Signeret java.applet og netbank

[Jørgen Heesche]

Hvad er en signeret java-applet?
Om få dage venter jeg at Nordea Netbank forlanger at jeg bruger Nemid.
Vil en signeret java-applet give problemer?
Jeg har Firefox 2.0.0.18 med Java(TM) Plug-in 1.6.0_21-b06

--
Med venlig hilsen

Jørgen Heesche
mailto:hee...@webspeed.dk

[Jørgen Heesche]

Jesper Lund wrote:

> Jørgen Heesche wrote:
>
>> Hvad er en signeret java-applet?
>> Om få dage venter jeg at Nordea Netbank forlanger at jeg bruger Nemid.
>> Vil en signeret java-applet give problemer? Jeg har Firefox 2.0.0.18 med
>> Java(TM) Plug-in 1.6.0_21-b06
>

> Signeret java applet betyder to ting
>
> 1) Du kan se hvor den kommer fra og du er sikret mod at java appletten
> ikke er ændret på vej mod dig (hvis du stoler på den CA som har
> certificeret signaturen..). Det kan sammenlignes med at pakkerne i dit
> Linux repository ("app store") normalt er signeret.
>
> 2) I forhold til en usigneret java applet, har en signeret applet flere
> rettigheder, den kan bl.a. læse og skrive filer på din harddisk (med
> samme rettigheder som den bruger der afvikler java appletten).
>
> Formentlig bruger du en signeret java applet allerede i dag (men du har
> blot cachet accepten af signaturen). Netbank java skal typisk have adgang
> til at læse en nøglefil på computeren (kender dog ikke Nordea netbank på
> dette punkt).
Nordea læser en nøglefil på min computer.

>
> Firefox 2.0 er meget gammel og ikke længere supporteret (dvs. ingen
> patches af sikkerhedsproblemer).
>
Kan det betyde at Nemid ikke fungerer i Firefix 2.0?

[Henrik Christian Grove]

Jesper Lund <use...@jesperlund.com> writes:

> Jørgen Heesche wrote:
>
>> Hvad er en signeret java-applet?

>> Om fÃĨ dage venter jeg at Nordea Netbank forlanger at jeg bruger Nemid.

>> Vil en signeret java-applet give problemer? Jeg har Firefox 2.0.0.18 med
>> Java(TM) Plug-in 1.6.0_21-b06
>

> Signeret java applet betyder to ting
>
> 1) Du kan se hvor den kommer fra og du er sikret mod at java appletten

> ikke er ÃĻndret pÃĨ vej mod dig (hvis du stoler pÃĨ den CA som har

> certificeret signaturen..). Det kan sammenlignes med at pakkerne i dit
> Linux repository ("app store") normalt er signeret.

Og det er en god ting.

> 2) I forhold til en usigneret java applet, har en signeret applet flere

> rettigheder, den kan bl.a. lÃĻse og skrive filer pÃĨ din harddisk (med

> samme rettigheder som den bruger der afvikler java appletten).

Det er straks mere tvivlsomt hvor godt det er.

> Formentlig bruger du en signeret java applet allerede i dag (men du har
> blot cachet accepten af signaturen). Netbank java skal typisk have adgang

> til at lÃĻse en nøglefil pÃĨ computeren (kender dog ikke Nordea netbank pÃĨ
> dette punkt).

Nordeas gamle netbank brugte en nøglefil, og derfor var den java-applet
signeret.

Men med NejID (nej, det er ikke en stavefejl, det er en mishagsytring,
NemID er ekstremt ringe designet) er der teknisk set ikke behov for
hverken at læse eller skrive til disken. I praksis skriver Applet'en en
logfil, i et udokumenteret format, så du ikke kan bruge den til noget.

> Firefox 2.0 er meget gammel og ikke lÃĻngere supporteret (dvs. ingen
> patches af sikkerhedsproblemer).

Det er også den komponent jeg vil mene der er størst chance for vil give
problemer.

.Henrik

--
... applications which need to address vast amounts of memory
(e.g., big scientific crankers, large databases, emacs) ...
-- fra en artikel i LWN

[Kent Friis]

Den Sun, 29 Aug 2010 23:12:44 +0200 skrev Henrik Christian Grove:
> Jesper Lund <use...@jesperlund.com> writes:
>
>> Jørgen Heesche wrote:
>>
>>> Hvad er en signeret java-applet?

>>> Om få dage venter jeg at Nordea Netbank forlanger at jeg bruger Nemid.

>>> Vil en signeret java-applet give problemer? Jeg har Firefox 2.0.0.18 med
>>> Java(TM) Plug-in 1.6.0_21-b06
>>
>> Signeret java applet betyder to ting
>>
>> 1) Du kan se hvor den kommer fra og du er sikret mod at java appletten

>> ikke er ændret på vej mod dig (hvis du stoler på den CA som har

>> certificeret signaturen..). Det kan sammenlignes med at pakkerne i dit
>> Linux repository ("app store") normalt er signeret.
>
> Og det er en god ting.
>
>> 2) I forhold til en usigneret java applet, har en signeret applet flere

>> rettigheder, den kan bl.a. læse og skrive filer på din harddisk (med

>> samme rettigheder som den bruger der afvikler java appletten).
>
> Det er straks mere tvivlsomt hvor godt det er.

Er det egentlig muligt at sige nej til signaturen, og køre den i
sandbox, eller står valget kun mellem "Pwned" eller ingen netbank?

Mvh
Kent
--
"The Brothers are History"

[Andreas Plesner Jacobsen]

On 2010-08-30, Kent Friis <nos...@nospam.invalid> wrote:
>>
>>> 2) I forhold til en usigneret java applet, har en signeret applet flere
>>> rettigheder, den kan bl.a. læse og skrive filer på din harddisk (med
>>> samme rettigheder som den bruger der afvikler java appletten).
>>
>> Det er straks mere tvivlsomt hvor godt det er.
>
> Er det egentlig muligt at sige nej til signaturen, og køre den i
> sandbox, eller står valget kun mellem "Pwned" eller ingen netbank?

Du kan generelt sandboxe applets med en security policy:
http://download-llnw.oracle.com/javase/6/docs/technotes/guides/plugin/developer_guide/security.html

--
Andreas