Forum Kolekcjonerów Rzeczy Najróżniejszych

[warczp]

Zarejestrowałem się na innym Forum, które działa na podobnym lub nawet takim samym skrypcie jak nasze.
Trafiłem tam na informację/wymóg mający na celu poprawę bezpieczeństwa.

Poniżej cytat:
"Jak wiecie od jakiegoś czasu atakują nas skrypty-włamywacze próbujące się zalogować na Wasze konta na forum. Ponieważ blokowanie ich nie skutkuje wprowadzilem modyfikację programu forum polegającą na tym, że każdy użytkownik będzie mial dwa loginy/nazwy użytkownika z których jedna będzie slużyła jako nazwa widoczna na forum, a druga tylko do zalogowania się na forum - oczywiście musi być inna. Dzięki temu rozwiązaniu nasz włamywacz bęzie próbował nadal logować się na nazwy widoczne na forum ale mu się nie uda bo rzeczywistych loginów nie będzie widział.
To tak wygląda najprościej mówiąc.
Teraz co musicie zrobić.
Każdy po zalogowaniu się na forum zobaczy napis że musi dokonać edycji swojego profilu - dokładnie rzecz biorąc wymyśleć i wpisać w nowe okienko profilu nazwę do logowania. Jaka to będzie nazwa nie ma najmniejszego znaczenia gdyż nikt jej nigdzie nie zobaczy. Po wpisaniu tej nazwy w profilu i zatwierdzeniu możemy być już spokojni o nasze konto - nie będzie prób włamań i konto się nie zablokuje. Natomiast jeżeli ktoś się zaloguje i nie wpisze nowej nazwy do logowania to po wylogowaniu może mieć problem z ponownym wejściem na forum."

Jak myślicie: czy jest to potrzebne u nas?

[domimuseums]

Rozmawialiśmy o tym na PW. Ciekawie i dobrze że to poruszasz.
Cały czas mnie zastanawiają te 5 pierwszych osób w naszej "Statystyce" które mają nabite nie wiadomo jak dużo postów.
Ciekawym jest to że 3 osoby z nich były tu ostatni raz 26 lub 27 kwietnia br. A dwoje pozostałych w marcu i maju.
Może na ich konta tez ktoś wszedł i zablokował wejścia.
Były jeszcze 3 inne konta ale one podlegały pod "sprzątanie" więc zostały usunięte ale możliwe że użytkownicy już nie mogli wejść na swoje hasła.

Czy mieliście jakieś problemy z wejściem na swoje konta na forum?

[Carycek1]

Nie miałem- ani ostatnio, ani nigdy wcześniej - z problemem logowania się na FKRN.
Fakt, loguję się na nie z różnych komputerów i urządzeń, ale przeszkód nigdy nie było.

[FALUBAZ_ZG]

Może napiszcie jeszcze co to za forum, ze się tam tak często wlamuja.

Dla mnie to zniechecacz. Jak by mi coś takiego kiedyś wyskoczylo to nigdy bym się nie zarejestrował.

Co do rozważań o tych kilku kontach u nas to nawet nie ma pewności czy to były włamy. Może by tak z adminem to wyjaśnić.

Pozdrawiam

[warczp]

W czasie przeszłym: włamywali.
Właśnie po to zrobili tą zmianę.

Ważniejsze czy może i u nas na wszelki wypadek nie zabezpieczyć się i też zrobić taką zmianę.

[pietras]

Nie no, jeszcze jeden login? Za dużo już tego w życiu. A gdyby ktoś się włamał, to co na tym zyska? Czyjś adres z jakiegoś PW najwyżej do sprzedania denerwującym marketingowcom. Może to o to chodzi.

[domimuseums]

To trzeba by zapytać Admina.
W dostępnym panelu nie widzę takiej możliwości aby były dwa różne loginy/nazwy użytkownika.
Nie ma takiej opcji przy edytowaniu konta użytkownika - brak pozycji do wpisaniu drugiego loginu.

Zaglądałem na tamto forum ale może my mamy starszą (a na pewnie nieaktualizowaną) wersję skryptu. A może po prostu za mało widzę w panelu admina...

Musiało się coś zadziać w statystykach i wątpię żeby to był tylko błąd skryptu, systemu.

[FALUBAZ_ZG]

Warczp

Jak to mówią, na wszelki wypadek to ksiądz ma uja. ..
Może pomyślmy ja tu ściągnąć nowe głowy, a nie ja zniechęcać.


Dominik

Na takim forum jak nasze moderator widzi połowę tego co admin. To, że ktoś kto jest adminem i ma wywalone żeby tu zajrzeć albo oddać uprawnienia komuś kto tu regularnie zagląda to też duże słabość tego forum i może o takich rzeczach należałoby najpierw pomyslec.

Wciąż nie odpowiiedzieliscie na moje pytanie co to za forum.

[domimuseums]

Z bassetami.
Nie wiem czy pełne ale mam uprawnienia admina a że kolorek inny to najmniejszy problem.
Tu chodzi warczpowi o to żeby za chwile ktoś nam nie wchodził na konta (w przyszłości) i nie zrobił rozgardiaszu.

[warczp]

[FALUBAZ_ZG]

No właśnie o ten głębszy sens się rozchodzi. Nie mam jednak pojęcia po co się wlamywac na forum bassetowe.

Poza tym nie zakładaj najgorszego. Wiem, ze swego czasu były modne włamy na fora kibicowskie. Moja ekipa też się kiedyś wlamala na forum Unii Leszno. Poznaliśmy ich oprawę na mecz z nami i przygotowaliśmy kontrę.
Jak się okazało było to banalnie proste. Wystarczyło znać niki osób decyzyjnych. Potem po kolei brane były meile i próba zalogowania się. Oczywiście nieudana. Następnie próby udzielenia odpowiedzi na pytanie weryfikacyjne. I tu był ten czuły punkt, bo niejaki KAPA dał pytanie o miejsce urodzenia. Dziwnym trafem pasowało Leszno. Potem wysłanie przypomnienia hasła na meila do którego już był dostęp i ich forum było nasze.

Teraz pytanie, czy ten myk z podwójnym loginem ustrzeze przed tego typu akcją?

Widzę też ze już chyba podjeliscie decyzję. Zastanowiliscie się jednak czy ewentualnego nowego użytkownika nie wystraszy takie dmuchanie na zimne? Ja bym od razu pomyślał o tym, że tu po prostu się ludziom ktoś włamuje celem oszukiwania i jak napisałem wyżej uciekałbym też w ramach dmuchanie na zimne.

Teraz mam kolejne pytanie. Czym skutkowaly te włamy. Wykradziono dane? Ktoś nawypisywal głupot? Pozmienial ofiarom wlamow hasła?

Może po prostu jakiś domorosly haker wybrał sobie jakieś kameralne forum i sobie ćwiczy.

Pozdrawiam

[warczp]

Nie udzielę teraz odpowiedzi na te pytanie - jestem tam zarejestrowany dopiero do wczoraj

A decyzja nie została jeszcze podjęta - i na razie daleko do tego.
Zauważ, że takie decyzje poprzedzone są dłuższymi rozmowami - to powyżej to co najwyżej wstępne, luźne myśli czy warto dopiero myśleć żeby coś takiego zrobić.

[FALUBAZ_ZG]

Dobra to trochę prywaty. Masz jakieś korki z Luksemburga?

[warczp]

Nie! Póki co nic o tym nie wiem.

[domimuseums]

Fajnie się dogadujecie. Po części każdemu z nas zależy aby te forum było bezpieczne.
Pewnie cennych rzeczy nie ma tu do kradzieży

W sumie to decyzji nie ma. Nie wiem czy nawet coś w tej sprawie będę mógł pomóc.

[pietras]

[warczp]

Zapytałem się o te ataki. Dostałem odpowiedź, że podwójne logowanie to część skryptu opracowanego specjalnie na okoliczność siłowego ataku na konta użytkowników (bruteforce). Niestety nie wiem nic więcej o tym dodatku do skryptu.
Ataki te polegały na pobieraniu nazwy użytkownika z forum (widocznej dla każdego) i wielokrotnych próbach losowego wpisywania haseł, co prowadzało do automatycznego blokowania zaatakowanego użytkownika.
Wprowadzenie dwóch nazw - osobnej widocznej na forum i ukrytej tylko do logowania całkowicie zablokowało ten typ ataku.
Czyli jak widzicie istnieje możliwość, że i Collections może zostać tak zaatakowane.

Inną metodą stosowaną powszechnie na stronach internetowych, może być dodatkowe włączenie wszelkiej maści kodów obrazkowych itp. (tzw. Captcha) po np. pierwszych trzech nieudanych logowaniach (tylko nie wiem czy nasz skrypt to przewiduje).

[pietras]

No dobra ale co im ukradziono, że tak się zabezpieczają? Dane personalne i adresowe z PW? Czy się admini przestraszyli, bo mają to samo hasło do forum, konta bankowego, facebooków i karty kredytowej?

[FALUBAZ_ZG]

No dobra. Ale, jak dla mnie to dwóch userow poklocilo sie czyj piesek lepszy i jeden drugiemu robi na złość blokując mu konto w tak banalny sposób. Dla odwrócenia uwagi zrobił takie same kuku kilku innym userom.

[domimuseums]

Taki trywialny powód? Ale kto ich tam wie... można i tak. Wiem tylko że u nas przy rejestracji jest uwierzytelnienie kodami obrazkowymi Captcha.
Jeśli wprowadzisz źle 3 razy hasło blokada jest chyba na 20-30 minut. Po tym czasie masz nadal trzy próby.
Z panelu administracyjnego można zablokować użytkownika na 120 minut ale nie próbowałem jeszcze
Może spróbuję ze swoim kontem

ps. jutro pobudka poranna tak jak warczp codziennie wstaje i trzeba zobaczyć co w lasach słychać i widać

[warczp]

Wiecie co: odnoszę wrażenie, że nie ma problemu
Może więc nie ma co dyskutować

[domimuseums]

Jest problem. Na pewno nie widzę takiej opcji w naszym skrypcie.
Dyskutować trzeba i należy. Może ktoś będzie miał jakiś pomysł.
W nocy sobie wczoraj zablokoałem konto na 2 godziny.