forum.opennet.ru

"Производитель дронов DJI по ошибке опубликовал закрытые ключ..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Заметили полезную информацию ? Пожалуйста добавьте в FAQ на WIKI.

"Производитель дронов DJI по ошибке опубликовал закрытые ключ..."	+/–
Сообщение от opennews (??), 17-Ноя-17, 11:39
Компания DJI (https://ru.wikipedia.org/wiki/DJI_(%D0%BA%D0&... один из крупнейших производителей дронов, по недосмотру разместила (https://regmedia.co.uk/2017/11/16/whyiwalkedfrom3k.pdf) на GitHub архив, в котором были оставлены закрытые ключи для HTTPS-сертификатов *.dji.com, AES-ключи для шифрования прошивок, а также пароли доступа к облачным окружениям в AWS и службе хранения Amazon S3. По данным заметивших ключи исследователей, архив находился в открытом доступе от двух до четырёх лет. Находящейся в архиве информации было достаточно для полной компрометации инфраструктуры компании и подмены сайтов, включая security.dji.com (Security Reporting Center). В ходе экспериментов исследователю также удалось получить доступ к логам о ходе полётов и идентификационной информации. В настоящее время ключи уже отозваны (https://crt.sh/?id=150776065) и заменены на новые. Интересно, что компания DJI выразила готовность выплатить исследователю награду в 30 тысяч долларов США, но для получения премии нужно было подписать соглашение о неразглашении, условия которого исследователь посчитал неприемлемыми и раскрыл данные об утечке, независимо от возможности получения гранта. URL: https://www.theregister.co.uk/2017/11/16/dji_private_keys_le.../ Новость: http://www.opennet.me/opennews/art.shtml?num=47584
Ответить \| Правка \| Cообщить модератору

Оглавление

Производитель дронов DJI по ошибке опубликовал закрытые ключ..., opennews, 17-Ноя-17, 11:39 [смотреть все]

а какие существуют способы защиты от подобной случайной публикации чтобы и прогр, Аноним, 17-Ноя-17, 11:39 (1) //
- https github com StackExchange blackbox, Аноним, 17-Ноя-17, 11:43 (2) //
  - AES-ключи для шифрования прошивок - вообще фича а не баг , Аноним, 17-Ноя-17, 18:43 (27) //
    - это антифича , Аноним, 17-Ноя-17, 23:41 (34)
- Насколько мне известно а я не ИБшник , можно всю инфраструктуру перевести на се, kuraga, 17-Ноя-17, 11:46 (3) //
  - Да, это решает проблему утечки закрытого ключа, но вносит ряд неудобств с точки , zanswer CCNA RS and S, 17-Ноя-17, 14:15 (15) //
    - не нужно, это просто кусок пластика Единственно, конечно, могут стырить, но так, пох, 17-Ноя-17, 16:00 (20)
      - Что за края такие Проблема в том что токен не безопаснее нормального зашифрованн, EHLO, 17-Ноя-17, 23:48 (35)
- Никаких Всегда есть вероятность утечки Мненять ключи часто В дронах обновять, Andrey Mitrofanov, 17-Ноя-17, 11:49 (4) //
  - Хм Ну тогда сразу на гитхаб и положим, зато очень удобно , Аноним, 17-Ноя-17, 17:34 (25)
- hashicorp vault, Какойтотамноним, 17-Ноя-17, 12:25 (6)
- git submodule, rshadow, 17-Ноя-17, 13:00 (9) //
  - git-crypt, Аноним, 17-Ноя-17, 13:13 (12) //
    - Штука, конечно, занятная, но за помещение приватных ключей в гит в любом виде на, Аноним, 17-Ноя-17, 14:26 (17)
- Гарантий нет, но есть меры по снижению рисков Например, ту же DLP натаскать на , Это я, 17-Ноя-17, 13:40 (14)
- Голову на плечах иметь Помогает от любых уязвимостей , Аноним, 17-Ноя-17, 15:08 (18) //
  - Если не учитывать человеческий фактор , Аноним, 17-Ноя-17, 22:42 (33)
- Организационные меры Например, надо взять за правило, выполнять на рабочих серв, Ordu, 17-Ноя-17, 16:04 (21) //
  - в той истории, если я правильно помню, якобы непрод база была глубоким продом , sabakka, 17-Ноя-17, 19:51 (28) //
    - https www reddit com r cscareerquestions comments 6ez8ag accidentally_destroye, Elhana, 17-Ноя-17, 20:59 (29)
    - Это уже несущественные детали Если студент может _случайно_ снести базы, то ком, Ordu, 17-Ноя-17, 21:25 (31)
  - Зачем такие сложности Просто девы не должны иметь доступа к любым системным prod, rwtzx, 18-Ноя-17, 09:21 (39) //
    - Это означает наличие дополнительных штатных едениц, а зарплатный фонд ограничен , Агроном, 19-Ноя-17, 00:48 (41)
- Для начала не генерить не зашифрованные ключи и не хранить не зашифрованные паро, EHLO, 17-Ноя-17, 23:50 (36)
Кто-нибудь ещё посмеет оспорить, что гитхаб - это удобно , Аноним, 17-Ноя-17, 11:57 (5) //
- ты хотел написать публичный гит , мимо, 17-Ноя-17, 12:47 (7) //
  - Явки с паролями хранят в VCS только полные идиоты Не важно, публичный он или вн, Аноним, 17-Ноя-17, 14:15 (16)
- удобно-удобно, только что-то быстро все удаляют - кто успел слить ключи и прошив, ., 17-Ноя-17, 12:50 (8) //
  - По данным заметивших ключи исследователей, архив находился в открытом доступ, SysA, 17-Ноя-17, 13:06 (10) //
    - а как часто обновляются прошивки, загрузчики и списки отозванных сертификатов на, koblin, 17-Ноя-17, 13:10 (11)
      - Подозреваю что раз в никогда , Ilya Indigo, 17-Ноя-17, 17:25 (24)
    - быстро удалили после разболтавших о ключах исследователях А так - кто ж знал-то , ., 17-Ноя-17, 13:32 (13)
      - Я помню, была новость о сервисе, который периодически делал бекапы популярных ре, AnonPlus, 17-Ноя-17, 15:35 (19)
  - Ну так на то есть форки https github com MAVProxyUser skypixel_lottery blob m, Аноним, 17-Ноя-17, 17:04 (22) //
    - Так на амазон и не нужно лезть Выпилить зонды из прошивки на своем дроне уже бо, Аноним, 17-Ноя-17, 17:41 (26)
      - А куда ещё ты собрался лезть с ключом от AWS Все остальные ключи там лежат , Аноним, 17-Ноя-17, 21:23 (30)
        
        из новости следует, что ключи которыми были пошифрованы прошивки тоже были в арх, Аноним, 17-Ноя-17, 22:23 (32)
Просто 3 14 Ну хоть у кого-то мозги есть не подписывать разную хрень за копейк, Ilya Indigo, 17-Ноя-17, 17:22 (23) //
- Ну и что ты узнал нового благодаря его принципиальности Что люди ошибаются и чт, Аноним, 18-Ноя-17, 05:29 (37) //
  - Да там не про деньги был базар Чувак написал вежливое письмо Письмо переправил, ACCA, 18-Ноя-17, 09:09 (38) //
    - Справедливости ради, стоит сказать, что общался он с менеджером не мало и письмо, zanswer CCNA RS and S, 19-Ноя-17, 18:41 (42)
  - Корпорасты по какой-то странной причине не одупляют кто в этой ситуации кого за , ram_scan, 18-Ноя-17, 18:03 (40)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру