Отслеживание параметров браузера и ОС пользователя как мера предотвращения угона аккаунтов (обновлено)

Автор: admin от 7-03-2012, 22:16, посмотрело: 2206

Уважаемые Хабровчане! Вчерашний вариант статьи я полагал, что находится в черновиках. И посему отобразился недописанным. Предлагаю полную, дописанную версию Отслеживание параметров браузера и ОС пользователя как мера предотвращения угона аккаунтов (обновлено) Многие он-лайн сервисы стремятся обезопасить аккаунты своих пользователей самыми различными способами. Кто-то отслеживает IP-адрес, сбрасывая кукисы при его изменении (так происходит на Секлабе; вКонтакте просто просит подтвердить последние 4 цифры мобильника). У кого-то сессия живёт ограниченное время, заставляя пользователя авторизоваться снова и снова. У этих способов есть свои достоинства и недостатки. Но какой бы из механизмов не использовался, отслеживание параметров браузера и ОС пользователя придаст дополнительную защиту от угона аккаунтов (как дополнительная защита, но ни в коем случае не основная). И очень странно, что я до сих пор не смог встретить ни одного сервиса, поддерживающего этот механизм защиты. Задайтесь вопросом: в каких случаях при очередном посещении ресурса у пользователя кукисы будут аналогичны прошлому посещению, но изменятся данные браузера и используемой ОС (которые можно выцепить из User-Agent)? Только в 3-х случаях: 1. Пользователь авторизовался с разных компьютеров (например, дома и на работе) и по некоторым причинам использует разные браузеры. 2. Пользователь авторизовался с 1 компьютера в разных браузерах (этим будут страдать, пожалуй, только веб-разработчики и особо любопытные). Либо те, кто загаживает ОС непонятными фенечками (привет любителям vkSaver) 3. У пользователя угнали сессию. Детектить предлагается не весь параметр User-Agent, а тип браузера (IE, FF, Chrome, Safari и т.д.) и операционную систему (Windows, Linux, MacOS). Это решит проблемы ложного срабатывания при обновлении ПО на компе пользователя. Да, User-Agent можно подменять. Но: 1. Довольно часто с этим никто из угонщиков сессии не парится. 2. Подмену User-Agent можно определить (читайте ниже как). Рассмотрим предлагаемый метод защиты в дополнение к имеющимся. В совокупности с классическими случаями угона сессии.

Категория: Информационная безопасность

 

Отслеживание User-Agent как мера предотвращения угона аккаунтов

Автор: admin от 7-03-2012, 22:16, посмотрело: 2461

Уважаемые Хабровчане! Вчерашний вариант статьи я полагал, что находится в черновиках. И посему отобразился недописанным. Предлагаю полную, дописанную версию

Многие он-лайн сервисы стремятся обезопасить аккаунты своих пользователей самыми различными способами. Кто-то отслеживает IP-адрес, сбрасывая кукисы при его изменении (так происходит на Секлабе; вКонтакте просто просит подтвердить последние 4 цифры мобильника). У кого-то сессия живёт ограниченное время, заставляя пользователя авторизоваться снова и снова. У этих способов есть свои достоинства и недостатки. Но какой бы из механизмов не использовался, отслеживание User-Agent придаст дополнительную защиту от угона аккаунтов (как дополнительная защита, но ни в коем случае не основная). И очень странно, что я до сих пор не смог встретить ни одного сервиса, поддерживающего этот механизм защиты.

Задайтесь вопросом: в каких случаях при очередном посещении ресурса у пользователя кукисы будут аналогичны прошлому посещению, но изменится User-Agent? Только в 3-х случаях:

1. Пользователь авторизовался с разных компьютеров (например, дома и на работе) и по некоторым причинам использует разные браузеры.

2. Пользователь авторизовался с 1 компьютера в разных браузерах (этим будут страдать, пожалуй, только веб-разработчики и особо любопытные).

3. У пользователя угнали сессию.

Детектить предлагается не весь параметр User-Agent, а тип браузера (IE, FF, Crome, Safari и т.д.) и операционную систему (Windows, Linux, MacOS). Это решит проблемы ложного срабатывания при обновлении ПО на компе пользователя.

Да, User-Agent можно подменять. Но:

1. Довольно часто с этим никто из угонщиков сессии не парится.

2. Подмену User-Agent можно определить (читайте ниже как).

Рассмотрим предлагаемый метод защиты в дополнение к имеющимся. В совокупности с классическими случаями угона сессии.

Категория: Информационная безопасность

 

Лаборатория Касперского просит помощи сообщества

Автор: admin от 7-03-2012, 21:52, посмотрело: 2236

Куда-то с хабры пропали ссылки. Их запретили, да? Значит я сейчас сделаю что-то нехорошее…

Лаборатория Касперского просит помощи сообщества:
«Мы хотели бы обратиться к сообществу разработчиков и попросить любого, кто знает средства разработки, языки или компиляторы, генерирующие подобный Фреймворку код, связаться с нами или оставить комментарий к посту.»

UPDATE: Ребята, мопед не мой! Нет смысла присылать догадки мне в письма — я даже передать не смогу…

Категория: Информационная безопасность » Вирусы и антивирусы

 

Влияние частоты процессора и количества его ядер на скорость работы антивирусных средств

Автор: admin от 7-03-2012, 20:22, посмотрело: 2380

Вам когда-нибудь было интересно как влияет частота процессора и количество его ядре на скорость работы антивирусных средств? В этом тестировании учавствуют 12 продуктов от 6 производителей.

Влияние частоты процессора и количества его ядер на скорость работы антивирусных средств

Категория: Информационная безопасность » Вирусы и антивирусы

 

RGB светлячок на Attiny13

Автор: admin от 7-03-2012, 12:49, посмотрело: 4531

Приветствую Вас, коллеги, товарищи сопутствующие и просто интересующиеся!

Намедни смастерил девайс, который можно использовать как основу для оригинального подарка, сувенир или просто сделать ради собственного удовольствия, если таковое вам доставляет возня с современной микроэлектроникой. Сразу видео демонстрация устройства:

К сожалению, камера не может передать оттенки и переливы свечения RGB-светодиода, в живую это выглядит намного симпатичнее. Однако, если тем не менее вы заинтересованы, то далее много букв и картинки.

Категория: Железо » Сделай Сам

 

Google продолжает развлекаться

Автор: admin от 7-03-2012, 12:32, посмотрело: 1967

В январе я опубликовал на Хабре пост Поиграем в снежки, где рассказывалось о прикольном пасхальном яйце — игре в снежки с андроидом.

Сегодня, изучая новые возможности Google Play, случайно опустил курсор мыши на андроида и увидел новые анимации. Я насчитал четыре варианта — лунная походка, приветствие, махание флажками и жонглирование мячами. Через PrintScreen сделал три скриншота

Google продолжает развлекаться

Google продолжает развлекаться

Google продолжает развлекаться

Для тех, кому лень читать предыдущий пост — вкратце, о чем шла речь.

Заходим на сайт http://www.android.com/, спускаемся в самый низ страницы и наводим мышкой на зеленого человечка — спасибо, что живой!

Отводим мышку и снова наводим — видим другую анимацию. Не пытайтесь сразу наводить мышку — нужно подождать несколько секунд (5 секунд вполне достаточно).

Категория: Операционные системы » Android

 

Android-маркета больше нет

Автор: admin от 7-03-2012, 10:14, посмотрело: 1072

Android-маркета больше нет

Сегодня Google анонсировал сервис, расширяющий и дополняющий Андроид-маркет — Play Google.

Как говорится в официальном блоге, является естественным результатом развития маркета. В скором будующем будут запущены сервисы для продажи разнообразного цифрового контента — Play Books, Play Music и Play Movies.

Сейчас с адреса market.android.com идёт 301-й редирект на play.google.com/store

Категория: Операционные системы » Android

 

Android Market превратился в Google Play

Автор: admin от 7-03-2012, 02:56, посмотрело: 2467

Зашел сегодня в Android Market на своем Google Nexus S и увидел информацию о том, что Market превратился в Google Play.

Не уверен, что это правильное решение, лично я редко заходил в Market, чтобы скачать игру, больше для приложений, среди которых совсем уж мало развлекательных. Но… что есть, то есть.

Подробнее об этом на 4pda

Категория: Операционные системы » Android

 

USB запоминатель/генератор паролей спасет от головной боли

Автор: admin от 7-03-2012, 01:22, посмотрело: 2743

USB запоминатель/генератор паролей спасет от головной боли

Во многих компаниях достаточно суровые положения корпоративной политики. Некоторые из этих положений предписывают необходимость смены всех своих рабочих паролей за каждый период времени (у разных компаний этот период разный). Одного умельца требования своей компании достали настолько, что он соорудил портативный запоминатель/генератор паролей. Этот генератор способен запомнить любой необходимый пароль (и не выдать его постороннему). Кроме того, устройство может сгенерировать новый пароль по заданным критериям.

Категория: Информационная безопасность » Криптография

 

В Deutsche Telekom установили рекорд по скорости стабильной передачи данных в 400 Гбит/сек

Автор: admin от 7-03-2012, 00:59, посмотрело: 2155

В Deutsche Telekom установили рекорд по скорости стабильной передачи данных в 400 Гбит/сек
При этом специалисты компании работали не с новым типом канала, а с обычным оптоволокном. Получив такой результат, передача данных со скоростью в 400 Гбит/сек, немецкая компания автоматически поставила рекорд по скорости передачи данных (из расчета на один оптоволоконный канал). Проект получил название OSIRIS (Optically Supported IP Router Interfaces). Ранее рекордной скоростью передачи данных по одному опто-волоконному каналу была скоростью в 186 Гбит/сек. Этот результат был получен командой независимых специалистов.

Категория: Админитстрирование » Сетевые технологии