Vlákno názorů k článku Komerční banka chystá rychlé platby v e-shopech od Marek Chlup - Zatím žiji v představě, že důvěryhodné certifikační autority...

Zatím žiji v představě, že důvěryhodné certifikační autority Vám nepodepíší certifikát k "cz.mbank.eu" pokud tuto doménu skutečně nevlastníte. Ale třeba mne někdo vyvede z omylu.

Tedy já říkám, že uživatel si musí pamatovat webovou adresu své banky (například "cz.mbank.eu"). Pak v prohlížeči jen zkontroluje zda se na této adrese nachází, že vše je pod https a prohlížeč si při vstupu nestěžoval na certifikát (tedy certifikát byl podepsán důvěryhodnou autoritou a patří k webové adrese na které se nyní nachází a o které ví, že patří jeho bance).

Pamatovat si přesné jméno společností poskytující bankovnictví je samozřejmě také vhodné, ale tuto kontrolu již považuji jako kontrolu navíc.

pardon, jen technická otázka ... co mi vlastně brání nechat si vystavit certifikát u důveryhodné autority na firmu která se jmenuje třeba "m-Bank s.r.o." .... cos je jiste pro bezneho frantu vice duveryhodne nez "BRE Bank PL" ktery mBanka pouziva :-)

Myslím, že Vám unikají certifikáty. Útočník uprostřed jistě nebude mít certifikát na webovou adresu banky podepsaný nějakou důvěryhodnou autoritou.

Musím kontrolovat webovou adresu zda patří bance a certifikát musí být podepsán důvěryhodnou autoritou a musí příslušet k té webové adrese. Otrávení DNS s tím nemá co dělat.

Čímž samozřejmě neříkám, že se někdo nenachytá - stejně jako dnes. Uznávám, že k nachytání pak může být více příležitostí. Uznávám, že různých kombinací jak někoho nachytat se dá vymyslet hodně. Ale o certifikátech a webové adrese platí co jsem napsal a pokud je to ok, tak je to ok.

Stránka banky by se zobrazila původní ta by byla originál routovaná, ale data od klienta by se "lehce upravila" akorát by se nešahalo na SMS autentifikační kód. Jednoduše by se se man in midle server útočníka spojil pomocí https s bankou a pak s pomocí https s klientem. A kdyby se číhalo na to kdy se povede otrávit DNS...

Mohl byste to více rozvést? Náhled do adresního řádku a certifikát (například podepsaný autoritou, které v prohlížeči důvěřujete) Vám zajistí, že se na "man in midle" nenachytáte.

Pokud by mi eshop nabídl přímo url mé banky tak je to naprosto ideální metoda pro aplikaci útoku "man in midle" a https je vyřízeno :-(.