Robert.I wrote:

> Akkon (news:1osstg7cx09ua.dlg@grupy.pl)
> Napisa

do góry

Akkon wrote:

> Mam tutaj na myśli tylko i wyłącznie zagrożenia wynikające z działającego
> oprogramowania (trojany, keyloggery, spyware, itd.), a nie np. podgląd przy
> użyciu kamer itp.

Zagrożenia wynikające z oprogramowania eliminujesz bo działa tylko twój
"trusted" soft (pomijam jakieś spreparowane biosy). Natomiast oprócz
kamery musisz pamiętac o innych sprzętowych zabawkach np. keyloggerach.

--
-=Darek=-

do góry

Jarek Dukat wrote:
> blad wrote:
>> może zabezpieczyć (nie używasz programów z danego komputera), ale po
>> drodze miezy twoim knoppixem a bankiem są jeszcze inne komputery.
>> Man-in-the-middle to atak, gdy ktos w danej sieci przygotowany na
>> twoje polaczenie z bankiem moze je przejąć i z bankiem łączyć się
>> samemu, pokazując ci wyniki połączenia do momentu aż użyjesz np kodu
>> jednorazowego. Przerwanie wtedy połączenia i zastosowanie loginu hasła
>> i tego kodu w niektórych bankach zadziała.
>> por. http://pl.wikipedia.org/wiki/Atak_man_in_the_middle
>> Pomijam banki bez kodów jednorazowych, takie jak citi lub Polbank
>> *** blad ***
>
> Troche sciemniasz. Jesli przegladarka poprawnie obsluguje SSL, to atak
> man in the middle nie jest mozliwy. Przegladarki standardowo dostepne w
> Knoppixie sa raczej bezpieczne pod tym wzgledem.

Nie ulegaj zludnemu poczuciu bezpieczenstwa, taki atak jak najbardziej
jest mozliwy! Choc wiecej z nim zachodu - ktos musialby postawic wlasny
serwer www (a raczej proxy) na ssl i podpisac go wlasnym kluczem
(przegladarki zwykle nie "potwierdzaja" u zrodla prawdziwosci
certyfikatow, robisz to sam "na oko" - wiekszosc ludzi po prostu klika).
Jest z tym wiecej zachodu, ale jest to mozliwe.

miko

do góry

Michal Kolodziejczyk wrote:
[...]

> Nie ulegaj zludnemu poczuciu bezpieczenstwa, taki atak jak najbardziej
> jest mozliwy! Choc wiecej z nim zachodu - ktos musialby postawic wlasny
> serwer www (a raczej proxy) na ssl i podpisac go wlasnym kluczem

Ale ten "własny klucz" nie będzie raczej w zbiorze rootCA, który ma
przeglądarka ?

KJ

do góry

Michal Kolodziejczyk <m...@w...pl> writes:

> Nie ulegaj zludnemu poczuciu bezpieczenstwa, taki atak jak najbardziej
> jest mozliwy! Choc wiecej z nim zachodu - ktos musialby postawic wlasny
> serwer www (a raczej proxy) na ssl i podpisac go wlasnym kluczem
> (przegladarki zwykle nie "potwierdzaja" u zrodla prawdziwosci
> certyfikatow, robisz to sam "na oko" - wiekszosc ludzi po prostu klika).
> Jest z tym wiecej zachodu, ale jest to mozliwe.

Jest mozliwe ale w inny sposob niz napisales - przegladarki, nawet
jesli nie wykorzystuja CRL (co nie jest tu istotne), musza sprawdzac
sciezke certyfikatow - od jednego ze swoich "trusted root CAs" do
certyfikatu serwera WWW. Jesli nie ma takiej poprawnej sciezki, to
przegladarka powinna ostrzec, ze nie da sie zweryfikowac certyfikatu
serwera (i normalne przegladarki z pewnoscia to robia).

To powoduje, ze trzeba:
a) posiadac certyfikat (wraz z kluczem prywatnym) dla nazwy
np. www.mbank.com.pl, lub
b) w jakis sposob spowodowac, by przegladarka wyswietlila inna strone
niz powinna, i miec dla niej certyfikat (ten latwo uzyskac).

Uzyskanie (a) nie jest trywialne, ale stopien trudnosci mozna oszacowac
ogladajac np. liste root CA wlasnej przegladarki.
Uzyskanie (b) jest dosc proste jesli uzytkownik wpisuje http://www...
zamiast https://.
--
Krzysztof Halasa

do góry

Q wrote:

> ps
> chodzi Ci o wchodzenie na konto z kawiarenki?

A ja mam pytanie do praktyków.
Czy w kawiarenkach da się i czy pozwalają odpalić system z własnego CD?

do góry

Michal Kolodziejczyk wrote:
>
> Nie ulegaj zludnemu poczuciu bezpieczenstwa, taki atak jak najbardziej
> jest mozliwy! Choc wiecej z nim zachodu - ktos musialby postawic wlasny
> serwer www (a raczej proxy) na ssl i podpisac go wlasnym kluczem
> (przegladarki zwykle nie "potwierdzaja" u zrodla prawdziwosci
> certyfikatow, robisz to sam "na oko" - wiekszosc ludzi po prostu klika).
> Jest z tym wiecej zachodu, ale jest to mozliwe.

Caly Twoj post to dowod ze nie masz zielonego pojecia na temat
kryptografii i podstaw dzialania protokolu SSL.

Pozdr.
Jarek

do góry