s...@g...com writes:

>> Gorzej. Malware może w ogóle spowodować, że komputer będzie pokazywał
>> cokolwiek.
>
> Ano może. Ale gdzies trzeba załozyć że istnieje granica.

Owszem, ale ta granica jest w zupełnie innym miejscu. A przynajmniej
powinna być.

> Poprosilem znajomego aby mi zrobil zrzuty ekranu i umiescil na imgurze.
> Upierdliwe a mozna bylo by takie obrazki umiescic gdzies w internecie
> aby zainteresowani mogli sie skonsultować.

Chyba po to, by dać im fałszywe poczucie bezpieczeństwa.

> Możesz podac przyklad takiego wirusa? Bo oczywiscie to mozliwe ale czy
> już realizowane?

Chciałbyś sprawdzić to na sobie, gdy już będzie realizowane?

> No nie. Sporo przypadków było kiedy ludziom zawirusowano komórki
> (równiez przez sms-y których nawet nie otwarli) i spokojnie w ciagu
> nocy oczyszczono konto wieloma przelewami.

No jednak tak. Oczywiste jest, że pisałem o przypadku, w którym
zawirusowany był tylko pecet. Jeśli ktoś jest na tyle nierozgarnięty
(albo ma na tyle zdeterminowanych wrogów), że wykonuje przelewy używając
zawirusowanego" komputera ORAZ jednocześnie zawirusowanego telefonu
(jako końcówki do kodów "SMS"), i dodatkowo oba "wirusy" współpracują ze
sobą (muszą się ze sobą lub z atakującym komunikować, komórka musi
wiedzieć co ma wyświetlić, albo musi przesłać SMSa komputerowi), to
rzeczywiście ryzyko tej sytuacji jest zasadniczo takie samo jak w
przypadku kodów papierowych i zawirusowanego "tylko" komputera.

BTW wystarczy do tego 1 przelew.

> Takie są. Ja nie korzystam z banku w pracy ale mechnizm jest i działa.

Ale jest tykającą bombą, to "mechanizm" dla samobójców.

> Dlatego temat poruszyłem bo widze że wiara w skutecznośc łańcucha
> certyfikacji jest silna ale swiadomosc ze sama zielonosc "kłódki w
> przeglądarce" to nie jest 100% sukcesu.

Prawda jest zupełnie inna. PKI jest zawodne. Słabe strony PKI znajdują
się jednak w zupełnie innych miejscach - to jest słabość procedur
stosowanych przez poszczególne CA, podatność na wyłudzenia certyfikatów,
podatność na działania np. służb itd. Prawidłowo wystawiony certyfikat
nie gwarantuje, że jego użytkownik jest tym, za kogo się podaje (chociaż
prawdopodobieństwo jest znaczne).

Natomiast porównywanie słabości PKI do sytuacji z malware na komputerze,
i recepta w postaci sprawdzania łańcucha certyfikatów (w czasie każdego
żądania?) to, nazwijmy to, nieporozumienie.
--
Krzysztof Hałasa