作者CMJ0121 (不要偷 Q)
看板NetSecurity
标题Fw: [讨论] 台新行动帐单居然走 http 协定
时间Mon Feb 4 22:19:57 2019
※ [本文转录自 creditcard 看板 #1SLdkJkU ]
作者: bignoob (有我嫩吗) 看板: creditcard
标题: [讨论] 台新行动帐单居然走 http 协定
时间: Sun Feb 3 13:26:36 2019
首先我认为
信用卡帐单应该是极为私密的东西
里面包含:姓名、卡号末4码、上月消费明细、额度、自动扣缴帐户等资讯
上个月不小心在活动登录时，误登入台新银行"行动帐单"的活动
误登入还好，可以进 PC版台新网银取消，取消步骤:
https://webptt.com/cn.aspx?n=bbs/creditcard/M.1539620480.A.D8C.html
但是收到这个行动帐单就觉得不OK了
行动帐单的网址格式如下:
http://bhurecv.taishinbank.com.tw/taishin_ba/OnlineBill.aspx?v=XXX&u=XXX
v=
u=
为两个参数
点进去之後，输入身分证字号即可看到帐单
但是
但是
但是
台新居然使用
http 协定
http协定并没有加密，你传送和回应的任何东西，在传输过程都可以轻易被拦截
网址中的v参数和u参数被知道没关系
但是你的身分证字号也是明码在网路上送耶 !!!
许多浏览器在你使用 http 传输个人私密资讯时都会提示你了
台新居然不知道???
有申请的人赶快改回电子帐单吧
这个行动帐单，其实已经推行一年多了
一年多了喔 台新整整一年都在用 http 送帐单资讯出去
没人发现?
不知道 http 严重性?
还是 ?_?
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 111.82.148.130
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/creditcard/M.1549171603.A.B9E.html
1F：→ a9564208: 这麽狂喔…直接用get接资料 02/03 13:35
2F：→ a9564208: 喔喔有点搞错 02/03 13:36
3F：→ bignoob: http post送你的身分证出去 收你的帐单回来 02/03 13:40
4F：→ dil79975: 第一次收到简讯的时候 还以为诈骗... 02/03 13:46
5F：→ dil79975: 行动帐单做的超阳春还80port, 根本大漏洞 02/03 13:46
6F：推 molsmopuim: 智慧好夥伴 真讽刺 02/03 13:56
7F：→ karta1083880: 基本上有关密码跟个资都该用https，没看到https的 02/03 13:56
8F：→ karta1083880: 我都首先怀疑是诈骗，居然还有银行会用http，颇恐 02/03 13:56
9F：→ karta1083880: 怖 02/03 13:56
10F：推 yoyo930021: 可怕 02/03 13:58
※ 编辑: bignoob (111.82.148.130), 02/03/2019 13:59:53
11F：推 evilisnear: 习惯就好 02/03 14:18
12F：推 ccpz: 帐单回传被人MITM加料，或是被窃听也很可怕 02/03 14:23
13F：推 bookticket: 有夸张到=_= 02/03 14:46
14F：推 osk2: 等下会有人说反正你的个资又不值钱 02/03 15:01
15F：推 lin9753: 扯 02/03 15:03
16F：嘘 lianpig5566: 你的个资又不值钱 拿你的个资要干嘛？ 02/03 15:13
17F：推 videoproblem: 钓鱼成功 傻眼 02/03 15:20
18F：→ fattymoose: 我都开VPN 02/03 15:28
19F：推 lianpig5566: 反串啦XDDDDD 02/03 15:29
20F：推 now99: XDDDD 02/03 15:41
21F：推 s1an: 直接向金管会检举 重罚两晚万 02/03 15:53
22F：推 jommk: 我也有用台新行动帐单耶，完全不知道那麽可怕！！顺便问s1 02/03 15:56
23F：→ jommk: 大，这个为啥会被金管会罚？好奇^^\\ 02/03 15:56
24F：推 sleepinggod: 可能是在帮对岸作工 02/03 15:59
25F：推 ImAllen: 开VPN走http超危险 传输资料全部接收 02/03 16:02
26F：推 jackloutter: 推 02/03 16:11
27F：推 Mazu323: 这太扯 02/03 16:15
30F：推 WindSucker: who car 02/03 16:43
31F：推 rknung: 文组：？？（真心不懂） 02/03 17:26
32F：推 vvind: 真的很瞎，银行资安这样搞的 02/03 17:32
33F：→ asdfghjklasd: IT 呵呵 02/03 17:32
34F：推 iamgyfan: っq 02/03 17:35
35F：推 a08155556: 纸本帐单也没有加密(也不保证送达 02/03 17:44
36F：推 timko: 银行这种资安程度... 02/03 18:07
37F：推 PoloHuang: 笑死 02/03 18:22
38F：推 choper: 推高调 那麽大间银行 应改善 02/03 18:27
39F：推 fbifxxkma: 文组：你在说啥东东? 02/03 18:36
40F：推 lalalalaluk: 夸张 这样我都不太敢用台新的 app了 02/03 18:39
41F：推 waloloo: 还好我用华为分享器不怕 02/03 18:40
42F：推 horusli: 拿纸本帐单来讲 zzz 02/03 18:43
43F：推 iop222456: 这种资安程度 ... 02/03 18:50
44F：推 babypanda: get parameter / post 02/03 18:55
45F：推 jin062900: 好扯… 02/03 18:55
46F：推 CyBw: 好扯，还好没用行动帐单 02/03 18:57
47F：推 airflow: 杜老爷: 危言怂听 02/03 19:08
48F：推 mathrew: 某名字是地区合并银行 N前年资料传送也是没加密 02/03 19:12
49F：→ mathrew: 我们公司Gateway还录到密码，跑去问当事人，还真的是 02/03 19:13
50F：→ mathrew: 笑死 02/03 19:13
51F：推 s97051581: 电子帐单应该没这问题吧？ 02/03 19:13
52F：推 obarisk: 是真的雷，电子帐单要去开pdf那个 02/03 19:20
53F：推 cooji74115: 台新连用它们自己的richart申请办卡 都会有不会抛投资 02/03 19:50
54F：→ cooji74115: 料给信用卡部门进行审核的bug解不掉了 02/03 19:50
55F：→ cooji74115: 要说它们资讯处理有多好 我也是呵呵 02/03 19:51
56F：→ cooji74115: 只会道歉 道歉完也不会有任何改进的 02/03 19:52
57F：推 p1587: 你说法有错 不管有无SSL封包都是可以被拦截的而不是有https 02/03 20:13
58F：→ p1587: 就不会被拦截 02/03 20:13
59F：推 ppc: 这种没保护客户资讯的问题可以报金管会 02/03 20:15
60F：嘘 QQ5566: 台湾银行数位，你意外吗？ 02/03 20:21
61F：推 bill0205: http 80port +get 真狂 02/03 20:26
62F：→ bill0205: 有ssl你就算被拦截也要解得出来啊 02/03 20:27
63F：→ bill0205: http和twlnet一样是明码传输 就是裸奔 ssl就是有加密 02/03 20:28
64F：→ bill0205: telnet 02/03 20:28
65F：推 youweit: 这样实在不行 02/03 20:29
66F：→ p1587: 没错就算拦到也要能解密 但原PO的说法会让人以为https就不 02/03 20:32
67F：→ p1587: 会被拦截 这是错的 02/03 20:32
68F：推 bill0205: 其实还有一点用GET也很危险… 02/03 20:36
69F：推 shiro920: 用80port好危险 02/03 20:39
70F：推 Jmoe: 这样敢说智慧好夥伴？ 02/03 21:14
71F：推 pig6033666: 智障好夥伴 02/03 21:25
72F：推 Hecc: 其实get post 在某些人眼中是没有区别啦 02/03 21:58
73F：推 tndh: 不懂 但是先关再说XD 感谢分享 02/03 21:59
74F：推 eric10902: 银行的IT普遍都很废不意外阿 看看App store那堆跟屎一 02/03 21:59
75F：→ eric10902: 样的银行app就知道 02/03 21:59
76F：嘘 t78973677: 一群正义魔人，以为只有你想的到吗？为什麽不直接客诉 02/03 22:17
77F：→ t78973677: ，要在这里发文？ 02/03 22:17
78F：→ bignoob: 还真的只有我想到 谢谢指教 ^_^ 02/03 22:19
79F：→ bignoob: 要在 creditcard 板发文是我的权益 除非违反站规/板规 02/03 22:20
80F：→ believe91326: 台新网银也是男用 02/03 22:57
81F：推 prussian: 说网路银行个资不值钱的，方便公开提供一下您的帐号密 02/03 22:59
82F：→ prussian: 码吗。网路时代孩子的教育依然不能等啊。 02/03 22:59
83F：→ bill0205: 个兹很便宜没错 但是不值钱不代表银行可以随便处理客户 02/03 23:23
84F：→ bill0205: 的个资阿 02/03 23:23
85F：→ bill0205: 这根本两回事 硬扯在一起 02/03 23:23
86F：→ soyan: 带键码专用连结+让你用网页表单key身份字号登入…里面只能 02/03 23:25
87F：→ soyan: 看基本帐单资讯，好像也没用https的必要啊…看个帐单要不要 02/03 23:25
88F：→ soyan: 再帮你两步骤验证一下？ 02/03 23:25
89F：→ bill0205: https重点是封包加密 http则是明码传输 02/03 23:26
90F：推 HMKRL: 至少没有呆到把身份证字号放在query string啦 XDDD 02/03 23:29
91F：→ HeIIoWorId: 第一次收到行动帐单看到网址没有s完全不想用…後来等p 02/03 23:43
92F：→ HeIIoWorId: df寄来 02/03 23:43
93F：推 dddanny: 有危险的感觉 02/04 00:27
94F：→ jimyan36: 要上新闻才会改吧 02/04 00:33
95F：嘘 cxz123: 我的台新帐单连输入密码都不用，直接打开就看得一清二楚== 02/04 00:44
96F：推 CelicaGT: 又有这种个资不值钱论调,我以为来到长辈群组 02/04 00:46
97F：→ Puser: 自动扣款没啥在开帐单 因为原po仔细看帐单内容 姓名卡号都 02/04 00:49
98F：→ Puser: 有遮 感觉还好 白痴一点连安全码都秀出来就很精采 02/04 00:50
99F：→ Puser: 平常不要透过别人的设备(wifi热点 proxy)连网路就好 之前在 02/04 00:50
100F：→ Puser: fb看到中国白帽露一手 就算有https照样取得资料 跟yo叔一 02/04 00:51
101F：→ Puser: 样会绕过去取资料(? 从此完全不会想连别人的wifi 真的是下 02/04 00:52
102F：→ Puser: 巴掉了 BTW ptt也有23跟443之分~ 02/04 00:53
103F：→ Puser: 然後 我想看帐单都用他们家的App加指纹办识不用记密码!!! 02/04 00:54
104F：→ xkp74580: 谁有兴趣无聊看陌生人的帐单有啥 重要的service像网银有 02/04 01:21
105F：→ xkp74580: 吃https就好了啊 大惊小怪 02/04 01:21
106F：推 Raymond0710: 这真的扯 02/04 01:22
107F：推 eric525498: 扯爆 02/04 01:26
108F：推 tonylaio: 给苹果日报 02/04 07:50
109F：推 lookat1205: 高调 02/04 09:10
110F：推 peiningyu: 高调 02/04 10:17
111F：推 sm3489: 台新网银超烂，烂到我公司户直接换别家用 02/04 10:56
112F：推 matlab1106: 太扯了 该换别家了 02/04 11:34
113F：推 CJ100Lin: 台新只再乎赶着推出新产品，完全不在乎品质，这还能相信 02/04 11:36
114F：→ CJ100Lin: 他吗？ 02/04 11:36
115F：推 reifind: 台新网银很棒喔,用好几年了~ 感谢原po我已取消行动帐单 02/04 13:02
116F：推 Shane7: 超扯 02/04 13:02
117F：推 apple841027j: 所有个资都要加密哦 跟金管会检举资讯部门就要写检 02/04 13:13
118F：→ apple841027j: 讨报告了 02/04 13:13
119F：推 kenzoro: 取消能用app吗 找不到说 还是要从客服？ 02/04 14:10
120F：→ yangyush001: 好险我是软体白痴看不懂这篇，当作没事飘过去。 02/04 14:40
121F：推 tomap41017: 太扯 02/04 15:03
122F：→ ChungLi5566: 这个拿去给数联资安做渗透测试应该满满的缺失 02/04 15:28
123F：→ ChungLi5566: get只能传页数或日期这种不重要的参数 02/04 15:29
124F：→ ChungLi5566: 机敏性资料还是得用POST来传 02/04 15:29
125F：→ ChungLi5566: 另外https还要看标头有没有Strict Transport Securit 02/04 15:32
126F：→ ChungLi5566: y 02/04 15:32
127F：推 aromagreen: 长知识 02/04 15:57
128F：→ prussian: xkp 那方便分享您的帐单连结或无码帐单吗? 看看有没有 02/04 16:20
129F：→ prussian: 谁有兴趣? 反正您不在意对吧 02/04 16:20
130F：推 poui0567: 高调...扯 02/04 18:16
※ 发信站: 批踢踢实业坊(ptt.cc)
※ 转录者: CMJ0121 (106.1.224.240), 02/04/2019 22:19:57
131F：推 holishing: 实际上还是一堆人不觉得有问题啦 02/09 21:33
132F：推 a9601268787: 合规检视...怎麽过的 02/10 02:14
133F：推 ym7834: 系统分级把它排掉就好啦 02/12 10:26
134F：推 qqq15963: 卡版有人回报台新行动帐单已经改成https了，没想到台新 02/22 19:13
135F：→ qqq15963: 修正的还蛮快的，感觉还是非常重视资安 至少有重视用户 02/22 19:13
136F：→ qqq15963: 的回馈，大家可以看一下自己的帐单有没有修正~ 02/22 19:13
137F：→ comp2468: 小弟菜逼八想问这种金流可能走 SHTTP吗? 03/01 17:05
138F：推 Data000: 台新http很久了，还好我很穷 03/17 21:04