CS
Size: a a a
2020 August 24
БК
Просто по фингерпринтам удобно когда есть сайт который информацию тебе о тебе же и выдаёт. И там всё ясно, где что течет, и как.
n
Я правильно понял, суть TTL фингерпринта сводится к банальному пингу моего айпишника?
нет, твой айпи будет в подавляющем количестве случаев серым, это ничего не даст. а вот исходящие TCP пакеты от тебя содержат в IP хэдерах TTL и TCP window size, по которым можно определить твою ОС, в разных осях значения будут разные
БК
нет, твой айпи будет в подавляющем количестве случаев серым, это ничего не даст. а вот исходящие TCP пакеты от тебя содержат в IP хэдерах TTL и TCP window size, по которым можно определить твою ОС, в разных осях значения будут разные
а, и то есть это средствами браузера не пофиксить, это чисто через протокол идёт?
БК
А нет, через прокси свой TTL же идёт, и там какой сервер будет.
БК
+ TTL всё таки в настройках любой ОС меняется на нужный.
БК
Ладно, пардон. Видимо слишком загрузил всех своими проблемами 😀
BF
Не хочу ось палить.
Поставь Tor browser bundle и отвяжи его от использования Тора. Это лучший вариант, который я видел. browserleaks.com в таком случае выдаст из уникального разве что IP-адрес. И не нужно тогда будет никакие костыли в виде аддонов для приватности прикручивать, которые только ещё более уникальным твой фингерпринт делают
БК
Поставь Tor browser bundle и отвяжи его от использования Тора. Это лучший вариант, который я видел. browserleaks.com в таком случае выдаст из уникального разве что IP-адрес. И не нужно тогда будет никакие костыли в виде аддонов для приватности прикручивать, которые только ещё более уникальным твой фингерпринт делают
В торе навигатор тоже палится )) Но окей.
BF
В торе навигатор тоже палится )) Но окей.
Whonix
A
Ребят, кто нибудь разбирается в конфигах файрфокса?
Есть такая вещь, как JS Navigator, через которую можно разную информацию о системе почерпнуть, но в конфиге можно это дело пофиксить перезаписав значения, например:
user_pref("general.platform.override", "FakeValue");
user_pref("general.oscpu.override", "FakeValue");
и т.д..
Проблема начинается, когда я в конфиге прописываю запрет на отслеживание через фингерпринты:
user_pref("privacy.resistFingerprinting", true);
После чего все настройки навигатора перестают работать, открывая реальные значения напоказ...
Сталкивался ли кто нибудь с подобным, что можно предпринять, чтобы максимально себя обезопасить? Если включить защиту от финрегпринтов, то открытым остается навигатор который выдает реальное название браузера, и версию операционной системы.
Есть такая вещь, как JS Navigator, через которую можно разную информацию о системе почерпнуть, но в конфиге можно это дело пофиксить перезаписав значения, например:
user_pref("general.platform.override", "FakeValue");
user_pref("general.oscpu.override", "FakeValue");
и т.д..
Проблема начинается, когда я в конфиге прописываю запрет на отслеживание через фингерпринты:
user_pref("privacy.resistFingerprinting", true);
После чего все настройки навигатора перестают работать, открывая реальные значения напоказ...
Сталкивался ли кто нибудь с подобным, что можно предпринять, чтобы максимально себя обезопасить? Если включить защиту от финрегпринтов, то открытым остается навигатор который выдает реальное название браузера, и версию операционной системы.
Отсутствие фингерпринта и есть фингерпринт)
CS
Aba
Отсутствие фингерпринта и есть фингерпринт)
+
[O
https://www.kommersant.ru/doc/4465889
Это про подмену senderID в API 🤦♂
По словам источника “Ъ” в крупном банке, сама уязвимость оказалась настолько специфической, что обнаружить ее случайно было практически невозможно: «О ней мог знать кто-то хорошо знакомый с архитектурой мобильного банка этой кредитной организации. То есть либо кто-то внутри банка, либо разработчик программного обеспечения, либо тот, кто его тестировал».
Это про подмену senderID в API 🤦♂
BF
https://www.kommersant.ru/doc/4465889
Это про подмену senderID в API 🤦♂
По словам источника “Ъ” в крупном банке, сама уязвимость оказалась настолько специфической, что обнаружить ее случайно было практически невозможно: «О ней мог знать кто-то хорошо знакомый с архитектурой мобильного банка этой кредитной организации. То есть либо кто-то внутри банка, либо разработчик программного обеспечения, либо тот, кто его тестировал».
Это про подмену senderID в API 🤦♂
он запустил мобильное приложение в режиме отладки, авторизовавшись как реальный клиент, отправил запрос на перевод средств в другой банк, но перед совершением перевода вместо своего счета отправителя средств указал номер счета другого клиента этого банка. ДБО, не проверив, принадлежит ли указанный счет отправителю, направило в СБП команду на перевод средств, который она и осуществила. Так мошенники отправляли себе деньги с чужих счетовКогда такие idorы успели "настолько специфическими" стать?)
CS
это вон то что гугляло недавно по чатам?
[O
он запустил мобильное приложение в режиме отладки, авторизовавшись как реальный клиент, отправил запрос на перевод средств в другой банк, но перед совершением перевода вместо своего счета отправителя средств указал номер счета другого клиента этого банка. ДБО, не проверив, принадлежит ли указанный счет отправителю, направило в СБП команду на перевод средств, который она и осуществила. Так мошенники отправляли себе деньги с чужих счетовКогда такие idorы успели "настолько специфическими" стать?)
Вот да. Меня тоже это зацепило)))
То, что "специфическая" уязвимость.
Почему нельзя было на бекенде брать current_user.id какой-нибудь вместо указания sender.id?
И ладно, если архитектура не позволяет, то почему бы не верифицировать?
Уф. Кстати, в свое время у "большой тройки" такая же фигня с смс была. Можно было подменять отправителя, и, к примеру, слать смс с номера 02 или кого угодно:)
То, что "специфическая" уязвимость.
Почему нельзя было на бекенде брать current_user.id какой-нибудь вместо указания sender.id?
И ладно, если архитектура не позволяет, то почему бы не верифицировать?
Уф. Кстати, в свое время у "большой тройки" такая же фигня с смс была. Можно было подменять отправителя, и, к примеру, слать смс с номера 02 или кого угодно:)
SN
кто-то знает списки подобных api запросов, чтобы было в одном месте , наподобие этого - https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/api/common_paths.txt
SN
обобщенный список или универсальный, но чтобы было как от seclists