![](https://static.goldenline.pl/user_photo_basic.jpg)
konto usunięte
konto usunięte
Jacek G. Jacek Gawrych
Marcin
Żórawski
Network / System
Admin
Jacek Gawrych:
że niby mielibyśmy wtedy przesyłać swój klucz prywatny przez Internet?
konto usunięte
Adam R. DevOps Engineer
Jacek G. Jacek Gawrych
Jacek G. Jacek Gawrych
Adam R. DevOps Engineer
Jacek Gawrych:
normalnie kluczem prywatnym lokalnie szyfruje sie (inaczej mowiacpodpisuje sie) dane, ktore potem przesyla sie przez Internet (nie
przesylamy klucza tylko dane nim zaszyfrowane). po stronie banku odszyfrowywane jest to naszym kluczem publicznym, co nas uwierzytelnia.
teoretycznie nie widze w tym wielkiego zagrozenia. tylko ze wtedy, myslac o ulatwieniu komus zycia, prawdopodobnie je utrudniamy.
w moim banku jest tak, ze swoj klucz prywatny przechowuję u siebie lokalnie (nie pozwolilem, zeby bank przechowywal go u siebie) i do wykonania transakcji musze za kazdym razem wskazac plik z certyfikatem i podac haslo.
Aniu, jesli teraz Cie dobrze zrozumialem, w moim przypadku wygladaloby to tak:
- do zalogowania sie do mojego konta potrzebuje podac plik z certyfikatem (czyli wskazac sciezke na dysku twardym komputera) i podac haslo odszyfrowujace ten plik - trwa to przynajmniej minute
- potem przy kazdej transakcji musze uwierzytelnic sie tak samo
Czasem wchodze na moje konto tylko po to, zeby zobaczyc jego stan i nie wykonuje wtedy zadnej transakcji. po co mi wtedy tak silne uwierzytelnienie? jesli chcialbym sie zalogowac np. z komputera z pracy, nie mam na nim mojego klucza prywatnego i nawet nie moglbym wtedy sprawdzic stanu konta.
nie zgadzam sie za to z powyzsza wypowiedzia, ze problemem jest korzystanie z tego samego certyfikatu do uwierzytelnienia (weryfikacj) i autoryzacji (przy okazji zachecam kolege do dokladniejszej lektury definicji slow "uwierzytelnienie" i "autoryzacja").
nie podoba mi sie ten pomysl tylko ze wzgledu na zastosowanie w nim zbyt silnego uwierzytelnienia (i tez bardziej uciazliwego) do samego sprawdzenia stanu konta. za to odciaza pamiec od jednego hasla, co akurat jest plusem, ale dla mnie mniejszym niz minus.
dla banku tez jest to chyba niezbyt pozadane rozwiazanie, bo silniejsze uwierzytelnienie bardziej im zjada zasoby infrastuktury IT.
u siebie na dysku nie przechowujemy swojego certyfikatu tylko klucz prywatny. certyfikat z kluczem publicznym przechowuje bank - tak przynajmniej zgaduje.
konto usunięte
Jacek G. Jacek Gawrych
Adam Ruczko:
Jacek Gawrych:
normalnie kluczem prywatnym lokalnie szyfruje sie (inaczej mowiacpodpisuje sie) dane, ktore potem przesyla sie przez Internet (nie
przesylamy klucza tylko dane nim zaszyfrowane). po stronie banku odszyfrowywane jest to naszym kluczem publicznym, co nas uwierzytelnia.
Przepraszam ale szyfrowanie a podpisywanie to dwie zupełnie inne sprawy.
teoretycznie nie widze w tym wielkiego zagrozenia. tylko ze wtedy, myslac o ulatwieniu komus zycia, prawdopodobnie je utrudniamy.
w moim banku jest tak, ze swoj klucz prywatny przechowuję u siebie lokalnie (nie pozwolilem, zeby bank przechowywal go u siebie) i do wykonania transakcji musze za kazdym razem wskazac plik z certyfikatem i podac haslo.
Aniu, jesli teraz Cie dobrze zrozumialem, w moim przypadku wygladaloby to tak:
- do zalogowania sie do mojego konta potrzebuje podac plik z certyfikatem (czyli wskazac sciezke na dysku twardym komputera) i podac haslo odszyfrowujace ten plik - trwa to przynajmniej minute
- potem przy kazdej transakcji musze uwierzytelnic sie tak samo
Zupełnie tego nie rozumiem, przecież można wysłać request do przeglądarki z zapytaniem o certyfikat umieszczony w bezpiecznym magazynie przeglądarki, wtedy weryfikacja następowała by tylko poprzez wprowadzenie hasła do certyfikatu. Wszystkie przeglądarki od dawna już to obsługują...
Czasem wchodze na moje konto tylko po to, zeby zobaczyc jego stan i nie wykonuje wtedy zadnej transakcji. po co mi wtedy tak silne uwierzytelnienie? jesli chcialbym sie zalogowac np. z komputera z pracy, nie mam na nim mojego klucza prywatnego i nawet nie moglbym wtedy sprawdzic stanu konta.
nie zgadzam sie za to z powyzsza wypowiedzia, ze problemem jest korzystanie z tego samego certyfikatu do uwierzytelnienia (weryfikacj) i autoryzacji (przy okazji zachecam kolege do dokladniejszej lektury definicji slow "uwierzytelnienie" i "autoryzacja").
Uwierzytelnianie/Autoryzacja - mój błąd faktycznie, dzięki.
nie podoba mi sie ten pomysl tylko ze wzgledu na zastosowanie w nim zbyt silnego uwierzytelnienia (i tez bardziej uciazliwego) do samego sprawdzenia stanu konta. za to odciaza pamiec od jednego hasla, co akurat jest plusem, ale dla mnie mniejszym niz minus.
dla banku tez jest to chyba niezbyt pozadane rozwiazanie, bo silniejsze uwierzytelnienie bardziej im zjada zasoby infrastuktury IT.
Weryfikacja certyfikatu czy też weryfikacja podpisu (tylko pod czym w tym scenariuszu???) zapewniam że trwa ułamki sekund i może być realizowana naprawdę szybko. Nawet serwer apache posiada odpowiednie moduły do tego.
u siebie na dysku nie przechowujemy swojego certyfikatu tylko klucz prywatny. certyfikat z kluczem publicznym przechowuje bank - tak przynajmniej zgaduje.
Gwoli ścisłości to przechowujesz certyfikat z kluczem prywatnym, bank natomiast posiada certyfikat z kluczem publicznym.
konto usunięte
Adam R. DevOps Engineer
Jacek Gawrych:
Podpis cyfrowy to moim zdaniem szyfrowanie danych (przeważnie skrótu z całości danych) swoim kluczem prywatnym. Jeśli jest inaczej, proszę mi to wytłumaczyć, ale w miarę delikatnie, bo załamie to mój światopoglad ;)
Gwoli ścisłości to przechowuję klucz prywatny w pliku privatekey.pem - tam jest wyłącznie klucz RSA. Nie ma żadnych danych identyfikujących mnie - bank je zna po pomyślnym zalogowaniu się z uwierzytelnieniem hasłem.
Marcin C. Kierownik Działu IT
Anna Maria Trzcińska:a jak rozumiemy podpis elektroniczny?
Co myslicie o wykorzystaniu tego samego klucza prywatnego do podpisu elektronicznego wykorzystywanego przy logowaniu do systemu bankowości internetowej jak i do autoryzacji transakcji?
Jacek G. Jacek Gawrych
Adam Ruczko:
Jacek Gawrych:
Podpis cyfrowy to moim zdaniem szyfrowanie danych (przeważnie skrótu z całości danych) swoim kluczem prywatnym. Jeśli jest inaczej, proszę mi to wytłumaczyć, ale w miarę delikatnie, bo załamie to mój światopoglad ;)
Ustalmy fakty - matematycznie rzecz biorąc podpisywanie czegoś np. zgodnie ze schematem sha1WithRsaEncryption, to następujacy proces: 1) policzenie skrótu z danych (tutaj funkcja SHA1 na danych), w wyniku tego kroku otrzymujemy 20 bajtów unikalnego skrótu
2) skrót jest szyfrowany z wykorzystaniem klucza prywatnego RSA (w tym przypadku).
Wydaje sie wiec ze troche fakty zostaly pomylone - NIE MOZNA POWIEDZIEC "przeważnie skrótu" bo ZAWSZE szyfruje sie skrót.
Tak na marginesie szyfrowanie asymetryczne z uwagi na swa matematyczna naturę jest dużo wolniejsze niż symetryczne.
Nie wiem czy to załamie Twój światopogląd czy nie, ale pisanie na forum ze szyfrowanie i podpisywanie to to samo to wprowadzanie innych czytelników w błąd.
Gwoli ścisłości to przechowuję klucz prywatny w pliku privatekey.pem - tam jest wyłącznie klucz RSA. Nie ma żadnych danych identyfikujących mnie - bank je zna po pomyślnym zalogowaniu się z uwierzytelnieniem hasłem.
Zaskakujące jak z prostego procesu można zrobić coś równie uprzykrzającego życie :)
Jarosław
Żabówka
Administrator
Bezpieczeństwa
Informacji (ABI).
Marcin C.:Nie sądzę :)
a jak rozumiemy podpis elektroniczny?
zgodnie z ustawą?
Marcin C. Kierownik Działu IT
Jarosław Żabówka:taak?
Marcin C.:Nie sądzę :)
a jak rozumiemy podpis elektroniczny?
zgodnie z ustawą?
Jak wiadomo certyfikat kwalifikowany nie może być wykorzystywany w celu logowania.
Jarosław
Żabówka
Administrator
Bezpieczeństwa
Informacji (ABI).
Marcin C. Kierownik Działu IT
konto usunięte
Jarosław
K.
Zastępca Kierownika
w MPWiK S.A.
Jacek Gawrych:
sorry, jedna rzecz mi sie w poprzednim pomylila:
u siebie na dysku nie przechowujemy swojego certyfikatu tylko klucz prywatny. certyfikat z kluczem publicznym przechowuje bank - tak przynajmniej zgaduje.
Następna dyskusja: