中信網銀曝設計瑕疵

ithome http://www.ithome.com.tw/itadm/article.php?c=43589
略...

資安專家指出，這個網路銀行系統設計的瑕疵，是Session ID沒有與使用者的電腦綁定。當網路銀行使用者登入系統後，網路伺服器會產生一個獨特的Session ID（連線ID），用以代表使用者的電腦，在接下來的網頁瀏覽過程中，網路伺服器就能據以辨識使用者，提供相對應的服務。

因為Session ID沒有綁定使用者的電腦，所以中信網銀的使用者登入系統後，在尚未登出或關閉網頁前，將URL傳給其他人，由於該網址已帶有Session ID，因此在其他電腦上亦可同步瀏覽該人的帳戶資訊，如此他人即可跳過系統登入的程序。

略...

====================================================

我只能說如果不是資安專家的水準另人訝異 的低
就是記者的報導居心悱測
講的一付中信某一個基本的功能沒作似的
問題根本是中信作太多

Session 本來就是 browser 與 server 溝通時的自然條件
在不做任何處理的情況下，Session 是自動會存在運作的
中信的Case不在於沒有將SessionID與 browser 綁定(Session本來就在)
而是他們沒有把Session機制納入權控的範圍
又或者說他們這個網站當初就故意設計成Sessionless的
將他認定的 SessionId 放在URL上
以達成儘管 browser 的 Session 功能被關閉，網站仍可運作
結果就是在中信 Server 接受這個 SessionId 的時段內URL貼到別的 browser 網頁就出來

其實這個只要再加一點工，
簡單的作法就是把這組 SessionID 再藏在網頁中當作必要的request變數
這個問題就可以解決

不過這部分就交給可憐的中信工程師處理吧

男丁格爾

今天剛剛好看到男丁格爾，
於是乎就把網路上討論男丁格爾那篇翻了出來看一下
我的媽呀....看的一下我差點從椅子掉下來
沒想到那篇的內容竟然和我的想法一模一樣，只差幾個細節
O my god.........我被附身了嗎

by the way
梁又琳 正

六點半

前幾天和朋友聊了一下，我用木耳也聽的出來他濃濃的愁

=========================================

家門口開了家賣車輪餅的，路過的時候我問他有沒有奶油的: 賣光了。嗯，老闆現在才十點耶

那一陣子，每天的deadline就是六點半

時間一到匆忙把東西打包下班

快步循著早上要15min的路程，想再快一點再快一點

在一個紅燈的路口有家車輪餅，很貴，10塊只能買一個

我對車輪餅的印像還停留在10塊可以買4個，3個我要想一下

算了，老闆我要一個奶油的!!

奶油通常很燙，不過我趕著搭捷運

總是儘快在到捷運站前解決掉

聽說邊走邊吃不好，不過，管它的。

這幾年走的太慢，要再快一點快一點


==========================================

和朋友聊的過程中談到一句話，內容就不講了

其實一直都知道，只是沒人願意提

就是因為不想輸給別人，所以有些事非做不可，不管多少代價


==========================================

Object-oriented programming

一直印像很深刻，大二時選修OOP的課程
課程中林老師提到有關物件設計時談到了椅子
椅子物件應該要有腳，可以坐
其實當時跟本是有聽沒有懂
期末project中，我們設計了兩個物件，再搭配上一個印表物件
當然啦 project出了一點問題，最後fail了
老師在看的時候說，print應該是物件本身的功能，怎麼會搬到外面去勒？
當時是很shock

工作以後，再想想這個例子，原來的設計其實也不無不可
運氣不錯，一般商務系統都要求coding的人都需要照著規範來code
而我的工作是卻規範別人怎麼code
反過來說就是自己愛怎麼寫就怎麼寫
寫多了，對OOP也卡有感覺
其實物件的功能並沒有一定的規範模式，
而是尋求自然
以人而言，有腿有腳能夠走路是自然的
一條小狗而言會叫是自然的
當一個良好設計的物件被使用時
一切就是這麼自然，想到那我來叫兩聲吧，竟然就真的有這個function

反之，如果使用上綁手綁腳的
想使用某一個功能，但卻需要繞一大圈才拿的到，這即是設計不良
然而該怎麼評價一個物件？寫多了到一個水準就有感覺

但不是像很多不知是怎樣，八字沒一撇，嘴巴到學的很快

Let me tell you something you already know.

The world, all they sun shine and rainbow.
It a very mean and nesty place.
It will beat under the knee and keep it permanently if you let it.
You, me and nobody is going to hit as hard as life.
But, ain't about how hard you hit.
Is about how hard you can get hit and keep moving forward.
How much you can take, and keep moving forward.
That's how we would have to done.

If you know how much you worth.
You go out to get how much you worth.
But you gotta be willing to take the hit.
Not pointing fingers saying you ain't where you are because of him, or her, or anybody.

Cowards do that.
and that ain't you.
You're better than that!

That's how winning is done.