Vlákno názorů k článku
FedEx dává klientům slevu za instalaci Flashe
od fgtt - Aha, takže místo aby věnovali čas rozchozením stránek...
-
balki (neregistrovaný)
Hlavne stary system byva vzdy lepsi, asi na to nebola politicka vola.
Komickejsia je tatrabanka, ona momentane patri pod raiffku. Mali webovy internet banking a v case, ked uz bolo jasne, ze flash je passe, nasadili flash, lebo raiffka to ma tiez tak. Nehovorim o tom, ze UX nula bodov, rozhranie uplne nelogicke.
Este vtipnejsie je to, ze pod raiffku patrila aj moderna nizkonakladova banka ZUNO s vybornym ajaxovym internet bankingom, ale tu kvoli vnutornym bojom v raiffke a zastancom klasickeho bankovnictva proste zrusili. Tak ma nalakali naspat do tatrabanky na vedenie uctu zadarmo na 3 roky, uz som si spomenul, preco som zdrhol.
-
Filip JirsákStříbrný podporovatelNevím, zda to umí Flash, ale umí to Java a HTML5 s JavaScriptem ne – podepisovat nebo šifrovat/dešifrovat pomocí klíčů uložených v systémovém úložišti certifikátů nebo třeba na čipové kartě.
-
Filip JirsákStříbrný podporovatel
Java Applet byla normální javovská aplikace, která běžela v javovském sandboxu (stejně jako Java WebStart aplikace), takže měla taková oprávnění, jaká jí uživatel schválil (v Javě, ne v prohlížeči). Pokud si požádala o veškerá oprávnění a uživatel je schválil, bylo to prakticky stejné, jako kdyby tu aplikaci spustil přes
java -jar xxx. Takže prohlížeč neměl žádný vliv na to, co ta aplikace může nebo nemůže. Jediné, co bylo v appletech navíc, bylo to, že se aplikace vykreslovala v okně prohlížeče a mohla komunikovat s webovou stránkou, ze které byla spuštěna. To WebStart přímo nemůže, tam se to musí obcházet pomocí WebSocket komunikace, kterou zprostředkuje server. -
Myslím, že nemáš až tak úplně pravdu.
https://developers.yubico.com/U2F/Libraries/Using_a_library.html
-
Filip JirsákStříbrný podporovatel
Myslím, že nemáš až tak úplně pravdu. https://developers.yubico.com/U2F/Libraries/Using_a_library.html
Kvůli formátování diskuse není jasné,kdo by asi neměl mít pravdu – nicméně i tak se dá vyhodnotit, že je váš komentář chybný, protože o dvoufaktorové autentizaci pomocí U2F nebyla v tomhle vlákně vůbec řeč. Pro U2F potřebujete podporu v prohlížeči, v současné době to podporuje jenom Chrome a Opera. -
Ten protokol umožňuje přistoupit ke klíči uloženému na externím kryptozařízení, takže to byla reakce na to, že javascript neumožňuje přístup k externímu uložišti certifikátů. Navíc to perfektně splňuje potřeby s vyšší bezpečností, než má ten java aplet.
A že to má podporu jen v Chrome a Opeře? Java taky potřebuje podporu prohlížeče, je to totéž. Rozdíl je v tom, že Java tu podporu postupně ztrácí, zatímco U2F ji získává. Díky knihovnám není problém tuto autentikaci přidat do jakékoliv web aplikace. -
Filip JirsákStříbrný podporovatel
ivoszz: Bavili jsme se o elektronickém podpisu. U2F neumožňuje přistoupit ke klíči uloženému v externím kryptozařízení (ostatně to by bylo zásadní oslabení celého systému – základní princip těchhle externích zařízení je v tom, že z nich privátní klíč nelze rozumně dostat). U2F je jenom způsob, jak získat ze zařízení kód pro dvoufaktorovou autentizaci. To, že se při ní používá nějaký klíč, je jenom implementační detail, který ani v tom protokolu natož v API v prohlížeči není vidět. Ostatně běžné implementace dvoufaktorové autentizace používají symetrickou kryptografii, pro elektronický podpis potřebujete asymetrickou.
Takže to, že to má zatím podporu jen v Chrome a Opeře, je jen nepodstatný detail. Podstatné je to, že s pomocí toho nevytvoříte elektronický podpis ani dnes, ani nikdy v budoucnosti, protože je to určené k něčemu jinému a dělá to něco jiného.
Jinak pro Javu žádnou podporu v prohlížeči nepotřebujete – stačí, když umí stáhnout JNLP soubor na disk. Vlastně ani to není potřeba, stačí
javawsnapsat URL toho JNLP souboru na příkazové řádce. Což už je ale pro uživatele trochu nepohodlné. -
@Jirsák: Neumí to náhodou JavaScript přes Web crypto api?
https://www.w3.org/TR/WebCryptoAPI/#concepts-key-storage
https://www.chromium.org/blink/webcrypto
https://developer.mozilla.org/en-US/docs/Web/API/Web_Crypto_API -
Filip JirsákStříbrný podporovatel
Fakt. Na vytvoření podpisu, když máte v aplikaci data privátního klíče, nepotřebujete žádné speciální API, to se dá v JavaScriptu naprogramovat i bez toho. Já jsem ale psal o přístupu do systémového úložiště certifikátů nebo k certifikátům uloženým na čipové kartě nebo tokenu. To je totiž rozumně bezpečný přístup, protože se aplikace vůbec nedostane k privátnímu klíči. Mít privátní soubor v souboru na disku není moc bezpečné (a eIDAS už takhle vytvořený podpis ani nepovažuje za kvalifikovaný, na to zase v ČR musíme mít výjimku, abychom to s tou bezpečností moc nepřeháněli). Dávat ten privátní klíč dokonce webové aplikaci je, řekněme, odvážné. O to smutnější je, že je to dnes jediný způsob, jak ve webové aplikaci bez dalších doplňků něco elektronicky podepsat.
-
NULL (neregistrovaný)
Á, už jsem to rozluštil:
"... to je totiž rozumně bezpečný přístup, protože se webová aplikace vůbec nedostane k privátnímu klíči ..."
Jako jasně, akorát je v případě cracknutí potřeba rozbít něco jiného. V tomto nejsem expert, ale radši bych si vybral tu Javu, než Javascript (ten na 99% bude v té webapp) nebo snad dokonce Flash.
-
Filip JirsákStříbrný podporovatel
@NULL: Já taky preferuju Javu před JavaScriptem a určitě před Flashem. Akorát teda když už se všechno dělá jako webové aplikace, tak bych byl rád, aby tam i ten podpis fungoval normálně. Nakonec v tom není takový rozdíl, jestli ten podpis svěřím Javové aplikaci nebo JavaScriptu, obojí mi poslal webový server a v obou případech můžu akorát věřit tomu, že ta aplikace nepodepíše něco jiného. JavaScript je teoreticky snazší zkontrolovat (nemusím ho dekompilovat), ale jakýkoli kryptografický kód bude vždy komplikovaný a ukrýt tam nějakou nekalost nebude tak těžké. V tom by byla implementace v prohlížeči lepší, protože bych mohl věřit tomu, že na můj pokyn prohlížeč podepsal právě jeden hash. Takže když mi pak aplikace dá k dispozici dokument s mým podpisem, mám docela dobrou jistotu, že si někde bokem nepodepsala ještě něco jiného.
Co se týče bezpečnosti, pokud je privátní klíč uložen na čipové kartě nebo v USB tokenu, musel byste cracknout tu čipovou kartu – což prakticky znamená, že byste se k ní musel fyzicky dostat, vypreparovat ten čip a z jeho paměti ten klíč získat. Lepší zařízení, která splňují nějaké normy, by v případě pokusu o fyzické napadení zařízení údaje v paměti znehodnotila. Třípísmenkové organizace by si s tím asi poradily, kdyby chtěly, ale rozhodně to není nic pro běžného zlodějíčka.
Systémové úložiště (Windows nebo Apple) je jenom kus software ve složitém systému, ale i tak je to řádově bezpečnější, než naservírovat aplikaci privátní klíč v souboru.
-
NULL (neregistrovaný)
Jo, to jasně. Průser, nebo to ani ne, spíš problém, je v tom, že JS je s bezpečností, resp. pro věci kde je vyžadována nějaká bezpečnost, na štíru (ale to zas pomáhá jinde) a Java zase neumí tak dobře lehce jako JS valit v browseru a dělat to co jde s JS úplně lehce. Ideálně by 1 jazyk musel umět oboje a možná už by bylo na čase konečně . . .
No já to myslel tak, že v případě uložiště je to stejně na disku a ani TrueCryptu někteří nevěří, v případě USB v momentě kdy je zapichnutý do kompu už to není o fyzickém přístupu ale o SW v daném stroji. To je ale jedno. To už je stejně tak i tak pořádná kompromitace. Zde o čem se bavím je to, aby byla "galvanicky" oddělena webová a lokální část. A na to jsem narážel, že pokud to není webové, tak je to stejně na disku, nemyslel jsem to tak, že by to (USB, cert. ulož. ) byly k ničemu nebo nebyly lepší než C:\\...Users\ .... \Documents\my certs\
-
DRM. :/ Mám ho sice rád asi jak osinu v prdeli, ale obsah kde na tom vlastník práv trvá hraje buď přes Flash, Silverlight, což je ještě větší peklo, nebo vůbec.
Docela hodně mě to sere u Google Play Music, kde si hudbu na počítači oficiálně přehraji pouze v Chrome, nebo skrze Flash. Ostatní služby se streamovanou hudbou za paušál jsou na tom podobně.
-
KateStříbrný podporovatel
https://www.googleplaymusicdesktopplayer.com/
sice je to Electron, takže „Chrome“, ale alespoň se to v systému chová jako normální desktopový přehrávač (vidí ho applety a tak…)
-
f03 (neregistrovaný)
To je sice možné, ale většina těch věcí je reálně úplně většině lidí naprosto k ničemu (a to platí i pro Javu), a počet bezpečnostních děr potenciální výhody bezpečbě likviduje (můj názor). Co tak skvělého Flash umí, že je potřeba k vytištění dokumentu? Třeba u DHL na to stačí na straně klienta JS.
-
nobody (neregistrovaný)
kaliszad 10 25.3.2017 19:46 Dell [...] jde i bez pluginu.
no tak mi ukaz nejavovou verzi pro "Dell PowerEdge 2161DS-2" ;-) -
nobody (neregistrovaný)
tak z kontextu bylo patrne ze reagoval na toto, kde prave rec o specifickych vecech jako jsou Switche, KVM, IPMI, apod byla a dokonce o nicem jinem ;)
no ale je tedy (asi podle tebe) "mozne" ze reagoval na to nad tim a nevsiml si ze on je na jeho strane a nemusi ho tedy rozporovat ;) -
j (neregistrovaný)
2f03: Jasne, vetsina lidi nepodava hlaseni socialce ... napriklad ... http://www.cssz.cz/cz/eportal/pozadavky-na-vyuzivani-interaktivnich-tiskopisu-cssz.htm java nebo active-x ...
