Jacek Osiecki <j...@c...pl> writes:

> Dnia Fri, 08 Feb 2008 15:42:49 +0100, Krzysztof Halasa napisał(a):
>> Jacek Osiecki <j...@c...pl> writes:
>>> Wnosi jak najbardziej.
>> W to ze Tobie sie tak wydaje nie watpie.
>
> Jeśli ktoś się JEDNOKROTNIE zaloguje do konta zabezpieczonego maskowanym
> hasłem na podstawionym komputerze to jesteś w stanie dostać się później na
> to jego konto? Nie. I o to chodzi.
>
>>> Podpis cyfrowy pt. plik + ew. hasło? Niewielki problem dla złodzieja, tym
>>> bardziej takiego który bez problemu poskłada sobie hasło z wielu
>>> maskowanych.
>
>> Podpis cyfrowy to nie jest "pt. plik + ew. hasło".
>> RTF jakas ksiazke o podstawach kryptografii.
>> Mam wrazenie, ze Applied Crypto jest (legalnie) w sieci w PDFach.
>
> Podpis cyfrowy zawsze na jakimś nośniku siedzi. Albo w pliku na dysku czy
> dyskietce, albo na "karcie inteligentnej" - bo chyba nie twierdzisz że

Tylko, że (oimw) karta zawierająca podpis cyfrowy nie udostępnia funkcji
"pokaż podpis" tylko funkcję "podpisz/zaszyfruj dokument" - podpis karty nie
opuszcza.
Mylę się?
KJ

do góry

Użytkownik "krzysztofsf" <k...@w...pl> napisał w wiadomości
news:c121793f-7295-4ced-8733-f7cc5c2d4ade@d4g2000prg
.googlegroups.com...

> Ale wlasnie napisales, ze nie ma potrzeby sprawdzac prawdziwosci i
> nominalow wrzucanych bez koperty - przynajmniej tak zrosumialem
> ponizsze. O ile wiem, to te "kopertowe" sa ksiegowane (chyba z data
> wsteczna - z dnia wrzucenia?) dopiero po weryfikacji zawartosci
> koperty.

Nie martw się, to bardzo wyrafinowane urzadzenia. Możesz im wrzucić cały
plik banknotów, a wpłatomat je ładnie posegreguje, policzy i wywali Ci
komunikat ile sztuk każdego nominału wsadziłeś i czy się z tym zgadzasz,
jeśli nie, to wywali Ci spowrotem dokładnie te banknoty, które pobrał od
Ciebie. Przy tym jest dość wybredny i zapewniam Cię, że nawet oryginalne
banknoty czasami potrafił wypluć.

do góry

Dnia Sat, 09 Feb 2008 20:57:55 +0100, Krzysztof Halasa napisał(a):
> Jacek Osiecki <j...@c...pl> writes:
>> Słowo "sprzętowo" już od dłuższego czasu jest niezbyt adekwatne do
>> większości urządzeń :)
> Jak dla kogo.

Tak, wiem że można określić rozwiązania sprzętowe jako te, które realizują
jakieś zadania bez udziału procesora komputera... Tylko że równie dobrze
może się to odnosić do przetwarzania cyfr na dźwięki w przetworniku D/A czy
do przenoszenia danych na odpowiednio namagnesowane talerze dysku twardego.
A jeśli firmware dysku nie tylko zapisuje dane na talerzach ale również je
po drodze szyfruje załadowanym kluczem DES3 - czy wiele się to różni od
sytuacji gdy robi to za niego sterownik do dysku w systemie operacyjnym
komputera?

>> Kiedyś firmware w urządzeniach służył do najbardziej
>> podstawowych operacji,
> Jak np.?

Jak np. zapisanie danych na dysk.

>> teraz już w zasadzie nie ma żadnych ograniczeń.
> Takich jak np.?

Jak np. stworzenie klucza zabezpieczającego program, który to klucz nie
tylko będzie pozwalał programowi zweryfikować czy jest legalny ale też
będzie najnormalniej w świecie przeprowadzał niektóre istotne operacje.

>> A juz przy takich wpłatomatach wręcz celowe jest, żeby taka maszynka
>> do sprawdzania pieniędzy była autonomiczna i sama informowała o tym czy
>> banknoty są autentyczne - realizowanie tego zadania w innym elemencie
>> systemu tylko by go skomplikowało zamiast uprościć.

> A wynika to z...?

Z tego, że prościej analizować poszczególne moduły o ustalonym interfejsie
które wykonują podstawowe czynności. Po co program obsługujący bankomat ma
się bawić w pobieranie skanów banknotów (w dodatku kilku skanów na banknot,
np. w różnych oświetleniach albo testujących metaloway pasek) i sprawdzanie
czy są autentyczne, skoro dużo szybciej wykona to program zaszyty w module
liczącym banknoty? Przecież on też musi te bankoty policzyć i
sklasyfikować...

>> Być może te maszynki są na tyle pewne, że faktycznie nie jest to duże ryzyko
>> :)

> Ryzyko jest 100% w przypadku kogos, kto wie co robi i (jednoczesnie)
> chce to zrobic. Ale takich osob jest bardzo malo, potencjalne straty
> sa niewielkie (domyslam sie ze bank nie umozliwi wplacenia np. 10 mln
> w falszywkach i nastepnie wyplaty tych 10 mln.).

No właśnie, wykalkulowali sobie jakie jest ryzyko - i widocznie
prawdopodobieństwo takiego naciągnięcia banku by go to zabolało jest
minimalne, albo ew. wpadka będzie mniej bolesna niż straceni potencjalni
klienci "bo nie ma jak wpłacić gotówki".

Pozdrawiam,
--
Jacek Osiecki j...@c...pl GG:3828944
"Poglądy polityczne mają takie znaczenie w sejmie jak upierzenie u krokodyla"
(c) Tomasz Olbratowski 2004

do góry

Dnia Sun, 10 Feb 2008 17:11:41 +0100, Kamil Jońca napisał(a):
> Jacek Osiecki <j...@c...pl> writes:

>> Podpis cyfrowy zawsze na jakimś nośniku siedzi. Albo w pliku na dysku czy
>> dyskietce, albo na "karcie inteligentnej" - bo chyba nie twierdzisz że

> Tylko, że (oimw) karta zawierająca podpis cyfrowy nie udostępnia funkcji
> "pokaż podpis" tylko funkcję "podpisz/zaszyfruj dokument" - podpis karty nie
> opuszcza.
> Mylę się?

Nie mylisz się. Ale też karta przy podpisywaniu nie zaczyna świecić na
bladoniebiesko i śpiewać w wysokim c o tym co podpisuje. Czyli siadasz przy
komputerze który jest odpowiednio przygotowany, wkładasz kartę do czytnika,
robisz przelew do gazowni, wpisujesz pin do karty... i zanim tę kartę
wyjmiesz to robal przy użyciu tegoż pinu i karty w czytniku będzie trzaskał
operacje do woli. A żebyś za szybko nie wyjął, to przeglądarka może
wyjątkowo długo się odświeżać po złożeniu podpisu...

Dlatego właśnie uważam, że oprócz pinu powinno być czysto mechaniczne
zabezpieczenie - np. każda operacja potwierdzona dodatkowo pojedynczym
wciśnięciem przycisku na tejże karcie. A przy komputerze odpowiednio
spreparowanym nawet to może niewiele dać, bo zamiast stworzyć przelew do
cioci podpiszesz zdefiniowanie przelewu na konto złodzieja... i do widzenia
pieniążki.

W dzisiejszych czasach, im bardziej zautomatyzowane są wszystkie systemy -
tym łatwiej można zostać bez pieniędzy w rekordowo krótkim czasie.
A dodatkowo silniejsza strona - banki - robi wszystko, by wystrychnąć
klienta na dudka (choćby wciskając karty autoryzowane PINem)... :(

Pozdrawiam,
--
Jacek Osiecki j...@c...pl GG:3828944
"Poglądy polityczne mają takie znaczenie w sejmie jak upierzenie u krokodyla"
(c) Tomasz Olbratowski 2004

do góry

Jacek Osiecki pisze:
> Dnia Sun, 10 Feb 2008 17:11:41 +0100, Kamil Jońca napisał(a):
>> Jacek Osiecki <j...@c...pl> writes:
>
>>> Podpis cyfrowy zawsze na jakimś nośniku siedzi. Albo w pliku na dysku czy
>>> dyskietce, albo na "karcie inteligentnej" - bo chyba nie twierdzisz że
>
>> Tylko, że (oimw) karta zawierająca podpis cyfrowy nie udostępnia funkcji
>> "pokaż podpis" tylko funkcję "podpisz/zaszyfruj dokument" - podpis karty nie
>> opuszcza.
>> Mylę się?
>
> Nie mylisz się. Ale też karta przy podpisywaniu nie zaczyna świecić na
> bladoniebiesko i śpiewać w wysokim c o tym co podpisuje. Czyli siadasz przy

Bądź łaskaw nie zmieniać tematu. Najpierw mówiłeś, że Podpis może być
wykradziony byle keyloggerem. I *tylko* do tego się odniosłem.

Kwestia, żeby wiedzieć *co* się to trochę jednak co innego.
jeśli smsy nie zawierają np. "streszczenia przelewu" (ciężko jeśli się
podpisuje "koszyk przelewów") to też nimi możesz podpisać przelew na 1
MPLN na rzecz WOŚP ... niezupełnie zgodnie ze swoją intencją.
KJ

do góry

Dnia Sun, 10 Feb 2008 22:06:05 +0100, Kamil Jońca napisał(a):
> Jacek Osiecki pisze:
>> Dnia Sun, 10 Feb 2008 17:11:41 +0100, Kamil Jońca napisał(a):
>>> Tylko, że (oimw) karta zawierająca podpis cyfrowy nie udostępnia funkcji
>>> "pokaż podpis" tylko funkcję "podpisz/zaszyfruj dokument" - podpis karty nie
>>> opuszcza.
>>> Mylę się?

>> Nie mylisz się. Ale też karta przy podpisywaniu nie zaczyna świecić na
>> bladoniebiesko i śpiewać w wysokim c o tym co podpisuje. Czyli siadasz przy

> Bądź łaskaw nie zmieniać tematu. Najpierw mówiłeś, że Podpis może być
> wykradziony byle keyloggerem. I *tylko* do tego się odniosłem.

Gdzieś pisałem że podpis można wykraść? Pisałem, że podpis przed niczym nie
zabezpiecza - nic o jego wykradaniu...

> Kwestia, żeby wiedzieć *co* się to trochę jednak co innego.

Oczywiście, dlatego np. dla własnego bezpieczeństwa dobrze jest unikać
"koszyków"... Ale to już jest indywidualna sprawa użytkownika czy chce ich
używać czy nie.

> jeśli smsy nie zawierają np. "streszczenia przelewu" (ciężko jeśli się
> podpisuje "koszyk przelewów") to też nimi możesz podpisać przelew na 1
> MPLN na rzecz WOŚP ... niezupełnie zgodnie ze swoją intencją.

Oczywiście - dlatego można ew. unikać koszyków :) Ale właśnie potwierdzenia
SMSowe są najlepszą formą zabezpieczenia - i tu akurat mBank zasługuje na
pochwałę, bo równie dobrze mógł tak jak chyba Citi przesyłać SMSa o treści
"hasło do transakcji: xxxxxx".

Pozdrawiam,
--
Jacek Osiecki j...@c...pl GG:3828944
"Poglądy polityczne mają takie znaczenie w sejmie jak upierzenie u krokodyla"
(c) Tomasz Olbratowski 2004

do góry

Dnia 10 Feb 2008 15:03:55 +0100, Wojciech Bancer napisał(a):
> On 2008-02-10, Jacek Osiecki <j...@c...pl> wrote:
> [...]
>>> No właśnie o ten cel pytam. Po cholerę ktoś miałby się wyzłośliwiać w tak
>>> wyrafinowany sposób?
>> Choćby dlatego, że mu czymś podpadłeś? Że chce Ciebie wykończyć nerwowo?
>> Że chce się pozbyć konkurencji z rynku?

> E tam. Jest nieskończenie wiele metod o wiele bardziej uprzykrzających
> życie, a łatwiejszych w realizacji.

Wydrenowanie konta i wpędzenie w długi to małe uprzykrzenie życia? :)
Owszem, można ofiarę wykańczać psychicznie, pisać donosy o najbardziej
chorych urojonych przestępstwach, wpisać numer komórki w różnych dziwnych
portalach... Ale równoczesne wyczyszczenie kont i wpędzenie w długi chyba
jednak będzie skuteczniejsze i boleśniejsze - gdy nagle się okazuje że nie
masz czego do garnka włożyć, nie zapłacisz za prąd ani za czynsz.

> Nie mówię, że to niemożliwe, ale
> uważam że robienie z tego realnego zagrożenia przed którym trzeba się
> zabezpieczać w możliwie maksymalnie upierdliwy (logowanie maskowane)
> sposób zalatuje lekką paranoją. Coś jak mieszkanie w bunkrze kilkaset
> metrów pod ziemią, bo "przecież może w ziemię pierdolnąć meteor".

No to ponownie spytam: co ten mBank taki głupi że przy obsłudze
telefonicznej bawi się w maskowanie hasła? :)

>> Właśnie, _zazwyczaj_ odzyskiwalnych. Nadal jest sporo instytucji, z którymi
>> trzeba nieźle się nawalczyć zanim łaskawie przeleją nadpłatę zamiast ją
>> uznać jako przedpłatę na najbliższe 10 lat.

> I akurat tylko takie masz w przelewach zdefiniowanych? Come on.
> To obsługuj te instytucje przy pomocy PZtek/karty kredytowej.

PZtek nie lubię, bo wiążą się z załatwianiem papierków. Obciążenie KK
jeszcze jest OK, ale nie wszędzie jest mile widziane. A przelew nadal
pozostaje najwygodniejszy...

Pozdrawiam,
--
Jacek Osiecki j...@c...pl GG:3828944
"Poglądy polityczne mają takie znaczenie w sejmie jak upierzenie u krokodyla"
(c) Tomasz Olbratowski 2004

do góry

Jacek Osiecki pisze:
> Dnia Sun, 10 Feb 2008 22:06:05 +0100, Kamil Jońca napisał(a):
[...]

>
> Gdzieś pisałem że podpis można wykraść? Pisałem, że podpis przed niczym nie
> zabezpiecza - nic o jego wykradaniu...
Ok. Zestawiłeś klucz na dyskietce z takim na karcie, jakoby tak samo się
zachowywały. Niech Ci będzie, że moja nadinterpretacja.

[..]

> Oczywiście - dlatego można ew. unikać koszyków :) Ale właśnie potwierdzenia
> SMSowe są najlepszą formą zabezpieczenia - i tu akurat mBank zasługuje na
> pochwałę, bo równie dobrze mógł tak jak chyba Citi przesyłać SMSa o treści
> "hasło do transakcji: xxxxxx".

Sam widzisz, że i taką rzecz można spieprzyć.
Ciekawy jestem czy można zrobić czytnik wyświetlający "skrót'
podpisywanej wiadomości.


KJ

do góry

Jacek Osiecki <j...@c...pl> writes:

> No to ponownie spytam: co ten mBank taki głupi że przy obsłudze
> telefonicznej bawi się w maskowanie hasła? :)

To widocznie jakis inny mBank, w tym normalnym jest (byc moze
maskowany) PIN telefoniczny.

3 cyfry sie podaje, tak? Szansa sukcesu w pojedynczej probie
1/1000. Ile maja klientow i srednio na ile kont da sie zalogowac takim
sposobem?
--
Krzysztof Halasa

do góry

Jacek Osiecki <j...@c...pl> writes:

> Jeśli ktoś się JEDNOKROTNIE zaloguje do konta zabezpieczonego maskowanym
> hasłem na podstawionym komputerze to jesteś w stanie dostać się później na
> to jego konto? Nie.

Nie albo tak. Ale przede wszystkim, po co mialbym to robic? Przeciez
wystarczy skorzystac z raz uzyskanego dostepu.

No chyba ze masz na mysli wylacznie taki przypadek, w ktorym raz moge
podsluchac podane haslo (czesc) - tylko jak, SSL itd, oraz nie moge
ingerowac w przesylane dane (tylko pasywny podsluch) - baaardzo
praktyczna sytuacja.

> Podpis cyfrowy zawsze na jakimś nośniku siedzi. Albo w pliku na dysku czy
> dyskietce, albo na "karcie inteligentnej" - bo chyba nie twierdzisz że
> popularną metodą jest wkucie go na pamięć? ;)

Nie, podpis cyfrowy sklada sie pod dokumentem. Za kazdym razem jest
inny.
Applied Crypto naprawde jest w sieci w PDFach, wystarczy troche przejrzec.

> "Podpis cyfrowy" w takiej
> postaci jest bezwartościowy - keylogger i odpowiednio przygotowane złośliwe
> oprogramowanie ogołoci konto klienta banku do zera.

Podpis cyfrowy to nie jest zabezpieczenie przed jakims "keyloggerem".
Podpis cyfrowy jest zabezpieczeniem klienta przed bankiem (by ten
ostatni nie mogl twierdzic ze klient zlecil niezlecony przelew), oraz
banku przed klientem, by ten ostatni nie mogl sie wyprzec zlecenia.

Z pewnoscia uzycie podpisow cyfrowych zwieksza bezpieczenstwo
korzystania z banku.

Reszta w ksiazkach, to nie sa skomplikowane rzeczy.

> Jedyne PEWNE zabezpieczenia _muszą_ angażować do przelewu
> coś niezależnego od komputera - token z klawiaturą, hasło SMSowe.

a) Nie ma calkiem pewnych zabezpieczen.
b) haslo SMSowe, wbrew pozorom, moze bardzo pogorszyc bezpieczenstwo,
gdyz jest dodatkowym wektorem ataku (trudno uznac to za bezpieczny
kanal chyba). Podobnie token, nie mozna zmienic jego "zawartosci"
tak jak sie zmienia haslo.
c) token to przeciez kolejny komputer. Potrzebny jest bezpieczny
terminal (komputer) do operacji bankowych (i wszelkich innych,
jesli w gre wchodzi cos wiecej niz zabawa), a nie wynajdowanie
zludzen.
--
Krzysztof Halasa

do góry