Výpisy z banky - šifrované?

10.8.2016 20:36 | Přečteno: 3381× | to su Veci

Pred pár dňami mBank na Slovensku (a aj v Česku) prišla s novinkou: šifrovanými výpismi z účtu, ktoré banka posiela klientom raz mesačne na mail. Podľa mňa je to feature, ktorá chýbala a tak som neváhal a zapol.

A pri najbližšom výpise som sa nestačil čudovať (hoci, FAQ to popísalo celkom presne, len som tomu nechcel veriť). Zaráža ma totiž to, že výpis je poslaný v maile, ktorý má v prílohe .pdf, ktoré je šifrované (vyžaduje heslo pre zobrazenie) a toto .pdf má v sebe embedded súbor - konkrétne HTML dokument (bez externých liniek), v ktorom je samotný výpis.

Napísal som teda do kontaktného formuláru pár slov o tom, že nejaká forma S/MIME, alebo šifrovaný .zip, alebo šifrované .pdf, by mi pripadalo rozumnejšie a že zvolené riešenie považujem, slušne povedané, za "unikátne". Napr. slovenská TatraBanka už roky používa S/MIME s OpenGPG.

No a prišla mi odpoveď, v ktorej sa píše:

výsledné riešenie vzniklo ako kompromis, medzi nutnosťou výmeny kľúčov medzi bankou a klientom, prípadne nutnosťou inštalácie dodatočného softwaru na strane klienta, kde predpokladáme, že Adobe Reader je štandardom a klienti ho využívajú, a možnosťou ponechať zvolený formát súboru, ktorý klienti využívajú aj na iné účely.

Zároveň sme nechceli, aby klienti prišli o možnosť preposlať výpis tretím stranám v nešifrovanej podobe jednoduchou formou, t.j. vykopírovaním nešifrovaného súboru v žiadanom formáte z nosného šifrovaného súbrou PDF.

       

Anketa

Komentáře

[andrej]

zuno posiela PDF, heslo je cast cisla platobnej karty.

[Aleš Janda]

Jo, to mě vždycky pobaví: Po stažení si výpis můžete otevřít zadáním posledního čtyřčíslí z čísla vašeho účtu, který je vedený v CZK.

Fakt těžké prolomit…

$ time pdfcrack -q -c 0123456789 -n 4 zuno-vypis-201607-45385645.pdf                                 
found user-password: '6233'

real    0m0.063s
user    0m0.064s
sys     0m0.000s

[xxx]

Pamatujes si cislo uctu, nebo parametry pdfcracku? :)

[Jendа]

Subject: Výpis za měsíc červenec 2016 z účtu 2500079551/2010

Přiložený výpis si můžete otevřít zadáním posledního čtyřčíslí z čísla vašeho účtu.

[Prohnutá nudle]

to jako fakt?

[Jendа]

Ne.

[Prohnutá nudle]

Tak sklapni

[prohnuta nudle]

trole!

[prohnuta nudle]

normalne bych ti naletel

[Peter Golis]

Veď aj najchudobnejšia Penta Banka, Poštová má zaheslované PDF už roky. Ale heslo si človek nastaví aj sám.

[R]

Postova banka je J&T.

[Peter Golis]

Áno, J&T je Penta.

[Pan_Filuta]

Airbank posílá také šifrované PDF, heslo je myslím telefonní číslo nastavené v okamžiku vytvoření výpisu - je to tedy podobný systém jako u Mbank

U Mbank je šikovné, že je možné si stáhnout PDF potvrzení o každé odeslané platbě v podobně digitálně podepsaného PDF - to myslím Airbank nenabízí. Například jako důkaz pro polici je to opravdu šikovné - člověk nemusí chodit na pobočky a platit si vystavení bůhvíčeho :)

[kralyk z abclinuxu]

Zas až tak nesmyslné to IMHO není... Šifrované ZIPy nejsou bezpečné (known plaintext attack). Dávalo by asi větší smysl použít třeba 7z, ale oni asi prostě chtějí spoléhat na to, že Acrobat Reader má každá sekretářka.

[Pan_Filuta]

Myslím že ve FAQ dokonce píšou, že to funguje na 100% i ve Foxit reader - takže i uživatelé portable aplikací mají šanci.

PS: nevíte zda jdou otevírat šifrované PDF přímo v náhledu gmailu? U Airbank to myslím jde - jen pro zajímavost.

[vlanav]

Já dostávám PDF výpisy ke kreditce z Citibank, které potřebují k otevření heslo. GMail si s tím poradí. Ale Citibank v ČR končí.

[R]

Vy si nechate posielat sifrovane PDF a potom heslo k nemu zadate na cudzom webe? Tomu sa hovori bezpecnost ako hovado...

[Vantomas]

Tak to otevírá na cizím webu. Asi mu důvěřuje, když tam má všechny emaily a věci kolem toho. Asi mu jde jenom o to, aby si ten výpis nepřečetl každý trouba po cestě, kudy jde. Nebo je mu to jedno úplně, ale Citibank to jinak než zašifrovaně posílat neumí.

[Bystroushaak]

Zas až tak nesmyslné to IMHO není... Šifrované ZIPy nejsou bezpečné (known plaintext attack). Dávalo by asi větší smysl použít třeba 7z, ale oni asi prostě chtějí spoléhat na to, že Acrobat Reader má každá sekretářka.

Jak to? Já měl za to, že ZIP používá AES. Ten by měl být podporovaný jak Winzipem, tak 7z.

[kralyk z abclinuxu]

Hm, vypadá to, že v novějších verzích ano, ale AFAIK stále nešifruje všechna metadata + ten, kdo to balí, musí dát bacha, aby měl správnou verzi. 7z je IMHO stále lepší volba.

[rastos]

Metadata sa vraj šifrujú od verzie formátu 6.2 (rok 2004).

[kralyk z abclinuxu]

Jj, nicméně na wiki k tomu je poznamenané:

File name encryption is introduced in .ZIP File Format Specification 6.2, which encrypts metadata stored in Central Directory portion of an archive, but Local Header sections remain unencrypted.

Ale nevím, jak moc (ne)zajímavé jsou ty údaje v Local Header sections.

[R]

Otazne je, ktore programy to sifrovanie aj podporuju. Napr. pri vstavanej podpore ZIPu vo Windows o tom dost pochybujem.

[Jendа]

Myslel jsem, že ten ZIP už dávno opravili.

Ale výše uvedení experti šifrující pomocí pár čísel, ještě k tomu často veřejně známých, jsou taky lahůdka. Jak dlouho asi potrvá takovou věc cracknout?

[trekker.dk]

To je vidět, že nejsi expert z banky a vůbec tomu nerozumíš. Je to šifrované, tak je to bezpečné. Dále viz #32

[Marián Kyral]

Taky mám mBank a taky mi to přijde krkolomné. GPG je jistě lepší, ale pro něj zase chybí podpora u freemailů a u Outlooku. Takže by většina lidí ani nevěděla, jak si ten šifrovaný výpis otevřít.

Nicméně, stejně jako dávají možnost nechat si posílat šifrované výpisy, mohli by dát na výběr i způsob šifrování.

[pc2005]

[trololo] Měl jsi je požádat o dump pro vernamovu šifru .

[Bystroushaak]

Šifrovaný ZIP by byl rozhodně o dost větším standardem, než posraný adobe reader, který je v podstate jen doménou windows. Přijde mi, jako kdyby uvízli někde v v minulém desetiletí, ještě v tom HTML mohl být flash a pro dešifrování vyžadován active X doplněk nepřímo spouštějící javu.

[kralyk z abclinuxu]

AFAIK na Linuxu na to není potřeba Adobe Reader...

[Sten]

PDF je ISO standard a otevřít jej (i šifrovaný) umí třeba Chrome nebo Firefox.

[Bystroushaak]

Šifrované PDF asi ještě jo, ale třeba vyplňovat formuláře neumí na linuxu kromě adobe readeru nic co jsem zkoušel.

[Václav "Darm" Novák]

A jak vyplňování formulářů souvisí s šifrovaným výpisem z banky?

[Bystroushaak]

S tím že ten ISO standard je asi kapku nahovno.

[Filip Jirsák]

To, že standard povoluje přidávat vlastní rozšíření, je správně. Jinak skončíte jako HTML, kde sice podle standardu není možné přidávat rozšíření, ale stejně to každý dělá a některá rozšíření se pak zpětně dostávají do standardu. Nejčastěji používané vyplňované formuláře nejsou součástí ISO standardu pro PDF. Ve skutečnosti jsou součástí Adobe Acrobatu, přičemž část nutná pro vyplňování je dodávána i spolu s Readerem, ale není běžně dostupná a dokument s fosmulářem vytvořeným v Adobe Acrobatu příslušnou implementaci v Readeru odemkne.

[Bystroushaak]

Díky za informace.

[Vantomas]

Okular umí.

[kralyk z abclinuxu]

V zásadě umí, ale bohužel ne úplně dobře, třeba s kódováním jsem měl problémy a taky grafické prvky nebyly občas na správným místě, lítaly po stránce, apod.

[Sten]

Okular umí vyplňovat AcroForms, omezeně to umí i Firefox. XFA není moc podporované, protože není standardizované, ale ani Adobe Reader jej pořádně neumí a jeho používání je v ISO standardu deprecated.

[Jendа]

Na Linuxu existuje pro otevírání šifrovaných PDF souborů utilita pdfcrack :-P.

[Bystroushaak]

Vím, kdysi jsem tím (neúspěšně) zkoušel otevřít svojí výplatní pásku, ke které jsem zapomněl heslo a nikdo z firmy mi ho nechtěl po internetu napsat.

[Tomáš Bžatek]

A precte Evince ten embedded soubor? Naposledy jsem u formularu O2 dostaval jen prazdnou stranku.

[pavele]

A k čemu vlastně ten výpis je? To nikdo nepoužívá internetové bankovnictví?

[Jendа]

Z IB to typicky nejde stáhnout elektronicky podepsané nebo ještě lépe i časově orazítkované.

[Michal Kubeček]

A ten mail (nebo přiložený soubor) je?

[Jendа]

Třeba u mBank ano.

[astrablaster]

Výpis se hodí, když třetí strana požaduje potvrzení o platbě. Jinak v tom taky nevidím smysl.

[rastos]

Evince nepoužívam, tak možno neviem kam pozerať, ale na prvý pohľad nevidím, že by nejak dal najavo, že v tom .pdf je niečo vložené.