Кстати до недавнего времени Microsoft Remote Desktop App из Microsoft Store был уязвим к MitM (легко реализуется через https://github.com/GoSecure/pyrdp) при повторных подключениях к серверу с самоподписанным сертификатом без NLA из-за того, что при указании галки "Don't ask about this certificate again" сохранял в качестве идентификатора trusted сертификата его серийный номер, а не отпечаток.
Исправляли уязвимость полгода (зарепортил 2022-12-03, закрыта 2023-05-25). В какой-то момент после моего репорта на странице заметок о релизах https://aka.ms/rdwinupdates добавилась формулировка "We're no longer updating the Remote Desktop app for Windows with new features"
Да, под раскрытием информации я имел в виду имя реплики. Действительно спорный совет, безопасность зачастую противоречит удобству (отладки в данном случае). И всё же эта информация помогла в данном сценарии атаки. Другой пример раскрытия информаци — стэктрейсы, тоже помогают в отладке, но показывать их потенциальному злоумышленнику не кажется хорошей идеей.
w1ld Количество тиков (Environment.TickCount) и так используется в конструкторе Random по умолчанию, его нежелательно использовать в сценарии ThreadStatic экземпляров, потому что тогда seed может оказаться одинаковым для всех экземпляров (потоков), если конструктор будет вызван одновременно. Обычно используют один статический экземпляр Random, как предложилmayorovp, для получения случайных seed (под локом), которыми, в свою очередь, инициализируют ThreadStatic экземпляры.
На самом деле, да, это код 2014 года, примерно тогда же проблема была исправлена. Однако задачка показалась мне интересной, чтобы немного покопаться в теме.
Кстати до недавнего времени Microsoft Remote Desktop App из Microsoft Store был уязвим к MitM (легко реализуется через https://github.com/GoSecure/pyrdp) при повторных подключениях к серверу с самоподписанным сертификатом без NLA из-за того, что при указании галки "Don't ask about this certificate again" сохранял в качестве идентификатора trusted сертификата его серийный номер, а не отпечаток.
Ссылка на CVE: https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-28290
Исправляли уязвимость полгода (зарепортил 2022-12-03, закрыта 2023-05-25). В какой-то момент после моего репорта на странице заметок о релизах https://aka.ms/rdwinupdates добавилась формулировка "We're no longer updating the Remote Desktop app for Windows with new features"
На самом деле, да, это код 2014 года, примерно тогда же проблема была исправлена. Однако задачка показалась мне интересной, чтобы немного покопаться в теме.