作者soheadsome (师大狗鼻哥)
看板Soft_Job
标题[讨论] 台湾pay为什麽首页不用https?
时间Mon Dec 18 13:20:00 2017
小弟最近看到某财金资讯公司
出了一个台湾pay
但看他们首页居然没用HTTPS
而且他们还好意思在行政院资安周摆摊？？？
做这麽多金融相关的案子
居然不知道什麽是HTTPS
是很有自信不会被打
还是早就被打习惯 所以乾脆不管了呢？
-----
Sent from JPTT on my Xiaomi Redmi Note 4.
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 114.136.181.224
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Soft_Job/M.1513574404.A.8A7.html
1F：推 femlro: Cost down12/18 13:21
2F：→ femlro: 凭证不用钱喔XD12/18 13:22
3F：→ vswillie: 有免钱的…xd12/18 13:24
4F：推 nova06091: XD 干12/18 13:33
5F：推 MIM23: 要不是靠财政部施压各银行配合参与12/18 13:40
6F：→ MIM23: 有谁想玩这个 Taiwan Pay12/18 13:41
7F：→ lichai: 要回到用https的目的吧…首页有什麽特别要加密的吗？12/18 13:46
你首页总是会有重大公告资讯吧
如果没凭证 有人做钓鱼网站
谁知道那个才是正确资讯？
※ 编辑: soheadsome (114.136.181.224), 12/18/2017 13:48:44
8F：推 abccbaandy: 没，但趋势是全面HTTPS，甚至把HTTP标上不安全12/18 13:49
9F：推 edward13: 肥猫与他们的产地12/18 13:51
10F：→ edward13: 现在google爬虫对没https的网页都会鄙视 先降rank12/18 13:52
11F：→ elements: 要不是你讲还真的没听过，我看也没人用12/18 13:54
12F：推 LinuxKernel: 台湾有台湾的玩法嘛12/18 14:46
13F：推 Darkautism: 防mitm啊 怎会没https需求？ 任何官方网站都应该做12/18 14:49
14F：推 THEWORLDS: 你就知道软体页差距有多大了12/18 15:16
15F：推 crossdunk: 这你就错了 有关系就不用HTTPS 懂吗？12/18 15:28
16F：→ crossdunk: 你全站HTTPS 人家都HTTP 但他有关系 还是会选他12/18 15:29
17F：推 senjor: 话说钓鱼网站就不能申请https了吗？12/18 15:46
可以吧
但至少你能有机会去看凭证是不是该单位的
※ 编辑: soheadsome (114.136.181.224), 12/18/2017 15:50:38
18F：→ bobju: 可能是藉此表达对政府的不满吧? XD 12/18 16:16
19F：→ mathrew: 凭证要钱啊.... 12/18 16:40
20F：推 f496328mm: 凭证有免费的..... 12/18 16:43
21F：推 crossdunk: SSLFORFREE 简单又好记 12/18 16:57
22F：→ jimmy689: 我觉得台湾厂家对Https的敏感度没有中国强 12/18 17:32
23F：→ jimmy689: 台湾的ISP比较正派经营不搞劫持 12/18 17:32
24F：→ jimmy689: 在这边没上https分分钟劫持你放广告 12/18 17:33
25F：→ Chikei: 免费的LE没有做EV，钓鱼网站一样能模仿，LE是让人免於MITM12/18 17:40
26F：推 senjor: 不过使用者怎麽知道这个网站本来有没有做EV？12/18 17:45
27F：→ robler: 我们公司在中国的域名被劫持到受不了只能改全站https12/18 18:14
28F：→ Chikei: 主流浏览器遇到有EV的凭证除了绿锁以外会显示EV的entity12/18 18:25
29F：推 senjor: 我的问题比较像是，使用者连上了一个没有EV的网站，那他怎12/18 18:32
30F：→ senjor: 麽知道这个网站本来是该有还是没有？12/18 18:33
31F：嘘 pttuser: 首页在没login之前是要啥凭证12/18 18:35
32F：→ jimmy689: 连上的网站如果是非认证的证书，浏览器会警告你12/18 18:37
33F：→ jimmy689: 如果证书是认证的，不过只是DV之类的不带公司信息的，12/18 18:38
34F：→ jimmy689: 你无法100%保证该证书由该公司注册12/18 18:38
35F：→ jimmy689: DV以上的证书，一般CA机构都会卡住有风险的申请，像是12/18 18:40
36F：→ jimmy689: 申请apple-support.com这类的大概都会被打回票12/18 18:40
37F：→ jimmy689: 当然也有无节操的CA，像WoSign，就会被各个浏览器巨头12/18 18:41
38F：→ jimmy689: 联手除名12/18 18:41
39F：嘘 Darkautism: 什麽没login不用凭证？ 凭证本身就可以防止MITM12/18 18:43
40F：→ Darkautism: 不然没登入的使用者看到的资讯都是钓鱼资讯？？？？12/18 18:43
41F：→ Darkautism: 这里是软体工作版吧？ 我还以为我走错版12/18 18:44
42F：推 Darkautism: 推回12/18 18:47
43F：嘘 pttuser: 转到login页面再https就好，首页用静态mvc才会省流量12/18 18:59
44F：→ jimmy689: https的确有加解密会造成速度慢於http，不过跟中间人攻12/18 19:01
45F：→ jimmy689: 击带来的风险比起来根本小事12/18 19:01
我们都在讨论钓鱼 没想到你却被某id钓到
46F：嘘 pttuser: 什麽都https 那有那麽搞工12/18 19:02
※ 编辑: soheadsome (114.136.181.224), 12/18/2017 19:04:31
47F：→ jimmy689: 中美的ISP劫持网站安插广告是家常便饭，谷歌更放话要调 12/18 19:03
48F：→ jimmy689: 降http网页的权重，不懂为什麽不上https 12/18 19:03
49F：→ jimmy689: 嫌麻烦就去弄个有证书的CDN，cloudflare跟种花电信都有 12/18 19:04
50F：→ jimmy689: 提供 12/18 19:04
51F：嘘 pttuser: 因为我们前端静态mvc部份就有scenario可能detect mitm， 12/18 19:06
52F：→ pttuser: 流量与安全并重 12/18 19:06
53F：推 gpctv: 是那个银行都会经过的那个财金公司吗 12/18 19:09
54F：嘘 pttuser: 又不是作的portal都没人用，只看security就好，流量也很 12/18 19:12
55F：→ pttuser: 重要地 12/18 19:12
56F：嘘 pttuser: 真要只看security，我们的做法就直接建tunnel来搞，secur 12/18 19:18
57F：→ pttuser: ity level搞不清楚，什麽都https，以为https是无敌星星 12/18 19:18
58F：→ pttuser: 腻？ 12/18 19:18
59F：推 jimmy689: 请继续你的表演 12/18 19:19
60F：→ newversion: 某人嘘不腻耶^^ 12/18 19:19
61F：推 spjay1: 就 host 在外包公司 12/18 19:32
62F：→ chocopie: 自己家省事的做法不代表国际趋势，懂？ 12/18 19:35
63F：→ jimmy689: 钩直饵咸，从前端代码是无法对抗中间人的。一个30x就去 12/18 19:42
64F：→ jimmy689: 了 12/18 19:42
65F：嘘 pttuser: 一看讲前端代码就知道是十年经验两三年功力，哈哈 12/18 19:55
66F：推 Darkautism: 嘻，都网站被挟持了还期望骇客把流量给你侦测MITM？ 12/18 20:45
67F：→ Darkautism: 你新发明的侦测方法？专利号码贴出来让大家瞧瞧？ 12/18 20:46
68F：→ Darkautism: 建tunnel哩，你是要训练客户？12/18 20:46
69F：→ Darkautism: 任何要训练客户才能让用户懂得设计都不是好设计12/18 20:47
70F：→ Darkautism: 不然你以为大公司不会用tunnel？ 只有你懂？12/18 20:47
71F：→ Darkautism: 呵呵，你是十年经验五十年功力，可惜是旧时代的功力12/18 20:48
72F：→ Darkautism: 挂个https不用训练客户也不用那麽搞刚，搞那麽麻烦12/18 20:49
73F：→ Darkautism: 原话还你 嘻嘻，用你自己的话骂自己吧12/18 20:49
74F：推 mnbhjk123: Chrome好像未来会针对非https祭出不可视技能12/19 00:47
75F：→ tonytonyjan: 因为给工程师钱太少，就这麽简单12/19 00:50
76F：推 shortoneal: 糟糕，我分辨不出是不是反串12/19 01:23
77F：嘘 pttuser: 哈哈，只是首页有没有https却不知道别人的整体架构怎麽写12/19 07:18
78F：→ pttuser: 只会嘴设计，笑死我了12/19 07:18
79F：嘘 pttuser: 还是又要把架构画给你看，让你评（偷）论（学）12/19 07:24
80F：→ pttuser: 不是高手吗？简单兼顾效能和安全的架构想不出来12/19 07:24
我也只有想知道你家的网站是哪个？
也没叫你贴架构图
贴一下网站让大家闻香一下
81F：→ pttuser: 只会什麽都套https，笑到肚子痛了我，哈哈哈哈12/19 07:24
82F：→ pttuser: 晚点要拿这篇笑话给同事看，大家一起笑一笑12/19 07:24
83F：嘘 pttuser: 唉，可能连怎麽加速NAPI都不知道，阿抱歉，是连NAPI都不12/19 07:27
84F：→ pttuser: 知道哈哈哈哈12/19 07:27
85F：推 maxqq: 凭证 ... 也是有分等级的 尽管免费12/19 07:31
86F：推 maxqq: 原来该网站是 pttuser 建立的啊 ...12/19 07:34
87F：→ maxqq: 不过我有个问题，如果我监听你登入那端时的资讯?12/19 07:35
88F：推 maxqq: 原来是要登入时，转跳到别的位置12/19 07:39
89F：→ x000032001: 怎麽崩溃成这样阿12/19 07:40
※ 编辑: soheadsome (114.136.181.224), 12/19/2017 08:19:16
90F：→ angusyu: 崩溃得太严重了吧12/19 09:54
91F：推 benson1212: 崩溃标准行为 被打脸就顾左右而言他XDDD12/19 10:19
感觉是反串 人家在讲中间人攻击
他在说他家里面的服务多安全
※ 编辑: soheadsome (114.136.181.224), 12/19/2017 10:38:40
92F：推 loxyz: 也没多安全 有兴趣的可以查 sslstrip 12/19 11:39
93F：推 Darkautism: 你被dns污染 网站被侠持 还需要问怎麽写？ 根本就没有 12/19 11:42
94F：→ Darkautism: traffic到你的网站了。还是你根本不知道什麽叫dns污染 12/19 11:42
95F：→ Darkautism: ？ 哈哈哈哈 跟你说啦，这篇昨天我们同事就在笑了。不 12/19 11:42
96F：→ Darkautism: 用traffic就能侦测MITM？你还不得诺贝尔奖啊？ 12/19 11:42
97F：→ jimmy689: 浏览器已经有HSTS方案，只要与配置了HSTS表头的站点建 12/19 12:08
98F：→ jimmy689: 立过正常的https，後面再被降级攻击也没用 12/19 12:08
99F：→ jimmy689: 会刷一排307 12/19 12:10
100F：→ jimmy689: 顺便，如果是DNS污染来挟持网站，与https是不同层面问 12/19 12:32
101F：→ jimmy689: 题，https只保证了传送的内容未遭修改，DNS污染可以直 12/19 12:32
102F：→ jimmy689: 接解析到恶意站甚至不解析，国内GFW早期基本也都是基於 12/19 12:32
103F：→ jimmy689: DNS污染，这几年才升级到流量清洗12/19 12:32
104F：推 Darkautism: https的网站被dns解析到恶意站，证书就会失败。 除非12/19 12:48
105F：→ Darkautism: 你的浏览器是恶意浏览器内部有存恶意证书。所以防范这12/19 12:48
106F：→ Darkautism: 类攻击的最简单也最有效的方法就是首页https。pttuser12/19 12:48
107F：→ Darkautism: 搞一堆搞工的东西，上述攻击全都不能防范，还要对user12/19 12:48
108F：→ Darkautism: 做教育训练？12/19 12:48
109F：→ alan3100: wiki都转https拉 版上水准令人担忧呀12/19 13:21
110F：→ doublescn: 挂https若用let's encrypt大概2小时就弄完了吧12/19 13:27
111F：推 robler: 某人根本就不懂一直秀下限12/19 18:36
112F：推 mathrew: 做资安这麽久了 倒是第一次听到首页要login才需要凭证12/19 21:40
113F：→ Shauter: 现在都在HTTPS Everywhere惹 还有人十年前的逻辑 XD12/19 22:17
114F：推 ChungLi5566: 就...凭证要钱啊 财金应该都跟中华电信买凭证12/20 09:00
115F：推 gundamdx: pttuser真的很菜，什麽都不会也可以发言哈哈哈12/20 17:02
116F：推 Knudsen: app写的像几年前的东西12/20 21:43
117F：推 fzalcman: 刚刚上去看已经是https啊！版主也是满厉害12/21 11:10
118F：→ fzalcman: 连这个也会发现！12/21 11:10
119F：推 power5703: 刚刚看台湾PAY不是已经有https 话说是早就有了还是??12/21 11:47
120F：→ power5703: 凭证申请有这麽快吗12/21 11:47
121F：→ bndan: 没https 很容易被人洗脸 = = 所以大概是该公司人看到马上弄12/21 16:14
122F：→ jimmy689: Steam其实就没上https12/21 18:07
123F：→ jimmy689: 告诉你steam在国内是怎样的体验12/21 18:08
真的欸 被抓出来鞭才知道要用
※ 编辑: soheadsome (114.136.153.214), 12/21/2017 18:30:25