Vlákno názorů k článku Přikováni k modrému E od JD - Jo jsme prikovani k modremu e. Nasledujici text...

Jo jsme prikovani k modremu e. Nasledujici text je BEZ UPRAV komunikace s KB. A pro ty co to nechteji cist davam predem 2 zavery:
1) musite pouzivat IE, a zaroven za to ze je to smejd zamoreny chybami zodpovidate Vy a nikoli banka.
2) neschopnost programovat web aplikace se v newspeeku nazyva optimalizace.

=================================
Dobry den,

Chtel bych se jiz po nekolikate zeptat, zda stale TRVATE na pouzivani MSIE (internet explorer)? Bezpecnost internetoveho bankovnictli totiz neni vetsi nez nejslabsi clanek retezu a MSIE je clanek slabej az hruza.

Krasna chyba zneuzitelna i na utok pro mojebanka.cz zverejnena 3.6.2004. Chyba byla znama jeste pred uverejnenim, opravena stale NENI (stav 1.7.2004; service pack 2 vydan jeste nebyl, ale opravuje to)

http://www.kb.cert.org/vuls/id/713878

Nejsem urcite prvni, kdo se pta, kdy Vam to dojde.

S pozdravem Vas klient ,
Jiri Dobry
-----------
PS: rady na antivir, firewal, pripadne tvzeni ze MS chyby opravuje a nemusim se bat si nechte. Tady to nepomuze, je nejvyse znamo jak rucnim nastavenim chybu blokovat, ale jsou i dalsi chyby, neuverejene a je jich dost.

=================================
Vazeny pane Dobry,

Komercni banka v kazdem pripade garantuje bezpecnost primeho bankovnictvi a to ve smyslu samotne komunikace klient -> banka. Tato je samozrejme sifrovana aktualne nejvyssim moznym 128. bitovym sifrovanim a neni tak mozne, aby tuto pripadny utocnik mohl rozlustit.

Zajistit uplnou bezpecnost v moznostech Komercni banky resp. jakehokoliv penezniho ustavu vsak neni. Vzdy znacny dil zustane i na samotnem uzivateli site internet. Tento musi zajistit bezpecnost osobniho certifikatu a hesla proti jeho neopravnemu pouziti (instalace kvalitniho antiviroveho programu, firewallu, sledovani bezpecnostnich zaplat vydavanych spolecnostmi, jejichz software je na danem pocitaci instalovan apod.). Komercni banka se v tomto smyslu snazi klientum vyjit vstric a v pripade neochoty ci nemoznosti sledovat vyse uvedene napr. pouzivat certifikat ulozeny na cipove karte.

V pripade optimalizace aplikaci primeho bankovnictvi se samozrejme nebranime podpore i jinych internetovych prohlizecu, stale sledujeme vyvoj na tomto poli a zvazujeme ekonomicke a jine dusledky teto pripadne podpory. Zastoupeni Internet Exploreru je vsak stale markantni.

Komercni banka Vam preje prijemny den.
Otakar Burgr a Pavla Sramkova - utvar pece o zakazniky

Od kdy jsou dnesni bezne pouzivane sifry blokovany na maximalni velikost 128bitu? Uz jen tato naprosto zcestna az lziva a zavadejici informace ve mne navozuje dojem, ze dotycny Otakar Burgr a kolektiv o te bezpecnosti fakt moc nevi, resp. vi jen to, co jim "prednesl" na marketing planu dodavatel technologii...

Navic neni ani pravda to, ze komunikace klient banka je nejbezpecnejsi - ostatne, za vse mluvi loni opraseny utok na znalost Orakula v ICZ - nejsem si nyni ale jist, zda-li byla implementace SSL pouzita v KB byla na tom alespon podobne (tvrdit mohou cokoli, coz taky delali a delaji).

Mimochodem, dalsi sranda problem KB je "standard" JVM a MS JVM... - Drive to fungovalo jen s MS JVM, jinak jste mel smulu, dneska to funguje JEN se standardnim JVM a to jeste tak nejak vselijak... - proste svet se meni a my jsem v prdeli, jak by rek klasik coby parodie na jejich trapny slogan.

Puvodne jsem to tam nenapsal, ale me osobne se liby ta logika, ze tim, ze musim pouzivat MSIE si dobrobolne pacham diru do systemu, za kterou jsem pak odpovedny.

Pokud mam byt za neco odpovedny, pak MUSIM mit moznost "videt dovnitr". Nerikam ze alternativni prohlizece jsou bez chyb, ale "MAM MOZNOST" to zkontrolovat a pak jsem ochotny za svoji duverivost nest zodpovednost. To za predpokladu, ze jsem si do systemu "nainstaloval" backdoor, proste proto, ze jsem mel vsech prostredky tomu zabranit.
Apropos v pripade banky (specielne KB) staci napsat kod, ktery dokaze vyuzit nejake chyby v IE, umistit ho na stranku kam uzivatele chodi. Pri dobrem nacasovani nepomuze ani antivir, a to ani pokud by vyrobce dokazal reagovat v desitkach minut.
Obrana firewalem je nanic, pokud je povoleno jit s MSIE i na jine stranky nez KB, utok probehne stejne jako normalni http komunikace, resp. https. Robot se muze vydavat za uzivatele, heslo neni problem odchytit z klavesnice, klic je na disku, pripadne je na cipove karte, staci pockat na jeji vlozeni. Takze jedina obrana ktera ma nadeji na ucinost, je auditovatelny browser + firewall.

PS: jine, pouze castecne reseni je pouzit k podpisu "turinguv test". Tedy stejne, jako dnes v pripade zakladani e-mail uctu u freemailovych sluzeb (prepsani textu z obrazku). Pak by robot, usazeny na uzivatelove pocitaci ani s platnym cetrifikatem a heslem nemel sanci, pokud by mu uzivatel nepomohl.

Jen dodam, ze jednim z moznych reseni je zmena banky - pri ruseni uctu bych jim udal jako duvod jejich neschopnost napsat funkcni webove rozhrani.

Otazko je, jestli to bude mit nejaky efekt.

Jako perlicku dodam, ze KB by provedla optimalizaci (pokud se to tak da vubec nazvat) pro jine prohlizece nez je IE, pokud by to pozadovalo 25% (!) klientu.

V tom případě by si odborníci z KB měli došlápnout na NSA, která si drze vybere nějaký podvratný AES, který existuje i ve variantách AES-192 a AES-256, a ještě drzeji ho vnucuje veřejnosti jako standard pro šifrování dat...

"V pripade optimalizace aplikaci primeho bankovnictvi se samozrejme nebranime podpore i jinych internetovych prohlizecu, stale sledujeme vyvoj na tomto poli a zvazujeme ekonomicke a jine dusledky teto pripadne podpory. Zastoupeni Internet Exploreru je vsak stale markantni."

Bodejzt by zastoupeni Internet exploreru nebylo markantni kdyz to v nicem jinem nejede :) je to zamotana smycka. Dokud bankovnictvi nepojede v nicem jinem nez v IE, budou tam chodit prakticky jen lide s IE. Protoze tam budou chodit jen lide s IE, nema smysl to predelavat aby to fungovalo v necem jinem - tech par promile co si precte hlasku 'nemas jediny spravny' totiz zase odejde a do statistiky se tak promitne jednou strankou. A tak to funguje i jinde na internetu... systematicka chyba zpracovavani statistiky jedna radost.

ano,

a co se tyce te odpovedi o KB, tak maji cca 3, ktere pomoci copy & paste posilaji podle stupne nastvanosti tazatelum. Cas od casu je dokonce odpoved napsana znovu a jsou tam jiste obmeny ;-)