Červ dokáže vykrádat FTP hesla z Total Commanderu

rovnakym sposobom by ten cerv mohol nacitat hash hesiel win, z ktoreho vo vecsine pripadov nie je problem urcit hesla do systemu. To nie je chyba TC ale slabe zabezpecenie OS, ak cerv prenikne do systemu.
Okrem toho, FTP prenos je nesifrovany, takze hocikto kto chce si tie hesla jednoducho odchyti.

nemate pouzivat total commander samotnej ale TC PowerPack tam se to uklada do diru \conf\pp_ftp.ini a mate po problemech a flamewar :) a to nepocitam ze kdo zkusi powerpack nechce jinak :))

...ono staci treba do DC nebo neceho podobneho zadat WCX_FTP.ini a nebudete se stacit divit :))

Dobrej napad - hned to jdu zkusit, mozna se nabouram na ftypko NASA

Jo fakt to fakci, uz jsem skoro na nejakym slovenskym servru, url a username jde v poho z toho wcx_ftp.ini precist jen musim rozlousknout to heslo. Nevite nekdo jakje to kodovany? Misto hesla je tam neco jako: AF7D447C1B2D

co to má být neexistuje obrana norton to má v definicích už týden

Podle Christiana Ghislera se ze Svycarska nesmi exportovat sifrovaci technologie. Takze asi neni moznost ty hesla ukladat nejak lepe zasifrovana.

na to jim sere pes. stejne si budu pouzivat sifry dlouhy treba 8192 bitu a komu se to nelibi, at si ... a nebo si stezuje na hlavaku. cao

Přesně tak. Slušní lidé mají smůlu, protože velký bratr (CIA,FBI & spol) si udělal zákonem nárok koukat nám přes rameno. A opravdoví lumpové si zašifrují co potřebují, protože za to co skrývají jim stejně jde o krk.Jo a vítejte v EU, s velkou pravděpodobností nás ten zákaz čeká taky. V USA nesmí používat silné šifry ani banky. Není vám to divné?

Jeden z nás nerozumí výrazu "vývoz technologie" a/nebo špatně cituješ.

...používá slabou šifru k zakódování hesel...
Jak dlouho si jeste lidi budou plest sifrovani a kodovani ?
SIFROVANI - metoda provadena za cilem skryt obsah pred neopravnenym pristupem - sifra RSA, DES3, nebo treba Vigenerova sifra atd.
KODOVANI - metoda pouzivana pro prevedeni obsahu do tvaru vhodneho pro ukladani ci posilani dat, napr. ASCII kodovani, morseuv kod, samoopravne kody ard.

Většina win programů které si ukládají hesla v souborech a zároveň je zobrazují jako hvězdičky v nějakém dialogu jsou napadnutelné úplně stejně. Není nutné vůbec znát nějaký šifrovací mechanismus, stačí program který dokáže odkrýt co se skrývá za těmi hvězdičkami. Stačí když si hacker nechá červem poslat soubor s hesly (ať už je jakkoli zašifrován), má aplikaci ke které soubor patří a pak už si onou utilitkou na obnažení hesla zjistí co potřebuje.

Presne tak, staci si obycejne od kolegy stahnout soubor se zasifrovanymi hesly v TC, nastavit ho u sebe v programu jako soubor s nastavenim, pouzit treba program IOpus Password Recovery XP a to, co je psano hvezdickami hned vidite odkryte

Sorry, ale informace v prvním odstavci je zcela mimo. Pokud chci nezadávat heslo při připojení na FTP, musí si klient někam uložit, ale musí ho posléze i _sám_přečíst_. Proto na to z principu nemůže používat šiforvání, tudíž není možné říci, že je slabé.

K ukládání hesel se typicky používá jednoduchý scrambling, který zamezí tomu, aby kdokoliv heslo hned viděl, když soubor s hesly otevře. Ale jeho účelem není a nemůže být kryptografická síla.

přesně tak
prostě je to jenom další bublina an kterou ti "méně znalí" naletí  - hlavní problém vidím v tom, že pak takové nesmysly papouškují dál...

no jaky problem by bolo urobit jeden master password, z ktoreho by sa generoval hash, ktorym by to bolo poxorovane?
ziadny :)

imho uz coskoro v TC

predsa len ja ked pustim TC, tak bezi do najblizsieho restartu - aj tyzden. Je jasne, ze master pword by teda bol niekde v pamati, ale je predsa len trocha ine kafe citat user space v pamati, na ktory cerv nema pravo.

Vid. putty agent.

ten váš přístup by vyžadoval aby TC stále běžel
a i tak není nic snazšího, než to z něj dostat ;)
 

Njn - muze to byt docela problem, ale na druhou stranu - TotalCMD na to, ze ukladani hesla neni bezpecne upozornuje (jako vetsina programu) a navic - driv to nemel Windows Commander (verzi si uz fakt nepamatuju) kodovane vubec a bylo to primo jako text... A taky se nikomu nic strasneho nestalo (co vim).

A nebo to je dost horké - může to být odpovědí na tento článek: http://www.lupa.cz/clanky/web-ktery-se-neubranil-phishingu/

To je sice mozne, ale nekladl bych to za vinu Total Commanderu. Pokud ma byt FTP klient uzivatelsky privetivy, musi si umet heslo ulozit, aby ho uzivatel nemusel pri kazdem pripojeni rucne vkladat. Pokud si to heslo ulozi, je jen otazka namahy, kterou je nekdo jiny ochoten vynalozit, aby to heslo zase dekodoval (treba tak, ze si z programu vytahne tu cast kodu, ktera to dela). Principialne stejnou bezpecnostni diru maji i prakticky vsichni ostatni FTP klienti (pomineme-li ty, ktere heslo neumi ulozit vubec), jen se zatim nenasel zadny autor viru, ktery by si tu praci s desifrovanim dal.

A nebo zkuste odlozit klapky, ktere vas omezuji pohledem na jeden OS a poohlednete se jak toto resi na jinych systemech. Je zde moznost, ze tvurce OS zabuduje do systemu takovy prostredek, ktery umozni vsem aplikacim ukladat hesla (a nejen je) tak, aby byla zabezpecena na systemove urovni a neumoznovala kdejakemu "cervu" tato hesla ziskat. Takze pak tu mame radu FTP klientu, kteri proste vyuziji to, co jim nabizi OS: jednodussi pro programatory - nemusi resit system bezpecneho ukladani hesel, privetive pro uzivatele - nemusi si pamatovat vsechna hesla a maji vsechna hesla ze vsech aplikaci ulozena na jednom miste. Nemluve o dalsich vyhodach tohoto reseni. Jednim ze systemu, ktery to takto resi je Mac OS X (klicove slovo Keychain). A samozrejme, neni to prosim jediny system s timto resenim. Nechci timto vyvolat zadny flamewar, jen chci poukazat na to, ze zde existuji i jine pristupy a ze muzeme hledat chybu i v samotnem OS.

Jiste, ta moznost tu je. Nicmene principielni problem zustava stejny, s tim jedinym rozdilem, ze pripadny tvurce cerva se nemusi obtezovat se zjistovanim algoritmu kazdeho zajimaveho programu ale naboura akorat ten keychain (a ziska vsechna hesla najednou). Vy mozna verite tomu, ze to je na Macintoshich udelane dobre a takovy cerv udelat nejde. Ja se radsi spolehnu na zdravou paranoiu a budu hesla resit jednotlivymi programy (a nebo keychainem, ale ne integrovanym do OS).

to znamena, ze ked bude sposob ukladania hesiel na Mac OS X kompromitovany (nikdy nehovor nikdy), bude mat utocnik vsetky passwordy ... squeleee

Vazeny, musim rici, ze si myslim ze nevite o cem pisete. Doporucoval bych Vam nejprve neco samostudia, zacit muzete treba tady: http://developer.apple.com/security/ .
Ale mate pravdu v tom, ze pokud se vam podari prolomit sifru, kterou Apple pouziva, pak budete mit pristup i vsude jinde, nejenom na teto platforme a bude to znamenat mensi revoluci v kryptografii a IT vubec .

Mno - ale rec byla puvodem o TotalCMD - pricemz TotalCMD je POUZE pro Windows (a Windows Mobile). Cili i kdyz to s clankem vzdalene souvisi, tak opravdu jen vzdalene. Protoze tento clanek zminuje, ze ulozeni hesla v TotalCMD muze byt potencialne nebezpecne. Jinymi slovy clanek pouze informuje o faktech (at jsou jake jsou), ale nikde neni ani naznak reseni.
A krome toho - i kdyz budu pouzivat jiny OS, tak se muzu obcas dostat k Win a tento "problem" se me bude chte nechte tykat (asi jen blazen by ulozil heslo k FTP na cizim pocitaci, ale je to v tom duchu). Btw. bez TotalCMD (nebo neceho v tom stylu) ani ranu - taham ho sebou na USB flashce vsude.

A proc by me ten cerv prolamovat primo sifru? Pokud bych stal pred ukolem takoveho cerva napsat, asi bych se soustredil spis na moznost zachyceni klice pri jeho zadani uzivatelem nebo na moznost podvrhnout svoji aplikaci jako aplikaci legalni.

TC sam upozornuje, ze ukladani hesla neni bezpecne, tak je jen na uzivateli jak se zachova.

Ze by to byl nejaky codersky kousek se rict neda kdyz si TC uklada hesla z ftpcek do jeednoho fajlu ktere je pak snadne dekodovat ...
chyba je mezi klavesnici a zidly ze takovy commander usuje
chyba 2 je mezi klavesnici a zidly ze toho cerva pusti
chyba 3 je mezi klavesnici a zidly ze user usuje windoze :D

No možná, že je pravda, že chyba je mezi klávesnicí a židlí, pak by sis mohl uvědomit, že ve slově židle se v sedmém pádě píše na konci slova měkké "í"

Precti si to po sobe, nez to odbouchnes !!!! Vypadas jako trotl.

Páááááááááni, koukám na super odborná slova jako "usuje", "fajlu"... ale že na konci slova "židlí" napíšeš tvrdé "Y", ses předvedl ještě více.

Páááááááááni, koukám na super odborná slova jako "usuje", "fajlu"... ale že na konci slova "židlí" napíšeš tvrdé "Y", ses předvedl ještě více. O tom, že jsi žena (viz titulek) ani nemluvě... To jsi takovej trotl?

Koukám, že je to tu nějaký rozhozený, odpovědi se přiřazují jiným příspěvkům...

Ve skolce jo? Tak to jste fakt dobre, holky Skoda, ze jste taky neusovaly http://pravopis.cz/

Servant Salamander rulez

Protože ještě nedávno FTP neuměl?

Samozrejme za nedostatočnú ochranu hesiel je zodpovedný aj Total Comander, ale iná vec slabé zabezpečenie OS proti červom a pod. V normálnom systéme by sa takýto nedostatok programu (TC v tomto prípade) neprejavil.

"slabé zabezpečenie OS proti červom "
Cervem se mysli normalni program, ktery pusti uzivatel a stejnej cerv by bezproblemu prosmejdil adresar podobneho spravce na linuxu a zkopiroval si hesla - ma proste stejne prava jako uzivatel, ktery ho sputil.
Takze se o zadnou chybu OS nejdna - program sputeny uzivatelem ma proste stejnej pritsup jako ma uzivatel sam.....

Samozrejme užívateľ môže spustiť "zlý" program rovnako v hociktorom systéme, dokonca v niektorých situáciách je možné presvedčiť užívateľa aby naťukal aj administrátorské heslo - to mi je jasné.
v tomto prípade som ale mal pocit, že ide o "klasického" červa ktorý sa spúšťa "sám", teda dostane sa do PC a spustí sa bez zásahu a vedomia užívateľa...

neposielaju sa nahodou hesla pri ftp nesifrovane?

nie posileaju sa ako plain text ... na sifrovanu komunikaciu ftp sa pouziva scp

Jsi mimo. SCP je jine kafe oproti FTP.

Muaahhahahaha, prej - neposilaji se nesifrovane? Ne, posilaji se jako plaintext ))) Tak to je hlaska stoleti!

pochopitelně se posílají nešifrovaně
takže total commander ani nemá žádnou šanci uložit je tak, aby se nedaly získat...

I kdyby se posilali sifrovane, tak sifra se dopredu nezna. Takze jste nejak mimo...

nechápu :)