Java vs. ActiveX, tietoturva ...

Mika0800

Java vs. ActiveX, tietoturva ...

Näillä kahdellla ero taitaa olla paljon pienempi kuin moni luuleekaan !

Luin juuri tämän artikkelin:

http://www.digitoday.fi/keskustelut/thread.jspa?threadID=107982&start=20&sourceStart=0

lainaus siellä esitetyistä kommenteista:



"Asia 0:

Digitaalisesti allekirjoittamaton appletti ei voi tehdä oikeastaan mitään muuta, kuin ottaa yhteyttä hostiin/domainiin josta se on ladattu.

Asia 1:

Vain digitaalisesti allekirjoitettu appletti voi kutsua natiivikoodia

Asia 1.1:

Digitaalinen allekirjoitus ei tosin takaa, etteikö sovellus tekisi mitään asiatonta, se takaa vain sovelluksen alkuperän ja sen ettei sovellusta ole ronkittu matkalla.

Asia 2:

Sammon appletti kerää JNI-koodilla joukon tietoa koneesta (ja käyttäjästä, siellä on username mukana), joista lasketaan hash-koodi."



Yhteenvetonsa siis:

Digitaalisesti allekirjoittettu java-appletti selaimessa voi siis tehdä kaikkea sitä, mitä ActiveX -komponenttikin.

Ainoa ero on se, että Java-"hiekkalaatikon" ulkopuolelle pääsyn saamiseksi Java -appletti joutuu ensin lataamaan koneelle JNI -natiivikirjaston (windowsissa xxxx.dll) ja tallentamaan sen paikalliselle kiintolevylle ja käynnistämään sen (mikä allekirjoitetulta Java-appletilta onnistuu käyttäjältä mitään kyselemättä).

Sampo-pankin verkkopankin javasovellus siis urkkii käyttäjän koneen kokoonpanotietoja sekä käyttäjänimen.

Pasiradiossa mainittiin myös Nordea, tosin minulle jäi epäselväksi, miten (jos yleensä mitenkään) Nordea liittyy asiaan.

Onko tästä Java -hullutuksesta tulossa muidenkin pankkien asiakkaiden riesa ?

6

1042

Äänestä

    Vastaukset

    Anonyymi (Kirjaudu / Rekisteröidy)
    5000
    • d23

      Ja on syytä muistaa että IE:n asetuksista pystyy säätämään niin, että vain allekirjoitettu ActiveX suoritetaan.

      Onhan tuo Sammon käyttämä juttu kökkö, ensinmäistä kertaa kun laskuja maksoin niin joutu siinä hetken hämmästelee että todellakin Java-appletin popuppiin salasana syötetään, tuon ulkoasu poikkeaa Sammon yleisilmeestä kovasti. Periaatteessahan koneelle haittaohjelma joka tekee oman Java popuppinsa kun käyttäjä on yhteydessä Sampoon ja sitten kyselee tarvittavia tietoja. Mistäs käyttäjä erottaa onko popuppi oikea vaiko väärä.

      Sekä nykyiselläänhän tuo tietoturva on huonompi, ennen laskut hyväksyttiin kortilla olevalla kertakäyttöisellä tunnusluvulla, nyt samalla nelimerkkisellä salasanalla jota käytetään pankkiin kirjaantumiseen.

      Sekä tuo Appletti tekee koneelle mitään kysymättä e-Safekey hakemiston, tästä en ainakaan itse huomaa vieläkään tietoa Sammon sivuilla eikä hakukaan sitä kerro. Varmaan moni on ihmetellyt mikä troijalainen koneelle on tullut.


      Allekirjoitettu Java Appletti kysyy lupaa suorittaa JNI koodia ja jos käyttäjä klikkaa luota aina allekirjoittajaan x. Sitten joskus joku huomaa että tuossa appletissa onkin aukko jota voi hyödyntää. Vaikka Sampo/Danskebank korjaisi heti tuon aukon, niin vanhan appletin voi sijoittaa kuka tahansa omille kotisivuille ja käyttää tuota aukkoa hyödykseen, koska appletti on yhä allekirjoitettu.

      • John Carter

        "Sekä tuo Appletti tekee koneelle mitään kysymättä e-Safekey hakemiston, tästä en ainakaan itse huomaa vieläkään tietoa Sammon sivuilla eikä hakukaan sitä kerro. Varmaan moni on ihmetellyt mikä troijalainen koneelle on tullut."

        Tätä voi kokeilla vaikka ei ole sampopankin asiakas, naputtaa vain jotain tuohon kirjautumiskohtaan:
        https://verkkopankki.sampopankki.fi/

        Höpsistäheijaa ja koneella on e-Safekey-hakemisto global.dat-tiedosto.

      • minulla
        John Carter kirjoitti:

        "Sekä tuo Appletti tekee koneelle mitään kysymättä e-Safekey hakemiston, tästä en ainakaan itse huomaa vieläkään tietoa Sammon sivuilla eikä hakukaan sitä kerro. Varmaan moni on ihmetellyt mikä troijalainen koneelle on tullut."

        Tätä voi kokeilla vaikka ei ole sampopankin asiakas, naputtaa vain jotain tuohon kirjautumiskohtaan:
        https://verkkopankki.sampopankki.fi/

        Höpsistäheijaa ja koneella on e-Safekey-hakemisto global.dat-tiedosto.

        >...ja koneella on e-Safekey-hakemisto global.dat-tiedosto.

        Kokeilin piruuttani mutta mitään hakemistoja tai tiedostoja ei ilmesty.

        Ympäristönä Mandriva 2007 ja Opera 9.5

        Jos tuollaista tosiaan tapahtuu Windowsilla niin itse kyllä tekisin rikosilmoituksen. Joku raja pitää olla tunkeilullakin.

      • JAVA Opiskelija

        Taitaa olla oikea älynväläys sillä javan jsp ja servletti on aika lailla php:n vastine javalta. Kuka helvetti laittoi apletin Sampopankin palvelulle.

        DANSKE PANKIN SEKOILUJA EI SIIS KEKSIS TYHMEMPÄÄ IDEAA ITSEKKÄÄN.

        APletti on aivan erijuttu kuin php:n muistuttava servletti ja jsp tekniikka joka on vaikeampi toteuttaa. Mutta suppeampi mahdollisuus tehä yhtä laajoja kun phpllä. Tuolla oisi vielä voinut pankkia hoittaa mutta että apleteilla

    • Että näin

      Dna-prepaisilla en ole saanut puheluita läpi kahteen tuntiin minnekään. Kaksi tuntia sitten huomasin asian avatessani ja yrittäessäni soittaa kännykällä. Ylsi tekstiviesti tuli kuitenkin läpi.

      Ei kuulu tähän keskusteluketjuun mutta annanpa tiedoksi.

    Ketjusta on poistettu 0 sääntöjenvastaista viestiä.

    Takaisin ylös

    Luetuimmat keskustelut

    1. Voitasko leikkiä jotain tunnisteleikkiä?

      Tietäisi ketä täällä käy kaipaamassa.. kerro jotain mikä liittyy sinuun ja häneen eikä muut tiedä. Vastaan itsekin kohta
      Ikävä
      77
      1766

    2. Tietysti jokainen ansaitsee

      Hän varmasti ansaitsee vain parasta ja sopivinta tietenkin, suon sen onnen hänelle enemmän kuin mielelläni. Aika on nyt
      Ikävä
      18
      1669

    3. Millä voin

      Hyvittää kaiken?
      Ikävä
      14
      1458

    4. En voi sille mitään

      Tulen niin pahalle tuulelle tästä paikasta nykyisin. Nähnyt ja lukenut jo kaiken ja teidän juttu on samaa illasta toisee
      Ikävä
      12
      1154

    5. 50+ naiset kyl

      Lemottaa sillille mut myös niitte kaka lemottaa pahlle ku kävin naiste veskis nuuhiin
      Ikävä
      19
      1153

    6. Välitän sinusta mies

      Kaikki mitä yritin kertoa tänään ei mennyt ihan putkeen..Joka jäi jälkeenpäin ajateltuna suoraan sanottuna harmittaa aiv
      Työpaikkaromanssit
      5
      1141

    7. hieman diabetes...

      Kävin eilen kaverin kanssa keskusapteekissa kun on muutama kuukausi sitten tullut suomesta ja oli diabetes insuliinit lo
      Pattaya
      12
      1106

    8. Annetaanko olla vaan

      Siinä se, tavallaan kysymys ja toteamuskin. Niin turhaa, niin rikkovaa. On niin äärettömän tärkeä, ja rakas olo.. N
      Ikävä
      29
      1101

    9. Miten joku voi käyttää koko elämänsä

      siihen että nostelee täällä vanhoja ketjuja ja troIIaa niihin jotain linkkiä mitä kukaan ei avaa? Ihmisellä ei ole mitää
      Tunteet
      6
      1089

    10. Pakkoruotsi on leikkikieli, jota ei ole tarkoituskaan osata

      Pakkoruotsi on leikkikieli. Ennen leikkikieltä sanottiin siansaksaksi, sitten keksittiin tilalle pakkoruotsi. Pakkoruot
      Kielipolitiikka
      7
      1074
    Aihe
    TietosuojaselosteKäyttöehdotEvästeasetuksetSäännöt