Java vs. ActiveX, tietoturva ...

Mika0800

Java vs. ActiveX, tietoturva ...

Näillä kahdellla ero taitaa olla paljon pienempi kuin moni luuleekaan !

Luin juuri tämän artikkelin:

http://www.digitoday.fi/keskustelut/thread.jspa?threadID=107982&start=20&sourceStart=0

lainaus siellä esitetyistä kommenteista:



"Asia 0:

Digitaalisesti allekirjoittamaton appletti ei voi tehdä oikeastaan mitään muuta, kuin ottaa yhteyttä hostiin/domainiin josta se on ladattu.

Asia 1:

Vain digitaalisesti allekirjoitettu appletti voi kutsua natiivikoodia

Asia 1.1:

Digitaalinen allekirjoitus ei tosin takaa, etteikö sovellus tekisi mitään asiatonta, se takaa vain sovelluksen alkuperän ja sen ettei sovellusta ole ronkittu matkalla.

Asia 2:

Sammon appletti kerää JNI-koodilla joukon tietoa koneesta (ja käyttäjästä, siellä on username mukana), joista lasketaan hash-koodi."



Yhteenvetonsa siis:

Digitaalisesti allekirjoittettu java-appletti selaimessa voi siis tehdä kaikkea sitä, mitä ActiveX -komponenttikin.

Ainoa ero on se, että Java-"hiekkalaatikon" ulkopuolelle pääsyn saamiseksi Java -appletti joutuu ensin lataamaan koneelle JNI -natiivikirjaston (windowsissa xxxx.dll) ja tallentamaan sen paikalliselle kiintolevylle ja käynnistämään sen (mikä allekirjoitetulta Java-appletilta onnistuu käyttäjältä mitään kyselemättä).

Sampo-pankin verkkopankin javasovellus siis urkkii käyttäjän koneen kokoonpanotietoja sekä käyttäjänimen.

Pasiradiossa mainittiin myös Nordea, tosin minulle jäi epäselväksi, miten (jos yleensä mitenkään) Nordea liittyy asiaan.

Onko tästä Java -hullutuksesta tulossa muidenkin pankkien asiakkaiden riesa ?

6

1108

Äänestä

    Vastaukset

    Anonyymi (Kirjaudu / Rekisteröidy)
    5000
    • d23

      Ja on syytä muistaa että IE:n asetuksista pystyy säätämään niin, että vain allekirjoitettu ActiveX suoritetaan.

      Onhan tuo Sammon käyttämä juttu kökkö, ensinmäistä kertaa kun laskuja maksoin niin joutu siinä hetken hämmästelee että todellakin Java-appletin popuppiin salasana syötetään, tuon ulkoasu poikkeaa Sammon yleisilmeestä kovasti. Periaatteessahan koneelle haittaohjelma joka tekee oman Java popuppinsa kun käyttäjä on yhteydessä Sampoon ja sitten kyselee tarvittavia tietoja. Mistäs käyttäjä erottaa onko popuppi oikea vaiko väärä.

      Sekä nykyiselläänhän tuo tietoturva on huonompi, ennen laskut hyväksyttiin kortilla olevalla kertakäyttöisellä tunnusluvulla, nyt samalla nelimerkkisellä salasanalla jota käytetään pankkiin kirjaantumiseen.

      Sekä tuo Appletti tekee koneelle mitään kysymättä e-Safekey hakemiston, tästä en ainakaan itse huomaa vieläkään tietoa Sammon sivuilla eikä hakukaan sitä kerro. Varmaan moni on ihmetellyt mikä troijalainen koneelle on tullut.


      Allekirjoitettu Java Appletti kysyy lupaa suorittaa JNI koodia ja jos käyttäjä klikkaa luota aina allekirjoittajaan x. Sitten joskus joku huomaa että tuossa appletissa onkin aukko jota voi hyödyntää. Vaikka Sampo/Danskebank korjaisi heti tuon aukon, niin vanhan appletin voi sijoittaa kuka tahansa omille kotisivuille ja käyttää tuota aukkoa hyödykseen, koska appletti on yhä allekirjoitettu.

      • John Carter

        "Sekä tuo Appletti tekee koneelle mitään kysymättä e-Safekey hakemiston, tästä en ainakaan itse huomaa vieläkään tietoa Sammon sivuilla eikä hakukaan sitä kerro. Varmaan moni on ihmetellyt mikä troijalainen koneelle on tullut."

        Tätä voi kokeilla vaikka ei ole sampopankin asiakas, naputtaa vain jotain tuohon kirjautumiskohtaan:
        https://verkkopankki.sampopankki.fi/

        Höpsistäheijaa ja koneella on e-Safekey-hakemisto global.dat-tiedosto.

      • minulla
        John Carter kirjoitti:

        "Sekä tuo Appletti tekee koneelle mitään kysymättä e-Safekey hakemiston, tästä en ainakaan itse huomaa vieläkään tietoa Sammon sivuilla eikä hakukaan sitä kerro. Varmaan moni on ihmetellyt mikä troijalainen koneelle on tullut."

        Tätä voi kokeilla vaikka ei ole sampopankin asiakas, naputtaa vain jotain tuohon kirjautumiskohtaan:
        https://verkkopankki.sampopankki.fi/

        Höpsistäheijaa ja koneella on e-Safekey-hakemisto global.dat-tiedosto.

        >...ja koneella on e-Safekey-hakemisto global.dat-tiedosto.

        Kokeilin piruuttani mutta mitään hakemistoja tai tiedostoja ei ilmesty.

        Ympäristönä Mandriva 2007 ja Opera 9.5

        Jos tuollaista tosiaan tapahtuu Windowsilla niin itse kyllä tekisin rikosilmoituksen. Joku raja pitää olla tunkeilullakin.

      • JAVA Opiskelija

        Taitaa olla oikea älynväläys sillä javan jsp ja servletti on aika lailla php:n vastine javalta. Kuka helvetti laittoi apletin Sampopankin palvelulle.

        DANSKE PANKIN SEKOILUJA EI SIIS KEKSIS TYHMEMPÄÄ IDEAA ITSEKKÄÄN.

        APletti on aivan erijuttu kuin php:n muistuttava servletti ja jsp tekniikka joka on vaikeampi toteuttaa. Mutta suppeampi mahdollisuus tehä yhtä laajoja kun phpllä. Tuolla oisi vielä voinut pankkia hoittaa mutta että apleteilla

    • Että näin

      Dna-prepaisilla en ole saanut puheluita läpi kahteen tuntiin minnekään. Kaksi tuntia sitten huomasin asian avatessani ja yrittäessäni soittaa kännykällä. Ylsi tekstiviesti tuli kuitenkin läpi.

      Ei kuulu tähän keskusteluketjuun mutta annanpa tiedoksi.

    Ketjusta on poistettu 0 sääntöjenvastaista viestiä.

    Takaisin ylös

    Luetuimmat keskustelut

    1. Tänään pyörit ajatuksissa enemmän, kun erehdyin lukemaan palstaa

      En saisi, silti toivon että sinä vielä palaat ja otetaan oikeasti selvää, hioituuko särmät ja sulaudummeko yhteen. Vuod
      Ikävä
      22
      5124

    2. Huomenta ihana

      Kauniskasvoinen ihanuus 😘 saan sut vielä
      Ikävä
      25
      4278

    3. Hei rakas...

      Miten on työpäivä sujunut? Rakastan sinua 💗
      Ikävä
      27
      2441

    4. Edelleen sitä on vaikea uskoa

      Että olisit oikeasti rakastunut muhun
      Ikävä
      34
      2234

    5. Toiveikas vai toivoton

      torstai? Ajatuksia?
      Ikävä
      37
      1988

    6. Vitsi mihin menit. Heti takasin.

      Mä näin sut tuu takasin! Oli kiire, niin en ehtiny sin perään!
      Ikävä
      15
      1908

    7. En ole koskaan kokenut

      Ennen mitään tällaista rakastumista. Tiedän että kaipaan sinua varmaan loppu elämän. Toivottavasti ei tarvitsisi vain ka
      Ikävä
      19
      1587

    8. Mukavaa päivää

      Mun rakkauden kohteelle ❤️ toivottavasti olet onnellinen
      Ikävä
      12
      1521

    9. Voi ei! Jari Sillanpää heitti keikan Helsingissä - Hämmästyttävä hetki lavalla...

      Ex-tangokuningas on parhaillaan konserttikiertueella. Hän esiintyi Savoy teatterissa äitienpäivänä. Sillanpää jakoi kons
      Suomalaiset julkkikset
      21
      1237

    10. Kerranki asiat oikein

      Ilkka ja muut pienpuolueeet...teitte hyvän työn kun valitsitte pätevän henkilön virkaan eikä kepulle passelia!! Jatkakaa
      Haapavesi
      10
      1164
    Aihe
    TietosuojaselosteKäyttöehdotEvästeasetuksetSäännöt