<![CDATA[Форум Рутокен — ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/topic/1969/ Tue, 29 Oct 2013 09:26:48 +0000 PunBB <![CDATA[Re: ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/post/6674/#p6674 Спасибо за информацию.

]]> Tue, 29 Oct 2013 09:26:48 +0000 https://forum.rutoken.ru/post/6674/#p6674 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/post/6673/#p6673 Вы всё верно пишете.
Рутокен Web по своей сути предназначен для работы в более недоверенном окружении чем, Рутокен Плагин.
Именно поэтому мы рекомендуем подкрутить безопасность Рутокен Web не пользуясь отдельными логинами и логаутами, которые можно перехватить.
Среда исполнения Рутокен Плагина более доверительная, обычно, это корпоративная техника с усиленными политиками безопасности.
Именно поэтому и перехват пин-кода ну а тем более блокировка токена не так опасна.

]]> Tue, 29 Oct 2013 09:22:33 +0000 https://forum.rutoken.ru/post/6673/#p6673 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/post/6671/#p6671 еще один небольшой вопрос.

согласно http://dev.rutoken.ru/pages/viewpage.ac … Id=3801101 в данный момент предоставляется 2 варианта веб плагинов, один специфичный для rotoken web, и "рутокен плагин".
Далее, согласно http://dev.rutoken.ru/pages/viewpage.ac … Id=3801092 У "Рутокен Плагин" имеет свой специфичный API, в котором есть функция login(deviceId, pin, resultCallback, errorCallback) позволяющая передавать pin код непосредственно из JS.

Вопрос, не является ли эта функция потенциальной угрозой безопасности поскольку:
1) допускает перебор pin кодов без нотификации пользователя (скорее всего не особо страшная проблема посколько токен скорее всего будет блокирован после n запросов)
2) позволяет вредоносным сайтам легко заблокировать токен, в случае если он случайно оказался подключенным в момент открытия этого сайта.
3) потенциально облегчает перехват pin кода через javascript, поскольку достаточно сделать JS иньекцию.

Возможно существует какая либо защита от этих моментов, которую я упустил?

]]> Tue, 29 Oct 2013 09:03:02 +0000 https://forum.rutoken.ru/post/6671/#p6671 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/post/6668/#p6668 929121 пишет:

спасибо за информацию.

Если что, старые функции пока не выпилены, и врядли когда нибудь будут. Мы просто не рекомендуем ими пользоваться.

]]> Tue, 29 Oct 2013 08:20:11 +0000 https://forum.rutoken.ru/post/6668/#p6668 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/post/6667/#p6667 спасибо за информацию.

]]> Tue, 29 Oct 2013 08:17:29 +0000 https://forum.rutoken.ru/post/6667/#p6667 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/post/6666/#p6666 929121 пишет:

соответственно если мне необходимо сделать подпись 3 раза подряд я получу 3 запроса пин-кода?

верно

]]> Tue, 29 Oct 2013 08:15:24 +0000 https://forum.rutoken.ru/post/6666/#p6666 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/post/6665/#p6665 соответственно если мне необходимо сделать подпись 3 раза подряд я получу 3 запроса пин-кода?

]]> Tue, 29 Oct 2013 08:07:46 +0000 https://forum.rutoken.ru/post/6665/#p6665 <![CDATA[Re: ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/post/6664/#p6664 Здравствуйте.
нет, просто пин-код запрашивается по необходимости.
Например, ранее нужно было вызвать подряд 3 функции: rtwUserLoginDlg rtwSign rtwLogout, а теперь только rtwSign. Фукнция сама спросит пин-код у пользователя и сама разлогинится.

]]> Tue, 29 Oct 2013 07:38:14 +0000 https://forum.rutoken.ru/post/6664/#p6664 <![CDATA[ruTokenWeb plugin deprecated API]]> https://forum.rutoken.ru/post/6660/#p6660 Здравствуйте.

В последней версии документации для ruToken Web функции rtwUserLoginDlg/rtwLogout/rtwIsUserLoggedIn помечены как устаревшие. Других функций для ввода пин кода я не обнаружил (возможно плохо искал).

Означает ли это, что было принято осознанное решение разрешить использование ruToken Web без пин кода?

]]> Mon, 28 Oct 2013 14:42:31 +0000 https://forum.rutoken.ru/post/6660/#p6660