Artikel: Researchgruppen vill kartlägga Flashbacks användare (flashback.se) [2013]

Jag kan bespara Mrs Magoo lite tankeverksamhet. Nästa steg efter att ha fått användarnamn/mail/lösenordshash/etc är att försöka komma in på mailkontona hos intressanta personer.

De båda fallen går inte att jämföra. Palo Altos produkt används av företag för att kontrollera trafik in och ut från företaget. En nyckel i sammanhanget för att kunna dekryptera trafik till externa SSL-skyddade webbplatser som t.ex. Flashback är att IT-avdelningen kan installera Palo Altos rotcertifikat på alla datorer. Det är helt nödvändigt för att deras produkt skall fungera. Denna möjlighet har inte FRA, som är hänvisade till brute force eller säkerhetshål (kända och okända) i själva protokollet.

När du kopplar upp dig mot t.ex. Flashback (eller din bank, eller någon annan SSL-skyddad tjänst) så presenterar tjänsten ett SSL-certifikat som måste vara signerat av ett rotcertifikat som redan finns i din dator (följer med operativsystemet och/eller webbläsaren, men kan också läggas in av administratören). Om en angripare presenterar ett eget certifikat för flashback.org så bör det inte vara signerat av någon organisation som har ett rotcert i sin dator. De skulle kunna presentera Flashbacks egna certifikat, men då faller det på att de inte har tillgång till den privata nyckel som hör till certifikatet.

Det Palo Alto gör är alltså att låta sin brandvägg skapa ett eget certifikat för flashback.org, och signera detta med ett rotcertifikat som företaget installerat i alla sina datorer. Då kommer din dator att acceptera det som legitimt, och eftersom de skapade certifikatet så har de också den privata nyckeln. De kan då läsa den krypterade trafiken och sedan (efter att ha krypterat den med Flashbacks riktiga certifikat) skicka den vidare till Flashback, så att varken användaren eller Flashback märker något.

För inkommande trafik, alltså SSL-skyddad trafik till en av företagets egna servrar, är det ännu enklare. Då installeras helt enkelt serverns certifikat och privata nyckel på brandväggen, och brandväggen kan då avlyssna trafiken. Trafiken mellan brandväggen och själva servern behöver inte ens vara krypterad.

Inget av det här kan FRA göra, med mindre än att de kan skapa certifikat för vilken webbplats som helst och signera med ett rotcertifikat som du redan har i din dator. Att någon av de existerande certifikatutfärdarna skulle tillåta detta är extremt osannolikt, eftersom det skulle kunna bli en riktig praktskandal om det hela kom ut.

Ytterst tveksam till att dom skulle kunna kom åt vettiga lösenord då dom förmodligen är saltade?

det är möjligt att epost adresser skulle kunna läckas.

Men vem fan ska sitta och para ihop dessa med användarnamnen?

Den som har sett denna tråd och har intresse av att förbli anonym samt har reggat här med ett riktigt mejlkonto har möjligheten att ändra lösenordet till sitt reggmejl innan databasen läcks, om den läcks.

om man har en bannad användare då?

Är de verkligen så lättfintade? Eller ja, om de bara begär mejl + användarnamn så bör man kunna undvika dem så.

Detta är ju helt sjukt, är själv en hängiven läsare av expo. Kan förstå att folk till vänster inklusive mig själv är lite smått irriterade på fb-nassarna osv, men det är verkligen ingen anledning att slå så hårt att vilja exponera folk för sina åsikter på anonymt forum. Jävla idioter.

Ja du, om du nu inte själv kan föreställa dig en så'n situation, så får du nu några exempel av mig:

Arbetsgivaren omplacerar dig till en tjänst som du absolut inte kan acceptera, med hänvisning till arbetsgivarens rätt att fördela och styra arbetet.
Arbetsgivaren påstår att du arbetsvägrar, eftersom du inte godtar dina nya arbetsuppgifter.

Arbetsgivaren ger dig meningslösa uppgifter som tär på ditt självförtroende till dess att du säger upp dig själv.

Vakna upp till verkligheten, det duger inte att gå och drömma om sjuttiotalet i dag ...

Ja, då är det värre. Men att man har ett bannat användarnamn som man reggat på ett absolut identifierbart mail (typ jobbmejlen) + att man är intressant för afa är nog ovanligt.
Har man kvar mejlkontot t ex gmail så kan man ta bort profilnamn och annat som kan leda till andra personuppgifter.

Och så ska vi komma ihåg skyddet som vanliga namn ger. Kalle Andersson går betydligt säkrare än Ashkandar Noor Reza Ramirazideh.

Men even so, för att ha en riktig hållhake på någon behöver man nästan knyta användaren till ett personnummer och det är inte lätt gjort. IP är inte heller till hjälp för afa då ISP inte lämnar ut personuppgifter till kreti och pleti.

Tanken, om det nu finns någon tanke är nog att fortsätta in i mailen och på den vägen
få reda på vem som står bakom användaren. Men måste vara en försvinnande liten del som har reggat sig med "jobbmailen" och samtidigt är en av dem större dödsnazisterna.

Det där var fortfarande ingen källa eller ens ett verkligt exempel. Snarare du som drömmer, har du någonsin haft ett riktigt jobb? Låter inte så.
Så chefen omplacerar mig pga ett mejl från Researchgruppen att "hörruru direktörn, den där Kalle har minsann skrivit drognoveller och propagerar för ett negerfritt samhälle på Flashback under namnet AnalintruderXXX, det har jag minsann sett" hm jo sannolikt att facket skulle tillåta det
mer sannolikt scenario:
Chefen: Kalle, jag har fått ett mejl här, vad har du att säga om det?
Kalle: Ingen aning vad det kan vara chefen, någon trollar mig...

varpå det hela läggs ner i brist på vettigt bevis