Piotr Gałka <p...@c...pl> writes:

> To co piszesz dalej, że być może jakiś plugin oznacza, że trochę
> inaczej rozumiemy swoje wypowiedzi. Dla mnie 'jakby ktoś wklepywał na
> klawiaturze' oznacza, że komputer nie potrafi (poza ustaleniem
> jakiegoś identyfikatora) rozróżnić źródła podrzucającego mu hasło od
> klawiatury marki "standardowa klawiatura USB".

To jest zwykły tryb pracy takiego urządzenia. Ale przeglądarka może użyć
lepszego trybu - takiego, w którym ona pyta o konkretny np. serwer, user
to tylko zatwierdza (zamiast go mozolnie wyszukiwać na małej
klawiaturce). Nie ma wtedy też niebezpieczeństwa, że przeglądarka uzna
hasło za np. nazwę strony czy coś takiego (bo się userowi ręka omsknie
albo coś tam innego nastąpi).

> Jeśli plugin to już transmisja hasła nie musi być udawaniem klawiatury
> i teoretycznie może być jakoś zabezpieczona.

Tak sobie. Ale owszem, to już wtedy nie jest udawanie klawiatury.

> Tylko, że jeśli efektem
> końcowym jest wpisanie hasła w okienko edycyjne to ja to określiłem
> jako miejsce w którym dane (hasło) są jawne. Jakiś program śledzący
> powinien być w stanie to hasło wyczytać.

No pewnie że tak. Wystarczy login root. Po prostu nie należy umożliwiać
odpalania niezaufanych programów, zwłaszcza z prawami admina (lub
własnymi), na takiej maszynce.
Przecież napisałem, że to nie jest panaceum na wszystko.

> Nie całą sesją tylko dodatkową sesją utworzoną tylko w celu
> przekazania danych logowania.

To nie jest celowe. Hasło nie jest ważniejsze od samej sesji.

> Przekazywanie tego hasła jakiemukolwiek programowi działającemu na PC
> jest według mnie przekazaniem tego hasła do środowiska, które nie
> zapewnia bezpieczeństwa.

W takim przypadku nie można korzystać z takiego komputera.

> Przypuszczam, że potrafi. Jeśli nawet uzyskane w ten sposób dane nie
> mają 100% pewności, a 'jedynie' np. o każdym bicie wiemy że z
> prawdopodobieństwem 80% ma taką wartość jak nam się wydaje to choć nie
> znamy żadnego bitu 'na pewno' to jednak ta informacja na pewno ułatwi
> atakującemu (choć ja nie umiałbym tego wykorzystać).

Owszem. Nie chodzi jednak o to, co kto myśli, tylko o to, co da się
pokazać, udowodnić, albo przynajmniej uprawdopodobnić. Chwilowo jednak
najbardziej prawdopodobne jest to, że z pamięci flash (think 3D flash)
ani RAM takich danych - po ich nadpisaniu / skasowaniu - nie da się
uzyskać. Nie z prawdopodobieństwem 80%, ani nawet 1% (co także mogłoby
być wystarczające).
Co oczywiście nie zmienia faktu, że w niektórych zastosowaniach należy
zakładać, że jest to możliwe.
Oczywiście nie wątpię, że da się łatwo zbudować urządzenie, które może
monitorować operacje np. na flashu. W obecnych czasach to nie wymaga
nawet jakieś profesjonalnej technologii, 8-kanałowy analizator Saleae
można kupić za drobne kilkaset euro.

> Ja uważam, że mając możliwość tworzenia sesji między notatnikiem a
> serwerem można by traktować komputer do którego podpięty jest notatnik
> jak całą resztę wrogiego środowiska. Z tym, że aby korzystać z
> przeglądarki na komputerze i notatniku do logowania i potwierdzania to
> notatnik musiałby pozwalać na zaprezentowanie użytkownikowi kluczowych
> informacji (to co przychodzi w sms z pinem) i ich potwierdzenie. Te
> kluczowe informacje nie mogłyby być przesyłane z przeglądarki tylko
> musiały być przesyłane z serwera w sesji.

A co np. z poufnością tych i innych informacji?
Rozwiązaniem jest tu przeniesienie *całej* przeglądarki (zapewne
zubożonej) do tego małego urządzenia. Co - znów - ma wady i zalety.

> W tej rozmowie po raz pierwszy usłyszałem o notatnikach haseł i
> zakładałem, że być może to jest coś lepiej zrobione i stara się zrobić
> coś więcej niż tylko pomóc zapamiętać hasła.

To jest (potencjalnie) bardzo dobrze zrobione, i nie istnieje tu żadne
"lepiej". To po prostu konkretne narzędzie, niestety do kawy w dalszym
ciągu trzeba mieć ekspres, a wiązania krawatów można się (lub
w desperacji np. żonę) nauczyć :-)

> Uważam, że uzupełniając komputer urządzeniem podłączonym pod USB,
> które miałoby maleńki wyświetlacz + czytnik kart (lub klawiaturę)
> dałoby się zrobić bankowanie niepodatnym na wirusy itp.

Nie. Ale może być większy wyświetlacz + wygodna klawiatura i mysz. Tyle
że to jest kolejny komputer. Może być np. taki RPi za 200 zł.

"Wirusy" są mało istotne. Nie są inteligentne ani nie są przygotowane do
naszego konkretnego przypadku. Bardziej obawiałbym się żywych
przeciwników.

> Jadąc dalej tym tropem to sesja mogłaby być nie między tym urządzeniem
> a serwerem a między kartą zbliżeniową a serwerem tylko karta powinna
> mieć wyświetlacz + co najmniej chyba 1 klawisz.

Trudno by się wypisywało przelewy.
--
Krzysztof Hałasa