資訊實體 zmx Blog http://frogbsd.wordpress.com zmx's 3G blog Mon, 01 Dec 2008 12:43:55 +0000 http://wordpress.com/ zh-tw hourly 1 http://www.gravatar.com/blavatar/4b799a5d91dfdaea3c4ed4b3ecdc726f?s=96&d=http://s.wordpress.com/i/buttonw-com.png 資訊實體 zmx Blog http://frogbsd.wordpress.com 為甚麼網路銀行不安全, 或, 為甚麼十幾年了還不安全 http://frogbsd.wordpress.com/2008/12/01/%e7%82%ba%e7%94%9a%e9%ba%bc%e7%b6%b2%e8%b7%af%e9%8a%80%e8%a1%8c%e4%b8%8d%e5%ae%89%e5%85%a8-%e6%88%96-%e7%82%ba%e7%94%9a%e9%ba%bc%e5%8d%81%e5%b9%be%e5%b9%b4%e4%ba%86%e9%82%84%e4%b8%8d%e5%ae%89/ http://frogbsd.wordpress.com/2008/12/01/%e7%82%ba%e7%94%9a%e9%ba%bc%e7%b6%b2%e8%b7%af%e9%8a%80%e8%a1%8c%e4%b8%8d%e5%ae%89%e5%85%a8-%e6%88%96-%e7%82%ba%e7%94%9a%e9%ba%bc%e5%8d%81%e5%b9%be%e5%b9%b4%e4%ba%86%e9%82%84%e4%b8%8d%e5%ae%89/#comments Mon, 01 Dec 2008 12:43:55 +0000 zmx http://frogbsd.wordpress.com/2008/12/01/%e7%82%ba%e7%94%9a%e9%ba%bc%e7%b6%b2%e8%b7%af%e9%8a%80%e8%a1%8c%e4%b8%8d%e5%ae%89%e5%85%a8-%e6%88%96-%e7%82%ba%e7%94%9a%e9%ba%bc%e5%8d%81%e5%b9%be%e5%b9%b4%e4%ba%86%e9%82%84%e4%b8%8d%e5%ae%89/ ]]>

目前網路銀行不安全的問題, 尤其是釣魚詐騙網站, 在於銀行的系統設計, 銀行認證客戶身分, 客戶沒有認證銀行身分. 即使可以讓客戶很方便的用密碼認證銀行身份

一開始 web 只有 HTTP 協定, 明碼協定很容易被竊聽程式聽走, 所以 Netscape 就說好吧, 我們設計了 SSL 協定(現在叫TLS), 把 HTTP 包在裡面, SSL 提供一個加密的通道, 這樣裡面的東西都不用改. 所以客戶還是一樣用密碼認證, 銀行端一樣有客戶密碼的明碼 [1]

客戶怎麼認證銀行身分呢, SSL 的設計依賴公開金鑰基礎建設(PKI), 有個可信任第三方(CA)發一張憑證給銀行, 客戶的瀏覽器檢查憑證合不合法, 有沒有過期. 譬如說常見的 CA 商是 Verisign, 中國信託, 國泰世華, 台新都是用 Verisign 發出來的憑證.

看出來問題了嗎?

  1. 銀行的執照是政府發的, 我等升斗小民聽都沒聽過 Verisign, 誰知道能不能信任. 
  2. Verisign 真的難以信任, 有人就曾經成功的假冒成 Microsoft 讓 Verisign 發出憑證.
  3. 最嚴重的是, 客戶根本不知道 PKI, CA, Certificate 是甚麼鬼, 看到瀏覽器的憑證警告, 自動跳過. 所以 客戶認證銀行 這個部份, 完全失效了

接下來就是釣魚詐騙網站上場了, 不論是 Phishing 還是 Pharming 攻擊, 都是連到看起來一個像是真的假銀行網站, 客戶的密碼被加密傳給詐騙集團, 詐騙集團在解密, 很愉快的看到明碼的密碼.

PKI/CA 是一個很大的產業, 制定 PKI 標準的組織, 一直在宣傳 PKI 才安全, 用密碼認證的系統不安全. 當憑證變的很容易, 很便宜, 只要一個 email address 就可以取得的時後, 他們就推出了加強版憑證(EV Certificate), 宣稱執行更嚴格的查驗手續, 收更貴的費用. 實驗證明, 首先大量使用 EV Certificate 的, 就是詐騙集團 :P

用密碼認證的系統真的那麼不可取嗎? 不要再相信沒有根據的說法了. SSL 3.0 在 1996 年發布, 而從 1992 開始, 一系列的 PAKE(Password authenticated key exchange) 協定也開始發展. PAKE 優點在於:

  1. server 端不需要持有密碼.
  2. client 端不需要把密碼傳給 server.
  3. 對需要移動性的使用者來講, 用密碼比用 public/private key 方便
  4. 密碼可以用來認證 server, 不像 SSH/SSL 有 Man-in-middle-attack (如果使用者忽略 server key change/certificate invalid 的警告). [2]

不知道為甚麼, 銀行業沒有施壓 Microsoft 支援 PAKE Protocol, 也許是銀行 IT 人員不懂, 也許是銀行不在乎客戶被詐騙 XD

另一方面. 根據2007年12月的討論, Mozilla 底層 NSS security library 的成員說, 如果 Firefox 沒有 SRP 的 UI, 他不太想加 SRP 進去, 這下變成蛋生雞雞生蛋的問題了 orz

所以說, 簡單易用的安全設計真是一條漫長的路啊…

[1] 技術上來說, 有些不是 plaintext, 不過也是 plaintext-equivalence, 或是 weak autehntication

[2] 關於 Man-in-middle-attack 的部份為甚麼這麼威, 要請讀者去看論文, 都是數學我實在是看不懂也不能解釋 XD

Technorati 的標籤：,,,,
]]> http://frogbsd.wordpress.com/2008/12/01/%e7%82%ba%e7%94%9a%e9%ba%bc%e7%b6%b2%e8%b7%af%e9%8a%80%e8%a1%8c%e4%b8%8d%e5%ae%89%e5%85%a8-%e6%88%96-%e7%82%ba%e7%94%9a%e9%ba%bc%e5%8d%81%e5%b9%be%e5%b9%b4%e4%ba%86%e9%82%84%e4%b8%8d%e5%ae%89/feed/ 0 frogbsd Google Chrome 的快感 http://frogbsd.wordpress.com/2008/09/10/google-chrome-%e7%9a%84%e5%bf%ab%e6%84%9f/ http://frogbsd.wordpress.com/2008/09/10/google-chrome-%e7%9a%84%e5%bf%ab%e6%84%9f/#comments Wed, 10 Sep 2008 13:39:23 +0000 zmx http://frogbsd.wordpress.com/?p=45 ]]>

Google Chrome 就是 Tabs 95 啊

用了幾天 Google Chrome, 感覺就是一整個快, 感覺如同當年從 Windows 3.1 換到 Windows 95. 在 Firefox 下動不動就開個二三十個 Tab, 常常因為某個 Tab 裡面的 Flash/Animated GIF/DNS Resolving 拖住,  讓其他 Tab 變慢, 甚至完全不會動.

Windows 3.1 到 Windows 95  是從 cooperative multitasking 進步到 Preemptive multitasking. 現在隨著 Desktop Application 轉換不少到 Web Application, web browser 也越來越像 web OS. 終於也走上 preemptive multitasking 的道路.

Google Chrome 到底有多快呢? 以前都是用 Firefox + Adblock Plus 檔廣告, 求快求清爽. 現在為了不要動不動被卡住, 寧願忍受廣告了. Firefox 要加油了

Browser is the new OS. Javascript is the new shell code.

]]> http://frogbsd.wordpress.com/2008/09/10/google-chrome-%e7%9a%84%e5%bf%ab%e6%84%9f/feed/ 1 frogbsd 家用備份程式 http://frogbsd.wordpress.com/2007/12/12/%e5%ae%b6%e7%94%a8%e5%82%99%e4%bb%bd%e7%a8%8b%e5%bc%8f/ http://frogbsd.wordpress.com/2007/12/12/%e5%ae%b6%e7%94%a8%e5%82%99%e4%bb%bd%e7%a8%8b%e5%bc%8f/#comments Wed, 12 Dec 2007 12:24:54 +0000 zmx http://frogbsd.wordpress.com/2007/12/12/%e5%ae%b6%e7%94%a8%e5%82%99%e4%bb%bd%e7%a8%8b%e5%bc%8f/ ]]>

現在很多家庭或個人都有兩台以上的電腦, 為甚麼沒看到支援互相備份的程式呢?

人都是很懶的, 如果備份這件事需要人去介入, 就會偷懶不備份, 相信很多人都要丟過好幾次資料才會真的養成備份的習慣.  備份到 CD-R, DVD-R, 外接硬碟這類外部媒體就是不方便, 最方便的還是電腦間互相備份或是線上備份.

Norton 360 已經支援線上備份, Windows Live OneCare Online Backup 可以線上備份相片. 這兩套都是買了授權可以專在三台電腦, 而且可以集中控管, 為甚麼就是不順便做個互相備份的功能啊?

用現有的備份程式, 透過網芳備份到別台電腦也行, 但是 XP 的網芳權限設定實在是很難用, 要教會一般使用者也要一些功夫.

許多人推薦 ViceVersa 和 SyncBack, 他們最大的缺點就是免錢的版本不支援  Unicode 檔名/目錄名, 有在收日本貨或是中國貨的人就要花小朋友了 XD

內建的 Windows XP Backup 功能簡單夠用, 缺點是備份出來是它自己的格式, 不能用通行的 zip/rar/7zip 之類.

順道一題, ZIP 格式雖然後來的版本有定義 Unicode 檔名, 可是我不知道那套程式有支援, 至少 WinZip 不支援.

目前還在找, 但是還沒找到的備份程式

P1 Feature

  • 支援多目錄備份
  • 支援排程
  • 支援 Unicode 檔名
  • 支援 7zip 或 rar 格式

P2 Feature

  • 支援多個 Profile
  • 可設定保留幾個每日備份, 每週備份, 每月備份
  • 集中控管, 或是自動設定好網芳權限和 Backup Operator 群組權限

找到以前自己電腦先用 7zip 撐著

 

Technorati 的標籤：,
]]> http://frogbsd.wordpress.com/2007/12/12/%e5%ae%b6%e7%94%a8%e5%82%99%e4%bb%bd%e7%a8%8b%e5%bc%8f/feed/ 0 frogbsd Quote of the Day http://frogbsd.wordpress.com/2007/11/01/quote-of-the-day/ http://frogbsd.wordpress.com/2007/11/01/quote-of-the-day/#comments Thu, 01 Nov 2007 14:12:45 +0000 zmx http://frogbsd.wordpress.com/2007/11/01/quote-of-the-day/ ]]>

 

Are there still people that have code in their source repository that doesn’t compile? That’s probably the most strictly enforced rule around here.

Jasper Bekkers on November 1, 2007 02:42 AM

I have loads of code in my source repository that doesn’t compile- comes with the territory if you’re using scripting languages most of the time.

Ben Moxon on November 1, 2007 02:45 AM

 

via comments in The F5 Key Is Not a Build Process 

]]> http://frogbsd.wordpress.com/2007/11/01/quote-of-the-day/feed/ 0 frogbsd 狼與辛香料 III http://frogbsd.wordpress.com/2007/10/28/%e7%8b%bc%e8%88%87%e8%be%9b%e9%a6%99%e6%96%99-iii/ http://frogbsd.wordpress.com/2007/10/28/%e7%8b%bc%e8%88%87%e8%be%9b%e9%a6%99%e6%96%99-iii/#comments Sun, 28 Oct 2007 10:46:04 +0000 zmx http://frogbsd.wordpress.com/2007/10/28/%e7%8b%bc%e8%88%87%e8%be%9b%e9%a6%99%e6%96%99-iii/ ]]>

有人說, 第二集是 商業詐欺 期貨破產 黑吃黑 威脅利誘

第三集看完, 商業間諜 絕對套利 放空集團 風險對沖

作者是在寫投機小說嗎

]]> http://frogbsd.wordpress.com/2007/10/28/%e7%8b%bc%e8%88%87%e8%be%9b%e9%a6%99%e6%96%99-iii/feed/ 2 frogbsd 殘酷的 Unix http://frogbsd.wordpress.com/2007/02/25/%e6%ae%98%e9%85%b7%e7%9a%84-unix/ http://frogbsd.wordpress.com/2007/02/25/%e6%ae%98%e9%85%b7%e7%9a%84-unix/#comments Sun, 25 Feb 2007 15:00:31 +0000 zmx http://frogbsd.wordpress.com/2007/02/25/%e6%ae%98%e9%85%b7%e7%9a%84-unix/ ]]>

You now, unix is a cruel operating system, sometimes parent kills its children, and what it worse, it sometimes turns them into zombies.

Via pavelmachek

Technorati Tags:

]]> http://frogbsd.wordpress.com/2007/02/25/%e6%ae%98%e9%85%b7%e7%9a%84-unix/feed/ 0 frogbsd HTML Reloaded, Rediscover the Web ? http://frogbsd.wordpress.com/2007/01/13/html-reloaded-rediscover-the-web/ http://frogbsd.wordpress.com/2007/01/13/html-reloaded-rediscover-the-web/#comments Sat, 13 Jan 2007 13:56:55 +0000 zmx http://frogbsd.wordpress.com/2007/01/13/html-reloaded-rediscover-the-web/ ]]>

在 HTML Reloaded 提到 Tim Berners Lee 宣布要組 新的 HTML Group, 結果主席由 Chris Wilson 擔任.

Chris Wilson 何許人也? Microsoft IE Team Program Manager

於是 Daniel Glazman 質疑這樣不好, 會引起其它 Browser Vendor 的疑慮, Chris Wilson 出來說明，”其實我也是百般的不願意啊~”, Daniel 又出來回應, “你對 error-correction 的說法佐證了你偏坦 Microsoft 啊”

最後 Daniel 說, “我們還是請出 Sir. Lee 來當主席吧”

註: WHAT-WG 主張把 error-correction 標準化, 標準化的原則是: “盡可能的抄 IE6, 但是要讓其它 Browser 可以實作”, Chris 認為這部份標準化套用在 HTML5 是可以的, 但不應該套用在 HTML 4.01 以前

Technorati Tags: , ,

]]> http://frogbsd.wordpress.com/2007/01/13/html-reloaded-rediscover-the-web/feed/ 1 frogbsd 等待新漢碼 & Unicode composite characters http://frogbsd.wordpress.com/2006/12/05/%e7%ad%89%e5%be%85%e6%96%b0%e6%bc%a2%e7%a2%bc-unicode-composite-characters/ http://frogbsd.wordpress.com/2006/12/05/%e7%ad%89%e5%be%85%e6%96%b0%e6%bc%a2%e7%a2%bc-unicode-composite-characters/#comments Tue, 05 Dec 2006 11:08:28 +0000 zmx http://frogbsd.wordpress.com/2006/12/05/%e7%ad%89%e5%be%85%e6%96%b0%e6%bc%a2%e7%a2%bc-unicode-composite-characters/ ]]>

在 Jeff Hung 那看到 “等待新漢碼“，主旨是一字一碼的設計造成新字 難以/太慢 進入電腦環境。

事實上 Unicode composite characters 可以提供該文所提組字功能，即使是更複雜的阿拉伯文 Ligatures 也在 Unicode 標準中有制定。問題在目前的大部份電腦環境並未實作出相關的字型描繪技術，作業系統和應用程式也為做相關處理，看看還有多少程式連 Surrogate Pair 都當成兩個 Character，就知道這是漫漫長路了。

Technorati Tags: ,

]]> http://frogbsd.wordpress.com/2006/12/05/%e7%ad%89%e5%be%85%e6%96%b0%e6%bc%a2%e7%a2%bc-unicode-composite-characters/feed/ 0 frogbsd Windows Vista Securty Center 陰謀論 http://frogbsd.wordpress.com/2006/11/08/windows-vista-securty-center-%e9%99%b0%e8%ac%80%e8%ab%96/ http://frogbsd.wordpress.com/2006/11/08/windows-vista-securty-center-%e9%99%b0%e8%ac%80%e8%ab%96/#comments Wed, 08 Nov 2006 14:02:17 +0000 zmx http://frogbsd.wordpress.com/2006/11/08/windows-vista-securty-center-%e9%99%b0%e8%ac%80%e8%ab%96/ ]]>

這次是來自 MS 帝國公民的陰謀論 XD

Symantec 要求可以關掉 Windows Security Center，因為防毒軟體過期後，WSC 會引導客戶到列出其它競爭者(不含MS)試用版的網頁。

Technorati Tags: , , , ,

]]> http://frogbsd.wordpress.com/2006/11/08/windows-vista-securty-center-%e9%99%b0%e8%ac%80%e8%ab%96/feed/ 0 frogbsd HTML Reloaded, World Web War 2.0 http://frogbsd.wordpress.com/2006/10/28/html-reloaded-world-web-war-20/ http://frogbsd.wordpress.com/2006/10/28/html-reloaded-world-web-war-20/#comments Sat, 28 Oct 2006 10:24:26 +0000 zmx http://frogbsd.wordpress.com/2006/10/28/html-reloaded-world-web-war-20/ ]]>

WWW 發明人 Tim Berners Lee ，現任 W3C 主息，宣布 Reinventing HTML

HTML 4.01 以後，W3C 以 XML 重新定義 HTML，稱為 XHTML

Tim 認為以後見之明來看，HTML 需要逐步演化，想要一次跳到 XML已經失敗了(除了少部份大型組織有在用)。因此要成立一個新的 Working Group，和原來的 xHTML Group 獨立。針對 Web Form 也要擴充規格，預定計畫會成為現有 HTML 4.01 的 superset, XForms 的 subnet。

有一組不隸屬 W3C 的人員另組的 WHATWG，制定 HTML5/XHTML5, Web Form 2.0 一段時間了，發言人 Ian Hickson 表示 W3C 並未知會他們。

World Web War 1.0 是 Browser 大戰，World Web War 2.0 是 Spec 大戰嗎?

Technorati Tags: , , , ,

]]> http://frogbsd.wordpress.com/2006/10/28/html-reloaded-world-web-war-20/feed/ 1 frogbsd