stenfordУ меня ламерский вопрос - каким образом хакеры крадут пароли от сайтов? Скажем на сайте аккаунт блокируется после 3-х неудачных попыток. Что-бы перебрать хэши паролей через таблицы - нужно ведь украсть саму базу данных, иначе методом перебора ничего не получится? А если база данных украдена, так и пароли уже особо не нужны.. То-же самое относится к хэшам, зачем хэшировать да еще и с солью - ведь хакер узнает хэш тольно если украдет саму базу?
Хакеру пароль обычно не особо нужен. Иногда ему достаточно просто сделать какое-то действие
от имени залогонненого юзера. А как делают... ну... инструкции тут в форуме давать нельзя.
Иначе будет вроде-как публикация методов взлома.

Но из общеизвестных фактов - это обычно баги в ПО CMS-ок которые документированы,
сырое ПО в стеке LAMP, и детские ошибки в реализации (SQL-инжекция).

Dima TНапример был у меня счет в одном банке, удачно сделанный ИБ, куча функционала, но параноидальная безопасность (смена пароля раз в три месяца, пароль не запоминается в браузере и т.п.) напрочь отбила желание работать с этим банком.
SMS-ка с сеансовым паролем решают проблему. По крайней мере на сегодняшний день.
Вроде-бы случаев кражи СМС-ки не было. Особенно в привязке к хищению денег.

bazilemaytonВроде-бы случаев кражи СМС-ки не было. Особенно в привязке к хищению денег.
Увы, были
http://www.smh.com.au/technology/consumer-security/malware-hijacks-big-four-australian-banks-apps-steals-twofactor-sms-codes-20160309-gnf528.html
http://www.pcworld.com/article/3021930/security/android-malware-steals-one-time-passcodes.html
Мне не грозит. У меня старая Nokia без Андроида.

P.S. Легаси тоже имеет свои преимущества....

Работал троян очень интересно: пропатчил Java (на которой написан и-банк), сгенерил и подписал платежки когда с ИБ работали (банк дал эти платежки, я лично проверял ЭЦП, подпись верна)
Я-бы предложил разделить инфо-безопасность в целом и некоторые ее разделы
(криптография) касающиеся логинов-паролей-сертификатов, https/ssl e.t.c.

Информационная безопасность гораздо шире чем просто криптография к примеру.

Криптография в чистом виде (по Брюсу Шнайеру) оперирует субъектами A, B, C, которые
используют крипто-средства. И не защищенный канал на котором может быть все что угодно.
Изменение любого сообщения (сетевой пакет), удаление сообщения и переадресация.
При этом предполагается что A,B,C (Алиса, Боб и Кларк) используют клиентское ПО
полностью чистое от троянов и шпионов.

Если мы затронем такую тему как трояны - то мы уедем очень далеко....

Если к примеру ПО от Microsoft (Remote desktop ) или сломанный TeamViewer просто следит удаленно
за моим скрином и клипбордом то грош цена вообще всем-всем моим ухищрениям с паролями и экранным
клавиатурам. Меня (теоретически) уже поимели.

Вобщем давайте тему троянов - отдельным топиком - как необходимое и достаточное условие про начало
диалога о построении чего-то безопасного в принципе.

Кстати господин Касперский (который Евгений) не верит в антивирусы и считает
что будущее - за тотальной цифровой сертификацией и подписыванием всех
публикуемых бинарей. Я с ним не до конца согласен т.к. не представляю
модель распространения или навязывания ПО. Но в этом что-то есть.
Хотя надо очень сильно сломать мозг юзеру и перейти от анонимных
магазинов ПО к клубам с круговой подпиской (поручительством)
на основе коллегиально выбранного сообщества или сообществ
экспертов в инфо-безопасности.

Антивирусы при этом как класс ПО останутся но перестанут играть ключевую
роль. Более важный вопрос не то что скажет сканер а то - кто написал
проверяемое ПО и каков уровень доверия к нему от сообщества.

Про осла, груженного золотом еще писали в древних книгах....

15 лет понадобилось для MS-SQL чтобы создать аналог Oracle Label Security (since 9i (2001 год примерно))