> > 2) proxy zglasza sie klientowi jak by bylo mbankiem i daje mu inny klucz do
> > sesji SSL i jednoczesnie zglasza sie do mbanku jakby bylo normalnym
klientem.
> > ofiara myslac ze wyswietlaja sie jej strony mbanku tak naprawde dogaduje
sie
> > tylko z proxy'm ktory wyswietla jej strony (w zaleznosci od potrzeby
> > zmodyfikowane) o ktore sam pyta mbanku.
> > w tym momencie proxy ma pelna kontrole nad procesem komunikacji.
> > daje to jeszcze wieksze pole do popisu atakujacemu.
>
>
> Jeśli tylko ofiara ma przyzwoitą przeglądarkę (czyli nie IE[1] ) to
> raczej nie ma szans na taki atak

byc moze sie myle. (nie siedzialem gleboko nigdy w SSL'u).
ale:
ZADNA przegladarka na komputerze ofiary NIE MA MOZLIWOSCI rozpoznac ze rozmawia
z proxy a nie z mbankiem, przy scenariuszu jaki zamiescilem powyzej.

poprawcie mnie, jesli jestem w bledzie. i argumentujcie please.
pzdr,
rafal urbanelis
http://szus.info


--
Wysłano z serwisu OnetNiusy: http://niusy.onet.pl