Neviditelný pes První český ryze internetový deník. Založeno 23. dubna 1996

Odborna uroven clanku

Pro cloveka neznaleho je ten clanek bezpochyby prinosem. Ale uz jen trochu znaleho cloveka zarazi nasledujici tvrzeni napr. ohledne elektronickeho klice: "Nabourání této možnosti zabezpečení je možné pouze při fyzické krádeži tohoto klíče od jeho držitele a vyzrazení PIN kódu pro přístup do těchto elektronických kalkulaček." To samozrejme neni pravda. Nekdo se Vam naboura do pocitace a zajisti, ze misto se svou bankou budete komunikovat s jeho "proxy bankou", ktera bude prikazy preposilat vasi bance. Vy zadate prikaz pro prevod 1000 Kc na ucet X "proxy bance", ta vyda prikaz na prevod 1 mil Kc na ucet Y vasi bance, atd. Vase banka si vyzada potvrzovaci kod na 1 mil Kc, ale "proxy banka" ho bude prezentovat jako kod na 1000 Kc ... Samozrejme je pracne proxy banku naprogramovat, a proto se tento utok bezne nepouziva. Ale v principu mozny je. O odborne zpusobilosti autoru nehodlam polemizovat, ale musim rict, ze jiste pochybnosti ve me hlodaji.

Re: Odborna uroven clanku

To co pisete je samozrejme nesmysl, potvrzovaci kod v sobe obsahuje i vysi zpracovavaneho prikazu, takze vygenerovany kod pro 1000 Kc nikdy nebude stejny jako ten nutny pro prevod 1 mil Kc podstrceny tou Vasi proxy bankou. Proto docela pochybuju o Vasi odborne urovni :-) ... Kdyby to totiz bylo tak jednoduche, jak pisete, davno by to nekdo pouzil. Ta "proxy banka", o ktere pisete, se samozrejme bezne vyuziva jako fishing via e-maily a nasledne slouzi pro vylakani zakladnich pristupovych udaju, ci cisla karet apod.

Ja jsem tento clanek pochopil jako vseobecnou informaci pro nezkusene uzivatele, nebot tech je v teto republice stale jeste hodne. Ja sam se setkavam s lidmi, kteri proste nevedi, jak si zajistit rychly pristup ke svym financim (a to nejen v tehle republice). Jsou pak prekvapeni, co vsechno jsou jim banky schopny naslibovat a treba i nesplnit - viz jeden z webu autora, ktery se temito problemy primo zabyva - tam uz jsem se ted mrknul a nestacil jsem se divit.

Odborny clanek na tema sifrovani a cryptovani si pak prectu primo na forech a webech tomu primo urcenych ... takze na tenhle clanek bych tak rozhodne nepohlizel. Honza.

Re: Re: Odborna uroven clanku

Obavam se, ze jste to nepochopil. Vase banka dostane od proxy banky prikaz na 1 mil. Kc. Vygeneruje potvrzovaci kod na 1 mil Kc a zasle ho proxy bance. Ta ho ukaze zakaznikovi, ale bude ho prezentovat jako potvrzovaci kod pro 1000 Kc. Zakaznik to cislo vytuka na kalkulacce a proxy bance posle zobrazene cislo. Ta ho proste jen preposle Vasi bance. Proste trik je v tom, ze ten potvrzovaci kod sice obsahuje vysi prikazu, ale zakaznik si toho nemusi vsimnout. Napr. banka, kterou uz 4 roky pouzivam, nikde neuvadi, jaky je vztah mezi potvrzovacim kodem a prevadenou castkou. Vase banka to mozna uvadi.

Re: Re: Re: Odborna uroven clanku

Naopak jste pouziti elektronickeho klice nepochopil Vy. Do klice uzivatel nezadava nejake hausnumero od banky, ale jednotlive atributy platby. Typocky zdrojovy a cilovy ucet a castku. Timto zpusobem nema sanci proxy banka ovlivnit kam a kolik penez bude prevedeno. Pokud se pokusi platbu presmerovat na jiny ucet tak bude kod vygenerovany klientem neplatny.

Re: Re: Re: Re: Odborna uroven clanku

Je mozne, ze ve svych uvahach nekde delam chybu, nicmene zatim si ji nejsem vedom. Uvazte nasledujici priklady komunikace se Swedbank:

1. Prevadim 100 000. Banka generuje kod "1000 0000", ktery zadavam do kalkulatoru a vysledek posilam zpet.

2. Prevadim 10 000 000. Banka generuje kod "1000 0000", protoze pri platbach nad 1 mil. Kr halere z kodu vynechava.

Do kalkulacky zadavam stejny kod jako v pripade prevodu 100 000 Kr. Uz chapete, ze ten kod je nejednoznacny?

(Priklady jsem netestoval, protoze tolik penez na konte nemam a uvedene pokusy by bezpochyby vzbudily pozornost vedeni banky.) Nicmene ta diskuze je vicemene akademicka, protoze utocnik si muze pockat na platbu, ktera je dostatecne vysoka a tu prevest na svuj ucet. Samozrejme je nutne, aby utocnik napred definoval svuj cilovy ucet. Ve Swedbank je kazdy cilovy ucet nutne potvrdit kodem kalkulacky. Nikde ale neni definovano, jak souvisi potvrzovaci kod a cilovy ucet. Pokud proxy banka nabidne logicky vypadajici cislo, pak si toho podvodu bezny zakaznik stezi vsimne. Mozna popisujete elektronicke klice ceskych bank, ale Swedbank zadne dumyslne mechanismy zakodovani vyse platby a ciloveho uctu do potvrzovaciho kodu nema.

Re: Re: Re: Re: Re: Odborna uroven clanku

Aha, takže jsme nakonec zjistili, že až tak jistý se svým původním tvrzením nejste. Přitom váš první příspěvek kritizoval odbornou úroveň původního článku. To se nedělá, to od vás není hezké zzz