Poslední příspěvky1
Odkladiště / Re:Zkušenosti s internetovým bankovnictvím
« Poslední příspěvek od _Tomáš_ kdy Dnes v 11:54:10 »Jak přesně ten útočník odposlechne a změní TLS komunikaci mezi serverem a prohlížečem? To už by ten počítač nebo prohlížeč musel být předem napadený, nebo jde jen o to, že neznalý uživatel slepě potvrdí podvrhnutý certifikát, což by mobilní aplikace vůbec nenabízela?
Co jsem viděl, není to vůbec sofistikované. Únos DNS, pokus o přesměrování v http, MiTM pro web banky, uživatel si to odklikne, ona i úspěšnost 2 % může být dost značná. Vždyť i vzdělaný kolegové z IT oboru běžně odkliknou chybu certifikátu, protože to vidí pořád. Captive portál je dobrá cesta, jak dělat MitM, můžeš se maskovat jako stránka, kterou navštěvuje uživatel, uživatelé jsou nepozorní (logicky). O2 a jeho akce s unášením http provozu jen učí lidi, že to je vlastně běžné a přesně u toho můžeme vidět, jak vlastně to je úspěšné, že uživatelé vůbec netuší co se děje a že to je špatně.
Stejně tak se hodně používají pluginy do prohlížeče (asi spíše ve světě, u nás takových útoků jsem viděl minimum), pokud se ti na síť přihlásí někdo, u koho máš pod kontrolou plugin, jsi na dobré cestě.
Na veřejné wifi nechodíš do bankovnictví, protože se nudíš nebo si chceš zvednout náladu svým zůstatkem, ale protože potřebuješ rychle něco vyřešit, v takovém případě jsi ochotný více rizkovat a být nepozorný. Mysli na to, že taková wifi může fungovat týdny, měsíce bez povšimnutí a vůbec není snadné jí odhalit a ještě najít vlastníka.
Ano, mobilní bankovní aplikace používají vlastní cert pinning a validují si, že certifikát ve správné cestě, nedovolní komunikaci (aspoň co jsem zkoušel u velké pětky). V prohlížeči máš dost omezené možnosti jak něco vynutit (HPKP nám umřel), Google is IP adresy a certifikáty pro své služby kvůli tomu schoval přímo do zdrojového kódu prohlížeče, opravdu systémové řešení. Microsoft ve Windows zase pro některé své interní služby ignoruje nastavení VPN, DNS a komunikuje přímo, opět super řešení, když to nenabízí i aplikacím.
