作者CMJ0121 (不要偷 Q)
看板NetSecurity
標題Fw: [討論] 台新行動帳單居然走 http 協定
時間Mon Feb 4 22:19:57 2019
※ [本文轉錄自 creditcard 看板 #1SLdkJkU ]
作者: bignoob (有我嫩嗎) 看板: creditcard
標題: [討論] 台新行動帳單居然走 http 協定
時間: Sun Feb 3 13:26:36 2019
首先我認為
信用卡帳單應該是極為私密的東西
裡面包含:姓名、卡號末4碼、上月消費明細、額度、自動扣繳帳戶等資訊
上個月不小心在活動登錄時，誤登入台新銀行"行動帳單"的活動
誤登入還好，可以進 PC版台新網銀取消，取消步驟:
https://webptt.com/m.aspx?n=bbs/creditcard/M.1539620480.A.D8C.html
但是收到這個行動帳單就覺得不OK了
行動帳單的網址格式如下:
http://bhurecv.taishinbank.com.tw/taishin_ba/OnlineBill.aspx?v=XXX&u=XXX
v=
u=
為兩個參數
點進去之後，輸入身分證字號即可看到帳單
但是
但是
但是
台新居然使用
http 協定
http協定並沒有加密，你傳送和回應的任何東西，在傳輸過程都可以輕易被攔截
網址中的v參數和u參數被知道沒關係
但是你的身分證字號也是明碼在網路上送耶 !!!
許多瀏覽器在你使用 http 傳輸個人私密資訊時都會提示你了
台新居然不知道???
有申請的人趕快改回電子帳單吧
這個行動帳單，其實已經推行一年多了
一年多了喔 台新整整一年都在用 http 送帳單資訊出去
沒人發現?
不知道 http 嚴重性?
還是 ?_?
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.82.148.130
※ 文章網址: https://webptt.com/m.aspx?n=bbs/creditcard/M.1549171603.A.B9E.html
1F：→ a9564208: 這麼狂喔…直接用get接資料 02/03 13:35
2F：→ a9564208: 喔喔有點搞錯 02/03 13:36
3F：→ bignoob: http post送你的身分證出去 收你的帳單回來 02/03 13:40
4F：→ dil79975: 第一次收到簡訊的時候 還以為詐騙... 02/03 13:46
5F：→ dil79975: 行動帳單做的超陽春還80port, 根本大漏洞 02/03 13:46
6F：推 molsmopuim: 智慧好夥伴 真諷刺 02/03 13:56
7F：→ karta1083880: 基本上有關密碼跟個資都該用https，沒看到https的 02/03 13:56
8F：→ karta1083880: 我都首先懷疑是詐騙，居然還有銀行會用http，頗恐 02/03 13:56
9F：→ karta1083880: 怖 02/03 13:56
10F：推 yoyo930021: 可怕 02/03 13:58
※ 編輯: bignoob (111.82.148.130), 02/03/2019 13:59:53
11F：推 evilisnear: 習慣就好 02/03 14:18
12F：推 ccpz: 帳單回傳被人MITM加料，或是被竊聽也很可怕 02/03 14:23
13F：推 bookticket: 有誇張到=_= 02/03 14:46
14F：推 osk2: 等下會有人說反正你的個資又不值錢 02/03 15:01
15F：推 lin9753: 扯 02/03 15:03
16F：噓 lianpig5566: 你的個資又不值錢 拿你的個資要幹嘛？ 02/03 15:13
17F：推 videoproblem: 釣魚成功 傻眼 02/03 15:20
18F：→ fattymoose: 我都開VPN 02/03 15:28
19F：推 lianpig5566: 反串啦XDDDDD 02/03 15:29
20F：推 now99: XDDDD 02/03 15:41
21F：推 s1an: 直接向金管會檢舉 重罰兩晚萬 02/03 15:53
22F：推 jommk: 我也有用台新行動帳單耶，完全不知道那麼可怕！！順便問s1 02/03 15:56
23F：→ jommk: 大，這個為啥會被金管會罰？好奇^^\\ 02/03 15:56
24F：推 sleepinggod: 可能是在幫對岸作工 02/03 15:59
25F：推 ImAllen: 開VPN走http超危險 傳輸資料全部接收 02/03 16:02
26F：推 jackloutter: 推 02/03 16:11
27F：推 Mazu323: 這太扯 02/03 16:15
30F：推 WindSucker: who car 02/03 16:43
31F：推 rknung: 文組：？？（真心不懂） 02/03 17:26
32F：推 vvind: 真的很瞎，銀行資安這樣搞的 02/03 17:32
33F：→ asdfghjklasd: IT 呵呵 02/03 17:32
34F：推 iamgyfan: っq 02/03 17:35
35F：推 a08155556: 紙本帳單也沒有加密(也不保證送達 02/03 17:44
36F：推 timko: 銀行這種資安程度... 02/03 18:07
37F：推 PoloHuang: 笑死 02/03 18:22
38F：推 choper: 推高調 那麼大間銀行 應改善 02/03 18:27
39F：推 fbifxxkma: 文組：你在說啥東東? 02/03 18:36
40F：推 lalalalaluk: 誇張 這樣我都不太敢用台新的 app了 02/03 18:39
41F：推 waloloo: 還好我用華為分享器不怕 02/03 18:40
42F：推 horusli: 拿紙本帳單來講 zzz 02/03 18:43
43F：推 iop222456: 這種資安程度 ... 02/03 18:50
44F：推 babypanda: get parameter / post 02/03 18:55
45F：推 jin062900: 好扯… 02/03 18:55
46F：推 CyBw: 好扯，還好沒用行動帳單 02/03 18:57
47F：推 airflow: 杜老爺: 危言慫聽 02/03 19:08
48F：推 mathrew: 某名字是地區合併銀行 N前年資料傳送也是沒加密 02/03 19:12
49F：→ mathrew: 我們公司Gateway還錄到密碼，跑去問當事人，還真的是 02/03 19:13
50F：→ mathrew: 笑死 02/03 19:13
51F：推 s97051581: 電子帳單應該沒這問題吧？ 02/03 19:13
52F：推 obarisk: 是真的雷，電子帳單要去開pdf那個 02/03 19:20
53F：推 cooji74115: 台新連用它們自己的richart申請辦卡 都會有不會拋投資 02/03 19:50
54F：→ cooji74115: 料給信用卡部門進行審核的bug解不掉了 02/03 19:50
55F：→ cooji74115: 要說它們資訊處理有多好 我也是呵呵 02/03 19:51
56F：→ cooji74115: 只會道歉 道歉完也不會有任何改進的 02/03 19:52
57F：推 p1587: 你說法有錯 不管有無SSL封包都是可以被攔截的而不是有https 02/03 20:13
58F：→ p1587: 就不會被攔截 02/03 20:13
59F：推 ppc: 這種沒保護客戶資訊的問題可以報金管會 02/03 20:15
60F：噓 QQ5566: 台灣銀行數位，你意外嗎？ 02/03 20:21
61F：推 bill0205: http 80port +get 真狂 02/03 20:26
62F：→ bill0205: 有ssl你就算被攔截也要解得出來啊 02/03 20:27
63F：→ bill0205: http和twlnet一樣是明碼傳輸 就是裸奔 ssl就是有加密 02/03 20:28
64F：→ bill0205: telnet 02/03 20:28
65F：推 youweit: 這樣實在不行 02/03 20:29
66F：→ p1587: 沒錯就算攔到也要能解密 但原PO的說法會讓人以為https就不 02/03 20:32
67F：→ p1587: 會被攔截 這是錯的 02/03 20:32
68F：推 bill0205: 其實還有一點用GET也很危險… 02/03 20:36
69F：推 shiro920: 用80port好危險 02/03 20:39
70F：推 Jmoe: 這樣敢說智慧好夥伴？ 02/03 21:14
71F：推 pig6033666: 智障好夥伴 02/03 21:25
72F：推 Hecc: 其實get post 在某些人眼中是沒有區別啦 02/03 21:58
73F：推 tndh: 不懂 但是先關再說XD 感謝分享 02/03 21:59
74F：推 eric10902: 銀行的IT普遍都很廢不意外阿 看看App store那堆跟屎一 02/03 21:59
75F：→ eric10902: 樣的銀行app就知道 02/03 21:59
76F：噓 t78973677: 一群正義魔人，以為只有你想的到嗎？為什麼不直接客訴 02/03 22:17
77F：→ t78973677: ，要在這裡發文？ 02/03 22:17
78F：→ bignoob: 還真的只有我想到 謝謝指教 ^_^ 02/03 22:19
79F：→ bignoob: 要在 creditcard 板發文是我的權益 除非違反站規/板規 02/03 22:20
80F：→ believe91326: 台新網銀也是男用 02/03 22:57
81F：推 prussian: 說網路銀行個資不值錢的，方便公開提供一下您的帳號密 02/03 22:59
82F：→ prussian: 碼嗎。網路時代孩子的教育依然不能等啊。 02/03 22:59
83F：→ bill0205: 個茲很便宜沒錯 但是不值錢不代表銀行可以隨便處理客戶 02/03 23:23
84F：→ bill0205: 的個資阿 02/03 23:23
85F：→ bill0205: 這根本兩回事 硬扯在一起 02/03 23:23
86F：→ soyan: 帶鍵碼專用連結+讓你用網頁表單key身份字號登入…裡面只能 02/03 23:25
87F：→ soyan: 看基本帳單資訊，好像也沒用https的必要啊…看個帳單要不要 02/03 23:25
88F：→ soyan: 再幫你兩步驟驗證一下？ 02/03 23:25
89F：→ bill0205: https重點是封包加密 http則是明碼傳輸 02/03 23:26
90F：推 HMKRL: 至少沒有呆到把身份證字號放在query string啦 XDDD 02/03 23:29
91F：→ HeIIoWorId: 第一次收到行動帳單看到網址沒有s完全不想用…後來等p 02/03 23:43
92F：→ HeIIoWorId: df寄來 02/03 23:43
93F：推 dddanny: 有危險的感覺 02/04 00:27
94F：→ jimyan36: 要上新聞才會改吧 02/04 00:33
95F：噓 cxz123: 我的台新帳單連輸入密碼都不用，直接打開就看得一清二楚== 02/04 00:44
96F：推 CelicaGT: 又有這種個資不值錢論調,我以為來到長輩群組 02/04 00:46
97F：→ Puser: 自動扣款沒啥在開帳單 因為原po仔細看帳單內容 姓名卡號都 02/04 00:49
98F：→ Puser: 有遮 感覺還好 白痴一點連安全碼都秀出來就很精采 02/04 00:50
99F：→ Puser: 平常不要透過別人的設備(wifi熱點 proxy)連網路就好 之前在 02/04 00:50
100F：→ Puser: fb看到中國白帽露一手 就算有https照樣取得資料 跟yo叔一 02/04 00:51
101F：→ Puser: 樣會繞過去取資料(? 從此完全不會想連別人的wifi 真的是下 02/04 00:52
102F：→ Puser: 巴掉了 BTW ptt也有23跟443之分~ 02/04 00:53
103F：→ Puser: 然後 我想看帳單都用他們家的App加指紋辦識不用記密碼!!! 02/04 00:54
104F：→ xkp74580: 誰有興趣無聊看陌生人的帳單有啥 重要的service像網銀有 02/04 01:21
105F：→ xkp74580: 吃https就好了啊 大驚小怪 02/04 01:21
106F：推 Raymond0710: 這真的扯 02/04 01:22
107F：推 eric525498: 扯爆 02/04 01:26
108F：推 tonylaio: 給蘋果日報 02/04 07:50
109F：推 lookat1205: 高調 02/04 09:10
110F：推 peiningyu: 高調 02/04 10:17
111F：推 sm3489: 台新網銀超爛，爛到我公司戶直接換別家用 02/04 10:56
112F：推 matlab1106: 太扯了 該換別家了 02/04 11:34
113F：推 CJ100Lin: 台新只再乎趕著推出新產品，完全不在乎品質，這還能相信 02/04 11:36
114F：→ CJ100Lin: 他嗎？ 02/04 11:36
115F：推 reifind: 台新網銀很棒喔,用好幾年了~ 感謝原po我已取消行動帳單 02/04 13:02
116F：推 Shane7: 超扯 02/04 13:02
117F：推 apple841027j: 所有個資都要加密哦 跟金管會檢舉資訊部門就要寫檢 02/04 13:13
118F：→ apple841027j: 討報告了 02/04 13:13
119F：推 kenzoro: 取消能用app嗎 找不到說 還是要從客服？ 02/04 14:10
120F：→ yangyush001: 好險我是軟體白癡看不懂這篇，當作沒事飄過去。 02/04 14:40
121F：推 tomap41017: 太扯 02/04 15:03
122F：→ ChungLi5566: 這個拿去給數聯資安做滲透測試應該滿滿的缺失 02/04 15:28
123F：→ ChungLi5566: get只能傳頁數或日期這種不重要的參數 02/04 15:29
124F：→ ChungLi5566: 機敏性資料還是得用POST來傳 02/04 15:29
125F：→ ChungLi5566: 另外https還要看標頭有沒有Strict Transport Securit 02/04 15:32
126F：→ ChungLi5566: y 02/04 15:32
127F：推 aromagreen: 長知識 02/04 15:57
128F：→ prussian: xkp 那方便分享您的帳單連結或無碼帳單嗎? 看看有沒有 02/04 16:20
129F：→ prussian: 誰有興趣? 反正您不在意對吧 02/04 16:20
130F：推 poui0567: 高調...扯 02/04 18:16
※ 發信站: 批踢踢實業坊(ptt.cc)
※ 轉錄者: CMJ0121 (106.1.224.240), 02/04/2019 22:19:57
131F：推 holishing: 實際上還是一堆人不覺得有問題啦 02/09 21:33
132F：推 a9601268787: 合規檢視...怎麼過的 02/10 02:14
133F：推 ym7834: 系統分級把它排掉就好啦 02/12 10:26
134F：推 qqq15963: 卡版有人回報台新行動帳單已經改成https了，沒想到台新 02/22 19:13
135F：→ qqq15963: 修正的還蠻快的，感覺還是非常重視資安 至少有重視用戶 02/22 19:13
136F：→ qqq15963: 的回饋，大家可以看一下自己的帳單有沒有修正~ 02/22 19:13
137F：→ comp2468: 小弟菜逼八想問這種金流可能走 SHTTP嗎? 03/01 17:05
138F：推 Data000: 台新http很久了，還好我很窮 03/17 21:04