Posts

The Internet of Broken Protocols: Showcase #5

(complete list of protocols: https://www.hyundaihatinh3s.com/search/label/The%20Internet%20of%20Broken%20Protocols)

Administrative note: I've posted solutions to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first 4 challenges. Some readers again found attacks that I wasn't aware of, but I'm not surprised anymore :=).

I'm interested in making my puppy protocols less broken, so please share with me your "patches". I'm also open to challenge submissions, please drop me a line if you have something cool to share.

---

In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 past few years I've found many use cases in which doing crypto in Javascript makes a lot of sense. This challenge is one of those cases. Although cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 crypto is trivial cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 whole protocol is complex, involves many players and requires a basic knowledge of web security. Your task is to identify any weaknesses and propose a fix. You can leave your findings in a comment or email me at thaidn@gmail.com. I'll update cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 post with my solution in a few days.

This protocol makes web…

Những người tử tế

Image
Hôm trước có một công ty nhờ tôi tư vấn về công nghệ thông tin. Tôi chỉ nói chuyện một buổi, cũng không giúp được gì nhiều, nên khi họ hỏi số tài khoản để chuyển thù lao tôi nói thôi khỏi và nhắn là nếu mấy anh có lòng thì đóng 1-2 triệu gì đó cho quỹ Cơm Có Thịt là được.

Tôi tưởng họ quên rồi nhưng ai dè hôm nay họ gửi email này thấy vui quá nên tôi xin phép họ cho đăng trên blog.
Chào Thái,
Mình xin lỗi vì thông tin gửi bạn khá muộn sau khi được sự giúp đỡ của bạn.


Bên mình đã góp 10tr vào quỹ “Cơm có thịt”. # Đây là quỹ mà bên mình lập ra :
https://www.facebook.com/Quy.Trai.tim.Dai.Viet/?fref=nf
1 lần nữa cảm ơn bạn đã giúp đỡ bên mình. Chúc bạn nhiều sức khoẻ!

Sự cố Vietcombank, một góc nhìn kỹ thuật

Image
(bài đã đăng trên www.vnsecurity.net/research/2016/08/13/Ve-su-vu-khach-hang-Vietcombank-bi-mat-tien.html, thực hiện chung với superkhungcrazyboy)
Cập nhật 16/08/2016: vì hiểu lầm trong trao đổi giữa hai bên cho nên chúng tôi đã không nhận được tài khoản thử nghiệm, chứ không phải Vietcombank không muốn gửi. Chúng tôi giữ nguyên ý kiến Smart OTP là một thiết kế không tốt, cần phải được điều chỉnh. Dẫu vậy cũng cần phải nói rõ chúng tôi không có lý do để tin rằng lỗ hổng mà chúng tôi phát hiện vẫn có thể khai thác được. Các kỹ sư Vietcombank đã phản hồi rất tích cực, chuyên nghiệp và cầu thị. Chúng tôi đã từng chứng kiến kỹ sư ở Silicon Valley thiết kế các giao thức tệ hơn Smart OTP rất nhiều và không trả lời khi chúng tôi liên lạc báo lỗi. Thiếu kỹ sư chuyên trách an toàn thông tin là căn bệnh lâu năm của Việt Nam, gần đây bắt đầu hành hạ “người bệnh", biểu hiện qua các sự cố bảo mật liên tục. Trao đổi với nhóm kỹ sư Vietcombank chúng tôi nhận thấy đây là một đội ngũ có chuyên…