Sierpień 2005 - lms - lists.lms.org.pl

Re: 1.6.3 - Security release
by Grzegorz Stanislawski 21 Sie '05

21 Sie '05

A.L.E.C napisał(a): > Teraz już nie są w sesji wogóle przechowywane, więc chyba dobrze że zostało > to poprawione. Jak dodać do tego, że sesja była zapisywana w lmsowym > backupie, no to masz już dwa miejsca z których potencjalnie można było to > hasło odczytać. Jeżeli miałeś dobrze zabezpieczoną bazę i system plików, to Mylse ze to najwiekszy pozytek z tej zmiany. Backupy lubia sie walac po roznych miejscach, zwlaszcza jesli na jakims etapie trafiaja na cdromy. Poza tym wartosc archiwalna tabeli z sesjami jest zerowa a za to ominiecie ich przy robieniu backupow pozwoli zaoszczedzic troche miejsca na dyskach (i czasu procesora) > ok. Ale nie zaprzeczysz chyba, że jednak było to załatanie potencjalnych > dziur? A dziury w kernelu o których czasem się słyszy? To też w większości > przypadki, które mogą być wykorzystane tylko w określoonych warunkach. To że Nie wiem jak u was ale ja mam paru klientow ktorzy co jaks czas przysylaja mi logi z jakigos norton firewala i bucza ze mieli proby wlamow do uslug ktore nie dzialaja na ich komputerach. Programy loguja proby polaczen na zamkniete porty i opisuja to jako proby wlamow. Jest super bo widac ze norton firewall dziala skoro pluje jakimis komunikatami, tylko ze robiac to nie zabezpiecza przed niczym a tylko wprowadza zamieszanie. To samo dotyka niektorych adnimow: googlaja po necie i wyszukuja listy portow i sekwencje pakietow oznaczajacych proby wlamow i dopisuja do do swoich firewali z opcja logowania. Pozniej bucza ze firewal im powoli chodzi i brakuje im miejsca na dyskach bo zapychaja sie logami ktorych i tak nikt nie czyta. A po jakims czasie okazuje sie ze jakis klient ma problem bo nie moze sie polaczyc z jakas zdalna aplikacja za ktora zaplacil komus gruba kase (np zarzadzanie flota robione przez ktoregos z komorczakow potrzebuje przepuszczania portu postgresa i paru innych) Nie popadajmy w paranoje nasze serwery to nie mainframy w pentagonie. Nie mam nic przeciwko lataniu potencjalnych dziur, apeluje tylko zeby nie doprowadzic do tego ze caly system bedzie nieprzyatny do czegokolwiek. A zdarzaly sie juz takie historie kiedys w PLD na przyklad. Grzegorz Stanislawski

1 0

Re: 1.6.3 - Security release
by konrad rzentarzewski 21 Sie '05

21 Sie '05

12/08/05, messie from [ Grzegorz Stanislawski ] ... > Poza tym zwykle biore pieniadze za mowienie takich rzeczy. na szczęście google nie bierze. i tym akcentem myślę, że możemy zakończyć tę bufonadę. -- :|[ kondi.net ]|:::::::::::::::::::::::::::::::::::|[ 2:480/133@fidonet.org ]|:

1 0

Re: 1.6.3 - Security release
by Tommy Vercetti 21 Sie '05

21 Sie '05

On Sunday 21 August 2005 12:50, Grzegorz Stanislawski wrote: > Tommy Vercetti napisał(a): > > jestem pijany, ale zrobie Ci niespodzianke misiu. > > > > otoz kazdy loozer ktory ma konto na twoim serwerze, i moze sobie > > wystawiac stronki www to ma twoje sekretne haslo do lmsa :-), taki detal > > ;) Widze ze na bezpieczenstwie znasz sie jak na bazach danych.... > > no to wlam sie do mnie madralo. > Wiem o czym piszesz ale mylisz sie bo u mnie to nie przejdzie. > Powiedzialbym ci jak sie takie rzeczy zabezpiecza, ale nie zaslugujesz > na to. Poza tym zwykle biore pieniadze za mowienie takich rzeczy. ziew. tak sie skalda ze ja tez (i itak mam wiekszego:P). *plonk* -- Vercetti

1 0

Re: 1.6.3 - Security release
by Grzegorz Stanislawski 21 Sie '05

21 Sie '05

Tommy Vercetti napisał(a): > jestem pijany, ale zrobie Ci niespodzianke misiu. > otoz kazdy loozer ktory ma konto na twoim serwerze, i moze sobie wystawiac > stronki www to ma twoje sekretne haslo do lmsa :-), taki detal ;) Widze ze na > bezpieczenstwie znasz sie jak na bazach danych.... > no to wlam sie do mnie madralo. Wiem o czym piszesz ale mylisz sie bo u mnie to nie przejdzie. Powiedzialbym ci jak sie takie rzeczy zabezpiecza, ale nie zaslugujesz na to. Poza tym zwykle biore pieniadze za mowienie takich rzeczy. Grzegorz Stanislawski

1 0

Re: 1.6.3 - Security release
by A.L.E.C 21 Sie '05

21 Sie '05

Grzegorz Stanislawski wrote: > Smiac mi sie chce z tego calego Security Release bo przechowywanie > golych hasel w bezpiecznym miejscu nie jest problemem. W koncu jedynym > userem majacym dostep do bazy moze byc (i powinien) specjalny user > nazwijmy go lms. I o ile frontend strony nie udostepnia mechanizmu > pozwalajacego na swobodne tworzenie kwerend, nikt do tych danych nie > dotrze. Idiotyczne jest natomiast to ze w tabeli users hasla sa > kodowane a w tabeli sesji nie. Teraz już nie są w sesji wogóle przechowywane, więc chyba dobrze że zostało to poprawione. Jak dodać do tego, że sesja była zapisywana w lmsowym backupie, no to masz już dwa miejsca z których potencjalnie można było to hasło odczytać. Jeżeli miałeś dobrze zabezpieczoną bazę i system plików, to ok. Ale nie zaprzeczysz chyba, że jednak było to załatanie potencjalnych dziur? A dziury w kernelu o których czasem się słyszy? To też w większości przypadki, które mogą być wykorzystane tylko w określoonych warunkach. To że masz starszy kernel (programy) nie znaczy, że zaraz ci się włamie pierwszy lepszy haker. -- Aleksander 'A.L.E.C' Machniak http://alec.pl gg-2275252 LAN Management System Developer http://lms.alec.pl

1 0

rozliczanie należności
by exe_2 21 Sie '05

21 Sie '05

po wejściu na kartotekę klienta jest miejsce na wystawienie kp , wybieram niezapłacone obciążenia i niestety nie zapisuje mi tego w bazie i oczywiście nierozlicza , coś źle skonfigurowane mam , czy narazie tak ma być ? ( versja 1.7 cvs)

1 0

Re: 1.6.3 - Security release
by Tommy Vercetti 21 Sie '05

21 Sie '05

On Sunday 21 August 2005 00:16, Grzegorz Stanislawski wrote: ...zip.... > Smiac mi sie chce z tego calego Security Release bo przechowywanie > golych hasel w bezpiecznym miejscu nie jest problemem. W koncu jedynym > userem majacym dostep do bazy moze byc (i powinien) specjalny user > nazwijmy go lms. I o ile frontend strony nie udostepnia mechanizmu > pozwalajacego na swobodne tworzenie kwerend, nikt do tych danych nie > dotrze. Idiotyczne jest natomiast to ze w tabeli users hasla sa kodowane > a w tabeli sesji nie. jestem pijany, ale zrobie Ci niespodzianke misiu. otoz kazdy loozer ktory ma konto na twoim serwerze, i moze sobie wystawiac stronki www to ma twoje sekretne haslo do lmsa :-), taki detal ;) Widze ze na bezpieczenstwie znasz sie jak na bazach danych.... > A mi chodzi tylko o to co napisalem w pierwszym mailu: skoro temat > sesji wrocil na tapete to jest to dobra okazja zeby zwocic uwage na to > co pisalem w pierwszym mailu. > > Zawsze jak czytam takie posty przpomina mi sie historia pewnego admina > ktory uslyszawszy o paru exploitach na setuidowane programy zrobil sobie > find / -perm +s -exec chown u-s {} \; > i pozegnal sie z systemem na pare dni a potem z praca. -- Vercetti

1 0

Pomysł do userpanela
by Krzysztof Lewandowski 21 Sie '05

21 Sie '05

Wydaje mi się że dobrym pomysłem było by dodane do userpanela funkcji komunikatów technicznych. Można by do tego celu stworzyć specjalna tabele w bazie, lub pobierać dane z terminarza. Tylko wtedy trzeba by może dodać jeszcze kategorię do niego (komunikaty). jest to bardzo przydatne do poinformowania o przerwach, awariach etc. KL -- Krzysztof Lewandowski - krzysiek(a)lca.pl Oficjalny Portal Miasta Legnicy - www.lca.pl 59-220 Legnica, ul. Pomorska 56 tel. (76) 866 49 11 biuro(a)lca.pl Nie odpisuje na listy pisane w HTML

1 0

Re: 1.6.3 - Security release
by Grzegorz Stanislawski 21 Sie '05

21 Sie '05

Tommy Vercetti napisał(a): > To wszystko racja, oprocz tego ze hasła plain tekstem nie powinny w ogole być > w bazie trzymane. Co do cashowania, to jesli trzymasz dane skeszowane w Mylisz sie. Wiele bardzo nowoczesnych i przez wszystkich uzywanych rzeczy wymaga hasla zapisanego cleartextem. na przyklad autentykacja przez CRAM-MD5 (pozostale wygooglaj sobie w necie jako zadanie domowe, moze sie nauczysz czegos przy okazji) > sesji, to powodzenia. Wiecej czasu zajmuje php zaladowanie tych danych, niz > bazie wykonanie polecenia. Pameietaj ze baza najlepiej wie jak cacheowac > swoje dane. I tej wersji sie bede trzymac. Wiec jesli masz podeslac taki Swiat jest pelen ludzi ktorzy z uporem godnym lepszej sprawy lubia sie trzymac blednych teorii. i to od tyciecy lat. > patch, to zgodze sie z ALECem ze go nie chcemy :-) Szczegolnie jesli wpadlbys > na pomysl trzymania danych uzyszkodnikow w bazie.... no comment. > W moim "lmsie" userzy loguja sie tak samo jak admini, sa tez w jednej tabeli umieszczeni. Jesli uwazasz to za idiotycznie to przygladnij sie swojemu linuxowi a w szczegolnosci zagladnij do /etc/passwd. Trzymam w bazie dane userow, sa to np kontakty z jabera, ustawienia webmaila i pare innych rzeczy. > IOW, sesje mozna trzymac w bazie, tylko rozsadnie (bez takich kwiatkow jak > plain tekst hasla). Jesli juz cos innego potrzebuje takich hasel, tzn ze jest > zle napisane, bo tego wymaga, po prostu. Autentyfikacje mozna robic w jednym > miejscu, a nie w 20tu. Patrz wyzej. O jakich 20 miejscach mowisz bo nie rozumiem? Smiac mi sie chce z tego calego Security Release bo przechowywanie golych hasel w bezpiecznym miejscu nie jest problemem. W koncu jedynym userem majacym dostep do bazy moze byc (i powinien) specjalny user nazwijmy go lms. I o ile frontend strony nie udostepnia mechanizmu pozwalajacego na swobodne tworzenie kwerend, nikt do tych danych nie dotrze. Idiotyczne jest natomiast to ze w tabeli users hasla sa kodowane a w tabeli sesji nie. A mi chodzi tylko o to co napisalem w pierwszym mailu: skoro temat sesji wrocil na tapete to jest to dobra okazja zeby zwocic uwage na to co pisalem w pierwszym mailu. Zawsze jak czytam takie posty przpomina mi sie historia pewnego admina ktory uslyszawszy o paru exploitach na setuidowane programy zrobil sobie find / -perm +s -exec chown u-s {} \; i pozegnal sie z systemem na pare dni a potem z praca. Grzegorz Stanislawski

1 0

Re: 1.6.3 - Security release
by Tommy Vercetti 20 Sie '05

20 Sie '05

On Saturday 20 August 2005 16:56, Grzegorz Stanislawski wrote: > Marcin Król napisał(a): > > Grzegorz Stanislawski napisał(a): > >>>Zaleca się przeglądnięcie plików backupu i usunięcie z nich tych danych. > >> > >>Jeszcze jedna okazja do przypomnienia ze sesje w bazie sa porabanym > >>pomyslem i do zapelowania o powrot do normalnosci. > > > > A ogórki konserwowe są smaczniejsze. > > ja wole kiszone ;-) Ja wole pić wodę :P > > Ps. Podasz jakiś argument za? > Sesje nie skuza do tego zeby przechowywac tam tylko dane o aktualnej > skorce i hash potwierdzajacy poprewne zalogowanie. > > W lmsie w sesji powinna byc lista klientow i komputerow - obie bardzo > czesto wykorzystwane w formularzach. kompletny obiekt reprezentujacy > dane odbenie zalogowanego uzykownika, wyniki kwerend pokazujacych > statystyki i pare innych zeczy. powinny byc ale ich trzymanie w sesjach > nie wnosi nic pozytywnego bo dostanie tych danych z sesji jest prawie > tak samo kosztowne jak uzyskanie ich normalna droga. > > Wyslalbym wam patcha, ale nauczony tym jak Alec traktuje podsylane > patche powstrzymam sie od tego, zwlaszcza ze musialbym troche popracowac > nad tym zeby cofnac sie do kompatybilnosci z obecnym lmesem. To wszystko racja, oprocz tego ze hasła plain tekstem nie powinny w ogole być w bazie trzymane. Co do cashowania, to jesli trzymasz dane skeszowane w sesji, to powodzenia. Wiecej czasu zajmuje php zaladowanie tych danych, niz bazie wykonanie polecenia. Pameietaj ze baza najlepiej wie jak cacheowac swoje dane. I tej wersji sie bede trzymac. Wiec jesli masz podeslac taki patch, to zgodze sie z ALECem ze go nie chcemy :-) Szczegolnie jesli wpadlbys na pomysl trzymania danych uzyszkodnikow w bazie.... no comment. IOW, sesje mozna trzymac w bazie, tylko rozsadnie (bez takich kwiatkow jak plain tekst hasla). Jesli juz cos innego potrzebuje takich hasel, tzn ze jest zle napisane, bo tego wymaga, po prostu. Autentyfikacje mozna robic w jednym miejscu, a nie w 20tu. To tyle moim prywatnym zdaniem. -- Vercetti

1 0