Windows ví, kde surfujete (i https)

[Tomas Matejicek]

Mám tady nějaké Windows 8.1
Když v jakémkoli prohlížeči (google chrome, mozilla firefox) navštívím stránku ze storu microsoftu, wokna mi automaticky spustí aplikaci Microsoft Store a v ní načtou info o dané aplikaci.

Příklad:
https://www.microsoft.com/en-us/store/apps/adobe-photoshop-express/9wzdncrfj27n

Jak to technicky dělají? Měl jsem za to, že surfování po https je snad z principu neodposlechnutelné.

[Reklama]

[Withy14]

V hlavičce je nějaký příznak, který se po načtení automaticky otevře v příslušné aplikaci, pokud na daném stroji exituje, jinak se to otevře normálně v browseru (otestováno na desktopu i na serveru). Možná to říkám špatně (snad teda až ne tak moc), ale rozhodně tady nejde o nějaký odposlech šifrované komunikace.

Na druhou stranu - otevření stránky s Windows aplikací vede do aplikace Windows Store, stejný poskytovatel, stejný certifikát. To samé se děje i v Google Apps a nejinak tomu podle mě bude i u AppStore, taky budou směřovat na defaultní aplikaci a až pak na web.

[bflmpsswž]

Hm, a to nemá Firefox vlastní HTTPs stack? Nebo to přenechá té aplikaci dobrovolně?

[tomasfuk]

Ovládací panely\Všechny položky Ovládacích panelů\Výchozí programy\Nastavit přidružení

Žeby nastavení protokolů?

[gamer]

Když v jakémkoli prohlížeči (google chrome, mozilla firefox) navštívím stránku ze storu MICROSOFTU, wokna MICROSOFTU mi automaticky spustí aplikaci MICROSOFT Store a v ní načtou info o dané aplikaci.

Jak to technicky dělají? Měl jsem za to, že surfování po https je snad z principu neodposlechnutelné.

No jak by to asi dělali? Microsoft má všechna data, která přenášíš, oni to nemusí odposlouchávat po cestě, tak nějak z principu se to dešifruje u nich .

[Reklama]

[Sten]

Nevím, jak to je udělané ve Windows, na Androidu to funguje tak, že aplikace se nahlásí, že se v ní má otevírat určité URI (může specifikovat i část cesty), pak se zobrazí v pickeru, protože prohlížeč také hlásí, že se tam má otevírat to URL, a uživatel si může vybrat, kterou použije. Což znamená, že se všechna URL, která navštívíte, se předávají systému. Což zase tolik nevadí, protože systém si ji může přečíst třeba z adresního řádku, ze screenshotů či přímo z paměti, prostě jen tím, že má přístup všude. Pokud nějakému systému nevěříte, tak nemůžete věřit ničemu, co v něm běží.

V iOS je to trochu primitivnější a tenhle efekt tam nejde, aplikace tam ohlašují pouze to, že zachytávají určité URI schéma, takže pokud ta aplikace není nainstalována, tak prohlížeč řekne, že neví, jak to schéma má otevřít.

[TKL]

Nejpravděpodobněji přes obsluhu protokolu, jako to např. na Mac OS X je s iTunes, do kterých se automaticky načítají odkazy do Apple Store nebo v Ubuntu odkazy do Centra softwaru. A pak je tu horší varianta, že Win 8 a vyšší nějakým špehovacím procesem visí na aplikacích obsluhujících HTTP/HTTPS a z nich si vytahují data. Což by znamenalo, že šifrování je de facto k ničemu, protože si OS může přímo z browseru vycucnout co chce. Doufám, že to je jen blbý nápad takhle hodinku po obědě a že varianta A je ta správná.

[Sten]

Což by znamenalo, že šifrování je de facto k ničemu, protože si OS může přímo z browseru vycucnout co chce.

Ehm, OS si vždy může z browseru vycucnout, co chce, protože má přístup do všech aplikací a v browseru jsou všechna ta data dešifrovaná. S (ne)funkčností šifrování to nemá nic společného.

[TKL]

Což by znamenalo, že šifrování je de facto k ničemu, protože si OS může přímo z browseru vycucnout co chce.

Ehm, OS si vždy může z browseru vycucnout, co chce, protože má přístup do všech aplikací a v browseru jsou všechna ta data dešifrovaná. S (ne)funkčností šifrování to nemá nic společného.

Samozřejmě, myslel jsem to tak, že pokud je to funkce OS, je to velmi špatné, protože takto se dosud choval hlavně malware.

[k]

Jak to technicky dělají?

Asi Javascriptem, když se zakáže tak se to neotevře. Existuje tedy důvodné podezření že to otevírá prohlížeč.

[Tuxik]

Což by znamenalo, že šifrování je de facto k ničemu, protože si OS může přímo z browseru vycucnout co chce.

Ehm, OS si vždy může z browseru vycucnout, co chce, protože má přístup do všech aplikací a v browseru jsou všechna ta data dešifrovaná. S (ne)funkčností šifrování to nemá nic společného.

Samozřejmě, myslel jsem to tak, že pokud je to funkce OS, je to velmi špatné, protože takto se dosud choval hlavně malware.

1. Windows jsou mallware
2. OS má logicky k přístup k paměti všech spuštěných aplikací. Jak to asi udělat, aby se nedostal k zobrazeným datům? To má prohlížeč zobrazovat šifrovaný stránky?

A pokud je tam JS, asi není nic jednoduššího, než se alespoň zhruba podívat, co to dělá. Pravděpodobně prostě otevře nějakou kravinu typu msdsp://blbaaplikace.microsoft.com, přičemž msdsp je "MS debilní store protokol", kterej je v systému asociovanej na aplikaci MS kšeftu? Je to jen odhad, nemám teď žádnej MS mallware po ruce, ale nepovažoval bych to za zásadní a prostě bych se s tím smířil.
KDYBY NÁHODOU chtěl MS odposlechnout tvou šifrovanou komunikaci, tak si prostě počká, až se dešifruje v paměti a odešle ji. Jenom prosím, NEŘÍKÁM, ŽE TO DĚLÁ, je to jenom teoretická možnost, jak by to šlo na úrovni OS řešit, kdyby to někdo chtěl řešit. Prostě nehledejte v tom složitosti, co vidí uživatel, logicky vidí OS a co vidí OS může logicky vidět každej, kdo ten OS napsal, pokud si na to implementoval funkce.

[black3r]

Jak to technicky dělají?

Asi Javascriptem, když se zakáže tak se to neotevře. Existuje tedy důvodné podezření že to otevírá prohlížeč.

Staci pozriet source code danej stranky... nachadza sa tam takyto pekny riadok..:

Kód [Vybrat] Rozbalit


oneStoreRedirect(oneStoreUserAgent(), document)
            .autoRedirectToNativeStorePdp("cli_redirectFrame", {"threshold":"ms-windows-store://pdp/?productid=9WZDNCRFJ27N\u0026referrer=unistoreweb","win8x":"ms-windows-store:PDP?PFN=AdobeSystemsIncorporated.AdobePhotoshopExpress_ynb6jyjzte8ga\u0026referrer=unistoreweb","phone81":"ms-windows-store:navigate?appid=2ba43182-ba12-42c0-b503-158284f48bf8\u0026referrer=unistoreweb","phone807x":"zune://navigate/?appid=2ba43182-ba12-42c0-b503-158284f48bf8\u0026referrer=unistoreweb"}, '9WZDNCRFJ27N', false, 'Adobe Photoshop Express', true, true, true, true);
[/quote]

v principe, detekuju operacny system podla user-agent-a a javascript-om redirectuju na stranku s protokolom ("ms-windows-store://" pre Win10, "zune://" pre Windows Phone 8.07x atp..) ktory otvara ich Store appka..


[Tuxik]

Jak to technicky dělají?

Asi Javascriptem, když se zakáže tak se to neotevře. Existuje tedy důvodné podezření že to otevírá prohlížeč.

Staci pozriet source code danej stranky... nachadza sa tam takyto pekny riadok..:

Kód [Vybrat] Rozbalit


oneStoreRedirect(oneStoreUserAgent(), document)
            .autoRedirectToNativeStorePdp("cli_redirectFrame", {"threshold":"ms-windows-store://pdp/?productid=9WZDNCRFJ27N\u0026referrer=unistoreweb","win8x":"ms-windows-store:PDP?PFN=AdobeSystemsIncorporated.AdobePhotoshopExpress_ynb6jyjzte8ga\u0026referrer=unistoreweb","phone81":"ms-windows-store:navigate?appid=2ba43182-ba12-42c0-b503-158284f48bf8\u0026referrer=unistoreweb","phone807x":"zune://navigate/?appid=2ba43182-ba12-42c0-b503-158284f48bf8\u0026referrer=unistoreweb"}, '9WZDNCRFJ27N', false, 'Adobe Photoshop Express', true, true, true, true);
[/quote]

v principe, detekuju operacny system podla user-agent-a a javascript-om redirectuju na stranku s protokolom ("ms-windows-store://" pre Win10, "zune://" pre Windows Phone 8.07x atp..) ktory otvara ich Store appka..


lehce OT, ale tohle prostě musím... Já jsem to říkal

[TKL]

lehce OT, ale tohle prostě musím... Já jsem to říkal

Tak ale to myslím bylo každému jasné, že to vyvolá JS, když to je cross-browser :-)
Tomáš měl v původním dotazu na mysli spíše to, jak se to předává té samotné aplikaci - přes obsluhu protokolu.

A je to vyřešeno :-)

[Jenda]

Samozřejmě, myslel jsem to tak, že pokud je to funkce OS, je to velmi špatné, protože takto se dosud choval hlavně malware.

Ve všech OS, co jsem viděl, taková funkce byla. Například v Linuxu se k tomu procesu můžeš připojit pomocí GDB a dumpnout si paměť (včetně šifrovacích klíčů) do souboru.

Nějak mě nenapadá, jak to chceš jinak dělat. OS spravuje paměť, tak se asi dá očekávat, že k ní má přístup.