abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 13:44 | Zajímavý článek

Glenn 'devalias' Grant publikoval na svém blogu příspěvek věnovaný reverznímu inženýrství USB. Příspěvek obsahuje celu řadu odkazů na potřebný software a hardware, jakož i odkazy na hackery věnující se reverznímu inženýrství a odkazy na další zajímavé články.

Ladislav Hagara | Komentářů: 0
dnes 12:11 | Nová verze

Byla vydána verze 10.8 a krátce na to opravná verze 10.8.1 open source alternativy GitHubu, tj. softwarového nástroje s webovým rozhraním umožňujícího spolupráci na zdrojových kódech, GitLab (Wikipedie). Představení nových vlastností i s náhledy v příspěvku na blogu.

Ladislav Hagara | Komentářů: 0
včera 10:44 | Komunita

Společně s openSUSE Conference 2018 probíhá dnes v Praze na Fakultě informačních technologií ČVUT jednodenní seminář CryptoFest 2018 (Twitter). Přednášky lze sledovat online na YouTube nebo na CCC.

Ladislav Hagara | Komentářů: 3
včera 02:22 | Komunita

Barton George, zakladatel a vedoucí projektu Sputnik, představil na svém blogu čtyři nové mobilní pracovní stanice Dell Precision s předinstalovaným Ubuntu. Jedná se o modely 3530, 5530, 7530 a 7730. Mobilní pracovní stanice budou certifikovány pro RHEL 7.5.

Ladislav Hagara | Komentářů: 11
včera 01:11 | Nová verze

Vyšla verze 5.12 prohlížeče map a GPS logů GPXSee. Nová verze přidává podporu Garmin JNX map a přináší mírné zlepšení výkonu/UX.

Martin Tůma | Komentářů: 0
25.5. 12:11 | Komunita

V Praze na Fakultě informačních technologií ČVUT probíhá openSUSE Conference 2018. Přednášky lze sledovat také online. Aktuální dění lze sledovat na Twitteru. Stisknutím zeleného tlačítka bylo dnes dopoledne vydáno openSUSE Leap 15.0.

Ladislav Hagara | Komentářů: 13
25.5. 11:44 | Komunita

Na Steamu probíhá do 28. května akce s názvem Spring Cleaning (Jarní úklid). V rámci akce lze hrát hry Don't Starve Together, Cities: Skylines, Tyranny, Borderlands 2, Middle-earth: Shadow of Mordor a Left 4 Dead 2 běžící na Linuxu zdarma [GamingOnLinux].

Ladislav Hagara | Komentářů: 2
24.5. 23:23 | Humor

Nová služba České pošty nazvaná Bezpečné úložiště nabízí až 100GB kapacitu pro "bezpečnou správu Vašich dat pod patronací důvěryhodného partnera Česká pošta".

… více »
Lol Phirae | Komentářů: 56
24.5. 22:14 | Bezpečnostní upozornění

Nova kritická hrozba VPNfilter bola zistená po dlhšiej spolupráce Talos s verejnými i súkromnými bezpečnostnými agentúrami. VPNfilter ohrozuje približne 500 000 zariadení v približne 54 krajinach. Zasiahnutí výrobcovia sú Linksys, MikroTik, NETGEAR, TP-Link (SOHO), QNAP (NAS). Správanie malwaru je nebezpečnej povahy, čo môže v určitých prípadoch spôsobiť škody veľkého rozsahu. Často tieto zariadenia sú na perimetri sieťe bez ochrany.

ewew | Komentářů: 5
24.5. 21:55 | Pozvánky

CSNOG (Czech and Slovak Network Operators Group), první československé setkání síťových operátorů, se uskuteční 11. a 12. června v Brně. Akce je určena poskytovatelům internetového připojení, síťovým operátorům, provozovatelům registrů, internetovým odborníkům a všem zájemcům o internetové a síťové technologie. Program je zaměřený na odborná, technická témata jako například síťová architektura, bezpečnost sítí, zpracování dat, DNS a další. Nutná je registrace.

Ladislav Hagara | Komentářů: 0
Používáte pro některé služby inetd?
 (34%)
 (23%)
 (43%)
Celkem 157 hlasů
 Komentářů: 5, poslední 22.5. 16:46
    Rozcestník
    Zelený chameleon

    Různé drobnosti a užitečnosti na které narazím nebo sám vytvořím. Primárně se zaměřuji na věci, které mohou být zajímavé a užitečné pro ostatní uživatele GNU/Linuxu či typografického systému TeX, občas se tu ale určitě vyskytne i něco z úplně jiného soudku, např. z oblasti bezpečnosti apod.

    Aktuální zápisy

    Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB

    19.10.2013 18:18 | Přečteno: 5377× | Bezpečnost | poslední úprava: 19.10.2013 18:52

    Komerční banka dlouhou dobu používala pro přihlašovaní do svého internetového bankovnictví Java applet. Byl to vždycky opruz (Javu mám v prohlížeči standardně trvale vypnutou už dost dlouhou dobu), s narůstajícími bezpečnostními problémy Javy (například dnes jsem aktualizoval na poslední Oracle vydané JRE 1.7.0 update 45 (dle informace na stránce bylo vydané 15. 10. 2013, tzn. před čtyřmi dny) a plugin mi sám Firefox rovnou zakázal jako děravý a tedy nebezpečný...) a rostoucí záští výrobců prohlížečů vůči pluginům jako takovým to začalo být řešení stále méně populární a do budoucna velmi neperspektivní. Zdá se, že v poslední době Komerční banka všem aktivuje ukládání certifikátu do úložiště v prohlížeči. To je ale řešené docela zvláštně a zatím jsem úplně nepřišel na to, jak to vlastně funguje. Momentálně se mi zdá, že Firefox nezobrazí uživateli všechny cookies, které má ve skutečnosti uložené.

    Už před nějakým časem KB zavedla možnost nepoužívat pro přihlašování Java applet, ale certifikát uložit v prohlížeči. Nevěnoval jsem tomu pozornost, nevidím důvod, proč mít certifikát (a zejména samotný šifrovací klíč – proč všude všichni pořád mluví o certifikátech, když to podstatné je šifrovací klíč, ke kterému je certifikát jen pověšen?) trvale uložený v prohlížeči. Nyní se ale tato volba asi stala preferovanou, protože Java applet se mi tentokrát nespustil a byla mi nabídnuta rovnou tato možnost. Jestli je možné applet použít i nyní, to nevím – vzhledem k tomu, že Firefox Java plugin vyhodnotil jako děravý, tak povoluje jeho spouštění jen na explicitní vyžádání uživatelem a aplikace KB si o jeho spuštění neřekne, respektive Firefox jeho spuštění nenabídne. Když tedy aplikace KB funkční Javu v prohlížeči nenajde, rovnou uživatele přesměruje na přihlašování s certifikátem v prohlížeči.

    Předpokládal jsem, že se certifikát uloží do chráněného úložiště certifikátů v prohlížeči. K importu jsem ale vyzván nebyl a následně tam opravdu nic neobjevil. Začal jsem to zkoumat podrobněji a laborovat s offline úložištěm, cache prohlížeče apod., kde certifikát zjevně nikde nebyl, přitom ale profil Firefoxu zkopírovaný na jiný počítač stačil k tomu, aby aplikace internetového bankovnictví při přístupu na stránku rovnou nabídla přihlášení a certifikát už měla načtený. Dospěl jsem tedy k závěru, že jediná možnost je použití cookies.

    Když jsem všechny cookies v prohlížeči smazal (přes Možnosti | Soukromí | Správce cookies... | Odebrat všechny cookies), při novém přístupu na stránku internetového bankovnictví o dříve použitém certifikátu aplikace konečně nic nevěděla. Přes správce cookies jsem se tedy jal hledat tu, která potřebnou informaci obsahuje – to se mi už ale zjistit nepodařilo.

    Jak vestavěný správce cookies ve Firefoxu, tak rozšíření Cookies Manager+ ukazují (po kompletním smazání cookies a jednom přihlášení do internetového bankovnictví tak, že přihlašovací certifikát zůstane zapamatovaný) tři cookies od KB (respektive čtyři – poslední je session ID s platností jen do konce relace). Žádná z nich ale neobsahuje žádná větší data (jen cestu k poslednímu certifikátu, nějaké ID certifikátu apod.), rozhodně nic, do čeho by se při sebelepší kompresi dal schovat celý certifikát nebo alespoň samotný soukromý klíč. Použita není ani nějaká Flash cookie (což by se ale jednak stejně nepřeneslo s profilem Firefoxu na jiný počítač, a druhak by to nejpozději při restartu prohlížeče smazalo rozšíření BetterPrivacy). I když jsem ale všechny tyto cookies jednu po druhé ve správci smazal, aplikace o certifikátu věděla dál. I když jsem v cookie s CertID přespal ID na jinou hodnotu, aplikaci to nezmátlo, při přístupu nabídla správný certifikát a hodnotu v cookie opět přepsala na původní obsah. Smazání přes tlačítko Odebrat všechny cookies (viz výše) ale zabralo.

    To mne vede k závěru, že Firefox mi neukazuje všechny cookies, která mám v prohlížeči uložené, což mi přijde dost podivné. Že jsou opravdu používány cookies, to jsem si následně ověřil i na infolince KB. Operátor (k mému překvapení :-)) to věděl, příliš velké technické podrobnosti ale již neznal. Ochotně ale nabídl, že to předá technikům a v pondělí mi prý zavolá někdo znalý podrobností technického fungování. Pak určitě dám vědět, co jsem se dozvěděl.

    Tuší někdo, jak to funguje a co jsem přehlédl, respektive jakou že to neznám technologii?


    Flattr this        

    Hodnocení: 75 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    19.10.2013 18:44 petr_p | skóre: 59 | blog: pb
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    HTML5 Web Storage nebo WebAPI Device Storage? Je možné, že dialog na mazání cookies mimochodem maže i tyto.
    Cohen avatar 19.10.2013 18:59 Cohen | skóre: 21 | blog: Drobnosti | Brno
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    To by tedy fyzicky mělo být v nějaké SQLite databázi v profilu, ne? Zběžně jsem je teď proběhl, ale z domény mojebanka.cz tam nic nevidím (nevěnoval jsem tomu ale moc času, nevylučuji, že jsem to jen nepřehlédl).
    OpenPGP key fingerprint: 489C 5EC8 0FD6 2BE8 9E59 B4F7 19C1 3E8C E0F5 DB61 (https://www.fi.muni.cz/~xruzick7/pgp-klic/)
    Bedňa avatar 19.10.2013 19:46 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Dáta by sa mali ukladať len ako kľúč a hodnota nepátral som kde, ale najskôr to bude v priečinku .Mozilla. Ja tam mám súbory webappsstore.sqlite, webappsstore.sqlite-shm a webappsstore.sqlite-wal v podpriečinku firefox/mwad0hks.default, možno to je ono.
    KERNEL ULTRAS video channel >>>
    Cohen avatar 19.10.2013 19:50 Cohen | skóre: 21 | blog: Drobnosti | Brno
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Ano, to je jedna z těch SQLite databází, které jsem zběžně prohlédl. Pokud jsem to nepřehlédl (což nevylučuji), tak to tam není.
    OpenPGP key fingerprint: 489C 5EC8 0FD6 2BE8 9E59 B4F7 19C1 3E8C E0F5 DB61 (https://www.fi.muni.cz/~xruzick7/pgp-klic/)
    22.10.2013 10:56 Valoun
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Je to tam, certifikáty jsou uložené v webappsstore.sqlite. Pozor, domeny jsou tam ulzoene pozpatku, takze certifikaty jsou ulozene tusim pod nazvem domenu zc.aknabejom.ngis
    Cohen avatar 22.10.2013 11:02 Cohen | skóre: 21 | blog: Drobnosti | Brno
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB

    Aha, díky. Do vysvětluje, proč jsem to nenašel při hledání řetězce „banka“. :-)

    Jinak doplňuji, že včera mi chlapík z KB skutečně zavolal a potvrdil to, k čemu tu někteří již došli samostatným zkoumáním. Používá se HTML5 WebStorage. S cookies to tedy zase až tak moc nesouvisí. V další verzi aplikace prý bude i možnost certifikát snadno smazat (možná nechat ho smazat i automaticky pod odhlášení).

    OpenPGP key fingerprint: 489C 5EC8 0FD6 2BE8 9E59 B4F7 19C1 3E8C E0F5 DB61 (https://www.fi.muni.cz/~xruzick7/pgp-klic/)
    22.10.2013 11:30 Valoun
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Smazat jde myslim už teď. V přihlašovacím dialogu je ikonka klíče, která zobrazí seznam certifikátů a u každého je možnost ho odstranit. Funkčnost jsem ovšem nezkoušel.

    Do teď jsem měl certifikáty v souboru uložené v šifrovaném adresáři (encfs), takže stačilo přimountovat a poté se přihlásit. Teď buď musím oželet extra bezpečnost a nechat certifikát v prohlížeči (celý home mít šifrovaný jen kvůli pár citlivým heslům, certifikátům a dokumentům zatím nechci) a nebo kvůli každému přihlášení znovu nahrávat certifikát z disku a pak ho zase odstraňovat.

    Na druhou stranu mám na starosti asi 10 počítačů (většina s windows), kde musí mojebanka fungovat, takže se mi zbavením se Javy hodně ulehčil život a za to to stojí.
    Bystroushaak avatar 22.10.2013 16:11 Bystroushaak | skóre: 33 | blog: Bystroushaakův blog | Praha
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Firefox můžeš mít i standalone, uložený na encfs. Nebude se potom snažit číst data z home, ale ze složky, kde je uložený.
    Bystroushaak avatar 19.10.2013 19:47 Bystroushaak | skóre: 33 | blog: Bystroushaakův blog | Praha
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Není to ve flash cookies? Ty jsou třeba u mě uloženy úplně jinde, než zbytek.
    Cohen avatar 19.10.2013 19:49 Cohen | skóre: 21 | blog: Drobnosti | Brno
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Není. (V textu jsem to zmiňoval.)
    OpenPGP key fingerprint: 489C 5EC8 0FD6 2BE8 9E59 B4F7 19C1 3E8C E0F5 DB61 (https://www.fi.muni.cz/~xruzick7/pgp-klic/)
    19.10.2013 22:48 Marek Pochcaný
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Kuzlo bude asi schovane v JavaScripte. Prestuduj cexiLogin.js, oneClick.js, a ostatne JS na tej stranke. Pouzivaju tam napr. kniznicu Porthole na "safe and easy to communicate with cross domain iFrames" takze ta cookie moze byt z inej domeny mozno... http://ternarylabs.github.io/porthole/

    Su tam sifrovacie algoritmy ako SHA hashe, a ked dam vyhladavat string "cert" tak tam je toho milion...

    Dokonca tam je aj f.vbs ktory zapisuje do Windows registrov....

    Jendа avatar 20.10.2013 00:43 Jendа | skóre: 74 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Takže jsme soukromý klíč převedli z děravého blob appletu do cookies v děravém prohlížeči? Z okapu pod okap… Kam na tyhle nápady ta KB chodí?
    Tohle (mirror) podporujete.
    20.10.2013 01:57 pc2005 | skóre: 36 | blog: GardenOfEdenConfiguration | liberec
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    IMHO na právnické oddělení, za děravý prohlížeč nemůže :-D.
    Bedňa avatar 20.10.2013 02:00 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    O tom rozhodne až súd. Zatiaľ je to tvoja nijak právne podložená domnienka.
    KERNEL ULTRAS video channel >>>
    20.10.2013 09:45 kavol | skóre: 28
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    jako kdyby za děravou javu mohli ...
    20.10.2013 17:37 pc2005 | skóre: 36 | blog: GardenOfEdenConfiguration | liberec
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Jestli je stejně bezpečný java applet blob jako javaskript tak souhlas.
    20.10.2013 11:30 marbu | skóre: 29 | blog: hromada | Brno
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Kvuli temto vtipnym detailum mam pro bankovnictvi separatni profil do firefoxu, ktery pouzivam jen pro tento ucel. Treba kvuli KB jsem mel do toho profilu zalinkovany java plugin od Oracle (protoze s OpenJDK to nechtelo fungovat, btw plati to jeste? od KB jsem uz odesel) a hlavnim profilu prohlizece mam javu vyplou.
    I think warning here is a bug. The biggest cloud service provider. There is no point in being so cool in a cold world.
    20.10.2013 19:44 petr_p | skóre: 59 | blog: pb
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Nedá mi to, abych se nepodělil: Na mailing listu OpenSC někdo prozradil, že existuje snaha udělat kryptografické operace jako přesměrování na localhost. Uživatel by si pustil démona se soukromým klíčem, webová aplikace chtivá podpisu by HTTP požadavkem na localhost předala data na podepsání a zpátky by z démona přišel podpis. Já jen, abyste se připravil, na co všechno můžou v Komerční bance přijít.
    Saljack avatar 22.10.2013 18:44 Saljack | skóre: 28 | blog: Saljack | Praha
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Komerční banka má internetové bankovnictví nahovno. Ta jejich "bezpečnost" nakonec donutí normální uživatele aby jim s tím pomohl někdo další.
    Sex, Drugs & Rock´n Roll.
    11.8.2014 20:49 Claudius
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Vím, že tato diskuse už je hodně stará. Ale po celou dobu intenzivně bojuji s KB, aby ze své aplikace odstranila to "donucovadlo" vložit certifikát do prohlížeče. Pokud by se chtěl někdo připojit, rád mu předám podklady nebo dosavadní korespondenci. Osobně mám účet u jiné banky, KB však musím používat, jelikož tam má účet můj klient.
    25.10.2016 15:33 Franta
    Rozbalit Rozbalit vše Re: Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB
    Potkal jsem projekt, kde se popisovaným řešením inspirovali. Zpřístupnili privátní klíč javascriptovému kódu. Vysvětlil jsem jim, že si klíč může zkopírovat kdokoliv, kdo dokáže do webové stránky uložené nebo generované na straně webového serveru vložit vlastní javascriptový kód. Vyjmenoval jsem jim administrátora OS, webového serveru, aplikačního serveru, správce sítě (pokud není šifrována komunikace mezi loadbalancerem a aplikačním serverem), a rychle od toho utekli (a to jsem se ještě nedostali k útokům na protokoly). Od řešení si slibovali prosazení odpovědnosti uživatele za odeslaná data....

    Založit nové vláknoNahoru

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.