Компьютерный scam: никогда не разговаривайте с неизвестными

[experiment8or]

Самое первое чисто американское слово, которое я выучила - это слово "scam". Пару раз к нам приходил волонтер из церкви, юный договязый военный. Звали его Джон Клещ. Что с нами делать, Клещ совершенно не знал. Он исчез через два дня, но оставил полезную память.

Казалось бы, что наших практичных людей на скэм не поймаешь и на мякине не проведешь. Только мама каждый день взволнованно требует, чтобы мы чинили ее компьютер: ей ежедневно звонят из Майкросфта, и угрожающими индусскими голосами просят дать доступ к компьютеру, потому что "у вас ужасный вирус". Мама с жуликами радушно разговаривает и записывает их телефон для передачи нам. Нет, обьяснить ей никак нельзя, нам мама не верит, а верит только Малышевой из телевизора,  старухам-соседкам и жуликам из телефона.

Но криминал эволюционирует. Среди моих друзей люди нестарые, работающие, адекватные, недавно стали жервой компьютерных мошенников.

Моя подруга продавала телефон по Крейглисту. Деньги покупатель  должен был перевести через пейпал. Не знаю как, но сайт пейпала был поддельным. С виду его отличить нельзя, он выглядит абсолютно аутентично.   Она послала свой пpошлогодний айфон, а денег нет и нет. Долго разбиралась с пейпалом. Оказывается, на сайте пейпала слово "пендинг" не означает, что вам перевели деньги и они в пути. Это означает, что вы нам жаловались, мы разбираемся, разобрались, и денег нет. И телефона тоже нет.

Наш знакомый получил звонок по телефону. Говорили с акцентом, но техсаппорт сейчас везде с акцентом. "Хотим вас предупредить, что на вашем компьютере хранится детская порнография.  Мы можем почистить ваш компьютер, услуга стоит за несколько сот долларов". Детская порнография в америке влечет такие последствия, что лучше бы ты кого-нибудь убил.  Человек этот не знает технических возможностей, может, вирус закачал порнографию на его компьютер, пока он гулял по интернету. Пожилой учитель английского в этом не разбирается. Звонивший в телефоне звучал как совершенно нормальный человек.

Учитель дал им номер банковской карты, они "очистили" компьютер и его банковский счет. Учитель, опомнившись, позвонил в банк, но  вернуть эти деньги банк отказывается.  "Вы сами дали им реквизиты вашей карточки, те заплатили добровольно.  У них было ваше разрешение снять деньги."

Похожие звонки часто приходят Лунатику, мы за фалды его держали, чтобы хоть этой разновидности жуликов он денег не давал.

И даже мне пришел угрожающий емейл от интернет-шантажистов. "Мы знаем ваш пассворд. Мы проникли в ваш компьютер и знаем, какие вы посещаете порносайты, и что вы при этом делаете. У нас есть видео с вашей лэптоп камеры, когда вы занимаетесь непотребством прямо перед компьютером. Заплатите деньги, а то мы пошлем запись на ваш экаунт в фейсбук и на экаунты ваших друзей".

Пассворд был настоящий. Я когда-то создала одноразовый пассворд для регистрации на форуме. А форум эти пассворды оптом продает жуликам.

Пoэтому измывательство при регистрации "защититие ваш пассворд, он недостаточно сильный, он должен быть стопитсот букв, цифр и нецезнзурных выражений" бесит меня больше, чем все жулики на свете, вместе взятые. Зачем на двери замок, если в сарае три стены? Пассворды пропадают миллионами не потому, что злоумышленник подсмотрел, как старушка использовала имя любимого внука без знаков препинания. Сами же сайты  и сливают за денежку, или как результат взлома. А виртуальное выедание мозга пассвордом для вашей же защиты - это с больной головы на здоровую голову пользователя, сидящего на кошачьем форуме.

Comments

[experiment8or.livejournal.com]

что такое хаш? я чайник, помните это!

[esya.livejournal.com]

ссылка такая на другое место, которое и хранит

[efimpp.livejournal.com]

нет конечно
результат работы необратимой функции
такой что b = f(a) посчитать легко по b найти a крайне трудно
хранится на сайте b

[esya.livejournal.com]

о, спасибо ...

[experiment8or.livejournal.com]

но если это фунция, одному А соответствует одно Б, и наоборот? Где сложность?

[burdaklak.livejournal.com]

Простой пример.

В качестве а выступают 50 чисел а1, а2,....а50

Вы легко можете посчитать многочлен 50-ой степени (x-a1)*(x-a2)*...*(x-a50)=x^50+b1*x^49+b2*x^48+...+b50

Таким образом легко и непринужденно вы строите функцию
(b1...b50)=f(a1..a50)

но вам крайне сложно будет восстановить a1...a50 зная числа b1...b50, поскольку до сих пор никто не научился находить корни многочлена пятидесятой степени.

А если работать с многочленами 1000-ой степени, то задача усложнится на много порядков.

[efimpp.livejournal.com]

да
только вот пространство этих а и b, скажем 2 в степени 1024
ищите перебором и бог квантовые компьютеры вам в помощь

[experiment8or.livejournal.com]

ой какой ужас, но наконец-то я поняла, где нужны многочлены

[efimpp.livejournal.com]

:-)

[alga.livejournal.com]

Не совсем так. Допустим вычисленный результат длиннее чем пароль, например если банк требует пинкод из 4 десятичных цифр, а его вычисленный hash длиной 8 десятичных цифр, то у нас 100 миллионов разных Б на 10 тысяч А, но это просто побочный эффект. Если на пальцах обьяснять, то припципиально, тут только что 1) каждая цифра в результате неизвестным способом зависит от каждой цифры в пинкоде - для того чтоб отличающиеся на единицу в одной цифре пинкоды выдавали совершенно непохожие hash результаты 2) вычисление достаточно трудоемко - чтобы даже украв с сайта hash пинкода и зная правила по которым он вычисляется, нельзя было бы быстро перепробовать все варианты. Например, допустим достаточно мощный компьютер позволяет вычистить 100000 hash-функций в секунду. Сколько у него займет вычислить
ВСЕ возможные hash результаты для ВСЕХ 4-цифровых пинкодов? 0.1 секунды. И вот здесь появляется важность длинного, бессмысленного, т.е. не находящегося в словаре популярных слов, пароля, использующего большие и маленькие буквы, цифры и знаки препинания. Например перебрать все пароли длиной 8 знаков по этим правилами на том же компьютере займет примерно 230 лет...

[ladycat65.livejournal.com]

Только есть небольшая уязвимость - rainbow tables. Если используется пароль типа "123456" или "MyPassword", то он давно уже попал в такие "радужные таблицы", и восстановить его не составит труда. Используйте кретинские пароли! Они с меньшей вероятностью найдутся в этих таблицах.

[virginian.livejournal.com]

Да есть такое дело. Самое милое дело использовать комбинацию русского и иврита, чтобы эту самую радугу да в одно место!

[ladycat65.livejournal.com]

Я обычно набираю какую-нибудь муть по-русски, но в латинской раскладке, типа RjirfRjcbyj;rf ))) Запоминается легко, не-русскоязычному хакеру догадаться до такого непросто.

[virginian.livejournal.com]

Тоже вариант.

[gxk10.livejournal.com]

Hash это одно из чудес нашего времени, наравне с public key encryption. Это алгоритм, позволяющий любую строчку (и вообще любой объект) превратить в 128 байтов. Чудо в том, что разные строчки дают разные хэши. "Но ведь это невозможно", - скажете вы, - "ведь строчка может быть длиннее 128 символов (байтов), строчек, очевидно, больше, чем хэшей." И будете правы. Однако никому в мире двух таких строк найти пока не удалось. Вероятность этого: 10 в степени -36.
Поэтому в программировании хэш широко используют для сравнения обьектов - если хэш одинаковый, то и обьекты одинаковые. Например, хранят хэш от пароля, а когда юзер вводит пароль, вычисляют хэш и сравнивают. Если базу данных с хэшами паролей, украдут, толку будет немного, поскольку пароль их хэши можно восстановить только перебрав 10^36 комбинаций.

[claude 001 (from livejournal.com)]

>>пароль из хэша можно восстановить только перебрав 10^36 комбинаций
Это только если хэш нормальный, с солью
Если хэш стандартный (тот же md5), да еще и "в лоб" без соли там даже радужные таблицы не нужны - достаточно взять словарь типа "1000 самых популярных паролей", сгенерить все их хеши и вперёд к коммунизму! (по крайней мере, частичному, для тех, чей пароль был простым) :)

[gxk10.livejournal.com]

Я в курсе про соль, просто не хотел усложнять. И еще я не очень верю, что люди используют пароли из списка.
Кстати, нынешняя рекомендация это требовать от пароля не сочетания букв и цифр и не изменения каждый месяц, а несовпадения с базой типичных паролей.

[claude 001 (from livejournal.com)]

Сейчас не могу найти линк на заметку Троя Ханта (troyhunt точка ком, где-то там) - это чувак, который стоит за haveibeenpwned - где он как раз анализировал частотность некоторых словарных паролей. Там довольно внезапные результаты - некоторые простые пароли (причем не типа Qwerty123, а посложнее) встречаются в базе по 50 тысяч раз и более ))) Так что, видимо, перебор по словарю - до сих пор довольно эффективная тактика.