Új hozzászólás Aktív témák

• #19 dragon1993 őstag SaGaIn #18

  Új Válasz 2017-05-10 13:08:33 #19

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  dragon1993

  őstag

  válasz SaGaIn #18 üzenetére

  HSTS nem hagyja felülbírálni, nem jelenik meg, hogy folytatás elég eldugott helyen a configba tudod csak törölni a hsts bejegyzést.

• #18 SaGaIn senior tag dragon1993 #17

  Új Válasz 2017-05-10 12:54:32 #18

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  SaGaIn

  senior tag

  válasz dragon1993 #17 üzenetére

  Értem. Szoval csak nagyon, nagyon hülye felhasználók akik felülbírálják a védelmet szívhatják meg.

• #17 dragon1993 őstag SaGaIn #16

  Új Válasz 2017-05-09 15:50:21 #17

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  dragon1993

  őstag

  válasz SaGaIn #16 üzenetére

  Gyakorlatilag az, hogy megadhatsz két aktív cert-et amiket elfogad és a többit nem fogja akkor se ha alapból érvényes lenne.

  Ez azért jó, mert a bank ügyfelei beléptek már az oldalra, azután HTTPS nélkül (HSTS bekapcsolva) nem fog bejönni az oldal az ügyfélnek. A HPKP-vel meg csak azzal a 2 cert-el jön be az oldal amit a bank beállított, így a lopott domainhez hiába szerzel be Let's Encrypt vagy bármi más DV cert-et marad a kikerülhetetlen piros ablak, hogy ez egy támadó oldal.

• #16 SaGaIn senior tag dragon1993 #14

  Új Válasz 2017-05-09 14:18:25 #16

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  SaGaIn

  senior tag

  válasz dragon1993 #14 üzenetére

  HPKP az mi?

• #15 donki senior tag waveson #3

  Új Válasz 2017-05-09 11:22:23 #15

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  donki

  senior tag

  válasz waveson #3 üzenetére

  Azt azért vágod, hogy egy embernek több számlája is lehet, ugye? Ráadásul jogi személyeknek is lehet bankszámlája, több is.

• #14 dragon1993 őstag SaGaIn #10

  Új Válasz 2017-05-08 21:32:46 #14

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  dragon1993

  őstag

  válasz SaGaIn #10 üzenetére

  Egy HPKP szerintem simán megállította volna.

• #13 Depression veterán

  Új Válasz 2017-05-08 21:05:09 #13

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Depression

  veterán

  Mobil alkalmazásos token-nel tudnának mit kezdeni?

• #12 goccer aktív tag

  Új Válasz 2017-05-08 14:24:11 #12

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  goccer

  aktív tag

  "Banki kétfaktoros azonosítást játszottak ki" - ezt bárhogy számolom egy faktornak tűnik, csak két lépcsővel

• #11 t72killer titán SaGaIn #10

  Új Válasz 2017-05-08 13:20:46 #11

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  t72killer

  titán

  LOGOUT blog

  válasz SaGaIn #10 üzenetére

  Ez kemény+elég ritka. Kicsit meghaladja meg a hétvégi középsulis hekkelgessünk-szakkör képességeit

• #10 SaGaIn senior tag t72killer #9

  Új Válasz 2017-05-08 12:23:47 #10

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  SaGaIn

  senior tag

  válasz t72killer #9 üzenetére

  Nem biztos...

  Nem rég volt egy hír hogy egy brazil bankot nyomtak fel úgy, hogy a DNS-ben átírták az ip-t és létrehoztak egy teljesen ugyanolyan oldalt, még a HTTPS hitelesítést is szereztek. na most ha első két bejelentkezést a fals oldalon teszi mega user majd átdobják a valódira senkinek nem tűnik fel csak annyi hogy két alkalommal kap egy rosz usernév/jelszó üzenetet, majd hirtelen frissül az oldal és harmadjára beengedi.

  Ilyen próbálkozásnál csak a leggyakorlottabb infósoknak kattan le hogy mi a helyzet...

  Egy napig nem tűnt fel a banknak hogy mi a baj...

• #9 t72killer titán Gaborz1 #6

  Új Válasz 2017-05-08 11:51:16 #9

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  t72killer

  titán

  LOGOUT blog

  válasz Gaborz1 #6 üzenetére

  Ahhoz is nagy lumennek kell lenni manapság, hogy az ember emailben kapott hamis bankos linkre klikkelve megadja a belépési adatait...

• #8 Ciccuka veterán waveson #3

  Új Válasz 2017-05-08 11:32:14 #8

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Ciccuka

  veterán

  válasz waveson #3 üzenetére

  Az szerintem 7 ezer ember érintett akart lenni.

• #7 Stanlee őstag t72killer #1

  Új Válasz 2017-05-08 11:19:46 #7

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Stanlee

  őstag

  válasz t72killer #1 üzenetére

  A nemet bankoknal utalashoz kell egy egyszer hasznalatos PIN-kod, ok ezt TAN-nak hivjak. Tobbfele azonositasi mod van a TAN-ban, a legregebbi, amikor egy papirra kinyomtatott listat adtak a usernek, akitol a online bankolasi felulet az utalas elesitesehez bekerte a TAN listarol az x. szamot.

  A bankoknal van a mobil TAN, vagy mTAN. A tamadok ezt hasznaltak ki, ugyanis itt sms-ben kapja meg az ember az utalas aktivalasahoz a kodot. A modszer az volt, hogy a fake oldalakon begyujtottek az online banki felulethez szukseges felhasznalonev/jelszo parost, ha ugyesek voltak, akkor a mobilszamot is (az en bankom mar hetek ota kiirja a sajat belepesi oldalan, hogy phising veszely van, csak a hivatalos cimen lepjen be az ember). Addig amig az sms tartalmat nem tudjak elolvasni, nincs semmi gond, mert a mTAN nelkul csak nezegetni tudjak a bankszamlat, elutalni nem tudnak rola. De ha mindharom adat megvan, akkor mehet az utalas.

  Tiszta ugy, ehhez kell az is, hogy a user rossz oldalon jelentkezen be a bank online feluletere.

• #6 Gaborz1 senior tag

  Új Válasz 2017-05-08 11:19:13 #6

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Gaborz1

  senior tag

  Ezért kell a jó öreg dunyhában tartani a pénzt.
  Amelyik hacker onnan kibűvöli a dellát az az igazán nagy mágus. Ja várjunk csak, ez a betörő.

• #5 scyllafren senior tag t72killer #1

  Új Válasz 2017-05-08 11:17:59 #5

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  scyllafren

  senior tag

  válasz t72killer #1 üzenetére

  Megszerzik az ugyfel login adatait, es megtudjak a telefonszamat. Megprobalnak belepni, bank kuld SMS-t, ezt az adathalaszok elfogjak, es belepnek. Ugyfel meg jo esellyel eszre se veszi, hogy kapott SMS-t, mivel vagy kiutik az ertesitest, vagy sose erkezik meg a telefonra.

• #4 frewwy tag t72killer #1

  Új Válasz 2017-05-08 11:07:04 #4

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  frewwy

  tag

  válasz t72killer #1 üzenetére

  Jááj, azt hittem még mobilarénán vagyok és ez a galaxy s7 xD ON: Ha évek óta fennálló hiba, miért nem javítják?

• #3 waveson tag Fred23 #2

  Új Válasz 2017-05-08 11:06:52 #3

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  waveson

  tag

  válasz Fred23 #2 üzenetére

  " egyes becslések szerint hétmilliárd felhasználó érintett."
  Azt azért vágjátok, hogy összesen 7mrd ember él a földön, ebben benne van a 2 hetes csecsemőm és a 80+ éves nagymamám, ők aztán igazi power userek főleg banki szektorban, meg a mongol, afrikai kisgyerekek benszülöttek (nem tudom hány milliárd embert soroltam fel itt hirtelen, aki életében nem fogott még mobiltelefont, mert hát minek), és a többi.
  lol.

• #2 Fred23 nagyúr

  Új Válasz 2017-05-08 10:47:57 #2

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Fred23

  nagyúr

  "évek óta ismert hálózati protokollhibát kihasználva"

  

• #1 t72killer titán

  Új Válasz 2017-05-08 10:41:35 #1

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  t72killer

  titán

  LOGOUT blog

  Nem világos, hogy lehet értelmes ügyféltől így pénzt lopni. SMS-ben kapok kódot a belépéshez vagy tranzakció-visszaigazoláshoz, de kell egy hamis weboldal is, amire rámennék (de minek is mennék bárhol linkelt oldalra, ha mindig magam gépelem be az ótépéponthu-t?). Ha meg van hamis weboldal, akkor minek az SMS-ekkel ügyeskedni?

  Ha meg a telefonom akar a bankkal SMS-ben kommunikálni, aligha fognak ügyfélazonosítás nélkül bármilyen üzit komolyan venni, főleg nem azt, hogy toljanak már át 2-3000EUR-t egy Közép-Afrikai bankszámlára...

Új hozzászólás Aktív témák