znaczacy > comp.* > comp.sieci

goo-mlyny (04.05.2018, 14:56)
W dniu piatek, 4 maja 2018 14:44:19 UTC+2 uzytkownik Marcin Debowski napisal:
> Adres bedzie poprawny ale wcale nie musisz sie polaczyc z tym adresem. No - i? Przeciez przegladarka natychmiast da ostrzezenie, ze strona posluguje sie certyfikatem, który jest niepoprawny. Bo oczywiscie nie ma problemu, zeby pod adresem odezwal sie np. mój serwer - ale jest dosyc trudno przygotowac certyfikat dla takiego serwera - w taki sposób, zeby przegladarka go zaakceptowala ;-)
> Natomiast jesli operator nie bedzie bruzdzil i przechwytywal polaczenia,
> Twoje urzadzenie nie bedzie shakowane, nie bedziesz mial zadnych dziur w
> systemie, a przegladarka i serwer banku beda poprawnie implementowac
> szyfrujace protokoly, które tez nie beda mialy dziur i innych podatnosci
> to oczywiscie wszystko bedzie ok.
> Z tym, ze rozwazanie takiej sytuacji o tyle nie ma sensu, ze glówne
> niebezpieczenstwo polega wlasnie na tym, ze polaczenie moze zostac
> przechwycone. Jesli nie mozesz zaufac operatorowi, to nie mozesz
> rozwazac, ze nie bedzie.


Naprawde przejecie zaszyfrowanego polaczenia klient-bank czyms grozi?
Co ktos moze zrobic z taka zaszyfrowana transmisja?
Marcin Debowski (04.05.2018, 15:21)
On 2018-05-04, goo-mlyny <goo-mlyny> wrote:
> W dniu piatek, 4 maja 2018 14:44:19 UTC+2 uzytkownik Marcin Debowski napisal:
> No - i? Przeciez przegladarka natychmiast da ostrzezenie, ze strona posluguje sie certyfikatem, który jest niepoprawny. Bo oczywiscie nie ma problemu, zeby pod adresem odezwal sie np. mój serwer - ale jest dosyc trudno przygotowac certyfikat dla takiego serwera - w taki sposób, zeby przegladarka go zaakceptowala ;-)
> Naprawde przejecie zaszyfrowanego polaczenia klient-bank czyms grozi?
> Co ktos moze zrobic z taka zaszyfrowana transmisja?


Lo matko, to nie bedzie zaszyfrowana transmisja z bankiem a z jakims
innym miejscem. Wyobraz sobie sytuacje, ze dzwonisz po taksówke, pojawia
sie taksówka identycznie wygladajaca, ale to nie bedzie ta taksówka,
która chciales wezwac. Musialbys np. poogladac jej certyfikat aby
stwierdzic róznice. Wydaje mi sie, ze zdobycie certyfikatu, który
przegladarka lyknie bez narzekania jest stosunkowo latwo wykonalne, a to
wszystko czego potrzeba.
Marcin Debowski (04.05.2018, 15:31)
On 2018-05-04, Marcin Debowski <agatek> wrote:
> Lo matko, to nie bedzie zaszyfrowana transmisja z bankiem a z jakims
> innym miejscem. Wyobraz sobie sytuacje, ze dzwonisz po taksówke, pojawia
> sie taksówka identycznie wygladajaca, ale to nie bedzie ta taksówka,
> która chciales wezwac. Musialbys np. poogladac jej certyfikat aby
> stwierdzic róznice. Wydaje mi sie, ze zdobycie certyfikatu, który
> przegladarka lyknie bez narzekania jest stosunkowo latwo wykonalne, a to
> wszystko czego potrzeba.


Po namysle jednak chyba nie, bo bedzie weryfikowana nazwa domeny a nikt
nie wyda certyfikatu na identyczna z bankowa.
goo-mlyny (04.05.2018, 18:53)
W dniu piatek, 4 maja 2018 15:21:06 UTC+2 uzytkownik Marcin Debowski napisal:
> Lo matko, to nie bedzie zaszyfrowana transmisja z bankiem a z jakims
> innym miejscem. Wyobraz sobie sytuacje, ze dzwonisz po taksówke, pojawia
> sie taksówka identycznie wygladajaca, ale to nie bedzie ta taksówka,
> która chciales wezwac. Musialbys np. poogladac jej certyfikat aby
> stwierdzic róznice. Wydaje mi sie, ze zdobycie certyfikatu, który
> przegladarka lyknie bez narzekania jest stosunkowo latwo wykonalne, a to
> wszystko czego potrzeba. Dobrze, ze to ostatnie sam poprawiles :)


Mi nawet do glowy nie przyszlo, ze jakakolwiek transmisja w publicznym internecie moze byc nieszyfrowana... A jesli kazda moja transmisja jest szyfrowana (obojetnie - https, pop3s, smtps czy cokolwiek innego) - to VPN nie za bardzo zwieksza bezpieczenstwo, ale, co wazniejsze - ktos, kto móglby ingerowac w polaczenie VPN i tak nie uzyska dostepu do niezaszyfrowanej tresci moich polaczen.
Marcin Debowski (05.05.2018, 01:35)
On 2018-05-04, goo-mlyny <goo-mlyny> wrote:
> W dniu piatek, 4 maja 2018 15:21:06 UTC+2 uzytkownik Marcin Debowski napisal:
> Dobrze, ze to ostatnie sam poprawiles :)
> Mi nawet do glowy nie przyszlo, ze jakakolwiek transmisja w publicznym
> internecie moze byc nieszyfrowana... A jesli kazda moja transmisja
> jest szyfrowana (obojetnie - https, pop3s, smtps czy cokolwiek innego)


Wystarczy, ze zignoruja ostrzezenie przegladarki, bo przeciez samo
polaczenie przy uzyciu blednego certyfikatu jest jak najbardziej
mozliwe. Generalnie jak sie uwaza i dba o bezpieczenstwo, to VPN za duzo
nie da, ale jest tez spora grupa osób (jesli nie wiekszosc), które
sa zupelnie nieswiadome o co tu chodzi i moga takie ostrzezenie olac.

> - to VPN nie za bardzo zwieksza bezpieczenstwo, ale, co wazniejsze -
> ktos, kto móglby ingerowac w polaczenie VPN i tak nie uzyska dostepu
> do niezaszyfrowanej tresci moich polaczen.


Do niezaszyfrowanych? Dlaczego nie? Zreszta zobacz, ze narzuciles pewien
specyficzny scenariusz i o nim dyskutowalismy, ale to przeciez nie jest
najbardziej prawdopodobny wariant ataku z strony operatora. Przykladowo,
wielu oferuje wlasnego klienta do vpnu. Co da Ci szyfrowane polaczenie
jak masz u siebie cos, co czyta Ci klawiature?

Nb. przyszlo mi jeszcze do glowy, ze VPN wcale az tak nie chroni z
jeszcze innego powodu: czesto dostep do danego hotspota wyglada tak, ze
wrecz automatycznie odpala sie okno przegladarki ze strona, na która
przekierowalo proxy operatora. Tu zaden VPN nie pomoze, bo nie ma jak.
Nie wiem wiec, czy uzycie nie jest nawet szkodliwe, bo daje dodatkowe
poczucie bezpieczenstwa (ze jest ok korzystac z darmowych hotspotow),
które niekoniecznie przeklada sie na rzeczywiste bezpieczenstwo.
Animka (05.05.2018, 16:03)
W dniu 2018-05-05 o 01:35, Marcin Debowski pisze:
> Co da Ci szyfrowane polaczenie
> jak masz u siebie cos, co czyta Ci klawiature?


Jak sie to cos nazywa, bo musze sprawdzic czy nie mam szpiega
czytajacego co ja pisze.
Krystek (07.05.2018, 00:50)
W dniu 2018-05-05 16:03, Animka pisze:
> W dniu 2018-05-05 o 01:35, Marcin Debowski pisze:
>> Co da Ci szyfrowane polaczenie
>> jak masz u siebie cos, co czyta Ci klawiature?

> Jak sie to cos nazywa, bo musze sprawdzic czy nie mam szpiega
> czytajacego co ja pisze.


Keylogger - sczytuje nacisniecia klawiszy, screenlogger / screencapture
/ screengrabber - to, co na ekranie.

K.
Animka (07.05.2018, 18:16)
W dniu 2018-05-07 o 00:50, Krystek pisze:
> W dniu 2018-05-05 16:03, Animka pisze:
> Keylogger - sczytuje nacisniecia klawiszy, screenlogger / screencapture
> / screengrabber - to, co na ekranie.


Screencapture to chyba w Mozilli Firefoks jest. Czy toto robi zrzuty ekranu?
m4rkiz (31.05.2018, 23:00)
On 2018-05-04 12:28, goo-mlyny wrote:
> Jesli ktos, kto chce sie polaczyc ze strona np. nie zauwazy, ze laczy sie z inna strona - to na to nie pomoze ani VPN ani jakiekolwiek inne zabezpieczenie :)





etc.

> Moje pytanie bardziej dotyczylo sytuacji, kiedy adres jest poprawny i przegladarka laczy sie z tym wlasnie adresem - czy wtedy "zly" operator VPN moze cos zrobic?





Podobne wątki