MattS <M...@m...ms> had the courage to write:
> spammtrapp wrote:
>> Paweł pisze:
>>> normalne?
>>>
>>> przykladowo w eurobanku nie wejdziesz na strone www.online...
>>> tylko na samo online i zamieszania nie ma. skoro w citi
>>> mozna wejsc przez oba adresy, to powinni miec certyfikaty
>>> dla obu, albo zablokowac online bez wuwy.
>>>
>>
>> Normalne, certyfikat został wystawiony dla adresu z www i dla adresu bez
>> www zgłasza bład certyfikatu. Chcesz wlazic - rob to na swoje zyczenie.
>>
>>
>> Ale ja nie szukam problemów tam gdzie ich nie ma.
>
> https://www.mbank.pl przedstawia się certyfikatem wystawionym na
> www.mbank.com.pl. To jest niechlujstwo pracowników banku. Jeśli BRE Bank
> jest w tak kiepskiej sytuacji, że "oszczędza" kilkaset złotych rocznie na
> drugi certyfikat, to niech chociaż nie pokazują, że nie potrafią utrzymać
> porządku ze swoimi stronami.

To nawet nie jest kwestia pieniędzy, wystarczyłoby zwykłe przekierowanie
domeny (web redirect, albo nawet używając rekordów CNAME). To się nazywa
niechlujstwo i/lub niekompetencja (niepotrzebne skreślić).


> W przypadku citibanku to poważniejszy problem.
> https://online.citibank.pl przedstawia się certyfikatem wystawionym dla
> *.test.edgekey.net

Gorzej: W szczegółach certyfikatu jako miejscowość podaje "London", a jako
kraj "PL". (P.S. Co na to premier Wlk Brytanii?)


> Wygląda to jak podręcznikowy przykład podstawienia lewej, fałszywej
> strony. Jeśli citibank zrobił aż taką pomyłkę, to bardzo źle o nich
> świadczy. Równie dobrze może się okazać, że przez pomyłkę dane klientów i
> ich kart wcale nie są dobrze zabezpieczone a w efekcie ileś tysięcy ich
> klientów starci czas i mnóstwo nerwów na wysyłanie reklamacji i
> udowadanianie, że nie są wielbłądami.

Och, kiedyś przez wiele lat ich wyciągi online wysyłane na email otwierało
się standardowym hasłem "Citibank"...

k.

do góry

Wojciech Bancer <p...@p...pl> writes:

> Oczywiście. Ale to będzie wyglądać tak:
> 1. wchodzę na https://example.com/
> 2. Dostaję info, że cert jest niewłaściwy
> 3. Jeśli akceptuję
> - Przekierowuje mnie na właściwy adres
> 4. Jeśli nie, to przeglądarka blokuje jakiekolwiek dalsze przetwarzanie.
>
> IMHO nie uda się ominąć 2.

Jasne ze nie. Nie ma co sie bawic w rozdwajanie jazni, trzeba raz a
dobrze zrobic normalny serwis pod "kanonicznym" adresem, i po klopocie.
--
Krzysztof Halasa

do góry

"kashmiri" <x...@g...com> writes:

>> https://www.mbank.pl przedstawia się certyfikatem wystawionym na
>> www.mbank.com.pl.

> To nawet nie jest kwestia pieniędzy, wystarczyłoby zwykłe
> przekierowanie domeny (web redirect, albo nawet używając rekordów
> CNAME).

Nic z tych rzeczy, to nie wystarczy przy HTTPS (ani innym xxxxS).

Zastanow sie, jak to by moglo sensownie dzialac, jesli wystarczyloby
podstawic serwer (bez wlasciwego certyfikatu) i np. przekierowac gdzies?
--
Krzysztof Halasa

do góry

Dnia Wed, 21 Oct 2009 00:23:16 +0200, Krzysztof Halasa napisał(a):

> Jasne ze nie. Nie ma co sie bawic w rozdwajanie jazni, trzeba raz a
> dobrze zrobic normalny serwis pod "kanonicznym" adresem, i po klopocie.

Tutaj chyba banki wychodzą z prostego założenia. Na stronie głównej
zazwyczaj jest link do logowanie się do "bankowości internetowej" i tylko
ten link obowiązuje. A że ktoś sobie wpisuje inaczej to już chyba raczej
jego problem. Dajmy na to jeżeli Alior zrobi alior.pl i www.alior.pl to
zaraz ktoś powie, że mu lepiej pasuje alior.com.pl, alior.net etc etc.
IMO lepsza jest jednak jedna wersja z adresem, zarówno dla banku
(oszczędność) jak i klienta (łatwiej zapamiętać).

--
xbartx

do góry

Krzysztof Halasa pisze:
> Ra <a...@a...com> writes:
>
>>> Akamai. Dziwna sprawa - Akamai ma im robic "online"?
>>>
>> zdarza się i tak, tylko trzeba bardzo uważać przy developmencie i
>> konfiguracji bo content dla danej sesji potrafi się zakeszować i
>> serwuje potem wszystkim to samo ;)
>
> Tu nie chodzi o to, co sie zdaza, a co sie nie zdaza, tylko o to, komu
> klient podaje m.in. haslo itd. sluzace do dostepu do banku.
zdarza się w znaczeniu "nie jest dziwne czy niespotykane że akamai ma im
robić online"

do góry

xbartx wrote:
> Dnia Wed, 21 Oct 2009 00:23:16 +0200, Krzysztof Halasa napisał(a):
>
>> Jasne ze nie. Nie ma co sie bawic w rozdwajanie jazni, trzeba raz a
>> dobrze zrobic normalny serwis pod "kanonicznym" adresem, i po klopocie.
>
> Tutaj chyba banki wychodzą z prostego założenia. Na stronie głównej
> zazwyczaj jest link do logowanie się do "bankowości internetowej" i tylko
> ten link obowiązuje. A że ktoś sobie wpisuje inaczej to już chyba raczej
> jego problem. Dajmy na to jeżeli Alior zrobi alior.pl i www.alior.pl to
> zaraz ktoś powie, że mu lepiej pasuje alior.com.pl, alior.net etc etc.
> IMO lepsza jest jednak jedna wersja z adresem, zarówno dla banku
> (oszczędność) jak i klienta (łatwiej zapamiętać).

Mimo wszystko www.domena.tld i domena.tld to dla wiekszosci uzytkownikow
synonimy, i taka instytucja jak bank powinna zdawac sobie z tego sprawe.


--
Tomasz Chmielewski
http://wpkg.org

do góry

Dnia Wed, 21 Oct 2009 14:50:32 +0200, Tomasz Chmielewski napisał(a):

> Mimo wszystko www.domena.tld i domena.tld to dla wiekszosci uzytkownikow
> synonimy, i taka instytucja jak bank powinna zdawac sobie z tego sprawe.

Raczysz chyba żartować? Dla większości użytkowników to każda strona to
www. i koniec, nie ma innej opcji. Poza tym tak jak pisałem wchodzisz na
oficjalną stronę banku i tam jest link do logowania (zazwyczaj jeden),
który masz w regulaminie, który na pewno przeczytałeś przed podpisaniem ;)

--
xbartx

do góry

xbartx <b...@h...net> writes:

> Tutaj chyba banki wychodzą z prostego założenia. Na stronie głównej
> zazwyczaj jest link do logowanie się do "bankowości internetowej" i tylko
> ten link obowiązuje. A że ktoś sobie wpisuje inaczej to już chyba raczej
> jego problem.

Tak by bylo dobrze, tyle ze tak nie jest: serwery maja po kilka nazw
i stad te efekty, bo "dzialac" (z HTTPS) moze tylko jedna (z takim
certyfikatem).

Jakby bylo tak jak piszesz, to proba wpisania jakiegos
https://www.mbank.pl itp. konczylaby sie komunikatem "host not found"
albo innym "connection refused" (jesli ma dzialac http://...), a nie
zadnymi bajkami o zlych certyfikatach, ani tym bardziej nie odpowiedzia
od Akamai.
--
Krzysztof Halasa

do góry

Ra <a...@a...com> writes:

> zdarza się w znaczeniu "nie jest dziwne czy niespotykane że akamai ma
> im robić online"

Trudno mi sie z tym zgodzic. Ale nic to.
--
Krzysztof Halasa

do góry

Krzysztof Halasa pisze:
> Ra <a...@a...com> writes:
>
>> zdarza się w znaczeniu "nie jest dziwne czy niespotykane że akamai ma
>> im robić online"
>
> Trudno mi sie z tym zgodzic. Ale nic to.
chodzi tylko i wyłącznie o szybkość łączy szcz gdy serwery i klienci są
na różnych kontynentach
tu jest przykład trochę z innego podwórka ale za to w ramach tego samego
kraju http://www.joelonsoftware.com/items/2009/02/05.html

do góry