Система идентификации в CommFort 4

[wizard50]

А насчёт подставы одного пользователя другим то тут уж вы чуточку загнули....Почему?Просто потому-что человек при смене мака получает новый айпи адрес,который уже возможно используется в сети!Вот вам факт на лицо!
Продолжать наверное больше не буду,нодоело быть попугаем в данной тематике...

теоретически корректно настроеный DHCP сервер не выдаст новому маку IP-адрес, уже использующийся в сети за ПК с таким же маком и присутствующим в момент выдачи, даже если он (последний пк) находится в том же самом сетевом сегменте, что и первый.

Возможно и так,но ни разу вам уважаемый Niggaz не приходилось сталкиваться с проблемой как при входе в сеть(включении компьютера) выбивает в нижнем левом углу маленькое окошко с надписью :Такое айпи уже используется в сети! ?

Нормально настроенный DHCP не даст один и тот же IP двум компьютерам. А какое это имеет отношение к чату?

[Niggaz]

я об этом же. например, взять китайские сетевухи с одинаковыми маками. на каждую выдаётся разный IP, не смотря на одинаковый мак. таким образом, забанив 1 мак можно забанить кучу юзеров))

[Chudik]

Вы знаете какое бы ни было програмное обеспечение мы просим не о том....
Мы просим о новом и совершенном на данное время ID идентификаторе....

[AirKite]

Сделали бы бан по железу.... было бы круто ))) т.е. бан по ID винта например ))

[AirKite]

я об этом же. например, взять китайские сетевухи с одинаковыми маками. на каждую выдаётся разный IP, не смотря на одинаковый мак. таким образом, забанив 1 мак можно забанить кучу юзеров))

Громко сказано "кучу юзеров" ... найди хотябы 2 чел в сети с одиниковыми маками в сетевой плате!
У нас много провайдеров с комутаторами которые авторизуют юзеров по маку в порту... тоесть после смены мака комутатор не пустит )))

MAC всёже нужно было наверное оставить в 4 версии

[Niggaz]

Громко сказано "кучу юзеров" ... найди хотябы 2 чел в сети с одиниковыми маками в сетевой плате!
У нас много провайдеров с комутаторами которые авторизуют юзеров по маку в порту... тоесть после смены мака комутатор не пустит )))

MAC всёже нужно было наверное оставить в 4 версии

имея непосредственное отношение к поддержке более 6000 пользователей сети утверждаю, что случаев с одинаковыми маками было предостаточно. один мак встречался у 20 разных пользовательских сетевых - это в дешевых сетевых типа суреком (или подделках).

[Paradox]

Уважаемые разработчики, спамеры атакуют (реклама, флуд, порнография в картинках), выручайте - дайте администраторам возможность забанить нарушителя.
Февраль, не за горами новая версия чата и хотелось бы узнать, 10 страниц данной темы остались незамеченными или всё таки в новой версии у чата появится возможность забанить нарушителя?

[Maxim Mirgorodsky]

Paradox

http://www.commfort.com/rus/forum/viewt ... 073#p20073

[DENS]

Paradox

http://www.commfort.com/rus/forum/viewt ... 073#p20073

тогда извинете мое любопытство, КАК банить? у меня половина юзеров сидит на динамических ип, вторая по 10 чел на 1 ип через нат.
п.с. уже тоже задумываюсь о продолжении использования данного продукта.

[Paradox]

тогда извинете мое любопытство, КАК банить? у меня половина юзеров сидит на динамических ип, вторая по 10 чел на 1 ип через нат.
п.с. уже тоже задумываюсь о продолжении использования данного продукта.

А разработчиков чата это совсем не интересует, в их локальной сети пользователи не могут сменить IP адрес, а на предложения клиентов, которые покупали 3.х версию чата с возможностью забанить нарушителей по идентификатору оличающемуся от IP адреса, они просто кладут Иногда вообще складывается впечатление что чат пишется "под себя", сколько достойных предложений в разделе пожеланий и сколько из этих пожеланий реализовано?

Приведите пожалуйста пример хоть одной достойной программы общения, в которой бы не было привязки учётной записи к email или номеру мобильного телефона? Скоро чат вовсе не будет отличаться от без серверных аналогов.

Возникает следующий вопрос, существует ли возможность конпенсации за купленную конфетку которая спустя год сменив дизайн фантика испортилась?

P.S. Думаю я буду не последним клиентом который откажется от продукта из за отстутствия возможности наложения ограничения нарушителю, а не добросовестным пользователям той же подсети.

[Maxim Mirgorodsky]

Мы уже неоднократно высказывали свое видение идентификации, видимо возникла необходимость повторить еще раз.

Мы разделяем вопрос идентификации в области ограничений на 2 части.

1) IP-адрес непосредственно связан с пользователем (управляемая локальная сеть). Для этого случая реализованы механизмы ограничений по имени/IP, возможность ограничить количество учетных записей на 1 IP-адрес.
2) IP-адрес не может однозначно идентифицировать пользователя (Интернет/неуправляемая локальная сеть). Идентификация таких пользователей существенно усложняется. Для нее реализован механизм обязательной активации учетных записей. В следующей версии на помощь этому механизму придут дополнительный информационный идентификациор и возможность протоколирования каждой авторизации со всеми идентификационными параметрами. В этом случае подтверждение пользователя ложится на плечи администратора. Пользуясь записями в БД пользователей, информационным сообщением доставляемом при активации, и, в случае необходимости, соответствующими логами можно практически гарантированно определить того или иного пользователя.

Неоднократно озвучивались предложения реализовать ограничение по идентификатору аппаратного обеспечения (или MAC-адресу как в 3-й версии, что совершенно равнозначно). Однако, при кажущейся полезности, такое изменение несет в себе и ряд опасностей. Любой дополнительный идентификатор подменяем. В случае если реализовать ограничения по дополнительному идентификатору - для злоумышленника получить полную базу данных таких идентификаторов будет не сложно на популярных серверах, так как любой модератор любого канала будет ей владеть. Последствия могут быть очень серьезные для администраторов, ведь злоумышленник сможет подставлять идентификатор от любого другого пользователя, тем самым не только подводить под бан кого угодно, но и окончательно запутать администратора и многократно усложить идентификацию.

В случае же существования дополнительного идентификатора только в информационных целях, база данных будет передаваться только модератору учетных записей. Завладеть такой базой для злоумышленника будет уже непростым делом. И, соответственно, идентификатор будет служить своей цели и помогать администратору в идентификации.

[DENS]

IP-адрес непосредственно связан с пользователем (управляемая локальная сеть). Для этого случая реализованы механизмы ограничений по имени/IP, возможность ограничить количество учетных записей на 1 IP-адрес.

у нас в городе 3 провайдера 2 из которых областные и там управляемая сеть и при желании откл дхцп и ставь любой айпи в диапазоне своего шлюза. Ваша теория о связки юзера и привязанного к нему айпи не верна.

Для нее реализован механизм обязательной активации учетных записей.

когда в день у тебя юзеры через нат регятся по 30чел (а таких подсетей у нас много), желание использовать активацию отпало само собою, а уж следить за банами кто с какой подсети и т п тем более.

для злоумышленника получить полную базу данных таких идентификаторов будет не сложно на популярных серверах

речь тут идет не о данных цру, а о простых мас адресах и детей которые как показывает моя практика умеют менять только айпи.

ведь злоумышленник сможет подставлять идентификатор от любого другого пользователя, тем самым не только подводить под бан кого угодно

если маки будут видеть только модераторы, то злоумышленник ака ребенок уже не так легко достанет этот самый мак, уже при включенном брендмауер виндовса не удастся при сканировании увидеть мак жертвы, обычными прогами ессно, про другие фаирволы вообще молчу.

В случае же существования дополнительного идентификатора только в информационных целях, база данных будет передаваться только модератору учетных записей. Завладеть такой базой для злоумышленника будет уже непростым делом.

в этих же целях может послужить и мак, с баном.

[Paradox]

IP-адрес непосредственно связан с пользователем (управляемая локальная сеть). Для этого случая реализованы механизмы ограничений по имени/IP, возможность ограничить количество учетных записей на 1 IP-адрес.

При покупке чата нигде не было указано что данный продукт только для управляемых локальных сетей, хотя до 4 версии он таким и не являлся.
Возможность ограничить количество пользователей (Учётных записей) в чате седящих через один IP адрес вовсе не нужна (Многие провайдеры используют для выхода пользователей в интернет один IP адрес, а услуга выделенного IP предоставляется платно, про NAT вообще молчу).


Ну а дальше из серии "Я плакал".

В случае если реализовать ограничения по дополнительному идентификатору - для злоумышленника получить полную базу данных таких идентификаторов будет не сложно на популярных серверах, так как любой модератор любого канала будет ей владеть.

В случае же существования дополнительного идентификатора только в информационных целях, база данных будет передаваться только модератору учетных записей.

Зачем реализовывать доступ модераторов канала к базе пользователей?


Ну если не хотите реализовывать так и скажите, зачем вешать лапшу на уши клиентам?
Поймите большинство ваших клиентов не ламоботы, а Администраторы крупных локальных сетей и что то понимают.

[Maxim Mirgorodsky]

убедительная просьба сдерживать эмоции и вести обсуждение только на уровне аргументов.

Paradox

Вам предупреждение.

[Maxim Mirgorodsky]

Зачем реализовывать доступ модераторов канала к базе пользователей?

Модератор канала не сможет управлять ограничениями по ID аппаратного обеспечения не зная значения этих ID.

Теоретически система ограничений по параметрам неизвестным модератору может быть реализована. Но здесь необходимо полное перестроение протокола ограничений и защита от таких вещей как ограничение самого себя (или любого другого зарегистрированного пользователя) в случае подмены идентификатора аппаратного обеспечения. Опять же, одной из особенностей такой системы будет ненадежность (подчеркиваем, текущие механизмы авторизации имеют гарантированную надежность, модератору не предлагаются для идентификации те параметры которые пользователь может подменить). В любом случае, реализация такой модели ограничений возможна только в несовместимой версии. Когда будем планировать авторизацию CommFort 5 - тогда рассмотрим ее целесообразность.