Отключение логирования IP + Зашифрованные ЛС. Обновление безопасности.

admin

#root
Администратор
Регистрация
12.11.2004
Сообщения
7 150
Решения
1
Реакции
10 015
Уважаемые пользователи!
До этого момента, у нас на форуме IP'ы, хоть и частично, но логировались. Я заявлял об этом публично. Но мы не имеем права пренебрегать безопасностью пользователей, даже несмотря на то, что большинство пользуется tor'ом, дедиками, vpn'ом, а отключение логирования приносит некоторые административные неудобства. Поэтому, начиная со вчерашнего дня на форуме произошли следующие изменения:

1. Был полностью отключен IP лог для всех пользователей и всех пользовательских действий. Это касается прошлых записей в базе, текущих и будущих.
Пример, как это выглядит:
ip1.png

В базе - тоже пусто, соответственно.

2. Отключены логи в TOR-версии (ноде) нашего форума xss.pro, включая X-Real-IP/X-Forwarded-For и т.д. Это было сделано еще в начале года, но акцентирую внимание еще раз.

3. На форуме были внедрены шифрованные Личные сообщения (PM). Работают по принципу privnote.
Показываю на примере переписки меня с пользователем . Для того, чтобы создать такую переписку, при создании переписки активируйте опцию "Переписка по ключу":
pm1.png


После создания переписки, отправитель и получатель получат уведомление с ключом, который каждый участник должен сохранить.
pm2.png

  • Ключи пользователей для доступа к переписке хранятся на стороне сервера 7 дней, после чего удаляются из базы. В будущем Вам нужно будет вводить ключ для доступа к конкретно этому письму.
  • Если, спустя 7 дней после создания переписки, вторая сторона не подтвердила получение ключа доступа, ключ будет удалён, а ЛС останется зашифрованным навсегда. В случае потери ключа переписки, восстановить данные невозможно.
  • Для шифрования текста ЛС используется openssl_encrypt в режиме aes256ctr+sha256 с солью.
На форуме остались и обычные Личные сообщения (открытые), и шифрованные. Зашифрованные ЛС отмечены в общем списке соответствующим образом:
pm3.png


Пример того, как выглядит такое письмо в базе:
pm4.png
 
Да, напоминаю, что все предпринятые мной шаги - это не панацея от всех болезней. Помните, что ваша безопасность - это комплекс мер. И отключенный ip лог вовсе не значит, что вы должны заходить на форум с своего домашнего адреса. Или вбивать в профиль почту, привязанную к вашему vk. Надеюсь, таких умников у нас на форуме нет. А, если вы таки где-то допустили пробелы в собственной безопасности, исправляйте, не ждите, пока будет поздно.

Также сразу же отвечаю на все потенциальные вопросы горе-телеграм разоблачителей (их теперь уже несколько - конкуренция). Да и просто доброжелателей. У нас на форуме, до этого момента, писались логи, я об этом публично писал. А решение отключить логи было не сиюминутным, а запланированным еще несколько месяцев назад - https://xss.pro/threads/29551/#post-166738. О чем, как и обещал, публично сообщаю. Пишу на всякий случай, чтобы избежать инсинуаций.
 
Поскольку люди очень неохотно использовали шифрованные ЛС, теперь они по умолчанию включены для всех. Но при отправке можно снять галочку и выключить данную опцию.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Я конечно извиняюсь что залажу, но: коллекцию ключей конечно хранить от каждой переписки еще то удовольствие - особенно когда входящие без разбора тебе каждый присылает шифрованным не обращая на то никакого внимания. Почему не сделать RSA-4096 бит ассиметричное с публичным в базе и приватным (1 на все переписки) ключем, разве так не будет удобнее или на столько убогий данный вид шифрования?
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Я конечно извиняюсь что залажу, но: коллекцию ключей конечно хранить от каждой переписки еще то удовольствие - особенно когда входящие без разбора тебе каждый присылает шифрованным не обращая на то никакого внимания. Почему не сделать RSA-4096 бит ассиметричное с публичным в базе и приватным (1 на все переписки) ключем, разве так не будет удобнее или на столько убогий данный вид шифрования?

Лучше перебздеть, чем недобздеть😏
Все правильно сделали. "Коллекцию" можно обойти обычной подменой ключа, если нет необходимости в старой переписке. Не первый раз таким образом веду общение. Все нравится, все понятно
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Лучше перебздеть, чем недобздеть😏
Все правильно сделали. "Коллекцию" можно обойти обычной подменой ключа, если нет необходимости в старой переписке. Не первый раз таким образом веду общение. Все нравится, все понятно
подмена - ты имеешь ввиду создание новой переписки?
 
Пожалуйста, обратите внимание, что пользователь заблокирован
подмена - ты имеешь ввиду создание новой переписки?
когда создаешь новую переписку с одним и тем же челом, просто меняешь старый ключ на новый(с новой переписки), но это при условии если старая переписка не нужна. И список не нужно плодить ключами
Закончил переписку, создал новую, поменял старый ключ на новый

И при подмене ключа желательно "выйти с беседы" в предыдущей переписке
 
Пожалуйста, обратите внимание, что пользователь заблокирован
когда создаешь новую переписку с одним и тем же челом, просто меняешь старый ключ на новый(с новой переписки), но это при условии если старая переписка не нужна. И список не нужно плодить ключами
Закончил переписку, создал новую, поменял старый ключ на новый

И при подмене ключа желательно "выйти с беседы" в предыдущей переписке
Угу понятно, я за то что сколько переписок - столько и ключей (если говорить о переписках с разными людьми), когда можно сделать 1 приватный ключ для такого на RSA.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Угу понятно, я за то что сколько переписок - столько и ключей (если говорить о переписках с разными людьми), когда можно сделать 1 приватный ключ для такого на RSA.
Админ ответит на это более подробно думаю, но мне кажется что и так все легко и просто. Вопрос в привычке пользования
 


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх