Как я племянника с Днем рождения поздравлял

[Hixon10]

Правда что, чтобы это работало, я должен быть авторизованным?

[BuriK666]

Статью не читай, комментарии пиши.

Единственно, что успокаивает, так это то, что с недавних пор в интернет-банкинге введена обязательная двухфакторная авторизация через смс или имейл и таким образом использовать эту уязвимость на взломанных аккаунтах стало на порядок сложнее.

[Hixon10]

Я эту фразу читал, и её можно интерпретировать по разному.

[Alesh]

Можно кого-нибудь забавно разыграть: «Уважаемый клиент, в уходящий год козы мы провели лотерею и вы стали обладателем ...». Вообще конечно такое недопустимо, люди по умалчиванию доверяют письмам отправленным с реальных адресов банка.

[dinikin]

Это самое безобидное, что можно сделать с такой уязвимостью. А можно перенаправить на фишинговый сайт интернет-банка и попросить авторизоваться

[z3apa3a]

Адрес отправителя можно подделать и без этой уязвимости. DMARC у банков популярности еще не заработал.

[DIHALT]

С альфабанка обычно идет столько бесполезных писем, что скорей ваше поздравление удалят не читая

[monah_tuk]

Письмо раз в два-три месяца, но да, полезными назвать их трудно :)

[bondarenko]

и не удивительно, с такой то уязвимостью…

[15432]

Чем отличается результат от использования любого сервиса подмены отправителя?

[dinikin]

Наверное тем, что ваше сообщение если и не попадет в спам, то например gmail напишет что-то типа «Возможно, это сообщение отправлено не пользователем ...»

[BuriK666]

А покажите заголовки писем отправленных таким образом.

[dinikin]

Delivered-To: [e-mail]
Received: by 10.***.**.93 with SMTP id *****;
Mon, 29 Dec 2014 15:09:08 -0800 (PST)
X-Received: by 10.***.**.142 with SMTP id ****.45.14****552;
Mon, 29 Dec 2014 15:09:06 -0800 (PST)
Return-Path: <prvs=4332b2943=[e-mail]>
Received: from dsipv.alfabank.kiev.ua (dsipv.alfabank.kiev.ua. [91.197.218.25])
by mx.google.com with ESMTP id ******.122.2014.12.29.15.09.05
for <[e-mail]>;
Mon, 29 Dec 2014 15:09:06 -0800 (PST)
Received-SPF: none (google.com: prvs=4332b2943=[e-mail] does not designate permitted sender hosts) client-ip=91.197.218.25;
Authentication-Results: mx.google.com;
spf=none (google.com: prvs=4332b2943=[e-mail] does not designate permitted sender hosts) smtp.mail=prvs=4332b2943=[e-mail]
Date: 30 Dec 2014 01:09:04 +0200
Received: from mynode2.alfa.bank.int ([172.17.142.104])
by dsip.alfabank.kiev.ua with ESMTP; 30 Dec 2014 01:09:04 +0200
From: AlfaBank <[e-mail]>
To: <[e-mail]>
Message-ID: <***********[e-mail]>
Subject: =?UTF-8?B?0J/RgNC40LLQtdGCISEh?=
MIME-Version: 1.0
Content-Type: multipart/mixed;

[Xeenon]

Как минимум тем, что в заголовках письма будет реальный IP банка.

[Gray_Wolf]

Наличием у письма DKIM подписи, которая подтверждает отправителя письма и то что письмо не было перехвачено и модифицировано.

[nochkin]

Судя по заголовкам выше, этот банк не используется DKIM, SPF и прочее.

[Gray_Wolf]

В данном случае это так.
Проблема в том, что когда банковский сервер честно отправляет письма пользователям, любые механизмы определения подмен становятся бесполезны.

[powerman]

Даже если ничем (хотя если бы они использовали SPF или DKIM то уровень доверия письмам был бы выше), то в любом случае это даёт возможность устроить DoS-атаку банка: если разослать с их сервера достаточно спама то их IP добавят в чёрные списки (из которых они задолбаются удаляться, особенно если проделать это несколько раз) и письма банка настоящим клиентам перестанут доходить. В общем, такие баги надо фиксить, не важно можешь лично ты прямо сейчас придумать вектор атаки через этот баг или нет — если ты не придумал, это ещё не значит, что его нет.

[KaneUA]

Это же деньги нужно тратить на программистов. А откуда у банка деньги?

[lionsimba]

А ещё Альфа-Банк — это уже второй банк, который считает, что мой e-mail адрес в зоне .name ([e-mail]) имеет некорректный формат.
Ответ службы поддержки: «В настоящее время настройки Интернет-Банка позволяют сохранять email с одним доменом. Обозначенный в обращении адрес данному правилу не соответствует.»

[stalinets]

Помню, когда-то имел почту вида [e-mail] — тоже многие парсеры не пропускали. А потом и почта эта то ли закрылась, то ли переехала куда-то.

[Chamie]

У меня есть e-mail вида i@<мой_ник>.ru Тоже время от времени приходится писать в техподдержку разных сервисов, не считающих его валидным (например, в TeamViewer'е уже исправили).

[bazil11]

оффтопик

Отличная у тебя «имеджборда» :D

[Chamie]

Скрытый текст

Спасибо, я старался. Пришлось поставить её не настраивая, а потом забыть про неё на 2 года. Было трудно, но я сумел.

[Kvarkas]

у меня в доменом имени дефис так тоже некоторык банки не принимали — пришлось поменять банк :)

[ColorPrint]

Это еще что, у меня и просто [e-mail] местами не принимают :(

[Grox]

Конечно, 4 буквы в зоне первого уровня это много. Всем должно хватать 3х.

[Chamie]

Да, хорошо, что я домен в зоне .asia продлять не стал =)

[alexstz]

Что ж будет с доменами .engineering или .international?..

[ValdikSS]

porno.technology

[alexanderzaytsev]

Подскажите, где можно такое зарегистрировать?

[ColorPrint]

когда зона NAME только появилась — только так и можно было регистрировать,
домен 3го уровня first.last.name и к нему в придачу почта [e-mail]
Позже разрешили регистрировать домены 2го уровня.

[alexanderzaytsev]

А регистратор-то какой?

[zipo]

Глупость конечно от банка великая, открывает достаточно широкие возможности для фишинга. Получается достаточно написать бота который в атоматическом режиме может заходить под аккаунтов и снимать деньги или оплачитвать указанный товар, а так же отсылать новую партию писем. Потом рассылаем потенциальным клиентам банка письмо с ссылкой на фишинговый сайт и радуемся. Клиент заходит на фишинговый сайт вводит пароль/логин, программа делает запрос авторизации на раельном сайте банка — клиенту по двух факторной авторизации отправляется СМС, на фишинговом сайте пользователю показывается запрос на код в этом СМС. Клиент не замечая никакой разницы в интерфейсе вводит код для авторизации на фишинговом сайте. И все, двух факторная авторизация пройдена.