22 октября, понедельник 13:14
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

УАРМ и безопасность. Немного паранойи.

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • УАРМ и безопасность. Немного паранойи.

    Итак, что мы имеем. Ключ сигнатуры для подписывания документов, лицо, ответственное за проставление подписи, например - главный бухгалтер (ГБ), УАРМ, работающий в режиме ручного шлюза. Складываем документы из АБС в папку exg\cli, ГБ видит их, просматривает (ну, то, что посмотреть их толком из УАРМа невозможно - дело другое, обещают вроде исправить - не суть пока) и если они ему нравятся - отправляет на обработку, то бишь подписывает. Всё вроде пока правильно. Теперь появляется злоумышленник, который получает доступ к папке exg\val, подкладывает туда левый документ - и уваля, документ обработался и послался в пригодном для проведения в РЦ виде. Причём молча, никак не извещая ГБ, который не подозревает, что какой-то документ или пакет прошёл мимо его бдительного ока.

    Дыра по-моему. И нехилая. Есть какие-то соображения на этот счёт?

  • #2
    Pov то бишь подписывает
    Вот именно. Левый документ не будет подписан. И (ИМХО) не должен быть обработан.
    В каждой программе есть по крайней мере одна ошибка

    Комментарий


    • #3
      Big_Mike Левый документ не будет подписан.

      Будет. Попробуй - удивишься. Отправка на обработку - простое перемещение из exg\cli в exg\val. Дальше автомат подхватывает всё, что имеется в exg\val и начинает обрабатывать по полной программе - контролирует правильность заполнения, упаковывает в пакет, подписывает, кодирует и выпихивает в out. Причём это работает хоть в режиме ручного ввода, хоть в любом из режимов шлюза.

      Комментарий


      • #4
        Pov права на папку только ГБ. и нет проблемы.
        гы.. но если у вас с правами совсем все плохо то злоумышленник может и дискету с ключами скопировать..

        Комментарий


        • #5
          mi74 права на папку только ГБ. и нет проблемы.

          И вся секретность свелась к знанию пароля ГБ. Маловато будет.

          Комментарий


          • #6
            Pov И вся секретность свелась к знанию пароля ГБ. Маловато будет.
            Имхо, очень часто секретность сводится к знанию одного пароля... например, если злоумышленник узнает пароль администратора домена, то тоже мало не покажется.
            "Единственный способ научиться играть лучше - играть с более сильным соперником!"

            Комментарий


            • #7
              Юнец
              Если злоумышленник узнает пароль админа, это ни в коей мере не поможет ему спереть из банка деньги. Ну, это если в идеале В отличие от обладания ключом подписи или способом незаметного подсовывания на подпись левого документа.

              Комментарий


              • #8
                Pov
                это ни в коей мере не поможет ему спереть из банка деньги
                Ну да просто воровать в этом банке будет не возможно потому как скорее всего всё перестанет работать
                А вообще персонал надо адекватный иметь, что бы и в мыслях не держалось, воровство ключей...
                С уважением

                SunDog

                Комментарий


                • #9
                  SunDog

                  Персонал-то более менее адекватный, а вот проверяющие безопасники из ЦБ... Ух, как они нас трясли пару месяцев назад - прям как грушу.

                  Комментарий

                  Пользователи, просматривающие эту тему

                  Свернуть

                  Присутствует 1. Участников: 0, гостей: 1.

                  Обработка...
                  X