среда, 24 апреля 2013 г.

How XSS can defeat your digital signatures

Recently we exploited nice XSS vector in one of RBS (Remote Banking Service) system. This example shows very well how dangerous can be client-attack.

Client after the authorization could sign electronic documents.
For signature from browser developers used CAPICOM technology.

If you are already understood us, you can not finish this note ;)

Signature from JavaScript - this is easy and usefull from client-side attacks.
JS code for sign document looks like:



function SignCreate(certSubjectName, dataToSign) {
    var oStore = CreateObject("CAPICOM.Store");
    oStore.Open(CAPICOM_CURRENT_USER_STORE, CAPICOM_MY_STORE,
    CAPICOM_STORE_OPEN_MAXIMUM_ALLOWED);

    var oCertificates = oStore.Certificates.Find(
    CAPICOM_CERTIFICATE_FIND_SUBJECT_NAME, certSubjectName);
    if (oCertificates.Count == 0) {
        alert("Certificate not found: " + certSubjectName);
        return;
    }
    ...


You can easily call this function from stored/reflected XSS to sign arbitrary data.
To solve the PIN entry problem, we have used the caching mechanism for the key. Most often, after entering the PIN code of the key, PIN is remembered for a while.

So we were able to sign arbitrary (injected) document immediately after the user signs his own document (and entered PIN of course).

Then, using the Javascript we were able to hide the injected signed document from users's orders table (document was order request) for current user.

So only a single stored XSS vulnerability defeated all security measures of the RBS system. Note, that typically protections such as httpOnly cookies and SSL have been included, but it does not help.

56 комментариев:

  1. Анонимный30 июля 2013 г., 09:33

    Your English kills me. It must be really very "artical" ;)

    ОтветитьУдалить
  2. You might be asking how you can keep away from this, or whether a payday advance is ever justified regardless of the hazard.
    Cash Advance

    ОтветитьУдалить
  3. So it is prudent to pick your bank carefully, by working out the net payable enthusiasm utilizing the online mini-computers for the most part gave by the loan specialists site.
    Payday Loans Chicago

    ОтветитьУдалить
  4. Know about every one of the terms and conditions that may apply. The web makes correlation shopping simple; ensure you exploit this to spare a couple of dollars on charges every payday.
    Payday Loans Chula-vista

    ОтветитьУдалить
  5. Payday credits are a snappy and simple approach to 'top up' a financial balance that may have excessively month left toward the finish of the cash!
    Cash Advance Corona

    ОтветитьУдалить
  6. Savage moneylenders are promptly accessible so take the time and contact no less than 3 unique organizations preceding being in a defenseless state.
    Car Title Loans Chicago

    ОтветитьУдалить

  7. شركة تنظيف الامارات

    شركة تنظيف دبي شركة نظافة بدبي
    شركة تنظيف كنب دبي بالبخار تنظيف كنب دبي بالبخار
    شركة غسيل سجاد بدبي غسيل سجاد دبي
    شركة تنظيف في ابوظبي شركات تنظيف ابوظبي
    شركة تنظيف منازل فى العين شركة تنظيف منازل العين
    شركات تنظيف كنب في ابوظبي شركات تنظيف كنب ابوظبي

    ОтветитьУдалить
  8. Этот комментарий был удален автором.

    ОтветитьУдалить

  9. کاشت مو

    خیلی از خانم ها و آقایان به دلیل مشکلات ژنتیکی و ارثی ممکن است دچار ریزش مو شوند. ریزش مو و کم پشت بودن مو اثر بدی در زندگی بیشتر افراد دارد و اغلب باعث می شود که افراد اعتماد به نفس شان را از دست بدهند.

    ОтветитьУдалить

  10. جراحی زیبایی شکم

    میل به زیبایی و داشتن اندام متناسب از آرزوهای همیشگی انسان بوده؛ از این رو از راه های مختلف در پی تحقق آن می روند. آیا می دانید ابدومینوپلاستی یا جراحی شکم به چه معناست و چه کسانی شرایط انجام آن را دارند؟ در واقع این عمل زیبایی با هدف لاغری و از بین بردن چربی های اضافه بدن صورت می گیرد.

    ОтветитьУдалить

  11. عوارض تزریق چربی

    همواره سوالاتی پیرامون بوتاکس صورت و تزریق چربی صورت به وجود دارد که در این مقاله تزریق چربی صورت را مورد بررسی قرار می دهیم .

    ОтветитьУдалить

  12. لیپوساکشن

    یکی از مباحث مهم پزشکی در زمینه زیبایی که امروزه بسیار مورد توجه افراد قرار گرفته، جراحی زیبایی پیکر تراشی یا لیپوساکشن و یا همان لیپوماتیک بدن است.

    ОтветитьУдалить


  13. ماموپلاستی

    یکی از انواع جراحی های زیبایی لیفت سینه یا ماموپلاستی است که امروزه رواج بسیار زیادی دارد. این عمل منجر به کشیدگی سینه ها به سمت بالا و گردتر شدن آن ها می شود.

    ОтветитьУдалить

  14. رویان سلامت

    مجموعه کلینیکهای تخصصی پوست و مو و زیبایی رویان سلامت با چندین مرکز بزرگ و مجهز در کشور عزیزمان ایران و ارائه خدمات بین المللی در کشورهای همسایه (عمان، عراق، حریم کردستان و …) با بهره گیری از علم روز و پیشرفته ترین تجهیزات پزشکی مورد تایید FDA آمریکا و CE اروپا و کادر متخصص و مجرب با مشاوره رایگان ۲۴ ساعته در خدمت شما سروران عزیز می باشد.

    ОтветитьУдалить

  15. لوازم پزشکی

    سدان مد بزرگ‌ترین فروشگاه اینترنتی تجهیزات پزشکی ایران ، بعد از پانزده سال تجربه در زمینه تولید، واردات، خرید و فروش لوازم پزشکی، تاسیس و اینک در آستانه‌ی هشتمین سال فعالیت خود به عنوان بزرگترین رفرنس آنلاین تجهیزات و لوازم پزشکی می باشد

    ОтветитьУдалить


  16. تجهیزات پزشکی دست دوم

    امروزه افراد بسیار زیادی هستند که محصول و یا خدماتی برای عرضه دارند و یا اینکه بدنبال خدمات و محصولاتی می گردند و یک وبسایت آگهی می تواند به راحتی این افراد را به یکدیگر برساند . یک سایت آگهی جدای بر آنکه مخاطبین بسیار زیادی دارد ، نسبت به سایت های دیگر یک سرمایه گذاری زود بازده بوده و حتی زمان زیادی برای مدیریت آن نیاز ندارد و می تواند به عنوان کار اول و یا حتی دوم و یا سوم شما یک منبع درآمد پر سود و کم ریسک باشد.

    ОтветитьУдалить


  17. نخ جراحی

    نخ بخیه و عمل جراحی اصلی ترین روش بستن زخم ها هستند. حتی روش های جدیدتر برای بستن زخم ها، مانند استفاده از گیره یا پنس نیز هرگز به این رابطه خاتمه نمی دهند. در حالی که گیره ها و پنس ها برای بستن بسیاری از انواع زخم های خارجی قابل استفاده هستند، زخم های عمیقتر تقریباً همیشه به بخیه احتیاج دارند.

    ОтветитьУдалить

  18. وکیل ملکی

    وکیل ملکی برای حل و فصل دعاوی حقوقی و کیفری می تواند به صورت تخصصی در زمینه ی دعاوی اموال غیر منقول و پرونده هایی از این دست فعالیت کرده و مشکلات افراد را در این خصوص برطرف نمایند. اموال غیرمنقول به اموالی همچون خانه و یا زمین و … می گویند که که امکان انتقال و یا جا به جایی را ندارند.

    ОтветитьУдалить
  19. from Canada

    Would-be medical exec from Iran barred from Canada over alleged ties to Tehran's nuclear program. Ramin Fallah was labeled a security threat because he ...

    ОтветитьУдалить
  20. Digital signature services generally rarely associate a signer with a signature. So the answer to your question is yes! However, there is a high risk of not only signing but also signing methods. A signed object is accompanied by a true digital signature (no worse than a useless "electronic signature"). Okay. But what does it mean for someone else to claim your identity and stop digitally signing on your behalf? Looking forward to your next post.

    click here to download on emulatorpc

    ОтветитьУдалить