Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Около 10% выходных узлов Tor были вовлечены в атаку по перехвату SSH-подключений"	+/–
Сообщение от opennews (??), 23-Окт-26, 14:34
Опубликованы детали инцидента, в ходе которого злоумышленникам удалось получить контроль над 333 выходными узлами сети Tor (всего в Tor около 3000 выходных узлов) и организовать на них перехват нешифрованного трафика и перенаправление SSH-соединений. Атака началась  2 октября (в пятницу вечером), но была выявлена и начала блокироваться 4 октября. 5 октября все скомпрометированные серверы были отключены операторами или самими атакующими. Разбирательство показало, что атакующие получили доступ к серверам за два месяца до начала атаки на пользователей Tor и установили в скомпрометированных системах вредоносное ПО Ebury 1.8.3... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=66531
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–13 +/–
Сообщение от Аноним (1), 23-Окт-26, 14:34
Почему по дефолту SSH не отключает вход по паролю - не понятно. Хотя уже давно известны случае даже простых брутфорсных подборов.
Ответить | Правка | Наверх | Cообщить модератору

	4. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+4 +/–
	Сообщение от Аноним (4), 23-Окт-26, 14:40
	Так ведь, чтобы сгенерировать и добавить на сервер свой ключ, сначала нужно войти по паролю, по-другому никак. Если по дефолту вход по паролю будет откючен, а свой ключ для входа ты еще не добавил, как ты подключишься к серверу?
	Ответить | Правка | Наверх | Cообщить модератору

	7. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–2 +/–
	Сообщение от Аноним (1), 23-Окт-26, 14:52
	В данном случае мы пытаемся убрать любой факт присутствия пароля. Поэтому только какой-нибудь альтернативный способ добавления ключа.
	Ответить | Правка | Наверх | Cообщить модератору

	12. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–1 +/–
	Сообщение от Аноним (12), 23-Окт-26, 15:05
	Ключ добавляется при наливке сервера, с добрым утром.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	13. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+5 +/–
	Сообщение от Аноним (13), 23-Окт-26, 15:05
	Как ты подключишься к серверу по паролю? Тебе нужно чтобы кто-то создал пользователя и сообщил тебе пароль. Если этот кто-то может создать пользователя, то почему бы ему не положить туда и ключ заодно?
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	15. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (4), 23-Окт-26, 15:17
	Ну, покупаю vps, в инструкции написан логин и пароль
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–1 +/–
	Сообщение от Аноним (26), 23-Окт-26, 15:40
	Больше не покупай у них сервера. В нормальных местах можно свой публичный ключ указать.
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (47), 23-Окт-26, 17:11
	Ещё неизвестно, что безопаснее: получить от них пароль, тут же залогиниться по SSH и самому всё сделать, или закачивать ключ через браузер и ихний мутный фронтенд. Сразу после установки ОС всё равно какое-то время она очень слабо защищена, пока настроишь все iptables и прочее.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+3 +/–
	Сообщение от Жук (?), 23-Окт-26, 17:25
	Так ты же публичный ключ туда через них закачаешь, а не приватный. Если публичный даже и утечет куда-либо, то вообще пофиг. А хостер и так имеет полный доступ к твоей машине в системе виртуализации.
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (4), 23-Окт-26, 19:45
	А в нормальных местах можно купить за 2 евро в месяц с полным ядром от AMD EPYC 9454, без ограничений по нагрузке, 2 ГБ ОЗУ, 30 ГБ NVME и 20 ТБ трафика?
	Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

	34. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+1 +/–
	Сообщение от Энтомолог_русолог (ok), 23-Окт-26, 16:33
	Все хостинг-провайдеры дают возможность сразу положить ключ, без всяких паролей Прекращай в глаза любиться
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	66. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от slashfast (ok), 23-Окт-26, 20:26
	Я вот тоже удивлен, за что 10 минусов челу накинули, если его мысль верна
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (52), 23-Окт-26, 17:54
	> свой ключ для входа ты еще не добавил А зачем свой ключ куда-то добавлять? Ставишь сразу с вшитым сертификатом со своего образа и забудь уже про эту мышиную возню с ключами, паролями. А потом вася уволился, а ключи не удалили, потому что вон туда он лазил срочно чинить, ему без тикета ключ добавили, а к концу инцидента благополучно забыли, зачем вообще так подставляться? Это ж не локалхост под кроватью.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	67. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от penetrator (?), 23-Окт-26, 20:29
	очень даже как, но стандартного единого для всех дистров способа нет что касается новости единственное что инетресено это "Для сбора паролей к SSH было организовано перенаправление SSH-запросов на один из 12 серверов злоумышленников." все остальное обычный митм который выдавал неверный фингерпринт на который юзер забил
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	5. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (5), 23-Окт-26, 14:45
	В DragonFlyBSD так и сделано. Это во всяких RHEL8 (в современных хз, не проверял) даже PermitRootLogin включен по-дефолту.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	17. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+1 +/–
	Сообщение от Ivan_83 (ok), 23-Окт-26, 15:18
	Запрещать вход root - большая глупость, которая увеличивает секурность практически никак.
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+2 +/–
	Сообщение от Аноним (60), 23-Окт-26, 19:19
	Как и все эти вопли, когда пользовательское приложение орет, что не будет работать под рутом. Хотя это вообще не его собачье дело.
	Ответить | Правка | Наверх | Cообщить модератору

	64. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (52), 23-Окт-26, 19:48
	Тяжёлое наследие юникс-систем семидесятых помноженное на неудержимое желание аутишников косплеить эту романтическую эпоху. Фетишизм чистой воды.
	Ответить | Правка | Наверх | Cообщить модератору

	71. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (71), 23-Окт-26, 21:18
	А что ты здесь до сих пор? Чего не пользуешся наследием 1990-х? Там можно под Administrator работать всем, софт запускать.
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (8), 23-Окт-26, 14:53
	Это же какие простые брутфорсные подборы, если пароли словарные?
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	10. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (1), 23-Окт-26, 15:01
	Социальная инженерия. Пароли - туфта
	Ответить | Правка | Наверх | Cообщить модератору

	61. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (61), 23-Окт-26, 19:35
	Необходимость бекапов и само наличие ключа в виде данных на сколько-нибудь рабочей машине делает ключ не более секурным, чем сложный пароль
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от фф (?), 23-Окт-26, 20:50
	а вы бекапы, особенно чувствительных данных типа приватных ключей, не шифруете чтоли?
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (52), 23-Окт-26, 16:38
	Достаточно сверять отпечатки ключей сервера, но соевые без TOFU не могут.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	55. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–1 +/–
	Сообщение от Аноним (55), 23-Окт-26, 18:03
	https://opennet.ru/63659-proton
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

2. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
Сообщение от опеншлёпивпродакшн (?), 23-Окт-26, 14:35
Наконец-то эти предупреждения оправдали себя. Кто-то не удержался, а надо было подождать ещё 10 лет, когда у всех будет StrictHostKeyChecking=no.
Ответить | Правка | Наверх | Cообщить модератору

	3. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–1 +/–
	Сообщение от Аноним (1), 23-Окт-26, 14:40
	Дать им манок-сервер со всякими мусорными почтовыми сервисами. Пусть тратят силы на это) Как вариант.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–1 +/–
	Сообщение от Аноним (55), 23-Окт-26, 17:58
	>Наконец-то https://opennet.ru/46944-law
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

6. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–2 +/–
Сообщение от Энтомолог_русолог (ok), 23-Окт-26, 14:48
> вредоносное ПО Ebury 1.8.3 Увидев ссылку подумал там на гитхаб она, типа «можете взять исходники вредоноса или бинарник от автора». А она на какую-то помойку eset
Ответить | Правка | Наверх | Cообщить модератору

	9. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (8), 23-Окт-26, 14:58
	Этот Eset вендузятники знают.
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Энтомолог_русолог (ok), 23-Окт-26, 15:18
	> Этот Eset вендузятники знают. Да вроде уже и виндузятники никаких левых (анти)вирусов не юзают, говорят в 10/11 достаточно MSного
	Ответить | Правка | Наверх | Cообщить модератору

	72. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (72), 23-Окт-26, 21:30
	На самом деле антивирус вообще не нужен. Окна последних версий настолько защищены что никокй вирус ничего не сделает.
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от КО (?), 23-Окт-26, 15:28
	Они намного больше ПО знают, это естественно )
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	31. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от maximnik0 (?), 23-Окт-26, 16:09
	>Этот Eset вендузятники знают. Так порт антивирусника есть и под linux.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	35. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–1 +/–
	Сообщение от Энтомолог_русолог (ok), 23-Окт-26, 16:35
	А зачем? Не, я могу понять когда у тебя файлопомойка на самбе или когда у тебя свои почтовые сервера, а не чужие. Там еще может пригодиться. А зачем бы на десктопе в линухе антивирь? Юзаю линуху на десктопе с 2000 года(до этого 1997-2000 юзал FreeBSD) и пока за эти 26 лет не было необходимости в антивире на моем компе
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от maximnik0 (?), 23-Окт-26, 17:25
	2-ная загрузка.Проверить что скачал _сейчас ситуация получше,а раньше даже на проверенных сайтах запросто можно было троян словить.Переносные диски-задолбался автораны всякие вырезать.У клиентов - винда не стартует: вирус в 80% случаев.А xp чем хороша была - можно было даже не стартующию операционку поченить через средство проверки системных файлов.
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–1 +/–
	Сообщение от Аноним (24), 23-Окт-26, 15:33
	ESET -- один из немногих, которых ещё не стыдно поставить. Не так напозорился, скажем так.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	53. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–2 +/–
	Сообщение от Аноним (55), 23-Окт-26, 17:57
	Базовый Microsoft Defender уже давно ничем не хуже всех остальных, а в плане нагрузки на систему вообще лучший. https://opennet.ru/66476-microsoft
	Ответить | Правка | Наверх | Cообщить модератору

14. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–2 +/–
Сообщение от Аноним (14), 23-Окт-26, 15:15
Минуточку! Но ведь таким способом, если я правильно понимаю, как работает ssh, перехватить можно было не открытое содержимое пароля, а его хэш? Т.е. сервер передаёт соль клиенту, клиент считает хэш пароля с этой солью, и передаёт посчитанный хэш обратно? То есть после этого надо было ещё и пароль по хэшу подобрать. Впрочем, возможно, при этом ещё и согласовывался самый нестойкий из поддерживаемых клиентом алгоритмов.
Ответить | Правка | Наверх | Cообщить модератору

	19. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от eugener (ok), 23-Окт-26, 15:25
	Если работало как вы описываете, то пароль они узнать не могли, но это и не нужно, они работали как человек в середине и просто передавали соль/хеш между сторонами, ну а дальше вклинивались в сессию и выполняли свои действия.
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	–1 +/–
	Сообщение от Ivan_83 (ok), 23-Окт-26, 15:43
	Если сервер сливает какой то nonce/соль то на этом ваш перехват пароля обламывается. Если вы вместо nonce сервера передадите свою - то в ответ получите какойнить hmac(nonce, password) и обратно этот фарш вы не провернёте чтобы достать пароль и повторить hmac с nonce полученным от сервера.
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от eugener (ok), 23-Окт-26, 15:50
	я и написал, что пароль так не перехватить, но это и не нужно, достаточно стать man-in-the-middle (передавать данные между сторонами как есть) в аутентифицированной сессии.
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Ivan_83 (ok), 23-Окт-26, 16:38
	Ээээ а в чём прикол то? Ну будешь ты зашифрованные данные не ядром ОС роутить а в приложении из сокета в сокет прекладывать - это же ничего тебе не даст.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+1 +/–
	Сообщение от eugener (ok), 23-Окт-26, 16:43
	Расшифрованные! Там же ясно написано что сессионные ключи не совпадали и под раздачу попали те, кто проигнорировал предупреждение о подключении к неизвестному серверу.
	Ответить | Правка | Наверх | Cообщить модератору

	44. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Ivan_83 (ok), 23-Окт-26, 17:01
	Пардон, я потерял нить и прошляпил :)
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+2 +/–
	Сообщение от funny.falcon (?), 23-Окт-26, 15:33
	Кажется, ты не прав: ssh получает пароль в исходном виде, чтобы аутентифицировать пользователя в системе через PAM. Если он получит хешированный с рандомной солью, то как он его сравнит с содержимым /etc/password ? А PAM может утентифицировать пользователей и не из локального списка. https://www.rfc-editor.org/info/rfc4252/#section-8
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

	27. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Ivan_83 (ok), 23-Окт-26, 15:40
	Там разные способы передачи есть, в том числе через агента. Но после получения хостового ключа и наборов шифров соединение переходит на зашифрованный режим и считается что передавать там пароль в открытом виде не проблема. Кроме того логин промт передаётся тоже текстом и настраивается.
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

	33. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от funny.falcon (?), 23-Окт-26, 16:14
	И тут случился классический MitM
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+1 +/–
	Сообщение от Zzz (??), 23-Окт-26, 18:28
	Здесь речь про интерактивный вход. Сервер принимает символы пароля в открытом виде, сохраняет их и организует сессию к легитимному хосту. У подставного сервера отпечаток ключа не соответствует отпечатку, сохраненному у пользователя. Это как раз и вызывает предупреждение.
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

	70. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от Аноним (70), 23-Окт-26, 21:08
	> У подставного сервера отпечаток ключа не соответствует отпечатку, сохраненному у пользователя. Это как раз и вызывает предупреждение. И не дает клиенту присоединиться к х3р пойми какому серверу, а вот если отпечаток не сохранен, тогда беда при первом коннекте, но все же выявить MitM в таком случае можно, если только подсмотреть отпечаток после соединения с сервером на самом сервере и надеяться на то, что человек по середине тупо не подделывает этот отпечаток (последовательность байт) при передаче. Человек по середине должен фактически как только получит пароль от сервера, сам зайти в него и подсунуть свои же ключи, а потом пассивно все расшифровывать, чтобы не заморачиваться с проблемами активного MitM-а.
	Ответить | Правка | Наверх | Cообщить модератору

59. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
Сообщение от nagual (ok), 23-Окт-26, 19:09
Вор у вора отмычку украл. Хорошие люди по паролям через тор-сеть на свои сервера не ходят.
Ответить | Правка | Наверх | Cообщить модератору

	69. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
	Сообщение от trampSpirit (?), 23-Окт-26, 20:57
	Не тебе решать как и кому ходить.  Интернет-Это последняя территория свободы. И все любители охолопить люднй должны идти лесом.
	Ответить | Правка | Наверх | Cообщить модератору

62. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
Сообщение от Аноним (61), 23-Окт-26, 19:36
Ждём скандал с выходными узлами КВНов, заботливо созданных "добрыми дядями" для страждущих котиков с тытрубчика, верящих в добрых копов.
Ответить | Правка | Наверх | Cообщить модератору

	73. Скрыто модератором	+/–
	Сообщение от Аноним (72), 23-Окт-26, 21:32
	Тытруба не нужна. Это рак интернетов. Я бы удалил Тытрубу со всем содержимым.
	Ответить | Правка | Наверх | Cообщить модератору

65. "Около 10% выходных узлов Tor были вовлечены в атаку по перех..."	+/–
Сообщение от Аноним (65), 23-Окт-26, 20:03
> Как именно атакующие получили доступ к захваченным Tor-узлам пока не ясно Вроде понятно, точно так же, как с пейджерами, цисками и HSM.
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема