Re: [請益] 嗯,雖說,可是,還是..問一下吧...

[neoikki (Neoikki)]

先不管沒有邊能不能讓大家連到報稅網站，

這邊特別提醒大家：「絕對不要使用類似軟體幫助你們處理報稅問題！」

沒有邊、免費門的技術是利用散布在全球各地的其他主機或伺服器，利用類似proxy的機
制替大家聯網操作。

proxy主機如果被有心人士入侵或利用（甚至架站者本身就居心不良），那麼大家的報稅
資料--包含銀行帳號--都會在主機上一覽無遺。

就算你與對方使用SSL機制一樣會失效，因為SSL資料保護只到proxy而已，國外之前有聽
說利用proxy機制盜取SSL保護資料的事件。

大家平常上上網、看看圖片就算了，這麼敏感的東西可千萬別開玩笑！


By Neoikki
2009.04.27

※ 引述《jacklo (乾亨礦油行)》之銘言：
: 我是要問網路報稅用的那個內政部自然人憑證線上展期的問題啦...
: 93年辦的,今年5月初就到期了,
: 因為線上展期要從內政部網站下載軟體,
: 而大家都知道的是, *.gov.tw 這裡是不讓連的.
: 所以我就用那個沒有界去下載了.
: 可是下載安裝後, 想想好像不應該開著沒有界去更新自然人憑證.
: 所以就把沒有界關掉了.
: 結果當然就是沒有辦法更新囉.出現網路連接錯誤.
: 我的問題是, 有沒有人確切知道, 沒有界可不可以開來更新憑證ic卡?
: 另一個問題要5月1日才知道, 不曉得可不可以不開沒有界線上報稅?
: 如果不行, 我就得專程回台灣一趟去報稅了....

--
=============================  遠處觀山 看山小  =============================
                                  ◣ ◢╬      Neoikki 是隻 壞人貓......
                   喵～看山小!? ˋ - -╭       [e-mail]
╴╴╴╴╴╴╴╴╴╴╴╴╴╴╴╴╴╴▲╯╴╴╴╴╴╴╴╴╴╴╴╴╴╴╴╴╴╴
=============================  高空望水 真水小  =============================

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 218.32.232.144
推 VictorTom:推板大這篇:)
推 zonnnnn:推版大的佛心  謝謝
推 voking:proxy簡單來說就是"緩存"資料..
推 heyam:我可以偷問嗎？網銀在那邊是不是也不可以這樣用啊？...
推 VictorTom:這樣說吧, 不管是proxy或是你走vpn/ssh回台灣再繞出去也
→ VictorTom:都是在你和目標中間, 除了一般route path上的網路節點外
→ VictorTom:另外透過一個第三方當轉運站, 由於你到這個第三方站有加
→ VictorTom:密技術保護傳輸內容所以不會被擋掉; 但是這個第三方是不
→ VictorTom:是可以信賴的, 就是一個非常大也非常嚴重的問題....
→ VictorTom:如果你在台灣自己租主機架的, 那只要它別被駭爆應該還OK
→ VictorTom:但是網上買的, 或者某些特殊軟體你根本不知道第三方在哪
→ VictorTom:的, 透掛它傳輸你網銀/報稅/其他私密資料你放心嗎:)
→ VictorTom:對了, Proxy不只有"緩存"資料的功能, 還有"代理"的功能.
→ VictorTom:所以Proxy一般中譯是代理伺服器:)
推 hellheaven:啊！ 太晚看到了  我前幾天用網銀前 還開了無界...
推 VictorTom:其實我不確定有沒有這麼嚴重, 因為具體細節我不是很熟.
→ VictorTom:但是https這種ssl的通訊, 理論上不應該因為經過proxy就
→ VictorTom:失去加密保護, 因為這種連線是你的PC到網銀SV全程要加
→ VictorTom:密的; 唯獨你一定會經過的這個第三方轉運站有沒有辦法
→ VictorTom:分析, 或者用其他網路攻擊/破解的方式取得你的私密資料.
→ VictorTom:但是問小弟我的話, 我寧可能在台灣做好的就先做好.
→ VictorTom:非連受阻網站, 就remote繞台北公司裡的電腦再出去XD
→ mulkcs:我的想法和樓上一樣
推 isaacc:其實從技術上而言，風險還是不小的。
→ isaacc:首先跟coding有關: 得確保所有過程都用SSL加密，比較安全。
→ isaacc:第二，SSL在啟動時會由雙方協調出session key(D-H機制)
→ isaacc:實作時如果IV(initial vector)選得不好，有可能被破解
→ isaacc:第三，SSL比起PKI還是比較"弱"一點的密碼技術，用憑證還是
→ isaacc:會比較安全。最後，網銀或部分主機不一定有server憑證
→ isaacc:這回到Victor講的，根本無法避免man-in-the-middle攻擊
→ isaacc:不過這越扯就越遠了...哈
推 VictorTom:推宅爸的解釋:) 第三方站就是標準的man-in-the-middle的
→ VictorTom:candidate, 就算有PKI式憑證小弟我也不願意冒這個險Orz