Jump to content

Добро пожаловать в Клуб

Присоединяйтесь к нам!

Додаток Дія


Дима
 Share

Recommended Posts

16 минут назад, loboris63 сказал:

Если эти зелёные прохвесиАналы, даже имея солидное западное финансирование, ничего толкового создать не могут, надо разгонять к %Yям Минцифры и брать на работу эти юные дарования, которые на коленке создают продукт, ломающий "найсучасніший і найзахищеніший софт". Хотя, о чём это я?...

Где кого они сломали?)

Link to comment
Share on other sites

12 минуты назад, Дима сказал:

Где кого они сломали?)

Дию. Или я что-то пропустил?) 

Link to comment
Share on other sites

24 минуты назад, loboris63 сказал:

Дию. Или я что-то пропустил?) 

Ну, копия это не взлом)

Они замутили просто редакторы с похожим фоном. А тупые людишки покупают. Влететь в проблемы, при этом заплатить ещё и за причину влета. Где же логика?

В целом, я не об этом. А про Харьков и им подобных. Убрать за такое послабление на основании возраста. А то начинается потом - ой, ему 17, ой, он ниче не помнит, ой, он отказывается от анализа крови. А хуйню пороть - это дааа. Ну так пусть учатся ответственности.

Link to comment
Share on other sites

Чому я так "люблю" додаток Дія і мін циркової трансформації? А чи не хейтер я? Бо воно ж таке зручне, таке модне, всі документи в смартфоні.
Ні друзі мої, я не хейтер. Я фахівець з інформаційної безпеки і бачу страшенні ризики які виникли коли мінЖеЖе випустило додаток Дія і прирівняло його до документів (насправді на щастя ні але, але...). Але коли я починаю це казати деяким молодим, модним але не дуже глибоким людям, навіть ойтішнегам, то чую у відповідь що я старий ретроград. що папірці віджили і т.п. Ойтішненги починають мені розказувати що телефон зламати неможливо, що там відбитки пальця, супер-пупер захищена ОС та інші прекраснодушні речі. Що "документ", показаний в додатку Дія має бути верифікований за допомогою динамічного QR коду - ви показуєте свій код скажімо касиру в банку, той сканує код іншою Дією, шле на сервер і вже сервер відповідає це правильний код чи ні. І це крутіше за папір, модно, надьожно і молодьожно.
Але хохма в тому, що така схема з динамічним QR кодом має принципову вразливість до порівняно простої атаки яка не потребує зламу ані телефонів, ані серверів, а всього навсього фальшиву "Дію" (що як показали вже два вундеркінда, не потребує великих затрат чи хисту), треновану команду шахраїв і... І власне все. Як? ну тоді читайте.
Дисклаймер - цю схему я прочитав у коментарях до посту Шон Таунсенд . Якщо хтось претендує на авторство - пишіть, додам.
Отже, давай спочатку розпишемо дієвих осіб так як це люблять робити при описі схем шифрування, аутентифікації і т.п.
Аліса - молодий, легковірний ойтішнег зі встановленною на смартфоні легітимною Дією.
Боб - шахрай, з фейковою "Дією", яка вміє показувати фотку Боба з даними Аліси (вони відкриті) а також демонструвати довільний код.
Чарлі... Чарлі може або бути чесним клерком по видачі кредиту чи інших смачних плюшок, або також бути в ділі з Бобом та іншим його спільником Девідом, про якого пізніше. Членство Залученість Чарлі в аферу спрощує справу, але не є обов'язковим, бо афера вийде і з чесним Чарлі, просто оркестрація буде складніша.
Ну і Девід. Девід це людина також з фальшивою Дією і саме йому Аліса покаже свій код в справжній Дії. А спонукати Алісу показати код набагато простіше ніж заставити Алісу показати свої циц..., ну інтимні частини тіла. Бо код треба показувати і касирці в супермаркеті якщо ви виглядаєте молодо, але набрали бухла на вечір. І саме цей код відрізняє веселі малюночки в смартфоні від електронного документу по версії мінцирку.
Отже дієві особи є, почнемо нашу п'єсу.
Прийшов собі Аліса в супер, як я казав, набрав пліснявих сирів і пару пляшок віскі. На вечір. Так. Чуть чуть. Але позаяк Аліса виглядає досить молодо то Девід просить показати документ, який посвідчує що Алісі пити можна. Аліса гордо показує свій смарт з дією і тут Девід сканує код. Легітимний і справжній код який засвідчує що Дія Аліси таки належить Алісі. І тут починається.... Ні, не магія, а шахрайство.
Девід сканує код фальшивою Дією, яка його не передає на сервер, а посилає Бобу. А Боб в цей момент в кредитній установі як раз показує свою фальшиву "Дію" Чарлі. І Чарлі сканує з фальшивої "Дії" своєю справжньою Дією справжній код Аліси, яку імперсонує Боб. І код цей шлють на справжній легітимний сервер і отримують від нього добро і видають вже інше добро у вигляді грошей чи інших плюшок Бобу під іменем Аліси. І в усіх логах Чарлі і його фінансової установи, а також в логах серверу мінцирку все буде легітимно і однозначно вказувати що при видачі кредиту для ідентифікації було використано справжній код в Дії яка належить Алісі. І буде наш ойтішнег Аліса запивати нерви після зустрічі з колекторами своїм віскі. Чи вже дешевим пивом. І довести факт такої афери буде практично неможливо.
Звичайно, ви скажете що таке складно організувати. Якщо Чарлі не в ділі, то складно, але можливо. А якщо ж Чарлі таки член цієї шайки то ооооо.... аааааа... кожна верифікація вашого "паспорту" в Дії це ризик. Ризик того що насправді ваш код сканують шахраї щоб використати його в такій, чи подібній схемі. І ризик цей високий. І закладений він в самому принципі верифікації картинки в смартфоні.
Тому висновок простий - не використовуйте додаток Дія. Ніколи. Бо писати його може хоч ЕПАМ, хоч Оракл, хоч генії - надійність самого додатку нічим не допоможе.
Правда, на жаль, не ставити Дію також не гарантує безпеки...
PS
Ну і абсолютно просто і прекрасно ця схема працює для фальсифікації виборів...
Link to comment
Share on other sites

Скрытый текст

Я волком бы
выгрыз
бюрократизм.
К мандатам
почтения нету.
К любым
чертям с матерями
катись
любая бумажка.
Но эту…

...

Я
достаю
из широких штанин
дубликатом
бесценного груза.
Читайте,
завидуйте,
я —
гражданин
Советского Союза.

© В. Маяковский

:k05163:

  • Upvote 1
Link to comment
Share on other sites

6 часов назад, Дима сказал:

сценарист) распространяешь инфу

Мне больше нравится переделанный школьный вариант этого стишка...

Link to comment
Share on other sites

Народ, у кого 2 авто на одном человеке,

Они обе сразу подтянулись?

Link to comment
Share on other sites

9 часов назад, Дима сказал:

Они обе сразу подтянулись?

На жене две машины и прицеп. Сразу всё показало.

  • Thanks 1
Link to comment
Share on other sites

Специально для  таких случаев у меня есть карточка, баланс которой 3грн. После получения на неё денег, сразу снимаю. А когда спрашивают про три цифры на обороте, говорю, что у меня там буквы. Какие? - Х,У и Й.

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

 Share

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...

Important Information

By using this site, you agree to our Terms of Use.