Witam,

Wdzięczny będę za pomoc w zrozumieniu, dlaczego dochodzi do przedstawionych
sytuacji.

Posiadam telefon Nokia 7650. Kofiguracja połączenia domyślne operatora ERA
GPRS WAP ze zmienionym ustawieniem security na ON. Gdy łączę się z mBankiem
lub Inteligo pierwszym otrzymanym komunikatem jest:

Unable to authenticate server. Reason: Server certificate not received.

Klikam OK i mam następny komunikat:

Connect to unknow server using secure connection?

Klikam Continue i mam kolejny komunikat:

Connection secured to A

pojawiają się strony logowania, mam symbol kłódki, szczególy połączenia
pokazują szyfrowanie i certyfikat Issuera A, mogę się zalogować i
przeprowadzać wszystkie transakcje.

Moje zadowolenie minęło, gdy połączyłem się z serwisem, który na 100% nie
ma szyfrowania, certyfikatu i SSL.

Cała opisana powyżej sekwencja komunikatów się powtórzyła. A na końcu
połączyłem się z tym serwisem za pomocą opisanego wyżej połączenia
szyfrowanego (Issuer: A)

Czy ktoś jest w stanie mi wytłumaczyć o co tu chodzi?

Pozdrawiam,

Krzysiek

do góry

Krzysiek wrote:
> Posiadam telefon Nokia 7650. Kofiguracja połączenia domyślne operatora ERA
> GPRS WAP ze zmienionym ustawieniem security na ON.

Mało osób wie, że https:// w adresie WAP-owym chroni tylko drugą część
komunikacji - pomiędzy operatorem a Internetem.
Natomiast włączenie security na ON powoduje, że włącza ci się WTLS (to
coś podobnego do SSL-a) pomiędzy twoim telefonem a operatorem.
I to zabezpieczenie pracuje cały czas - również dla stron http://
A serwer (tzw WAP gateway) Ery nie dogaduje się z twoim telefonem w
kwestii certyfikatów. Nie wiem kto jest tutaj winny - twój tel czy WAP
gateway.
Możesz wyłączyć security, o ile nie boisz się podsłuchów warstwy
radiowej w GSM - transmisja w Internecie pozostanie zaszyfrowana.

Pozdrowienia,
Ohm

do góry

Dnia Tue, 06 Jul 2004 10:40:05 +0200, Ohm napisał(a):

> Krzysiek wrote:
>> Posiadam telefon Nokia 7650. Kofiguracja połączenia domyślne operatora ERA
>> GPRS WAP ze zmienionym ustawieniem security na ON.
>
> Mało osób wie, że https:// w adresie WAP-owym chroni tylko drugą część
> komunikacji - pomiędzy operatorem a Internetem.
> Natomiast włączenie security na ON powoduje, że włącza ci się WTLS (to
> coś podobnego do SSL-a) pomiędzy twoim telefonem a operatorem.
> I to zabezpieczenie pracuje cały czas - również dla stron http://
> A serwer (tzw WAP gateway) Ery nie dogaduje się z twoim telefonem w
> kwestii certyfikatów. Nie wiem kto jest tutaj winny - twój tel czy WAP
> gateway.
> Możesz wyłączyć security, o ile nie boisz się podsłuchów warstwy
> radiowej w GSM - transmisja w Internecie pozostanie zaszyfrowana.
>
> Pozdrowienia,
> Ohm

Dzięki za wyjaśnienia. Sam przez te dni nie próżnowałem: pożyczyłem komórki
od kolegów i próbowałem się łączyć ze stronami http i https przy security
ON i OFF.

I teraz czas na zaskakujące wnioski. Zarówno ERA, jak i PLUS na WAP
gateway'ach używają tak zwanych self-cerificate, czyli certyfikatów
wydanych przez siebie dla siebie. O ile ERA robi to enigmatycznie: Issuer
A, owner A, to PLUS nie kryje się z tym: Issuer Polkomtel, owner Polkomtel.

Co więcej, ale tego nie jestem pewny na 100%, prawidłowo zrobiona strona
SSL WAP, powinna dać opcję instalacji takiego certyfikatu. Ani ERA, ani
PLUS tej opcji nie dają. Ale może to być zrobione celowo, żeby za każdym
razem przy łączeniu potwierdzać fakt połączenia z danym serwerem.

Pozdrawiam,

Krzysiek

do góry