Sprytniejszy atak na klientów BZ WBK 24
Przestępcy wyciągnęli wnioski i dziś od rana zalali polskich internautów fałszywymi e-mailami, tym razem napisanymi poprawną polszczyzną oraz innymi w języku angielskim. Kolejny atak typu phishing na klientów banku BZ WBK 24 jest też bardziej przemyślany.
Dwa tygodnie temu przeprowadzono nieudolny atak na klientów BZ WBK, próbując wyłudzić numery kart kredytowych wraz datą ważności i kodem PIN. Tym razem przestępcy trochę bardziej się postarali.....
No dobrze, ale ktoś może zapytać a co to jest ta "żółta kłódka SSL" ?
- Uwierzytelnienie serwera - czyli potwierdzenie jego autentyczności certyfikatem X.509
- Poufność i integralność transmisji - czyli ochronę przed podsłuchaniem wrażliwej treści na trasie między serwerem i przeglądarką, lub jej nieuprawnioną modyfikacją;
- uwierzytelnienie w SSL/TLS jest asymetryczne i jednostronne - w przeważającej większości zastosowań tylko serwer uwierzytelnia się za pomocą certyfikatu X.509. Klient robi to później, loginem i hasłem, już wewnątrz tunelu SSL/TLS.
Powód dla którego uwierzytelnienia się tylko serwer jest bardzo prosty i pragmatyczny - uwierzytelnienie klienta certyfikatem X.509 wymaga posiadania certyfikatu. A ten przywiązuje klienta albo do konkretnego komputera albo do karty elektronicznej - a ta z kolei wymaga czytnika i sterowników.
Poza ochroną przed podsłuchiwaczami zadaniem SSL/TLS jest przede wszystkim zapewnienie klienta, że łączy się z tym serwerem, z którym rzeczywiście chciał się połączyć. Po to właśnie operator serwera kupuje certyfikat X.509 w centrum certyfikacji. Centrum gwarantuje klientowi, że łącząc się przez SSL z serwerem ( przykład) https://wbkbz.pl/ łączy się faktycznie z serwerem, który ma prawo posługiwać się tą nazwą. Oraz, że serwis ten należy do "WBK BZ SA" z Poznania (? tu się mogę mylić czy aby napewno WBK BZ ma siedzibę w Poznaniu) .
Reasumując,protokół SSL, jak każdy mechanizm bezpieczeństwa, jest protokołem silnym tylko pod warunkiem poprawnego wykorzystania. Tymczasem w praktyce, z powodu braku zrozumienia pewnych niuansów implementacji tej technologii, administratorzy zbyt często popełniają błędy. Powodują one, że zabezpieczenie komunikacji poprzesz SSL jest w dużej mierze fikcyjne.
Źródła:
- SSL -Wikipedia Wolna Encyklopedia.
- Stephen Thomas - "SSL and TLS Essentials", Wiley and Sons 2000.
- http://www.securitynet.pl/
- Dafydd Stuttard and Marcus Pinto - "The Web Application Hacker’s Handbook",Wiley Publishing, Inc 2008.
- Simson Garfinkel & Eugene H. Spafford - "Web Security & Commerce" O'Reilly
- Bret Hartman,Donald J. Flinn,Konstantin Beznosov,Shirley Kawamoto - "Mastering Web Services Security" , Wiley Publishing, Inc.,2003
0 komentarze:
Prześlij komentarz