JRE obsahuje bezpečnostní chybu

JRE 1.7 update 10 a starší verze obsahují kritickou bezpečnostní chybu. Při návštěvě speciálně upraveného webu může dojít kvůli prozatím nespecifikovaným dírám v JMX a sun.org.mozilla.javascript.internal objects až k zavolání metody setSecurityManager(). Prozatím je doporučeno vypnout Javu ve webových prohlížečích.

11.1.2013 19:35 | Elch | Bezpečnostní upozornění

Komentáře

[mankind_boost]

Opravdu? Tomu nevěřím.

[*]

nejvetsi komedie je ta, ze tahle chyba je ve svete windows uz mesic stara a exploity detekovane antiviry. pokud to neni uz druha na toto tema, tak to vypada, ze bezpecaci spi hodne tvrdym zimnim spankem.

[kralyk z abclinuxu]

On má někdo ještě v browseru Javu zapnutou?

[Bill Gates]

Ano

[Pavel Křivánek]

To lze pouštět i bez prohlížeče

[stativ]

Třeba firefox má u mě takovou vtipnou vlastnost, že někdy vypnutí/zapnutí pluginu ignoruje. Například vypnu plugin s Javou, a po dalším startu je zase zaplý.

[Bystroushaak]

Teď jsem zjistil, že mi to taky udělal. Tohle a sudo rm -f /usr/lib/mozilla/plugins/libjavaplugin.so to vyřešilo.

[David Watzke]

Nestačí odinstalovat Firefox? (nekrmte mě, jen rejpu)

Už je to dlouho, co jsem naposled použil java applet, ale pokud vím, tak to vždycky prudí s okýnkem, jestli to chci fakt spustit. Možná ne vždycky, ale mělo by to jít nastavit, ne?

[stativ]

Už je to dlouho, co jsem naposled použil java applet, ale pokud vím, tak to vždycky prudí s okýnkem, jestli to chci fakt spustit. Možná ne vždycky, ale mělo by to jít nastavit, ne?

Nedivil bych se, kdyby i na to byl exploit připraven, takže by se žádné okénko neotevřelo. Dost možná to půjde změnit právě přes ten security manager.

[Jendа]

Nedělá to jenom, když si útočník nesehnal podpis od jedné z mnoha absolutně bezpečných samozřejmě CA?

[stativ]

Kéž bych to mohl udělat. Bohužel musím využívat pitomé internetové bankovnictví, které bez té pitomé javy nejde.

[jirkah]

Nemusis...

[stativ]

Musím, protože v podmínkách Erasmu je použití konkrétního účtu od konkrétní banky…

[JirkaH]

co to je za blbost?

[kavol]

hmmmm ... a třeba o sKartě už jsi někdy slyšel?

[stativ]

Mě se neptej, já si to nevymyslel.

[anonymous_coward]

A nějaký odkaz na info by nebylo? Vlastní účet studenta snad může být od libovolné banky. Nebo si nějaký človíček ze sekretariátu jistého ústavu něco usmyslel?

[stativ]

Volně na webu jsem našel jen tohle. Nebýt té javy tak by mi to ani nevadilo – jediné za co platím je karta k druhému účtu. Přitom se java používá jenom pro přihlášení.

[petr_p]

Tak to vysvětluje, proč všichni zahraniční erazmáci, se kterými jsem měl tu čest si mi stěžovali na českou banku. Oni potřebují na půl roku místní účet, bance trvalo přes měsíc než účet zařídila (a ještě u toho dokázala ztratit podklady), zrovna tak ho likvidovala před koncem sjednané doby platnosti a trvalý příkaz byl pro ni cokoliv jen ne trvalý. Takže raději vše platili v hotovosti.

[xkucf03]

Nechápu lidi, co si pořád stěžují na banky. Jednou to jsou údajně vysoké poplatky, pak zase pluginy do prohlížeče… Vždyť máte sakra na výběr, tak si vyberte a neotravujte pořád s tím, že existují i špatné banky – proč by mě to mělo štvát? Já své bance neplatím nic (akorát nějaké drobné za kartu, což jde stejně karetní společnosti), Flash ani jiné pluginy nepotřebuji, funguje to v GNU/Linuxu, o peníze u nich se nebojím + mají některé (AFAIK) nadstandardní služby oproti běžným bankám.

[zef]

A co to je za banku? Bez té informace je to jen výkřik do tmy

[David Watzke]

Pro studenty je decentní ČSOB z těch větších. Jinak Fio.

[Jendа]

…a pak si dali dovnitř internetbankingu javascript z Google Analytics.

[Jendа]

(myšlena ČSOB)

[CZTomi]

ČSOB už funguje IB na Linuxu? Naposledy, když jsem tam volal, tak po 20timinutové debatě jsme to uzavřeli s tím, že "nabízíme produkt, o kterém nevíme jestli funguje". Ale je to pokrok po dvaceti letech s účtem u Poštovní spořitelny, před 10ti lety nevěděli co to je Firefox, před 5ti co je to Linux a dnes už jen neví, jestli jim to funguje Že bych tam zase zavolal?

[Jendа]

ČSOB už funguje IB na Linuxu?

Ano, už dlouho.

[Rovano]

A jak to funguje? Když nehnu ani brvou, nefunguje jim nic. Pomalu ani hlavní stránka. Komerčka a ČSOB mi přišlo jako největší zlo. Jednat technicky, jednak poplatky.

[Jendа]

Kamarádovi chodí ČSOB asi defaultně, mně PS/Era (stejný systém, akorát je to červené místo modrého) taky. Prostě povolím JS, zadám číslo a PIN, dám přihlásit, odkliknu hlášku, že Linux nepodporují, a jsem tam. Nějaký rozumně nový Firefox.

[stativ]

Třeba studentské konto u KB je prakticky bez poplatků. Akorát ta Java… Nebýt jí, byl bych spokojený.

[David Watzke]

Cože? Mně to funguje bez nastavování. (Čipovou kartu nepoužívám.)

[podlesh]

Co konkrétně nefunguje? IB ČSOB používám na linuxu od roku 2001. Browsery: Netscape Navigator, Galeon, Epiphany, Firefox, Iceweasel, Google Chrome (možná jsem na něco zapomněl).

Pamatuji chybu, že nefungovalo zadání ověřovacích kódů ze SMS pro platbu. Opraveno někdy v roce 2004 (spíš dříve, přesně už si to skutečně nepamatuji).

[Michal Vyskočil]

Pokud člověk nepotřebuje čipovou kartu, pak s ČSOB internet bankingem není problém. Kdysi jsem to používal i v Konqueroru.

[MaT]

Ano, funguje a docela dlouho. Nepoužívám ČSOB sice již dávno (naposledy jsem jí zkoušel také jako student), ale donedávna jí používal třeba táta šlo mu to bez problémů, i jsem to u něj viděl. Hlavně to nepoužívá žádnou Javu, tak celkem není problém, aby to nefungovalo...

Problém je hlavně s tou KB - ono na Linuxu třeba ne že by Java nebyla, ale ještě před tím, než se objevily tyhle problémy s tím, že prohlížeče Javu z bezpečnostních důvodu v defaultu vypínají, nebo jí úplně blokují, tak problém je i třeba rozmazlenost, co se týče verze Javy. Třeba nešlo používat verzi 1.7. Nebo vadilo OpenJDK a bylo nutné použít děravější implementaci od Sunu/Oracle. Atd.

Fakt by se nad sebou měli v KB zamyslet a něco s tím IB udělat. Myslím si, že to musí dělat dost problémů i v těch Windows. A jinak skoro žádná jiná banka pro IB žádnou Javu nepotřebuje. A je snad to jejich IB bezpečnější? Spíš mi přijde, že naopak, že právě KB měla nějaké problémy se zabezpečením... Někdo napíchnul počítač, stáhnul si certifikát, nějakým keyloggerem heslo od něj a nazdar...

Jo a jen drobná technická - doporučuji někdy, až budete mít chvilku, podívat se sem a sem.

[Radja]

No vas prispevek zase obsahuje opravdu skaredou zamenu ji a jí.

[MaT]

Máte pravdu, omlouvám se. Za tuto chybu se omlouvám. Snad je tam jen ta jedna.

Já obvykle když někdo udělá jednu chybu/překlep, tak držím pusu, ale když jednu chybu na dvou řádcích zopakuje třikrát, tak si říkám, že by dotyčnému mohlo třeba i běžně v životě pomoci, kdyby si znalost o psaní číslovek doplnil. A jinak snad ten můj příspěvek off topic nebyl, dal jsem tu poznámku až na konec, tak snad mě tu neukamenují jako toho gramatického fašistu, nebo jak se jim nadává... No a jak je vidět, když už se člověk do něčeho takového pustí, musí si fakt dávat moc a moc pozor, je to příliš tenký led...

[Rovano]

Díky za odpovědi. Patrně jsme zaměnil ČSOB s KB. Problém je ten, že banka prostě nedetekovala Javu ve Firefoxu. Bylo úplně jedno, zda šlo o OpenJDK či Oracle. Možná chyba ve FF s nefunkční proměnou pro explicitní povolení Javy. Přikláním se k tomuto rezultu. Protože dříve to fungovalo dobře, než soudruzi z Mozilly počali vrtat do Javy ve Firefoxu.

I tak můj předchozí příspěvek obsahoval frustraci z toho, jak liknavě fungují banky.

[Josef Kufner]

IB od ČSOB používám už dlouho. Ověřování přes jednorázová hesla v SMS a nikdy s tím nebyl problém. Firefox i Chromium v pohodě. Jen tam je hláška, že mám nepodporovaný prohlížeč a zaškrtávátko, ať už se příště neukazuje.

[kralyk z abclinuxu]

…a pak si dali dovnitř internetbankingu javascript z Google Analytics.

A v čem je problém? Prozradí referer na uživatele nějaké údaje (číslo účtu? nějaké ID?), nebo jde jen o informaci, že uživatel X používá banku Y? To druhé ještě není tak hrozné, ačkoli určitý problém to je. Internetový bankovnictví ČSOB neznám, takže nevim...

[Radek Miček]

A v čem je problém?

Problém je JavaScript, který potenciálně může posílat libovolné údaje z té stránky na cizí servery nebo zadávat libovolné příkazy na účtu.

[kralyk z abclinuxu]

A kterej JavaScript konkrétně tím konkrétně myslíš? Jakože by Google něco takovýho vložil do GA?

[Radek Miček]

Jakože by Google něco takovýho vložil do GA?

Jaká je garance, že se tam něco takového neobjeví?

[kralyk z abclinuxu]

Jestli myslíš 100% garance, tak taková neexistuje, stejně jako neexistuje u ničeho. Jinak ale myslím, že ta garance je celkem slušná.

Nebylo by ale jednodušší, kdyby to Google vpašoval rovnou do svého prohlížeče? Tím by totiž mohl pokrýt všechna existující internetová bankovnictví a narozdíl od ga.js by se to dalo mnohem snáz skrýt, vzhledem k tomu, že Google Chrome (nikoli Chromium) se distribuuje v binární formě.

A už vůbec nemluvim o Androidu...

[Jendа]

Popsal jsi jeden z důvodů, proč nemám Chrome a Earth jenom ve virtuálu a proč nemám a nechci mobil s Androidem.

[pavlix]

Jsem skoro přesně opačného názoru. Mnohem lépe se něco vpašuje do webového javascriptu za snížení doby platnosti, protože tak lze útočit selektivně či náhodně a zároveň neposkytnout hned tak každému důkaz.

Nehledě na to, že představa, že to tam dá Google je naivní pohled. V tomto případě by se spíše jednalo o konkrétní osobu nebo osoby než o oficiální aktivitu firmy. Ve spojení s dalšími technikami by ten člověk teoreticky nemuse být ani z Googlu. Výjimku pro špatný certifikát lze například získat přímo od uživatele a to v době, kdy se připojuje k něčemu méně důležitému než bance a tudíž si nedává takový pozor.

V případě hromadně distribuovaného prohlížeče a androidu by se důkazní materiál distribuoval masově.

[kralyk z abclinuxu]

Jo, v tom máš určitě pravdu. Modifikaci JS per-request by vůbec nemusel nikdo zjistit...

Stále mi to ale přijde mírně paranoidní, já bych se hlavně obával, co prozradí na uživatele referer a další údaje zaslané s requestem, což je něco, co má Google k dispozici i bez jakékoli modifikace JS.

[pavlix]

Je to prostě celé takové nejisté. A když nedokážeš rozumně vyhodnotit bezpečnostní důsledky, tak je třeba na danou věc nahlížet jako na z principu nebezpečnou.

Paranoidní to je. Ale v dnešním světě bankovnictví, kdy zabezpečení bank se řeší vyhrazením dostatku peněz na průsery a zabezpečení zákazníků bank se řeší vyhrazením dostatku peněz na právníky, je paranoia i vyslovit nahlas slovo zabezpečení.

[Radek Miček]

Jinak ale myslím, že ta garance je celkem slušná.

Stejně jako garance, že na oficiálním hudebním CD není rootkit? Navíc se GA může kvůli své rozšířenosti stát atraktivním cílem pro hackery nebo nespokojené zaměstnance.

Jestli myslíš 100% garance, tak taková neexistuje, stejně jako neexistuje u ničeho.

Když by to banka nepoužila, tak to vůbec nemusím řešit.

[kralyk z abclinuxu]

Tak jasně, že by bylo lepší, aby to nepoužili. (Já třeba GA blokuju.)

[tany]

Já mám taky většinu těchto analytics zakázanou, spíše z jednoduchého důvodu - mraky pitomců je neumí používat, takže se načítají před DomContentReady ..

Plugin pro javu mám zakázaný jak na win, tak na lx.

Navíc na spoustě webech používám html injekci, která odstraňuje určité věci, nebo jen dělá ten web čitelný. Sice je to řešení následku, a ne příčiny - ale je to cesta nejmenšího odporu.

Přestaňte hledat systémové řešení, to prostě nebude existovat asi nikdy. Je to smutné, ale je to tak .)

[xkucf03]

U běžných webů je celkem běžné, že člověk použije nějaké vlastní filtrování/blokování nežádoucích částí stránky, je to přijatelné řešení. Ale v internetovém bankovnictví to nemá co dělat – chci komunikovat se svojí bankou, ne posílat svoje data do Googlu potažmo do USA.

[j]

Je uplne jedno jestli tam google neco takovyho vlozi nebo nevlozi, na web banky proste neco takoveho nepatri, protoze to googlu primo dava vedet kdo ma v te bance ucet. A to je poruseni zakona o ochrane osobnich udaju jak vysity.

[pavlix]

Potom bych to rád viděl u soudu.

[JirkaH]

tohle by se melo dat lecit. ale musis si priznat, ze mas problem.

[Jendа]

Jsou lidé, kterým se třeba nelíbí, když jsou všechna jejich data (od webové historie přes internetbanking, e-maily a tracklog po dokumenty a fotografie) v rukou někoho jiného. Docela je chápu.

[Mrkva]

V tom, že když Google může cokoliv - stáhnout si logy transakcí? Zkopírovat přihlašovací cookie? Fakt není problém.

[erino72]

Ja mam slovensku sporitelnu a zuno a nemozem si stazovat :)

[robert ml.]

abclinuxu.cz

[Radovan Garabík]

Ja mam slovensku sporitelnu a zuno a nemozem si stazovat :)

Zuno zle detekovalo PPC a myslelo si, že je to mobilný telefón. Človek na supporte sa ma snažil odbiť tým, že linux nie je podporovaný, ale trval som na tom, že zle detekujú PPC a nie Linux, lebo z intel linuxu to ide, tak to s povzdychom zapísal ako chybu. Ale treba uznať, že to potom opravili promptne. Nevravím o tom, že rozhranie má drobné mušky, ktoré dosť otravujú.

Taktiež majú jednu pomerne závažnú chybu v systéme prideľovania účtov, ktorou sa dá veľmi ľahko DDOSovať všetkých užívateľov IB. Stal som sa pred časom obeťou.

[Conscript89]

Co to mas za stroj, ze mas PowerPC? Nejaky stary apple? Novejsi IBM stroje si nedokazu predstavit ze by nekdo provozoval jako Workstation. Nebo je na Xboxu fungujici Linux? O Xbox se tak nezajimam, tak se ptam.

[rastos]

Nechápu lidi, co si pořád stěžují na banky. ... Vždyť máte sakra na výběr, tak si vyberte ...

Povedz mi banku a ja ti poviem aký má závažný nedostatok.

[Jendа]

Fio

[xkucf03]

Ano, je to Fio.

[Jendа]

„Je to Fio“ považuješ za závažný nedostatek? Můžeš to upřesnit? (plánuju k nim přejít)

[xkucf03]

To je nedorozumění – bylo to myšleno jako potvrzení, že tou bankou, o které jsem psal, je právě Fio Pokud k nim chceš přejít, můžu jedině doporučit.

[Luboš Doležel (Doli)]

Jsem u nich a nemám si na co stěžovat. V nějakém časovém horizontu bych tam rád přešel i s firemním účtem, úspora by byla několik set K měsíčně.

[pc2005]

Jo tam jsem taky. V zásadě je to v pohodě, jenom teďka v reakci na reposazbu minimalizovali úrok na spořicích účtech .

[kavol]

nedostatek? ... hm, tak třeba dosti chabá nabídka úvěrových produktů?

a co se IB týče, tak třeba mizerná práce se šablonama?

[MaT]

No, oni asi půjčují jen těm velkým - třeba kdysi ČSSD na kampaň.

Pokud úvěrové produkty nepotřebuji, tak mi to v podstatě ani nevadí, že je nenabízejí.

A co lidem brání, aby na nějaké další služby, které zrovna jejich ústav neumí, nepoužívali někoho jiného?

Příklad - když zrovna daná banka nebude nabízet kreditní karty (což třeba zrovna Fio také nenabízí), co mi brání, zařídit si kreditku jinde?

Pokud bych potřeboval hypotéku - pokud ji někde neumí, je dost jiných bank, kde Vám jí nabídnou...

Tak kde je problém?

V tom, že některé banky, když tam přijdete, že chcete úvěr, že vás tlačí i k tomu, abyste u nich měl účet? Ano, takové jsem už také viděl. Třeba v úvodu vzpomínaná KB. Jeden příbuzný si tam potřeboval vzít úvěr na nákup kusu pozemku. Kromě toho, že platí i snad asi 100 Kč měsíčně za něco jako "vedení úvěrového účtu" (nechápu, co je na tom pro banku tak složité, vést účet, na který jednou měsíčně přijde splátka), tak ještě ho donutili si tam založit normální běžný účet (za který platí další peníze - a opět je to docela dost). No, to se takový úvěr docela prodraží. Já bych do ničeho takového nikdy nešel - ale on si to nechtěl nechat vysvětlit... Prý snad že jiné banky by mu kvůli věku úvěr neposkytly. Ale co vím, tak jich ani moc nezkoušel...

[kavol]

Pokud úvěrové produkty nepotřebuji, tak mi to v podstatě ani nevadí, že je nenabízejí.

v pořádku; já jen, že byla otázka na to, jaké má ta banka nedostatky (když se radí jít ke konkurenci), a toto je jeden z nich - byť se netýká všech klientů ...

A co lidem brání, aby na nějaké další služby, které zrovna jejich ústav neumí, nepoužívali někoho jiného?

viz výše, v kontextu "tak jděte ke konkurenci" toto právě brání k té konkurenci (jestliže jí je míněna právě Fio) jít

V tom, že některé banky, když tam přijdete, že chcete úvěr, že vás tlačí i k tomu, abyste u nich měl účet? Ano, takové jsem už také viděl. Třeba v úvodu vzpomínaná KB. Jeden příbuzný si tam potřeboval vzít úvěr na nákup kusu pozemku. Kromě toho, že platí i snad asi 100 Kč měsíčně za něco jako "vedení úvěrového účtu" (nechápu, co je na tom pro banku tak složité, vést účet, na který jednou měsíčně přijde splátka), tak ještě ho donutili si tam založit normální běžný účet (za který platí další peníze - a opět je to docela dost). No, to se takový úvěr docela prodraží. Já bych do ničeho takového nikdy nešel - ale on si to nechtěl nechat vysvětlit... Prý snad že jiné banky by mu kvůli věku úvěr neposkytly. Ale co vím, tak jich ani moc nezkoušel...

bohužel, tak to je - možná, že ten příbuzný toho opravdu moc nevyzkoušel a přeci jen by našel něco lepšího, kdyby se více snažil, nicméně v principu to tak je, že kde je nějaká klíčová výhoda (třeba to, že ten úvěr vůbec dostane), tam je milion přidružených nevýhod, není tady banka, která by vyhověla ve všem, co je pro daného člověka důležité (pokud to není totální flegmatik a nesere ho, že třeba po obchodní stránce úplně super, ale kvůli IB musí bootovat do woken apod.)

[MaT]

No, já jsem asi zrovna ten ojedinělý případ, který je celkem spokojen s Fio:

1. Výběry z bankomatu: 10 měsíčně zdarma mi bohatě stačí. Vyčítá se jim, že mají bankomatů málo - ano, někde není třeba jediný v celém okrese - ale zrovna v Praze jich je docela dost - jsou už ve většině obchodních center a pak jsou i na místě, kde bych je ani nečekal - třeba některé hotely. Jeden z takových hotelů mám asi 200 metrů od domu, takže je to pro mě jeden z nejbližších bankomatů vůbec. Jeden bankomat také mají i v místě, kde pracuji (velká nemocnice).
2. Žádné poplatky za vedení účtů a ani za transakce. Čím na mě udělali už na začátku velmi dobrý dojem - oni nechtějí ani nic za vedení účtů určených k podnikání. Za to jinak spousta bank chtěla naprosto nekřesťanské částky. Pro příklad zrovna ta KB. Běžný účet pro fyzickou osobu tam kdysi stál nějakou částku (třeba 100 Kč). Ale v té samé době účet pro podnikatele byl za 300-400 Kč. To jsem prostě nechápal. Prý že s živnostníky mají více práce, že udělají více transakcí. Pominu-li, že ty transakce už tehdy běžely v podstatě automaticky, tak ještě chtěli za každý převod asi 5-6 Kč a snad ještě něco i za příchozí transakce. Takže jak se hezky česky říká: WTF? Třeba i taková mBank, která měla také skoro všechno zadarmo, když konečně zavedla účty pro podnikatele (také jim to trvalo o nějaký ten rok déle, než slibovali), tak opět - podnikatelé něco platit musí - teď už nevím, jestli za vedení - ale spíš za transakce. Prostě nechápu...
3. Internetové bankovnictví - sice donedávna vypadalo docela starobyle, ale nemůžu si pomoci, pro mě bylo zatím asi nejpřehlednější. Nedávno nasadili novou šablonu, na tu někteří nadávají, že víc plýtvá místem, ale zase tak moc mi to nevadí. Líbí se mi, že už i dříve jsem si mohl nastavit, které sloupce ve výpise chci a které ne. Líbí se mi také, že si můžu nechat vygenerovat libovolně dlouhou historii transakcí. U některých bank je to omezené jen třeba na 3 měsíce v kuse. A nejde také často vygenerovat historie starší, než 1 rok (to mě dost vadilo třeba u ČS). U Fio mám kdykoliv dostupnou kompletní historii od doby založení účtu. To těch dat o těch transakcích je tak strašně moc, že to ty větší banky musí mazat, aby jim to nepřetížilo databázi?

Samozřejmě má Fio i nějaké nevýhody, které pociťuji i já - ale myslím, že dost lidí by na ně nenarazilo vůbec (většina lidí ani nepotřebuje vkládat hotovost).

1. Potřeboval jsem občas uložit nějakou částku v hotovosti na účet. I když to Fio nabízí zdarma (pokud je to víc, než 1000 Kč a je to na Váš vlastní účet), bohužel s otevírací dobou poboček je celkem problém. Počet poboček také v posledních letech (alespoň v Praze) stoupal. Problém ale je, že i když má pobočka otevřeno třeba do 18.00, tak pokladna má jen do 16.30. A v pátek jen do 16.00. To se mi ve dnech, kdy chodím normálně do práce (8.00-16.30), stíhá dost špatně... Jednou se mi stalo, že jsem tam vešel asi v 16.31 a i když tam dotyčný pracovník ještě byl (a ještě snad ani neměl vypnutý počítač), stejně mě nějaký jeho kolega nemilosrdně odpálkoval, že mám smůlu. Ocenil bych trochu více vstřícnosti, když už mají tak nemožné pokladní hodiny...

[j]

Jen takova poznamka - jako podnikatel rozhodne nemusis mit "podnikatelsky" ucet. Pokud se spokojis s funcionalitou standardniho uctu fyzicky osoby. Technicky nemusis mit dokonce ucet vubec zadny.

[pavlix]

Nebo lze mít účet sdílený. Jediný důvod pro samostatný účet je samostatná auditovatelnost, což pro živnostníka může být příjemné, nikoliv nezbytné.

[pavlix]

Nicméně mbank u mě před lety prohrála právě tím, že mi odmítli dva účty založit. Byla to tuším jedna ze tří služeb, které jsem kromě účtu s ebankingem chtěl a ani jednu neuměli.

Díky tomu jsem na rychlo na něčí radu založil účet u Raiffeisen, u které jsem nedávno definitivně skončil kvůli jejich neschopnosti, účtování vysokých nesmluvených poplatků a hrubému chování jejich zaměstnanců.

Teď mám FIO, stojí mě to řádově méně peněz i řádově méně času. Zatím nejhorší věc, která se mi ze strany FIO stala bylo, že na pobočce krátkodobě nefungovalo spojení se systémem a s omluvou jsem byl požádán, abych přišel jindy. Ve srovnání s RB mám chuť jim líbat ruce.

Internetbanking u FIO mi stoprocentně funguje. Podíl jeho downtime mi přijde oproti RB neznatelný. Pohodlí uživatelského rozhraní je řádově lepší (pokud měřím stylem jak dlouho mi trvá co udělat). Linka myslím neni k dispozici tolik času, bankomaty nepotkávám na tolika místech, pobočky rovněž, vybrání v eurech z českého účtu nebylo možné, ale to všechno jsou drobnosti, se kterými se dokážu smířit, když ta banka jinak funguje celkem normálně.

[MaT]

Jasně - tak já kdysi normální účet pro zaplacení nějakých těch faktur v rámci podnikání také využil a vrásky jsem si s tím nedělal - ale ty banky rády strašily tím, že jakmile zjistí, že někdo používá účet k podnikání (a nevyužívá místo toho raději jejich supr-dupr podnikatelský účet se 3-4násobnými poplatky za vedení), tak že mu ho třeba zruší nebo tak něco...

Ale obecně se mi líbilo, že to můžu oddělit. Akorát by se mi za tuto možnost nechtělo platit kdo ví kolik.

Jinak ještě je tu obvykle jeden rozdíl mezi podnikatelskými a nepodnikatelskými účty - na těch pro podnikání se vám nezdaňují úroky, musíte to pak v daňovém přiznání zahrnout do zvláštní kategorie příjmů. Na klasickém účtu pro nepodnikatele je tam prostě 15% srážková daň z úroků a nemusíte to řešit. Ono ale většinou na těchto účtech skoro žádné úroky nejsou, tak ani není co danit...

[pavlix]

ale ty banky rády strašily tím, že jakmile zjistí, že někdo používá účet k podnikání (a nevyužívá místo toho raději jejich supr-dupr podnikatelský účet se 3-4násobnými poplatky za vedení), tak že mu ho třeba zruší nebo tak něco...

Tak to bych si rozhodně nahrál, jak mi zástupce banky tvrdí, že bankovní účet smím použít jen vyjmenovaným účelům. A pokud by mi banka svévolně zrušila účet, tak bych se v tom trošku pohrabal :).

Banka, která je vedená tímto způsobem, dává jasně najevo, že má zákazníky za blbce a jako k takovým se k nim bude za všech okolností chovat.

Ono ale většinou na těchto účtech skoro žádné úroky nejsou, tak ani není co danit...

Právě. Ptal jsem se ve FIO, kdy konečně úroky zruší, popřípadě jestli by nemohly být opt-out, ale faktem je, že na takovouhle otázku člověk na přepážce odpověď nedostane.

[MaT]

No jo, ale takhle se tvářily všechny ty "velké" banky - ČS, KB, ČSOB... Já taky nevím, proč tam pořád tolik lidí i firem má účty...

Taky si říkám, že bych to s tím podnikatelským účtem měl u Fio jednodušší, kdyby se na úroky vykašlali úplně. Ty "promilové" úroky stejně ani nestojí za řeč, jen to přidělává práci.

[JirkaH]

mBank

[kavol]

tak třeba že je to banda lhářů?

krom toho, nebyla výše řeč o poplatcích? - co takhle výběr z bankomatu zdarma, bez dalších podmínek, máme?

[JirkaH]

msliby se strc do spic! ze se takove picoviny neresi u jinych "ustavu", ktere si berou prachy i za "ucetni polozku". imho jsou to vsechno naproste kktiny.
a nechtel bys treba, aby ti banka davala treba kilco pri vyberu z bankomatu?

nepopiratelny fakt proste zustava, ze mbanka tady prisla jako prvni s bezpoplatkovym uctem a jen diky ni mame aktualne dokonce na vyber. jestli zavedli podminku (napr. jednou za mesic zaplatit benzin kartou) abych mel vyber zadara je mi u riti.

[MaT]

Já Vám tento fakt popřu, protože bezpoplatkový účet měla dávno před mBank třeba Fio.

Já mBank ale i tak ze začátku fandil - ale fakt je to slibotechna. Třeba hned na začátku slibovali také vkladomaty, což bylo něco, co bych tehdy také ocenil - ale pořád jen slibovali a slibovali a asi po dvou letech je raději slibovat přestali a a nemají je dodnes.

[kavol]

Já Vám tento fakt popřu, protože bezpoplatkový účet měla dávno před mBank třeba Fio.

špatný příklad, neboť v době příchodu mBank nebyla Fio bankou (že v tom pro běžného smrtelníka nebyl rozdíl je věc jiná ...)

Já mBank ale i tak ze začátku fandil - ale fakt je to slibotechna. Třeba hned na začátku slibovali také vkladomaty, což bylo něco, co bych tehdy také ocenil - ale pořád jen slibovali a slibovali a asi po dvou letech je raději slibovat přestali a a nemají je dodnes.

nojo, jenže jedna věc je slib "zatím" nesplněný, a druhá věc je slib porušený - je rozdíl mezi nerozšířením nabídky ve prospěch klienta a změnou stávající nabídky v neprospěch klienta

[MaT]

Ano, neměli ještě bankovní licenci, ale již několik let poskytovali bankovní služby. A nevím, jestli i tehdy, když mBank startovala, by se nenašlo těch účtů "úplně zdarma" víc. Asi by bylo nefér do toho počítat třeba ING s jejich spořícím účtem (výplata se na něj nechat posílat dala, ale ty transakce z něj byly dost nepohodlné, na to to chtělo asi další účet).

Ale účet svým způsobem "zadarmo" měla myslím i Citibank - pokud u nich člověk měl dost peněz. A něco podobného snad měla ještě i ta eBanka - tzn. buď vyšší zůstatek, nebo nějaký pravidelný příjem/obrat na účtu...

Jinak s tím zavedením různých poplatků, to mě mBank také zklamala. Tehdy mi to už naštěstí bylo celkem jedno, nebyl jsem na nich závislý a stejně jsem byl vždycky víc spokojený s Fio, účty u mBank jsem si založil hned na začátku třeba i kvůli dobrému úroku na spořícím účtu. Ale to šlo také brzy do kopru. Takže zatím u nich účty mám, ale prakticky je nepoužívám, jen jsem se zatím nedokopak k tomu, je zrušit - když to nic nestojí. A co kdyby náhodou zase někdy dali nějaký lepší úrok...

[kavol]

msliby se strc do spic!

to by spíše měla udělat mBank, ne?

ze se takove picoviny neresi u jinych "ustavu", ktere si berou prachy i za "ucetni polozku".

řeší, ale ty jsi nadhodil mBank, takže proč bychom se tady měli zabývat jinými? jen protože "a vy zase bijete černochy"?

imho jsou to vsechno naproste kktiny.

když ji miluješ, není co řešit ... oukej, tak si to prohlašuj za kokotiny, pro mě (a věřím, že pro spoustu dalších) to ovšem kokotiny nejsou, když s někým uzavřu nějakou smlouvu, o které mě ten druhý ujišťuje, že to tak bude furt, a netrvá to ani rok a on tu smlouvu změní v můj neprospěch

takto se prostě nejedná a takovou firmu podporovat nehodlám

a nechtel bys treba, aby ti banka davala treba kilco pri vyberu z bankomatu?

jo, to by bylo příjemné, jen tak trošku nechápu, proč se na to ptáš ...

nepopiratelny fakt proste zustava, ze mbanka tady prisla jako prvni s bezpoplatkovym uctem

hmmm ... co třeba eBanka, na tu už jsme zapomněli?

a jen diky ni mame aktualne dokonce na vyber.

MUHEHE, takže nebýt mBank, tak první, co udělá Fio po získání bankovní licence by bylo zavedení poplatků, a podobně, že?

jestli zavedli podminku (napr. jednou za mesic zaplatit benzin kartou) abych mel vyber zadara je mi u riti.

hm, a to jezdíš vlastním autobusem nebo máš soukromej tank?

4 kKč nedám za jedno tankování ani náhodou, v dobách cenový špičky jsem za plnou nádrž plus kanystřík do rezervy dal tak maximálně okolo sedumnácti stovek, přičemž ty 4 kKč momentálně ani za měsíc neprojedu; no a navíc moje oblíbená benzínka má za karty vysokohorskou přirážku, takže by mě to přišlo na víc než ten výběr zaplatit rovnou

gratuluju ti, že seš na tom tak dobře, že můžeš vyhazovat prachy z okna a je ti to u řiti; mně by nějaká dvacka sem, dvacka tam, sice taky nezabila, ale holt mi to u řiti není, a hlavně mi není u řiti, když mi někdo lže, viz výše

[radix]

Equabank? Zatim se mne velmi libi, neplatim za standardni sluzby ani korunu.

Akorat mne ted nastvalo, ze snizili urok na Sporicim uctu Extra na 2.4% p.a.

[pepe_]

http://addons.mozilla.org/en-US/firefox/addon/quickjava/

V nastavení si přidat tlačítka java javascript flash silverlight css atd... a můžete sledovat a zapínat ...

[Petr Ježek]

Silver - co? Ono to ještě existuje?

[Dreit]

Bohužel nejen existuje, ale dokonce se i používá - myslím že na hokej.cz není jiná volba, jak koukat na přímé přenosy

[w4rr10r]

Mám pocit, že se vrátili k Flashi, zrovna včera jsem koukal na Třinec.

[Dreit]

Asi je to menší zlo, i když streamovat by šlo určitě víc způsoby - třeba nabízením prostých playlistů

[xkucf03]

Jak je na tom Moonlight s přehráváním videa?

[vencas]

Třeba Daňový portál MFČR požaduje Javu, aby se online dokumenty daly podepsat elektronickým podpisem a rovnou odeslaly. Jinak přes datovku (za prachy).

[Jendа]

Jaký má smysl podepisovat něco pomocí appletu, který ti poslala protistrana?

[David Jaša]

Ten, že posílající protistrana "ví", že funguje. Psát asymetrickou kryptografii není zrovna vhodné a "nativně" to brouzdadla neumí.

[David Jaša]

Psát asymetrickou kryptografii

... v JS

[xkucf03]

Ty algoritmy se v JS napsat dají (nebo už jsou napsané), výkon bude sice mizerný, ale v použitelnosti bránit nebude.

Vtip je ale v tom, že při takovémto způsobu použití ztrácí kryptografie smysl – klidně bys mohl vzít svůj soukromý klíč, poslat ho HTTPS POSTem na server banky a ta by ho zkontrolovala, jako by to bylo dlouhé heslo. Bezpečné by to bylo úplně stejně – hrát si divadlo o tom, že se tu něco šifruje a podepisuje je úplně zbytečné, protože je to opravdu jen divadlo – tedy pokud od toho šifrovacího nástroje nebudeš mít zdrojáky a nebudeš při každém načtení stránky provádět jejich důkladnou analýzu.

Než tohle, tak už je lepší obyčejné TLS/SSL (bez klientských certifikátů) a jednorázová hesla generovaná kalkulačkou (HW token). To elektronické podepisování má smysl, když se používají standardní řešení a ty si můžeš vybrat libovolnou implementaci, které důvěřuješ.

[David Jaša]

Však jo. Chtělo by to, aby podepisování uměly samotné prohlížeče (a ještě u toho rozlišovaly, jestli podepisují obecná data za účelem přihlášení, nebo konkrétní data za účelem jejich pozdějšího ověření). Pak taky, aby HTTP umělo držet stav HTTP autentizace mezi jednotlivými requesty a odhlášení.

Elektronický podpis implementovaný v bankou dodaném JS beru jen jako obezličku ekvivalentní podepisování Javovým appletem.

[Jendа]

a jednorázová hesla generovaná kalkulačkou (HW token)

Nikdy jsem nepochopil, v čem má tohle pomoct - dokud kalkulačka nezobrazuje i číslo účtu ("Trezor"), může útočník, který má pod palcem počítač (což předpokládáme), hrát divadlo a jednorázovým heslem si autentizovat svoji transakci.

To elektronické podepisování má smysl, když se používají standardní řešení a ty si můžeš vybrat libovolnou implementaci, které důvěřuješ.

Já bych se nebránil možnosti vzít ve stránce nějaký kus textu, copypaste ho napajpovat do gnupg/openssl a do druhé textarey pastnout výsledek. Dokonce mi to přijde mnohem jednodušší než startovat virtuál s Javou .

[Jendа]

Ten, že posílající protistrana "ví", že funguje.

No ale k čemu sakra protistraně je, že dostane podepsané něco, co si sama (svým blobem) podepsala?

[David Jaša]

Zkus ten popis upravit na něco víc odpovídajícího realitě a bude to samozřejmé.

[Jendа]

Nechápu. Koho má tato šaškárna před čím chránit?

[David Jaša]

Tak si o té šaškárně doplň informace.

[Jendа]

Myslím, že vím dost přesně, jak to funguje. Leč stále jsem nepřišel na žádný attack vector, před kterým by to chránilo. Můžeš nějaký navrhnout?

[David Jaša]

Myslím, že vím dost přesně, jak to funguje.

Ta větička o pár komentářů výš tomu nenasvědčuje.

[Jendа]

Tak už konečně prozraď nějaký attack vector, kterému to brání.

[David Jaša]

To, co popisuješ v #84? Samozřejmě, že ničemu. Ale to není to, co komerčka používá, tudíž je to pro další diskusi irelevantní.

[Jendа]

A co používá KB?

[David Jaša]

O pár příspěvků výš jsem měl trpělivost vysvětlovat, pokud by byl zájem. Ale on nebyl, a teď se mi už nechce. Takže goto #103.

[Jendа]

Já jsem to pochopil takhle:

• Z webu KB se stáhne applet.
• Uživatel do něj nahraje svůj soukromý klíč a zadá transakci.
• Applet transakci podepíše tím klíčem a pošle do banky.
• Podpis může též proběhnout na čipové kartě.

[David Jaša]

Ano, takhle to zhruba funguje. Přičemž tvůj první veřejný klíč (a každý další, pokud už nemáš starší platný klíč) banka podepíše jen pokud jí na pobočce ukážeš svůj xicht a doklad.

Tudíž z banky k tobě cestuje jen soft na podepisování a z tvýho komplu jen podepsaná transakce, a celá transakce je tím pádem zhruba tak bezpečná, jako tvá schopnost si ochránit soukromý klíč a schopnost banky nezavlíct do toho svýho softu bezpečnostní chybu.

Banka podepisuje applet za zhruba stejným účelem, jako distributor podepisuje balíčky - rozhodně ne k tomu, aby si to pak poslala zpátky.

[Jendа]

Dobře, a jakou přesně to má tedy výhodu oproti případu, kdy místo asymetrické kryptografie použijeme prostě heslo?

[David Jaša]

Soukromý klíč narozdíl od hesla (mimo HTTP autentizace) nejde po drátě a bance do něj z definice nic není.

Jinak pro pořádek, klíč je pod heslem podobným způsobem, jako luks klíče.

[Jendа]

Soukromý klíč narozdíl od hesla (mimo HTTP autentizace) nejde po drátě a bance do něj z definice nic není.

To jednak není pravda (soukromý klíč svěřuji náhodnému blobu kódu, který mi zrovna banka poslala - a ten není přístupný analýze, protože mi ho pošlou pokaždé znovu a navíc je to něco custom-made, tedy nic masivně reviewed typu openssl) a jednak jsi stále neukázal žádný útok, který by to mělo odvrátit.

[kralyk z abclinuxu]

Pokud nedůvěřuješ blobu té banky, je otázka, jestli důvěřovat té bance jako takové. Banka si kromě blobu jistě vyvíjí i řadu dalšího SW. A pokud nedůvěřuješ spojení, po kterém se ten blob přenáší, nemělo by smysl ho navazovat vůbec, ať by ses autentizoval jakkoli...

Nicméně vtip je v tom, že heslo tvoje banka má, kdežto tvůj soukromý klíč nemá. Takže zlý zaměstnanec se k němu prostě nedostane, i kdyby chtěl, narozdíl od hesla, ke kterému se potenciálně celkem bez problémů může dostat (pokud pracuje na správné pozici). Jakou bezpečnost navíc to přináší v praxi je otázka, asi nějak buhvíjakou moc ne, teoreticky ale trochu jo.

Jinak jakej attack vector? Tady se, pokud dobře čtu, bavíte o autentizaci, ne o malwaru apod., takže mi moc není jasný, co tou otázkou myslíš...

[Jendа]

Pokud nedůvěřuješ blobu té banky, je otázka, jestli důvěřovat té bance jako takové.

Jde mi o to, že když se banka rozhodne krást peníze „heslem“, může se úplně stejně rozhodnout krást peníze „blobem“. Na druhou stranu, kdyby ta asymetrická kryptografie byla implementována správně, banka by prostě peníze ukrást nemohla, ani kdyby stokrát chtěla (resp. přišlo by se na to, protože by u soudu nedokázala předvést podepsaný platební příkaz).

Takže zlý zaměstnanec se k němu prostě nedostane, i kdyby chtěl, narozdíl od hesla, ke kterému se potenciálně celkem bez problémů může dostat (pokud pracuje na správné pozici).

Jenže když pracuje na správné pozici, může mi i podstrčit ten blob.

[kralyk z abclinuxu]

Já myslel, že ten blob je nějakým způsobem podepsanej. To jsem asi předpokládal moc

[stativ]

Jo, je podepsanej. Momentálně je to podepsáno jejich CA, která je tuším podepsaná Verisign level 3.

[David Jaša]

Někdo k tomu podepisovacímu klíči banky přístup mít musí. ;)

[David Jaša]

Na druhou stranu, kdyby ta asymetrická kryptografie byla implementována správně, banka by prostě peníze ukrást nemohla, ani kdyby stokrát chtěla (resp. přišlo by se na to, protože by u soudu nedokázala předvést podepsaný platební příkaz).

V případě čipovky to tak už je celkem určitě. V případě appletu zatím ne, protože applet si může minimálně pamatovat místo, kde se klíč nachází (a možná si sáhnout i na libovolný soubor). Nejlepší by bylo, kdyby asymetrickou kryptografii implementovaly přímo browsery, pak by se dala využít pro podstatně bezpečnější přihlašování oproti dnešku.

[Jendа]

V případě čipovky to tak už je celkem určitě.

Stejně si ten applet může od čipovky nechat podepsat, co chce (pokud vím, tak jediný HW s displejem, kde se ukazovaly detaily transakce, měla RB).

[xkucf03]

V případě čipovky to tak už je celkem určitě.

Za předpokladu, že ta karta bude plně otevřená, ty ji budeš mít pod kontrolou a vygeneruješ si na ní ten klíč sám. Pokud ti ale klíč generovala banka, žádná záruka, že nemají kopii, není.

[xkucf03]

Jde mi o to, že když se banka rozhodne krást peníze „heslem“, může se úplně stejně rozhodnout krást peníze „blobem“.

I když tahle diskuse je už trochu vzdálená realitě – banky často zaplatí i škody způsobené někým třetím („fraudy“), než aby měly špatnou pověst a byly známé jako „banka, která má problémy s bezpečností“. Nelze tedy čekat, že by si takové problémy ještě sami vytvářeli.

Pro mne je jasná nevýhoda to, že banka chce na mém počítači pouštět nějaký svůj uzavřený software – to považuji za nepřijatelné a půjdu k bance, která tohle nevyžaduje.

[Jendа]

I když tahle diskuse je už trochu vzdálená realitě – banky často zaplatí i škody způsobené někým třetím („fraudy“), než aby měly špatnou pověst a byly známé jako „banka, která má problémy s bezpečností“. Nelze tedy čekat, že by si takové problémy ještě sami vytvářeli.

Ano, jenom jsem ukazoval, že ani v tomto případě aplet nepomůže.

Osobně se mi současný stav bankovního průmyslu nelíbí. Pomocí moderní kryptografie lze dosáhnout mnohem vyššího zabezpečení, anonymních transakcí a dalších úžasných věcí.

[kavol]

A pokud nedůvěřuješ spojení, po kterém se ten blob přenáší, nemělo by smysl ho navazovat vůbec, ať by ses autentizoval jakkoli...

ale no tak ... SSL nám nic neříká? (pomiňme problémy s důvěryhodností vydavatelů certifikátů a předpokládejme, že certifikát IB máš ověřený a jiný nepovoluješ)

[kralyk z abclinuxu]

? Jistěže říká. Přečti si, na co reaguješ...

[kavol]

tak mi to zkus vysvětlit jinými slovy ...

[xkucf03]

Nicméně vtip je v tom, že heslo tvoje banka má, kdežto tvůj soukromý klíč nemá.

To není vůbec jisté a já nemám jak si to zkontrolovat. Nebo ty pokaždé ten binární blob dekompiluješ, provádíš jeho analýzu a kontroluješ, zda tvůj klíč používá jen lokálně a neodesílá do banky?

Navíc heslo banka taky nemusí mít – můžeš posílat jen hash náhodné soli. A JavaScript v prohlížeči je řádově důvěryhodnější a auditovatelnější než uzavřený blob.

Takže zlý zaměstnanec se k němu prostě nedostane, i kdyby chtěl, na rozdíl od hesla, ke kterému se potenciálně celkem bez problémů může dostat (pokud pracuje na správné pozici).

Tohle je o hranicích systému. Samozřejmě, že do toho, co je za hranicí (uvnitř banky), už nevidím a musím prostě bance věřit. Ale v případě appletu banka tuto hranici systému posouvá až do mého počítače. Musím jí poskytnout můj hardware, aby na něm provozovala její systém – místo, abych já si provozoval svůj software, banka svůj software a mezi tím bylo nějaké standardní rozhraní.

Jakou bezpečnost navíc to přináší v praxi je otázka, asi nějak bůhvíjakou moc ne, teoreticky ale trochu jo.

V první řadě to přináší problémy (plugin nemusí být všude dostupný). A bezpečnost to spíš snižuje: jednak na počítači musí být nainstalováno víc softwaru, než je nutné (např. Flash, ve kterém může být – nebo spíš je – bezpečnostní díra) a jednak je složitější ověřit certifikát – zatímco u prostého (X)HTML stačí zkontrolovat HTTPS certifikáty, při použití (podepsaných) pluginů musím kontrolovat ještě jejich podpisy – což může být jiná skupina CA, jiné dialogy atd.

Když už, tak ať použijí existující standardy (např. klientské certifikáty), uživatel tak může mít na svém počítači čistě otevřený software a komunikovat se bude pomocí standardního rozhraní.

Obecně proti pluginům v prohlížečích nejsem a vnímám je spíš pozitivně – je to modulární systém (ne všechna funkcionalita musí být nacpaná v HTML). Ale bankám bych jejich použití určitě nedoporučoval.

BTW: některé banky spoléhají (nebo spoléhaly) jen na ActiveX komponentu a HTTPS ani nepoužívaly:

Velice zvláštní je situace u Waldviertler Sparkasse von 1842 AG, která HTTPS šifrování nepoužívá a přihlašovací formulář k jejímu bankovnictví se nachází na stránce načtené nešifrovaným protokolem HTTP. Takže tady nebylo co měřit. Jejich bankovnictví je realizované formou ActiveX komponenty, která už elektronicky podepsaná je (VeriSign). Za zajištění bezpečné komunikace s bankou je potom zodpovědná tato komponenta. Není mi ale jasné, proč tato banka nepoužívá HTTPS pro samotné načtení stránky s formulářem – vždyť certifikáty podepsané důvěryhodnou CA zase tak drahé nejsou. (pokud se pokusíte cestu ručně přepsat na https://, certifikát je vydaný na jméno *.web4u.cz)

(Analýza SSL/TLS bezpečnosti českých bank)

[kralyk z abclinuxu]

Možná to vypadalo, že jsem pro ten plugin, což nejsem. Jen jsem elaboroval důvody, proč takové řešení asi banka nasadila...

Navíc heslo banka taky nemusí mít – můžeš posílat jen hash náhodné soli.

Co?

[xkucf03]

Jen jsem elaboroval důvody, proč takové řešení asi banka nasadila...

IMHO měli pocit, že to bude vypadat bezpečněji a profesionálněji, ale nedomysleli důsledky (problémy s kompatibilitou, bezpečností…). Případně jim to prodal nějaký konzultant/dodavatel, který dobře věděl, že za komplexní složité řešení si může naúčtovat víc, než za řešení jednoduché standardní a funkční.

Co?

Banka bude mít uloženo jen hash(heslo) a pošle mi náhodnou sůl – a já jí pro prokázání totožnosti pošlu hash(sůl+hash(heslo)). (ano, je to podobné, jako kdyby měla heslo, ale nemá)

[kralyk z abclinuxu]

Banka bude mít uloženo jen hash(heslo) a pošle mi náhodnou sůl – a já jí pro prokázání totožnosti pošlu hash(sůl+hash(heslo)). (ano, je to podobné, jako kdyby měla heslo, ale nemá)

A v čem je smysl? Banka má heslo_2 = heslo(hash), to je to samý, jako kdyby měla heslo...

[David Jaša]

Problém je, že _dobrá_ standardní řešení nejsou, jestli se nepletu:

* HTTP POST formulář + cookies: banka zná heslo (i kdyby ho neznala)

* HTTP autentizace: neschopnost zobrazit stav a odhlásit

* klientský TLS certifikát: automatické přihlašování / nemožnost ze strany serveru vynutit odhlášení, opruz se správou certifikátů standardními nástroji

Bez doplnění funkčnosti browserů si neumím dobré standardní řešení představit.

[Jendа]

Ano, ale řešení Javovým appletem nemá oproti formuláři + cookies žádnou výhodu a několik nevýhod (nutnost pluginu, bezpečnostní díry v něm).

[Jendа]

Co?

Existují challenge-response protokoly, při kterých se protistrana heslo nedozví.

[kralyk z abclinuxu]

Existují challenge-response protokoly, při kterých se protistrana heslo nedozví.

To veřim, nicéně tenhle to nebude...

Bylo by ale celkem cool mít v bance na přístupu k účtu například Serapha

[kavol]

Přičemž tvůj první veřejný klíč (a každý další, pokud už nemáš starší platný klíč) banka podepíše jen pokud jí na pobočce ukážeš svůj xicht a doklad.

tímto bych si nebyl 100% jist, ale už je to dávno, co si to máti zřizovala ...

Tudíž z banky k tobě cestuje jen soft na podepisování

domnívám se, že z banky k tobě cestuje i klíč, pročež to celé jde úplně do háje a IMHO není o nic bezpečnější než používat čistě heslo ... tedy kromě toho, že útočníkovi, který útočí až ve chvíli kdy už ten klíč máš, nestačí získat heslo, ale musí získat klíč, nicméně tento krok mi nedává valného smyslu, když je to stejně ještě zajištěno autorizačními sms ...

[Dreit]

JRE obsahuje bezpečnostní chybu

Už zase, nebo ještě pořád?

[AsciiWolf]

+1

[tuxmartin]

OpenJDK se to taky tyka?

Zakazeme Javu, Flash, JavaScript a budeme pouzivat ciste HTML! Odvazlivci si na vlastni nebezpeci povoli gif animace

[mankind_boost]

Tomu se nesmějte, i přes upravenou gif animaci můžete u bugware vyvolat buffer overflow

[kralyk z abclinuxu]

Jedna z verzí Sony PSP byla hackuta pomocí overflow v tiff.

[xkucf03]

Zrovna jsem to chtěl napsat

[Jendа]

libpng 'png_decompress_chunk()' Remote Integer Overflow

[l4m4]

HTML je tak nebezpečné. Stýská se mi po gopheru...

[bukk__e]

Gopher a Archie. Dvaja bratia

[lertimir]

Gopher a Veronika. Archie byl indexer pro FTP servery.

[ikar]

Tak tak. A péčko se stahovalo pomocí fsp. Než ten protokol zakázali.

[lertimir]

No to jsem to já ještě pracoval s Trickle. Což byla gateway z EARN/BITNETu do Internetu na FTP servery. Poslal se email, který obsahoval posloupnost FTP příkazů s jedním "akčním" tedy "dir" nebo "get" a přišla odpověď v mailu. jeden mail jeden výpis adresáře. A pro "vetší soubor" při get Trickle zakodoval soubor UUCP, rozsekal na přenášené velikosti mailu (tehdy skvělých 30kB). A po příjmu oříznout hlavičky, spojit do jednoho, prohnat uudecode a soubor byl doma.

[xkucf03]

BBS!

[Pali]

Nestacilo by spravne nastavit apparmor? Alebo proste chroot? Ci aj v tom sa najdu chyby? Cakal by som ze bezpecnost v linuxovom jadre bude vyssia ako v jave...

[xkucf03]

V AppArmoru (nebo chrootu, virtualizaci) můžou být z principu stejné chyby, jako v Javě. Jinak každé má svoje výhody. Řešení na úrovni jádra je obecné bez ohledu na programovací jazyk, ale v Javě jde zase práva ošetřit jemněji, s větší granularitou, lépe se to naváže na GUI…

Ideální by asi bylo oboje zkombinovat a mít dvojí ochranu – např. tři hrubé profily AppArmoru (aplikace nemůže téměř nic; aplikace může jen do vybraných adresářů nebo na vybrané porty; aplikace může cokoli) a to jemnější udělení práv by se řešilo v Javě.

[Jendа]

Zapomněl jsi na nested X nebo nějaký jiný sandbox pro Xka.

Cakal by som ze bezpecnost v linuxovom jadre bude vyssia ako v jave...

V jádře to celkem jde, ale ty věci okolo jsou tragédie.

[D.A.Tiger]

Čím to, že mě to nepřekvapuje...?

[andrej]

Spominane CVE-2013-0422 je fixnute v 7.11.