Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Взлом провайдера GoDaddy, приведший к компрометации 1.2 млн клиентов WordPress-хостинга"	+/–
Сообщение от opennews (?), 22-Ноя-21, 22:47
Раскрыты сведения о взломе GoDaddy, одного из крупнейших регистраторов доменов и хостинг-провайдеров. 17 ноября были выявлены следи неавторизированного доступа к серверам, отвечавшим за предоставление хостинга на базе платформы WordPress (сопровождаемые провайдером готовые WordPress-окружения). Разбор инцидента показал, что посторонние  получили доступ к системе управления WordPress-хостингом  через скомпрометированный пароль одного из сотрудников, и использовали неисправленную уязвимость в устаревшей системе для получения доступа к конфиденциальной информации об  1.2 млн активных и не активных пользователей WordPress-хостинга... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=56210
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от А где же каменты (?), 22-Ноя-21, 22:47	+7 +/–
Интересно какие зарплаты у их безопасников.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11

2. Сообщение от Шарп (ok), 22-Ноя-21, 22:52	+3 +/–
Почему пароль какого-то сотрудника даёт доступ ко всему этому добру?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3

3. Сообщение от Аноним (3), 22-Ноя-21, 23:08	+4 +/–
Я бы спросил почему пароли не прохешированы. Или в вебе так не пирнято?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #5, #6

5. Сообщение от ВебМакак (?), 22-Ноя-21, 23:23	+6 +/–
> Я бы спросил почему пароли не прохешированы. Или в вебе так не пирнято? Так они же зашифрованы! Через TLS! Совсем ты не шариш!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

6. Сообщение от Alex (??), 22-Ноя-21, 23:34	–2 +/–
А как можно зашифровать пароли подключения приложения к СУБД и SFTP?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #8, #17

7. Сообщение от Аноним (8), 22-Ноя-21, 23:38	+2 +/–
-Скажи, что ты идиот, не говоря этого напрямую. -Я храню пароли плейнтекстом.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #10

8. Сообщение от Аноним (8), 22-Ноя-21, 23:41	+3 +/–
Пароля подключения к SFTP /не должно/ быть в принципе. Авторизацию по открытому ключу как бы давно придумали.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #24, #29

9. Сообщение от Онаним (?), 22-Ноя-21, 23:45	+1 +/–
Для CRAM ты пароль никак не похранишь, кроме как плейнтекстом. Нет, можно конечно CRAM от хеша, но тут уже зависит - клиент твой, или например какой-нибудь third party SMTP :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #13

10. Сообщение от Онаним (?), 22-Ноя-21, 23:47	+1 +/–
А если у тебя не CRAM - то у тебя, Хьюстон, другие проблемы: пароль открытым текстом не хранится, но зато открытым текстом 100500 раз на дню передаётся - даже если он на сервак пришёл по TLS, имея доступ собственно к серваку и закрытым ключам, его уже можно прочитать. Вот и решай, что хуже.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #23

11. Сообщение от Аноним (-), 23-Ноя-21, 00:16	+4 +/–
$147,602 per year https://www.indeed.com/cmp/Godaddy/salaries/Senior%20So...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #19, #27, #28, #75

12. Сообщение от Аноньимъ (ok), 23-Ноя-21, 00:17	–1 +/–
>компрометации клиентов WordPress Нельзя скомпрометировать то что уже скомпроментировано.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #39

13. Сообщение от Аноним (-), 23-Ноя-21, 00:17	+/–
Пользуйся SCRAM.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #38

14. Сообщение от YetAnotherOnanym (ok), 23-Ноя-21, 00:20	+/–
Эка невидаль...
Ответить | Правка | Наверх | Cообщить модератору

15. Сообщение от Аноним (-), 23-Ноя-21, 00:28	+2 +/–
Хакеры на три буквы прослушивали https трафик в течении х лет, причиной такого непотребства оказался взлом, вон посмотрите сколько пользователей пострадало, ой ай ай, за новый слив сертификата денежку давай. Странно что кто-то еще верит в https и зеленые замочки.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #18, #64

16. Сообщение от 2 (?), 23-Ноя-21, 00:34	+2 +/–
Некогда работать, танчики ждут!
Ответить | Правка | Наверх | Cообщить модератору

17. Сообщение от Sw00p aka Jerom (?), 23-Ноя-21, 00:37	+/–
SFTP можно хешировать
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

18. Сообщение от Аноньимъ (ok), 23-Ноя-21, 00:42	+1 +/–
Мне тут недавно доказывали что шттпс очень безопасно особенно для баз данных, а иначе как же безопасность ещё обеспечить непонятно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #21, #57

19. Сообщение от Михрютка (ok), 23-Ноя-21, 00:43	–4 +/–
хороший сайт https://www.indeed.com/cmp/Godaddy/salaries/Security-Officer Average salary $45,939 per year 25% Above national average Does this salary seem accurate? Salary estimated from 2 employees, users, and past and present job advertisements on Indeed in the past 12 months. Last updated: December 31, 1969 и данные актуальные
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #20, #26

20. Сообщение от Аноним (20), 23-Ноя-21, 00:54	+7 +/–
Там так вахтеров называют
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

21. Сообщение от Аноним (-), 23-Ноя-21, 02:12	+1 +/–
Известно как - добровольное cloudflare всех своих данных и пользователей, этаявамгаварю !
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #25

22. Сообщение от Аноним (23), 23-Ноя-21, 02:22	+/–
> на базе платформы WordPress Дальше можно не читать.
Ответить | Правка | Наверх | Cообщить модератору

23. Сообщение от Аноним (23), 23-Ноя-21, 02:31	+/–
Вот для этого придумали двойное шифрование, когда натуральный пароль не покидает машинки клиента, а передача идёт только одноразового дважды шифрованного пароля, который сравнивается с шифрованным шифром из БД.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #37

24. Сообщение от gogo (?), 23-Ноя-21, 02:38	–1 +/–
зачем вообще sftp для хостинга на ВП? там все через вебморду ведь
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

25. Сообщение от Аноним (23), 23-Ноя-21, 02:44	+3 +/–
Когда, заходя на некий сайт, видишь в заблокированных скриптах кляудфлару, понимаешь, что на этом сайте ничего серьёзного делать нельзя.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #35

26. Сообщение от vantoo (ok), 23-Ноя-21, 03:24	+3 +/–
Не позорьтесь, Security Officer это охранник и 4 килобакса в месяц это зарплата охранника. Безопасники получают по 12 килобаксов в месяц, как и указано выше.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #32

27. Сообщение от Аноним (27), 23-Ноя-21, 05:21	+9 +/–
Вы хоть предупреждайте когда кидаете такие ссылки, а то со своей зп в 30т.р./месяц можно инфаркт получить
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #30

28. Сообщение от Аноним (28), 23-Ноя-21, 08:02	+1 +/–
Уже как-то привычно, что масштабные взломы происходят именно там, где кичатся так называемыми "безопасниками" и дают им волю. Из-за чего квалифицированный народ разбегается, и остаются только лояльные *ополизы. И почему-то их после этого ломают. Сегодня это Godaddy, ранее - сиска(история с узбекскими майнерами, зохаватившима aws аккаунт), софтстерв(история утечки всей документации). Вывод - так должно быть, когда за дело берутся "безопасники".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #34, #60, #62

29. Сообщение от пох. (?), 23-Ноя-21, 08:17	–3 +/–
Во, точно - не надо никаких паролей, все ключи от всего должны быть в гитхабе и гитляпе, кучкой. И если такой ключик кто-то спер - никаких следов просто не остается.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #41

30. Сообщение от Лёня (?), 23-Ноя-21, 08:59	–6 +/–
Почему ты так мало зарабатываешь? Это какой-то позор.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #31

31. Сообщение от Аноним (31), 23-Ноя-21, 09:05	+/–
Медианная зарплата в Беларуси — 360 евро.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #42

32. Сообщение от Дима (??), 23-Ноя-21, 09:40	+/–
Senior Software Engineer - это не безопасник.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

33. Сообщение от Аноним (-), 23-Ноя-21, 09:54	+1 +/–
это все потому, что критичная инфраструктура не под node.js.В node.js все уязвимости ещё до атаки обновились бы до не уязвимости.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #36

34. Сообщение от Аноним (34), 23-Ноя-21, 10:03	+1 +/–
Задним числом подгонять неинтересно. Как насчет того, что бы назвать, кого можно ожидать следующим?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #40

35. Сообщение от Аноним (35), 23-Ноя-21, 10:06	+2 +/–
Обычно я с таких сайтов сразу ухожу. А в дашборде это показывается как отбитая атака. Вот наверное владелец сайта радуется
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

36. Сообщение от Аноним (31), 23-Ноя-21, 10:13	+1 +/–
На Twisted, на Twisted надо.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

37. Сообщение от Онаним (?), 23-Ноя-21, 10:20	+/–
Всё проще, вообще для того, что бы пароль открытым текстом не ходил - для этого и есть CRAM. Там не просто "дважды шифрованный" пароль, а одноразовый хеш от комбинации запроса (challenge) и пароля, который сравнивается не с "шифрованным шифром шифра из БД", а с ожидаемым одноразовым ответом. Проблема в том, что в части легаси-протоколов CRAM считается от исходного пароля, а не его хеша, или от обратимых преобразований такового...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #84

38. Сообщение от Онаним (?), 23-Ноя-21, 10:21	+/–
Без проблем, если протоколы свои, так и делаю. Но с классическим SMTP-то что делать? :D
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #55

39. Сообщение от Онаним (?), 23-Ноя-21, 10:22	–2 +/–
Ну вот кстати да. Вротпресс сам по себе зияющая дыра.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

40. Сообщение от Аноним (28), 23-Ноя-21, 10:56	–2 +/–
Согласен! Статистика не нужна, даёшь астрологию! (проверочный код для этого сообщения содержит число 666, кстати.)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

41. Сообщение от Аноним (41), 23-Ноя-21, 11:39	+/–
Купите поху жесткий диск, человек вероятно не в курсе, что можно данные хранить не в интернете.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #43

42. Сообщение от Иноагент (?), 23-Ноя-21, 12:28	+4 +/–
>Медианная зарплата в Беларуси — 360 евро. Я думал, что из Беларуси уже все айтишники уехали. Ну, кроме тех, кто сидит...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #44, #53

43. Сообщение от пох. (?), 23-Ноя-21, 12:55	+/–
> Купите поху жесткий диск, человек вероятно не в курсе, что можно данные > хранить не в интернете. если ты будешь хранить все свои ключи от всего кучкой на жестком диске - не хотел бы тебя огорчать, но рано или поздно они окажутся "в интернете", если твое всьо хоть чего-то стоит. Причем скорее всего - рано. Заметь, если ты хранишь свои пароли даже не в голове, а приклеенными к монитору - они в интернете просто так не окажутся. Но девляпсы обожают повсюду откладывать кучки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

44. Сообщение от пох. (?), 23-Ноя-21, 12:56	–3 +/–
>>Медианная зарплата в Беларуси — 360 евро. > Я думал, что из Беларуси уже все айтишники уехали. Ну, кроме тех, > кто сидит... а кто ж их пустит? Поляки вон отстреливаются из гранатомета.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #46

45. Сообщение от Аноним (45), 23-Ноя-21, 13:39	+/–
Про rust уже пошутили?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #47

46. Сообщение от анонимка (?), 23-Ноя-21, 14:02	+3 +/–
Пруды будут какие-нибудь, или ты как обычно подпёздываешь где попало?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

47. Сообщение от А где же каменты (?), 23-Ноя-21, 14:46	+/–
Будешь первым.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

51. Сообщение от Аноним (-), 23-Ноя-21, 21:00	+1 +/–
А как переводятся слова - GoDaddy? "Иди Папа" или "Вперёд Папа"? Странное у провайдера имя.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #58, #76

53. Сообщение от Аноним (53), 23-Ноя-21, 23:34	+/–
Из страны уже уехали тысячи людей и десятки тысяч ещё уедут.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #67

55. Сообщение от Аноним (53), 23-Ноя-21, 23:45	+/–
Вот что: https://github.com/pear/Net_SMTP/issues/57. Писать об этом, как Neustradamus, просить сделать, присылать патчи. Без этого ничего не поменяется.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #56, #83

56. Сообщение от Онаним (?), 24-Ноя-21, 00:14	+1 +/–
Ну и как результат? :D Приведённая линка особенно показательна.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #61

57. Сообщение от Онаним (?), 24-Ноя-21, 00:15	+/–
А при чём тут хытытыпыс. Ты хоть обделайся безопасностями на канале, но если ендпоинт поломали, то канал уже не важен. С другой стороны, без безопасности на канали и ендпоинт ломать не нужно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #79

58. Сообщение от Онаним (?), 24-Ноя-21, 00:18	+/–
"How did GoDaddy get its name? It was originally called Jomax Technologies, a name that came from the dirt road in Maryland that founder Parsons used to pass on his way to work.  In 1999, Parsons began searching for a catchier name.  The story goes that an employee suggested “Big Daddy,” after the Adam Sandler movie released that year, but the domain name had already been taken. An employee later came up with “Go Daddy” and it stuck. Parsons writes in his blog:     We noticed two things that most always happen when someone hears the name “Go Daddy” for the first time. 1: They smile. We like that. 2: They remember it. We love that. So we changed the name of the company to Go Daddy Software, Inc.…Our name “Go Daddy” has no meaning other than we thought it was kind of fun."
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

60. Сообщение от Онаним (?), 24-Ноя-21, 00:22	+1 +/–
На самом деле масштабные взломы происходят там, где во взломе есть какая-либо ценность. И не о всех таковых взломах общественность узнаёт.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #68

61. Сообщение от Аноним (31), 24-Ноя-21, 07:33	+/–
Результат — XMPP уже перешёл на SCRAM.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56 Ответы: #63

62. Сообщение от Имя (?), 24-Ноя-21, 08:49	–1 +/–
Интересно, у гугла есть т.н. "безопасники"?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

63. Сообщение от Онаним (?), 24-Ноя-21, 09:21	+/–
Реализаций XMPP - сотни, в лучшем случае. Какие из них конкретно перешли? :D
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61 Ответы: #71, #81

64. Сообщение от onanim (?), 24-Ноя-21, 09:35	+1 +/–
SSL - это вообще глобальное на*6алово. холодным потом покрываешься и мурашки по жёппе бегут, когда осознаёшь, как работает это "шифрование" в интернете. точнее, не работает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

67. Сообщение от пох. (?), 24-Ноя-21, 13:29	–1 +/–
> Из страны уже уехали тысячи людей и десятки тысяч ещё уедут. Омск не резиновый! Понаехали тут! P.S. если верить викивракии - там живет 9 с лишним миллионов. Миллионов, Карл! Ну уехали 0.2% национал-предателей и терраристов (или как там в той стране их принято называть? Мы в Омске не в курсе.) и еще целых 0.3 планируют если найдут работу (повторяю, НЕ РЕЗИНОВЫЙ!) Куда ты с подводной лодки-то денешься?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

68. Сообщение от пох. (?), 24-Ноя-21, 13:30	+/–
> На самом деле масштабные взломы происходят там, где во взломе есть какая-либо > ценность. Моррис младший смотрит на тебя как на м-ка.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60

71. Сообщение от пох. (?), 24-Ноя-21, 13:36	–1 +/–
> Реализаций XMPP - сотни, в лучшем случае. Какие из них конкретно перешли? > :D никакие, но пацаны уже написали восемь XEPов и бегут их внедрять. Правда, они несовместимые...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #82

75. Сообщение от Аноним (75), 24-Ноя-21, 20:00	+/–
Ну ожидаемое качество за такие копейки. Сколько заплатишь - таких специалистов и получишь ¯\_(ツ)_/¯
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

76. Сообщение от Онаним (?), 24-Ноя-21, 23:10	+/–
Ближайший более-менее дословный перевод выглядит как "перейди в режим папы" :D Правда употребляется этот вариант только с прилагательными, поэтому тоже чутка мимо тазика.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

79. Сообщение от Аноним (-), 25-Ноя-21, 09:42	–1 +/–
Техника открытого ключа и прочее кунг-фу обделывает ломателей "ендпоинтов", "мидпоинтов" и дает +30 к эмоциональному здоровью всех положительно настроенных к мастеру.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #87

81. Сообщение от Аноним (31), 25-Ноя-21, 12:44	+/–
Все.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #86

82. Сообщение от Аноним (31), 25-Ноя-21, 12:45	+/–
Ты неудачник и нытик. И никому не нужен, даже в XMPP.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71

83. Сообщение от пох. (?), 25-Ноя-21, 15:25	+/–
> Вот что: https://github.com/pear/Net_SMTP/issues/57. Писать об этом, как Neustradamus, > просить сделать, присылать патчи. Без этого ничего не поменяется. и что с этим поменялось? Альтернативно-одаренный разработчик сам не могет и хазноплан - ему и так донейты капают. А у тебя опять кончились деньги и туалетная бумага, и ты не можешь себе позволить понакодить патчей во все  на свете проекты от которых как-то зависишь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

84. Сообщение от пох. (?), 25-Ноя-21, 15:33	+/–
> Проблема в том, что в части легаси-протоколов CRAM считается от исходного пароля, > а не его хеша, или от обратимых преобразований такового... а в чем разница-то? эти обратимые или даже необратимые преобразования в этом протоколе порождают полноценный  password equivalent, зная который тебе уже не нужно знать пароль.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #85

85. Сообщение от Онаним (?), 25-Ноя-21, 21:02	+/–
CRAM позволяет не заботиться о возможности перехвата трафика. Даже если ты получишь одноразовый challenge-response, никакого "эквивалента" ты из него не извлечёшь. Далее, с эквивалентом ты не залогинишься к юзеру во втентаклик, если там не тот же эквивалент используется, даже если у него там точно такой же пароль поставлен.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84

86. Сообщение от Онаним (?), 25-Ноя-21, 21:10	+/–
Все - это какие, поконкретнее.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81

87. Сообщение от Онаним (?), 25-Ноя-21, 21:11	+/–
Угу, закрытого ключа-то на ендпоинте нету :D
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема