Online podvody porážejí viry

Ked uz sa na tuto temu zacalo(Man in the middle , mozete poradit, ako si overit, ze nekomunikujem s 'nejakym prostrednikom :)', ale s realnou druhou stranou?
Viem, asi to nebude jednoduche, ale hodili by sa aspon nejake zasady proti zneuzitiu. D.

Obrana proti MITM je snadna. V podstate musis overit fingerprint verejneho klice (pripadne certifikatu) jinou cestou nez probiha vlastni sifrovana komunikace.

Cili srozumitelneji:

v okamziku, kdy chces navazat sifrovane spojeni, tak musis mit:
bud duveryhodnym kanalem(osobne) predany verejny klic protistrany
nebo ti staci overit tzv. fingerprint verejneho klice

pokud hrajes na certifikaty, tak by protistrana mela(musi) telefonicky/faxem nebo nekde na letaku (tistena informace) poskytnout overeni jejich certifikatu pomoci MD5 + SHA1 fingerprintu verejnych klicu(doporucuji prozkoumat certifikaty pri SSL pripojeni, ve windows se to tusim jmenuje otisk nebo tak nejak)

Kazdopadne v okamziku, kdy si nejsi jisty s kym komunikujes, pak musis zapomenout na jakekoliv potvrzeni certifikatu/klice, ktere se odehrava po siti(paac je to nejkratsi cesta do prusvihu).

To je nejjednodussi verze obrany proti MITM.

dik za ujasnujuce info, trochu som kludnejsi :)

t.j. ak to dobre chapem, 'prostrednik' nema sancu podstrcit certifikat, ktory by mal totozne MD5/SHA1 fingeprint s realnou druhou stranou?

cau.

Presne tak. Obycejny prostrednik nema sanci podstrcit certifikat, ktery by mel totozne MD5 a SHA1 fingerprinty. Zatim na to nema dostatecnou vypocetni silu....

MD5 jiz bohuzel ano. MD5 je mrtvy hash. Teoreticke pokusy utoku na certifikaty uz byly. (A tusim, ze i uspesne).
Doporucuji cteni na http://cryptography.hyperlink.cz/

Kolize SHA-1 mi zatim nejsou zname.

Diky za dopl. detaily a link, pozriem.

Pekny den.

Může mi někdo vysvětlit polopaťe co je phising??? Jsem dříve narozený...Děkuji

Napriklad:
http://www.hoax.cz/cze/index.php?action=hoax_database

http://pooh.cz/cybercave/a.asp?a=2010699
http://pooh.cz/cybercave/a.asp?a=2010711

http://www.google.com/search?hl=xx-hacker&ie=ISO-8859-1&q=define%3A+phishing&btnG=G oogle+s3a%7C2ch

Nesouhlasim s tim, co je v glose napsano.

>S narůstající popularitou dvoufaktorové autentizace ze strany online služeb stoupá také počet útoků >typu man in the modele, útočníci se snaží dosáhnout svého pomocí techniky session hijacking, kdy >získají kontrolu nad celým spojením mezi původním klientem a cílovým webovým serverem.

Jsem sam, komu tato informace nedava smysl?

Predpokladam, ze by autor teto glosy mel radne prostudovat materialy a zjistit, o cem to vlastne pise .... Man in the middle a session hijacking jsou dve naprosto ruzne techniky utocniku.

Misto hyreni spatne opsanymi technickymi frazemi by mohl najit na googlu treba "Socialni inzenyrstvi" a zkusit prepsat tuto glosu alespon fakticky spravne.

Nebude to tim ze se tomu rika Man in the middle :) no zive a blbe. cim dal tim horsi.

Problem vidim v tom, ze Man in the middle je specificka technika. Kdezto u Phishingu nemusi a nepujde o utok Man in the middle, jelikoz Phishing se pouziva k masovemu sberu citlivych dat(hesla, cisla kreditnich karet, pristupove udaje) pro pozdejsi (nebo i on-line zpracovani). Data se zbiraji na tzv. Zombie pocitacich(doporucuji google), kdezto MITM a Session Hijacking jsou jedni z mnoha aktivnich utoku na sitove ceste. Phishing je na masovou realizaci jednodussi nez MITM a Session hijacking.
MITM byva pouzivan na utoky na prolomeni sifrovanych spojeni a vetsinou jim muze uzivatel zabranit. Session Hijacking je dle mne technika prevzeti nesifrovanych TCP spojeni a uzivatel by programy, ktere pouzivaji takoveto spojeni nemel v zadnem pripade pouzivat.

Takze asi tak