РегистрацияАнонимное получение смс
Не секрет, что во многих случаях может требоваться анонимное получение смс (работа со всякими веб-мани, получение всяких кодов подтверждения при заказе хостингов и т.п.).
Вопрос: имеются ли сервисы, которые бы предоставляли возможность покупки телефонного номера (желательно за границей, желательно через веб-сайт и без получения материального носителя в виде сим-карты и т.п.), управление им через Интернет, включая установку переадресаций, и переадресацию смс на эл. почту?!
Поясню: если покупаешь его через веб-сайт, куда заходишь через Tor,устанавливаешь опять-таки переадресацию смс на email (все юзается через Tor) – и все здорово!!!
Нашел вот такое:
https://secure.wikimedia.org/w...../en/wiki/SMS_gateway
Но в списке гейтвеев: https://secure.wikimedia.org/w.....List_of_SMS_gateways только с эмейла на телефон, а не наоборот (хотя в статье в вики упоминается и то, что нам нужно).
www.ipkall.com
Сейчас проверил, не работает вообще звонок на google talk. Впрочем это похоже они сами поломали в gtalk, так как звонок через сипнет проходит и появляется голосовая почта. зарегил новый номер в ipcall, позвонил в погодную службу филадельфии, всё ок, звони работают.
ИМХО пользовать TOR для таких мероприятих крайне нежелательно, так как выходные узлы могут быть скомпрометированы, Вы можете проглядеть случайно отсутствие логотипа https на сайте google, т.е. всё будет украдено, и вообще tor предназначен для безопасного соединения, а для анонимизации. ИМХО лучше использовать ssh тоннель.
В качестве сервера поднимаем сколько надо узлов amazone aws micro, можно тоннель и через два, три итд пустить. Если сильно не наседать, то бесплатные квоты никогда не исчерпаются и платы будет нуль. Естественно все компутеры( особенно тот, с которого вы и будете писать, получать смс) должны быть не скомпрометированы ибо в лоб об ssh никто убиваться не будет, 99.9999% атака будет направлена на уязвимости клинтского компутера или уязвимости сервера.
p.p.s.
могу предложить свою версию архитектуры (т.е. что нужно на клиентском компьютере, что на сервере и где слабые точки ) под данную задачу. Если это нужно, пишите, выложу свои идеи.
следует читать как
блин надо зарегаться, не могу править сообщения
ssh туннель не даёт анонимности, но ведь как атакующий узнает каким вы ip адресом пользовались для входа на акк гугла? Он должен прослушивать соединения между amazone и google. Очевидно, что защищать текстовые сообщения от гугла невозможно в данном случае ибо это его сервер. Следовательно узнать маршрут прямо по факту соединения невозможно, особенно если использовать 2 сервера amazone или более. Можно использовать один из серверов для смены входящих ip адресов других. Если надо ничто не мешает пустить ssh тоннель через tor, i2p или как угодно, просто всё зависит от того, что конкретно требуется и где могут получить доступ так сказать показав корочку или долларовую бумажку и зайдя к фирме в датацентр, а где этого сделать не смогут.
так блин, Вы заходите на google.com, а вместо него скомпрометированный узел лепит Вам фейковый google.com без https, т.е. набираете https:google.com, вас перекидывате на http:google.com ( пока настоящее соединение с гуглом даже не начато ). Сам узел соединяется с гуглом вместо Вас. Короче атака человек посередине, классика же. https тоже можно запилить, но нужен домен в национальной зоне с заменой одной буквы, на какую нибудь e с чёрточкой итд, способы есть, в данный момент ssl требует проверки каждый раз адресной строки пользователем
думаю пары ssh тоннелей хватит и третьего ssh для управления через консоль или web интерфейс первыми двумя хватит. Т.е. цепочка – клиент->ssh->первый_aws->второй_aws->google. Глобальный наблюдатель поймёт цепочку, а локальные очень очень вряд-ли. Кроме того 3й сервер мы используем для управления остальными а это значит, что можно менять ip( бесплатно первые сто раз в месяц, потом башляй по 3 руб за смену вроде бы. ). На каждый бесплатный сервер aws нужен в итоге телефонный номер купленный в переходе ибо киви виза нужна, т.е. некоторые следы остаются, но глобальный наблюдатель в РФ не сможет их юзать. Хотя в случае глобального наблюдателя в РФ некоторые усилия будут нужны на получение ключей (.pem )
Не получится, у гугла вся страница авторизации целиком https. Можно, конечно, выдавать юзеру http-страницу, но он что, совсем дурак? Он же видел, что у гугля в этот момент https быть должен. Не пойдёт он по http. И опять же, есть специальные расширения, которые даже не пустят юзера на http, в сборке тора оно по умолчанию.
И кто такой сертификат выдаст? Центры сертификации не настолько тупы, чтобы допускать фишинг.
Остальное даже лень расписывать. Это простейшие вещи.
комментариев: 43 документов: 0 редакций: 7
я всегда учусь, ибо в моей профессии это жизненно необходимо.
так я так и написал в первом сообщении, т.е. юзер должен смотреть чтобы у него был https и ещё должен посмотреть что за сертификат ему выдался. Кроме того есть шанс, что пользователь только что установил tor браузер и тогда можно подкинуть ему самоподписанный сертификат вместо гуглевского, как это делает какой нибудь прокси типо Forefront
smsdragon