Закон о QR-кодах, тазик-эвтаназик, кто читает твою переписку, Фейсбук без штанов

Кому: erazmanov, #1

Коды и сейчас-то не в каждом ТЦ проверяют, а где проверяют, там охранники пользуются встроенным в глаза считывателем qr-кода

Кому: Doom, #3

Интересно, были ли конкретные вопросы у бегающих с обличительными плакатиками думеров, таких как перечисленные в ролике ДЮ (а их и больше, если ещё вспомнить проблемы на постах проверок), или просто была голословная ловля фашистов?

Кому: Kashtak, #5

По-моему, база данных Госуслуг уже и используется. Поэтому и система безопасности тоже их (и там, какой позор, всё ещё нет двухфакторной аутентификации).
И куар-код без учётной записи Госуслуг вроде бы никак не получить.
Хитрые сканеры для считывания не нужны - любой смартфон с фотокамерой и наличием доступа в интернет в состоянии дешифровать двумерный код в URL и открыть соответствующую веб страницу, на которой высвечивается твои ФИО, дата рождения, вакцина и её период действия.
По-хорошему, там бы ещё и фотку лица показывать, чтобы паспорт к коду не предъявлять. Но админы, видимо, опасаются, что наличие на веб странице фотки серьёзно повысит нагрузку на сервера. Поэтому фотки нет, а паспорт приходится таскать.

Кому: Zx7R, #7

Кому: ЧГКшник, #6

> Я за два года пандемии ни разу не сталкивался с проверкой куаркодов.

В воскресенье вернулся из Франции - во всех ресторанах при входе проверяют (сканят) код. Пару раз у друзей не прошло - "ну ладно, они же настоящие?!, проходите пожалуйтса!"

Маски во всех закрытых помещениях, те что с носами-пиписьками наружу, почти нет такого.

Кому: Физик-Любитель, #9

Короче, через мессенджеры теперь можно слать только домашнее порно!!!

Кому: split, #11

Кому: Kashtak, #5

> По-хорошему, там бы ещё и фотку лица показывать, чтобы паспорт к коду не предъявлять. Но админы, видимо, опасаются, что наличие на веб странице фотки серьёзно повысит нагрузку

Там не в нагрузке проблема, а в 152-ФЗ. Фотография, используемая для идентификации личности - это биометрические персональные данные, а в данной ситуации выходит, что некий левый хрен из некоей левой конторы запрашивает биометрию из государственной информационной системы. Во-первых, юридически процедуру фиксировать и правовые основания под это подводить - вообще хрен знает как. Во-вторых, вот в таком исполнении как сейчас все требования фстэк по информационной безопасности нужно свернуть в трубочку и на них сесть, чтобы оно работало.

Кому: Kashtak, #13

Кому: Thunderbringer, #8

> Двухфакторная авторизация - это скорее успокоительное.

Тем не менее, отлично помогает от банального перебора паролей. Или от взломанной электропочты, через которую можно этот пароль сбросить, например.

Кому: Doom, #10

> Прикинь, сколько эта процедура будет занимать времени в оживлённых местах.

Зачем прикидывать? В Челябинске я это всё своими глазами вижу. В крупных ТЦ оставляют один единственный вход с улицы, внутри всё перегораживают турникетами, оставляя проход шириной метра два, и 1-4 охранника работают сканерами. С утра они ещё бодрые, поэтому после успешного сканирования надо предъявить паспорт. К вечеру процедура немного упрощается.
В будни всё происходит довольно шустро, но в выходные творится маленький адЪ. При этом у проходика собирается толпа плотно стоящих друг к другу, активно сопящих людей. Так победим вирус, чо.
В маленьких ТЦ на входе обычно сидит скучающий студент со встроенным сканером в глазу. Но попадаются и ответственные.
Посещаемость крупных ТЦ, по понятным причинам, заметно снизилась.

Кому: Kashtak, #15

Кому: split, #14

> Ты хоть проверяй информацию сначала.

Не проверил, действительно есть - извиняюсь перед причастными.

Кому: Thunderbringer, #17

Кому: Kashtak, #13

> Тем не менее, отлично помогает от банального перебора паролей.

Что касается перебора паролей - давно практикуется такая защита, как временный бан после определенного количества ошибок ввода, например 10. Так, что подобрать не только сложный сгенерированный пароль вроде OirjAwAtDusyuabKovGhomghinhipCycsUjNetGedinVakcoc7, но и что-нибудь вроде 0n33YeDp1rAt3kiCk3dD0NKeyS@ss! просто вообще не получится никак.

Кому: Kashtak, #19

Кому: Thunderbringer, #17

> давно практикуется такая защита, как временный бан

Таки да. Поэтому лучше перебирать пароли не одного пользователя, а сразу тысячи. Ещё лучше - миллиона. Совсем прекрасно не делать это с одного IP. А кто сказал, что будет легко?
50-символьные пароли - это, без балды, отличная защита. Но сколько людей об этом знают и используют? Это ж ещё надо уметь ловко пользоваться допсредством для его хранения/ввода (не запоминать же его), что может ввести в ступор неподготовленного пользователя.
С двухфакторной аутентификацией не получится первое и нет необходимости во втором.
Но и она, конечно, бессильна против банального подкупа ответственного лица. Хотя и тут есть методы, были бы желания и средства.

Кому: nex, #21

Кому: ЧГКшник, #16

> А вот если бы с помощью вакцины на самом деле чипировали, такой фигни не было бы! Просканировал чип и гуляй.

шведы вон эту недоработку уже компенсируют

https://iz.ru/1266427/2021-12-18/bolee-6-tys-zhitelei-shvetcii-ustanovili-mikrochipy-s-covid-pasport...

Кому: Slawa, #23

Кому: nex, #21

Да они там вообще на этом повернуты, чипировались всем подряд ещё в доковидную эру!!!

Кому: split, #25

Кому: Kashtak, #24

> Если же база в расшифрованном виде уже есть в наличии - зачем что-то бутфорсить

Затем что пароли в открытом виде в ней не хранятся. Хранится только их хеш. А тех кто хранит в открытом виде нужно забивать насмерть резиновым членом.

> При большой длине пароля этот перебор дойдёт до него неизвестно

Требуется найти не точный пароль, а любую последовательность символов, имеющую такой же хеш. Это называется коллизия

Кому: ЧГКшник, #27

Кому: Kashtak, #24

Способы украсть базы данных бывают самые разные, обычно проще всего дать на лапу админу, и он принесёт её на флешке вместе со всеми необходимыми ключами.

Ну и от сайта зависит. Где-то работают SQL -инъекции, где-то известные уязвимости известных cms. Да и старые винты с бэкапами можно на свалке поискать. Возможность восстановления из бэкапа опять таки зависит от прямоты рук создателей сайта. В какой-нибудь, прости Господи, Джумле бэкап можно раскатать на локальную машину, назначив себя админом и сайта и базы данных вообще без знания каких-либо паролей.

И да. Базу пользователей в большинстве случаев украсть проще, так как взаимодействие через форму логина идёт именно с ней.

А ещё бывает так, что воруют базы пользователей с каких-нибудь мусорных сайтов и форумов, а потом ищут тех же пользователей на фейсбуке, ютубе, мейлру или ещё где. У многих логины и пароли везде одинаковые. Сейчас с этим борются, хешируя пароли с солью, но когда-то была вольница.

>Если же база в расшифрованном виде уже есть в наличии - зачем что-то бутфорсить? Селект фром

Зависит от цели взлома. Если цель - украсть информацию о пользователях, это одно. А если надо именно войти под аккаунтом взломанного фраера, чтобы от его имени творить всякое, то это другое. Тут придётся подбирать пароль, так как в украденной базе лежит только хеш пароля.

>При большой длине пароля этот перебор дойдёт до него неизвестно когда

У длинного пароля может оказаться очень короткая коллизия (то есть слово, имеющее тот же самый хеш, что и пароль), на которую можно быстро наткнуться перебором. Тут невозможно предугадать. Так что после некоторой длины уже не важно, насколько сложный пароль. Основную роль начинает играть не его длина, а наличие коллизий.

Если пароль сгенерирован полностью случайно, то 10 символов обычно достаточно, чтобы успешно сопротивляться подбору.

Но если задача не взломать конкретного пользователя, а получить доступ к как можно большему числу аккаунтов, то просто перебирают самые распространённые пароли. Их не так много, по порядку примерно соответствует числу людей, что для современного компьютера очень быстро.

А ещё можно подбирать не пароли, а ответы на контрольный вопрос. Но это скорее творческая задача, чем машинная.

Мы когда-то по молодости в общаге развлекались, кто больше ответов отгадает для случайных адресов на мэйлру. За вечер можно было штук 10 контрольных вопросов разгадать, а значит и получить доступ к 10 почтовым ящикам.

Кому: BorsCh, #29

Если я правильно понял, аутсорсинговый будильник может помочь мне!

Я не наркоман!

У меня апноэ (как там оно пишется), так как я "отвратительно жирный".

Ходил к врачам, писали храп во сне, перенёс 2 недешёвые операции на носоглотке.

Но всё равно близкие, которые слышат как я дышу во время сна, приходят в ужас!