id: Гость   вход   регистрация
текущее время 19:55 28/03/2024
создать
просмотр
ссылки

TrueCrypt + Internet


Насколько безопасна данная связка? Один мой знакомый принципиально не использует TC когда компьютер подключен к интернету под виндами (боится, что из сети узнают ключи или незащищенные данные для ускоренного подбора ключа позже)
Это параноя или в какой-то степени может быть оправдано? И если последнее, то вечный вопрос: где утечка и как защититься ?


 
На страницу: 1, 2, 3 След.
Комментарии
— Гость (09/02/2015 11:56)   <#>
А как на счет аппаратного гипервизора, когда виртуальная мошина работает только на голом железе,
bare metal hipervisor. Ведь в этом случае гипервизор ставица на голое железо в качестве типа оси,
а далее он выполняет виртуальную систему, подобно vmware esx server. Тогда исключается прослойка в виде
так называемой HOST системы. А интернет да, надо отрубать. А при установки виртуальной машины
всегда можно отказаться от установки ее сетевых драйверов, тогда получается виртуальноясистема без сети вообще
( это верно для vmware, так как в virtualbox Тоже можно отказаться, но в сам виртуалбокс вшит NAT сервер).
Но введь NAT виртуалбокс можно прикрыть фаерволлом, Iptables без проблем, а под виндовс можно вообще
запускать с флешки, тогда машина запускается без сети и без USB, но нат все равно нодо крыть фаерволлом.
http://www.vbox.me/
— Гость (09/02/2015 12:24)   <#>

Чем вам, в таком случае, не нравится вариант с LiveCD?
— Гость (09/02/2015 12:43)   <#>
Чем вам, в таком случае, не нравится вариант с LiveCD?


Да, дествительно? Просто береш физически вынимаеш
из компа харддиск для пущей щизофрении, и выдергиваеш
сетевой шнур для большей параннойййи. И все просто ништяк.
Тот же самый херли буут сиди чем не вариант (HerensBootCD)
— Гость (09/02/2015 12:46)   <#>
Да, дествительно? Просто береш физически вынимаеш
из компа харддиск для пущей щизофрении, и выдергиваеш
сетевой шнур для большей параннойййи. И все просто ништяк.
Тот же самый херли буут сиди чем не вариант (HerensBootCD)


Да, господа, вы не забывайте что в самой BIOS
может крыться всякая пароноидальная шизофрения,
котороя может нехило пасти на аапаратном уровне,
ведь если в жесткие диски умудряются впихивать прошивки в промышленных масштабах,
то здесь как раз два три.
— Гость (09/02/2015 12:57)   <#>
Ну вот круг замкнулся на Биос.
100500-й раз обсуждение уходит/приходит к проблеме закладок в железе.

Единственный выход: Сделать свое железо и написать свой БИОС.
— Гость (09/02/2015 13:01)   <#>

А что с ним не так? У меня штучка, подобная этой, лежит на полке, есть не просит.
— Гость (09/02/2015 13:08)   <#>
А что с ним не так? У меня штучка, подобная wwwэтой, лежит на полке, есть не просит.


А по подробнне можеш обьяснить как эта штучка работает,
че то все по англиски нам бы по русски
— Гость (09/02/2015 13:16)   <#>

А что с ним не так? У меня штучка, подобная wwwэтой, лежит на полке, есть не просит.


Типа это что, типа как в супермаркетах типа банковский терминал,
или как это правильно называется? Типа сунул карту и ввел пинкод и накассе все засчиталось?
— Гость (09/02/2015 13:17)   <#>
А что с ним не так? У меня штучка, подобная wwwэтой, лежит на полке, есть не просит.


А где такие щтучки продают?
А как их использовать, для них нужен какой то софт?
Соединение с интернетом ведь обязательно?
— Гость (10/02/2015 04:21)   <#>

Были комментарии на эту тему.


Универсальное название не знаю, у нас называется (банковскими) кардридерами. К банковским и магазинным терминалам это отношения не имеет.


Нет, это просто оффлайновая штука типа калькулятора, которая может автономно взаимодействовать с чипом карты. В самом чипе хранится PIN-код в обфусцированном виде. В кардридер вставляется карточка, потом вводится PIN-код. Кардридер проверяет соответствие введённого с клавиатуры PIN-кода тому, который зашит в чипе. Если они совпали, то можно подписать транзакцию или авторизацию. Для авторизации в интернет-банкинге по сети требуется как ввести свои данные с паролем, так и случайные цифры, выдаваемые кардридером в ответ на PIN-код (каждый раз они разные; наверно, зависят от времени). Для осуществления транзакции также требуется ввести PIN-код и часть цифр счёта, в ответ выдаётся последовательность случайных цифр, авторизующая транзакцию. В общем-то любая операция по изменению настроек в интернет-банкинге требует этих случайных цифр, для получения которых нужно иметь как карту с кардридером, так и знать PIN-код. Если три раза подряд ввести неправильный код, кардридер заблокирует карту, как и банкомат.

Ранее, до перехода на кардридеры, использовались какие-то хардварные токены, подсоединяемые к компьютеру. Насколько я знаю, решение не особо стандартизированное и проприетарное, у каждого банка своё. Т.е. кардридер одного банка не заработает для другого (если вообще не заблокирует карту).

Как я понял, в России (а, по большому счёту, в большинстве стран/банков мира) решения с кардридером не используются.


Нигде, разве что на чёрном рынке. Их выдаёт конкретный банк за особые заслуги своим резидентам бесплатно. Плата включается в ежегодную стоимость обслуживания карты. Если пользоваться не часто, одного кардридера хватает на несколько лет, там батарейка внутри.


Нет, ничего не нужно. Это полностью оффлайновый своего рода терминал.
— Гость (10/02/2015 04:33)   <#>

Нет. Кстати, есть тут ещё комментарии в тему.
— Гость (10/02/2015 04:39)   <#>

При отключении России от SWIFT эта тема надолго потеряет актуальность, им бы для начала надо будет хотя бы с обычным нечипованным пластиком разобраться.
— Гость (10/02/2015 08:25)   <#>
Нет, ничего не нужно. Это полностью оффлайновый своего рода терминал.


Звучит и выглядит привлекательно, тем более что связь с компом не требуется, вро де как безопасно.
Тоесть это устройство используется только для получения некой случайной информации, котороя
необходима для совершения денежной операции через интернет, правильно? Тоесть если что и может пойти не так,
то в этом сама такая приборина повинна не будет, надо уже пинять на сам компьютер и вирусняк и тд, то что тебя может
подломить от компа до банка, типа фишинг и тог далее?
— unknown (10/02/2015 09:45, исправлен 10/02/2015 09:51)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

RSA SecurID — это оно? В Вики по-русски тоже достаточно подробная статья.

— Гость (10/02/2015 11:38)   <#>

Да. Случайная информация, видимо, выводится из PIN-кода, времени, и, возможно, ещё какой-то информации, зашитой на чипе. Такая аутентификация может требоваться не только для денежных транзакций, а, в том числе, и для других операций, как то: зайти на страницу интернет-банкинга, сменить свой почтовый адрес в настройках, поменять иные настройки в интерфейсе и т.д.


Что может пойти не так... Классичесский сценарий: вас спамеры просят что-то подписать кардридером, вы подписываете, деньги уходят. Но это примитивно. Есть изощрённый сценарий: троян отображает в документах и на сайте банка не те цифры счёта, какие должны быть, а свои, фишинговые. Если достоверных результатов нет на бумаге, а пользователь доверяет экрану компьютера, то внешне подстава незаметна. Он подпишет кардридером не ту сумму и цифры не того счёта, но с точки зрения банка всё будет аутентифицировано должным образом. Атака может быть приурочена к моменту какой-то легитимной транзакции. SMS-ка с подтверждением тоже может оказаться бесполезной. Пока есть среди звеньев человек, любая технология будет ломаться.


Вряд ли. Может быть, есть что-то общее с ним, но не знаю. Корректную ссылку я уже дал. Нароете если больше, то нароете, я других деталей не знаю. К тому же, RSA SecurID, судя по фотографиям, не умеет читать банковские карты, и у него 6 цифр на токене, в то время как у кардридера, который я видел, 8. Потом, кардридеры в рамках банка инварианты по отношению к картам: с одинаковым успехом можно использовать кардридер как свой, так и соседский для подписи транзакций, если у соседа он от того же банка и типа карт. Конечно, сосед может в свой кардридер скимер подсунуть, чтобы узнать ваш PIN-код. :-)
На страницу: 1, 2, 3 След.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3