🚀 go-pugleaf

z/svc napisał(a):
> Cześć,
> 
> Zaintrygowała mnie taka sprawa. Banki wysyłają emailem do swoich
> klientów wyciągi elektroniczne z zestawieniami transakcji, danymi
> osobowymi i tak dalej.
> 
> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?
> 

Większość klientów i tak nie korzysta z szyfrowania poczty, więc nie ma jak zaszyfrować. Swoją drogą 
taki system wysyłki przechowujący tysiące kluczy publicznych byłby ciekawy w realizacji :).

wer

z/svc wrote:

> Cześć,
> 
> Zaintrygowała mnie taka sprawa. Banki wysyłają emailem do swoich
> klientów wyciągi elektroniczne z zestawieniami transakcji, danymi
> osobowymi i tak dalej.
> 
> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?
 
w żaden sposób nie jest to bezpieczne.
następne pytanie?

-- 
Pozdrawiam
Lemat
The Internet does not need law enforcement, it only needs few good sysadmins
with cojones.

z/svc <z/svc@home.pl> wrote:
> Zaintrygowała mnie taka sprawa. Banki wysyłają emailem do swoich
> klientów wyciągi elektroniczne z zestawieniami transakcji, danymi
> osobowymi i tak dalej.
> 
> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?

Nie ma tam danych wrażliwych (typu numer karty na przykład), ani
pełnych danych osobowych. Owszem, bywa tam adres do korespondencji,
ale nie w każdym banku, np. w mBanku w nagłówku jest tylko nazwisko
i email.

Co do bezpieczeństwa ściśle rzecz ujmując, to jedynym ryzykiem,
i to w przypadku masowego przejęcia korespondencji od banku,
jest możliwość wyboru celu ataku (podług opłacalności, czyli salda
konta). Sam atak będzie tak samo trudny.

Natomiast w sensie prywatności - cóż komu po tym, że wie, gdzie robisz
zakupy albo ile zarabiasz czy ile wydajesz na prąd. Paranoicy mogą
zażyczyć sobie wyciągów papierowych (często za opłatą).

-- 
Piotr Auksztulewicz                                    imie@nazwisko.net

Użytkownik "z/svc" <z/svc@home.pl> napisał w wiadomości 
news:ter4e4lhn16htr292qgd1t42qogirunfd9@4ax.com...
> Cześć,
>
> Zaintrygowała mnie taka sprawa. Banki wysyłają emailem do swoich
> klientów wyciągi elektroniczne z zestawieniami transakcji, danymi
> osobowymi i tak dalej.
>
> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?

Nie jest bezpieczne. Choć zapewne ryzyko, że ktoś zdoła wykorzystać te dane 
są nikłe.
Jeśli nie odpowiada Ci taki sposób korespondencji, zrezygnuj z niego. 

On Wed, 1 Oct 2008 14:15:43 +0200, "Robert Wicik"
<rwicik@nsp.poczta.onet.pl> wrote:

>Nie jest bezpieczne. Choć zapewne ryzyko, że ktoś zdoła wykorzystać te dane 
>są nikłe.
>Jeśli nie odpowiada Ci taki sposób korespondencji, zrezygnuj z niego. 

Dzięki wszystkim za odpowiedzi.

Domyślam się też, że takie przesyłane załaczniki ktoś-gdzieś-jakoś
mógłby zbierać w celu dalszej analizy. Jednakże dalej się domyślam, że
wymagałoby to dość sporych nakładów i środków.

Jeszcze jedno pytanie: rozumiem, że serwery pocztowe logują ruch,
skąd, dokąd, nagłówki poczty, itd., ale sama treść maili oraz
załączniki nie są chyba normalnie przechowywane?

-- 
z/svc

Piotr Auksztulewicz <wyciep.to@hasiok.net> writes:

>> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
>> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?
>
> Nie ma tam danych wrażliwych (typu numer karty na przykład), ani
> pełnych danych osobowych. Owszem, bywa tam adres do korespondencji,
> ale nie w każdym banku, np. w mBanku w nagłówku jest tylko nazwisko
> i email.

Ale nie chcialbys udostepnic publicznie swoich wyciagow?

> Co do bezpieczeństwa ściśle rzecz ujmując, to jedynym ryzykiem,
> i to w przypadku masowego przejęcia korespondencji od banku,
> jest możliwość wyboru celu ataku (podług opłacalności, czyli salda
> konta). Sam atak będzie tak samo trudny.

Jesli masz na mysli to, ze wyciag to nie pieniadze z konta, to
rzeczywiscie.

> Natomiast w sensie prywatności - cóż komu po tym, że wie, gdzie robisz
> zakupy albo ile zarabiasz czy ile wydajesz na prąd. Paranoicy mogą
> zażyczyć sobie wyciągów papierowych (często za opłatą).

Paranoicy, albo i niekoniecznie paranoicy, wyciagi od dawna odbierali
sami osobiscie z banku. Papierowe czy nie to juz inna sprawa.

Z tym, ze teraz mozna uzywac szyfrowania. To, ze banki nie szyfruja
wyciagow itp. to jest jakies chore, wystarczyloby po prostu zażądać od
klienta np. klucza PGP, a jesli ktos nie ma i nie potrafi wygenerowac,
to pomoc mu w tym. Oczywiscie, to nie jest calkowicie bezpieczne (MITM
i inne takie), ale jest duzo bezpieczniejsze niz nic.
-- 
Krzysztof Halasa

z/svc wrote:

> Zaintrygowała mnie taka sprawa. Banki wysyłają emailem do swoich
> klientów wyciągi elektroniczne z zestawieniami transakcji, danymi
> osobowymi i tak dalej.
> 
> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?

papierowe wyciagi tez nie sa szyfrowane, a sa wysylane dluzej
niz elektroniczne, wiec chyba przechwycenie takiej korespondencji
nie jest jakos specjalnie niebezpieczne

Krzysztof Halasa <khc@pm.waw.pl> wrote:
> Ale nie chcialbys udostepnic publicznie swoich wyciagow?

Trudno nazwać przesyłanie korespondencji udostępnianiem
publicznym. Papierowe wyciągi wysyłane pocztą też można
przechwycić. Co jest trudniejsze - zależy od indywidualnego
przypadku.

> Jesli masz na mysli to, ze wyciag to nie pieniadze z konta, to
> rzeczywiscie.

Tak, mam na myśli potencjalne użycie danych z wyciągu do ułatwienia
włamania na konto czy innego ataku na bezpieczeństwo posiadacza
rachunku.

> Paranoicy, albo i niekoniecznie paranoicy, wyciagi od dawna odbierali
> sami osobiscie z banku. Papierowe czy nie to juz inna sprawa.

No to już ich sprawa. Moim zdaniem lekka przesada, ale jak kto chce.

> Z tym, ze teraz mozna uzywac szyfrowania. To, ze banki nie szyfruja
> wyciagow itp. to jest jakies chore

Owszem, ale to inna bajka. Skoro potrafią podpisywać cyfrowo
te maile, to czemu nie potrafią szyfrować? Użytkownik sam mógłby
sobie skonfigurować usługę, przekazać klucz publiczny itp.
Odpowiedni poradnik bank też może opublikować.

> to nie jest calkowicie bezpieczne (MITM
> i inne takie), ale jest duzo bezpieczniejsze niz nic.

Podpis cyfrowy wystarczy na MITM. Banki i tak mają wykupione
certyfikaty od uznanych CA.

-- 
Piotr Auksztulewicz                                    imie@nazwisko.net

z/svc <z/svc@home.pl> wrote:
> Domyślam się też, że takie przesyłane załaczniki ktoś-gdzieś-jakoś
> mógłby zbierać w celu dalszej analizy.

Teoretycznie mógłby, ale raczej nie masowo i nie na dłuższą metę.
Przechwycenie mogłoby się odbyć:

1. Na serwerze nadawcy (banku lub jego podwykonawcy)
2. Na serwerze odbiorcy (dostawcy usług posiadacza rachunku)
3. Na pośredniczącym serwerze [*]
4. W trakcie przesyłu przez sieć (podsłuch transmisji).
5. Poprzez przekierowanie ruchu (np. na własny serwer).

W 1. przypadku mamy dostęp do całej korespondencji, ale będzie to
dość trudne, bo raczej bank dba o bezpieczeństwo.

W 2. różnie może być, serwer może byc słabo zabezpieczony. Minus:
dostajemy dane tylko niewielu klientów, którzy mają tam konta.
Poza tym profesjonalni dostawcy usług zazwyczaj też się pilnują,
choć być może słabiej niż banki.

Przypadek 3. można pominąć, bo to rzadkość (chyba, że jednocześnie
robimy 5.)

4. wymaga dostępu do infrastruktury sieci. Uzyskanie takiego
"blisko" banku (aby przechwycić cały lub większość ruchu) jest
skrajnie trudne. W jakiejś sieci osiedlowej może być bardzo
łatwe, ale ile tam będzie serwerów pocztowych? ilu użytkowników
będzie klientami banku?

Sposób 5. jest trudny, ale nie niemożliwy. Możnaby np. próbować
ataków na DNSy, fałszując rekordy MX i w ten sposób przekierować
ruch SMTP na własny serwer. Ale to musiałby być naprawdę masowy
atak, żeby przechwycić znaczącą część korespondencji. Jako taki,
szybko zostałby wykryty.

Przekierowanie na niższych warstwach byłoby jeszcze trudniejsze.

Cały czas zakładam, że połączenie SMTP nie jest szyfrowane,
bo to póki co rzadkość.


> Jeszcze jedno pytanie: rozumiem, że serwery pocztowe logują ruch,
> skąd, dokąd, nagłówki poczty, itd., ale sama treść maili oraz
> załączniki nie są chyba normalnie przechowywane?

W tranzycie są przechowywane tylko na czas tranzytu, tzn.
udanego dostarczenia do kolejnego serwera w łańcuchu.
Oczywiście na docelowej maszynie są przechowywane tak długo,
jak użytkownik chce.

[*] W otwartym Internecie w ogromnej większości przypadków
tranzyt odbywa się bezpośrednio od nadawcy do odbiorcy.

-- 
Piotr Auksztulewicz                                    imie@nazwisko.net

Przechwycenie standardowej poczty choć jest łatwiejsze, w praktyce
jest rzadziej dokonywane. Jednak jest sporo droższe i wolniejsze!
Wyciągi drogą elektroniczną są wygodniejsze dla banku, ponieważ mniej
go obciążają. Elektroniczną drogą, wystarczy tylko pobrać wartości z
bazy, wpakować odpowiednie zmienne w odpowiednie miejsca, połączyć się
z docelowym serwerem SMTP i przekazać mu paczkę maili. W przypadku
wysłania wyciągu tradycyjną pocztą jest o wiele gorzej, trzeba
wyciągnąć dane z bazy, opracować każdy wyciąg, wysłać do drukarni,
później zawieźć na pocztę/ do zakładu kurierskiego, tam to wszystko
trzeba porozwozić, pozawozić ciężarówkami/pociągami/itp do
odpowiednich placówek, tam znowu posortować, ew. porozwozić do
placówek lokalnych i dopiero dostarczyć do klienta. Czasami pierw
trzeba jeszcze wsio wysłać do centrali przewoźnika. Wolniej, drożej i
w dodatku mniej bezpiecznie.

Co do szyfrowania, mogło by być, ale spójrzmy prawdzie w oczy,
większość osób nie widzi zagrożenia. Widzą tylko wygodę, nie są
świadomi że ktoś może złamać ich hasło czy podsłuchać transmisje. Po
drugie, wiele osób nie wie co to PGP lub GPG, używanie takich zabawek
to dla nich czarna magia. Po drugie, która darmowa skrzynka obsługuje
szyfrowanie z interfejsu WWW? W ogóle jaki to miało by sens? Przecież
klucz by musiał iść drogą jawną, ew. SSL, ale wtedy może ktoś robić
Man In Middle i wszystko na nic. Pozostaje jakiś bajer po stronie
usera jak Aplet Java lub Flash, ale nie każdy ma Jave czy (rzadziej)
Flasha, po drugie to wszystko by komplikowało całe korzystanie z
takiej poczty, co jest dla szarego człowieka złe, ponieważ musiałby
się więcej nauczyć. Ludzie są leniwi. Trzeba zauważyć że wiele osób
nie używa klientów pocztowych do korzystania z poczty, wolą wejść z
domu/pracy/szkoły na maila i tam czytać. Z jednej strony jest to
wygodne, z drugiej nierozważne, ale co poradzisz?

Wyjściem, według mnie najlepszym, jest wprowadzenie za niewielką
opłatą (lub nawet za darmo, choć w to szczerze wątpię, ponieważ to by
dodatkowo obciążało komputery banku) dodać dla zainteresowanych
szyfrowanie PGP lub GPG. Chętnych "paranoików" można by było
ewentualnie poinformować jak się używa takich zabawek, ale takiej pani
Krysi (wszystkie Krysie które czują się obrażone przykładem
przepraszam) co internetu używa tylko do wchodzenia na naszą klasę i
maila jej syn założył by jej konto zarejestrować, to jest naprawdę
wielka trudność. Wiem to z doświadczenia, ponieważ zdarza mi się
współpracować z niezinformatyzowanymi ludźmi.

Pozdrawiam!

z/svc <z/svc@home.pl> writes:

> Domyślam się też, że takie przesyłane załaczniki ktoś-gdzieś-jakoś
> mógłby zbierać w celu dalszej analizy. Jednakże dalej się domyślam, że
> wymagałoby to dość sporych nakładów i środków.

To zalezy kto mialby je ponosic.
Dla pracownika providera banku, jesli pracuje w odpowiednim miejscu,
cos takiego moze byc bajecznie proste.

> Jeszcze jedno pytanie: rozumiem, że serwery pocztowe logują ruch,
> skąd, dokąd, nagłówki poczty, itd., ale sama treść maili oraz
> załączniki nie są chyba normalnie przechowywane?

Normalnie nie, ale mozna je bardzo latwo skonfigurowac tak, by to
robily. Minimalnie wieksze ryzyko niz powyzej IMHO.
-- 
Krzysztof Halasa

MarcinF <marfi@interia.pl> writes:

> papierowe wyciagi tez nie sa szyfrowane, a sa wysylane dluzej
> niz elektroniczne, wiec chyba przechwycenie takiej korespondencji
> nie jest jakos specjalnie niebezpieczne

Ale bank ich nie wysyla na pocztowkach? Nawet gdyby to robil,
skopiowanie pocztowek jest duzo bardziej pracochlonne od
"podsluchania" poczty elektronicznej.
-- 
Krzysztof Halasa

Krzysztof Halasa <khc@pm.waw.pl> napisał(a):
> Piotr Auksztulewicz <wyciep.to@hasiok.net> writes:
>
>>> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
>>> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?
>>
>> Nie ma tam danych wrażliwych (typu numer karty na przykład), ani
>> pełnych danych osobowych. Owszem, bywa tam adres do korespondencji,
>> ale nie w każdym banku, np. w mBanku w nagłówku jest tylko nazwisko
>> i email.
>
> Ale nie chcialbys udostepnic publicznie swoich wyciagow?

No właśnie. Po kiego wysyłać wyciągi pocztą, jak można je udostępnić
przez HTTP szyfrowane SSL-em?
Tak BTW, które banki wysyłaja e-mailem wyciągi? Bo te z których
korzystam dają tylko podgląd przez www (do wydruków pdf-ki,
albo osobno formatowane HTML-e).

-- 
WARNING: my e-mail is encrypted by ROT13
Xbaenq Fgrcvra <xbaenq@vagreqngn.arg.cy>

Konrad Stepien wrote:

> Krzysztof Halasa <khc@pm.waw.pl> napisał(a):
>> Piotr Auksztulewicz <wyciep.to@hasiok.net> writes:
>>
>>>> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
>>>> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?
>>>
>>> Nie ma tam danych wrażliwych (typu numer karty na przykład), ani
>>> pełnych danych osobowych. Owszem, bywa tam adres do korespondencji,
>>> ale nie w każdym banku, np. w mBanku w nagłówku jest tylko nazwisko
>>> i email.
>>
>> Ale nie chcialbys udostepnic publicznie swoich wyciagow?
> 
> No właśnie. Po kiego wysyłać wyciągi pocztą, jak można je udostępnić
> przez HTTP szyfrowane SSL-em?
> Tak BTW, które banki wysyłaja e-mailem wyciągi? Bo te z których
> korzystam dają tylko podgląd przez www (do wydruków pdf-ki,
> albo osobno formatowane HTML-e).

jakieś PKO/Inteligo
kiedyś się z nimi ściąłem bo na ustawiony catch-all@ zaczęły przychodzić
wyciągi osoby, której skasowałem wcześniej konto @.

-- 
Pozdrawiam
Lemat
The Internet does not need law enforcement, it only needs few good sysadmins
with cojones.

Nikow napisał(a):
> 
> Wyjściem, według mnie najlepszym, jest wprowadzenie za niewielką
> opłatą (lub nawet za darmo, choć w to szczerze wątpię, ponieważ to by
> dodatkowo obciążało komputery banku) dodać dla zainteresowanych
> szyfrowanie PGP lub GPG. Chętnych "paranoików" można by było
> ewentualnie poinformować jak się używa takich zabawek, ale takiej pani
> Krysi (wszystkie Krysie które czują się obrażone przykładem
> przepraszam) co internetu używa tylko do wchodzenia na naszą klasę i
> maila jej syn założył by jej konto zarejestrować, to jest naprawdę
> wielka trudność. Wiem to z doświadczenia, ponieważ zdarza mi się
> współpracować z niezinformatyzowanymi ludźmi.
> 

A nie prościej wysłać pocztą link do pobrania z panelu swojego dokumentu pdf? Trzeba się 
zautoryzować, sam link nic nie da. Jak ktoś ma pocztę to i może ściągnąć pdf. Nic poufnego się nie 
przesyła, bezpieczeństwo wysokie.

wer

On Fri, 3 Oct 2008 12:11:39 +0200, Konrad Stepien
<xbaenq@vagreqngn.arg.cy> wrote:

>Tak BTW, które banki wysyłaja e-mailem wyciągi?

Lukas Bank.

-- 
z/svc

Piotr Auksztulewicz <wyciep.to@hasiok.net> writes:

> Trudno nazwać przesyłanie korespondencji udostępnianiem
> publicznym.

No, niech bedzie, polpubliczne :-)

> Papierowe wyciągi wysyłane pocztą też można
> przechwycić. Co jest trudniejsze - zależy od indywidualnego
> przypadku.

No pewnie, dla listonosza latwiejsze bedzie pewnie z papierowymi. Ale
tak realnie, jakbys byl np. gangsterem, to co byloby (byc moze duuuzo)
latwiejsze?

Przeciez podsluchanie transmisji z jakiejs konkretnej maszyny na port
25 TCP innych maszyn, jesli mamy kontrole nad np. odpowiednim
routerem, to jest sprawa trywialna.

> Tak, mam na myśli potencjalne użycie danych z wyciągu do ułatwienia
> włamania na konto czy innego ataku na bezpieczeństwo posiadacza
> rachunku.

Oczywiscie ze posiadanie wyciagu moze taki atal ulatwic. Wystarczy
scenariusz "telefoniczny", z wyciagiem duzo latwiej odpowiedziec na
pytanie "ile ma pan lokat" albo "czy konto jest wspolne".

>> Paranoicy, albo i niekoniecznie paranoicy, wyciagi od dawna odbierali
>> sami osobiscie z banku. Papierowe czy nie to juz inna sprawa.

> No to już ich sprawa. Moim zdaniem lekka przesada, ale jak kto chce.

Pisanie ze to przesada bez wziecia pod uwage okolicznosci jest IMHO
malo powazne.

> Owszem, ale to inna bajka. Skoro potrafią podpisywać cyfrowo
> te maile, to czemu nie potrafią szyfrować? Użytkownik sam mógłby
> sobie skonfigurować usługę, przekazać klucz publiczny itp.
> Odpowiedni poradnik bank też może opublikować.

Ale, jak widac, nie robia tego.


> Podpis cyfrowy wystarczy na MITM. Banki i tak mają wykupione
> certyfikaty od uznanych CA.

Nope, sam podpis cyfrowy do niczego nie wystarcza. Zeby bank byl
w stanie przesylac klientom informacje w sposob bezpieczny, bez szansy
na atak np. MITM, nie wystarczy sam podpis, potrzebne sa odpowiednie
dzialajace zasady bezpieczenstwa oraz odpowiednie procedury
np. przekazywania kluczy/certyfikatow i zapewne zawierania umow
w ogole.

Sam "podpis cyfrowy" w ogole nie ma zastosowania do szyfrowania poczty
dla klientow, taka poczta jest dostarczana protokolem SMTP bez TLS.
-- 
Krzysztof Halasa

В Пятница 03 октября 2008 12:11, Konrad Stepien писал:
> Tak BTW, które banki wysyłaja e-mailem wyciągi? Bo te z których
> korzystam dają tylko podgląd przez www (do wydruków pdf-ki,
> albo osobno formatowane HTML-e).

Inteligo tak mi robił :-)
Teraz chyba już zaprzestali, bo od dawana nic nie dostałem...

Pozdrawiam,
Mateusz Viste

z/svc pisze:
> Cześć,
> 
> Zaintrygowała mnie taka sprawa. Banki wysyłają emailem do swoich
> klientów wyciągi elektroniczne z zestawieniami transakcji, danymi
> osobowymi i tak dalej.
> 
> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?
> 

Inteligo ostatnio 'chwaliło się' wprowadzeniem takiej opcji
http://www.inteligo.pl/infosite/oferta_dla_ciebie_szyfrowanie.htm
Niby wszystko fajnie tylko że ilość kroków do pokonania aby tą usługę 
uruchomić raczej przekracza możliwości przeciętnego klikacza..

/łukasz

epsilon$ while read LINE; do echo \>"$LINE"; done < "Krzysztof Halasa"
>Przeciez podsluchanie transmisji z jakiejs konkretnej maszyny na port
>25 TCP innych maszyn, jesli mamy kontrole nad np. odpowiednim
>routerem, to jest sprawa trywialna.

No ale kluczowe jest tu "jeśli mamy kontrolę nad odpowiednim routerem".

-- 
\.\.\.\.\.\.\.\.\.\.\.\.\.\ Bodies  in  motion tend to remain in motion.
.\.Kruk@epsilon.eu.org.\.\. Bodies at rest tend to remain in bed
\.http://epsilon.eu.org/\.\ 
.\.\.\.\.\.\.\.\.\.\.\.\.\. 

Krzysztof Halasa <khc@pm.waw.pl> wrote:
> Przeciez podsluchanie transmisji z jakiejs konkretnej maszyny na port
> 25 TCP innych maszyn, jesli mamy kontrole nad np. odpowiednim
> routerem, to jest sprawa trywialna.

Owszem, trywialna, pod warunkiem, że dostęp się ma. A to już jest
nieco mniej trywialne, oględnie mówiąc.

>> Tak, mam na myśli potencjalne użycie danych z wyciągu do ułatwienia
>> włamania na konto czy innego ataku na bezpieczeństwo posiadacza
>> rachunku.
> 
> Oczywiscie ze posiadanie wyciagu moze taki atal ulatwic. Wystarczy
> scenariusz "telefoniczny", z wyciagiem duzo latwiej odpowiedziec na
> pytanie "ile ma pan lokat" albo "czy konto jest wspolne".

Istotnie, może to odpowiedzieć na parę pytań. Podobnie jak przechwycenie
korespondencji papierowej. O ile to zmniejsza bezpieczeństwo to już zależy
od konretnego przypadku. Ogólnie, telefoniczny dostęp jest moim zdaniem
słabawo zabezpieczony.

>>> Paranoicy, albo i niekoniecznie paranoicy, wyciagi od dawna odbierali
>>> sami osobiscie z banku. Papierowe czy nie to juz inna sprawa.
> 
>> No to już ich sprawa. Moim zdaniem lekka przesada, ale jak kto chce.
> 
> Pisanie ze to przesada bez wziecia pod uwage okolicznosci jest IMHO
> malo powazne.

Jeśli okolicznością jest szary konsument, to *moim zdaniem*
zdecydowana przesada. "Duzi" klienci raczej nie korzystają
z tanich kont w internetowych bankach oszczędzających na papierze
i opłatach pocztowych :-)

>> Owszem, ale to inna bajka. Skoro potrafią podpisywać cyfrowo
>> te maile, to czemu nie potrafią szyfrować? Użytkownik sam mógłby
>> sobie skonfigurować usługę, przekazać klucz publiczny itp.
>> Odpowiedni poradnik bank też może opublikować.
> 
> Ale, jak widac, nie robia tego.

Widać nie mają "rynku" na te usługi. Oprócz paru nerdów jak my
tu piszący ;-P

>> Podpis cyfrowy wystarczy na MITM. Banki i tak mają wykupione
>> certyfikaty od uznanych CA.
> 
> Nope, sam podpis cyfrowy do niczego nie wystarcza. Zeby bank byl
> w stanie przesylac klientom informacje w sposob bezpieczny, bez szansy
> na atak np. MITM, nie wystarczy sam podpis, potrzebne sa odpowiednie
> dzialajace zasady bezpieczenstwa

Jeżeli nie mamy zaufania do procedur bezpieczeństwa banku (w tym
przypadku: co do bezpieczeństwa przechowywania i używania klucza
prywatnego używanego do podpisu), to w ogóle nie ma o czym mówić.

> oraz odpowiednie procedury np. przekazywania kluczy/certyfikatow

Te są, pomiędzy bankiem (czy dowolnym innym podmiotem) a CA,
oraz pomiędzy CA a dostawcą przeglądarki.

Jeśli uznamy je za niewystarczające (bo przecież stuprocentowo pewne
nie są), to w ogóle nie możemy używać stron zabezpieczonych SSLem
(MITM), czyli kontakt internetowy z bankiem odpada w przedbiegach, więc
znów nie ma o czym mówić. Zostaje "klasyczny" kontakt osobisty w oddziale,
tudzież jakiś home/private banking oparty o wymienione wcześniej
bezpiecznie klucze/certyfikaty. Takie rozwiązania też istnieją,
ale to trochę inna para kaloszy i w innych klientów celowana.

> i zapewne zawierania umow w ogole.

> Sam "podpis cyfrowy" w ogole nie ma zastosowania do szyfrowania poczty
> dla klientow, taka poczta jest dostarczana protokolem SMTP bez TLS.

Owszem, zapewnia autentyczność wyciągu. Oczywiście w obliczu braku
szyfrowania w praktyce bankowej taki tryb rozsyłania wyciągów nie
zapewnia poufności, ale o tym było wyżej.

-- 
Piotr Auksztulewicz                                    imie@nazwisko.net

Konrad Stepien <xbaenq@vagreqngn.arg.cy> wrote:
> Tak BTW, które banki wysyłaja e-mailem wyciągi?

Np. mBank, można z tych e-maili zrezygnować, z tym że w przypadku
kart kredytowych oznacza to wysyłkę pocztą za opłatą 3 zł. Do kont
ZTCP nigdy nie wysyłali papierowych wyciągów, trzeba było samemu
sobie sprawdzać historie w serwisie internetowym.

-- 
Piotr Auksztulewicz                                    imie@nazwisko.net

Łukasz Pinkosz <noone@nowhere.plpl> writes:

> Niby wszystko fajnie tylko że ilość kroków do pokonania aby tą usługę
> uruchomić raczej przekracza możliwości przeciętnego klikacza..

Nie mozna miec wszystkiego, a nauka to, zdaje sie, klucz do potegi?
-- 
Krzysztof Halasa

Mariusz Kruk <Mariusz.Kruk@epsilon.eu.org> writes:

> No ale kluczowe jest tu "jeśli mamy kontrolę nad odpowiednim routerem".

Jasne, ale przeciez to nie jest tak, ze nikt nie ma kontroli nad
odpowiednimi routerami. Albo ze np. te osoby spelniaja wszystkie
wymagania dotyczace tajemnicy bankowej itd.

Jesli trzeba np. skorumpowac policjanta, to tez zwykle odpowiedniego,
i to wcale nie znaczy, ze tego sie nie da zrobic. Teoretycznie
policjanci powinni chyba spelniac ostrzejsze wymagania?
-- 
Krzysztof Halasa

In the darkest hour on Mon, 06 Oct 2008 11:14:35 +0200,
£ukasz Pinkosz <noone@nowhere.plpl> screamed:
>> Zaintrygowała mnie taka sprawa. Banki wysyłają emailem do swoich
>> klientów wyciągi elektroniczne z zestawieniami transakcji, danymi
>> osobowymi i tak dalej.
>> 
>> Na ile jest to bezpieczne biorąc pod uwagę fakt, że załączniki do
>> PDFy, DOCi, czasem goły tekst i nie jest to szyfrowane?
>
> Inteligo ostatnio 'chwaliło się' wprowadzeniem takiej opcji
> http://www.inteligo.pl/infosite/oferta_dla_ciebie_szyfrowanie.htm
> Niby wszystko fajnie tylko że ilość kroków do pokonania aby tą usługę 
> uruchomić raczej przekracza możliwości przeciętnego klikacza..

Citibank (dla KK) przesyła maile z PDF-ami na hasło.

-- 
[ Artur M. Piwko : Pipen : AMP29-RIPE : RLU:100918 : From == Trap! : SIG:209B ]
[ 10:36:20 user up 11853 days, 22:31,  1 user, load average: 0.90, 0.95, 0.95 ]

                                You are here:  X

epsilon$ while read LINE; do echo \>"$LINE"; done < "Krzysztof Halasa"
>> No ale kluczowe jest tu "jeśli mamy kontrolę nad odpowiednim routerem".
>Jasne, ale przeciez to nie jest tak, ze nikt nie ma kontroli nad
>odpowiednimi routerami. Albo ze np. te osoby spelniaja wszystkie
>wymagania dotyczace tajemnicy bankowej itd.

Oczywiście. Dlatego powyżej pewnego progu istotności danych nie będziesz
ich przesyłać otwartym tekstem. IMHO prosty wyciąg z banku niekoniecznie
jest tak istotną informacją, żeby dla przechwycenia go opłacało się
ingerować w routery po drodze. Zwłaszcza, że jeśli są to rzeczywiście
istotne dane, to jednak prawdopodobnie nie będzie się ich przesyłać w
postaci jawnej.

>Jesli trzeba np. skorumpowac policjanta, to tez zwykle odpowiedniego,
>i to wcale nie znaczy, ze tego sie nie da zrobic. Teoretycznie
>policjanci powinni chyba spelniac ostrzejsze wymagania?

Jak wszystko w zakresie bezpieczeństwa - kwestia stosunku kosztu do
spodziewanej korzyści.

-- 
  Kruk@ -\                   | Microsoft  Office  2000: Wyrzucasz wszystkie
          }-> epsilon.eu.org | środki uspokajające
http:// -/                   | 
                             | 

Piotr Auksztulewicz <wyciep.to@hasiok.net> writes:

> Owszem, trywialna, pod warunkiem, że dostęp się ma. A to już jest
> nieco mniej trywialne, oględnie mówiąc.

Ale co jest tam nietrywialnego?
a) traceroute + whois :-)
b) google map
c) moze google znajdzie nam odpowiednich ludzi?
d) korupcja - nie mowilem, ze wszystko bedzie legalnie :-(

> Jeśli okolicznością jest szary konsument, to *moim zdaniem*
> zdecydowana przesada. "Duzi" klienci raczej nie korzystają
> z tanich kont w internetowych bankach oszczędzających na papierze
> i opłatach pocztowych :-)

Co to jest duzy klient, to taki ktory ma otwarte linie kredytowe na
$xM albo inne x Mzl? Tam pewnie jest wydzielony dzial do kontaktow
z bankami i nawet worm - keylogger nie zadziala :-)

Ale wezmy takiego np. jubilera z np. 100 kzl wolnej gotowki.

>> Nope, sam podpis cyfrowy do niczego nie wystarcza. Zeby bank byl
>> w stanie przesylac klientom informacje w sposob bezpieczny, bez szansy
>> na atak np. MITM, nie wystarczy sam podpis, potrzebne sa odpowiednie
>> dzialajace zasady bezpieczenstwa
>
> Jeżeli nie mamy zaufania do procedur bezpieczeństwa banku (w tym
> przypadku: co do bezpieczeństwa przechowywania i używania klucza
> prywatnego używanego do podpisu), to w ogóle nie ma o czym mówić.

Nie mialem na mysli przechowywania kluczy prywatnych banku.
Do zaszyfrowania dokumentu dla klienta klucz banku nie jest przydatny,
potrzebny jest klucz (publiczny) klienta :-)

>> oraz odpowiednie procedury np. przekazywania kluczy/certyfikatow
>
> Te są, pomiędzy bankiem (czy dowolnym innym podmiotem) a CA,
> oraz pomiędzy CA a dostawcą przeglądarki.

Ale to przy cokolwiek innej usludze.
Z tym ze tym procedurom CA wpisanych w przegladarki to bym tak
bezgranicznie nie ufal. Byly, jak wiemy, rozne przypadki, a nawet bez
tego wiadomo nawet teoretycznie ze to jest ograniczone bezpieczenstwo.

> Jeśli uznamy je za niewystarczające (bo przecież stuprocentowo pewne
> nie są), to w ogóle nie możemy używać stron zabezpieczonych SSLem
> (MITM),

No nie, przeciez MITM mozna wykluczyc nie majac zaufania do PKI X.509.

> Takie rozwiązania też istnieją,
> ale to trochę inna para kaloszy i w innych klientów celowana.

Jasne.

>> Sam "podpis cyfrowy" w ogole nie ma zastosowania do szyfrowania poczty
>> dla klientow, taka poczta jest dostarczana protokolem SMTP bez TLS.
>
> Owszem, zapewnia autentyczność wyciągu. Oczywiście w obliczu braku
> szyfrowania w praktyce bankowej taki tryb rozsyłania wyciągów nie
> zapewnia poufności, ale o tym było wyżej.

Ale rozumiem ze zgadzamy sie z tym, ze autentycznosc nie ma zwiazku
z szyfrowaniem? :-)
-- 
Krzysztof Halasa

Krzysztof Halasa pisze:
> 
> Nie mozna miec wszystkiego, a nauka to, zdaje sie, klucz do potegi?

zgadza się
btw: w tym przypadku to akurat nie klucz a ich para ;)
--
lukasz p.

Krzysztof Halasa <khc@pm.waw.pl> wrote:
> Piotr Auksztulewicz <wyciep.to@hasiok.net> writes:
> Ale co jest tam nietrywialnego?
> a) traceroute + whois :-)
> b) google map
> c) moze google znajdzie nam odpowiednich ludzi?
> d) korupcja - nie mowilem, ze wszystko bedzie legalnie :-(

Legalnie to nie będzie z definicji, z korupcją czy bez niej :-)
Ja myślałem raczej o "samodzielnym" dostępie do routerów, ale
cóż, tak też można. Swoją drogą, ciekawe czy ktoś kiedyś
badał "korumpowalność" adminów...

> Co to jest duzy klient, to taki ktory ma otwarte linie kredytowe na
> $xM albo inne x Mzl? Tam pewnie jest wydzielony dzial do kontaktow
> z bankami i nawet worm - keylogger nie zadziala :-)

O tym m.in. myślałem...

> Ale wezmy takiego np. jubilera z np. 100 kzl wolnej gotowki.

Hehe, pijesz do Lukasa... to nie była do końca czysta sprawa,
jak można sądzić po doniesieniach. Nieszyfrowane wyciągi raczej
temu panu nie zaszkodziły.

> Nie mialem na mysli przechowywania kluczy prywatnych banku.
> Do zaszyfrowania dokumentu dla klienta klucz banku nie jest przydatny,
> potrzebny jest klucz (publiczny) klienta :-)

Zaraz, zaraz, ja do Sasa, a Ty do Lasa...
Ja się wypowiadałem o obecnej praktyce (maile podpisane cyfrowo),
a nie o szyfrowaniu. I tu, raczej trudno będzie "środkowemu"
podszyć sie pod bank i wygenerować fałszywy wyciąg. Zresztą sens
takiej operacji jest znikomy.

>> Te są, pomiędzy bankiem (czy dowolnym innym podmiotem) a CA,
>> oraz pomiędzy CA a dostawcą przeglądarki.
> 
> Ale to przy cokolwiek innej usludze.
> Z tym ze tym procedurom CA wpisanych w przegladarki to bym tak
> bezgranicznie nie ufal. Byly, jak wiemy, rozne przypadki, a nawet bez
> tego wiadomo nawet teoretycznie ze to jest ograniczone bezpieczenstwo.

Owszem, ale skoro uznajemy je za wystarczające do wykonywania operacji
bankowych zmieniających stan konta, to tym bardziej są wystarczające
do operacji "read-only" typu generowania wyciągów. 

>> Jeśli uznamy je za niewystarczające (bo przecież stuprocentowo pewne
>> nie są), to w ogóle nie możemy używać stron zabezpieczonych SSLem
>> (MITM),
> 
> No nie, przeciez MITM mozna wykluczyc nie majac zaufania do PKI X.509.
> 
 
>>> Sam "podpis cyfrowy" w ogole nie ma zastosowania do szyfrowania poczty
>>> dla klientow, taka poczta jest dostarczana protokolem SMTP bez TLS.
>>
>> Owszem, zapewnia autentyczność wyciągu. Oczywiście w obliczu braku
>> szyfrowania w praktyce bankowej taki tryb rozsyłania wyciągów nie
>> zapewnia poufności, ale o tym było wyżej.
> 
> Ale rozumiem ze zgadzamy sie z tym, ze autentycznosc nie ma zwiazku
> z szyfrowaniem? :-)

No oczywiście, ale coś nam się temat dyskusji rozjechał - czy raczej
wzajemne rozumienie, o czym piszemy.

Wracając do sedna: istotą rzeczy jest, czy wyciąg przesyłany otwartym
tekstem - elektronicznie bądź nie - stanowi poważne (lub niepoważne :-))
zagrożenie, i czy różnica pomiędzy formą papierową a cyfrową
nieszyfrowaną jest istotna. Może o tym podyskutujmy, jeśli nadal masz
ochotę...

Moje zdanie w skrócie jest takie, że w ogromnej większości sytuacji
zagrożenie jest praktycznie żadne w obu przypadkach, a różnica
między nimi nieistotna, które to zdanie praktycznie uskuteczniam,
uważając, że uniknięcie ryzyka związanego z ewentualnym przechwyceniem
wyciągów przez skorumpowanego admina routera czy w wyniku włamania na mój
serwer pocztowy nie jest warte opłaty w wysokości 3 zł miesięcznie :-)


-- 
Piotr Auksztulewicz                                    imie@nazwisko.net

Piotr Auksztulewicz <wyciep.to@hasiok.net> writes:

> Ja myślałem raczej o "samodzielnym" dostępie do routerów, ale
> cóż, tak też można. Swoją drogą, ciekawe czy ktoś kiedyś
> badał "korumpowalność" adminów...

Mysle ze jest wyzsza niz 0%.
Samodzielny dostep sie nie skaluje zbyt dobrze.

>> Ale wezmy takiego np. jubilera z np. 100 kzl wolnej gotowki.
>
> Hehe, pijesz do Lukasa... to nie była do końca czysta sprawa,
> jak można sądzić po doniesieniach. Nieszyfrowane wyciągi raczej
> temu panu nie zaszkodziły.

Jasne, ale takich ludzi jest zapewne sporo.

Pamietam ze wzglednie na poczatku mBank podawal srednia kwote
depozytow w granicach kilku kzl.

> Ja się wypowiadałem o obecnej praktyce (maile podpisane cyfrowo),
> a nie o szyfrowaniu. I tu, raczej trudno będzie "środkowemu"
> podszyć sie pod bank i wygenerować fałszywy wyciąg. Zresztą sens
> takiej operacji jest znikomy.

A tak, oczywiscie, dwa razy zgoda.

> Owszem, ale skoro uznajemy je za wystarczające do wykonywania operacji
> bankowych zmieniających stan konta, to tym bardziej są wystarczające
> do operacji "read-only" typu generowania wyciągów. 

Implikacja prawdziwa, z zalozeniem tez moge sie ostroznie zgodzic.

> Wracając do sedna: istotą rzeczy jest, czy wyciąg przesyłany otwartym
> tekstem - elektronicznie bądź nie - stanowi poważne (lub niepoważne :-))
> zagrożenie, i czy różnica pomiędzy formą papierową a cyfrową
> nieszyfrowaną jest istotna. Może o tym podyskutujmy, jeśli nadal masz
> ochotę...

Tylko powtorze, roznica jest IMHO istotna, bo forma cyfrowa ma
proste slabosci, ktorych nie ma forma papierowa. Dodatkowo forme
cyfrowa dosc latwo skutecznie zabezpieczyc, chocby opcjonalnie.
Zagrozenie jest IMHO dosc powazne, choc pewnie nie "krytyczne".

Trzeba pamietac ze typowy atak, zwlaszcza taki "drozszy",
nieautomatyczny, inny niz majacy na celu produkcje spam-zombie, sklada
sie z kilku elementow i wymaga odpowiedniego wykorzystania kilku dziur
w serze szwajcarskim :-)
-- 
Krzysztof Halasa

Krzysztof Halasa submitted this idea :
> Ale co jest tam nietrywialnego?
> a) traceroute + whois :-)
> b) google map
> c) moze google znajdzie nam odpowiednich ludzi?
> d) korupcja - nie mowilem, ze wszystko bedzie legalnie :-(

Jeszcze prościej znaleźć listonosza i przejąć papierowy wyciąg.

pozdrawiam
Jakub

Jakub Debski <debski.jakub@wp.pl> writes:

>> Ale co jest tam nietrywialnego?
>> a) traceroute + whois :-)
>> b) google map
>> c) moze google znajdzie nam odpowiednich ludzi?
>> d) korupcja - nie mowilem, ze wszystko bedzie legalnie :-(
>
> Jeszcze prościej znaleźć listonosza i przejąć papierowy wyciąg.

Jeden wyciag, moze nawet 20 - oczywiscie, ale co to daje?
Co innego duza czesc albo po prostu wszystkie wyciagi z danego
banku.
-- 
Krzysztof Halasa

Konrad Stepien wrote:
> No właśnie. Po kiego wysyłać wyciągi pocztą, jak można je udostępnić
> przez HTTP szyfrowane SSL-em?
> Tak BTW, które banki wysyłaja e-mailem wyciągi? Bo te z których
> korzystam dają tylko podgląd przez www (do wydruków pdf-ki,
> albo osobno formatowane HTML-e).
> 

Citi. Ale w zahaslowanym PDFie. Mozna wymienic na powiadomienia o 
wyciagu do pobrania z www.

Wieslaw

Krzysztof Halasa pisze:

> Ale co jest tam nietrywialnego?
> a) traceroute + whois :-)
> b) google map
> c) moze google znajdzie nam odpowiednich ludzi?
> d) korupcja - nie mowilem, ze wszystko bedzie legalnie :-(


Phii a listonosza to przekupic nie mozna ?  Po wyjsciu z poczty idzie do 
  VANA wyciaga wszystkie listy od banków i skanerkiem czytamy zawartosc.

10-15 minut i gotowe