Elektroniczny podpis nie jest bezpieczny - odkr...

[Gość: Ablativus]

Po pierwsze: źle, kiedy laicy piszą o sprawach dla siebie niezrozumiałych. Z
całym szacunkiem dla autora, ma on takie pojęcie o PKI, jak ja zwyczajach
godowych pingwinów.

Po drugie: chłopcy z Unizeto przyjęli najgorszą i zabójczą dla siebie taktykę
obrony, bowiem tak naprawdę potwierdzili w swoich rozwlekłych enuncjacjach, że
luka istnieje i że technika ataku opisana prze G DATA jest skuteczna. Dali
jednocześnie do zrozumienia użytkownikowi końcowemu, że to jest jego problem.
Nieładnie. Bardzo nieładnie.

odkryłem dziurę w systemie!

[Gość: gościu]

od kiedy to karty chipowe "przeciąga" się przez czytnik? teraz już wiadomo
dlaczego system nie jest bezpieczny...

[Gość: tom]

"Podpis elektroniczny to zaszyfrowany, niepowtarzalny ciąg znaków zapisany na karcie chipowej" - dobre :) a 2+2=5 :)

[Gość: zona pijaka]

Ale jak na razie to chyba sami są shackowani, bo ich serwer nie odpowiada:
www.gdata.pl
A z tego co zaobaczyłam w cache google (ich historyczna strona), to jakość ich
strony jest na poziomie dziesięciolatka.

[Gość: oli]

pokaz swoja strone "staruszko"

Kto zapłacił ?

[Gość: Hearth]

Szkodzić, szkodzić. Publikacja uderza w UNIZETO , jedną z eksportowych
szczecińskich firm. Tradycyjnie GW uderza a biznes.

[Gość: mmmm]

Typowe dla "Polski przygłupów" podejście ! Taki niewiarygodny podpis
elektroniczny uderzy w polski biznes. Nikt nie będzie chciał w ten sposób
podpisywać umów.
Brawo G-Data, brawo Gazeta. Niech cymbały wezmą się za kopanie ziemniaków a nie
pisanie programów.

[Gość: zona pijaka]

Gość portalu: mmmm napisał(a):
> Brawo G-Data, brawo Gazeta. Niech cymbały wezmą się za kopanie ziemniaków a
nie pisanie programów.

To może napisz do nich swoje CV. Prosty test, jak nie odpisza - znaczy się
jesteś specjalistą uprawy buraków.

[Gość: Szyfrant]

Myslę że nikt nikomu nie szkodzi. Problem zaistniał i jest znany (4 rodzaje
ataków) to niech Unizeto poprawi swoja technologię i będzie po kłopocie. Mnie
bardziej interesuje dlaczego tylko 4 firmy mają zezwolenie, a inne nie moga
tego sprzedawć. Czyżby to był jakiś układ mafijno-biznesowy ? Takich w Polsce
jest dużo, a GW pisze na swoich łamach.

[Gość: Werdek]

Osobiście jestem tym przerażony bo w ciągu ostatnich kilku miesięcy podpisałem
wiele dokumentów i teraz z duszą na ramieniu bedę czekał na konsekwencje. G
Data z tego wynika zrobiła dobrze informując wszystkich o zagrożeniu. Mam
nadzieję, że unizeto zrobi poprawki i załata dziurę. Koniec z e-podpisem do
wyjasnienia sprawy i potwierdzenia załatania dziur.

[Gość: Karolina]

Narodowe Centrum Certyfikacji ignoruje sprawę, bo co ma napisać?, że Ustawę o
podpisie można wrzucić do kosza. Skoro podpisem kwalifikowanym podpisuje się
dokument podstawiony, to Ustawa nie spełnia swojej roli i trzeba stworzyć nową.
Bardzo dobrze się stało że ta firma ze Szczecinka to upubliczniła. Sama w
kancelarii tego używam, a w zasadzie już używałam, bo teraz się boję.

[Gość: zona pijaka]

Piszącym tu wydaje się, ze skoro zakupili oprogramowanie do składania podpisów
kwalifikowanych - to jest to równoznaczne że od tej pory nie muszą stosować
zadnych innych programów wntywirusowych, firewalli i innych zabezpieczeń swoich
komputerów. Są wrecz przekonani że od tej pory mogą udostępniać swój komputer
wszystkim kolegom, znajomym i nieznajomym - a mimo to ich komputer POWINIEN być
na 100% bezpieczny.
Jest to w moim przekonaniu, glęboko błedne podejscie, najlepszym wyjsciem dla
tych osób byłoby własnoręczne dostarczanie waaznych dokumentów.

[Gość: jaguar69]

Załóżmy że zrobiłem WSZYSTKO CO W MOJEJ MOCY - programy antywirusowe,
firewalle, itp.itd, ale i tak nigdy nie da to 100% gwarancji, że ktoś
przebieglejszy ode mnie nie włamie się i podpisu nie sfałszuje. Cała sytuacja
przypomina pancerną furtkę z 5 zamkami i tabliczką: ZAKAZ PRZESKAKIWANIA.

[Gość: Ablativus]

Dodajmy, że furteczka ma 1 metr 50 centymetrów wysokości. :)

[Gość: tom]

W praktyce nie istnieje takie pojęcie jak 100% pewności.
Banki internetowe też nie dają 100% pewności bezpieczeństwa.
Kupując samochód też nie będziesz miał 100% pewności że hamulce zawsze
zadziałają. Korzystanie ze zdobyczy dzisiejszej informatyki(i matematyki) wymaga niestety(ablo stety) pewnej wiedzy(niekiedy całkiem sporej).Stosując się do podstawowych zasad bezpieczeństwa-prawidłowa instalacja OS-u,regularne instalowanie poprawek do systemu i wszystkich programów,korzystanie z programów antywirusowych,korzystanie z prawdidłowo skonfigurowanych firewalli,programów antyspyware,nie instalowanie programów z niepewnych źródeł,sprawdzanie sum kontrolnych przed zainstalowaniem aplikacji pozwoli bezpiecznie korzystać z komputera(zapewniam). Obecnie najsłabszym ogniwem jest człowiek a nie oprogramowanie czy sprzęt.Wykorzystanie naiwności ludzkiej to dzisiaj jeden z lepszych sposobów na łamanie zabepieczeń. Problem który porusza GData to problem bezpieczeństwa systemu operacyjnego,zabezpieczeń przed atakami sieciowymi a nie problem(wada) podpisu elektronicznego.Ten artyukł można by równie dobrze wysłać do microsoftu z pretensjami że ich system nie jest bezpieczny.

[Gość: zona pijaka]

Gość portalu: tom napisał(a):
> sprawdzanie sum kontrolnych przed zainstalowaniem aplikacji pozwoli
bezpiecznie korzystać z komputera(zapewn
> iam).

????????????????????
A to żes walnął, jak pijany zając w kapuscie. Może wyjaśnij nam, tępakom, jak
sprawdzasz sumy kontrolne podczas instalowania aplikacji:-)))
Jakie aplikacje tego wymagają? A najlepiej jakbyś swoją tezę poparł jakimś
żródłem dostępnym w Internecie. Tylko nie pisz mi o jakiź hash-ach stosowanych
np.w p2p. Bo co ma piernik do wiatraka.

[Gość: tom]

Sumy kontrolne można sprawdzić następująco:
- producent aplikacji umieszcza na swojej stronie skrót(np md5) pliku programu(instalki)
- użytkownik oblicza taki sam skrót i porównuje
- jeżeli są takie same można z dużym prawdopodobieństwem stwierdzić że nikt nie zmodyfikował pliku
"Bo co ma piernik do wiatraka" - ano to, że modyfikując taki plik można nieświadomemu userowi wprowadzić kod do systemu który będzie np. zamieniał dokumenty podczas podpisu.Jest to coś w rodzaju konia trojańskiego.
Oczywiscie nie jest to metoda w 100% skuteczna(wynika to m.in. z właściwości funkcji skrótu i wielu innych rzeczy) ale 100% pewności nigdy nie ma.
Przykład? - chociażby środowisko eclipse,dział download.

[Gość: zona pijaka]

> Sumy kontrolne można sprawdzić następująco:
> - producent aplikacji umieszcza na swojej stronie skrót(np md5) pliku programu
(instalki)
> - użytkownik oblicza taki sam skrót i porównuje
> - jeżeli są takie same można z dużym prawdopodobieństwem stwierdzić że nikt
nie zmodyfikował pliku

* Kombinujesz. Jeśli ciągniesz program bezpośrednio od producenta to
niepotrzebny jest ci ZADEN Hash. A wiesz dlaczego? bo producent jest zaufany.
Natomiat jesli ciągniesz plik od kilku ludzi przez p2p (złodzieji) - to wtedy
na sieci szukasz takich samych hash-y.

* Co znaczy że uzytkownik sam oblicza hash?. Przeciez program rozpakowany, juz
po instalacji ma ZUPEŁNIE INNE wielkości.

> "Bo co ma piernik do wiatraka" - ano to, że modyfikując taki plik można
nieświadomemu userowi wprowadzić kod do systemu który będzie np. zamieniał
dokumenty podczas podpisu.

JAKI PLIK?????? Przed chwilą pisałeś o producencie aplikacji, no załóżmy o
pliku wykonywalnym. Ale przeciez napisałam że tą instalkę mamy już oryginalnie
i sciągniętą i zainstalowaną.

Sumując, ma się to jak piernik do wiatraka. I jak pisałam, główną przyczyną
niebezpieczeństa - jest tylko póżniejsza nienależyta ochrona komputera przez
wirusami. Otwieranie załącznikow, maili itp.

A tak naprawde to md5 to najcześciej stosuje sie do kryptowania haseł dostępu
dla użytkowników. Np zakładasz sobie konto na darmowym serwerze apache/php,
wprowadzasz swoje hasło do poczty, i to hasło zostaje zahashowane.
Właściciel serwera nie zna twojego hasła, ale zna hash.
I ilekrość sie logujesz to wysyłasz mu hasło, które po shashowaniu - jest
porównywane.
I albo masz acces albo denied.

[Gość: tom]

> Kombinujesz. Jeśli ciągniesz program bezpośrednio od producenta to
> niepotrzebny jest ci ZADEN Hash.

A kto powiedział że muszę ciągnąć program bezpośrednio od producenta.Mogę dostać od kolegi na płycie(program freeware,mam wolne łącze) albo ściągać z innego mirrora.Wtedy sprawdzam tylko hash na stronie producenta i porównuję z obliczonym przeze mnie(np mam wersję programu 2.1 i sprawdzam hash dla tej wersji).

> A wiesz dlaczego? bo producent jest zaufany.
Niestety internet nie jest zaufany, a nie każdy producent stosuje certyfikaty.


> Co znaczy że uzytkownik sam oblicza hash?. Przeciez program rozpakowany, juz
> po instalacji ma ZUPEŁNIE INNE wielkości.

> JAKI PLIK?????? Przed chwilą pisałeś o producencie aplikacji, no załóżmy o
> pliku wykonywalnym. Ale przeciez napisałam że tą instalkę mamy już oryginalnie
> i sciągniętą i zainstalowaną.

Hash należy obliczyć przed instalacją :)
Z pliku spakowanego też go można obliczyć, nie zawsze jest to format skompresowany.

> Sumując, ma się to jak piernik do wiatraka. I jak pisałam, główną przyczyną
> niebezpieczeństa - jest tylko póżniejsza nienależyta ochrona komputera przez
> wirusami. Otwieranie załącznikow, maili itp.

Za pomocą ukrytego w rzekomo "przyjaznym" programie kodu można zainstalować
złośliwe oprogramowanie w systemie.

[Gość: zona pijaka]

Gość portalu: tom napisał(a):
> A kto powiedział że muszę ciągnąć program bezpośrednio od producenta.Mogę
dostać od kolegi na płycie(program freeware,mam wolne łącze) albo ściągać z
innego mirrora.Wtedy sprawdzam tylko hash na stronie producenta i porównuję z
obliczonym przeze mnie(np mam wersję programu 2.1 i sprawdzam hash dla tej
wersji).

I poważnie (ALE TO POWAŻNIE)- zawsze tak robisz, sprawdzasz?
Ilekroc wychodzą, co rusz to nowe wersje? Ale jaja.
To pochwal się nam na jakimś przykładzie!!

[Gość: tom]

> I poważnie (ALE TO POWAŻNIE)- zawsze tak robisz, sprawdzasz?
> Ilekroc wychodzą, co rusz to nowe wersje? Ale jaja.
> To pochwal się nam na jakimś przykładzie!!

Przykład już podałem wystarczy przeczytać jeden z moich wcześniejszych postów.
Jeżeli mam taką możliwośc to zawsze sprawdzam sumy kontrolne.
Twoje wyjaśnienie, że wystarczy sprawdzić czy długość się zgadza jest
po prostu śmieszne.To że instalka ma taką samę nazwę i taką samą długość nie
znaczy że jest tym czego się spodziewasz.Można tak spreparować instalkę że
będzie miała taką samą długość i jednoczesnie zawierać złośliwy kod.Można
także umieścić tam "śmieci" i złośliwy kod który się uruchomi po czym program wyświetli jakiś komunikat który zapewne Ty byś zignorowała a wirus już by siedział w systemie.

[Gość: zona pijaka]

Gość portalu: tom napisał(a):
> .Można tak spreparować instalkę że
> będzie miała taką samą długość i jednoczesnie zawierać złośliwy kod.Można
> także umieścić tam "śmieci" i złośliwy kod który się uruchomi po czym program
wyświetli jakiś komunikat który zapewne Ty byś zignorowała a wirus już by siedzi
> ał w systemie.

I tu wyszła Twoja pełna ignorancja. Otóż NIE MOŻNA tak spreparować instalki ze
będzie miała taką samą długość i jednoczesnie zawierać złośliwy kod. NIE MOZNA.
Co prawda są wirusy które "wpasowują sie" w niewypełnione przestrzenie kodu
(takim np najstarszym przykładem był sławny CIH (czernobyl), ale wtedy zarazona
instalka ma tylko taką samą wielkość w bajtach.
Porównywanie sum kontrolnych polega jednak na zupełnie czymś innym. Na
działaniu specjalnego algorytmu, który sprawdza położenie wobec siebie
wszyskich data instalki. Zauważ ze:
abcd
abdc
mają taką samą wielkość, natomiast ich hash jest zupełnie inny. Hash ten, jako
wynik działania tego algorytmu, jest jedyny i niepowtarzalny.

[Gość: tom]

Przeczytałaś mój post ale go nie zrozumiałaś.
Taka instalka może zawierać wirusa i resztę nop-ów.
Wirus ma przykładowo 100 kB a reszta to nic nie znaczący
kod(wypełniacz pamięci).
Nie musi mieć nic wspólnego z kodem właściwej instalki.
Długość będzie taka sama i nazwa taka sama.I nie jesteś
na tej podstawie stwierdzić czy to wirus czy właściwa
instalka.

> Zauważ ze:
> abcd
> abdc
> mają taką samą wielkość, natomiast ich hash jest zupełnie inny. Hash ten, jako
> wynik działania tego algorytmu, jest jedyny i niepowtarzalny.
Przecież ja o tym cały czas piszę.Sama wielkośc nic nie daje.Po to stosuje
się sumy kontrolne aby wykryć taką modyfikację.

> Otóż NIE MOŻNA tak spreparować instalki ze
> będzie miała taką samą długość i jednoczesnie zawierać złośliwy kod
Otóż można-wywalam część kodu właściwej instalki,wstawiam nową sekcję,wyrównuję
tak aby wielkość się zgadzała.Najwyżej niektóra funkcjonalność nie będzie
dostępna.

[Gość: ehh...]

YHBT....

[Gość: jaguar69]

Unizeto pisze:
"Urządzenie takie (do składania e-podpisu) przeznaczone jest do pracy w
środowisku, co do którego użytkownik ma pewność, że jest wolne od wszelkiego
rodzaju wirusów mogących pozbawić go kontroli nad procesem składania podpisu
elektronicznego."

Rozumiem z tego że Unizeto całkowicie umywa ręce od odpowiedzialności za swój
produkt...
Pytanie: skoro nigdy nie można mieć 100% pewności, to skąd zwykły użytkownik,
nieinformatyk "ma mieć pewność, że jego środowisko jest wolne od wszelkiego
rodzaju wirusów mogących pozbawić go kontroli nad procesem składania podpisu
elektronicznego"???
Co oznacza pojęcie w/g Unizeto "użytkownik ma pewność"? Czy tu chodzi o te
nieszczęsne, hipotetyczne 100% pewności? A może wystarczy, powiedzmy, 68,4%
pewności?

[Gość: Prawdomówny]

Fakt jest Faktem. Urządzenie które ma złożyć bezpieczny podpis podpisuje
podstawiony dokument, to znaczy, że to urządzenie nie jest zgodne z Ustawą o
podpisie kwalifikowanym i jest niebezpieczne dla każdego z nas. Tu zgadzam się
z przemówczynią, że Ustawę należy już dzisiaj wrzucić do kosza na smieci. Czas
na komentarz NCC i ruch nowego Sejmu RP.

[Gość: zona pijaka]

Gość portalu: Prawdomówny napisał(a):
Czas
> na komentarz NCC i ruch nowego Sejmu RP.

A do odpowiedniej komisji w Sejmie proponuje powołać Panią Beger. Lub
kogokolwiek kto umie pisac wirusy. Np mnie.

[Gość: Zdar]

Unizeto i Signet udają że nie wiedzą co to takiego atak np: pishing. Chyba że
nie wiedzą ? dlatego takie głupoty wypisują na swoich stronach. Do szkoły
Panowie z Warszawy i Szczecina.

[Gość: zona pijaka]

Gość portalu: Zdar napisał(a):
> Unizeto i Signet udają że nie wiedzą co to takiego atak np: pishing.

No, następny geniusz typu Beger. A ty wiesz co to pishing?. Czy to coś od
PIS-uarów.
Jest coś podobniebrzmiące a i znaczy zupełnie coś innego. Podszywanie się
fałszywej strony pod witrynę zaufaną. A co to ma wspólnego z Unizeto? I z
podpisem kwalifikowanym. Nie myl pojęć chłopcze i nie udawaj mądrzejszego od..
głupca.

[Gość: Normalna]

ty chyba naprawdę jesteś żoną pijaka!!! bo jesteś bardzo agresywnie nastawiona
na innych wypowiedzi i to te wypowiedzi co są choć trochę negatywne w stosunku
do Unizeto. Wiem że boisz się stracić tam pracę ale rób to z godnością i
szacunkiem do wypowiedzi innych forumowiczów. Podpis ma być złożony na
dokumencie który się podpisuje. Nie na innym dokumencie. Za to się płaci owe
600 zł. za sprzęt i mozliwość jego używania. Chyba że Unizeto wciska zwykłą
tandetę za 600 zł. jak wielu domokrążców (nikogo nie obrażając).

[Gość: zona pijaka]

Gość portalu: Normalna napisał(a):
> Wiem że boisz się stracić tam pracę ale rób to z godnością i
> szacunkiem do wypowiedzi innych forumowiczów.

Z Unizeto mam tyle wspólnego że w pobliżu, przy Królowej Korony Polskiej,
chodzę do kocioła w moherowym berecie.:-)
Modlę się za powrot starego do abstynencji.