论坛: 黑客进阶 标题: 系统bug 复制本贴地址    
作者: TecZm [teczm]    版主   登录
单机版:进入安全模式,禁用相关进程或直接卸载系统
网络版:使用常规手段进入认证服务器后,停掉服务进程。

拿着RSA的核心算法,怎么敢自称是完全国有化知识产权?佩服


[此贴被 TecZm(teczm) 在 07月26日13时44分 编辑过]


[此贴被 TecZm(teczm) 在 07月26日13时45分 编辑过]

地主 发表时间: 04-02-04 14:22

回复: sinister [sinister]   论坛用户   登录
我觉得主要看产品应用的侧重点,如果说认证口令可绕过可称为改系统的 BUG。认
证系统首先是构架在认为可信操作系统平台之上的应用。就这两点来说,本就不应该是
认证系统去做的事情。而该是操作系统加固产品去解决的问题,这也就说明了无法以一个
安全产品去解决所有安全问题的观点。

如果说是做算法,在你的算法中用到 RAS 等肯定不能叫做完全国有化知识产权。RAS 算法
是公开的,如果只是在产品中应用了其算法作为辅助,那么就可以叫做完全国有化知识产权。
一个公司的安全产品既然可以销售,那么肯定是经过了 XX部XX所的测试、认证才能拿到销
售许可证。关于此类问题国家都有法规。

B1层 发表时间: 04-02-08 02:16

回复: NetDemon [netdemon]   ADMIN   登录
首先我不知道安盟动态口令认证系统是个什么东西,光凭名字理解

照楼主的描述看起来它是运行在用户级的程序。那么,他应该不可能替换了系统的认证,
因此我觉得他根本就不能称是一个认证系统了。也没法和操作系统一起构成一个"系统"

比如saal,sasl通常用来做为邮件的认证。他靠一个sasl-authd的守护进程来完成是系统帐号、还是从一个数据库,还是从一个LDAP目录等等中取得用户资料作认证。如果sasl-authd进程被停止,那么所有依赖于它的认证都失败。但不依赖于他的其他服务并不会受到影响。比如 telnet .ssh 他们并不用sasl作为认证。但是,在unix上,你可以很容易的,通过pam,把系统本身的认证替换、增加或修改,让ssh telnet 等等是从其他的地方、甚至是网络上的另外一台主机取得认证信息而不是从 /etc/passwd 。这和冲杯速溶咖啡一样的容易。
但在Windows上,这些是只有微软才可以更改的东西。要替换系统本身的认证那是比建一个速溶咖啡生产厂还困难的事情吧。因此依赖于系统的东西难免受到很大的牵制。
当然,如果安盟动态口令认证系统是一个已经替换了系统认证的东西,然后进程能够被杀,而且在被杀掉的情况下是全部放行而不是全部拒绝,那么,这就不能说是BUG,而是,这根本就不是一个什么东西了,一点价值都没有的东西。

至于“经过了 XX部XX所的测试、认证,拿到销售许可证”这些,呵呵~~~
我觉得这方面 人际因素和技术因素的比例应该是 98:2

B2层 发表时间: 04-02-08 04:14

论坛: 黑客进阶

20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写:NetDemon

粤ICP备05087286号