Użytkownik <n...@o...pl> napisał w wiadomości
news:57e3.000002f0.3eb65137@newsgate.onet.pl...
> byc moze sie myle. (nie siedzialem gleboko nigdy w SSL'u).
> ale:
> ZADNA przegladarka na komputerze ofiary NIE MA MOZLIWOSCI rozpoznac ze
rozmawia
> z proxy a nie z mbankiem, przy scenariuszu jaki zamiescilem powyzej.
>
> poprawcie mnie, jesli jestem w bledzie. i argumentujcie please.

jesli user ma zainstalowany certyfikat mBanku
( i rozumie ostrzeżenia oczywiście :)
to taki numer nie przejdzie.

pozdrawiam

--
Rysiek

do góry

n...@o...pl wrote:
[...]
>
> byc moze sie myle. (nie siedzialem gleboko nigdy w SSL'u).
> ale:
> ZADNA przegladarka na komputerze ofiary NIE MA MOZLIWOSCI rozpoznac ze rozmawia
> z proxy a nie z mbankiem, przy scenariuszu jaki zamiescilem powyzej
>
> poprawcie mnie, jesli jestem w bledzie. i argumentujcie please.

Ma. Jest coś takiego jak ścieżka certyfikacji. Ściślej: ma możliwość
sprawdzenia czy certyfikat podesłany przez "drugi" komputer to jest
certyfikat mBankowy czy nie.

KJ

do góry

RysioPysio wrote:

>> byc moze sie myle. (nie siedzialem gleboko nigdy w SSL'u).
>> ale:
>> ZADNA przegladarka na komputerze ofiary NIE MA MOZLIWOSCI rozpoznac ze
> rozmawia
>> z proxy a nie z mbankiem, przy scenariuszu jaki zamiescilem powyzej.
>>
>> poprawcie mnie, jesli jestem w bledzie. i argumentujcie please.
>
> jesli user ma zainstalowany certyfikat mBanku
> ( i rozumie ostrzeżenia oczywiście :)
> to taki numer nie przejdzie.
>
Jeśli ów serwer www ( w tym przypadku mBank) ma certyfikat autoryzowany
przez centrum autentykacji które jest znane producentowi przeglądarki
(a ma z VeriSign który jest jak najbardziej znany) specjalna instalacja
certyfikatu mBanku nie jest (nie powinna być) konieczna i zrobi się
automagicznie ;)

--
http://www.kupujemy.pl/ - Ponad sto tysięcy towarów z ponad 150 sklepów
internetowych i cenników (prawie wszystkie działające w Polsce) z szeroko
rozumianej branży elektroniczno - komputerowej z cenami z ostatniej doby,
pogrupowane wg kategorii, typów, cen i sklepów. Zapraszamy.

do góry

On Mon, 05 May 2003 10:47:39 +0200, Bartol Partol <b...@p...c>
wrote:

>
>A skad niby system ma wiedziec, ze wpisales haslo, jesli go do systemu
>nie wystalas potwierdzajac dane z formularza? Wszystko jest dobrze.
>

Nie jest dobrze! Jak bank chce haslo 28 i ono nie nadejdzie, to
nastepnym razem ma domagac sie 29. Nie potrzeba tu zadnego
jasnowidzenia.
Grzegorz

do góry

On Mon, 05 May 2003 11:20:46 +0200, Bartol Partol <b...@p...c>
wrote:


>> nie bardzo zrozumiales dyskusje.
>Zrozumialem, zrozumialem.
Oj - chyba nie do konca ;)

>Jeszcze raz powtarzam, jesli nie wyslesz hasla do banku, to skad on ma
>wiedziec, ze je podales? Jasnowidz, czy co? Jesli Ci proxy uwali sesje,
>to haslo do banku nie dojdzie i bedzie dla banku mialo flage "nastepne w
>kolejnosci".
Nie chodzi o to, czy je podales, ale oto ze bank zazadal i ono nie
doszlo. Wiec drugi raz juz nie pyta o to samo, tylko o kolejne. Haslo
powinno sie "zuzyc" w momencie gdy bank o nie PYTA, a nie dopiero gdy
ono dochodzi.

>Czy jesli uwali Ci sie sesja podczas wykonaywania przelewu dajesz sobie
>spokoj, czy probojesz jeszcze raz? Sadze ze prawdziwa jest odpowiedz nr
>2. W tej sytuacji przechwytujacy ma bardzo malo czasu na wykorzystanie
>hasla, wobec czego musialby caly czas Ciebie kontrolowac.
Uwale ci sesje, a potem zarzuce jakis blad, ze pomyslisz ze bank
umarl. Moge zrobic tez DNS spoofing i zrobic strone "chwilowo
nieczynne, przepraszamy"

>Jesli bedzie Ci uwalal kazda sesje, to bardzo szybko dojdziesz do
>wniosku ze z firmy nie da sie zlecic przelewu i przestaniesz tego probowac.
Po co "kazda"? Wystarczy jedna.

>IMHO trzeba.
IMO nie trzeba ;>

Grzegorz

do góry

Użytkownik "Bartol Partol" <b...@p...c> napisał w wiadomości
news:b95844$s8j$1@atlantis.news.tpi.pl...
> Użytkownik RysioPysio napisał:
> >
>
> A skad niby system ma wiedziec, ze wpisales haslo, jesli go do systemu
> nie wystalas potwierdzajac dane z formularza? Wszystko jest dobrze.

Nie jest. System nie musi. Za to backdoor/keyloger wie. W tym momencie może
zrobic wszystko np. uruchomic skrypt ktory odłaczy uzytkownika i przy uzyciu
hasla dostepu i wlasnie pozyskanego jednorazowego wykona przelew. Całkiem
balalne do napisania...


>
> Co do przechwytywania tego typu danych, to przechwytujacy musialby miec
> nieskonczona cierpliwosc, liczac na to ze kiedys przypadkiem sie
> cofniesz. Takie polowanie na czyjas kase zupelnie sie nie oplaca, tym
> bardziej, ze przechwytujacy dane musialby stale obserwowac Twoje
> dzialania i byc bardzo szybki, zeby zlecic przelew zanim Ty potwierdzisz
> swoj. No, chyba ze przy kazdym przelewie wpisujesz kod i zanim
> potwierdzisz transakcje cofasz sie do poprzedniej strony. W co mimo
> wszystko watpie.
>
> Bartol
>

Oj, myslenie bardzo naiwne....
Cierpliwośc jest tu niepotrzebna wystarczy, jak wspomnialem, kawałek
skryptu...

Pozdrawiam
Andrzej

do góry

On Mon, 05 May 2003 13:27:52 +0200, "Kamil Jonca (newsy)"
<k...@p...onet.pl> wrote:


>
>KJ
>[1] - czy jest już patch który wymusza przez IE sprawdzanie certyfikatów ?
>

Juuuz dawno....
Ale to nie zmienia faktu, ze ogromna ilosc luserow nie wie co to jest
certyfikat i jesli metoda MITM podrzucisz inny certyfikat (wystawiony
przez "Lew Rywin", to luser odruchowo go zaakceptuje).
Grzegorz

do góry

On 5 May 2003 13:55:36 +0200, n...@o...pl wrote:

>ale:
>ZADNA przegladarka na komputerze ofiary NIE MA MOZLIWOSCI rozpoznac ze rozmawia
>z proxy a nie z mbankiem, przy scenariuszu jaki zamiescilem powyzej.
>
Moze i nie ma mozliwosci rozpoznania, ale jako tako nie musi
rozpoznawac, bo albo ma w ustawieniach "uzywaj proxy" albo nie.

Wszystkie ataki raczej robi sie metoda Man In The Middle (podstawiajac
swoj certyfikat)... Proxy dzialaja nieco inaczej (nie udaja serwera i
nie wystawiaja wlasnego klucza SSL, zeby moc zdekodowac co leci po
drodze)
Grzegorz

do góry

n...@o...pl writes:

> > Użytkownik n...@o...pl napisał:
>
> > Jeszcze raz powtarzam, jesli nie wyslesz hasla do banku, to skad on ma
> > wiedziec, ze je podales? Jasnowidz, czy co? Jesli Ci proxy uwali sesje,
> > to haslo do banku nie dojdzie i bedzie dla banku mialo flage "nastepne w
> > kolejnosci".
>
> rozwiazanie jest b.proste: wystarczy ze mbank bedzie tylko raz pytal o kazde
> haslo (niezaleznie czy je dostanie, czy nie)

To problemu wcale nie rozwiązuje. Jeśli zakładamy, ze ktoś po drodze
kontroluje transmisję, to można sobie wyobrazić tylko trochę bardziej
skomplikowany algorytm:
- ty szykujesz przelew do Kowalskiego
- proxy wysyła do banku do weryfikacji przelew do Nowaka
- bank odpowiada jaki TAN trzeba podać
- proxy przekazuje to do klienta ale z danymi przelewu do Kowalskiego
- klient wpisuje TAN
- proxy przechwytuje dane i wysyła ten TAN ale z danymi przelewu do Nowaka
- bank odpowiada że przelew poszedł a proxy grzecznie to przekazuje
Dla serwera banku nie ma tu żadnej poszlaki że coś jest nie OK.

Aby to nie było możliwe, został wymyślony SSL (w którym proxy jest
bezradne bo nie rozumie transmisji). Aby proxy naprawdę nie rozumiało
transmisji, SSL musi być dobrze zrobiony (bez np. niedawno wykrytego
błędu) a klient musi zwrócić uwagę czy certyfikat jest naprawdę
właściwy.

--
( Marcin Kasperski | If information is written down two ways, one of the )
( http://www.mk.w.pl | versions will soon be out of date. (XP practices) )
(---------------------------------------------------
-------------------------)
( Wygeneruj dokumentację: http://www.mk.w.pl/narzedzia/narzedzia_gendoc )

do góry

Dnia 2003-05-05 13:09, Użytkownik Bartol Partol napisał:
> Uz.ytkownik WAM napisa?:
>
>>
>>> Jeszcze raz powtarzam, jesli nie wyslesz hasla do banku, to skad on
>>> ma wiedziec, ze je podales?
>>
>>
>> System nie musi wiedziec czy je podales - wie ze o nie spytal i
>> chodzilo o to (imho) ze wiecej o nie pytac nie powinien.
>
>
> Chyba ze tak. Ale wtedy moga zbankrutowac na wydawaniu kart z haslami,
> szczegolnie jesli system bedzie im sie walil tak jak ostatnio. :-P
>

Nie koniecznie. Wystarczy że będzie wyraźnie rozdzielona procedura
definiowania przelewu od jego potwierdzania. Tak zeby klient miał
świadomość, że jeśli kliknie np "Wykonaj" zostanie przeniesiony na
strone potwierdzania przelewu, a jedno z jego haseł zostanie
bezpowrotnie stracone.

Innym rozwiązaniem byłoby stosowanie podwójnych haseł wpisywanych na
dwóch różnych wywołaniach strony.

Pozdrawiam. ENTIS

do góry