[Sults]

[Tanel]

Pada sõimab katelt, sellist paranoilist maailmalõpu kuulutamist (mis ei põhine faktidel) ma ka päris kindlasti ei salli siin foorumis.
Nagu ma juba sulle mainisin, too välja konkreetsed tõendid/faktid, mitte et mina ei pea tõestama, et ma pole kaamel

Praegune paranoiline süüdistus pankade suunas (et tegelikult maksekorralduse allkirjastamisega müüd maha oma maja ja ämma) on väga tõsine.
Kas sul on selle tõestuseks ka mõned faktid tuua või on tegemist laest võetud spekulatsiooniga?

Kordan, kui sa suudad seda mulle veenvalt tõestada, liitun sinu klubiga ning aitan tõde ka siin foorumis levitada

[SKG]

Tanel, mis Sults-i jutus nii naeruväärset on? Ta ju tõi välja võimalikke musti stsenaariume, mis võivad ka ID-kaardi kasutamisel juhtuda.

[Sults]

[Tanel]

Naeruväärseks teeb asja paranoiline süüdistus pankade suunas, et tegelikult maksekorralduse allkirjastamisega müüd maha oma maja ja ämma.

[Sults]

[Tanel]

[Sults]

[salasilm66]

tanel tundub raudselt mõne panga palgal või on see lähiajal plaanis. Seletage kasutusvõimalusi nt. välismaal käies, id kaarti kasutada ei saa, mobiil id samuti paljudes võrkudes kasutuskõlbmatu, jääb üle ainult kirvehinnaga pinkalkulaator

[Tomorrow]

[tahanteada]

Sults: Aga alates sellest ajast, kui arvutid ja internet tekkis, on kogu aeg häkkerid rünnanud ja häkkinud igal ajal, igal pool ja kõike, kuhu võib üritada ligi pääseda.

Üsna värske vastav uudis Delfist: "Häkkerid pääsesid ligi Pentagoni kalleimale projektile."

http://www.delfi.ee/news/eesti/eesti_uudised/article.php?id=22947605

[Carl]

Mind on sama asi vaevanud: kuidas ma saan teada, millele ma alla kirjutan weebikeskkonnas?

Kirjutasin ID supporti sellise maili:


Tere,

väga tore mäng ID kaardi promomiseks: http://www.arvutikaitse.ee/loos/

tekkis küsimus, et kuidas digiallkirja andmisel ma tegelikult saan näha,
mida ma allkirjastan ?
Vajutan weebis nupule, küsitake pin2 ja kõik. Samahästi võiksin oma hinge ju
maha müüa.

Ma loodan, et olen millestki väga valesti aru saanud ja tegelikult saab
allkirjastatavat asja kuidagi kontrollida. Kuidas ?



-------- vastus oli selline ------------


Tere

Teie tähelepanek on väga õige - enne allkirjastamist peab alati kindlasti allkirjastatava sisuga tutvuma. Ja seda on Teil ka antud juhul võimalik teha. Loosilehel, kus Teilt küsitakse telefoni ja emaili ja kus Teile pakutakse võimalust allkirjastada mängutingimused kas ID-kaardiga või Mobiil-ID-ga, on üleval rida "Mängutingimused leiad siit", kusjuures sõnale/lingile "siit" vajutades saategi kätte allkirjastatavad mängutingimused - failina reeglid.pdf.

Head ID-kaardi ja Mobiil-ID kasutamist!

Ahto Jaago
Ahto Jaago
AS Sertifitseerimiskeskus
Tarkvarainsener
mob: +372 581 60156
tel. +372 6101 883
e-mail: ahto.jaago@sk.ee



Siis uurisin, et kuidas ma ikkagi näen, et ma tegelikult kirjutan alla samale pdf failile, mida seal saidil näidatakse?


Vastus... emmm.. poolteist aastat kirjutavad nad seda vastust juba.. ootan huviga.
Kui mõni ID kunn seda loeb, siis ticket ID 2457

[Sults]

[Tomorrow]

[tahanteada]

Sults: Selles suhtes Sind kindlasti toetav, et mida rohkem kõikvõimalikke IT (ID) lahendusi tekib, seda suuremaks muutub ka häkkerite huvi ligi pääseda mingisugusele süsteemile või informatsioonile. Ja pole ju vahet, kas see isikutuvastus ja ligipääs käib meil toimiva ID-kaardi või muus süsteemis toimiva mõne teistsuguse elektroonilise tuvastusega.

Uskuda võib, et Pentagonis suudeti kätte saada nii sõrmejälje kui silma iirise tuvastamise info ja siis toimus selle info kasutamine enda huvides. Ei usu, et vastasel korral neile infoserveritele oleks ligi pääsetud.

[Sults]

[Max Powers]

Eks see ole kaupmehe (antud juhul siis pangad) enda otsustada, kuidas nad selles osas käituvad. Samas see, et nad paljud otsused omavahel eelnevalt kokkulepivad on natuke kahtlane.
Võivad nad ju ka tasud jms laua taga omavahel paika panna.
Sama lugu oli ka otsusega mitte lubada alates 01.01.2009 ilma EMV toeta kaardimakse terminale Eestis. Loomulikult lõpetasid nad ammu enne seda kuupäeva EMV toeta kassasüsteemide sertifitseerimise.
Õnneks ei saa nad kuidagi keelata välismaiste pankade teenuste kasutamist kaardimaksete teostamiseks.

[Sults]

[blas]

Häda oli selles, et kodanikud kasutavad e-teenuste tarbeks panga kaudu tuvastamist. E-deklaratsioonil oli lausa ID kaardi banner vist ees, mis tuli esmalt kinni panna.
Ja kogu teema käib tegelikult kasutusharjumuse juurutamise nimel-hakkad panka ID-kaardiga kasutama, hakkad muud ka. Ok, turvalahendused peavad ennetama mitte sabas sörkima
aga sellised kollijutud. Pigem on risk see, et keegi su kaardi tuuri paneb ja poes maksmas käib, kui et paroolikaardiga konto tühjaks teeb (püsiparooli ikka vaja ju). Kui nüüd seda blokkida väitega, et inimesed kannavad püsiparooli koodikaardile kirjutatuna kaasas siis selline inimene kannab oma pinne id kaardile kirjutatuna samuti.

Muide, kas digidoci installimisel antakse jätkuvalt teadet, et 10 allkirja kuus on tasuta ja rohkema eest peab plekkima ning kas kellelegi on rohkemate allkirjade eest arve tulnud:P

[Gizmoz]

[DigeBeni]

Sults,

[Sults]

[someOtherDude]

Sults, kas sa oled täpsemalt tuvunud sertifikaatide ja smart cardide tehnilise poolega? Oskad sa täpsemalt rääkida pahalste rünnetest ID kaardi vastu? Mina ei tea, et oleks võimalik kuidagi privaatvõtit smart cardi pealt kätte saada. Võibolla tead sa midagi rohkem, mil juhul sa võiksid seda täpsustada.

Väheke kirjandust ka:
http://en.wikipedia.org/wiki/Keystroke_logging#Smart_cards

Ühesõnaga PIN koodi võivad nad sul kätte saada küll aga kui keegi pärast PIN koodi kättesaamist ei tule sul hambaid sisse lööma ja ID kaarti ära varastama peaksid suht kaitstud olema igasuguste väärkasutamiste vastu.

[Sults]

[someOtherDude]

Ometi räägid mingitest troojalastest ja asjadest.

Jah tõesti kui sessioon on püsti siis on võimalus seda rünnata aga see on vaid nii kaua kui sessioon on püsti.

Versus, see et su paroolikaardist tehakse pilt või saadakse mingi hulk koode kätte, peale mida on võimalik ilma paroolikaardita juba sessioon püsti tõmmata.

Mille põhjal sa oma pingerea kokku panid täpsemalt? Mida arvestasid turvalisuse juures ja mida mitte? Samamoodi isegi kui su PIN2 kätte saadakse pole võimalik signeerida ilma kaardita asju. Selleks on sul ikkagi vaja füüsilist eset kui ka PIN koodi ehk midagi mis sul on ja midagi mida sa tead. Sellest ka two-factor authentication.

[Sults]

[sakinaga]

Sults, kehv kõhutunne

[Sults]

[someOtherDude]

[Sults]

[Carl]

Kuna kasutasin just ühe töö automatiseerimiseks softi, mis hiirt-klaverit liigutas, siis tekkis siit idee.
Oletame, et keylogeriga on kätte saadud panga kasutajatunnus, pin1 ja pin2 varasemast ajast.

ID kaart on kasutajal arvutis (kas pidevalt või siis softi käivitamise triger on kaardi sisestamine).
Kliendi masinaks on suvaline windoosa koos toimiva ID rakendusega.

Soft laseb browseri käima, trükib panga aadressi, trükib kasutajatunnuse ning klikib "sisene ID kaardiga". Trükib PIN koodi. Sisestab maksekorralduse, trükib pin2 ja teeb ülekande ära. Sulgeb browseri.
Nett on enamikel suht kiire, võibolla kannatab selle nii ruttu ära teha, et kasutaja väga ei laksa lahtigi, mis toimumas on.


Kogu mu jutt on loomulikult tühi teooria. Esimesel võimalusel katsetan ära.
PS. kuskohast saab normaalse hinnaga oma keyboardiga idkaardi lugejaid? Hetkel tundub see kõige parema lahendusena.

[xin Zeran]

someOtherDude, ole nii tore ja loe ka eelnevad postitused läbi ja palun tee seda mõttega.
Sultsi poolt välja toodud argumendid on vägagi kehtivad ja teostatavad. Siia maani pole suutnud siit teemast välja lugeda pädevaid vastuargumente Sultsi poolt toodud teooriate kohta.
Kõik nõuavad tõestust. Tore, ma tahaksin ka neid näha, kuid MITTE KEEGI pole neid siia maani esitanud. Ükski pank ega organisatsioon pole avalikustanud numbreid ühe, teise või kolmanda turvameetmete rakendamiste kohta. Sults on samas enda seiskohti väga pädevalt ja veenvalt argumenteerinud, kus paljud teised ainult tühja lahmivad ja isiklikuks muutuvad.

[Smith]

[Sults]

[Carl]

[someOtherDude]

[electron]

[someOtherDude]

[tahanteada]

Tegelikult polegi küsimus selles, et kas muugitakse ja häkitakse. Küsimus on selles, et kas lubatakse või keelatakse vastava informatsiooni avaldamist või mitte. Ja nii on see kogu aeg läbi ajaloo olnud. Kui vanasti mindi raudkangiga panga keldris oleva rahaseifi kallale, siis nüüd tehakse sedasama moodsa "Interneti-IT-kangi" kaasabil. Muud vahet polegi 8)

[Sults]

Ma siin oma eelneva kõhutunde jutu asemel pakun välja natuke "teaduslikuma" riskimaatriksi, millel minu pakutud autentimisviiside järjestus põhineb. (Selgituseks: mida rohelisem, seda parem näitaja, mida punasem, seda halvem). Loodan, et on loetav.

Spoiler

[someOtherDude]

[Sults]

[someOtherDude]

[Sults]

[someOtherDude]

Vaata asi on sedasi. Ükski pahalane ei hakka sulle mingeid lepinguid väänama. Sest hiljem nad ei tule seda ju kohtusse vaidlustama eksole. Seega see krdi kohustuste väide põhineb ainult sellel alusel, et pangal on mingi huvi sind lepinguga tüssata. Kui sa seda kardad siis palun ära allkirjasta ID kaardiga dokumente. Aga sellest hirmust ei tulene ID-kaardi ebaturvalisus. Pank saab samamoodi paljude muude vahenditega sulle käkki keerata, kui tahab. Ometi sa ajad pangaga asju (ma eeldan), seega mingi usalduse on nad sinu silmis siis ära teeninud? Miks sa arvad et nad lambist mingeid lepinguid allkirjastama hakkavad.

[Sults]

[someOtherDude]

[Sults]

[someOtherDude]

[Sults]