Poslední příspěvky1
Odkladiště / Re:Zkušenosti s internetovým bankovnictvím
« Poslední příspěvek od _Tomáš_ kdy Dnes v 10:36:46 »Mliko po brade?
Nejhorsi projekt ktery KB mela bylo jejich IE only+ActiveX+dve verze Javy peklo. Odstrasujici pripad nemajici u obdoby.
V mboha firmach byly jen dedikovane pocitace na ten jejich dort pejska a kocicky.
Profibanka má pořád závislost na ActiveX
. Hodnotíš jen UI, původní moje banka si peklo s activeX udělala hlavně proto, že si usmysleli, že budou cool a bude vše podepisovat certifikáty i v prohlížeči, jen to prohlížeče prostě neuměli, šlo to nahradit HW, který dělal ty podpisy. Kam to dospělo víme, ale backend byl spolehlivý, funkce fungovaly, frontendu se dalo věřit, odezvy rychlé, vše plně distribuované, backupované, vše s strong consistency, nestalo se ti, že po půlnoci stáhneš prázdný výpis včerejších transakcí, protože to tam ještě nedoteklo. Dnes? Celý frontend je eventual consistency, SPoF v podobě airflow a single elastic clusteru, přes který tečou veškerá data v json/avro, rekonciliace dat jsou na denním pořádku, protože nějaká schema evolution pro frontend je v počátku. Vše lepené a hotfixované, o nějakém promyšleném designu si můžeme nechat jen zdát, zatím.Muzete mi jako technikovi rici co si predstavujete pod pojmem odposlouchava GSM? Pro zjednoduseni geopolitiky v kontextu CR?
To chce vedet hodne o tom kde se uzivatel nachazi, ze pouziva pouze GSM v nejakych pripadech a spojit si ho v miste s danou sluzbou a uctem. To nemusi byt vubec trivialni. Znat klice nebo naborit i A5/3 ( u posledni generace). Ty SMSky nelezou zrovna uplne nesifrovane.
Mnohem jednodussi jsou utoky na SS7 kde si pekne poctete bez sifrovani ( pravdepodobne mimo CR).
GSM vas vsak za tri roky uz trapit v CR nejspis nebude.
Mnohem jednodussi je trojan v mobilu nebo gumova hadice.
Zajimave pak mohou byt utoky v roamingu v nejake dire po meteoritu.
Pro A5/0-2 to umíš udělat realtime pasivně (A5/2 měla u nás uměle přidaný padding a ponechala 64b klíče), krabička na to stojí miliony a koupíš jí na "trhu" docela běžně. Pro A5/3 kdo ví, nabídky na černém trhu existují, ale víc o tom nevím, Kasumi s 128b klíčem je pořád asi velké sousto. Je to 10 let co se objevili krabičky pro luštění A5/1 v reálném čase s rainbow table, protože utekla sůl, kterou používá. U nás se A5/3 objevila až s UMTS, ještě nedávno se v GSM nepoužívala, vidím masivní používání až s přechodem na open RAN (nemám ale teď v ruce čísla, kdy došlo k přechodu na A5/3 a do jaké míry, útok o kterém jsem mluvil se stal v roce 2018 v síti TMO).
Nebo máš lepší info jak je na tom A5/3 v GSM u našich operátorů? Vím, že to je v open RANu, ten ale není nasazený ještě všude. Ano, v řadě zemí je právě ještě SS7 běžně používaný, tam ty útoky, které jsem popsal jsou dost časté.
Ano, trojan na Adroidu (iOS je proti nim solidně odolný nikoliv ale nepřekonatelný, jen se to asi nevyplácí masivně dělat) je velmi častý způsob jak se obchází zabezpečení, sms nejsou v telefonu nijak rozumně chráněné a až v posledních verzích lze vyžadovat pro aplikace samotné určitou míru ochrany od OS.
