Dictionary Attacks 101

Jeff Atwood:

Limiting the number of login attempts per user is security 101. If you don't do this, you're practically setting out a welcome mat for anyone to launch a dictionary attack on your site, an attack that gets statistically more effective every day the more users you attract.

Epännistuneiden kirjautumisten rajoittaminen per käyttäjä on tietysti hyvä, mutta ei riittävä suojaus. Jos murtautujalla on käytössään lista käyttäjätunnuksia, hän voi hajauttaa sanakirjahyökkäyksensä eri käyttäjätunnuksille. IP-tason epäonnistuneiden kirjautumisten rajoittaminen on siis huomattavasti toimivampi ratkaisu. Jos taas murtautujalla on käytössään bottiverkosto ja käyttäjätunnuslista, ei oikein mikään voi pelastaa huonoilta salasanoilta.

www.codinghorror.com/… →

Sampo Pankki ja XSS

Ystävämme Matti Nikki on ilmeisen vähällä vaivalla löytänyt Sampo Pankin [sic] verkkopankista XSS-haavoittuvuuden.

Ei pysty ymmärtämään millä taidoilla pääsee koodailemaan pankkien järjestelmiä.

Lisäys: postaus kerää Googlen kautta kävijöitä, joten tänne eksyneiden iloksi pari linkkiä aiheeseen liittyen:

404 multifail. Pitäisiköhän sitä itsekin alkaa julkaista näitä XSS-haavoittuvuuksia mitä isotkin suomalaiset saitit on pullollaan?

Yksi salasana

MacHeistin sovelluksista yksi ennalta mielenkiintoisimmista oli 1password. Asennuksen jälkeen ohjelma ei juuri tarjonnut vinkkejä seuraavaan steppiin, joten käyttöönotto jäi. Katsoinpa sitten MacBreakin jakson jossa yhtä tekijöistä haastateltiin Macworldissa. Ylitsevuotavat kehut johdattivat katsomaan valmistajan oman esittelyvideon sovelluksesta. Olin myyty (mikä ei tietysti sinänsä vaatinut paljon, koska softan jo omistin).

Ennen 1passwordia käytin SuperGenPass-bookmarkletia. Sitäkin ennen käytin muutamaa kierrätettävää salasanaa, mutta salasanajupakka sai heräämään.

SuperGenPass generoi yhdestä salasanasta kullekin sivustolle oman salasanan — mikä sinänsä on erittäin toimiva idea, koska tuo bookmarklet toimii selaimessa kuin selaimessa. 1password on kuitenkin monipuolisempi ja joustavampi ratkaisu. Ainoa huono puoli on toimivuus OSX:ssä. Jos salasanoihin pitää päästä joskus käsiksi Windowsissa, ei ratkaisu olekaan enää niin mukava. Salasanat saa kuitenkin vietyä monipuolisesti muun muassa HTML-tiedostoksi, jossa salasanat on asianmukaisesti salattu ja niiden avaaminen vaatii salasanan.

Koska salasanat tallentuvat Keychainiin, ovat ne synkronoitavissa .Macin kautta useille koneille. .Mac kuitenkin maksaa rahaa eikä auta Windows-ongelmaan. 1Passwordia kehittävä Agile Web Solutions on tuomassa My1Password-palvelua, joka lupaa universaalin pääsyn salasanoihin. Mukaan pääsee toistaiseksi vain kutsusta.

Lopuksi pieni vinkki. Jos tallennat salasanoja selaimeen, aktivoi edes master-salasana. Se onnistuu Firefoxissa asetusten Security-välilehdellä. Näin salasanasi ovat edes vähän paremmin suojattuja eivätkä kenen tahansa koneelle sattuvan luettavissa.

Langattomat verkot ja tietoturva

Jollain naapurillamme on täysin suojaamaton langaton verkko. Päädyin surffaamaan väärällä yhteydellä ihan vahingossa, kun valitsin verkkolistalta väärän verkon ja DHCP jakeli minulle kyselemättä IP-osoitteen. Sen verran viivyin verkossa, että ehdin selvittää ulkoisen ip-osoitteen. Mitähän tällaisessa tapauksessa pitäisi tehdä? Yrittää ilmoittaa operaattorin kautta asianomaiselle vai vaieta tietomurtosyytteiden pelossa?