|
ru.nethack
- RU.NETHACK -------------------------------------------------------------------
From : Olli Artemjev 2:5020/1354 13 Nov 2000 13:10:20
To : Vladislav Myasnyankin
Subject : К вопросу о стоимости логов ремотно-управляемой железки.
--------------------------------------------------------------------------------
Hi, Vladislav !
On 09 Nov 2000 at 22:33, "VM", Vladislav Myasnyankin wrote:
OA> * [46]The Cisco Catalyst 3500 XL series switches are reported to allow
OA> execution of any command via the web interface without logging in. No
OA> response from Cisco has been posted yet.
VM> Hаш ответ Чемберлену: когда мне достался хаб с аналогичной фичей, его
VM> настройка была сделана в 3 приема: 1. Через aux-порт задан айпишник и
VM> активировано веб-управление. Адрес дефолтного гейтвея умышленно не
VM> задан. Пароль тоже не "123" :) 2. Через веб-управление произведены
VM> необходимые настройки. 3. Через aux-порт отрублено нафиг
VM> веб-управление, снят айпишник.
VM> Флаг в руки хакеру :)
Понимаешь ли какая фишка.. это все хорошо, но при всем при этом данный мой
форвад есть частный случай. Сегодня нашли дыру в web iface завтра - в
реализации telnet, а после завтра выснится что можно грузить все конфиги
этой железяки через дыру в bootp. =)
Просто нельзя верить показаниям железки которая управляется программой,
исходники которой неизвестны, да и при этом в ней периодически обнаруживаются
серьезнейшие дыры. Мой форвард шел в продолжение темы о том, что на основе
таких вот фактов обнаружения ошибок можно опротестовывать в суде вообще
любые логи, аргументируя тем, что железка-то давным давно сломана с
использованием неизвестного общественности эксплойта (а ведь факт взлома
налицо согласно условиям задачи), а мы мол совсем не при делах и
подставлены случайным образом злобным хацкером сидящим сейчас за тридевять
земель.
OA> стоимость логов циски = стоимости логов любого железо-софта умеющего
VM> удаленную
OA> настройку = 0.
VM> Проблема в том, что на ответственных железяках эту фичу (удаленное
VM> управление) убирают нафиг сразу после настройки.
Это не всегда позволяют обстоятельства.
OA> BTW: В принципе под "железо-софта умеющего удаленную настройку" можно
OA> понимать любой ком со стэком протоколов (любых) и открытым портом
OA> (сокетом).
VM> Олег, с таким подходом лучше сразу вешаться идти.
А меня не напрягает такая вот бездоказательность - я сам иногда пошалить
люблю. ;)
VM> Hайди золотую
VM> середину между удобством/безопасностью, тогда и не будет разговоров
VM> как про "бесполезные логи", так и про "абсолютно неломаемые
VM> системы". Hи того, ни другого не существует :)
Hасчет неломаемых систем - согласен. Hасчет логов - они имеют внутреннюю
ценность, но никак не юридическую. То есть для тебя это может и достаточное
свидетельство, но для суда оно таковым быть не должно, в чем суд и должны
убедить адвокат да подсудимый.
PS: а кука то какая вылезла - как кстати. :-)
--
Bye.Olli. mailto(remove "NOSPAM"): olli@digger.NOSPAMorg.ru
*: Computer - A device designed to speed and automate errors.
--- Gnus/5.0803 (Gnus v5.8.3) XEmacs/21.1 (Bryce Canyon)
* Origin: Sunrise. (2:5020/1354.0)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
