Re: obrazek bezpieczeństwa w IPKO - Grupy dyskusyjne w eGospodarka.pl

Path: news-archive.icm.edu.pl!agh.edu.pl!news.agh.edu.pl!newsfeed2.atman.pl!newsfeed.
atman.pl!news.nask.pl!news.nask.org.pl!news.unit0.net!npeer.de.kpn-eurorings.ne
t!npeer-ng0.de.kpn-eurorings.net!border2.nntp.ams1.giganews.com!nntp.giganews.c
om!newsfeed.neostrada.pl!unt-exc-01.news.neostrada.pl!unt-spo-a-02.news.neostra
da.pl!news.neostrada.pl.POSTED!not-for-mail
Newsgroups: pl.biznes.banki
From: Wojciech Bancer <w...@g...com>
Subject: Re: obrazek bezpieczeństwa w IPKO
References: <d...@g...com>
<X...@l...net>
<5805fba4$0$645$65785112@news.neostrada.pl>
<s...@p...org>
<58079703$0$649$65785112@news.neostrada.pl>
<s...@p...org>
<5807a064$0$15188$65785112@news.neostrada.pl>
Organization: None
Date: Thu, 20 Oct 2016 11:50:27 +0200
User-Agent: slrn/1.0.2 (Darwin)
Mime-Version: 1.0
Content-Type: text/plain; charset=iso-8859-2
Content-Transfer-Encoding: 8bit
Message-ID: <s...@p...org>
Lines: 28
NNTP-Posting-Host: 79.190.162.251
X-Trace: 1476957027 unt-rea-b-01.news.neostrada.pl 649 79.190.162.251:62833
X-Complaints-To: a...@n...neostrada.pl
Xref: news-archive.icm.edu.pl pl.biznes.banki:626806
[ ukryj nagłówki ]
On 2016-10-19, J.F. <j...@p...onet.pl> wrote:

[...]

>>Na oko. :)
>>To jest trudniejsze niż wygląda na pierwszy rzut oka.
>
> Wersja a): od strony serwera polaczyc sie ze strona pko, wpisac
> klienta, sciagnac obrazek i przekazac do udawanej strony.
> Wada - moze zwrocic uwage na duza ilosc polaczen ze strony jednego
> serwera - trzeba by rozrzucic po wielu komputerach.

Zablokować połączenia bez sesji/ciacha od klienta, dorzucić kontrolnie
check nagłówków (user agent, przekierowania z CSRFem, zmieniać randomowo
kod HTML utrudniają automatyczne parsowanie kodu przez serwer).

> Wersja b): zaprogramowac to w javascript strony. Skrypt z przegladarki
> klienta polaczy sie do PKO, wpisze nr klienta, i pokaze otrzymany
> obrazek.

Zablokować połączenia AJAX (przeglądarki to wysyłają tak, że da się wykryć).
A to tylko takie prostsze rzeczy, które stosuje się zawsze. :)

I co zrobisz? :)

--
Wojciech Bańcer
w...@g...com