Wybrałem obrazek bezpieczeństwa w iPKO
o co chodzi?
wie ktoś?

Bolko pisze tak:

Wybrałem obrazek bezpieczeństwa w iPKO
o co chodzi? wie ktoś?

To taki gadżet dla dzieci Androida. Pokemon który pojawia się po każdym podaniu numeru klienta. Pokemon jest przypisany do numeru klienta.
Fałszywa strona banku nie wie jaki to obrazek.

Taki duży kolorowy ostrzegacz dla tłumoków, żeby pochopnie nie wpisali jeszcze złodziejom hasła.

--
Piter

w banku bądź czujny jak pies podwójny!

Użytkownik "PiteR"  napisał w wiadomości grup dyskusyjnych:XnsA6A57E0AA5818PanElektronik@localhost.net...
Bolko pisze tak:

Wybrałem obrazek bezpieczeństwa w iPKO
o co chodzi? wie ktoś?

To taki gadżet dla dzieci Androida. Pokemon który pojawia się po każdym
podaniu numeru klienta. Pokemon jest przypisany do numeru klienta.
Fałszywa strona banku nie wie jaki to obrazek.
Taki duży kolorowy ostrzegacz dla tłumoków, żeby pochopnie nie wpisali
jeszcze złodziejom hasła.

I na tlumackich hackerow - co za problem sprawdzic na stronie banku jaki jest obrazek dla tego klienta ?

J.

J.F. pisze tak:

Użytkownik "PiteR"  napisał w wiadomości grup dyskusyjnych:XnsA6A57E0AA5818PanElektronik@localhost.net...
Bolko pisze tak:

Wybrałem obrazek bezpieczeństwa w iPKO o co chodzi? wie ktoś?

To taki gadżet dla dzieci Androida. Pokemon który pojawia się po każdym podaniu numeru klienta. Pokemon jest przypisany do numeru
klienta. Fałszywa strona banku nie wie jaki to obrazek.
Taki duży kolorowy ostrzegacz dla tłumoków, żeby pochopnie nie wpisali jeszcze złodziejom hasła.

I na tlumackich hackerow - co za problem sprawdzic na stronie
banku jaki jest obrazek dla tego klienta ?

No siedzi tam sztab informerów lepszych zapewne niż w Biedronce.
To pewnie poeta miał coś na myśli.

--
Piter

w banku bądź czujny jak pies podwójny!

On 2016-10-18, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

[...]

I na tlumackich hackerow - co za problem sprawdzic na stronie banku jaki jest obrazek dla tego klienta ?

Nie jest to niemożliwe, ale jest to zawsze jakieś utrudnienie.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Użytkownik "Wojciech Bancer"  napisał w wiadomości grup dyskusyjnych:slrno0f460.ake.wojciech.bancer@pl-test.org...
On 2016-10-18, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:
[...]

I na tlumackich hackerow - co za problem sprawdzic na stronie banku
jaki jest obrazek dla tego klienta ?

Nie jest to niemożliwe, ale jest to zawsze jakieś utrudnienie.

Zawsze jakies, ale na oko - na pare godzin roboty hackera ... a potem juz nic nie bedzie zabezpieczalo ...

J.

On 2016-10-19, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

[...]

Nie jest to niemożliwe, ale jest to zawsze jakieś utrudnienie.

Zawsze jakies, ale na oko - na pare godzin roboty hackera ... a potem juz nic nie bedzie zabezpieczalo ...

Na oko. :)
To jest trudniejsze niż wygląda na pierwszy rzut oka.

No i pamiętaj, że to nie jest jedyne zabezpieczenie. W pewnym momencie
suma "zabezpieczeń" robi się na tyle duża, że cała operacja przestaje być
opłacalna.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Użytkownik "Wojciech Bancer"  napisał w wiadomości grup dyskusyjnych:slrno0f68t.ake.wojciech.bancer@pl-test.org...
On 2016-10-19, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

Nie jest to niemożliwe, ale jest to zawsze jakieś utrudnienie.

Zawsze jakies, ale na oko - na pare godzin roboty hackera ... a potem
juz nic nie bedzie zabezpieczalo ...

Na oko. :)
To jest trudniejsze niż wygląda na pierwszy rzut oka.

Wersja a): od strony serwera polaczyc sie ze strona pko, wpisac klienta, sciagnac obrazek i przekazac do udawanej strony.
Wada - moze zwrocic uwage na duza ilosc polaczen ze strony jednego serwera - trzeba by rozrzucic po wielu komputerach.

Wersja b): zaprogramowac to w javascript strony. Skrypt z przegladarki klienta polaczy sie do PKO, wpisze nr klienta, i pokaze otrzymany obrazek.
Nie mowie ze sie uda, ale coz szkodzi sprawdzic.

J.

On 2016-10-19, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

[...]

Na oko. :)
To jest trudniejsze niż wygląda na pierwszy rzut oka.

Wersja a): od strony serwera polaczyc sie ze strona pko, wpisac klienta, sciagnac obrazek i przekazac do udawanej strony.
Wada - moze zwrocic uwage na duza ilosc polaczen ze strony jednego serwera - trzeba by rozrzucic po wielu komputerach.

Zablokować połączenia bez sesji/ciacha od klienta, dorzucić kontrolnie
check nagłówków (user agent, przekierowania z CSRFem, zmieniać randomowo
kod HTML utrudniają automatyczne parsowanie kodu przez serwer).

Wersja b): zaprogramowac to w javascript strony. Skrypt z przegladarki klienta polaczy sie do PKO, wpisze nr klienta, i pokaze otrzymany obrazek.

Zablokować połączenia AJAX (przeglądarki to wysyłają tak, że da się wykryć).
A to tylko takie prostsze rzeczy, które stosuje się zawsze. :)

I co zrobisz? :)

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Użytkownik "Wojciech Bancer"  napisał w wiadomości grup dyskusyjnych:slrno0h4r3.kv3.wojciech.bancer@pl-test.org...
On 2016-10-19, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

Wersja b): zaprogramowac to w javascript strony. Skrypt z przegladarki
klienta polaczy sie do PKO, wpisze nr klienta, i pokaze otrzymany
obrazek.

Zablokować połączenia AJAX (przeglądarki to wysyłają tak, że da się wykryć).
A to tylko takie prostsze rzeczy, które stosuje się zawsze. :)

I co zrobisz? :)

Wyswietle komunikat "blad w trakcie odczytu strony", przekieruje klienta do prawdziwej strony ... ale sobie zanotuje w bazie ktory klient dal sie nabrac.
Wejde na strone banku recznie, wpisze jego id, zapamietam obrazek, i dopisze do bazy falszywego serwera ze temu klientowi nastepny razem ten obrazek sie pokaze.

I postaram sie podeslac mu ponownie falszywa strone. Raz sie nabral, to moze i drugi raz sie nabierze.
Ale wtedy nie bedzie mial powodow nie wpisywac hasla :-)

Wymaga to troche obslugi recznej ... ale imo z duza szansa powodzenia.

J.

J.F. pisze tak:

I co zrobisz? :)

Wyswietle komunikat "blad w trakcie odczytu strony", przekieruje klienta do prawdziwej strony ... ale sobie zanotuje w bazie ktory klient dal sie nabrac.
Wejde na strone banku recznie, wpisze jego id, zapamietam obrazek,
i dopisze do bazy falszywego serwera ze temu klientowi nastepny
razem ten obrazek sie pokaze.

I postaram sie podeslac mu ponownie falszywa strone. Raz sie
nabral, to moze i drugi raz sie nabierze.
Ale wtedy nie bedzie mial powodow nie wpisywac hasla :-)

Wymaga to troche obslugi recznej ... ale imo z duza szansa
powodzenia.

Jeszcze jest kwestia datownika na dole obrazka. Trzeba by obrazek uciąć i generować bieżącą datę albo jakoś nakładać na wierzch.

--
Piter

w banku bądź czujny jak pies podwójny!

Jeszcze jest kwestia datownika na dole obrazka. Trzeba by obrazek uciąć i generować bieżącą datę albo jakoś nakładać na wierzch.

Datownik jest "bardzo mądrze" dodawany właśnie na samym dole obrazka, na bialutkim tle. Już tak głupi nie byli, żeby przy zmianie obrazka pokazywały się do wyboru bez datownika - ale tak czy siak tak zrealizowane "zabezpieczenie" jest marne.

W dniu 2016-10-19 o 18:02, Wojciech Bancer pisze:

No i pamiętaj, że to nie jest jedyne zabezpieczenie. W pewnym momencie
suma "zabezpieczeń" robi się na tyle duża, że cała operacja przestaje być
opłacalna.

Raczej odbezpieczenie, teraz klienci będą sprawdzać obrazki zamiast
np. ścieżkę certyfikacji.

MarcinF <marfi@interia.pl> writes:

W dniu 2016-10-19 o 18:02, Wojciech Bancer pisze:

No i pamiętaj, że to nie jest jedyne zabezpieczenie. W pewnym momencie
suma "zabezpieczeń" robi się na tyle duża, że cała operacja przestaje być
opłacalna.

Raczej odbezpieczenie, teraz klienci będą sprawdzać obrazki zamiast
np. ścieżkę certyfikacji.

Zakładasz, że większość sprawdza ścieżkę certyfikacji :)
KJ
--
http://stopstopnop.pl/stop_stopnop.pl_o_nas.html
Computers are like air conditioners.  Both stop working, if you open windows.
-- Adam Heath

> Raczej odbezpieczenie, teraz klienci będą sprawdzać obrazki zamiast
> np. ścieżkę certyfikacji.

Zakładasz, że większość sprawdza ścieżkę certyfikacji :)

A po polsku co to jest?

W dniu 2016-10-21 o 08:42, Bolko pisze:

A po polsku co to jest?

To całe bezpieczeństwo https opiera się na wierze w autentyczność
pewnych certyfikatów umieszczonych w systemie operacyjnym czy
przeglądarce web. Główne certyfikaty na początku ścieżki potwierdzają
inne pośrednie, a te pośrednie z kolei potwierdzają certyfikat strony
banku. Wyświetlenie ścieżki certyfikacji prezentuje certyfikaty
odpowiedzialne za potwierdzenie autentyczności strony banku, może też
pomóc ocenić czy są prawdziwe i godne zaufania.