Как люди прокалываются

[vitus_wagner]

http://krebsonsecurity.com/2014/09/dread-pirate-sunk-by-leaky-captcha/

Говорил великий batareegryz «Если готовишь салат в пыточной камере, не клади туда осьминога».

Аналогично, если ты делаешь нелегальный сайт, не важно, политический или торгующий за биткойны неодобряемыми правительством вещами, не используй веб-сервисов, не важно, коммерческих или некоммерческих. Все что попадает юзеру в браузер должно идти с твоего сайта. Иначе, если к тебе на страницу встроена, ну скажем, каптча с открытого интернет сервиса, плакала анонимность твоих юзеров. Придут с ордером туда, посмотрят логи, найдут там referer с твоего сайта...

Comments

[max630.livejournal.com]

Есть мнение, что вся эта сага о том как ловили silkroad - типа зашли через сервис капчи или случайно запалили автора на SO - есть только версия для публики, а в реальности действовала NSA магия. Если б я не верил в силу many eyeballs (причём пассивно, сам я алгоритмы и код tor не проверял и думаю даже не обладаю достаточными знаниями чтобы это сделать), я бы даже склонялся к тому же самому.

[max630.livejournal.com]

но вообще good catch, да

[amarao-san.livejournal.com]

Существует конспирологическая теория, что "кривую капчту" ему сфабриковали после того, как поймали на чём-то другом, что не могут показать в суде (ибо нелегальное доказательство - всё обвинение рушится).

Ждём, что сам Ульрих скажет после ревью дампа своего сервера.

[vitus_wagner]

А какая разница, сфабриковали ему или не сфабриковали. Не использовал бы сервиса, не могли бы сфабриковать. Но вообще это ему, конечно кармическое наказание за использование капчи.

[maksa.livejournal.com]

А можно про осьминога пояснить?

[vitus_wagner]

Пояснить трудно. Надо прочитать вот это, чтобы понять.

[kant-elz.livejournal.com]

Ничего не понял... Почему нельзя осьминога класть в салат?

[vitus_wagner]

Для того, чтобы это понять, нужно читать великое произведение "Наббла-квадрат", ссылку я тут в комментариях уже давал.

[kant-elz.livejournal.com]

Но я и произведение не понял. :о))

[the-anonymi.livejournal.com]

Там вообще речь о том, что они не просто капчу запихнули, но отправляли с сервера силка запросы (такова модель рекапчи — для проверки, правильно ли пользователь ввел капчу, надо об этом спросить их сервер) на сервер рекапчи напрямую, а не через тор. Вот айпи сервера и заметили в FBI.