельного интересного обсуждения. Которое мы, конечно же, проведём, однако схемы — и по технологии, и по авторизации запрашивающего — не слишком просты, и не могут быть автоматизированы. Поэтому меры личной предосторожности имеют приоритет.

    Сервер ЖЖ защищён от взлома ровно настолько, насколько защищён: за 8 лет его существования не зафиксировано случаев, когда бы злоумышленники получили доступ к дневникам, используя уязвимость серверного софта (как это случалось со многими базами платёжной информации в США, откуда похищались номера кредиток). Это, мне кажется, неплохой показатель. Но серверный софт ЖЖ никак не защищает тех паролей к Mail.Ru, в создании и хранении которых пользователь проявил халатность. Софт ЖЖ не может защитить нас от троянских вирусов, от снифферов, от уязвимостей в коде наших броузеров и операционных систем.

    Инструкция по борьбе с хакером на опережение от [info]avva не утратила актуальности со времени своего создания в январе 2004. Рекомендую начинать её читать до взлома Вашего ЖЖ, а не после.

    NB: Обсуждение программ для архивирования ЖЖ
    • Tags: взлом, жж

    • Post a new comment

      Error

      Anonymous comments are disabled in this journal

      switch

      Your reply will be screened

      Your IP address will be recorded 

       
      Help
    • 177 comments
    Previous
    ← Ctrl← Alt
    • 1
    • 2
    Next
    Ctrl →Alt →

    [info]usachev

    June 19 2007, 09:23:38 UTC 4 years ago

    !!!

    аццкей mail.ru ;)
    переходите все на гугол

    [info]ex_ex_mcm69

    June 19 2007, 09:27:21 UTC 4 years ago

    !!!

    не видишь что ли, злой саппорт гугла когототам послал лесом!

    [info]dolboeb

    4 years ago

    • Loading...

    [info]usachev

    4 years ago

    • Loading...

    [info]kuteev

    4 years ago

    • Loading...

    [info]usachev

    4 years ago

    • Loading...

    [info]kuteev

    4 years ago

    • Loading...

    [info]usachev

    4 years ago

    • Loading...

    [info]lazyant

    4 years ago

    • Loading...

    [info]ex_ex_mcm69

    4 years ago

    • Loading...

    [info]kuteev

    4 years ago

    • Loading...

    [info]ex_ex_mcm69

    4 years ago

    • Loading...

    [info]yefeyfiya

    4 years ago

    • Loading...

    [info]doyron

    4 years ago

    • Loading...

    [info]_unn

    4 years ago

    • Loading...
    ...and 3 more comments... from [info]sir_tir, [info]seo [webarbeit.ru] Expand

    [info]alexkuklin

    June 19 2007, 09:34:26 UTC 4 years ago

    Помнится, кто-то высказывался на счет того, что почтовые адреса на непубличных (личных, офисных и т.п.) серверах не нужны...
    :)

    [info]dolboeb

    June 19 2007, 10:04:00 UTC 4 years ago

    Я высказывался против запрета иметь почтовые ящики на внеофисных серверах.

    С точки зрения защиты информации от доступа по краденому паролю не существует никакой разницы между дырявым Мылом.Ру и мегасупердуперзащищённым офисным серваком, если он пускает по паролю снаружи офиса. А если не пускает, то такой сервер непригоден для организации, сотрудники которой живут не в офисе.

    [info]alexkuklin

    4 years ago

    • Loading...

    [info]a_liq

    4 years ago

    • Loading...

    [info]dolboeb

    4 years ago

    • Loading...

    [info]heavywave

    4 years ago

    • Loading...

    [info]cyxymu

    4 years ago

    • Loading...

    [info]maxalex

    4 years ago

    • Loading...

    [info]cyxymu

    4 years ago

    • Loading...

    [info]aptsvet

    June 19 2007, 09:38:57 UTC 4 years ago

    Вот это непонятно:

    "не пропускать никаких security updates операционной системы и броузерного софта"

    Эти апдейты делаются как раз для того, чтобы затыкать дыры. Жить с дырами, что ли, и ждать новых атак?

    [info]fm13

    June 19 2007, 09:41:23 UTC 4 years ago

    "не пропускать" - в смысле "вовремя устанавливать".

    [info]stanley_by

    June 19 2007, 09:47:28 UTC 4 years ago

    >В этой связи необходимо [...] не пропускать никаких security updates операционной системы и броузерного софта

    Несколько странная рекомендация, знаете ли.

    [info]stanley_by

    June 19 2007, 09:48:29 UTC 4 years ago

    А, пардон. Уже вижу комментарий выше.

    [info]bert_msk

    4 years ago

    • Loading...

    [info]cheis

    June 19 2007, 09:51:26 UTC 4 years ago

    Есть добрая прога ljarchive позволяет делать бэкап ЖЖ, при чём при каждом открытии - делает проверку на обновления ЖЖ. Вообщем рекомендую.

    [info]lazyant

    June 19 2007, 09:58:10 UTC 4 years ago

    У офисных мейлов есть один недостаток, как минимум. Они привязаны к офису. А работа не вечна...

    [info]dolboeb

    June 19 2007, 10:09:59 UTC 4 years ago

    Работа не вечна, но в общем случае об утрате доступа к офисному п/я Вас информируют заранее. В любом случае, наличие офисного никак не мешает наличию внеофисного. Никто не сказал, что резервный адрес для связи в ЖЖ должен быть только один. См. примеры в инструкции Воробья.

    [info]lazyant

    4 years ago

    • Loading...

    [info]ninethin

    4 years ago

    • Loading...

    [info]gardenn

    June 19 2007, 10:05:18 UTC 4 years ago

    Длительная история ЖЖ без взломов - это, конечно, респект, но вот сравнивать это с финансовыми системами просто некорректно, - так и приходит на ум байка про "Неуловимого Джо", который таков потому, что его никто не ловит ;)

    [info]dolboeb

    June 19 2007, 10:07:47 UTC 4 years ago

    Учитывая сотни известных нам случаев взлома индивидуальных ЖЖ, нельзя сказать, что никому не интересно было бы взломать этот сервис.

    [info]heavywave

    4 years ago

    • Loading...

    [info]bigshaft

    June 19 2007, 10:14:13 UTC 4 years ago

    Так, у меня 12 значный пароль. Так что авось...

    [info]mibori

    June 19 2007, 13:53:14 UTC 4 years ago

    Вы только что спалили свой пароль :)

    Зная точную длину, ГОРАЗДО проще подобрать его :)

    [info]zaxar_borisych

    4 years ago

    • Loading...

    [info]do_

    4 years ago

    • Loading...

    [info]mibori

    4 years ago

    • Loading...

    [info]ivlad

    4 years ago

    • Loading...

    [info]do_

    4 years ago

    • Loading...

    [info]ivlad

    4 years ago

    • Loading...

    [info]do_

    4 years ago

    • Loading...

    [info]ivlad

    4 years ago

    • Loading...

    [info]do_

    4 years ago

    • Loading...

    [info]ivlad

    4 years ago

    • Loading...

    [info]ivlad

    4 years ago

    • Loading...
    ...and 13 more comments... from [info]heavywave, [info]bigshaft, [info]mibori… Expand

    [info]ivlad

    4 years ago

    • Loading...

    [info]avaks

    June 19 2007, 10:18:30 UTC 4 years ago

    Кстати, у меня как раз вчера взломали аську. Слава Богу, её удалось быстро восстановить. Спасло меня то, что у ICQ есть возможность задать два ответа на два "секретных вопроса" и выслать пароль на любой введённый адрес - не обязательно на primary mail. Брутфорс тут не поможет - ответы длинные, да и к тому же их два. А почту у меня взломали личную, ни разу не бесплатную, с мейл.ру никак не связанную - скорее всего через какого-нибудь трояна (по долгу службы в последнее время приходится часто посещать сайты не совсем приличного содержания), а НОД32 как назло как раз недавно закончился.

    Антон, а почему бы и в ЖЖ не сделать "секретные вопросы"? Технически это элементарно. На мой взгляд, надо перенимать опыт старших товарищей по несчастью.

    [info]dolboeb

    June 19 2007, 10:31:39 UTC 4 years ago

    Противопоказаний нет

    Просто нужно понимать, что работу по изменению структуры хранения паролей в базе ЖЖ нужно будет перестраивать с нуля и в будущем. Очень многие люди, которым просто хочется поговорить, возмущаются, почему модификации, вызванные к жизни последними событиями, не сделаны много лет назад. Интересно, что когда они будут сделаны, найдутся тысячи пользователей, которые поленятся ими воспользоваться, и снова им будет виноват ЖЖ, Суп или мой неприличный nickname.

    [info]avaks

    4 years ago

    • Loading...

    [info]kazarinov

    June 19 2007, 10:44:01 UTC 4 years ago

    А что скажете об этом плагине

    Программа устанавливает панель инструментов под ЖЖ в статусную строку Firefox.

    С одной стороны удобно, но насколько это, на Ваш взгляд, безопасно? - программа имеет доступ к паролю ЖЖ.

    [info]dolboeb

    June 19 2007, 10:52:06 UTC 4 years ago

    В полном описании написано, что программа как раз использует не Ваш пароль, а Вашу залогиненность в ЖЖ:
    http://homo-nudus.livejournal.com/75427.html
    Здравый смысл подсказывает, что так и надо поступать.

    Для меня те из доступных в программе функций, которые там полезны, уже и так заведены в Bookmark Toolbar Folder, в том числе и в качестве LiveBookmarks, сосущих RSS. Полезно понимать, что любой плагин, поставленный на ФФ, особенно внизу, сильно тормозит работу броузера.

    [info]vch

    4 years ago

    • Loading...

    [info]kspshnik

    4 years ago

    • Loading...

    [info]yeziz

    June 19 2007, 10:55:46 UTC 4 years ago

    А нельзя (для желающих) дать возможность указать свои "паспортные данне" и ими пользоваться для идентификации пользователя при взломе? Многие, мне кажется, согласятся, бо один хрен почти все всех знают лично.

    [info]_unn

    June 19 2007, 14:34:47 UTC 4 years ago

    паспорт тоже время от времени меняют или теряют, также есть базы или возможность выкрасть документ :)

    [info]romx

    June 19 2007, 11:40:15 UTC 4 years ago

    Хороший пример:
    http://www.viruslist.com/ru/viruses/encyclopedia?virusid=135929

    "Технические детали

    Троянская программа, которая похищает конфиденциальную информацию пользователя. Является приложением Windows (PE EXE-файл). Размер компонентов варьируется в пределах от 39 до 48 КБ.
    ...

    Деструктивная активность

    Троянец похищает пароли к учетным записям из файлов данных следующих приложений, предназначенных для мгновенного обмена сообщениями:

    QIP2005
    Trillian
    MSN Messenger
    Yahoo Messenger
    AOL
    Miranda

    Также похищаются пароли к FTP-серверам из файлов конфигурации FTP-клиентов:

    WS_FTP
    Total Commander
    CuteFTP
    FAR

    Считываются данные о паролях к учетным записям электронной почты из файлов настроек следующих почтовых клиентов:

    TheBat
    Outlook Express
    Outlook

    Также троянец похищает словарь IE Auto Complete Fields.

    ...

    [info]portisheader

    June 19 2007, 14:37:43 UTC 4 years ago

    +100

    [info]ex_alexloto

    4 years ago

    • Loading...

    [info]ta_samaya

    June 19 2007, 11:55:53 UTC 4 years ago

    Это акция лайвинтернета. :)))))))))))))))))))))))

    А если серьезно, то следует ли и простым смертным юзерам "готовить гробы", или обойдется?

    [info]top30b0t

    June 19 2007, 12:05:41 UTC 4 years ago

    Вы попали в top30 на яндексе самых обсуждаемых тем в блогосфере. Теперь копия вашего поста доступна в ленте по ссылке - link
    Почитать текст со всеми комментариями можно тут
    Это Ваш 55-й ТОПовый пост за последний год. Посмотреть статистику автора можно тут
    Этот "бот не имеет отношения к Яндексу" © НадежныйИсточник

    [info]aspirantus

    June 19 2007, 12:17:36 UTC 4 years ago

    Лучший способ сохранения записей: их импорт на ЛЖР http://lj.rossia.org.

    Мне кажется, что функция восстановления удаленных записей должна быть и в ЖЖ.

    [info]torquemada1

    June 19 2007, 12:19:29 UTC 4 years ago

    Носик, зачем ты врешь людям

    Ящики у Игоря Яковлева я ему возвращал без твоей админисрации, путем того же лома, тока в его сторону. Вернули их ему еще два дня назад, а почему яблоко стоит закрытым - потому что арбузы в ЖЖ не теляца. Хватит людям то лапшу на уши вешать, запрос в АТ мы вместе с ним писали, не гони уже.

    [info]dolboeb

    June 19 2007, 15:07:50 UTC 4 years ago

    Re: Носик, зачем ты врешь людям

    Да откуда я знаю про запросы в АТ, они мне не пересылаются.
    АТ в Калифорнии, я в России.
    Два дня назад, кстати сказать, в Калифорнии был викенд.
    Так что самое раннее, когда они могли почесаться - вчера в 8 вечера мск.

    [info]torquemada1

    4 years ago

    • Loading...

    [info]sir_tir

    4 years ago

    • Loading...

    [info]steel_garage

    June 19 2007, 13:05:54 UTC 4 years ago

    Провокация

    Под шумок говнопровокатор Тимофей Шевяков (tarlith) якобы лишиля аськи и ЖЖ - это провокация. Скоро он вылезет из толчка и отряхнет говно с перышек. Как не в чем не бывало и будет крут. И все его жополизы будут рукоплескать и умиляццо, целуя пушистую пингвинью жоппку.
    Тимоша самоуверенный долбоеб, вбил себе в тупую бошку, что совершенно другой человек и назвал меня именно и откуда так. Так что его аська работает, и это его личная аська. А это все сговор кремблядей. Очень от этого жаль. Я так порадовался было. Что говномурло это заткнули.

    [info]komarov

    June 19 2007, 13:07:35 UTC 4 years ago

    мне кажется, достаточно легко было бы сделать фичу в ЖЖ, которую можно было бы включать у себя в профиле:
    "запрет на удаление более одной записи в день", и чтобы эту фичу можно было включить мгновенно, а выключить с задержкой в неделю (то есть сегодня выключил, через неделю сможешь удалять сколько хочешь).

    ну и еще такую фичу сделать: "не высылать мне пароль ни под каким предлогом" :-) включил и спокоен, даже если ящик захватят пришельцы, они смогут только почитать комменты :-)

    ну или при регистрации предлагать для высылки паролей отдельный ящик указывать...

    [info]akigo

    June 19 2007, 15:36:33 UTC 4 years ago

    первое предложение очень интересно.

    [info]bhaj

    4 years ago

    • Loading...

    [info]mr_pif

    June 19 2007, 13:18:37 UTC 4 years ago

    Рекомендации про пароль для почтового ящика, безусловно, правильные. Но еще лучше было бы ятот ящик вообще не светить, чтобы было непонятно, что взламывать. А у многих этот первичный ящик гордо красуется в юзеринфо. Ну-ну.

    [info]zalt

    June 20 2007, 08:35:31 UTC 4 years ago

    стер первичный ящик во всех записях и в инфо, спасибо

    [info]a5htray

    June 19 2007, 13:19:47 UTC 4 years ago

    помоему сегоднящние почтовые сервера брутфорсом не вскрыть,
    через оперделенное колличество неправельно введенных паролей система блокируется...

    [info]mibori

    June 19 2007, 13:57:37 UTC 4 years ago

    использование параллельных сессий с разных айпи никто не отменял.

    [info]do_

    4 years ago

    • Loading...
    ...and 4 more comments... from [info]year1984, [info]loginblin, [info]ospf_ripe… Expand

    [info]alexbogd

    June 19 2007, 14:25:58 UTC 4 years ago

    "Сервер ЖЖ защищён от взлома ровно настолько, насколько защищён: за 8 лет его существования не зафиксировано случаев, когда бы злоумышленники получили доступ к дневникам, используя уязвимость серверного софта (как это случалось со многими базами платёжной информации в США, откуда похищались номера кредиток). Это, мне кажется, неплохой показатель"

    Думаю, что Вы ошибаетесь. Дело не в том, что Джо такой неуловимый, а в том, что он никому не нужен. Во всяком случае, менее нужен, чем номера кредиток.

    [info]dolboeb

    June 19 2007, 15:05:30 UTC 4 years ago

    Выше теми же словами уже написали об этом.
    http://dolboeb.livejournal.com/965528.html?thread=31858328#t31858328

    [info]spgremlin

    4 years ago

    • Loading...

    [info]do_

    June 19 2007, 14:32:45 UTC 4 years ago

    ...а откуда хакер берёт мэйл жертвы? Он же скрыт у большинства пользователей...

    [info]dolboeb

    June 19 2007, 15:04:18 UTC 4 years ago

    Вот он и берёт у того меньшинства, у которого он не скрыт.
    У Алксниса, например, хитростью выманили.

    [info]commist

    4 years ago

    • Loading...

    [info]dolboeb

    4 years ago

    • Loading...

    [info]commist

    4 years ago

    • Loading...

    [info]innaplanetyanka

    June 19 2007, 14:50:15 UTC 4 years ago

    Спасибо за пост - ценная информация. Я как раз об этом думала недавно.

    [info]vallkor

    June 19 2007, 15:11:09 UTC 4 years ago

    Антон, может кому-то будет полезно, есть смысл добавить в сообщение:
    http://vallkor.livejournal.com/126788.html

    mail.ru очень легко вскрыть!

    [info]dolboeb

    June 20 2007, 02:03:53 UTC 4 years ago

    Это не мэйл.ру, а один из способов идентификации.
    Мэйл его не придумал, и мэйл не обязывает Вас делать тупо.
    В Мэйле, как и в Гугле, есть возможность ввести свой собственный контрольный вопрос.
    Классическая история - как один мужик разъярился на саппорт мэйла, получив оттуда вопрос "Сколько раз не пидарас?"
    Это был его собственный контрольный вопрос, который он ввёл и забыл.

    Ответ, кстати, мог бы быть цифрой один на любом языке, в любой кодировке, и хрен бы хакер-полиглот подобрал, хотя выражение, вроде бы, широко известно.

    [info]ex_alexloto

    June 19 2007, 16:58:04 UTC 4 years ago

    Внимательно изучаю опыт. Пора переходить на Linux

    [info]lordofwinds

    June 19 2007, 17:16:40 UTC 4 years ago

    +1

    уже давно на нем )

    [info]ospf_ripe

    4 years ago

    • Loading...

    [info]ex_alexloto

    4 years ago

    • Loading...

    [info]sir_tir

    4 years ago

    • Loading...
    Previous
    ← Ctrl← Alt
    • 1
    • 2
    Next
    Ctrl →Alt →
    Create an Account
    Forgot your login or password?
    Facebook Twitter More login options
    English • Español • Deutsch • Русский…