delphij's Chaos

选择chaos这个词是因为~~实在很难找到一个更合适的词来形容这儿了……

01 Dec 2006

招商银行5.1.3.8版本继续无法使用中

__【已过时的信息】__本篇所描述的问题,已经得到了部分修正。本文将不再更新,请参见后续的进展报道。

继续昨天的话题。今天,招商银行的工作人员给我打来电话,建议我升级到最新版本。现将情况告知大家如下:

* 如同之前他们所做的事情一样,这个版本依然没有数字签名。在打了客服电话之后,我勉强执行了这个版本。[20061205更新:招商银行已经在网站上修正了这个问题]
* 如同之前的版本一样,这个版本仍然无法运行在amd64版本的Windows 2003上。
* 为了掩人耳目,这个版本中的WinIO.dll被改头换面放到了用户目录下的CMB\PB40\SysData\cmb8783.dat。
* 而另一方面,那个驱动的名字,变成了CertClient.dat。

(20061201修改:此处删去了一些具体的信息。这些信息出现在了招商银行专业版所安装的某些文件中,并且其内容确实有可能包含敏感数据。)

我想再次提醒招商银行,请使用正确的方法和方式修正问题。


Archived: 11 Comments

菜鸟>_< | November 30, 2006 9:36 PM

曾经用过4年交通银行…

不过这种改头换面的做法太搞笑了…

Kueihsing | December 1, 2006 11:35 AM

哈哈哈!我记得招行的开卡密码就是“发*发”。

过客 | December 1, 2006 4:01 PM

楼主有点过分了。我所在的公司帮银行生产IC卡,对这个行业还是有点了解。

众所周知,银行不过是个商业机构,其软件安全度达到商业标准即可,即使是军用标准,也不是没有漏洞。 我看招行已经做得很好了,主动去帮一般用户保护电脑安全,甚至做到驱动层,其实他们不这样做也没人怪的。你看其他银行,就算花旗汇丰,连浏览器的密码输入框都敢用,为什么?因为人家法律规定,银行就这安全水平,擅自研究、散发其技术秘密是违法行为,已经和黑客无异。 你再看国内其他银行,即使是U盾,依赖那么多层次的Dll调用,哪一层不能HooK?动态口令卡哪里防得住插入攻击?如果远程操纵,哪家银行的证书能防?我也不多说了,再说下去我也快违法了。

楼主有些说法我也很不赞成,“最基本的安全常识——安全不能建立在别人不知道的基础之上”,我就不知道这个常识,美国军用设备采用Ada开发目的是什么?就是不让你知道。Microsoft也有大量秘密,如果公开了,后果不知道怎样。IBM体系号称安全,主要原因就是封闭体系,别人不知道。除了非对称算法敢号称公开还能保密,其他的还没听说。

“竟然在我三番五次地投诉之后,仍然不做数字签名,这一行为足以让这家金融机构为之蒙羞”,我也看不出有多大道理,按楼主说法,这些文件好象是招行自己程序用的,为什么要做签名?是为了给你这个研究者比较明确的信息么?这点原因不能让招行蒙羞吧。

凭我在这行业的经验,楼主不要再玩火了。

普通程序員 | December 1, 2006 4:17 PM

樓主的做飯并不違法,我不知道過客在你自己的行業待幾年了,既然商業機構使用到了計算機安全,那就應該遵守這方面的規則,沒有數字簽名這是起碼的東西,這就是違法的,安全么?如果裝上了,這么容易被人破解,誰能用?不是說別的商業機構的沒有漏洞,但是招商銀行的這么明顯就很難說的過去了,至于U盾的問題你搞清楚用的什么技術了再來說話,ok?

过客 | December 1, 2006 5:12 PM

re:普通程序員:
招行加个数字签名是好一点,我也试了改动招行专业版,发现根本不行,应该是招行采用了其他类似数字签名的,更强悍的保护方法。

U盾我还是了解一些的,毕竟IC卡公司嘛,但我不方便说,说了真的违法。

TaurenShaman | December 1, 2006 6:01 PM

继续讨论啊~~
关注中(我正打算开通招行网上银行专业版呢)

kkd | December 2, 2006 12:24 AM

为什么我找不到“用户目录下的CMB\PB40\SysData\cmb8783.dat。
”? 我的也是MG5。1。3。8

匿名人士253874 | December 3, 2006 5:20 PM

美国军用设备采用Ada开发目的是什么?就是不让你知道。

看到这条我真的笑了.
Ada在gcc里面就有编译器.

anonymous | December 4, 2006 10:43 AM

因为人家法律规定,银行就这安全水平,擅自研究、散发其技术秘密是违法行为,已经和黑客无异。

潜台词是不是,你的安全问题即使是由于银行发布的控件所引起的问题,也与银行无关?因为违法的是别人,和银行有什么关系,而且遭受损失的也不是银行.

垃圾乱飞 | December 4, 2006 11:06 AM

不懂….
但看得出几位高人啊,应该一起好好讨论下

54545招行 | July 22, 2007 5:28 PM

招商银行再度荣获“中国最佳银行”,是因为其他的银行太差了!