Komentarze

do: Jedno hasło mniej = większe bezpieczeństwo?

Dodaj nowy

Najnowsze

Wyróżnione

Śledź przez RSS

Komentarze:

~Mateusz
[w odpowiedzi dla: ~houston]

Chcę za blokowa numery z sieci wszystkie

20-06-2011, 17:09

odpowiedz
~stec

Ja dzięki temu rezygnuję z usług ING. Wykonałem prostą symulację, która pokazała, że nie ma żadnego zabezpieczenia. Otóż zalogowałem się na swoje konto i wykonałem transakcję doładowania telefonu na kwotę 5zł.

Algorytm stwierdził, że potrzeba autoryzacji hasłem sms-owym, które to dostałem na telefon. Następnie powtórzyłem tę samą czynność - 5zł i ten sam (mój) nr telefonu, który jest dodatkowo podany w danych osobowych banku. Algorytm po raz drugi stwierdził, że potrzeba autoryzacji.

Wtedy zrobiłem hipotetyczną sytuację, która mogłaby się zdarzyć, czyli udałem, że zapomniałem się wylogować z konta i odszedłem na chwilę od komputera. Czyli coś, co w przpyadku korzystania z komputera publicznego (kafejka, miejsce pracy) mogłoby mieć miejsce. Po czym poprosiłem kolegę by spróbował wykonać jakąś transakcję.

Kolega zrobił przelew na kwotę 191,56zł płącąc za kupno przedmiotu na allegro. I co? Jak domyślacie się, super tajny poufny algorytm stwierdził, że "transakcja nie wymaga autoryzacji" i wystarczyło kliknąć "OK".

Pieniądze poleciały hen daleko, a tajny algorytm nie zauważył (jak to sie stało?), że niepożądana osoba dokonuje operacji na moim koncie.

Zatem podsumowując. Tajny algorytm dla mnie równa się tyle samo, co algorytm losowy, albo algorytm "bo tak mi się widzi i nie pytaj dlaczego".
No bo jak wytłumaczyć jego "czujność", skoro dokonuję transakcji naładowania telefonu po raz już 19-sty i 20-sty na kwotę 5zł, na numer telefonu, który jest podany w moich danych osobowych w profilu ING, a on za każdym razem twierdzi, że transakcje te wymagają autoryzacji, a w przypadku gdy dokonuje się przelewu na dużo wyższą kwotę, na nr konta, na który nigdy wcześniej nie był wykonywany przelew, super tajny poufny algorytm twierdzi, że wszystko jest ok i transakcja nie wymaga wpisania dodatkowego hasła sms-owego.

Wcześniej w ING, przed wprowadzeniem tajnego algorytmu, każda operacja musiała być potwierdzona znalezieniem pliku key i wpisania tuż przed dokonaniem transakcji dodatkowego hasła, co w przypadku sytuacji hipotetycznej jaką przedstawiłem powyżej z moim kolegą było wystarczającym zabezpieczeniem.

Ze swoimi wątpliwościami zgłosiłem sie do ING, jednak pracownicy banku odpisują na moje wątpliwości jak komputerowe BOT-y, nie odpowiadjąc konkretnie i merytorycznie na zadane pytania, tylko wklejają w odpowiedzi przygotowane formułki.

Dlatego postanowiłem w najbliższym czasie zlikwidować swoje konto w ING.

Ps. jak wyczytałem w sieci "ogólna zasada kryptologii jest taka, że algorytm szyfrujący powinien być jawny, bowiem wówczas wiele osób ma możliwość weryfikacji go"

19-05-2008, 19:21

odpowiedz
~Jrg

Gdyby chodziło o bezpieczeństwo, to algorytm - jako nie wymagający czynności użykownika - dali by DODATKOWO, a nie ZAMIAST. Ja bym z takiego banku spie...

13-05-2008, 11:31

odpowiedz
~mcv

houston: Wytłumacz dokładniej, o jakie urządzenia Ci chodzi i w jaki sposób uzyskujesz tak łatwo kolizję skrótów MD5 i SHA1?

11-03-2008, 01:09

odpowiedz
~houston

Ciekawe czy bank w razie "wyplacenia lewej tranzakcji" bedzie wstanie uzupelnic posiadacza konta za domniemana tranzakcje o dana sume ?
ot przyklad z kryptografii mamy cos zakodowane algorytmem md5 efekt poco mam to lamac ?? wystarczy cos podstawic co da mi indentyczne 60% wyniku md5 a urzadzenia nie zweryfikuja tego :) to samo dotyczy algorytmu sha1 ( tu wystarczy 80% posiadac ciag znakow identycznych w porownaniu z orginalem) tzw kolizja sumy kontrolnej wiec i taki algorytm tez da sie "otruc" aby cel uzyskac :D

09-03-2008, 15:13

odpowiedz

Zobacz więcej najnowszych Więcej

24 h
7 dni
30 dni
3 m-ce
6 mc-y

Brak danych. Sprawdź później :)

Zobacz więcej popularnych Więcej

Chwilowo brak danych. Sprawdź później :)

Zobacz więcej najczęściej komentowanych Więcej

« strona główna - do góry ^

Stopka

Partnerzy

Książki używane