Менеджерам Kaбinet. Вопросы по авторизатору.

подскажите, считается-ли "внешний" входящий трафик для моего аккаунта когда программа авторизации не загружена или работает в режиме "город"? т.е. возможен-ли ip-флуд в это время?

слышал, что для вашей ситемы авторизации использование паролей, короче 9-ти символов не гарантирует защиту от взлома. так-ли это?

Про теленетовскую авторизацию: не знаю как сейчас, но ок года назад она была дырявой, как друшлак :-) Как проходила авторизация: клиент делал запрос на авторизацию -> сервер посылал клиенту случайное значение (challenge) длиной от 32 до 64 байт (как выяснилось позже очень даже не случайное, а постоянное, длиной 36 байт; вроде это они пофиксили :-) ) -> клиент составляет фразу <challenge><ip_addr><access_level><password> и хеширует ее по алгоритму MD5 -> сервер сверяет свое значение с полученным и либо пускает, либо шлет нах :-) Так вот: ставим сниффер, получаем образец challenge'а и ответа клиента с хешем, потом в зубы Си с быстрой машинкой и (барабанная дробь!!!) мы ИМЕЕМ пароль :-) Скажу про себя, что моя машина перебирала буквенный пароль из 6 символов где-то за 30 секунд :-) А приняв во внимание то, что большинство пльзователей не утруждают себя выбором сложных паролей, то можно с уверенностью сказать, что за 1-2 дня можно поиметь пароли всего сегмента :-) И да здравствует халявный инет :-)

мда, похоже, про фичу авторизатора знали все :-)

могу еще добавить, что авторизатор, равно как и отрицательный баланс, вовсе не означает, что работать в интернете нельзя :-) это - лишь видимость :-)

Лови хакера! :mad:

2 buggzy: а ты не в курсе, они ее щас пофиксили???

challenge == const - пофиксили еще пол года назад, знаю даже "виновника" - кто-то Алчееву письмо написал с разъяснениями недостатка :-)

да наплюй ты на эту авторизацию, кому она мешает? :-)

да мне так то вааще пофих, я к ITC подклечен :-)

мне вот тоже пофиг, ибо инет в нерабочем состоянии чаще, чем в рабочем :-(

up.
в принципе теперь больше интересует ответ на первый вопрос. :-)

Уважаемый(ая) -=Lucky=-
ip-флуд возможен в любое время, не зависимо от наличия системы авторизации и даже самого компьютера.

А вот интересно, если зафлудить ваши ip-ы (тех компов которые в офисе стоят), да еще и в выходные... чисто с пятницы 20:00 до понедельника 08:00... как скоро вы заметите это? Как скоро примете меры? Что вам скажут в релкоме? Кто будет оплачивать ваш трафик? Может и нам, простым неграм, предложите альтернативный метод решения ваших проблем? Вон случай с Renton'ом (тема на пурге, остаток -9к) вроде бы до сих пор не решена, и другу моему 700 рублей пришлось оплачивать.

Народ, вы что, совсем больные? Если у вас денег на счету небыло? Работают частные лица только по предоплате. Все минуса - можно считать глюком :-) Деньги закончились на счету -и естестно инетом вы пользоваться не собирались в ближайшее время. Да это и невозможно :-) Это целиком проблемма Релкома - что у них деньги считаються за услугу, которой вы не пользуетесь, и даже не собираетесь пользоваться. Тут претензию писать нужно, а не оправдываться.

Уважаемый(ая) ZayatZ
Проблема флуда достаточно сложна, она стоит перед всеми пользователями или провайдерами Интернет, которые используют постоянные, реальные ip-адреса и широкополосный доступ. На ADSL таких случаев тоже не мало, это не проблема одних только домашних сетей. Нам кажется, что Вы достаточно осведомлены об этой проблеме, поэтому не будем подробнее на ней останавливаться.
Насколько мы понимаем, 100% защиты от этого нет. Поэтому в каждом таком случае ищется компромисс.

Если авторизатором инет был выключен (ты ведь не мог заюзать услугу которую тебе не предоставили), то это глюки провайдера и не более того.

> Насколько мы понимаем, 100% защиты от этого нет. Поэтому в каждом таком случае ищется компромисс.

вообще-то есть схема, позволяющая со 100%й гарантией держать максимальный ущерб от флуда в пределах 100-150 рублей + текущий баланс (что значительно меньше 9 тысяч и даже как правило меньше 700 руб).

схема требует часик программистской работы и дополнительную, но необременительную должностную обязанность круглосуточной техподдержки Релкома.

хотя кобенет тут ни при чем (Зай, чего ты к ним-то докапываешься, это ж не они трафик считают), это нужно делать на уровне релкома. и это уже обсуждалось в релкомовском форуме техподдержки.

> Если авторизатором инет был выключен (ты ведь не мог заюзать услугу которую тебе не предоставили), то это глюки провайдера и не более того.

а где в договоре что-то про авторизатор? :-)

"где я, и где шейх?!"© На дерибасовской хорошая погода...

Кто я для релкома, и кто Кабинет? Наверное лучше, чтобы инициатива исходила от них?!

конечно лучше. а еще лучше - запряги Вовочку Путина, пусть он твои проблемы решает :-)

у Вовочки сча дела, а вот чтобы пошевелились конечно есть варианты аля талибан Ж-) Ладно один клиент или два им такое заявляет... а если 10 или 20? или сотня другая?

ps: все имена вымышленные, все совпадения случаны.

А что за схема поделитесь, если можете.
Хотя бы основные моменты.

он уже делился на форуме УР...

> Если авторизатором инет был выключен (ты ведь не мог заюзать услугу которую тебе не предоставили), то это глюки провайдера и не более того.
а где в договоре что-то про авторизатор?
--------------------
А где в договоре написано, про оплату и-нета при физической невозможности им воспользоваться?

Менеджер Кабinet:
> ip-флуд возможен в любое время, не зависимо от наличия системы
> авторизации и даже самого компьютера.

спасибо за исчерпывающий ответ.

как вы считаете, такое поведение системы тарификации (трафикации :-) ) это "баг или фича"?,

я согласен с Valera, в том плане, что авторизатор предоставляет провайдеру достаточную информацию о требуемом клиентом режиме работы в интернет. поэтому учет нежелательного/паразитного трафика -- скорее всего баг существующей системы подсчета трафика. не думаю, что причины этого действительно связаны с конкретными технологиями физической передачи данных: ADSL, ethernet и т.п.

Менеджер Кабinet, re: buggzy:
> А что за схема поделитесь, если можете.
> Хотя бы основные моменты.

имхо, -- достаточно производить подсчет трафика с учетом текущего режима использования интернет, установленного аутификатором клиента.

> имхо, -- достаточно производить подсчет трафика с учетом текущего режима использования интернет, установленного аутификатором клиента.

а кто будет платить за лишний трафик? релком? а ему это надо? :-)

Менеджер Кабinet, re: buggzy:
> А что за схема поделитесь, если можете.
> Хотя бы основные моменты.

робот раз в эн минут/секунд пробегает по лицевым счетам. если находится счет, на котором порог отключения превышен на сто рублей - робот громко кричит техподдержке (круглосуточной релкомовской), чтобы те быстренько набирали телефон аплинка и просили его блокировать трафик на заданный IP (по критерию dst IP). а дальше путь уже аплинк разбирается, если ему не лень.

технически реально? реально. организационно? вроде бы тоже. вот на этом самом месте обсуждение в релкомовских форумах и остановилось, ибо дальше говорить не о чем, делать надо :-)

> А где в договоре написано, про оплату и-нета при физической невозможности им воспользоваться?

помнится, Лебедев это прокомментировал так: адрес сдается в аренду, все расходы по трафику на него несет арендатор. независимо от того, нужны ли ему эти расходы.

Самый верный и первый шаг в решении этого вопроса в пользу клиента, а не провайдера, это выдача маскированных адресов из немаршрутизируемых блоков. Чем обусловлена выдача только реальных ip адресов, при существующей тех. возможности использовать маскарад ? Кстати, сильно убыточный преднамеренный флуд часто является результатом так называемых личных и корпоративных разборок ... реже как результат действий вирусов.

А аплинк рыжий что ли?
Т.е. клиент платить не должен, Кабinet не должен, Релком не должен, закончим цепочку на Ростелекоме - пусть он и платит! Он, видимо богатый.
Уважаемый buggzy! Система предупреждения об атаках работает. А вот далее, о чем Вы так лихо сказали "пусть разбираются", начинаются проблемы.
Трафик был, платить за него просто так никто не может. При наличии доброй воли всех заинтересованных сторон, а также если время суток подходящее и все сидят на рабочих местах, этот флуд могут заблокировать. Один раз в Швеции блокировали, например.
Но для этого нужно уникальное стечение обстоятельств, а также от 2 и более часов на разборки.