[elektro] master pass + usb kulcs

[vajk fekete]

lesz ott egy kis hoppa. 

hogyan is lepsz be a bank oldalara?

1. kinyitod a bongeszot.
2. beirod a cimsorba, hogy www.bank.hu
senki nem azt irja be, hogy https://www.bank.hu, hanem csak siman odaveti hogy bank.hu
(mondhatnad, hogy en bookmarkbol megyek, es az a teljes url-t tartalmazza, de a virus siman atirhatja a bookmarkodat, soha nem fog feltunni)
3. a bongeszo kiegesziti http://-el amit berital. nem https://-el egesziti ki, http-vel mert az a default.
4. megerkezel a http://www.bank.hu cimre. az vagy egybol atiranyit a https://www.bank.hu cimre, vagy amikor felhozod a login ablakot, az mar https kezdetu url

ha van man in the middle, akkor nem lesz atiranyitas, vegig http fog maradni a kommunikacio. nagyon keveseknek fog feltunni az s betu hianya a cimsorban, es alul a kicsi nyitott lakat. plane hogy mar ezerszer csinaltak, nem nezelodnek, arra figyelnek amit el kell gyorsan intezni.

vajk




________________________________
From: Moczik Gabor <pm_levlista at progzmaster.hu>
To: elektro at tesla.hu
Sent: Thursday, 3 September, 2009 17:38:46
Subject: Re: [elektro] master pass + usb kulcs

Fuzesi Arnold wrote:
> Bekapsz egy virust / vki felrak egy "proxy-t" a gepedre/halozatodba stb , aztan 
> "man in the middle" modszerrel beepul a bongeszesedbe... te latsz egy fake 
> oldalt, o meg kozben az eredetin mahinal.
> Azokkal az adatokkal amit kaptal mobilra (belepesi kod) stb. Szepen 
> beutod...észre sem veszed h a fake oldalt hasznalod.

Ez mukodik sima kommunikacio eseten, de SSL/TLS eseten nem, mivel a 
hackernek nincs meg a privat kulcs, nem fog tudni ervenyes signature-t 
generalni. Kapsz egy igen nagy betus figyelmezteto ablakot, hogy potencialis 
biztonsagi problema van. Persze programtol fuggoen akar folytathatod is, le 
lehet OK-zni ezt is, de ez mar user error...
Firefox nem engedi ha jol tudom, de mondjuk pl. a PuTTY igen.

Mindez csak a halozatban elkovetett dologra igaz, feltetelezve hogy a geped 
megbizhatoan mukodik. Ha a gepeden fut a csunya szoftver, akkor mar minden 
mindegy.

-- 
((( Móczik Gábor  )))--((( E~mail: "pm-01" @AT "progzmaster" .DOT "hu" )))
((( Skype: moczik )))

-----------------------------------------
          elektro[-flame|-etc]