Zvláštní ukládání přihlašovacího certifikátu bankovnictví KB

19.10.2013 18:18 | Přečteno: 6151× | Bezpečnost | poslední úprava: 19.10.2013 18:52

Komerční banka dlouhou dobu používala pro přihlašovaní do svého internetového bankovnictví Java applet. Byl to vždycky opruz (Javu mám v prohlížeči standardně trvale vypnutou už dost dlouhou dobu), s narůstajícími bezpečnostními problémy Javy (například dnes jsem aktualizoval na poslední Oracle vydané JRE 1.7.0 update 45 (dle informace na stránce bylo vydané 15. 10. 2013, tzn. před čtyřmi dny) a plugin mi sám Firefox rovnou zakázal jako děravý a tedy nebezpečný...) a rostoucí záští výrobců prohlížečů vůči pluginům jako takovým to začalo být řešení stále méně populární a do budoucna velmi neperspektivní. Zdá se, že v poslední době Komerční banka všem aktivuje ukládání certifikátu do úložiště v prohlížeči. To je ale řešené docela zvláštně a zatím jsem úplně nepřišel na to, jak to vlastně funguje. Momentálně se mi zdá, že Firefox nezobrazí uživateli všechny cookies, které má ve skutečnosti uložené.

Už před nějakým časem KB zavedla možnost nepoužívat pro přihlašování Java applet, ale certifikát uložit v prohlížeči. Nevěnoval jsem tomu pozornost, nevidím důvod, proč mít certifikát (a zejména samotný šifrovací klíč – proč všude všichni pořád mluví o certifikátech, když to podstatné je šifrovací klíč, ke kterému je certifikát jen pověšen?) trvale uložený v prohlížeči. Nyní se ale tato volba asi stala preferovanou, protože Java applet se mi tentokrát nespustil a byla mi nabídnuta rovnou tato možnost. Jestli je možné applet použít i nyní, to nevím – vzhledem k tomu, že Firefox Java plugin vyhodnotil jako děravý, tak povoluje jeho spouštění jen na explicitní vyžádání uživatelem a aplikace KB si o jeho spuštění neřekne, respektive Firefox jeho spuštění nenabídne. Když tedy aplikace KB funkční Javu v prohlížeči nenajde, rovnou uživatele přesměruje na přihlašování s certifikátem v prohlížeči.

Předpokládal jsem, že se certifikát uloží do chráněného úložiště certifikátů v prohlížeči. K importu jsem ale vyzván nebyl a následně tam opravdu nic neobjevil. Začal jsem to zkoumat podrobněji a laborovat s offline úložištěm, cache prohlížeče apod., kde certifikát zjevně nikde nebyl, přitom ale profil Firefoxu zkopírovaný na jiný počítač stačil k tomu, aby aplikace internetového bankovnictví při přístupu na stránku rovnou nabídla přihlášení a certifikát už měla načtený. Dospěl jsem tedy k závěru, že jediná možnost je použití cookies.

Když jsem všechny cookies v prohlížeči smazal (přes Možnosti | Soukromí | Správce cookies... | Odebrat všechny cookies), při novém přístupu na stránku internetového bankovnictví o dříve použitém certifikátu aplikace konečně nic nevěděla. Přes správce cookies jsem se tedy jal hledat tu, která potřebnou informaci obsahuje – to se mi už ale zjistit nepodařilo.

Jak vestavěný správce cookies ve Firefoxu, tak rozšíření Cookies Manager+ ukazují (po kompletním smazání cookies a jednom přihlášení do internetového bankovnictví tak, že přihlašovací certifikát zůstane zapamatovaný) tři cookies od KB (respektive čtyři – poslední je session ID s platností jen do konce relace). Žádná z nich ale neobsahuje žádná větší data (jen cestu k poslednímu certifikátu, nějaké ID certifikátu apod.), rozhodně nic, do čeho by se při sebelepší kompresi dal schovat celý certifikát nebo alespoň samotný soukromý klíč. Použita není ani nějaká Flash cookie (což by se ale jednak stejně nepřeneslo s profilem Firefoxu na jiný počítač, a druhak by to nejpozději při restartu prohlížeče smazalo rozšíření BetterPrivacy). I když jsem ale všechny tyto cookies jednu po druhé ve správci smazal, aplikace o certifikátu věděla dál. I když jsem v cookie s CertID přespal ID na jinou hodnotu, aplikaci to nezmátlo, při přístupu nabídla správný certifikát a hodnotu v cookie opět přepsala na původní obsah. Smazání přes tlačítko Odebrat všechny cookies (viz výše) ale zabralo.

To mne vede k závěru, že Firefox mi neukazuje všechny cookies, která mám v prohlížeči uložené, což mi přijde dost podivné. Že jsou opravdu používány cookies, to jsem si následně ověřil i na infolince KB. Operátor (k mému překvapení ) to věděl, příliš velké technické podrobnosti ale již neznal. Ochotně ale nabídl, že to předá technikům a v pondělí mi prý zavolá někdo znalý podrobností technického fungování. Pak určitě dám vědět, co jsem se dozvěděl.

Tuší někdo, jak to funguje a co jsem přehlédl, respektive jakou že to neznám technologii?

       

Komentáře

[petr_p]

HTML5 Web Storage nebo WebAPI Device Storage? Je možné, že dialog na mazání cookies mimochodem maže i tyto.

[Cohen]

To by tedy fyzicky mělo být v nějaké SQLite databázi v profilu, ne? Zběžně jsem je teď proběhl, ale z domény mojebanka.cz tam nic nevidím (nevěnoval jsem tomu ale moc času, nevylučuji, že jsem to jen nepřehlédl).

[Bedňa]

Dáta by sa mali ukladať len ako kľúč a hodnota nepátral som kde, ale najskôr to bude v priečinku .Mozilla. Ja tam mám súbory webappsstore.sqlite, webappsstore.sqlite-shm a webappsstore.sqlite-wal v podpriečinku firefox/mwad0hks.default, možno to je ono.

[Cohen]

Ano, to je jedna z těch SQLite databází, které jsem zběžně prohlédl. Pokud jsem to nepřehlédl (což nevylučuji), tak to tam není.

[Valoun]

Je to tam, certifikáty jsou uložené v webappsstore.sqlite. Pozor, domeny jsou tam ulzoene pozpatku, takze certifikaty jsou ulozene tusim pod nazvem domenu zc.aknabejom.ngis

[Cohen]

Aha, díky. Do vysvětluje, proč jsem to nenašel při hledání řetězce „banka“.

Jinak doplňuji, že včera mi chlapík z KB skutečně zavolal a potvrdil to, k čemu tu někteří již došli samostatným zkoumáním. Používá se HTML5 WebStorage. S cookies to tedy zase až tak moc nesouvisí. V další verzi aplikace prý bude i možnost certifikát snadno smazat (možná nechat ho smazat i automaticky pod odhlášení).

[Valoun]

Smazat jde myslim už teď. V přihlašovacím dialogu je ikonka klíče, která zobrazí seznam certifikátů a u každého je možnost ho odstranit. Funkčnost jsem ovšem nezkoušel.

Do teď jsem měl certifikáty v souboru uložené v šifrovaném adresáři (encfs), takže stačilo přimountovat a poté se přihlásit. Teď buď musím oželet extra bezpečnost a nechat certifikát v prohlížeči (celý home mít šifrovaný jen kvůli pár citlivým heslům, certifikátům a dokumentům zatím nechci) a nebo kvůli každému přihlášení znovu nahrávat certifikát z disku a pak ho zase odstraňovat.

Na druhou stranu mám na starosti asi 10 počítačů (většina s windows), kde musí mojebanka fungovat, takže se mi zbavením se Javy hodně ulehčil život a za to to stojí.

[Bystroushaak]

Firefox můžeš mít i standalone, uložený na encfs. Nebude se potom snažit číst data z home, ale ze složky, kde je uložený.

[Bystroushaak]

Není to ve flash cookies? Ty jsou třeba u mě uloženy úplně jinde, než zbytek.

[Cohen]

Není. (V textu jsem to zmiňoval.)

[Marek Pochcaný]

Kuzlo bude asi schovane v JavaScripte. Prestuduj cexiLogin.js, oneClick.js, a ostatne JS na tej stranke. Pouzivaju tam napr. kniznicu Porthole na "safe and easy to communicate with cross domain iFrames" takze ta cookie moze byt z inej domeny mozno... http://ternarylabs.github.io/porthole/

Su tam sifrovacie algoritmy ako SHA hashe, a ked dam vyhladavat string "cert" tak tam je toho milion...

Dokonca tam je aj f.vbs ktory zapisuje do Windows registrov....

[Jendа]

Takže jsme soukromý klíč převedli z děravého blob appletu do cookies v děravém prohlížeči? Z okapu pod okap… Kam na tyhle nápady ta KB chodí?

[pc2005]

IMHO na právnické oddělení, za děravý prohlížeč nemůže .

[Bedňa]

O tom rozhodne až súd. Zatiaľ je to tvoja nijak právne podložená domnienka.

[kavol]

jako kdyby za děravou javu mohli ...

[pc2005]

Jestli je stejně bezpečný java applet blob jako javaskript tak souhlas.

[marbu]

Kvuli temto vtipnym detailum mam pro bankovnictvi separatni profil do firefoxu, ktery pouzivam jen pro tento ucel. Treba kvuli KB jsem mel do toho profilu zalinkovany java plugin od Oracle (protoze s OpenJDK to nechtelo fungovat, btw plati to jeste? od KB jsem uz odesel) a hlavnim profilu prohlizece mam javu vyplou.

[petr_p]

Nedá mi to, abych se nepodělil: Na mailing listu OpenSC někdo prozradil, že existuje snaha udělat kryptografické operace jako přesměrování na localhost. Uživatel by si pustil démona se soukromým klíčem, webová aplikace chtivá podpisu by HTTP požadavkem na localhost předala data na podepsání a zpátky by z démona přišel podpis. Já jen, abyste se připravil, na co všechno můžou v Komerční bance přijít.

[Saljack]

Komerční banka má internetové bankovnictví nahovno. Ta jejich "bezpečnost" nakonec donutí normální uživatele aby jim s tím pomohl někdo další.

[Claudius]

Vím, že tato diskuse už je hodně stará. Ale po celou dobu intenzivně bojuji s KB, aby ze své aplikace odstranila to "donucovadlo" vložit certifikát do prohlížeče. Pokud by se chtěl někdo připojit, rád mu předám podklady nebo dosavadní korespondenci. Osobně mám účet u jiné banky, KB však musím používat, jelikož tam má účet můj klient.

[Franta]

Potkal jsem projekt, kde se popisovaným řešením inspirovali. Zpřístupnili privátní klíč javascriptovému kódu. Vysvětlil jsem jim, že si klíč může zkopírovat kdokoliv, kdo dokáže do webové stránky uložené nebo generované na straně webového serveru vložit vlastní javascriptový kód. Vyjmenoval jsem jim administrátora OS, webového serveru, aplikačního serveru, správce sítě (pokud není šifrována komunikace mezi loadbalancerem a aplikačním serverem), a rychle od toho utekli (a to jsem se ještě nedostali k útokům na protokoly). Od řešení si slibovali prosazení odpovědnosti uživatele za odeslaná data....