apakah randomart yang dikeluarkan oleh ssh-keygen?
<p>ketika anda menghasilkan kunci, anda mendapatkan "randomart" dari versi openssh yang lebih baru. saya tidak dapat menemukan penjelasan mengapa, dan untuk apa saya seharusnya menggunakannya.</p><pre><code>generating public/private rsa key pair. the key fingerprint is: 05:1e:1e:c1:ac:b9:d1:1c:6a:60:ce:0f:77:6c:78:47 you@i the key's randomart image is: +--[ rsa 2048]+ | o=. | | o o++e | | + . ooo. | | + o b.. | | = *s. | | o | | | | | | | ++ generating public/private dsa key pair. the key fingerprint is: b6:dd:b7:1f:bc:25:31:d3:12:f4:92:1c:0b:93:5f:4b you@i the key's randomart image is: +--[ dsa 1024]+ | o.o | | .= e.| | .b.o| | .= | | s = .| | . o . .= | | . . . oo.| | . o+| | .o.| ++ </code></pre>
<p>randomart dimaksudkan sebagai cara yang lebih mudah bagi manusia untuk memvalidasi kunci.</p><p>validasi biasanya dilakukan dengan perbandingan string yang tidak berarti (yaitu representasi heksadesimal dari sidik jari kunci), yang manusia cukup lambat dan tidak akurat dalam membandingkan. randomart menggantikan ini dengan gambar terstruktur yang lebih cepat dan lebih mudah untuk dibandingkan.</p><p>makalah ini <a href="http://www.ece.cmu.edu/~adrian/projects/validation/validation.pdf">"hash visualisasi: teknik baru untuk meningkatkan keamanan dunia nyata", perrig a. dan song d., 1999, workshop internasional tentang teknik kriptografi dan e-commerce (cryptec '99) "</a> menjelaskan beberapa teknik dan kelebihan.</p>
<p><code>environ</code> adalah pointer ke pointer, karena memiliki tipe <code>char **environ</code>.</p><p>anda harus mencoba sesuatu seperti:</p><pre><code>(gdb) x/s *((char **)environ) 0xbffff688: "ssh\_agent\_pid=2107" (gdb) x/s *((char **)environ+1) 0xbffff69b: "shell=/bin/bash" </code></pre> <p>katakanlah anda memiliki tabel tempat anda menyimpan kata sandi untuk setiap orang.</p><p>untuk "menyimpan" kata sandi yang dihasilkan, lakukan hal berikut</p><ol> <li>dapatkan login dari pengguna</li> <li>dapatkan kata sandi</li> <li>menghasilkan garam dari nilai acak. katakanlah, dari/dev/random (seperti yang disarankan @michal), anda mendapat "a12bc34de56fg"</li> <li>gunakan beberapa fungsi hashing untuk menghasilkan kata sandi hash. katakanlah kata sandi asli adalah "1 kata sandi" dan anda akan menggunakan hashing sha. anda akan melakukannya</li> </ol><p>hashed\_password = sha (sha (sha (.... sha ("1passworda12bc34de56fg")))))))))))</p><p>simpan kata sandi, dengan login dan garam, di tabel.</p><pre><code>login password salt  john a7b82783... a12bc34de56fg </code></pre><p>dan kemudian, untuk memverifikasi ketika pengguna mengakses aplikasi anda:</p><ol> <li>dapatkan login dan kata sandi</li> <li>ambil garam untuk login dari database (anda akan mendapatkan garam: a12bc34de56fg)</li> <li>gabungkan kata sandi teks biasa dengan garam dan lakukan semua hashing lagi:</li> </ol><p>hashed\_password = sha (sha (sha (.... sha ("1passworda12bc34de56fg")))))))))))</p><p>verifikasi apakah hashed\_password yang anda hitung sama dengan yang disimpan dalam database. anda akan tahu apakah kata sandi itu benar atau tidak.</p><p>itu dia!. anda bisa mendapatkan garam dari sumber acak yang anda suka. kenapa harus acak? karena garam non-acak akan membuatnya lebih mudah untuk mencoba memaksa aplikasi anda.</p> <p>secara pribadi, saya akan menghindari beberapa protokol enkripsi sebagian besar waktu. ini menambah kompleksitas implementasi tambahan yang signifikan tanpa membuat data anda lebih aman di dunia nyata, kecuali jika protokol enkripsi yang anda gunakan pada akhirnya rusak atau menjadi layak secara komputasi di kemudian hari untuk dilanggar.</p><p>memang, saya akan tidak setuju dengan orang lain yang mengklaim bahwa dengan melakukan itu anda memiliki permukaan serangan yang lebih besar dan meningkatkan kerentanan anda. sementara permukaan serangan secara teknis meningkat (anda dapat menyerang blowfish; anda dapat menyerang aes), karena anda harus berhasil menyerang kedua keamanan anda tidak menurun. (anggap pesan anda dienkripsi berlipat ganda dengan cara bersarang (apa pun yang tidak masuk akal) dengan kunci/frasa sandi independen seperti <code>multiply\_encrypted\_file = blowfish(aes(file))</code>. jika penyerang mendapatkan <code>multiply\_encrypted\_file</code> itu adalah sama sekali tidak lebih lemah daripada mendapatkan <code>encrypted\_file = aes(file)</code> meskipun anda harus berhati-hati <a href="https://security.stackexchange.com/questions/18087/is-multiple-encryption-a-good-idea#comment29578\_18089">mengekspos diri anda terhadap serangan plaintext yang diketahui</a> yang dapat melemahkan keamanan jika anda menggunakan kunci/frasa sandi yang sama di semua tingkatan dan memiliki header/struktur file yang dapat ditebak setelah dekripsi tingkat pertama). bahkan jika mereka menemukan kelemahan yang dapat dieksploitasi dalam enkripsi <code>blowfish</code>, mereka masih hanya dapat membalikkannya dan kemudian menemukan file terenkripsi aes.</p><p>namun, saya menggunakan beberapa lapis enkripsi hampir setiap hari ketika ada alasan yang sah untuk itu dan memberikan keamanan ekstra. sebagai contoh, saya sering harus terhubung ke komputer kantor dari rumah saya, tetapi untuk keamanan komputer kantor berada di intranet pribadi, yang dipadamkan dari dunia luar.</p><p>untuk menghubungkan, saya pertama-tama membuat terowongan vpn melalui internet publik ke server vpn yang menghadap publik yang memverifikasi identitas saya yang bertindak sebagai gateway ke intranet. kemudian semua lalu lintas jaringan saya mengirim melalui internet antara rumah saya dan pekerjaan yang dienkripsi menggunakan protokol ipsec oleh vpn ke server vpn yang mendekripsi dan meneruskannya ke mesin lokal seolah-olah itu di intranet lokal. namun, saya kemudian mungkin ingin terhubung ke sesuatu di tempat kerja menggunakan <code>ssh</code> atau <code>https</code>. ini memberikan lapisan enkripsi untuk intranet lokal di tempat kerja, sehingga rekan kerja saya tidak bisa mengatakan menguping koneksi jaringan saya. namun, bagi seseorang di isp saya yang mengambil paket data yang mereka lihat telah dienkripsi berlipat ganda: <code>vpn\_encryption(ssh\_encryption(actual\_data\_to\_be\_transferred))</code>. sekali lagi, saya tidak menggunakan protokol ssh (di atas vpn) untuk membuat data saya lebih aman terhadap isp saya yang menguping; tetapi sama sekali tidak membuatnya lebih mudah bagi isp saya untuk menguping).</p><hr><p>edit: beberapa tetap berpendapat bahwa implementasi akan jauh lebih sulit daripada enkripsi standar, tetapi tidak harus. untuk menunjukkan, saya pertama-tama mengimplementasikan blowfish/aes di python menggunakan <a href="https://www.dlitz.net/software/pycrypto/">pycrypto</a> :</p><pre><code>from crypto.cipher import blowfish, aes from crypto import random from hashlib import sha256, sha512 def encrypt(plaintext, key, crypto\_class): block\_size = crypto\_class.block\_size iv = random.new().read(block\_size) cipher = crypto\_class.new(key, crypto\_class.mode\_cbc, iv) pad\_len = block\_size - (len(plaintext) % block\_size) padding = ''.join([chr(pad\_len)]*pad\_len) encrypted\_msg = iv + cipher.encrypt(plaintext + padding) return encrypted\_msg def decrypt(encrypted\_msg, key, crypto\_class): block\_size = crypto\_class.block\_size iv = encrypted\_msg[:block\_size] cipher = crypto\_class.new(key, crypto\_class.mode\_cbc, iv) padded\_msg = cipher.decrypt(encrypted\_msg[block\_size:]) pad\_len = ord(padded\_msg[-1]) msg = padded\_msg[:len(padded\_msg)-pad\_len] return msg </code></pre><p>yang digunakan dalam python seperti:</p><pre><code>&gt;&gt;&gt; plaintext = """confidential info: wall street does insider trading. also, israel has nuclear weapons.""" &gt;&gt;&gt; passphrase = 'dinner artist mere trace metal thirty warp better' &gt;&gt;&gt; key1 = sha256(passphrase).digest()[0:16] # use 16-bytes=128bits for aes128 &gt;&gt;&gt; key2 = sha512(passphrase).digest()[0:56] # 56 bytes max for blowfish. # ideally independent keys but based on same passphrase for simplicity &gt;&gt;&gt; aes\_encrypted\_msg = encrypt(plaintext, key1, aes) # '\r\xd0\x8e\x11\xbd\x9cn3\xd3\xa7a\xce\xd7\x15\xb4\xb2\xd7@\nbv\x95\xe0\xdb\xd0\xd2\xf2k\x9b\xcd\x80\xc0xr\xb7\x8d/\x16=\xfadv\xf0\xe2\xc8"x,\xa6\xf8\xed\x8b\xee#\xe1\xd1\xd4u4*0\x07\x11\x08\xc5\xe3\x98\r5\x018\xa5\xf1\x84\xb4\x90\xbc\x12\x80e\xbd\xe9\tn\xe1m\x92\xbb=\x06\r\xfe(\xe8\x12\xc7\x86=\n\x0f\x00\xa1r\xe6\x9c\xca\xaa\x15\xc1(\xaa\xe6' &gt;&gt;&gt; print decrypt(aes\_encrypted\_msg, key1, aes) confidential info: wall street does insider trading. also, israel has nuclear weapons. &gt;&gt;&gt; blowfish\_encrypted\_msg = encrypt(plaintext, key2, blowfish) # "a\xd2\xe5mf\xac\x81f\xe9q\xbd.\xd9swa\x8a)\xcc\x84s\x08\x00\x84\xc6y\xf5\xa1\x16\x88jauof\t4\xa2\xf2b\x89s\xaa\xa6\xb3\xda\xe2\xdd\xff\x0f\xc2\xe2\x1dw\xf6\x840\xe9\x08eje\xfa\x14\xb77\x99\x00a\xe0\xcd\xaf\xbe\x83\x08\xc0'\x81\x8b\x85\xf0\xdaxt\x94!o\xd0\x07\x0f#\xae$,\x91q" &gt;&gt;&gt; print decrypt(blowfish\_encrypted\_msg, key2, blowfish) confidential info: wall street does insider trading. also, israel has nuclear weapons. </code></pre><p>sekarang, anda dengan detail minimal anda dapat mengimplementasikan sesuatu seperti:</p><pre><code>def double\_encrypt\_using\_keys(plaintext, key1, key2): tmp\_encrypted\_msg = encrypt(plaintext, key1, aes) encrypted\_msg = encrypt(tmp\_encrypted\_msg, key2, blowfish) return encrypted\_msg def double\_decrypt\_using\_keys(encrypted\_msg, key1, key2): tmp\_encrypted\_msg = decrypt(encrypted\_msg, key2, blowfish) plaintext = decrypt(tmp\_encrypted\_msg, key1, aes) return plaintext def passphrase\_to\_keys(passphrase): return sha256(passphrase).digest()[0:16], sha512(passphrase).digest()[0:56] def double\_encrypt(plaintext, passphrase): return double\_encrypt\_using\_keys(plaintext, *passphrase\_to\_keys(passphrase)) def double\_decrypt(encrypted\_msg, passphrase): return double\_decrypt\_using\_keys(encrypted\_msg, *passphrase\_to\_keys(passphrase)) </code></pre><p>yang bisa digunakan seperti:</p><pre><code>&gt;&gt;&gt; double\_encrypted\_msg = double\_encrypt(plaintext, passphrase) # '\xe9\xcd\x89\xed\xb1f\xd4\xbel\xcb\x8b2!\x98\xf0\xe7\xcd.\xefe\x1b\x92&gt;\x82(\x8dg\xdaus\x8f!\xe2rgkj\xfb\xed\xb0\x10~n\xae\xe1\xce\x10\xf0\xa4k\x9f\xe6\xff\x8b\x7f\xdex]\x9a&lt;\x9d\xc7\xa9\xb8\x9a\xbbx\xa4\xcekoa\xbc=)\xcc\xe6r\xd7\xb7\xd0[\xc3\xfc\xbfou\x86\x18\xec5\xa9n\xed\xaa=\x9f\x06.\xbd\x0cmy\xcch\r\xf8\x8cr\xc0\xc5\xdeo\xef\xb0\xe01\x162\xaf\xf2\x1f\xd5\xb5"\x8a\xea\x96' &gt;&gt;&gt; print double\_decrypt(double\_encrypted\_msg, passphrase) confidential info: wall street does insider trading. also, israel has nuclear weapons. </code></pre><p>saya tidak melihat bagaimana implementasi multiply-terenkripsi memiliki lebih banyak permukaan serangan dan lebih lemah daripada implementasi tunggal. implementasi ke dunia luar masih dapat memasukkan kata sandi untuk mendekripsi file yang disimpan.</p> Key Smadav Pro Anda telah kami kirimkan, silakan periksa kembali Inbox/Spam pada EMail Anda.  

  

Kami ingatkan, "Key Smadav Pro akan dikirimkan maksimal 2x24 jam setelah proses konfirmasi pembelian".  

  

Maka, jika baru beberapa jam konfirmasi pembelian tidak jua mendapat Key Smadav Pro, harap bersabar!  

  

Terima kasih atas pengertiannya.  

  

Wassalam,  

  

Ryan Bekabe  

Smadav Team Apakah kamu bisa membantu saya mencari kode pembukaan 12 angka saya. yang terkunci di akun coc .


![](https://img-25.ccm2.net/glzNaNcpU1WaTH6_TvcGboeIywk=/348280217b6d4769a6ddc236e0810fbe/ccm-ugc/Screenshot_20190509-080442.png) <p>ya, berisi sensitif huruf. anda dapat menggunakan java.util.regex.pattern dengan flag case\_insensitive untuk pencocokan yang tidak sensitif huruf:</p><pre><code>pattern.compile(pattern.quote(wantedstr), pattern.case\_insensitive).matcher(source).find(); </code></pre><p><strong>edit:</strong> jika s2 berisi karakter khusus regex (yang jumlahnya banyak) penting untuk mengutip terlebih dahulu. saya sudah mengoreksi jawaban saya karena ini adalah yang pertama kali dilihat orang, tetapi pilih matt quail sejak dia menunjukkan ini.</p> <p>pertanyaan bagus! ketika itu terjadi, saya dapat menyajikan data eksperimental tentang pertanyaan ini - dan datanya menarik. (saya perhatikan bahwa beberapa jawaban berisi spekulasi dari prinsip pertama tentang seberapa banyak keamanan yang ditawarkan gambar keamanan ini. namun, data ternyata memiliki beberapa kejutan bagi kita semua!)</p><p><strong> metodologi eksperimental. </strong> "gambar keamanan" telah dievaluasi dalam studi pengguna, dilakukan dengan pengguna biasa yang diminta melakukan perbankan online di lab. tanpa diketahui oleh mereka, beberapa dari mereka 'diserang' dengan cara yang terkendali, untuk melihat apakah mereka akan berperilaku aman atau tidak dan apakah gambar keamanan membantu atau tidak.</p><p>para peneliti mengevaluasi dua serangan:</p><ul> <li> <p>serangan mitm: para peneliti mensimulasikan serangan man-in-the-middle yang menghapus ssl. satu-satunya indikasi serangan yang terlihat adalah kurangnya indikator https (tidak ada https di bilah alamat, tidak ada ikon kunci, dll.).</p> </li> <li> <p>serangan gambar keamanan: para peneliti mensimulasikan serangan phishing. dalam serangan ini, sepertinya pengguna berinteraksi dengan situs bank nyata, kecuali bahwa gambar keamanan tidak ada. sebagai gantinya, serangan menempatkan teks berikut:</p> <blockquote> <p>pemberitahuan mainkey sitekey: bank of america sedang meningkatkan fitur sitekey pemenang penghargaan kami. silakan hubungi layanan pelanggan jika sitekey anda tidak muncul kembali dalam 24 jam ke depan.</p> </blockquote> <p>saya menemukan ini serangan yang brilian. daripada mencoba mencari tahu apa gambar keamanan untuk ditampilkan kepada pengguna, jangan menunjukkan gambar keamanan sama sekali, dan hanya mencoba untuk meyakinkan pengguna bahwa tidak apa-apa bahwa tidak ada gambar keamanan. jangan mencoba mengalahkan sistem keamanan di tempat yang paling kuat; hanya memotong semuanya dengan merusak fondasinya.</p> </li> </ul><p>bagaimanapun, para peneliti kemudian melanjutkan untuk mengamati bagaimana perilaku pengguna ketika mereka diserang dengan cara ini (tanpa sepengetahuan mereka).</p><p><strong> hasil percobaan. </strong> hasilnya? serangan itu sangat sukses.</p><ul> <li> <p>tidak ada satu pengguna pun yang menghindari serangan mitm; setiap orang yang terkena serangan mitm jatuh cinta padanya. (tidak ada yang memperhatikan bahwa mereka diserang.)</p> </li> <li> <p>97% dari mereka yang terkena serangan gambar keamanan jatuh untuk itu. hanya 3% (2 dari 60 peserta) yang berperilaku aman dan menolak untuk masuk ketika terkena serangan ini.</p> </li> </ul><p><strong> kesimpulan. </strong> biarkan saya mencoba untuk mengambil beberapa pelajaran dari percobaan ini.</p><ul> <li> <p>pertama, <em> gambar keamanan tidak efektif</em>. mereka mudah dikalahkan oleh teknik serangan yang sangat sederhana.</p> </li> <li> <p>kedua, ketika menilai mekanisme keamanan apa yang akan efektif, <em> intuisi kami tidak dapat diandalkan</em>. bahkan pakar keamanan profesional dapat menarik kesimpulan yang salah. misalnya, lihat utas ini, di mana beberapa orang telah mengambil pandangan bahwa gambar keamanan menambah keamanan karena mereka memaksa penyerang untuk bekerja lebih keras dan menerapkan serangan mitm. dari percobaan ini, kita dapat melihat bahwa argumen ini tidak tahan air. memang, serangan yang sangat sederhana (mengkloning situs web dan mengganti gambar keamanan dengan pemberitahuan yang mengatakan fitur gambar keamanan saat ini sedang dalam pemeliharaan) sangat berhasil dalam praktiknya.</p> <p>jadi, ketika keamanan suatu sistem tergantung pada bagaimana pengguna akan berperilaku, penting untuk melakukan eksperimen yang ketat untuk mengevaluasi bagaimana pengguna biasa benar-benar akan berperilaku dalam kehidupan nyata. intuisi dan analisis "dari prinsip pertama" kami bukan merupakan pengganti data.</p> </li> <li> <p>ketiga, <em> pengguna biasa tidak berperilaku seperti yang diharapkan oleh petugas keamanan</em>. kadang-kadang kita berbicara tentang protokol sebagai "pengguna akan melakukan ini-dan-itu, maka server akan melakukan ini-dan-itu, dan jika pengguna mendeteksi penyimpangan, pengguna akan tahu dia sedang diserang". tapi bukan itu yang dipikirkan pengguna. pengguna tidak memiliki pola pikir mencurigakan yang dimiliki petugas keamanan, dan keamanan tidak ada di garis depan pikiran mereka. jika ada sesuatu yang tidak beres, seorang pakar keamanan mungkin curiga dia sedang diserang - tetapi itu biasanya bukan reaksi pertama dari pengguna biasa. pengguna biasa begitu terbiasa dengan kenyataan bahwa situs web tidak stabil sehingga reaksi pertama mereka, setelah melihat sesuatu yang aneh atau tidak biasa, sering mengabaikannya dan menganggap bahwa internet (atau situs web) tidak berfungsi dengan baik di saat. jadi, jika mekanisme keamanan anda bergantung pada pengguna untuk menjadi curiga jika isyarat tertentu tidak ada, itu mungkin karena alasan yang lemah.</p> </li> <li> <p>keempat, <em> tidak realistis untuk mengharapkan pengguna memperhatikan tidak adanya indikator keamanan</em>, seperti ikon kunci ssl. saya yakin kita semua bermain "simon says" sebagai seorang anak. kesenangan dari permainan ini sepenuhnya - bahkan ketika anda tahu untuk menjaganya - mudah untuk mengabaikan ketiadaan isyarat "simon says". sekarang pikirkan tentang ikon ssl. mencari ikon ssl bukan tugas utama pengguna, saat melakukan perbankan online; sebaliknya, pengguna biasanya hanya ingin membayar tagihan mereka dan menyelesaikan tugasnya sehingga mereka dapat beralih ke sesuatu yang lebih berguna. betapa jauh lebih mudah untuk gagal menyadari ketidakhadirannya, dalam keadaan itu!</p> </li> </ul><p>omong-omong, anda mungkin bertanya-tanya bagaimana industri perbankan merespons temuan ini. bagaimanapun, mereka menekankan fitur gambar keamanan mereka (dengan berbagai nama pemasaran) kepada pengguna; jadi bagaimana mereka bereaksi terhadap penemuan bahwa fitur gambar keamanan pada dasarnya tidak berguna? jawab: belum. mereka masih menggunakan gambar keamanan. dan jika anda bertanya kepada mereka tentang respons mereka, respons tipikal adalah bentuk "well, pengguna kami benar-benar menyukai dan menghargai gambar keamanan". ini memberi tahu anda sesuatu: itu memberi tahu anda bahwa gambar keamanan sebagian besar merupakan bentuk teater keamanan. mereka ada untuk membuat pengguna merasa nyaman dengan prosesnya, lebih dari sekadar melindungi dari serangan serius.</p><p><strong> referensi. </strong> untuk detail lebih lanjut dari percobaan yang saya rangkum di atas, bacalah makalah penelitian berikut ini:</p><ul> <li> <a href="http://www.hefestus.com/home/emperor.pdf?attredirects=0">indikator keamanan baru kaisar</a> . stuart e. schechter, rachna dhamija, andy ozment, dan ian fischer. ieee security &amp; privacy 2007. (edit: <a href="https://dd72fcf2-a-62cb3a1a-s-sites.googlegroups.com/site/ianfischercv/emperor.pdf?attachauth=anoy7cqijanrnsh713t4wlclulsrwrumv-z5xfa2ir84zunvyescozzylmx1n7n0ehiwcuzz1p4pw7appcpzrxw9t42wqblsgp9bazcmmvn4aizflfgz2me-uut9udirnbzqmhe2j2yabekfaoxuk0q3pvdkcks2ynarlonbhpgouynvog5wqn5wgpzjmgjuutrkbk8hlodqyd5wmyhdxyttjd7dnx\_mow%3d%3d&amp;attredirects=0">tautan yang diperbarui</a> )</li> </ul> <p>kamu bisa menggunakan <code>git reflog</code> dalam klon dan checkout komit terakhir sebelum ini terjadi.</p><p>itu terjadi karena <code>.git/config</code> pada server web anda (dalam direktori repo kloning) menyertakan url jarak jauh dan orang-orang menambahkan nama pengguna: kata sandi di dalamnya yang seharusnya tidak pernah terjadi - orang harus menggunakan ssh, menggunakan kunci atau mengotentikasi pada setiap tarikan. jangan pernah menyimpan kredensial anda dalam file konfigurasi. gunakan pembantu kredensial.</p><p>sumber: <a href="https://www.reddit.com/r/git/comments/bk1eco/comment/emg3cxg">https://www.reddit.com/r/git/comments/bk1eco/comment/emg3cxg</a> </p><blockquote> <p>halo, ini aku, lelaki dengan cadanganmu ..</p> <p>saya akan mengungkapkan dosa-dosa anda</p> <p>ini adalah artikel dari tahun 2015, yang lebih rinci, <a href="https://en.internetwache.org/dont-publicly-expose-git-or-how-we-downloaded-your-websites-sourcecode-an-analysis-of-alexas-1m-28-07-2015/">https://en.internetwache.org/dont-publicly-expose-git-or-how-we-downloaded-your-websites-sourcecode-an-analysis -of-alexas-1m-28-07-2015 /</a> </p> </blockquote><p>artikel oleh internetwache tentang hal ini: <a href="https://en.internetwache.org/dont-publicly-expose-git-or-how-we-downloaded-your-websites-sourcecode-an-analysis-of-alexas-1m-28-07-2015/">https://en.internetwache.org/dont-publicly-expose-git-or-how-we-downloaded-your-websites-sourcecode-an-analysis-of-alexas- 1m-28-07-2015 /</a> </p><p>untuk mencegah hal ini memblokir akses ke direktori yang dimulai dengan titik, lihat <a href="https://github.com/h5bp/html5-boilerplate/blob/master/dist/.htaccess#l528-l551">https://github.com/h5bp/html5-boilerplate/blob/master/dist/.htaccess#l528-l551</a> </p><pre><code># - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - # block access to all hidden files and directories with the exception of # the visible content from within the `/.well-known/` hidden directory. # # these types of files usually contain user preferences or the preserved # state of an utility, and can include rather private places like, for # example, the `.git` or `.svn` directories. # # the `/.well-known/` directory represents the standard (rfc 5785) path # prefix for "well-known locations" (e.g.: `/.well-known/manifest.json`, # `/.well-known/keybase.txt`), and therefore, access to its visible # content should not be blocked. # # https://www.mnot.net/blog/2010/04/07/well-known # https://tools.ietf.org/html/rfc5785 &lt;ifmodule mod\_rewrite.c&gt; rewriteengine on rewritecond %{request\_uri} "!(^|/)\.well-known/([^./]+./?)+$" [nc] rewritecond %{script\_filename} -d [or] rewritecond %{script\_filename} -f rewriterule "(^|/)\." - [f] &lt;/ifmodule&gt; </code></pre><p>atau pisahkan <code>.git</code> direktori dan data menggunakan <code>--separate-git-dir</code>.</p><blockquote> <p>--separate-git-dir = &lt;git dir&gt;<br> alih-alih menginisialisasi repositori sebagai direktori ke $ git\_dir atau ./.git/, buat file teks di sana yang berisi path ke repositori yang sebenarnya. file ini bertindak sebagai tautan simbolis filesystem-agnostic git ke repositori.</p> <p>jika ini adalah inisialisasi ulang, repositori akan dipindahkan ke jalur yang ditentukan.</p> </blockquote><p>tetapi yang terbaik adalah <code>rm -rf .git</code> setelah penyebaran - yang seharusnya hanya menyalin artefak build ke tujuan menggunakan <code>rsync</code>.</p><p> <a href="https://git-scm.com/docs/git-init#documentation/git-init.txtseparate-git-dirltgitdirgt">https://git-scm.com/docs/git-init#documentation/git-init.txtseparate-git-dirltgitdirgt</a> </p><blockquote> <p>--separate-git-dir = &lt;git dir&gt;<br> alih-alih menempatkan repositori yang dikloning di tempat yang seharusnya, letakkan repositori yang dikloning pada direktori yang ditentukan, kemudian buat tautan simbolik git filesystem-agnostik ke sana. hasilnya adalah repositori git dapat dipisahkan dari pohon kerja.</p> </blockquote><p> <a href="https://git-scm.com/docs/git-clone#documentation/git-clone.txtseparate-git-dirltgitdirgt">https://git-scm.com/docs/git-clone#documentation/git-clone.txtseparate-git-dirltgitdirgt</a> </p><p> <a href="https://stackoverflow.com/a/8603156/753676">https://stackoverflow.com/a/8603156/753676</a> </p><p>informasi tentang kunci penyebaran dan bantuan kredensial:</p><p> <a href="https://developer.github.com/v3/guides/managing-deploy-keys/">https://developer.github.com/v3/guides/managing-deploy-keys/</a> </p><blockquote> <p>menyebarkan kunci hanya-baca secara default, tetapi anda bisa memberinya akses tulis saat menambahkannya ke repositori.</p> </blockquote><p> <a href="https://gist.github.com/zhujunsan/a0becf82ade50ed06115">https://gist.github.com/zhujunsan/a0becf82ade50ed06115</a> </p><p> <a href="https://help.github.com/en/articles/caching-your-github-password-in-git">https://help.github.com/en/articles/caching-your-github-password-in-git</a> </p><p>gunakan <code>git push -u origin master -f &amp;&amp; git push --tags -f</code> dari klon lokal anda ke push semua referensi untuk master, tag dan seterusnya ke remote dan kemudian aktifkan 2fa di akun anda.</p><p>jika lebih banyak cabang yang terpengaruh gunakan <code>git push -u --all -f</code></p><p>aktifkan juga 2fa untuk mengurangi kemungkinan serangan semacam itu.</p><p><strong> harap jangan lupa untuk mengubah semua login/kata sandi yang dikompromikan dan mencabut setiap sesi yang tidak dikenal. </strong></p> <p><strong>ji dns</strong> - banyak alat sniffing paket melakukan pencarian alamat ip untuk memberikan nama dns menggantikan nama alamat ip. untuk mengujinya, anda harus meletakkan kartu jaringan ke mode promiscuous dan mengirimkan paket ke jaringan yang ditujukan untuk host palsu. jika ada pencarian nama dari host palsu terlihat, sniffer mungkin beraksi pada host yang melakukan pencarian.</p><p><strong>arp test</strong> - ketika dalam mode bebas pilih-pilih driver untuk kartu jaringan memeriksa alamat mac adalah kartu jaringan untuk paket unicast, tetapi hanya memeriksa oktet pertama dari alamat mac terhadap nilai 0xff untuk tentukan apakah paket tersebut disiarkan atau tidak. perhatikan bahwa alamat untuk paket siaran adalah ff: ff: ff: ff: ff: ff. untuk menguji cacat ini, jika anda mengirim paket dengan alamat mac ff: 00: 00: 00: 00: 00 dan alamat ip tujuan host yang benar. setelah menerima paket, os microsoft menggunakan driver cacat akan merespons saat dalam mode promiscuous. mungkin itu terjadi hanya dengan driver ms default.</p><p><strong>ether ping test</strong> - dalam kernel linux yang lebih tua ketika kartu jaringan ditempatkan dalam mode promiscuous setiap paket diteruskan ke os. beberapa kernel linux hanya melihat alamat ip dalam paket untuk menentukan apakah mereka harus diproses atau tidak. untuk menguji cacat ini, anda harus mengirim paket dengan alamat mac palsu dan alamat ip yang valid. kernel linux yang rentan dengan kartu jaringan mereka dalam mode promiscuous hanya melihat alamat ip yang valid. untuk mendapatkan respons, pesan permintaan gema icmp dikirim dalam paket palsu yang mengarah ke host yang rentan dalam mode promiscuous untuk merespons.</p><p>mungkin ada lagi, tes dns untuk saya adalah yang paling dapat diandalkan</p> 👍 pada artikel ini membahas tentang cara membuat angka 1 dalam lingkaran posting. saya asumsikan anda sudah mempunyai kodenya,apabila bel... ...