• XSS.stack #1 – первый литературный журнал от юзеров форума

Идеальный хак-форум

Отслеживать
Ar3s

Ar3s

Старожил форума
Легенда
Регистрация
30.12.2004
Сообщения
3 357
Реакции
1 404
Всем привет.
Уважаемые друзья, посетители, диванные критики и другие, на волне последних событий с хак/карж форумами прошу Вас описать кейст идеального на ваш взгляд форума и его защиты.
В чем суть моего сообщения - хочу почитать как, на ваш взгляд, стоило бы делать форум/площадку подобной тематики, какие технологии использовать, какие меры по безопасности вы считаете необходимыми?

Пример: Считаю что форум должен быть только в ТОРе, nginx+php-fpm+postgres, CMS Xenforo, БД должна лежать на криптодиске на отдельном сервере тоже в торе, логирование в БД отключено, ПМ должны шифроваться, наличие ssl сертификата обязательно, идентификация пользователей через jabber (отказаться от e-mail), автогарант и депозиты обязателены, собственный jabber сервер без связи с остальным миром - обязательно, админ должен иметь репу несмотря на опасность "приема". Так же предлагаю .... тут любые ваши мысли о дополнительных мерах безопасности/организации которые вы считаете необходимым озвучить ...

Топик ни к чему конкретному не призывает, просто хочется узнать ваше мнение, а возможно, кого-то из админов данный топик натолкнет на мысль о необходимости что-то поменять в вверенной ему площадке.
Заранее всем спасибо за потраченное время.

p.s. Огромная просьба не разводить срач и флуд.
 
очевидно же, в жопу жабберы, базы, прочее - делаем свой блокчейн, на основе него уже остальное, всё что захотят пользователи путём голосования большинства. Такое себе ICO
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Ar3s так ты все и написал для дарк-темы можно сказать идеально и нечего добавить, разве что - наличие блокчеин домена + принудительная для всех пользователей система аутентификации чз мемо-фразу.
 
SingleAdwice сказал(а):
очевидно же, в жопу жабберы, базы, прочее - делаем свой блокчейн, на основе него уже остальное, всё что захотят пользователи путём голосования большинства. Такое себе ICO
Есть и плюсы и минусы. В таком случае получится нечто типа чата (ну может быть с группами). Опять же - это нативное приложение пилить? При этом исчезает возможность удалить то, что когда-либо было опубликовано (включая флейм). Как банить неадекватов? Задумка нравится, корректного исполнения пока не могу себе представить. Хотя, возможно я слишком узко мыслю? Развейте пожалуйста свою мысль.
 
Ar3s сказал(а):
Есть и плюсы и минусы. В таком случае получится нечто типа чата (ну может быть с группами). Опять же - это нативное приложение пилить? При этом исчезает возможность удалить то, что когда-либо было опубликовано (включая флейм). Как банить неадекватов? Задумка нравится, корректного исполнения пока не могу себе представить. Хотя, возможно я слишком узко мыслю? Развейте пожалуйста свою мысль.
Я смотрю на всё со стороны разработчика, но не пользователя. Сделать подобие форума используя блокчейн реально, даже вполне себе жизнеспособно, но юзер интерфейс будет на столько неприспособленным к общению, что это того не стоит, по крайней мере пока, на данный момент не видел решений в плане визуальной составляющей, одно дело "привет - пока", другое вести полноценный диалог. Пока писал, пришел в голову вариант использованием криптографии + блокчейна как такового
пример - отправляется транзакция, адрес отправителя, подпись транзакции содержащая хеш+uid+open_key


На стороне клиента имея priv key будет возможность расшифровки на лету хеша который содержит сообщение, uid - относящийся к разделу форума, open key - относящийся к теме беседы

Оболочка не важна, но я бы предпочёл опен сорс клиент, где всё что тебе нужно для общения - 24 фразы

Идея смарт контрактов = готовое решение для защищенных сделок, торговая ветка уже реализована.

Итого будет жизнеспособный форум, безопасный, взломостойкий, ведь нам не важны теперь хостеры, регистраторы, etc.

Система блеков - KYT, реализована в том же тезере, нам не нужно иметь его аналог, хватит и жалкого подобия где выбором большинства - решаются судьбы таких индивидуумов.

Нельзя удалить, это минус, но в нём же и плюс, тут как посмотреть, я был бы не против свободы голоса, ведь сейчас мы соблюдаем правила, есть законы, без этого будет анархия. Я вот люблю анархию, другие со мной не согласятся и будут приводить в пример появление на форуме драг села, огнестрела, прочего связанного с запрещёнкой, по мне так KYT и должен в первую очередь бороться именно с этим.

Раз в несколько лет, можно меньше, можно больше - устраивать халвинг, использование его как таковое может иметь много путей, например смена ключей, если идея провалилась и требуется свернуть деятельность.
 
Пока, из всего, что вы расписали, мне больше всего нравится идея крипто-мессенджера. Шифрование мессаг и отправка в блокчейн. Расшифровка сообщений при помощи публичных ключей, которыми придется как-то обмениваться. И это узкое место всей схемы. Из очевидных плюсов - история переписки, отсутствие фейковых аккаунтов. Из минусов - постоянно растущий объем файлов. Придется что-то типа клиент-серверной архитектуры а-ля электрум городить.

SingleAdwice сказал(а):
Идея смарт контрактов = готовое решение для защищенных сделок, торговая ветка уже реализована.
А чем они обеспечиваться будут? Я давно предлагал форумам сделать свой блокчейн для межфорумных расчетов. Обеспечивается депозитами. Майнинг запрещен. Но все упирается в владельца, который может выпустить монет больше чем обеспечено. Да и админы форумов могут быть кидалами.
Остается вариант единого обменника. Где можно ввести/вывести данную крипту. Да и связанность с картоном/эл. платежками как-то наладить придется. А потом подумал, а чем она лучше любой другой крипты будет?

Хотя мы несколько ушли от первоначальной идеи топика, но получается интересный конструктивный диалог.
 
Ar3s сказал(а):
Пока, из всего, что вы расписали, мне больше всего нравится идея крипто-мессенджера. Шифрование мессаг и отправка в блокчейн. Расшифровка сообщений при помощи публичных ключей, которыми придется как-то обмениваться. И это узкое место всей схемы. Из очевидных плюсов - история переписки, отсутствие фейковых аккаунтов. Из минусов - постоянно растущий объем файлов. Придется что-то типа клиент-серверной архитектуры а-ля электрум городить.


А чем они обеспечиваться будут? Я давно предлагал форумам сделать свой блокчейн для межфорумных расчетов. Обеспечивается депозитами. Майнинг запрещен. Но все упирается в владельца, который может выпустить монет больше чем обеспечено. Да и админы форумов могут быть кидалами.
Остается вариант единого обменника. Где можно ввести/вывести данную крипту. Да и связанность с картоном/эл. платежками как-то наладить придется. А потом подумал, а чем она лучше любой другой крипты будет?

Хотя мы несколько ушли от первоначальной идеи топика, но получается интересный конструктивный диалог.
У всего есть сильные и слабые стороны, без этого никуда. Вариант обойти есть, через костыль конечно, но... почему бы и нет, закрытая система, платная регистрация, где оплата зачисляется на баланс кошелька и делает полноправным членом общества, а вот личные сообщения уже шифровать дополнительно, и как сохранять/обменивать эти ключи шифрования, это уже история пользователя, как сейчас это реализовано на данном форуме.

Постоянно растущий обьем файлов - безысходность, но тут уже лукавство идёт, на самом деле - вес блокчейна не превысит и 100-200гб в ближайшие 10-20 лет, не портабл решение конечно, но необходимость приватности, это идея приближает наше сообщество к анонимности реальный, а не мнимой.

Ещё один слабый момент - активность, для этого нужна реальная база "фанатов" которым это будет нужно, иначе вложения сил, средств - будет неоправданно, даже безсмысленно.

Единый обменник - опять же, это вариант развития проекта, если поддержит большинство, то выносится смарт контракт на создание такого функционала в рамках проекта, опен сорс опять же, конвертация anon-coin'a 1к1 с usd, вывод только на анонимную крипту, dai, xmr, etc. Запас монет берется из депозитов ,0.5% комиссии на развитие проекта, общий банк делить на те же конкурсы, новые разработки функционала. Это избавит от администратора который имеет рычаги управления к финансовой стороне, всё от народа и для народа.









p/s Меня больше напрягает факт того, что 90% так называемых "хакеров" уходит в сторону автоматизации, но такой костыльной, что диву даёшься, телеграмм шопы, боты, серверы для обработки отчетов с ботов, троев, стиллеров, ужас просто. Хватит ли комьюнити из меньше чем 50-100(максимум) энтузиастов, чтобы сотворить на столько ресурсоёмкий проект? Я думаю нет, это утопия, да - утопия, которая на том или ином этапе своего существования потеряет смысл, людям сейчас не нужна сложность, они ищут лёгкие деньги, быстрые деньги, и в связи с этим у них не остается времени на анонимность, ведь там настраивать надо, прокладки, прокси, бекконекты - им это не надо, они ещё не знают, либо не умеют, а когда поймут - будет уже поздно.
 
Ar3s сказал(а):
Пока, из всего, что вы расписали, мне больше всего нравится идея крипто-мессенджера. Шифрование мессаг и отправка в блокчейн. Расшифровка сообщений при помощи публичных ключей, которыми придется как-то обмениваться. И это узкое место всей схемы. Из очевидных плюсов - история переписки, отсутствие фейковых аккаунтов. Из минусов - постоянно растущий объем файлов. Придется что-то типа клиент-серверной архитектуры а-ля электрум городить.


А чем они обеспечиваться будут? Я давно предлагал форумам сделать свой блокчейн для межфорумных расчетов. Обеспечивается депозитами. Майнинг запрещен. Но все упирается в владельца, который может выпустить монет больше чем обеспечено. Да и админы форумов могут быть кидалами.
Остается вариант единого обменника. Где можно ввести/вывести данную крипту. Да и связанность с картоном/эл. платежками как-то наладить придется. А потом подумал, а чем она лучше любой другой крипты будет?

Хотя мы несколько ушли от первоначальной идеи топика, но получается интересный конструктивный диалог.
Ты что? Своё имя у внутреннего баланса обязательно нужно, это же маркетинг, сейчас на данном форуме расчёт депозитов идёт в btc, биток на слуху, биткоин могучь, кто не слышал про биткоин?

А теперь представляем что у нас мнимый "xss коин"


юзер1 - фига себе, там мужик 200к$ закинул на xss коин, надо бы закупится
юзер2 - что за xss коин?
юзер1 - да это монета новая, сейчас от логов до цц можно за него купить
юзер4 - а где его купить то?
юзер5,7,1 - на форуме xss, очевидно же
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Форум на блокчейне видится нереальным перекручиванием яиц самим себе, как минимум если создавать свой блокчейн с преферансом и куртизанками. Нужен как минимум с десяток компьютеров, которые будут этот блокчейн хранить и синхронизироваться друг с другом, нужна процедура установки консенсуса между этими компьютерами. Потом в общем случае из цепочки не выкинуть звеньев, то есть в ней может остаться флуд, спам, детская порнография и куча другого нерелевантного форуму бреда.
 
Сложная система чатов и групп в телеге.
Меню - канал.
Каждый раздел меню - чат\канал
Как то проектировали даже подобное, но времени столько свободного нет, чтоб делать.
Грубо говоря, 1000 тем - это по сути 1000 каналов, основная проблема не создать даже, а упорядочить.
Но первый, кто это реализует, прыгнет далеко вперёд. Китай уже в вичате, скоро весь рунет по этому принципу в телеге будет сидеть.
Кто понял, тот понял, а кто не понял, тому и не объяснить.
 
Chessplayer сказал(а):
Сложная система чатов и групп в телеге.
Меню - канал.
Каждый раздел меню - чат\канал
Как то проектировали даже подобное, но времени столько свободного нет, чтоб делать.
Грубо говоря, 1000 тем - это по сути 1000 каналов, основная проблема не создать даже, а упорядочить.
Но первый, кто это реализует, прыгнет далеко вперёд. Китай уже в вичате, скоро весь рунет по этому принципу в телеге будет сидеть.
Кто понял, тот понял, а кто не понял, тому и не объяснить.
тьфу ты.. уйди прокаженный
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Имхо идеальный форум должен представлять из себя не веб-сайт или веб-приложение. А нативное десктопное приложение, которое работает по принципу ZeroNet\Tox
 
Если интересно для меня идеальный форум такой:

Он должен состоять из несокольких частей:

1)Версия для веба, посетители могут-быть разные, не все хотят например использовать ТОР, да и не плохо-бы когда какой-то контент индексируется поисковиками, например статьи...

Эта веб-версия не должна проксироваться через сторонние CDN, т.е. вся защита должна-быть на уровне сервера и дата-центра, где распологается форум, т.к. проксирование может-быть не безопасно, в плане конфиденциальности посетителей, вот я тему поднимал:https://xss.pro/threads/48739/

Т.к. на хак. форумах должна-быть максимальная анонимность и конфеденциальность, нужно дорабатывать движек форума, во первых нужно давать возможность работы без скриптов, например если отключить скрипты в браузере, форум должен-быть работоспособен.)

По настройкам сервера:

- Отключение логирования.
- Шифрование контента на сервере, вообще всего, да это может не помочь, т.к. какой-то расшифрованный контент будет в ОЗУ, но сложности может дать в случае взлома, либо физической компрментации сервера.
- Все беккапы, разумеется в шифрованном виде.
- Возможность регистрации и двухфакторной регистрации через жаббер/почту.
Причем можно предоставлять свою внутреннюю защищенную почту, также с шифрованием, отключением логов и т.д.
Защищенный жаббер также можно предоставлять для комьюнити....

2)Т.к. домены могут отобрать/заблокировать/компроментировать....

Нужно иметь альтернативные способы как зайти на форум, так и возможность альтернативного размещения форума на разных серверах (Распределенная система).

Если говорить про альтернативный способ зайти на форум, это сеть ТОР, самое простое.

Про распределенную систему тут сложнее, самое простое иметь несколько серверов-зеркал, которые в случае блокировки одного сервера, переключаются на зеркальный...

Также можно разработать свою сеть, на подобии сети ТОР, т.е. форум физически хранится на например 2-3 серверах + у доверенных пользователях в шифрованном виде, если те 2-3 сервера компрометируются, или их блокируют спец. службы, форум будет доступен в сети, т.к. он ещё есть у довереенных посетителей сети.

Как-то так вкратце.

Но по факту сложно всё, на реализацию даже пункта 1 и частично пункта 2, нужно кучу времени, сил и денег.
Врядли кто будет заморачиваться.)))
 
Пожалуйста, обратите внимание, что пользователь заблокирован
weaver сказал(а):
А нативное десктопное приложение, которое работает по принципу ZeroNet\Tox
Ну для именно форумного функционала - это сложновато сделать. Во-первых, без центрального сервера достаточно сложно сихронизировать данные между клиентами, будет куча лишнего трафика либо на поиск у кого выкачать весь топик целиком, либо на выкачку всех топиков у всех. Во-вторых, соединения между клиентами надо автоматом будет заворачивать через какой-нить тор, в противном случае можно будет вычислить IP-адреса клиентов, просто иницировав с ними соединение.
 
Desoxyn сказал(а):
Я конечно понимаю, что это якобы такой своеобразный опрос, выделить ключевые факторы, основоваясь на идеях (оригинальных или не особо) пользователей, но Арес, тут управленцев кроме админа и нет толком. ))) Ну вот хранитель пока еще активен с аллигатором (вроде), изгой (но закрылся с кору). А так реально у кого спросить? ) Модеров куча, управленцев нет. Думаю Тоха единственный, кто сможет тебе дать ответ ;) да и кто на связи постоянно.
А то щас бреда накидают - вон уже джабберы в жопу послали ))) Давайте телегу юзать! Цирк блядь
Моя идея была не в том что бы собрать реальные рабочие кейсы, а в том, что бы послушать идеи, какими бы бредовыми они не были. Возможно в чьем-то не обремененном практикой мозгу родится какое-то новое зерно, новая идея, о которой ранее мы даже не задумывались ввиду своей закоренелости в направлениях и реализациях. Мы же все мамонты блин. Привыкли по одному пути на водопой ходить.

На счет телеги - согласен. Отдельная благодарность SingleAdwice
SingleAdwice сказал(а):
тьфу ты.. уйди прокаженный
Заржал в голос на работе. Человек! Ты сделал мой день ярче!
 
Ar3s сказал(а):
Считаю что форум должен быть только в ТОРе
Если форум не совсем блэкушный, то я-бы таки оставил заглушку в инете, которая проверяла-бы наличие у пользователя Tor браузера и либо редиректила на доступное зеркало в Торе, либо на документацию по его установке :)

Ar3s сказал(а):
nginx+php-fpm+postgres, CMS Xenforo, БД должна лежать на криптодиске на отдельном сервере тоже в торе
nginx+php-fpm - гуд
Тип БД уже зависит от движка форума и, имхо, не имеет принципиальной разницы (если выбирать между PGSQL и MySQL с его форками).
В плане самого движка, раньше воблу считали сильно безопасной, а потом, внезапно, RCE :)
Поэтому, я-бы перед форумом ещё WAF поставил (тот-же ModSecurity). Тут, главное, логи вовремя обрабатывать.

Ar3s сказал(а):
наличие ssl сертификата обязательно
Пока не выписывают валидные сертификаты для *.onion, сомнительная фича. Мало кто сертификат каждый раз сверять будет.
 
Pernat1y сказал(а):
Если форум не совсем блэкушный, то я-бы таки оставил заглушку в инете, которая проверяла-бы наличие у пользователя Tor браузера и либо редиректила на доступное зеркало в Торе, либо на документацию по его установке
ТОР к сожалению не индексируется поисковиками.:(

Если форум ещё и для привлечения разных людей, то это огромный минус, т.к. такой форум многие просто не найдут.:(
 
Пожалуйста, обратите внимание, что пользователь заблокирован
X-Shar сказал(а):
ТОР к сожалению не индексируется поисковиками.:(

Если форум ещё и для привлечения разных людей, то это огромный минус, т.к. такой форум многие просто не найдут.:(
А вообще, по большому счету, надо ли чтобы поисковики индексировали сайт?

Пусть лучше тогда информация о форуме будет распространяться через друзей-знакомых, тогда публика будет выверенной и такой, какая она и должна быть-чем обычные прохожие.
Форум всё-таки очень тематический и старый-значит, очень известный в определенных кругах общения. Знают, что общение ведется на хорошие темы, подскажут по вопросам и так далее.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх