Új hozzászólás Aktív témák

• #12 domi007 őstag

  Új Válasz 2011-04-26 10:48:36 #12

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  domi007

  őstag

  Emberek, úgy látom csak a lényeget nem fogjátok: itt nem az a gond, hogy ellopják a telefont, hanem az, hogy el sem kell lopni! Ha valaki egy hamis kártyaolvasónak adja ki magát, akkor elméletileg leszipkázhat minden fizetéshez szükséges infót a telefonodról, anélkül, hogy észrevennéd!

  Bár a kis hatótávolság miatt viszonylag biztonságos, lévén nagyon közel kell lennünk a célponthoz (ergo ezzel szabályozhatjuk a kommunikációt), de a szabvány nem definiál semmilyen titkosító protokollt a támadások kivédésére. Persze létezik megoldás, ilyen a magasabb szintű titkosítási eljárások (például TLS vagy SSL) használata.

  Kis hatótávolság - ezt már sokszor eljátszottuk, Bluetoothnál is pl. (eredetileg ugye kb. 10 m, mégis sikerült egy támadónak 1,6 km-re megnövelnie a hatótávolságot)...NFC-re is létezik már olyan cucc, ami több 10m-ről működik-

  Semmilyen titkosító protokoll - ez a rész az ami elkeserítő! Minden NFC-vel kapcsolatos hír fórumában ezért nyavajogtm, hogy csak ez ne legyen, csak ez ne legyen, de igen, muszáj volt ezt így csinálni...hadd küldjön a leolvasandó tag akármilyen adatot a telómra, végülis kicsi az esély, hogy majd olyasmit küld, ami pl. egy rootkitet installál...
  Meg ugye minek megakadályozni, hogy valaki gond nélkül meg is értse azonnal az általa lesniffelt tranzakciót, ne kelljen még valami titkosítást is feltörni (ne adj Isten, hogy szegény támadónak megnehezítsük a dolgát..fúúj).

  [ Szerkesztve ]

  "̶d̶e̶ ̶a̶ ̶t̶u̶d̶o̶m̶á̶n̶y̶ ̶m̶a̶i̶ ̶á̶l̶l̶á̶s̶a̶ ̶s̶z̶e̶r̶i̶n̶t̶ ̶a̶z̶ ̶i̶p̶a̶r̶i̶ ̶m̶é̶r̶e̶t̶e̶k̶b̶e̶n̶ ̶i̶s̶ ̶h̶a̶s̶z̶n̶á̶l̶h̶a̶t̶ó̶ ̶S̶H̶A̶1̶ ̶c̶o̶l̶l̶i̶s̶i̶o̶n̶t̶ ̶g̶e̶n̶e̶r̶á̶l̶ó̶ ̶e̶s̶z̶k̶ö̶z̶..." - 2017. február 23. óta már létezik

• #22 domi007 őstag Integra #18

  Új Válasz 2011-04-26 11:08:43 #22

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  domi007

  őstag

  válasz Integra #18 üzenetére

  Még mindig nem teljes a kép, ugyanis a figyelmetlen user-nél még mindig a user a hibás, itt viszont nem tehet ellene semmit (maximum acéltokban hordja a telefonját).

  Jó, hívjál vészmadárnak, de azt hiszem én már láttam olyan RFID implementációkat, amelyek a legfontosabb személyes adatok védelmét úgy oldották meg, hogy mindenféle autentikáció nélkül le lehetett szedni a kártyáról mindent.
  De mindegy, gondolom amíg el nem terjed egy kcisit és nem prezentálnak belőle egy hacker-konferencián, addig senki nem hiszi el, hogy mekkora veszély van ezekben..főként azért, mert észrevétlenül lehet velük szórakozni távolról...

  @rainmen:
  Lényegében erről van szó.

  [ Szerkesztve ]

  "̶d̶e̶ ̶a̶ ̶t̶u̶d̶o̶m̶á̶n̶y̶ ̶m̶a̶i̶ ̶á̶l̶l̶á̶s̶a̶ ̶s̶z̶e̶r̶i̶n̶t̶ ̶a̶z̶ ̶i̶p̶a̶r̶i̶ ̶m̶é̶r̶e̶t̶e̶k̶b̶e̶n̶ ̶i̶s̶ ̶h̶a̶s̶z̶n̶á̶l̶h̶a̶t̶ó̶ ̶S̶H̶A̶1̶ ̶c̶o̶l̶l̶i̶s̶i̶o̶n̶t̶ ̶g̶e̶n̶e̶r̶á̶l̶ó̶ ̶e̶s̶z̶k̶ö̶z̶..." - 2017. február 23. óta már létezik

• #26 domi007 őstag Integra #25

  Új Válasz 2011-04-26 11:43:22 #26

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  domi007

  őstag

  válasz Integra #25 üzenetére

  Igazából magam is bankkártya-tulaj vagyok, rendszeresen használom, soha nem volt problémám még internetes, kínai vásárlások esetén sem.

  Megvárom, hogy milyen biztonsági funkciók lesznek a fizetésben implementálva, és utána károgok erről, DE nem hiszem, hogy jó megoldás egy olyan protokoll ami megint plain-textben küld mindent. Ha hiba van az NFC adatok feldolgozó rutinjában akkor egy csinos exploittal meg pár helyen kiragasztott tag-el csomó telefon fölött simán átvehető az irányítás.
  Tényleg arra van szükség, hogy ezt a gyakorlatban is megcsinálja valaki, hogy elkezdjenek végre gondolkodni a szabvány kidolgozói és frissítsék egy titkosítással/autentikációval a szabványt?
  Nem a fejlődés ellen vagyok, hanem az ellen, hogy a nagy örömködésben, hogy JEE fejlődünk megint teljesen elsikkad az elmúlt évek tapasztalata (kijön egy új rádiós elveken működő cucc -> előbb utóbb megtörik -> sok sok pénzért kijavítják a hibát -> még több évig tart mire a végfelhasználó is frissít és többé nem sérülékeny a rendszere -> a dolgok normálisan folynak tovább)...majd megint lesz pofáraesés, és hibajavítás, de azt nem kérdezi meg senki, hogy "erre miért nem gondoltatok a szabvány 1.0-ás verziójában is?".

  "nem fogom odaérinteni a sarki purdé POS termináljához"
  Nem is kell, bőven elég ha elsétálsz mellette..

  [ Szerkesztve ]

  "̶d̶e̶ ̶a̶ ̶t̶u̶d̶o̶m̶á̶n̶y̶ ̶m̶a̶i̶ ̶á̶l̶l̶á̶s̶a̶ ̶s̶z̶e̶r̶i̶n̶t̶ ̶a̶z̶ ̶i̶p̶a̶r̶i̶ ̶m̶é̶r̶e̶t̶e̶k̶b̶e̶n̶ ̶i̶s̶ ̶h̶a̶s̶z̶n̶á̶l̶h̶a̶t̶ó̶ ̶S̶H̶A̶1̶ ̶c̶o̶l̶l̶i̶s̶i̶o̶n̶t̶ ̶g̶e̶n̶e̶r̶á̶l̶ó̶ ̶e̶s̶z̶k̶ö̶z̶..." - 2017. február 23. óta már létezik

• #28 domi007 őstag Lompos48 #27

  Új Válasz 2011-04-26 11:49:48 #28

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  domi007

  őstag

  válasz Lompos48 #27 üzenetére

  Nem akarok mély szakmai vitába bonyolódni, de a Bluetooth működése alapvetően eltér az NFC-től, a kettőt biztonsági szempontból összehasonlítani felesleges.

  Főleg azért, mert az általam vizionált probléma, t.i. a tag-ben olyan adatok voltak, amikkel sikerült kiütni az olvasó-programot és átvenni az adott gép fölött az irányítást már egyszer megtörtént. Nem ezen a platformon, de ugyanígy RFID alapú rendszerben, ugyanígy mindenféle biztonsági-protokoll nélkül.

  "̶d̶e̶ ̶a̶ ̶t̶u̶d̶o̶m̶á̶n̶y̶ ̶m̶a̶i̶ ̶á̶l̶l̶á̶s̶a̶ ̶s̶z̶e̶r̶i̶n̶t̶ ̶a̶z̶ ̶i̶p̶a̶r̶i̶ ̶m̶é̶r̶e̶t̶e̶k̶b̶e̶n̶ ̶i̶s̶ ̶h̶a̶s̶z̶n̶á̶l̶h̶a̶t̶ó̶ ̶S̶H̶A̶1̶ ̶c̶o̶l̶l̶i̶s̶i̶o̶n̶t̶ ̶g̶e̶n̶e̶r̶á̶l̶ó̶ ̶e̶s̶z̶k̶ö̶z̶..." - 2017. február 23. óta már létezik

• #31 domi007 őstag Integra #30

  Új Válasz 2011-04-26 12:01:08 #31

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  domi007

  őstag

  válasz Integra #30 üzenetére

  Nem baj, akkor megint beverjük a fejünket, megint koppanunk, és megint megyünk tovább.

  Csak azt a pár embert, aki megszívja sajnálom.

  "̶d̶e̶ ̶a̶ ̶t̶u̶d̶o̶m̶á̶n̶y̶ ̶m̶a̶i̶ ̶á̶l̶l̶á̶s̶a̶ ̶s̶z̶e̶r̶i̶n̶t̶ ̶a̶z̶ ̶i̶p̶a̶r̶i̶ ̶m̶é̶r̶e̶t̶e̶k̶b̶e̶n̶ ̶i̶s̶ ̶h̶a̶s̶z̶n̶á̶l̶h̶a̶t̶ó̶ ̶S̶H̶A̶1̶ ̶c̶o̶l̶l̶i̶s̶i̶o̶n̶t̶ ̶g̶e̶n̶e̶r̶á̶l̶ó̶ ̶e̶s̶z̶k̶ö̶z̶..." - 2017. február 23. óta már létezik

• #46 domi007 őstag Rickazoid #45

  Új Válasz 2011-04-26 15:17:35 #46

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  domi007

  őstag

  válasz Rickazoid #45 üzenetére

  A fizetés egyébként pont nem gyorsítható fel ezzel. Miért lenne gyorsabb, ha bekapcsolnád a telefonodon az NFC modult, elindítanál egy szoftvert, odatennéd egy modulhoz, elvennéd onnan, engedélyeznéd a tranzakciót majd beírnád a jelszavadat, visszaraknád a telefont a modulhoz, megvárnád, amíg végbemegy, ezután kilépnél és kikapcsolnád a modult?

  Maximálisan egyetértek!

  "̶d̶e̶ ̶a̶ ̶t̶u̶d̶o̶m̶á̶n̶y̶ ̶m̶a̶i̶ ̶á̶l̶l̶á̶s̶a̶ ̶s̶z̶e̶r̶i̶n̶t̶ ̶a̶z̶ ̶i̶p̶a̶r̶i̶ ̶m̶é̶r̶e̶t̶e̶k̶b̶e̶n̶ ̶i̶s̶ ̶h̶a̶s̶z̶n̶á̶l̶h̶a̶t̶ó̶ ̶S̶H̶A̶1̶ ̶c̶o̶l̶l̶i̶s̶i̶o̶n̶t̶ ̶g̶e̶n̶e̶r̶á̶l̶ó̶ ̶e̶s̶z̶k̶ö̶z̶..." - 2017. február 23. óta már létezik

Új hozzászólás Aktív témák