Легенда:
 новое сообщение
 закрытая нитка
 новое сообщение
 в закрытой нитке
 старое сообщение
|
- Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
- Новичкам также крайне полезно ознакомиться с данным документом.
Об ошибках в iBank 2 13.06.02 02:53 Число просмотров: 2414
Автор: Komlin Статус: Незарегистрированный пользователь
|
Доброго времени дня, Дмитрий.
> В подавляющем большинстве случаев для клиента само собой
> разумеется, что предлагаемое банком техническое решение
> безопасно, ибо потери в случае взлома системы, несет не
> столько клиент, теряя всего лишь свои кровные деньги (пусть
> и немаленькие), громадные потери несет банк - ибо банк
> теряет ДОВЕРИЕ - самый главный капитал в банковском бизнесе.
В том и только том случае если клиент может доказать непорядочность банка.
В остальных случаях мелкий клиент бессилен перед последним.
Сегодня же именно начинающим фирмам особенно удобен интернет банкинг.
200-500 руб. в месяц - это выгоднее, чем тратить пол-часа час на ежедневные поездки в банк за выписками.
> кадровые вопросы, нанимая нелояльных сотрудников, или же
> периодически не контролируя лояльности своих сотрудников, а
> также создавая потенциальные возможности для
> злоупотреблений - это плохой банк. И врядли бизнес такого
> банка будет успешным и долгосрочным.
Организационные методы контроля по определению менее стойки нежели математические решения. Никакие орг. методы не способны обеспечить надёжность сравнимую со математической стойкостью ключа.
> доверенным источником может быть компания-разработчик ПО.
> Но в компании-разработчике также работают люди, также есть
> наемные сотрудники, получающие зарплату, которые также
> могут оказаться нелояльны уже к своему работодателю.
Это на порядок меньший риск для начинающего клиента, особенно если речь идёт о провинции. Кроме этого сторонний продукт используется во многих банках и риск от внесения в него закладок на порядок выше.
IMHO, рядовому клиенту с операциями до $100000 в год нечего опасаться что кто-то из Бифита заинтересуется им лично. Непорядочный сотрудник банка, имеющий возможность остаться безнаказанным совсем другое дело.
> Что касается кода, то во всех версиях iBank 2 код апплетов
> и сервера приложения обфусцирован.
При небольшой практике в работе с декомпилятом обфусцирование просто не замечаешь.
Лично мне оно совершенно не мешало, даже не заметил его существования.
>*********************************************************
>
> Другими словами Александр заявляет, что у банковского
> IT-сотрудника, формирующего дистрибутив клиенту и
> передающего онный на дискете клиенту, существует
> возможность вместо истинного банковского ПО подсунуть
> клиенту ПО с закладкой, которое после выполнения своей
> "миссии" по похищению секретного ключа ЭЦП клиента заменит
> себя на правильный дистрибутив.
Нет. При правильной организации такой процедуры ( передачей на CD-R, с росписями на диске и в журнале, фиксацией контрольных сумм) эта процедура маловероятна.
Речь шла об атаке через WWW-сервер в предложенной процедуре ознакомления с продуктом.
> > 1) При рекомендованной производителем процедуре
> > предварительного ознакомлении клиента с продуктом
> компании
> > ему предлагается скачать и установить незаверенную
> > dll-библиотеку (bifitbzw.dll ) с сервера банка.
> Банки, имеющие Лицензии ФАПСИ на распространение,
> техническое обслуживание и предоставление услуг с
> использованием сертифицированных СКЗИ, ОБЯЗАНЫ
> ВЕСТИ ПОЭКЗЕМПЛЯРНЫЙ УЧЕТ СКЗИ и ОБЕСПЕЧИТЬ ПЕРЕДАЧУ СКЗИ
> КЛИЕНТУ ГАРАНТИРОВАННЫЙ ПУТЕМ.
Речь идёт о процедуре предварительного ознакомления, клиента с ПО банка предложенной в дистрибутиве iBank, на неё такие требования не распространяются, а никакой разницы в моменте инфицирования клиента нет. Даже если клиент впоследствии заменит библиотеки на нормальные, компьютер уже захвачен. IMHO, вполне достаточно демо-стенда на Бифит. Разумеется такую процедуру проходят немногие.
> Другими словами - в случае выкачивания библиотек с
> защищенного Web-сайта банка через протокол SSL сохраняется
> целостность выкаченного дистрибутива, ибо загружен онный из
> банка, являющегося доверенным источником.
Только доказать, что именно этот продукт получен из банка уже нельзя.
> Если есть столь полное понимание ситуации, Александр, тогда
> зачем писать всё вышеприведенное? Дабы привлечь
> общественность из пальца высосанной "ошибкой"? Странная
> позиция.
Я писал о частном случае ознакомления. На него приведённые утверждения не распространялись (см. выше).
Кроме того я не предрекал ему каких-то последствий, а просто указал на то, что эта возможность
избыточна и потенциально опасна.
IMHO для процедуры ознакомления вплоне достаточно апплета с собственным крипто Bifit на вашем же сервере.
Там отлично сделанный демо стенд.
> На самом деле изначально возможность банка
> самостоятельно подключать к iBank 2 внешние
> криптобиблиотеки, полностью соответствующие
> спецификациям JCA и JCE, была ФИЧЕЙ, а
> не багом.
При всех её потенциальных достоинтсвах с точки зрения банка, это всё же опасная фича.
Теперь любой апплет старой версии может быть использован для атаки. Ведь он нормально подписан
и у пользователя не оснований не доверять ему. (Собственно большинство пользователей поставят доверие к продукта Бифит по умолчанию, чтобы не отвечать ежедневно на один и тот же вопрос).
>
> > По утверждению разработчиков эта ошибка устранена в
> новых
> > версиях продуктов Бифит, но на сервере bifit.com пока
> лежит уязвимый вариант.
>
> Уважаемый Александр!
>
> Я искренне рад, что наше решение для Интернет-Банкинга -
> система iBank 2 - привлекает внимание независимых экспертов
> и специалистов в области информационной безопасности. В
> любом случае независимые исследования части или всего
> решения, глубоко до самых корней или не очень, никогда не
> бывают лишними.
Да, в конечном счёте, при таком подходе реальная безопасность Вашего продукта должна обойти конкурентов.
С уважением Александр.
|
|
|
подробно о проекте
Анализ криптографических сетевых...
