Banks online security
Feb. 19th, 2023 01:39 pm![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
ny_quantЗадолбали. Уже в нескольких местах попытка залогиниться приводит к примерно таким результатам:
Access Denied
You don't have permission to access "http://auth.fucking_bank.com/account/login" on this server.
Телефонный звонок ведет к длинным переговорам, пляскам с бубном, чистке кэша, переоткрыванию браузера, попытке залогиниться в других браузерах, перезагрузке компа и все это безрезультатно.
Проблема, как я случайно выяснил, решается просто заходом из анонимного окна. Что за фигня?
В комментарии приглашаются![[livejournal.com profile]](https://www.dreamwidth.org/img/external/lj-userinfo.gif)
nlothik, sydorov47 и все кто хочет поделиться своими знаниями или эмоциями по этому вопросу.
UPDATE: Оказалось, что если набирать пароль руками, то анонимное окно открывать необязательно, дают зайти из обычного.
Access Denied
You don't have permission to access "http://auth.fucking_bank.com/account/login" on this server.
Телефонный звонок ведет к длинным переговорам, пляскам с бубном, чистке кэша, переоткрыванию браузера, попытке залогиниться в других браузерах, перезагрузке компа и все это безрезультатно.
Проблема, как я случайно выяснил, решается просто заходом из анонимного окна. Что за фигня?
В комментарии приглашаются
nlothik, sydorov47 и все кто хочет поделиться своими знаниями или эмоциями по этому вопросу.UPDATE: Оказалось, что если набирать пароль руками, то анонимное окно открывать необязательно, дают зайти из обычного.
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
no subject
Date: 2023-02-23 03:23 am (UTC)no subject
Date: 2023-02-23 02:36 pm (UTC)Ключ для шифрования отдельного файла хранится внутри пользовательской сессии.
Так что если на вход в Windows пароль не требуется или он простой, то защиты отдельного файла можно сказать, что нет.
Кроме того, менеджеры паролей дают много других плюшек -- например, чистят буфер обмена (clipboard) от копированных паролей, могут генерировать новые пароли, и так же дают доступ к паролям на всех устройствах.
Последнее можно изобразить самому, если хранить файл с паролями на облаке, но опять же возникают тонкости.
no subject
Date: 2023-02-23 03:29 pm (UTC)>Ключ для шифрования отдельного файла хранится внутри пользовательской сессии.
Положим, я создал этот ключ прямо щас а потом разлогинился из своего компа. Что происходит с ключом? Он же не исчез? Файл наверное остается зашифрованным пока на компе работает кто-то другой или вообще никто.
>Так что если на вход в Windows пароль не требуется или он простой, то защиты отдельного файла можно сказать, что нет.
Положим, кто-то пролез сквозь фаерволл и залогинился в мой комп под моим именем угадав мой пароль, или как моя жена или как гость. Ты говоришь, что с точки зрения такого взломщика фаил будет незашифрованным?
no subject
Date: 2023-02-23 03:36 pm (UTC)Я говорю про встроенную в Винду версии Про и выше возможность зашифровать отдельный файл, поставив в соответствующем месте пЫптик:
Ключ для шифрования этого файла генерируется автоматически и хранится внутри твоей сессии Виндоуз.
Когда сессия не существует (ты не залогинен), прочитать этот файл невозможно.
Как только ты заходишь в комп, файл доступен для чтения.
no subject
Date: 2023-02-23 04:20 pm (UTC)В самом ли деле внешний взломщик проникший сквозь фаерволл может создать сессию под моим именем угадав мой юзернейм и пароль?
Но вообще-то я имел в виду не это, а например вот что. В Экселе, как известно, можно защищать worksheets & files паролями.
https://support.microsoft.com/en-us/office/protect-a-worksheet-3179efdb-1285-4d49-a9c3-f4ca36276de6
https://learn.microsoft.com/en-us/office/vba/api/Excel.Workbook.PasswordEncryptionKeyLength
Моя мысль была в том, чтобы спрятать и защитить файл с паролями таким вот черезжопистым путём.
no subject
Date: 2023-02-23 04:56 pm (UTC)В Офисе версии 2016 и старше для шифрования используется AES256 (что есть гут), но для хеширования используется SHA1. Что уже не есть гут, он формально криптографически нестоек. Но гут -- понятие растяжимое.
Для защиты от большинства долбохакеров годится.
> В самом ли деле внешний взломщик проникший сквозь фаерволл может создать сессию под моим именем угадав мой юзернейм и пароль?
Такое происходит довольно редко. Не этого надо бояться.
Самая частая возможность пролюбить пароли это стать жертвой фишинга.
Это плюс для использования менеджера паролей -- он дополнительно проверяет адрес сайта прежде чем кидать туда пароли.
no subject
Date: 2023-02-23 05:27 pm (UTC)Фишинга я особенно не боюсь, т.к. во все важные места хожу только по букмаркам.
no subject
Date: 2023-03-13 02:35 pm (UTC)no subject
Date: 2023-03-13 02:47 pm (UTC)no subject
Date: 2023-03-13 03:04 pm (UTC)no subject
Date: 2023-03-13 03:13 pm (UTC)Сомнения совершенно верные.
Чтобы расшифровать файлы на другом компьютере, надо экспортировать сертификат шифрования со старого, и импортировать его на новом.
https://www.tenforums.com/tutorials/77225-backup-encrypting-file-system-certificate-key-windows-10-a.html
> Т.е. если эту флешку или файл из облака у меня украли, то это ворам не поможет?
Если только они заодно не украдут твой сертификат.
no subject
Date: 2023-03-13 03:17 pm (UTC)Т.е. если скопировать файл на флешку, сформатированную под FAT32 (это так по умолчанию), то комп сругнётся -- "ты действительно хочешь это сюда скопировать?". Потому что EFS на FAT32 не работает, но что будет -- то ли оно расшифрует и даст скопировать, то ли файл тупо не будет открываться, я не проверял.
no subject
Date: 2023-03-13 03:33 pm (UTC)no subject
Date: 2023-03-13 03:43 pm (UTC)Вот, например, скриншот с моей, форматированной FAT32.
no subject
Date: 2023-03-13 03:53 pm (UTC)File system: FAT32
no subject
Date: 2023-03-13 04:04 pm (UTC)Теперь надо попробовать прочитать этот файл на любом другом компьютере.
EFS на FAT32 не поддерживается, так что должно прочитать.
no subject
Date: 2023-03-13 04:31 pm (UTC)no subject
Date: 2023-03-13 03:17 pm (UTC)Спасибо!