Важное обновление безопасности версия 4.8.3 !!! (или выше)

[tkvs]

Кажись врубился.
В прежних версиях не сделана защита от MITM?
Т.е. кто-то в сети может представиться сервером для вьювера и вьювером для сервера и собирать ID и пароли?
А как у вас вообще система шифрования устроена? Расскажите подробно.

[admin]

Вчитываюсь и не понимаю: всё это время на конечных компьютерах с запущенными серверами при аутентификации не проверялось ничего?
Т.е. любой, зная лишь его IP или ID, мог подключиться к конечному компьютеру?

Нет, пароль проверялся всегда.
При работе по IP, напрямую, угрозы не какой нет. Угроза только при работе через ОБщие NOIP.

У вас логины и пароли по сети при аутентификации ходят в открытом виде, и любой NOIP-сервер может их перехватить?

В закрытом, зашифрованном виде.

В прежних версиях не сделана защита от MITM?

Да, верно понимаете.
Мы добавили дополнительное шифрование данных.

Рекомендую Вам использовать прямы подключения по IP или для ID соединений свой личный NOIP.
Для общего NOIP мы добавили еще одно шифрование данных и PIN для защиты.

[tkvs]

Да, верно понимаете.
Мы добавили дополнительное шифрование данных.

Расскажите, пожалуйста, подробно о шифровании, использовавшемся ранее, о сделанных изменениях. Т.е. алгоритмы, их параметры, использование ключей, хешей, взаимодействие между узлами сети и т.п. и т.д.
Есть некоторое понимание алгоритмов шифрования, поэтому хотелось бы подробно обсудить, и разобраться, что было и что сделано.

[admin]

Вы же понимаете что я не могу разглашать такую информацию в свете последних событий.

Что было могу сказать, фактически была реализована подмена серверной части и перенаправление на нее трафика, так как программа изначально предназначена была для работы по IP адресу, то при работе по ID через NOIP была выявлена уязвимость. Теперь данные при Авторизации передаются в зашифрованном виде, так что бы на посреднике NOIP их нельзя было перенаправить и подставить свой липовый Сервер.
Еще раз хочу сказать что проблема/угроза не как не коснулась тех кто работал напрямую по IP или через свой личный NOIP.

Реализовано несколько уровней защиты, плюс возможно мы еще кое что добавим в следующем обновление, думаю лишней доп. защита не будет.

[tkvs]

Вы же понимаете что я не могу разглашать такую информацию в свете последних событий.
Что было могу сказать, фактически была реализована подмена серверной части и перенаправление на нее трафика, так как программа изначально предназначена была для работы по IP адресу, то при работе по ID через NOIP была выявлена уязвимость. Теперь данные при Авторизации передаются в зашифрованном виде, так что бы на посреднике NOIP их нельзя было перенаправить и подставить свой липовый Сервер.

Нет, не понимаю.
Безопасность через неясность - вот вы серьезно сей подход пропагандируете?
Вы вообще в курсе, что в мире давно все крупные специалисты по безопасности твердят о необходимости обсуждать свои методы защиты с сообществом во избежание появления 0day-уязвимостей как случилось у вас.
Вам мало произошедшего? Фактически был сделан реверс-инженеринг вашего продукта, и хорошо, что эта уязвимость не была продана на черном рынке, а была сообщена сообществу. До сих пор непонятно, насколько ущербна ваша прошлая реализация, а вы уже начинаете рассказывать, что всё исправили, хотя совершенно непонятно что и как.
Вот, к примеру, я использую старые версии ваших продуктов, и в силу ряда причин не планирую обновляться, и использую ваш NoIP.
Я пока не понимаю, зачем мне обновляться, если приделан непонятный PIN, и это названо крутой защитой.
Вы действительно не собираетесь объясняться с сообществом?
Почему вы не хотите внедрить нормальный обмен ключами исключительно через собственные сервера, чтобы через промежуточные NoIP-сервера проходил надежно зашифрованный трафик?

[admin]

Почему вы не хотите внедрить нормальный обмен ключами исключительно через собственные сервера, чтобы через промежуточные NoIP-сервера проходил надежно зашифрованный трафик?

примерно это мы и делаем.
Есть технические ограничения, просто придется отключить всех клиентов, что бы они обновились.
Не уверен что это понравится всем.

Нет, не понимаю.
Безопасность через неясность - вот вы серьезно сей подход пропагандируете?

Ну как бы мы ответили Вам, что теперь данные дополнительно шифруются, еще до процесса авторизации.

Вот, к примеру, я использую старые версии ваших продуктов, и в силу ряда причин не планирую обновляться, и использую ваш NoIP.
Я пока не понимаю, зачем мне обновляться, если приделан непонятный PIN, и это названо крутой защитой.

Испоьзуйте свой личный NOIP, это лчше всего.

[admin]

В общем я понимаю Вас, и большое спасибо Вам за Ваши сообщения
дело в том что необходимо было принять быстрые и эффективные меры, счет шел на дни или даже часы.

что касается пускать часть трафика через главный сервер, обмен ключами, то технически пришлось бы переписать большую часть программы,
само соединение по ID делалось не за один день а годами, как и сама программа.

Я учел Ваше пожелания, и могу сказать что мы в ближайшем обновлении кое что еще добавим, как раз то что Вы называете обмен ключами через наш Главный сервер.
Спасибо.

[tkvs]

Есть технические ограничения, просто придется отключить всех клиентов, что бы они обновились.
Не уверен что это понравится всем.

Да, это понравится не всем (в том числе мне), но чем вы думали изначально, реализуя схему аутентификации способом, который сами даже сейчас держите в тайне.

Ну как бы мы ответили Вам, что теперь данные дополнительно шифруются, еще до процесса авторизации.

Как бы ответ, как бы дополнительное шифрование, как бы авторизация.
Вот вы можете четко и последовательно описать схему аутентификации и авторизации, чтобы можно было ее нормально обсудить, а не верить вам на слово?
Вот у TeamViewer есть страница и pdf с подробным описанием всей схемы:
__https://www.teamviewer.com/en/security/
Отличная схема и понятное объяснение.
Почему они не скрывают реализацию, а описывают ее сообществу?
У вас хороший продукт, мне он нравится гораздо больше, чем аналогичное у TeamViewer, но ваша закрытость и нежелание идти на контакт, ответы общими фразами, вызывают серьезные вопросы, насколько вашими продуктам можно доверять.

[admin]

Да, это не понравится всем (в том числе мне), но чем вы думали изначально, реализуя схему аутентификации способом, который сами даже сейчас держите в тайне.

Не совсем понял вопрос. Если речь идет о авторизации Вьювер-Сервер, то это стандартная обще принятая схема RSA/AES с закрытым и открытыми ключами, тут не каких секретов нет.

Вот у TeamViewer есть страница и pdf с подробным описанием всей схемы:

У нас другая ситуация чем у TV.

[tkvs]

Если речь идет о авторизации Вьювер-Сервер, то это стандартная обще принятая схема RSA/AES с закрытым и открытыми ключами, тут не каких секретов нет.

Так дайте ссылку или распишите подробно все детали аутентификации и шифрования.
Непонятно, какие именно данные ходят через сторонние NoIP-серверы, как именно происходит аутентификация клиента c сервером, почему сторонний NoIP-сервер может вообще-то перехватывать какие-либо данные и т.п.
Расскажите, пожалуйста, чтобы можно было понять, почему же безопасная схема требует коренного слома всего имеющегося.

У нас другая ситуация чем у TV.

Опять непонятная фраза без объяснения.
Понимаю, что продукт ваш, и вы никому ничего не обязаны, но без полноценного диалога трудно понимать друг друга.