نوشته‌شده در

تأیید اعتبار – یک رمز گذار چیست؟

در حالی که بحث در مورد اعتبار / صداقت بایگانی برای مدت طولانی و مشکل به طور بالقوه مجدد در هنگام مصالحه، فرد با اصطلاح "trans-cipher" (یا "trans-encryption") آمد.

من تلاش کرد تا کل اینترنت را برای این جستجو جستجو کند، اما نمی توانست معنی این را بیابد. آیا می توانم کسی مرا روشن کند؟

توجه: در زمینه معتبر بودن آرشیو طولانی مدت، این اصطلاح در حالی که در حال صحبت کردن با امضای تایید است و مشکل زمانی که یک کلید خصوصی به مخاطره می افتد یا زمانی که الگوریتم برای کلید عمومی / خصوصی منسوخ شده (به عنوان مثال با توجه به قدرت سخت افزاری سخت افزاری که به نقطه ای رسید که در گذشته فاکتور مشکل دشوار بود، بی اهمیت می شود).

PS: ممکن است اصطلاح دقیق کمی متفاوت از "trans-cipher" باشد. در این پروژه رد دیجیتال برای اثر انگشت دیجیتالی (همچنین نام تابع رمزنگاری هش) …

نوشته‌شده در

مرورگر وب – چطور یکپارچگی زیرزمین در واقع کمک می کند؟

بگذارید بگوییم سایت شما در جی کوئری ساخته شده است. شما JQuery را دانلود نمیکنید و از کپی خود استفاده میکنید، اما شما از نسخهی CDN استفاده میکنید، و از ذخیرهسازی در مرورگرهای سرویس گیرنده استفاده میکنید. این کار به این دلیل کار می کند که اگر یک سایت از نسخه CDN استفاده کند، آن را ذخیره می شود و هر سایت که از همان نسخه استفاده می کند، بدون نیاز به دانلود یک فایل یکسان در هر بار استفاده خواهد شد.

یک روز کسی به سرورهای CND حمله می کند و جایگزین فایل های جاوا اسکریپت با نسخه های تغییر یافته است که هرکدام از اعمال کلید به سرورهای مهاجم را در جایی قرار می دهند. و هر وب سایت که از آن اسکریپت استفاده می کند تحت تأثیر قرار می گیرد، سایت شما شامل می شود.

در اینجا وارد یک Subresource Integrity – SRI می شود. این از شخص ثالث جلوگیری می کند که منابع خارجی را شناسایی نکند. اگر SRI را در منابع خارجی خود فعال کنید، مرورگر کلاینت منابع را با ناپیوستگی هاش بارگذاری نمی کند.

پس از آن آنها می توانند به راحتی جایگزین منابع ریشه با هش ها از کد مخرب خود را

واقعا نیست. SRI محافظت از سایت شما (کد شما را کنترل) از تغییرات در یک اسکریپت شخص ثالث، که شما کنترل نیست. حمله به کد شما توسط SRI محافظت نمی شود، زیرا اگر یک مهاجم یک اسکریپت شخص ثالث و سایت شما را تغییر دهد، می تواند همان سایت تنها با تغییر سایت خود را تغییر دهد. پس از همه، حمله به سایت شما آسان تر از حمله به Akamai، CloudFlare، گوگل یا مایکروسافت است.

نوشته‌شده در

برنامه وب – چگونه یک نشانه JWT میتواند اسرار چندگانه داشته باشد؟

من از ابزار jwtcrack استفاده میکنم تا یک نشانه صادر شده JWT را امتحان کنم. من فکر می کنم فقط خروجی زیر باید توضیح دهد که چه چیزی به خوبی پیش می رود: 

[0] ٪ ./jwtcrack [token]
راز "P" است

joseph @ MBA <master ●>: ~ / c-jwt-cracker
[0]٪ ./jwtcrack [token]
راز "یک" است

joseph @ MBA <master ●>: ~ / c-jwt-cracker
[0]٪ ./jwtcrack [token]
راز "ال" است

joseph @ MBA <master ●>: ~ / c-jwt-cracker
[0]٪ ./jwtcrack [token]
راز "ال" است

joseph @ MBA <master ●>: ~ / c-jwt-cracker
[0]٪ ./jwtcrack [token]
راز "یک" است

joseph @ MBA <master ●>: ~ / c-jwt-cracker
[0]٪ ./jwtcrack [token]
راز "یک" است

joseph @ MBA <master ●>: ~ / c-jwt-cracker
[0]٪ ./jwtcrack [token]
راز "R" است

joseph @ MBA <master ●>: ~ / c-jwt-cracker
[0]٪ ./jwtcrack [token]
راز "ال" است

آیا این نوعی ویژگی است؟ من احساس می کنم که jwtcrack فقط مشکل است، اما چگونه می تواند چندین نتیجه مثبت برای اسرار مختلف داشته باشد؟ این که حتی از طریق رمزنگاری امکان پذیر است؟

نوشته‌شده در

موارد نقض کد منبع

من در وب در مورد حملات نقض مخزن به مخزن کد منبع برای برخی مخازن نرم افزاری محبوب جستجو کردم. من بسیاری از آنهایی که محبوب (Adobe، لینوکس، بیت کوین و غیره) پیدا کردم در گذشته به خطر افتاده است. با این حال، در جستجوی بیشتر من همچنین مشاهده کرد که تمام این نرم افزار از مخازن Git در هنگام کشف کشف استفاده کردند. آیا نمونه های شناخته شده ای از نقص مخزن برای دیگر VCS مانند SVN یا Mercurial وجود دارد؟

نوشته‌شده در

یکپارچگی – چه احتمال تزریق داده های نامعتبر امن است؟

من برخی از اطلاعات حساس را با AES128 رمزگذاری می کنم و از روش سفارشی (CRC رمزگذاری شده) برای ارائه یکپارچگی داده استفاده می کنم. من احتمال موفقیت تزریق داده های نامعتبر را برابر با 4.54e-13 محاسبه کردم. این بدان معنی است که اگر مهاجم یک بسته تصادفی را در هر 1 میلی ثانیه تزریق کند، احتمال موفق بودن داده های نامعتبر در طی یک ماه در سطح 1e-3 است.

آیا این را به عنوان راه حل امن مطرح می کنید؟ من می دانم که پاسخ بستگی به حساسیت داده ها دارد، اما من برای پیدا کردن اطلاعات تلاش می کنم که احتمال ورود داده های نامعتبر در نظر گرفته شود.