Reageer met quote
Gisteren, 11:36 door Erik van Straten - Bijgewerkt: Gisteren, 11:38
Het IP-adres van een client, maar ook de door een client opgegeven locatie (op basis van GNSS, zoals GPS) zijn simpelweg veel te onbetrouwbaar voor authenticatie - omdat impersonatie veel te eenvoudig is.
Overigens klinkt "Surf B.V." erg B.V., maar daaronder vallen ook IP-reeksen van bijv. universiteiten.
In https://sec.okta.com/blockanonymizers/ wordt ASN1101 genoemd, terwijl bijv. https://www.whatismyip.com/ip/130.161.180.1/ (na 20 jaar ken ik nog veel IP-adressen uit mijn hoofd, beroepsdeformatie vermoed ik) onder meer beschrijft:
City: Rijswijk
ISP: Technische Universiteit Delft
Known Proxy: no
ASN: 1128
Organization: Surf B.V.
Die eerste regel kan ik niet helemaal plaatsen, vooral niet omdat de campus aan de andere kant van Delft ligt - maar dat google.com er vaak tientallen kilometers naast zit m.b.t. mijn woonplaats op basis van mijn -notabene vaste- thuis-IP-adres, vind ik helemaal niet erg - integendeel.
Maar dit laat wel weer mooi de potentiële onnauwkeurigheid van IP-geolocatie zien. En dus ook dat misbruikte proxies zich binnen een flinke afstand van een doelwit mogen bevinden, omdat de locatie van het doelwit zelf ook onnauwkeurig is. Als aanvaller heb je dus beslist niet in elke straat een kwaadaardige proxy nodig.
Weer een zeepbel, die verkocht werd als "fix", doorgeprikt (door een verkoper zelf ;-)
Reageer met quote
Gisteren, 14:49 door Anoniem
Door Erik van Straten:
Overigens klinkt "Surf B.V." erg B.V., maar daaronder vallen ook IP-reeksen van bijv. universiteiten.
Dit AS is weliswaar van SURF maar het wordt niet gebruikt voor het announcen van de netwerken van universiteiten.
SURF heeft alle AS nummers van 1101 t/m 1200. Daar zitten allerlei netwerken op.
Sowieso vind ik het nogal goedkoop om met lijsten AS nummers te gaan strooien alsof dat de kwaadaardigen zijn.
Het nivo AS heeft meestal weinig van doen met de kwaadaardigheid van servers en diensten, en het kletsverhaaltje "nou dan had de eigenaar van die AS maar beter moeten opletten wat er in zijn netwerken gebeurt" dat is toch allang afgeserveerd?
Reageer met quote
Gisteren, 16:29 door Anoniem
In AS 1101 van SURF zitten een aantal Tor exit nodes, dat verklaart waarschijnlijk de aanwezigheid in de Top 20.
Reageer met quote
Gisteren, 16:56 door Anoniem
Die top 20 lijkt veelal TOR-verkeer te zijn, dus of dat nou een fantastische zet is valt ook wel weer te betwijfelen.
Reageer met quote
Gisteren, 18:54 door Erik van Straten
Door Anoniem: SURF heeft alle AS nummers van 1101 t/m 1200. Daar zitten allerlei netwerken op.
Ik weet niet hoe het nu is, maar ruim 20 jaar geleden hadden veel (alle?) studentenhuizen in Delft een IP-adres dat begon met "145." maar daarachter weet ik het niet meer. AS1101 heeft nogal wat reeksen die met "145." beginnen (ik ben er niet verder ingedoken, ik vond Okta's bevindingen om een andere reden veel interessanter - zie onderaan deze post).
Door Anoniem: Sowieso vind ik het nogal goedkoop om met lijsten AS nummers te gaan strooien alsof dat de kwaadaardigen zijn.
Okta weet ongetwijfeld om welke IP-adressen het exact gaat. Vanuit privacy-oogpunt vind ik het dan weer correct om niet die te noemen, want achter één IPv4 adres kan vanalles "schuil"gaan. Alleen betrokken landen benoemen houdt het weer erg vaag - m.i. een redelijk compromis.
In https://infosec.exchange/@ErikvanStraten/112348237498120336 schreef ik overigens:
Critical online authentication fails because impersonation is way too easy, and/or because of truckloads of untold collateral damage, or because of PEBCAK:
• shared secret, password: FAIL
• shared secret, biometrics: FAIL
• shared secret, your phone: FAIL
• shared pubkey, FIDO2 keys: FAIL
• shared pubkey, passkeys: FAIL
• shared secret, location: FAIL
The last one: https://sec.okta.com/blockanonymizers/ (source: https://www.security.nl/posting/839626/Okta+waarschuwt+voor+grote+credential+stuffing-aanval+via+residential+proxies)
Now what?
Reageer met quote
Vandaag, 08:50 door JustMe2020 - Bijgewerkt: Vandaag, 08:52
Door Erik van Straten: Het IP-adres van een client, maar ook de door een client opgegeven locatie (op basis van GNSS, zoals GPS) zijn simpelweg veel te onbetrouwbaar voor authenticatie - omdat impersonatie veel te eenvoudig is.
Maar bied wel een extra laag van beveiliging. Werkt het bij een state sponsored attack, waarschijnlijk niet. Maar voor de huis/tuin/keuken hacker is dit een goede extra oplossing.
Overigens klinkt "Surf B.V." erg B.V., maar daaronder vallen ook IP-reeksen van bijv. universiteiten.
In https://sec.okta.com/blockanonymizers/ wordt ASN1101 genoemd, terwijl bijv. https://www.whatismyip.com/ip/130.161.180.1/ (na 20 jaar ken ik nog veel IP-adressen uit mijn hoofd, beroepsdeformatie vermoed ik) onder meer beschrijft:
City: Rijswijk
ISP: Technische Universiteit Delft
Known Proxy: no
ASN: 1128
Organization: Surf B.V.
Die eerste regel kan ik niet helemaal plaatsen, vooral niet omdat de campus aan de andere kant van Delft ligt - maar dat google.com er vaak tientallen kilometers naast zit m.b.t. mijn woonplaats op basis van mijn -notabene vaste- thuis-IP-adres, vind ik helemaal niet erg - integendeel.
Dit soort locates komen ook niet uit google. maar uit centrale databases.Een een database checkje gedaan.....
https://www.maxmind.com/en/geoip-demo
IP Address: 130.161.180.1
Location: Delft, South Holland, The Netherlands (NL), Europe
Network: 130.161.180.0/22
Postal Code: 2628
Approximate Approximate Latitude / Longitude* and accuracy, radius: 52.0045, 4.3728 (1000 km)
ISP: Surf
Domain: -
Connection Type: Corporate
*The coordinates are not precise and should not be used to identify a particular street address or household. To better represent a level of accuracy, you must include the Accuracy Radius (km) when displaying latitude and longitude and make it clear that the coordinates refer to a larger geographical area instead of a precise location.
https://www.iplocation.net/ip-lookup
IP2Location (Product: DB6, 2024-4-1): Rijswijk
ipinfo.io (Product: API, real-time): Delft
DB-IP (Product: API, real-time ): Amsterdam
IPregistry.co (Product: API, real-time): Rijswijk
IPGeolocation.io (Product: API, real-time): Delft
IPapi.co (Product: API, real-time): Amsterdam
ipbase.com (Product: API, real-time): Rijswijk
criminalip.io (Product: API, real-time): Deflt.
Leuke is ook. dat ISP of ORGANIZATION vaak verschillend is
Maar dit laat wel weer mooi de potentiële onnauwkeurigheid van IP-geolocatie zien. En dus ook dat misbruikte proxies zich binnen een flinke afstand van een doelwit mogen bevinden, omdat de locatie van het doelwit zelf ook onnauwkeurig is. Als aanvaller heb je dus beslist niet in elke straat een kwaadaardige proxy nodig.
Weer een zeepbel, die verkocht werd als "fix", doorgeprikt (door een verkoper zelf ;-)
Je argumenten kunnen beter.
Men kijkt eerder naar countries dan naar bijvoorbeeld, als men daar al naar kijkt.
Ik kreeg hier net ook een high risk melding door, dat deze persoon een onverwachte travel heeft, want deze persoon zat in eens in Seattle.
Je Rijswijk locatie is dus meer dan voldoende nauwkeurig voor een analyse voor veel doeleinden, want als je daarna in 4 uur in de USA zit, is er mogelijk iets aan de hand. Zeker als zijn client connection vanuit USA gedaan zou worden, maar zijn Telefoon nog op GPS in NL zou zitten. Dan is er mogelijk iets mis, en is verdere analyse noodzakelijk.
