Dnia Mon, 07 Apr 2008 16:34:47 +0200, Krzysztof Halasa napisał(a):
> Jacek Osiecki <j...@c...pl> writes:
>> I to rozwiązuje sprawę - nie zdążysz dongla wyciągnąć na tyle szybko, by
>> złodziej automatem nie podpisał sobie Twoim kluczem wszystkich przelewów
>> jakie sobie wymyśli...
> Wymagaloby wspolpracy banku: normalnie klient (dongle) podpisuje tresc
> transakcji wraz z jakims challenge z serwera.
> Moze tez byc tam aktualny czas, jesli dongle go zna (posiada RTC).

Jeśli ofiara ma zainstalowanego trojana, to podpisując dowolny przelew
przekazuje mu właśnie wszystkie elementy potrzebne do podpisania dowolnej
transakcji. Trojan po prostu wyśle do banku nowe zlecenie, odczyta
challenge, poprosi dongla o podpisanie transakcji i na żądanie poda PIN
który wcześniej klient podał z klawiatury. Żeby klientowi nie wydawało się
że coś jest nie tak - wyświetli mu się nieco dłuższe oczekiwanie na
odświeżenie strony po realizacji przelewu.

Pozdrawiam,
--
Jacek Osiecki j...@c...pl GG:3828944
"Poglądy polityczne mają takie znaczenie w sejmie jak upierzenie u krokodyla"
(c) Tomasz Olbratowski 2004