|
Hinnavaatlus
:: Foorum
:: Uudised
:: Ärifoorumid
:: HV F1 ennustusvõistlus
:: Pangalink
:: Telekavad
:: HV toote otsing
|
|
| autor |
|
Tanel
HV Guru
liitunud: 01.10.2001
|
11.12.2012 00:28:32
RIA: ID-kaardi lugejad tuleks turvalisemate vastu vahetada |
|
|
Riigi Infosüsteemide Ameti (RIA) test tuvastas, et kümmekond aastat Eestis kasutusel olnud ID-kaardi lugejad võimaldavad pahavaraga nakatunud arvutite puhul PIN-koodide vargust ning seetõttu tuleks need ametiasutustes turvalisemate vastu välja vahetada. RIA peadirektori asetäitja küberturbe alal Toomas Vaks ütles, et ühtegi sellist ID-kaardi taristu, PIN- või PUK-koodi vastu suunatud rünnakut tänaseni Eestis tuvastatud ei ole ja algatusega püütakse lihtsalt riske vähendada. Taoliste intsidentide esinemise oht suureneb aga aasta-aastalt, sest ID-kaarti kasutatakse üha rohkem ja tehingute kaalukus kasvab.
Nimelt kasutatakse praegu nii kontorites kui ka kodudes peamiselt USB-liidese abil arvuti külge kinnitatud või sisse ehitatud ID-kaardi lugejaid, mille puhul sisestab kasutaja salasõnad ja koodid otse arvutisse. «Kasutaja teadmata installeeritud pahavara võib aga seda tegevust teoreetiliselt «pealt kuulata». Näiteks kui arvuti on nakatatud klahvikuulaja pahavaraga (keylogger), on oht, et kasutatavad salasõnad satuvad kolmandate isikute kätte,» märgib RIA oma põhjenduses.
Loe edasi Postimehest.
|
|
| Kommentaarid: 464 loe/lisa |
Kasutajad arvavad: |
   |
:: |
5 :: |
7 :: |
361 |
|
| tagasi üles |
|
 |
gen
HV kasutaja
liitunud: 04.01.2006
|
|
11.12.2012 00:32:18
|
|
|
| aga millised on need turvalisemad ID kaardi lugejad, oleks võinud need ka välja tuua, tavakasutajad ei oskagi ju endale valida "turvalist" id kaardi lugejat
|
|
| Kommentaarid: 22 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
21 |
|
| tagasi üles |
|
|
Tanel
HV Guru
liitunud: 01.10.2001
|
|
| Kommentaarid: 464 loe/lisa |
Kasutajad arvavad: |
|
:: |
5 :: |
7 :: |
361 |
|
| tagasi üles |
|
|
netmaster
HV kasutaja
liitunud: 21.08.2004
|
|
11.12.2012 00:45:24
|
|
|
| tsitaat: |
Riigi Infosüsteemide Ameti (RIA) test tuvastas ...
|
klahvivajutuste pealtkuulamise võimaluse "tuvastamiseks" kulus RIA'l 10 aastat? Uskumatu ...
|
|
| Kommentaarid: 2 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
2 |
|
| tagasi üles |
|
|
Tanel
HV Guru
liitunud: 01.10.2001
|
|
| Kommentaarid: 464 loe/lisa |
Kasutajad arvavad: |
|
:: |
5 :: |
7 :: |
361 |
|
| tagasi üles |
|
|
jeesus188
kodustatud
liitunud: 14.04.2003
|
|
11.12.2012 01:19:58
|
|
|
ja loomulikult ka 7 korda rohkem raha välja käia 
| tsitaat: |
| Registrite ja Infosüsteemide Keskuse eestvõttel kogutaksegi nüüd riigiasutustelt teavet selle kohta, kui paljudele lugejatele tuleks riigihange korraldada. Esialgu tähendab see tõenäoliselt kopsakat väljaminekut, sest Postimehe analüüs näitas, et kui tavaline lugeja maksab jaemüügis 6 kuni 30 eurot, siis RIA nõudmistele vastav ligi 70. |
suure tõenäosusega kodudes neid vaevalt vahetama hakatakse
_________________
This message was sent from space using stargate
Inimene on troopiline AHV  Aga kes on naine? Valge on ka inimene !
"Vaese inimese juttu räägid. Kui tundub kallis, siis on see kellelegi teisele mõeldud" |
|
| Kommentaarid: 71 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
64 |
|
| tagasi üles |
|
|
karuanton
HV vaatleja
liitunud: 29.10.2004
|
|
11.12.2012 02:02:44
|
|
|
Njah, keegi soovib taas mõni miljon id kaardi lugejat müüa, mis seal ikka, kuulutame aga vanad halvaks ja ebaturvaliseks ning ainult ühed uued turvaliseks, mida ainult ühest firmast osta saab 
_________________
GSM: 56 224693 |
|
| Kommentaarid: 4 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
4 |
|
| tagasi üles |
|
|
Sults
HV veteran
liitunud: 06.09.2004
|
|
11.12.2012 05:36:59
|
|
|
| Kui sellele probleemile sai juba ALGUSES tähelepanu juhitud, siis valetati tuimalt, et ohtu pole. Nüüd siis hakatakse vaikselt tunnistama, kui sitt on tuhandetele pähe määritud.
|
|
| Kommentaarid: 38 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
35 |
|
| tagasi üles |
|
|
Tomorrow
HV Guru
liitunud: 08.02.2006
|
|
| Kommentaarid: 92 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
82 |
|
| tagasi üles |
|
|
Sults
HV veteran
liitunud: 06.09.2004
|
|
11.12.2012 06:07:15
|
|
|
| Tomorrow kirjutas: |
| tsitaat: |
| Tõsi, tehinguid salasõnade varastaja ohvri nimel siiski teha ei saa, sest selleks on jätkuvalt vaja ka ID-kaarti. |
Nuff said  |
Selle ID-kaardi pistab kasutaja ju ise lugejasse ja pahavara saab seda kaarti samal ajal vabalt kasutada, kui kasutaja oma pangatoiminguid teeb.
|
|
| Kommentaarid: 38 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
35 |
|
| tagasi üles |
|
|
Magic
HV Guru
liitunud: 28.12.2001
|
|
11.12.2012 07:54:13
|
|
|
| Tanel kirjutas: |
| tsitaat: |
klahvivajutuste pealtkuulamise võimaluse "tuvastamiseks" kulus RIA'l 10 aastat?
|
vaevalt. Lihtsalt nüüd kus ID-kaardi kasutamine on eriti massiliseks muutunud, tuleb ka võimalikele ohtudele rohkem tähelepanu pöörata. |
Hull avastus jah, et 2 püsivat koodi on ebaturvalised ja kergesti leitavad ajaloost 
|
|
| Kommentaarid: 235 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
201 |
|
| tagasi üles |
|
|
Tomorrow
HV Guru
liitunud: 08.02.2006
|
|
11.12.2012 09:14:10
|
|
|
| Sults kirjutas: |
| Tomorrow kirjutas: |
| tsitaat: |
| Tõsi, tehinguid salasõnade varastaja ohvri nimel siiski teha ei saa, sest selleks on jätkuvalt vaja ka ID-kaarti. |
Nuff said |
Selle ID-kaardi pistab kasutaja ju ise lugejasse ja pahavara saab seda kaarti samal ajal vabalt kasutada, kui kasutaja oma pangatoiminguid teeb. |
Ma ei hakka sinuga pikka vaidlust arendama teades kui biased sa kogu selle ID majanduse vastu oled, aga jutt käis antud juhul keyloggeritest. No ja kui keylogger saabki koodid kätte?
Füüsilist kaarti ju ikkagi pole ja seega on need koodid kasutud.
|
|
| Kommentaarid: 92 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
82 |
|
| tagasi üles |
|
|
wicked
HV Guru
liitunud: 06.11.2001
|
|
| Kommentaarid: 68 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
1 :: |
63 |
|
| tagasi üles |
|
|
Amdfan
HV Guru
liitunud: 23.06.2002
|
|
11.12.2012 09:36:24
|
|
|
Sellel puudub ju eraldi pinpad. Tegemist tavalise klaviatuuriga, millel ID-kaardi lugeja küljes.
|
|
| Kommentaarid: 362 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
1 :: |
330 |
|
| tagasi üles |
|
|
KohviPaus
Kreisi kasutaja
liitunud: 29.01.2012
|
|
11.12.2012 09:37:56
|
|
|
| Sults kirjutas: |
| Tomorrow kirjutas: |
| tsitaat: |
| Tõsi, tehinguid salasõnade varastaja ohvri nimel siiski teha ei saa, sest selleks on jätkuvalt vaja ka ID-kaarti. |
Nuff said |
Selle ID-kaardi pistab kasutaja ju ise lugejasse ja pahavara saab seda kaarti samal ajal vabalt kasutada, kui kasutaja oma pangatoiminguid teeb. |
Sellisel juhul oleks mind praeguseks juba pea 10x paljaks varastatud ja mingeid ime tehinguid tehtud. ID-kaart istub mul 24/7 mingis SEB'st saadud lugejas aga näe, pole mingeid probleeme.
|
|
| Kommentaarid: 14 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
12 |
|
| tagasi üles |
|
|
Mnator
HV Guru
liitunud: 18.10.2007
|
|
11.12.2012 09:38:18
|
|
|
|
praeguse teema raames ei, sest keylogger saab sealt kõik klahvivajutused kätte
|
|
| Kommentaarid: 1 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
1 |
|
| tagasi üles |
|
|
pisi
HV vaatleja
liitunud: 14.08.2003
|
|
| tagasi üles |
|
|
WAV
HV veteran
liitunud: 02.03.2010
|
|
11.12.2012 10:11:55
|
|
|
| Njah, aga millised on sel juhul arvuti sisesed (sisseehitatud) turvalised ID-kaardilugejad? On selliseid mudeleid üldse saadaval, et siis miski lauaarvuti 3.5"/5.25" või sülearvuti laiendusslotti lisatav asi kus veel kuidagimoodi klaviatuur ka küljes (kui see sinna kuidagi ära mahutada õnnestub)?
|
|
| Kommentaarid: 7 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
7 |
|
| tagasi üles |
|
|
heikis
HV Guru
liitunud: 17.03.2003
|
|
| Kommentaarid: 338 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
4 :: |
290 |
|
| tagasi üles |
|
|
Sults
HV veteran
liitunud: 06.09.2004
|
|
11.12.2012 10:34:18
|
|
|
| Tomorrow kirjutas: |
Ma ei hakka sinuga pikka vaidlust arendama teades kui biased sa kogu selle ID majanduse vastu oled, aga jutt käis antud juhul keyloggeritest. No ja kui keylogger saabki koodid kätte?
Füüsilist kaarti ju ikkagi pole ja seega on need koodid kasutud. |
Kuidas ei ole ID-kaarti? Milleks sa siis neid PINe sisestad, mida Keylogger kinni püüab? Küllap sul on PINi sisestamise ajal ikka kaart masinas. Ja seda saab ära kasutada ka pahavara, mis keyloggeriga sinu PINid kätte saab.
|
|
| Kommentaarid: 38 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
35 |
|
| tagasi üles |
|
|
Ho Ho
HV Guru
liitunud: 16.02.2002
|
|
11.12.2012 10:43:58
|
|
|
See on juba kasutaja enda lohakus kui kaardi masinasse vedelema jätab.
_________________
Teach a man to reason and he'll think for a lifetime
Common sense - so rare that it's a damn superpower
Vaadates paljude inimeste sõnavõtte siin ja mujal jääb üle ainult klassikuid tsiteerida - "I weep for humanity" |
|
| Kommentaarid: 106 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
1 :: |
86 |
|
| tagasi üles |
|
|
Tiim
HV veteran
liitunud: 11.10.2006
|
|
11.12.2012 10:46:08
|
|
|
no raamatukogutädidel ja firmades, klienditeenindajad pidevalt jätavad kaardi sisse
_________________
mida sa vahid mu allkirja, AHV raisk |
|
| Kommentaarid: 49 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
43 |
|
| tagasi üles |
|
|
KohviPaus
Kreisi kasutaja
liitunud: 29.01.2012
|
|
11.12.2012 10:51:09
|
|
|
| Ho Ho, Ma ei saa siiani aru mis selles halba on? Pigem on lohakus see kui sa suudad üldse mingi keyloggeri üles korjata kuskilt.
|
|
| Kommentaarid: 14 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
12 |
|
| tagasi üles |
|
|
Ho Ho
HV Guru
liitunud: 16.02.2002
|
|
11.12.2012 10:54:15
|
|
|
See on samal tasemel võtmete või telefoni lohakile jätmisega. Mitte just alati ei saa garanteerida, et läheduses pole mõnd kellele need huvi võiks pakkuda. Lihtsalt arvutitega kaob ära kodu näiline turvaline keskkond.
_________________
Teach a man to reason and he'll think for a lifetime
Common sense - so rare that it's a damn superpower
Vaadates paljude inimeste sõnavõtte siin ja mujal jääb üle ainult klassikuid tsiteerida - "I weep for humanity" |
|
| Kommentaarid: 106 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
1 :: |
86 |
|
| tagasi üles |
|
|
KohviPaus
Kreisi kasutaja
liitunud: 29.01.2012
|
|
11.12.2012 11:00:16
|
|
|
| Eks see kui sa ID kaardi nii võõras keskonnas endast eemale jätad on juba tõesti lohakus aga see kui ta sul kodus lugejas istub ei oma küll mingit tähtsust.
|
|
| Kommentaarid: 14 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
12 |
|
| tagasi üles |
|
|
Sults
HV veteran
liitunud: 06.09.2004
|
|
11.12.2012 11:01:42
|
|
|
| Ho Ho kirjutas: |
| See on juba kasutaja enda lohakus kui kaardi masinasse vedelema jätab. |
Aga kuidas ta ise kaarti kasutab? Peab ju kaardi lugejasse pistma selleks. Ja pahavara saab ju siis kohe oma tehingud ära teha.
| KohviPaus kirjutas: |
| Sellisel juhul oleks mind praeguseks juba pea 10x paljaks varastatud ja mingeid ime tehinguid tehtud. ID-kaart istub mul 24/7 mingis SEB'st saadud lugejas aga näe, pole mingeid probleeme. |
Minul polnud vähimatki probleemi ka koodikaardiga. Ei varastatud raha kontolt ära. Mida me sellest järeldada saame koodikaartide turvalisuse kohta?
|
|
| Kommentaarid: 38 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
35 |
|
| tagasi üles |
|
|
KohviPaus
Kreisi kasutaja
liitunud: 29.01.2012
|
|
11.12.2012 11:06:42
|
|
|
| Sults, Nagu ma enne juba mainisin, see kui sa suudad endale kuskilt keyloggeri muretseda siis ei ole see küll kuskilt otsast ID-Kaardi turvaviga. Puhtalt tihendi probleem ja süüdistada pole küll kedagi teist peale enda.
|
|
| Kommentaarid: 14 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
12 |
|
| tagasi üles |
|
|
Sults
HV veteran
liitunud: 06.09.2004
|
|
11.12.2012 11:14:14
|
|
|
| KohviPaus kirjutas: |
| Sults, Nagu ma enne juba mainisin, see kui sa suudad endale kuskilt keyloggeri muretseda siis ei ole see küll kuskilt otsast ID-Kaardi turvaviga. Puhtalt tihendi probleem ja süüdistada pole küll kedagi teist peale enda. |
Sama kehtib ka koodikaartide kohta. Miks siis ometi koodikaartide limiiti piirati?
|
|
| Kommentaarid: 38 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
35 |
|
| tagasi üles |
|
|
KohviPaus
Kreisi kasutaja
liitunud: 29.01.2012
|
|
11.12.2012 11:19:36
|
|
|
| Kust ma tean? Mine küsi pangast.
|
|
| Kommentaarid: 14 loe/lisa |
Kasutajad arvavad: |
|
:: |
1 :: |
1 :: |
12 |
|
| tagasi üles |
|
|
Tanel
HV Guru
liitunud: 01.10.2001
|
|
11.12.2012 11:25:56
|
|
|
Kas ei piiratud mitte korduvkasutatavate koodidega kaartide limiite?
Sampol või Nordeal oli veel aastaid tagasi ühekordsed koodid paberil, ma ei tea kuidas nüüd on.
Need on iseenesest küll väga turvalised, aga suht ebamugav kasutada, A4 pabereid enda lähedal hoida ja kaasas vedada.
Sellist keyloggerit või õigemini programmi, mis suudaks ID-kaarti kuritarvitada nähtamatult kasutaja teadmata, pole teadaolevalt (veel) olemas.
Loomulikult ei saa seda välistada, et selline programm võidakse kunagi tulevikus luua, kuna nüüd on kriitiline mass kasutajaid olemas, järelikult vähemalt teoreetiline huvi selleks kurikaeladel olemas.
Kui on väikenegi kahtlus sees, et kasutatav arvuti pole puhas, siis kasutada mobiil-ID. Arvuti puhtuse ja turvalisuse eest peab aga loomulikult konstantselt hoolitsema.
|
|
| Kommentaarid: 464 loe/lisa |
Kasutajad arvavad: |
|
:: |
5 :: |
7 :: |
361 |
|
| tagasi üles |
|
|
LKits
HV Guru
liitunud: 06.09.2007
|
|
11.12.2012 11:26:10
|
|
|
See on ju igivana probleem - täpselt sama pangakaartidega. Konkreetset keyloggerit küll ei kasutata (vahel ka kasutatakse - mingid paneelid), aga kaamera teeb oma töö. Siis varastatakse kaart ära ja halba kui palju.
Kas see PIN-padiga kaardilugeja ei söödagi siis arvutile numbreid otse ette, vaid mingil moel krüpteeritult? Seda häkkida ei saagi? Tegemist ju lihtlabase klaviatuuriga, mis töötab enamvähem samal põhimõttel, mis arvutiklaviatuurgi. Kogu info käib ikkagi ju läbi arvuti ja kui häkkerprogramm on arvutis, siis saab ju kõike infot ikkagi mõjutada/salvestada.
_________________
 itLahendused - Arvutite remont ja hooldus, veebilehtede loomine, soodne veebimajutus. Võta ühendust! Tel: +372 555 268 97 ja e-post info@itlahendused.ee |
|
| Kommentaarid: 13 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
13 |
|
| tagasi üles |
|
|
Tanel
HV Guru
liitunud: 01.10.2001
|
|
11.12.2012 11:28:06
|
|
|
| tsitaat: |
Kas see PIN-padiga kaardilugeja ei söödagi siis arvutile numbreid otse ette
|
eraldiseisev seade on, klahvivajutused ei jõua arvutini.
|
|
| Kommentaarid: 464 loe/lisa |
Kasutajad arvavad: |
|
:: |
5 :: |
7 :: |
361 |
|
| tagasi üles |
|
|
LKits
HV Guru
liitunud: 06.09.2007
|
|
| Kommentaarid: 13 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
13 |
|
| tagasi üles |
|
|
Tanel
HV Guru
liitunud: 01.10.2001
|
|
11.12.2012 11:32:06
|
|
|
| tsitaat: |
Mingil moel peab see info ju arvutini jõudma, sest kogu info liikuvus toimub ju läbi arvuti.
|
arvutini jõuab lihtsalt kinnitus, et PIN kood on õige, kogu tuvastus tehakse ära pinpadis.
Asi on ikka juhtmega. Loe datasheeti: http://pood.trenet.eu/PDF/SCM_datasheet/Dat_SPR332_e.pdf
|
|
| Kommentaarid: 464 loe/lisa |
Kasutajad arvavad: |
|
:: |
5 :: |
7 :: |
361 |
|
| tagasi üles |
|
|
LKits
HV Guru
liitunud: 06.09.2007
|
|
11.12.2012 11:35:00
|
|
|
Mis tähendab, et seadme ja arvuti vaheline ühendus on karmilt krüpteeritud. Ega seda vist lihtsalt lahti ei murra... kergem on ikka spioonitööd jätkata ja kood lihtsate vahendite abil kätte saada - telefonikaamera näiteks.
Ega pangaautomaadi ees telefoniga rääkimist emuleerida pole ka raske - kaamera tööle, näed PIN-koodid ära ja ongi kõik. Nüüd vaja ainult kaart kätte saada.
Lahendus probleemile - pole vaja igas arvutis enda turvaliste kasutajatega sisse logida. Tegin selle enda naisele samuti selgeks, et olgu ikka väga ettevaatlik enne, kui lambikas arvutis ID-kaardiga möllama hakkab. Samuti Facebook, Gmail jne.
_________________
itLahendused - Arvutite remont ja hooldus, veebilehtede loomine, soodne veebimajutus. Võta ühendust! Tel: +372 555 268 97 ja e-post info@itlahendused.ee |
|
| Kommentaarid: 13 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
13 |
|
| tagasi üles |
|
|
sukelduja
HV Guru
liitunud: 14.06.2007
|
|
11.12.2012 11:36:17
|
|
|
Mul isegi vedeleb riiulis üks cardman 8630  . Kahjuks seda uuema softiga käima saada ei õnnestu.
|
|
| Kommentaarid: 25 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
25 |
|
| tagasi üles |
|
|
priitr
HV kasutaja
liitunud: 17.06.2004
|
|
11.12.2012 12:46:30
|
|
|
PIN-klaviatuuriga lugeja tööpõhimõte väga lihtsustatult on umbes selline.
1. ID-kaardil asuvat RSA privaatvõtit kasutada sooviv rakendus 'teab', et tal on kasutada PIN-klaviatuuriga lugeja.
2. Rakendus saadab kaardilugejale käsu, milles andmetena sisaldub kaardile saadetava PIN'i kontrollimise käsu mall - <käsk lugejale <kontrolli pin <pin_andmed>>>, kus pin_andmed asemel on tühjus.
3. Kaardilugeja algatab PIN'i lugemise ja selle lõpetamisel täidab mallis pin_andmed saadud märkidega.
4. Kaardilugeja saadab kaardile käsu <kontrolli pin <pin_andmed>>. Tulemuse - õige/vale - saadab ta rakendusele tagasi. Kogu PIN'i andmete töötlus toimub ainult kaardilugeja sees, arvuti/rakendus PIN'i ei näe.
5. Rakendus saadab kaardile andmed, mida on vaja RSA võtmega töödelda, kaart tagastab soovitud kujul tulemuse.
Tundub kena ja korrektne, eh? Tõepoolest, rakendused enam põhimõtteliselt PIN'i näha ei saa. Kõik korras?
Reaalselt paraku asjad nii ilusad ei ole. Sihitud pahavara seisukohast pole PIN üldse oluliline, oluline on, et kasutaja selle korraks sisestaks ja kaardi autendituna sisse jätaks. Kasutaja mugavuse huvides tohib autentimisvõtit peale PIN'i kontrollimist kasutada, kuni kaardi olek ei muutu (lihtsustatult). Seega saab pahavara endiselt saata autentimispäringuid kaardi omaniku identiteeti kasutades.
PIN2, digiallkirjaga seotud RSA võtme autentimiskood, kehtib ainult 1 kasutuskorra, misjärel tuleb võtme kasutamiseks end uuesti autentida. See välistab PIN-klaviatuuriga lugeja kasutamisel massilise digiallkirjade andmise. Õnnetuseks ei aita aga ka PIN-klaviatuuri olemasolu kuidagi selle probleemi vastu, et kasutaja reaalselt ei tea, milliseid andmeid ta oma digiallkirjaga kinnitab. Suunatud pahavara võib vabalt allkirjastamisele mineva dokumendiräsi sobivama vastu vahetada ja kasutajale näiteks öelda 'ID-kaart tagastas vea'. Või misiganes parasjagu pähe tuleb, vead ID-kaardiga tegelemisel on ju tavalised ja ei tule kasutajale erilise üllatusena.
Turvalisusele ei aita sugugi kaasa ka see, et erinevad rakendused reaalselt jagavad sama kaarti oma tegutsemise käigus. Juba selle kompoti töökorras hoidmine ühtsete lukustusmehanismide puudumisel (CSP vs opensc Windowsi all) tundub üle jõu käiva ülesandena...
Omaette teema on rakenduste käitumine PIN-klaviatuuriga lugejate kasutamisel. 10 aasta jooksul on baastarkvara ja brauserid enam-vähem selgeks saanud, et kõigi kiipkaartide kasutajate autentimise jaoks polegi vaja parooli küsida, aga ilmselt läheb veel palju aastaid enne, kui ka näiteks PIN-vahetused erinevates keskkondades erinevate lugejatega korrektselt toimivad.
Täiesti süsteemivälise isikuna ei oska ma väga kommenteerida RIA otsust just GemPC PinPad valida, aga veider tundub see mulle küll. Nimelt, olles proovinud mitmeid erinevaid class2/3 ccid ja muid kaardilugejaid, on Gemalto GemPC Pinpad üks vähestest, mida _põhimõtteliselt_ ei ole saanud Eesti ID-kaardiga kasutada. Ei Windowsi, ei Linuxi all. Põhjuseks riistvaraline (firmware?) piirang PIN'i pikkusele, mis antud lugeja puhul võib olla kuni 8 sümbolit. ID-kaart teatavasti toetab 4-12 märgilisi PIN'e. Võib ju mõelda, et kui paljudel siis ikka selliseid on, enamasti ju ikka vaid 4-5-8, aga konks on selles, et kaardilugejale saadetavas käsus on PIN-i pikkuste vahemik sees ja see lugeja tagastab vea ID-kaardile sobiva malli saatmisel. Veebistki võib selle probleemi kohta infot leida.
Muidugi ei tea ma hanke detaile; täiesti võimalik, et Gemalto meile sobiva parandatud versiooniga välja tuleb.
Mis on selle jutukese moraal? Võib-olla selles, et kasutage ID-kaarti ainult kohas, kus olete enam-vähem kindel pahavara puudumises. Eriti siis, kui teilt tõepoolest midagi võtta on ja teised sellest teavad.
Mida arvata PIN-klaviatuuriga lugejatest? Võiks öelda, et kui arvutis, kus te ID-kaarti kasutate, pahavara ei ole, siis PIN-klaviatuuriga lugeja midagi juurde ei anna . Kui aga on, siis turvalisuse kasv suunatud rünnete korral PIN-klaviatuuriga lugeja kasutamisel on reaalselt paraku minimaalne.
_________________
Tšudes ne bõvajet. |
|
| Kommentaarid: 27 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
27 |
|
| tagasi üles |
|
|
Mnator
HV Guru
liitunud: 18.10.2007
|
|
11.12.2012 12:59:31
|
|
|
| Võib-olla hoopis olematu turvalisus? Seda lühivärki lugedes tekib kohe küsimus, et miks sellele hüpoteetilisele pahavarale üldse sel juhul pin-kood, emuleerigu vaid muudele rakendustele nagu oleks kaardilugeja vastanud OK..............
|
|
| Kommentaarid: 1 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
1 |
|
| tagasi üles |
|
|
priitr
HV kasutaja
liitunud: 17.06.2004
|
|
11.12.2012 13:08:53
|
|
|
| Mnator kirjutas: |
| Võib-olla hoopis olematu turvalisus? Seda lühivärki lugedes tekib kohe küsimus, et miks sellele hüpoteetilisele pahavarale üldse sel juhul pin-kood, emuleerigu vaid muudele rakendustele nagu oleks kaardilugeja vastanud OK.............. |
Päris nii ei saa, sest ilma korrektse autentimiskoodita ID-kaart ei tööta, s.t ei luba vastavat RSA privaatvõtit kasutada.
_________________
Tšudes ne bõvajet. |
|
| Kommentaarid: 27 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
27 |
|
| tagasi üles |
|
|
Mnator
HV Guru
liitunud: 18.10.2007
|
|
11.12.2012 13:21:33
|
|
|
| See võib olla selle lühivärgi lugemisel tekkinud väärmõte aga pööra minu tekstis tähelepanu sõnale "emuleerigu". S.t. kaart võib selle pahavara tegutsemise momendil siis hoopiski puududa, et tal vaja vaid korraks ära fikseerida milline on õige "OK"-sõnum jne. Aga võib-olla mul tekkis vale mulje.
|
|
| Kommentaarid: 1 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
1 |
|
| tagasi üles |
|
|
priitr
HV kasutaja
liitunud: 17.06.2004
|
|
11.12.2012 13:27:53
|
|
|
| Mnator kirjutas: |
| See võib olla selle lühivärgi lugemisel tekkinud väärmõte aga pööra minu tekstis tähelepanu sõnale "emuleerigu". S.t. kaart võib selle pahavara tegutsemise momendil siis hoopiski puududa, et tal vaja vaid korraks ära fikseerida milline on õige "OK"-sõnum jne. Aga võib-olla mul tekkis vale mulje. |
See "õige/vale" vastus on ainult infoks rakendusele, et kas on mõtet saata andmeid kaardile töötlemiseks. Ainult vastuse baasil ükski turvat tõsiselt võttev rakendus midagi ei otsusta.
_________________
Tšudes ne bõvajet. |
|
| Kommentaarid: 27 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
27 |
|
| tagasi üles |
|
|
mikk36
HV Guru
liitunud: 21.02.2004
|
|
11.12.2012 13:28:37
|
|
|
| Mnator, ID-kaardil asub sinu privaatvõti, millega krüpteeritakse sõnumeid. Kui ID-kaart ei tunne ära, et sellele on õige PIN antud, siis ei ole see nõus ka sinu saadetud sõnumeid krüpteerima.
|
|
| Kommentaarid: 85 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
2 :: |
78 |
|
| tagasi üles |
|
|
LKits
HV Guru
liitunud: 06.09.2007
|
|
| Kommentaarid: 13 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
13 |
|
| tagasi üles |
|
|
Ho Ho
HV Guru
liitunud: 16.02.2002
|
|
11.12.2012 13:32:57
|
|
|
Kogu ID kaardi värgendus on üles ehitud ajatempli peale ning seda ei ole võimalik mingil moel emuleerida. Vajalik on nii ühendus SK serverite kui ka samal ajahetkel füüsilise ID kaardiga.
_________________
Teach a man to reason and he'll think for a lifetime
Common sense - so rare that it's a damn superpower
Vaadates paljude inimeste sõnavõtte siin ja mujal jääb üle ainult klassikuid tsiteerida - "I weep for humanity" |
|
| Kommentaarid: 106 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
1 :: |
86 |
|
| tagasi üles |
|
|
sukelduja
HV Guru
liitunud: 14.06.2007
|
|
11.12.2012 13:35:28
|
|
|
| LKits kirjutas: |
| Üks järgmisi samme olekski siis rakenduste häkkimine. Ehk, kui klient tahab allkirjastada "asdf.doc" faili, siis hoopis allkirjastatakse "qwerty.doc", aga kliendile antakse teada, et "asdf.doc" allkirjastamine ebaõnnestus vms. Selline programmi muutmine pole just väga raske ja kliendil pole õrna aimu ka, et "qwerty.doc" allkirjastatud sai. |
Programmi muutmine pole raske, raske on seda teha nii, et programm jääks signeerituks.
|
|
| Kommentaarid: 25 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
25 |
|
| tagasi üles |
|
|
Mnator
HV Guru
liitunud: 18.10.2007
|
|
11.12.2012 13:38:09
|
|
|
| Te ei saa, nagu näha, korralikult aru minu uitmõttest. Aga loodetavasti see on üldse vale...liiga lihtne, et olla õige....
|
|
| Kommentaarid: 1 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
1 |
|
| tagasi üles |
|
|
LKits
HV Guru
liitunud: 06.09.2007
|
|
| Kommentaarid: 13 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
13 |
|
| tagasi üles |
|
|
sukelduja
HV Guru
liitunud: 14.06.2007
|
|
11.12.2012 13:50:45
|
|
|
| Mnator kirjutas: |
| Te ei saa, nagu näha, korralikult aru minu uitmõttest. Aga loodetavasti see on üldse vale...liiga lihtne, et olla õige.... |
Kaarti võib küll mingil määral emuleerida kliendi jaoks, aga sellest pole kasu, sest ükski teine osapool sellist emuleeritud kaarti ei tunnustaks.
|
|
| Kommentaarid: 25 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
25 |
|
| tagasi üles |
|
|
Ho Ho
HV Guru
liitunud: 16.02.2002
|
|
11.12.2012 13:51:22
|
|
|
Pole veel kuulnud signeeritud mängudest PC peal või online protokolle mis kasutaks ajatempli teenuseid
_________________
Teach a man to reason and he'll think for a lifetime
Common sense - so rare that it's a damn superpower
Vaadates paljude inimeste sõnavõtte siin ja mujal jääb üle ainult klassikuid tsiteerida - "I weep for humanity" |
|
| Kommentaarid: 106 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
1 :: |
86 |
|
| tagasi üles |
|
|
priitr
HV kasutaja
liitunud: 17.06.2004
|
|
11.12.2012 13:53:13
|
|
|
| LKits kirjutas: |
| Üks järgmisi samme olekski siis rakenduste häkkimine. Ehk, kui klient tahab allkirjastada "asdf.doc" faili, siis hoopis allkirjastatakse "qwerty.doc", aga kliendile antakse teada, et "asdf.doc" allkirjastamine ebaõnnestus vms. Selline programmi muutmine pole just väga raske ja kliendil pole õrna aimu ka, et "qwerty.doc" allkirjastatud sai. |
Õnnetuseks on sul õigus. Polegi niivõrd vaja häkkida allkirjastavat programmi, vaid tekitada väike 'vahetükk', mis jälgiks liiklust rakenduse ja kaardilugeja vahel ning teeks õigel hetkel vajalikke asendusi. Seda saaks vältida, kasutades kaardi ja rakenduse vahel krüpteeritud kanalit, mida aga olemasolev tarkvaraline infrastruktuur praegu ja ettenähtavas tulevikus ei toeta. Taolist jagatud võtmetega krüpteeritud kanalit kasutatakse praegu näiteks PIN/PUK koodide ja sertifikaatide uuendamise rakendustes.
| Ho Ho kirjutas: |
| Kogu ID kaardi värgendus on üles ehitud ajatempli peale ning seda ei ole võimalik mingil moel emuleerida. Vajalik on nii ühendus SK serverite kui ka samal ajahetkel füüsilise ID kaardiga. |
Häda on selles, et klient ei tea, ega saagi teada, _milline_ õige allkirjastatav räsi peaks olema. SK annab korrektselt esitatud päringutele korrektsed vastused ja logib päringud.
_________________
Tšudes ne bõvajet. |
|
| Kommentaarid: 27 loe/lisa |
Kasutajad arvavad: |
|
:: |
0 :: |
0 :: |
27 |
|
| tagasi üles |
|
|
|
:: KKK
:: otsing 
:: statistika
:: kasutajate nimekiri
:: kasutajate grupid
:: registreeri
teata moderaatorile
Spoiler 
