W dniu 25-01-19 o 23:57, Marcin Debowski pisze:

>>> Na zdalnym serwerze, z dostępem po łączu szyfrowanym?
>>> To już musi być bardzo smart wirus, targetujący na konkretne rozwiązanie.
>> Nie. Ale do pdf-a może być dołączony złośliwy kod. Do czystek e-maila
>> już trudniej coś takiego wymyślić.
> Wektor ataku może być np. taki, że pdf jest podmieniany/modyfikowany na
> komputerze odbierającego lub wysyłającego. Mozna np. podmienić w pdf'ie
> nr rachunku.
> Także ogólnie, MZ nie ma aż takiego znaczenia co jest nosnikiem
> (dokumentem). Trzeba po prostu uważać i weryfikować płatności inaczej.
>
To też, ale osobnym problemem jest zagrożenie spowodowane otwieraniem
załączników.

do góry

On 2019-01-25, Robert Tomasik <r...@g...pl> wrote:

[...]

>> Tylko jeśli weryfikujesz podpis i nadawcę podpisu (czyli praktycznie nigdy).
>> Można wysłać maila podpisanego przez kogoś innego, podając we "from" cokolwiek
>> się chce i nikt nie zwróci na to uwagi.
>
> Jak masz nowego kontrahenta i zweryfikujesz jego e-maila, to sobie
> dodajesz do grupy, od której program zmienia maile na jaki Twój ulubiony
> kolor.

Ależ to jest do obejścia w 5 minut. Można wysłać maila z dowolnym adresem
e-mail, tak jak można wysłać SMSa z różnymi nadawcami.

> Jak nie zmieni, to się zastanawiasz czemu. Ja akurat przerzucam
> te emaile do lokalnego katalogu, ale rozwiązań pewnie z tuzin można
> wymyślić.

I tylko o ile jest rozpowszechnione sprawdzanie "kłódki" w przeglądarce,
to nie jest rozpowszechniona tego typu higiena w klientach poczty.
Co więcej, klient poczty nie gwarantuje w jaki sposób Twój email
zostanie odebrany, czy wygląd będzie zgodny z intencją nadawcy,
a podmienić treść tuż przed wyświetleniem (a więc już po kontroli
podpisem) może dowolne rozszerzenie w kliencie poczty (tak jak ma
to miejsce w rozszerzeniach przeglądarek).

> Po za tym wiele tego typu ataków, to było robionych przez urządzenia /
> programy do seryjnego wysyłania dokumentów i one w ogóle nie obsługują
> podpisywania / szyfrowania. Ale oczywiście faktem jest, ze jak ludzie by
> zaczęli to częściej używać, to pewnie i sprawcy by zmienili sposoby.

Zmierzam raczej do tego, że literalnie nie ma żadnej techniczej wyższości
"podpisanego maila" nad "podpisanym PDFem", a ten drugi przynajmniej
gwarantuje że odbiorca zobaczy to co chce nadawca, w formie takiej jak
chce, nawet jak to wydrukuje.

>> Na zdalnym serwerze, z dostępem po łączu szyfrowanym?
>> To już musi być bardzo smart wirus, targetujący na konkretne rozwiązanie.
>
> Nie. Ale do pdf-a może być dołączony złośliwy kod.

Który w nowoczesnych przeglądarkach nic nie zrobi.

> Do czystek e-maila już trudniej coś takiego wymyślić.

Kiedyś się dało, tak jak kiedyś się dało zrobić PDFa, który przy
otwarciu zarażał. Zarówno współczesne mailery jak i PDF readery
blokują tego typu akcje.

--
Wojciech Bańcer
w...@g...com

do góry

>>> Pewnie masz rację. Ale podpisy są darmowe.
>>
>> To nie jest prawda. Nie umiesz liczyć.
>> Nawet jeśli oprogramowanie do podpisu jest darmowe itp, to jest to
>> kłopot.
>> Kłopot pszeliczalny na pieniądze, to idzie po prostu w koszty pracy,
>> wcale nie małe.
>
> Oprogramowanie integruje się z programem pocztowym i generalnie jedyne
> co, to musisz hasło do klucza wpisać (to może być proste hasło, bo
> zabezpieczeniem jest konieczność posiadania klucza prywatnego) oraz
> zwrócenie uwagi na ikonę informującą o podpisaniu wiadomości.

Tego tszeba pracownika nauczyć. To wpisywanie zajmuje mu czas.
Czas zajmuj też pilnowanie hasła "do hasła".
Oprogramowanie należy zainstalować. To robi już fahowiec, on też kosztuje.
To "darmowe" oprogramowanie także ktoś kiedyś napisał, ktoś wydał na to
pieniądze.

--
(tekst bez: ó, ch, rz i -ii)
Ortografia to NAWYK, często nielogiczny, ktury ludzie ociężali umysłowo,
nażucają bezmyślnie następnym pokoleniom. ( ortografia . pev . pl )

do góry

Wydaje mi się, że jak zwykle nawet nie starasz się zrozumieć problemu.
Po pierwsze ja nie mam żadnego kontrahenta i nigdy nie miałam, bo nie
prowadzę i nigdy nie prowadziłam działalności.

--
(tekst bez: ó, ch, rz i -ii)
Ortografia to NAWYK, często nielogiczny, ktury ludzie ociężali umysłowo,
nażucają bezmyślnie następnym pokoleniom. ( ortografia . pev . pl )

do góry

> Kiedyś się dało, tak jak kiedyś się dało zrobić PDFa, który przy
> otwarciu zarażał. Zarówno współczesne mailery jak i PDF readery
> blokują tego typu akcje.

Prawda, czasem : niestety.
Otwiera się takiego .pdf a i nawet nie można zaznaczyć dokąd się
pszeczytało.

--
(tekst bez: ó, ch, rz i -ii)
Ortografia to NAWYK, często nielogiczny, ktury ludzie ociężali umysłowo,
nażucają bezmyślnie następnym pokoleniom. ( ortografia . pev . pl )

do góry

W dniu 26-01-19 o 14:38, Wojciech Bancer pisze:

>>> Tylko jeśli weryfikujesz podpis i nadawcę podpisu (czyli praktycznie nigdy).
>>> Można wysłać maila podpisanego przez kogoś innego, podając we "from" cokolwiek
>>> się chce i nikt nie zwróci na to uwagi.
>> Jak masz nowego kontrahenta i zweryfikujesz jego e-maila, to sobie
>> dodajesz do grupy, od której program zmienia maile na jaki Twój ulubiony
>> kolor.
> Ależ to jest do obejścia w 5 minut. Można wysłać maila z dowolnym adresem
> e-mail, tak jak można wysłać SMSa z różnymi nadawcami.

Ale na Twoim komputerze będzie klucz publiczny właściwego kontrahenta,
więc podpis się nie będzie zgadzał. No chyba, że masz pomysł na
podpisanie e-maila bez klucza prywatnego.
>
>> Jak nie zmieni, to się zastanawiasz czemu. Ja akurat przerzucam
>> te emaile do lokalnego katalogu, ale rozwiązań pewnie z tuzin można
>> wymyślić.
> I tylko o ile jest rozpowszechnione sprawdzanie "kłódki" w przeglądarce,

Przeglądarki żadko wspierają podpisywanie / szyfrowanie.

> to nie jest rozpowszechniona tego typu higiena w klientach poczty.

No właśnie o to mi chodzi.

> Co więcej, klient poczty nie gwarantuje w jaki sposób Twój email
> zostanie odebrany, czy wygląd będzie zgodny z intencją nadawcy,
> a podmienić treść tuż przed wyświetleniem (a więc już po kontroli
> podpisem) może dowolne rozszerzenie w kliencie poczty (tak jak ma
> to miejsce w rozszerzeniach przeglądarek).

No to już musiał byś mieć bardzo zaawansowanego wirusa. Podpis jest
sprawdzany przed prezentacją. Wydaje mi się to niemożlwe, ale być może
nie wiem o czymś. Tak, czy siak wytniesz pewnie z 99,99% zagrożenia.
>
>> Po za tym wiele tego typu ataków, to było robionych przez urządzenia /
>> programy do seryjnego wysyłania dokumentów i one w ogóle nie obsługują
>> podpisywania / szyfrowania. Ale oczywiście faktem jest, ze jak ludzie by
>> zaczęli to częściej używać, to pewnie i sprawcy by zmienili sposoby.
>
> Zmierzam raczej do tego, że literalnie nie ma żadnej techniczej wyższości
> "podpisanego maila" nad "podpisanym PDFem", a ten drugi przynajmniej
> gwarantuje że odbiorca zobaczy to co chce nadawca, w formie takiej jak
> chce, nawet jak to wydrukuje.

No właśnie do pdf możesz dołączyć jakiegoś syfa.
>
>>> Na zdalnym serwerze, z dostępem po łączu szyfrowanym?
>>> To już musi być bardzo smart wirus, targetujący na konkretne rozwiązanie.
>> Nie. Ale do pdf-a może być dołączony złośliwy kod.
> Który w nowoczesnych przeglądarkach nic nie zrobi.

Nie czytam zasadniczo poczty z przeglądarki, tylko z klienta.
>
>> Do czystek e-maila już trudniej coś takiego wymyślić.
> Kiedyś się dało, tak jak kiedyś się dało zrobić PDFa, który przy
> otwarciu zarażał. Zarówno współczesne mailery jak i PDF readery
> blokują tego typu akcje.
>

do góry

W dniu 2019-01-26 o 17:35, Stokrotka pisze:
>
>
> Wydaje mi się, że jak zwykle nawet nie starasz się zrozumieć problemu.
> Po pierwsze ja nie mam żadnego kontrahenta i nigdy nie miałam, bo nie
> prowadzę i nigdy nie prowadziłam działalności.
>

ROTFL

--
Sonn

do góry

W dniu 2019-01-26 o 00:07, Robert Tomasik pisze:
> W dniu 25-01-19 o 23:57, Marcin Debowski pisze:
>
>>>> Na zdalnym serwerze, z dostępem po łączu szyfrowanym?
>>>> To już musi być bardzo smart wirus, targetujący na konkretne rozwiązanie.
>>> Nie. Ale do pdf-a może być dołączony złośliwy kod. Do czystek e-maila
>>> już trudniej coś takiego wymyślić.
>> Wektor ataku może być np. taki, że pdf jest podmieniany/modyfikowany na
>> komputerze odbierającego lub wysyłającego. Mozna np. podmienić w pdf'ie
>> nr rachunku.
>> Także ogólnie, MZ nie ma aż takiego znaczenia co jest nosnikiem
>> (dokumentem). Trzeba po prostu uważać i weryfikować płatności inaczej.
>>
> To też, ale osobnym problemem jest zagrożenie spowodowane otwieraniem
> załączników.
>

Zależy jakim programem otwierasz.

--
http://kaczus.zrzeda.pl

do góry

W dniu 30.01.2019 o 14:19, Tomasz Kaczanowski pisze:
>> To też, ale osobnym problemem jest zagrożenie spowodowane otwieraniem
>> załączników.
>>
>
> Zależy jakim programem otwierasz.


raczej jakiej ochrony używasz:)

btw w proteście do trampka, niech wszyscy libertarianie zlikwidują
fire-wall`e:)

--
General Skalski o zydach w UB :

"Rozanski, Zyd, kanalia najgorszego gatunku, razem z Brystigerowa,
Fejginami, to wszystko (...) nie byli ludzie."

George Orwell :

"If liberty means anything at all, it means the right to tell people
what they do not want to hear"

do góry

W dniu 2019-01-30 o 14:25, u2 pisze:
> W dniu 30.01.2019 o 14:19, Tomasz Kaczanowski pisze:
>>> To też, ale osobnym problemem jest zagrożenie spowodowane otwieraniem
>>> załączników.
>>>
>>
>> Zależy jakim programem otwierasz.
>
>
> raczej jakiej ochrony używasz:)

wiesz, program, ktory nie wykonuje żadnej interakcji poza zamianą tekstu
na obraz nie wykona raczej żadnej operacji, która mogłaby zaszkodzić
użytkownikowi. Jeśli pojawi się tam kod złośliwy, po prostu zostanie
pominięty przy analizie i albo zostanie zgłoszony błąd dekodowania, albo
zostanie pominięte.

--
http://kaczus.ppa.pl

do góry