dinikin Dec 30 2014 at 16:02

Как я племянника с Днем рождения поздравлял

1 min

69K

Information Security*Payment systems*

+70

Comments 35

Hixon10 Dec 30 2014 at 16:35

Правда что, чтобы это работало, я должен быть авторизованным?

BuriK666 Dec 30 2014 at 16:38

Статью не читай, комментарии пиши.

Единственно, что успокаивает, так это то, что с недавних пор в интернет-банкинге введена обязательная двухфакторная авторизация через смс или имейл и таким образом использовать эту уязвимость на взломанных аккаунтах стало на порядок сложнее.

Hixon10 Dec 30 2014 at 16:40

Я эту фразу читал, и её можно интерпретировать по разному.

Alesh Dec 30 2014 at 16:44

Можно кого-нибудь забавно разыграть: «Уважаемый клиент, в уходящий год козы мы провели лотерею и вы стали обладателем ...». Вообще конечно такое недопустимо, люди по умалчиванию доверяют письмам отправленным с реальных адресов банка.

dinikin Dec 30 2014 at 16:48

Это самое безобидное, что можно сделать с такой уязвимостью. А можно перенаправить на фишинговый сайт интернет-банка и попросить авторизоваться

z3apa3a Dec 30 2014 at 17:53

Адрес отправителя можно подделать и без этой уязвимости. DMARC у банков популярности еще не заработал.

DIHALT Dec 30 2014 at 18:37

С альфабанка обычно идет столько бесполезных писем, что скорей ваше поздравление удалят не читая

monah_tuk Dec 31 2014 at 04:23

Письмо раз в два-три месяца, но да, полезными назвать их трудно :)

bondarenko Jan 12 2015 at 09:11

и не удивительно, с такой то уязвимостью…

15432 Dec 30 2014 at 16:48

Чем отличается результат от использования любого сервиса подмены отправителя?

dinikin Dec 30 2014 at 16:52

Наверное тем, что ваше сообщение если и не попадет в спам, то например gmail напишет что-то типа «Возможно, это сообщение отправлено не пользователем ...»

BuriK666 Dec 30 2014 at 17:24

А покажите заголовки писем отправленных таким образом.

dinikin Dec 30 2014 at 17:28

Delivered-To: my.email@gmail.com
Received: by 10.***.**.93 with SMTP id *****;
Mon, 29 Dec 2014 15:09:08 -0800 (PST)
X-Received: by 10.***.**.142 with SMTP id ****.45.14****552;
Mon, 29 Dec 2014 15:09:06 -0800 (PST)
Return-Path: <prvs=4332b2943=ccd@alfabank.kiev.ua>
Received: from dsipv.alfabank.kiev.ua (dsipv.alfabank.kiev.ua. [91.197.218.25])
by mx.google.com with ESMTP id ******.122.2014.12.29.15.09.05
for <my.email@gmail.com>;
Mon, 29 Dec 2014 15:09:06 -0800 (PST)
Received-SPF: none (google.com: prvs=4332b2943=ccd@alfabank.kiev.ua does not designate permitted sender hosts) client-ip=91.197.218.25;
Authentication-Results: mx.google.com;
spf=none (google.com: prvs=4332b2943=ccd@alfabank.kiev.ua does not designate permitted sender hosts) smtp.mail=prvs=4332b2943=ccd@alfabank.kiev.ua
Date: 30 Dec 2014 01:09:04 +0200
Received: from mynode2.alfa.bank.int ([172.17.142.104])
by dsip.alfabank.kiev.ua with ESMTP; 30 Dec 2014 01:09:04 +0200
From: AlfaBank <ccd@alfabank.kiev.ua>
To: <my.email@gmail.com>
Message-ID: <***********.JavaMail.myalfabank@mynode2.alfa.bank.int>
Subject: =?UTF-8?B?0J/RgNC40LLQtdGCISEh?=
MIME-Version: 1.0
Content-Type: multipart/mixed;

Xeenon Dec 30 2014 at 16:52

Как минимум тем, что в заголовках письма будет реальный IP банка.

Gray_Wolf Dec 30 2014 at 17:07

Наличием у письма DKIM подписи, которая подтверждает отправителя письма и то что письмо не было перехвачено и модифицировано.

nochkin Dec 30 2014 at 18:57

Судя по заголовкам выше, этот банк не используется DKIM, SPF и прочее.

Gray_Wolf Dec 30 2014 at 19:46

В данном случае это так.
Проблема в том, что когда банковский сервер честно отправляет письма пользователям, любые механизмы определения подмен становятся бесполезны.

powerman Dec 30 2014 at 18:58

Даже если ничем (хотя если бы они использовали SPF или DKIM то уровень доверия письмам был бы выше), то в любом случае это даёт возможность устроить DoS-атаку банка: если разослать с их сервера достаточно спама то их IP добавят в чёрные списки (из которых они задолбаются удаляться, особенно если проделать это несколько раз) и письма банка настоящим клиентам перестанут доходить. В общем, такие баги надо фиксить, не важно можешь лично ты прямо сейчас придумать вектор атаки через этот баг или нет — если ты не придумал, это ещё не значит, что его нет.

UFO landed and left these words here

KaneUA Dec 30 2014 at 21:51

Это же деньги нужно тратить на программистов. А откуда у банка деньги?

lionsimba Dec 30 2014 at 20:12

А ещё Альфа-Банк — это уже второй банк, который считает, что мой e-mail адрес в зоне .name (something@firstname.lastname.name) имеет некорректный формат.
Ответ службы поддержки: «В настоящее время настройки Интернет-Банка позволяют сохранять email с одним доменом. Обозначенный в обращении адрес данному правилу не соответствует.»

stalinets Dec 30 2014 at 21:46

Помню, когда-то имел почту вида something@a.ua — тоже многие парсеры не пропускали. А потом и почта эта то ли закрылась, то ли переехала куда-то.

Chamie Dec 31 2014 at 12:39

У меня есть e-mail вида i@<мой_ник>.ru Тоже время от времени приходится писать в техподдержку разных сервисов, не считающих его валидным (например, в TeamViewer'е уже исправили).

bazil11 Dec 31 2014 at 14:05

оффтопик

Отличная у тебя «имеджборда» :D

Chamie Jan 3 2015 at 01:59

Скрытый текст

Спасибо, я старался. Пришлось поставить её не настраивая, а потом забыть про неё на 2 года. Было трудно, но я сумел.

Kvarkas Dec 30 2014 at 22:44

у меня в доменом имени дефис так тоже некоторык банки не принимали — пришлось поменять банк :)

ColorPrint Dec 30 2014 at 23:08

Это еще что, у меня и просто first@last.name местами не принимают :(

Grox Dec 31 2014 at 03:50

Конечно, 4 буквы в зоне первого уровня это много. Всем должно хватать 3х.

Chamie Dec 31 2014 at 12:41

Да, хорошо, что я домен в зоне .asia продлять не стал =)

alexstz Jan 2 2015 at 09:20

Что ж будет с доменами .engineering или .international?..

ValdikSS Jan 2 2015 at 19:12

porno.technology

alexanderzaytsev Jan 15 2015 at 10:09

Подскажите, где можно такое зарегистрировать?

ColorPrint Jan 15 2015 at 23:23

когда зона NAME только появилась — только так и можно было регистрировать,
домен 3го уровня first.last.name и к нему в придачу почта first@last.name
Позже разрешили регистрировать домены 2го уровня.

alexanderzaytsev Jan 16 2015 at 00:45

А регистратор-то какой?

zipo Jan 6 2015 at 12:58

Глупость конечно от банка великая, открывает достаточно широкие возможности для фишинга. Получается достаточно написать бота который в атоматическом режиме может заходить под аккаунтов и снимать деньги или оплачитвать указанный товар, а так же отсылать новую партию писем. Потом рассылаем потенциальным клиентам банка письмо с ссылкой на фишинговый сайт и радуемся. Клиент заходит на фишинговый сайт вводит пароль/логин, программа делает запрос авторизации на раельном сайте банка — клиенту по двух факторной авторизации отправляется СМС, на фишинговом сайте пользователю показывается запрос на код в этом СМС. Клиент не замечая никакой разницы в интерфейсе вводит код для авторизации на фишинговом сайте. И все, двух факторная авторизация пройдена.