Comments 30
Так их советы касаются сайтов без https, разве есть банки, которые используют чистый http?
Ах, да...
Это такое признание, что Сбер не смог в корректный Certificate pinning и прочие средства безопасности при активном атакующем?
Ну если фаназировать, то самый тупой вариант с пятидолларовым бюджетом у злоумышленника:
создает где-то хз где зеркало сбер личного кабинета.
в вайфай dhcp настраивает dns сбера на IP-фейка.
ждет пока кто-нить подключится, тут же на лету лезет в настоящий сбер и вводит это на настоящем сайте. Ну и дальше просто.
500 дооларовое вложение и таких кабинетов станет 90% самых популярных, где хоть какие-то деньги есть +круглосуточный "оператор-злодей".
А в целом, можно мониторить вообще всю активность юзера, если он пишет контрагенту: "телефон, тут не ловит, есть только вайфай", можно написать там же, потом: нас обокрали посадили в тюрьму связь дорогая положи 100 долларов, на этот телефон/счет/биткоин-биржу-аккаунт. Я на твой номер повесила вход "этоважнонетвремениобъяснять" срочно скажи мне номера из смски, а то мне не доходит.
После короновируса, всяких стрессов итп появилось море "хлебушков". На это и расчет.
Т.е. приложение сбера не использует https, ясно-понятно.
А как оно будет его использовать? Санкции же.
Я не очень понимаю, но как санкции мешают использованию https, ssl и tls?
Сертификат получить нельзя у авторизованного центра. Они все американские и сберу не дадут (а существующие отозвали). У Сбера только один вариант - сертификат, выданный минцифры. Но он и в хроме, ни в файрфоксе не работает (но можно поставить вручную).
Собственно, проверьте сами. https://www.sberbank.ru
https://www.ixbt.com/news/2023/02/06/pri-onlajnoplate-cherez-sberbank-nachali-trebovat-rossijskij-brauzer-ili-sertifikat-mincifry.html
Собственный сертификат, который проверяется в приложении - не вариант разве?
Не все CA американские
Если сбер не может получить сертификат то откуда у него сертификат на online.sberbank.ru выписанные греческим CA в ноябре 2022?
Сертификат получить нельзя у авторизованного центра
Прекрасно только что получил сертификат от Let's Encrypt.
Сертификаты от минцирфы не все хотят себе ставить
Там у них в телеге ещё видосик-страшилка есть,
вот раскадровка оттуда:
Понятно почему жулики придумывают, что банк знает что мошенники деньги воруют, но мы не будем пресекать их действия и жуликов ловить, мы просто вам об этом сообщим.
Гениально! А как пароли-то утекли по номеру телефона? :-D
В Сбере буква Л за логику.
Скриншот номер 1 - без привязки телефона нельзя получить карту сбера, без карты сбера - открыть расчетный счет
Скриншот номер 2 - Поздравляем, вы установили приложение Сбербанк Онлайн
Скриншот номер 3 - МИЛЛИОН кредиток, бизнес-счетов, ипотек и страховок с номера 900
Ну а скриншот 4, очевидно, естественное завершение оказания услуг сбером, слив персональных данных
Перевыпустили симку, пока клиент был в самолёте/поездее
е обязательно проверять, использует ли точка доступа шифрование WPA2/WPA3
И как это поможет если точку доступа поднял мошенник и фактически запустил Mitm?
Предположу, что в их советах есть правильная часть конкретно для ру сегмента.
Шифрование https основывается на сертификатах, а те на цепочке доверия (certificate-pinning пока сознательно вывожу за скобки). А цепочка доверия основывается на корневых сертификатах, в которые вставили неизвестно что от минцифры с правом на все и на 30 лет. Кому принадлежат закрытые ключи от сертификата минцифры, кто имеет к нему доступ и как мы узнаем, если эти ключи утекут налево — все это не знает никто. И вообще вокруг минцифры отсутствует институт репутации и конкуренция, которые и останавливают обычные УЦ от выдачи фальшивок.
И поэтому "зеленый замочек" https соединения на этих компьютерах может не значить ровно ничего — тут вполне может быть фишинговый сайт с "поддельным" сертификатом, подписанным сертификатом минцифры. Или точка доступа может каким-то образом получить такие сертификаты и выдавать их вместо нормальных — вопрос лишь в получении доступа к закрытым ключам минцифры, о которых ноль информации.
Все это ломает традиционные и простые индикаторы безопасности для пользователя, возвращая нас во времена нешифрованного трафика. А это в свою очередь требует повышенной гигиены для всего маршрута нешифрованного трафика.
Как точка доступа wifi может быть фальшивой? Это же не облигация. Что за странная лексика.
Имеется в виду https://en.wikipedia.org/wiki/Rogue_access_point
Интересно, а почему vpn не порекомендовать при использовании любых публичных сетей.
«Сбер» предупредил о мошенниках, создающих фальшивые точки доступа Wi-Fi