-
Path: news-archive.icm.edu.pl!news.gazeta.pl!newsfeed.pionier.net.pl!news.internetia.
pl!newsfeed.tpinternet.pl!nemesis.news.tpi.pl!atlantis.news.tpi.pl!news.tpi.pl!
not-for-mail
From: Krzysztof Halasa <k...@p...waw.pl>
Newsgroups: pl.biznes.banki
Subject: Re: Knoppix a bezpieczeńtwo bankowości internetowej
Date: Mon, 28 Aug 2006 12:30:13 +0200
Organization: tp.internet - http://www.tpi.pl/
Lines: 28
Message-ID: <m...@d...localdomain>
References: <1...@g...pl> <ecnabk$5bq$1@atlantis.news.tpi.pl>
<ecnj9u$5i8$3@inews.gazeta.pl> <ecuee0$gq3$1@news.task.gda.pl>
NNTP-Posting-Host: cqv110.neoplus.adsl.tpnet.pl
Mime-Version: 1.0
Content-Type: text/plain; charset=us-ascii
X-Trace: nemesis.news.tpi.pl 1156761174 18982 83.31.253.110 (28 Aug 2006 10:32:54
GMT)
X-Complaints-To: u...@t...pl
NNTP-Posting-Date: Mon, 28 Aug 2006 10:32:54 +0000 (UTC)
Cancel-Lock: sha1:sCchvdNhuQKrEczjJtDAR6kST4A=
Xref: news-archive.icm.edu.pl pl.biznes.banki:394982
[ ukryj nagłówki ]Michal Kolodziejczyk <m...@w...pl> writes:
> Nie ulegaj zludnemu poczuciu bezpieczenstwa, taki atak jak najbardziej
> jest mozliwy! Choc wiecej z nim zachodu - ktos musialby postawic wlasny
> serwer www (a raczej proxy) na ssl i podpisac go wlasnym kluczem
> (przegladarki zwykle nie "potwierdzaja" u zrodla prawdziwosci
> certyfikatow, robisz to sam "na oko" - wiekszosc ludzi po prostu klika).
> Jest z tym wiecej zachodu, ale jest to mozliwe.
Jest mozliwe ale w inny sposob niz napisales - przegladarki, nawet
jesli nie wykorzystuja CRL (co nie jest tu istotne), musza sprawdzac
sciezke certyfikatow - od jednego ze swoich "trusted root CAs" do
certyfikatu serwera WWW. Jesli nie ma takiej poprawnej sciezki, to
przegladarka powinna ostrzec, ze nie da sie zweryfikowac certyfikatu
serwera (i normalne przegladarki z pewnoscia to robia).
To powoduje, ze trzeba:
a) posiadac certyfikat (wraz z kluczem prywatnym) dla nazwy
np. www.mbank.com.pl, lub
b) w jakis sposob spowodowac, by przegladarka wyswietlila inna strone
niz powinna, i miec dla niej certyfikat (ten latwo uzyskac).
Uzyskanie (a) nie jest trywialne, ale stopien trudnosci mozna oszacowac
ogladajac np. liste root CA wlasnej przegladarki.
Uzyskanie (b) jest dosc proste jesli uzytkownik wpisuje http://www...
zamiast https://.
--
Krzysztof Halasa
Następne wpisy z tego wątku
- 29.08.06 06:31 jureq
- 29.08.06 18:10 Jarek Dukat
Najnowsze wątki z tej grupy
- Velo częściowo ugiął się...
- że co?
- I po co było się tak ZAPIERAĆ? Mówiłem żeby proponować wcześniej UGODY FRANKOWE?
- Jak to kupić?
- Re: Obronią nas doskonale czołgi...
- Re: Obronią nas doskonale czołgi...
- Zabawny epizod z Santander Consumerem
- Zapamiętana karta w aplikacji
- Velo -- zgłoszenie incydentu
- Velo -- kradzież czy bałagan?...
- Velo bank nie odpuszcza?...
- Velo jak zwykle bredzi...
- Od setki do setki...
- Velo ostrzega przed sobą?
- Nest -- polecenie
Najnowsze wątki
- 2024-09-23 Velo częściowo ugiął się...
- 2024-09-22 że co?
- 2024-09-22 I po co było się tak ZAPIERAĆ? Mówiłem żeby proponować wcześniej UGODY FRANKOWE?
- 2024-09-20 Jak to kupić?
- 2024-09-17 Re: Obronią nas doskonale czołgi...
- 2024-09-17 Re: Obronią nas doskonale czołgi...
- 2024-09-12 Zabawny epizod z Santander Consumerem
- 2024-09-12 Zapamiętana karta w aplikacji
- 2024-09-11 Velo -- zgłoszenie incydentu
- 2024-09-10 Velo -- kradzież czy bałagan?...
- 2024-09-10 Velo bank nie odpuszcza?...
- 2024-09-05 Velo jak zwykle bredzi...
- 2024-09-01 Od setki do setki...
- 2024-08-30 Velo ostrzega przed sobą?
- 2024-08-29 Nest -- polecenie