<![CDATA[Форум Рутокен — ruTokenWeb plugin deprecated API]]> 2013-10-29T09:26:48Z PunBB https://forum.rutoken.ru/topic/1969/ <![CDATA[Re: ruTokenWeb plugin deprecated API]]> Спасибо за информацию.

]]> https://forum.rutoken.ru/user/7927/ 2013-10-29T09:26:48Z https://forum.rutoken.ru/post/6674/#p6674 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> Вы всё верно пишете.
Рутокен Web по своей сути предназначен для работы в более недоверенном окружении чем, Рутокен Плагин.
Именно поэтому мы рекомендуем подкрутить безопасность Рутокен Web не пользуясь отдельными логинами и логаутами, которые можно перехватить.
Среда исполнения Рутокен Плагина более доверительная, обычно, это корпоративная техника с усиленными политиками безопасности.
Именно поэтому и перехват пин-кода ну а тем более блокировка токена не так опасна.

]]> https://forum.rutoken.ru/user/6786/ 2013-10-29T09:22:33Z https://forum.rutoken.ru/post/6673/#p6673 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> еще один небольшой вопрос.

согласно http://dev.rutoken.ru/pages/viewpage.ac … Id=3801101 в данный момент предоставляется 2 варианта веб плагинов, один специфичный для rotoken web, и "рутокен плагин".
Далее, согласно http://dev.rutoken.ru/pages/viewpage.ac … Id=3801092 У "Рутокен Плагин" имеет свой специфичный API, в котором есть функция login(deviceId, pin, resultCallback, errorCallback) позволяющая передавать pin код непосредственно из JS.

Вопрос, не является ли эта функция потенциальной угрозой безопасности поскольку:
1) допускает перебор pin кодов без нотификации пользователя (скорее всего не особо страшная проблема посколько токен скорее всего будет блокирован после n запросов)
2) позволяет вредоносным сайтам легко заблокировать токен, в случае если он случайно оказался подключенным в момент открытия этого сайта.
3) потенциально облегчает перехват pin кода через javascript, поскольку достаточно сделать JS иньекцию.

Возможно существует какая либо защита от этих моментов, которую я упустил?

]]> https://forum.rutoken.ru/user/7927/ 2013-10-29T09:03:02Z https://forum.rutoken.ru/post/6671/#p6671 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> 929121 пишет:

спасибо за информацию.

Если что, старые функции пока не выпилены, и врядли когда нибудь будут. Мы просто не рекомендуем ими пользоваться.

]]> https://forum.rutoken.ru/user/6786/ 2013-10-29T08:20:11Z https://forum.rutoken.ru/post/6668/#p6668 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> спасибо за информацию.

]]> https://forum.rutoken.ru/user/7927/ 2013-10-29T08:17:29Z https://forum.rutoken.ru/post/6667/#p6667 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> 929121 пишет:

соответственно если мне необходимо сделать подпись 3 раза подряд я получу 3 запроса пин-кода?

верно

]]> https://forum.rutoken.ru/user/6786/ 2013-10-29T08:15:24Z https://forum.rutoken.ru/post/6666/#p6666 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> соответственно если мне необходимо сделать подпись 3 раза подряд я получу 3 запроса пин-кода?

]]> https://forum.rutoken.ru/user/7927/ 2013-10-29T08:07:46Z https://forum.rutoken.ru/post/6665/#p6665 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> Здравствуйте.
нет, просто пин-код запрашивается по необходимости.
Например, ранее нужно было вызвать подряд 3 функции: rtwUserLoginDlg rtwSign rtwLogout, а теперь только rtwSign. Фукнция сама спросит пин-код у пользователя и сама разлогинится.

]]> https://forum.rutoken.ru/user/6786/ 2013-10-29T07:38:14Z https://forum.rutoken.ru/post/6664/#p6664 <![CDATA[ruTokenWeb plugin deprecated API]]> Здравствуйте.

В последней версии документации для ruToken Web функции rtwUserLoginDlg/rtwLogout/rtwIsUserLoggedIn помечены как устаревшие. Других функций для ввода пин кода я не обнаружил (возможно плохо искал).

Означает ли это, что было принято осознанное решение разрешить использование ruToken Web без пин кода?

]]> https://forum.rutoken.ru/user/7927/ 2013-10-28T14:42:31Z https://forum.rutoken.ru/post/6660/#p6660