Teclado virtual

Dah uma olhada neste topico fresquinho fresquinho!!!
http://www.guj.com.br/forum/viewtopic.php?t=11421

Caro amigo, se não entende do asunto ou não entendeu a pergunta faça das duas uma:

1)leia de novo.
ou…
2) Não se meta.

“kafruni”:

Caro amigo, se não entende do asunto ou não entendeu a pergunta faça das duas uma:

1)leia de novo.
ou…
2) Não se meta.

1º Eu nao sou seu amigo!

2º Li a pergunta rapidamente e nao percebi q o problema era o tamanho do plugin e nao do applet… Sabe como eh, eu trabalho o dia todo e ainda tento ajudar pessoas bem educadas, entao as vezes como sou um ser humano eu me engano.

3º C vira …

A intenção deste Fórum é ajudar e quem ajuda, não merece receber críticas pelas respostas, mesmo que não seja as esperadas.
Tá faltando ética galera.

“kafruni”:

1)leia de novo.
ou…
2) Não se meta.

Com tanta polidez você poderia ir até o site do BB e com um pouco de massa cinzenta funcionando descobriria rapidinho como fazer …

Desculpe me meter nesse topico, nas suas proximas msgs não me meto mais … esse foi só pra ressaltar que a sua educação foi notada

Tu faz uma pergunta … num fórum… alguem entra posta uma resposta… que não eh uma repsosta eh o ,link de uma resposta a outra pergunta… LEGAL ISSO NÉ??

Quanto a trabalha o dia inteiro … eu também trabalho o dia inteiro … qto responder fóruns… eu também os respondo mas é mais raro.

Desculpa se te magoei.

“kafruni”:

Tu faz uma pergunta … num fórum… alguem entra posta uma resposta… que não eh uma repsosta eh o ,link de uma resposta a outra pergunta… LEGAL ISSO NÉ??

Quanto a trabalha o dia inteiro … eu também trabalho o dia inteiro … qto responder fóruns… eu também os respondo mas é mais raro.

Desculpa se te magoei.

Bom. Vc eh novo aq no GUJ, entao nao deve estar habituado com alguns costumes dos membros um pouco mais velhos. Nos temos o costume de passar o link de um topico ja discutido qd achamos q o mesmo responde a duvida. Isso eh legal pra nao ficar enchendo o forum com coisas iguais, o que dificulta a Pesquisa.

Qt a ter dado a resposta para outra pergunta, eu ja expliquei q me enganei com sua pergunta e achei e q o outro link resolveria seus problemas!

Mas q vc foi mal educado foi!

Cara desculpa de novo , ok? Eu realmente preciso resolver esse problema e isso tah se tornando uma discussão inútil. FOi mal e desculpa blz! Eu ralmente preciso de ajuda,

valeu um abraço

Acho que as usuarios que postam perguntas, mesmo que não receber a resposta esperada, deviam ter um pouco mais de educacao para tentar demonstrar que a resposta esperada não era bem a enviada.

Bom, se o problema é o tamanho do download da JVM, então o jeito é não usar uma JVM… fazer tudo em Javascript…

Mas como deve ser feito em Java… hmm… aí não sei se tem muito jeito não. O tamanho do download não tem jeito de diminuir não…

Falou… e espero ter ajudado de algum jeito… o povo estressado, parece o pessoal do trânsito de SP!

kafruni,pega leve com o pessoal e bem-vindo ao fórum!
Bom eu tb preciso fazer um tc virtual e até agora não me decidi entre Js(javascript) e Applet.Com Js,vou ter problemas com os diferentes browsers,com java,terei problemas com as configurações de internet do usuário e a necessidade do plugin.Deve existir um meio de deixar o applet “otimizado” hehehe…falando nisso,alguém sabe de um site com um exemplo de tc virtual(-o código-)para eu dar uma olhada?

O cara valeu … a resposta… mas assim relamente tah dificil fazer sem a necessidade de baixar a JVM. O JavaScript surge como possibilidade… mas não creio que seja aceita pelos clientes…uma saída que encontrei seria utilizar a JVM do IE, no entanto para tal eu teria que utilizar o JAVA 1.1, que o que a JVMdo IE suporta… o que esta dificultando ainda mais as coisas… Me resta esperar que uma luz venha desse fórum… ps qualquer coisa que precisar pode perguntar ja sei quase tudo de teclado virtual…

valeu pessoal

Gente, por favor, nao ponham teclados virtuais em aplicacoes. POR FAVOR. Parece que todos os sites de internet banking “concordam” que isso eh a coisa mais segura a se fazer, mas pooooor favor nao nos facam usar teclados virtuais.

Recentemente, o site do Bradesco foi redesenhado, e agora o novo e poderoso teclado virtual deles NAO TE DEIXA DIGITAR SEM USAR O TECLADO VIRTUAL. Eu quase fechei a minha conta no bradesco, de raiva. Eu nao quero usar o mouse pra digitar. Simplesmente não é conveniente, e existem meios melhores de se fazer uma aplicação web segura sem a necessidade de tornar seu uso inconveniente (ou, no caso do bradesco, infernal).

Se voces querem um exemplo definitivo de como o uso desses teclados virtuais prejudica, peçam praquele seu amigo que tem 4 graus de astigmatismo usar um sem os óculos. Depois peça pra ele sentar em cima da propria mao durante uns 5 minutos, suficiente pra fazer ela formigar bastante, e tentar de novo. Num trackball. Parabens, voces acabaram de simular um vovô de 65 anos (como é o caso do meu) tentando usar um treco desses. É simplesmente impraticável.

Vejamos algumas alternativas, que, combinadas, nao atrapalham, e deixam a aplicacao tao segura quanto usar um TC:

• Usar SSL e controlar as sessões decentemente (obrigatorio, de qualquer maneira)

• Fazer uma pergunta aleatoria, do tipo “Qual o seu ano de nascimento?”

• Usar infra-estrutura de PKI (exemplo: internet banking do BankBoston)

Mais alguma que eu tou esquecendo?

No meu caso cv é pro meu PF qquer exemplo simples de tc virtual jah satisfaz…hehehe
Se eu não encontrar algum na web(pesquisei e não achei mesmo!) farei um e porei como os(open source)…
realmente isso dah problemas…

- Usar SSL e controlar as sessões decentemente (obrigatorio, de qualquer maneira)

Isso eh uma boa alternativa,alguns caixas eletrônicos fazem isso(até 3 perguntas)

Perdoe-me a ignorância,o q eh PKI?

“Ironlynx”:

- Usar SSL e controlar as sessões decentemente (obrigatorio, de qualquer maneira)

Se o windows não for a merda de um NT né?huhaa ssl e ssh vão pro saco!

Seria engracado se fosse verdade, mas nao, SSL e SSH funcionam muito bem com o Windows NT, e, alias, com todas as versoes do Windows 9x, NT e 2k/XP.

Perdoe-me a ignorância,o q eh PKI?

Public Key Infrastructure. Tem muita informacao por ai, entao eu vou me ater a um exemplinho de como a coisa funciona, usando o BankBoston:

Voce tem uma conta lá, e quer usar o internet banking. Voce vai ateh o site, e se cadastra. No cadastro, é gerada pra vc uma chave publica. Essa chave eh um arquivo que vc deixa num diretorio especifico do computador.

Quando vc vai usar o site, vc digita sua senha (ou seja, sua chave privada), e ele usa a combinacao de chaves (publica e privada) pra criptografar a comunicacao.

O Louds (nosso nerd de seguranca e criptografia de plantao) pode dar mais informacoes sobre isso, entao encham o saco dele se tiverem interessados, mas eh importante lembrar que, para se ter confianca na identidade de alguém de forma eletronica, é preciso identificar:

• O que o usuário sabe (uma senha, uma data)
• O que o usuário tem (uma chave, um cartão, um memory key)
• O que o usuário é (impressao digital, da retina, etc)

Mas, no fim das contas, com uma arma apontada pra cabeca, nao existe seguranca eletronica. Nem fisica, se for pensar bem. Entao nao esquentem TANTO a cabeca com isso a ponto de encher o saco dos usuarios (novamente, OBRIGADO BRADESCO! :evil: )

outros bancos sao assim… concordo q isso eh muito chato, mas nao seria uma seguranca a mais?? o banco do brasil se nao me engano nao deixa vc digitar e altera a posicao das letras no teclado virtual a cada visita…

eu nunca pesquisei a fundo o assunto mas imagino q essas medidas sejam contra programas espioes que gravam tudo q o usuario digitou e ate a posicao do clique do mouse… com um teclado desses qq um desses programas nunca descobriria a senha (pq nao se usa o teclado e a posicao do mouse eh aleatoria)

se o q eu falei acima estiver certo, vcs podem dizer: “eh obrigacao do usuario se proteger disso nao do banco”… concordo, mas home banking se tornou tao comum hj q praticamente todos usam esse recurso; inclusive aqueles tapados q abrem um anexo do email tipo BritneySpears.jpg.pif acreditando piamente q aquilo tem uma foto dela pelada!! ou seja, eh ate legal o banco de preocupar um pouco mais e sair do escopo deles…

Seria engracado se fosse verdade, mas nao, SSL e SSH funcionam muito bem com o Windows NT, e, alias, com todas as versoes do Windows 9x, NT e 2k/XP.

Na minha facul eh assim…e tô procurando um código semelhante…jah vi q vou ter q fazer “do zero”. :?

Se espionar os eventos de entrada de teclado e mouse nao ta dando certo, pq os caras estao usando teclado virtual, tudo bem, combina-se a captura de mouse + teclado + tela. Pronto, voce tá na roça do mesmo jeito. Ou seja, a camada de seguranca que um teclado virtual dá é tão fina que não vale a pena o incômodo.

agora eu tenho que concordar com o tio CV … ele tá certinho.

Teclado virtual eh um saco, só engana quem não entende nadica de segurança e deixa o caboclo com LER (usar o mouse mata rapa).

eu odeio o bebe :roll:

Duas URLs para vocês que querem tecladinhos virtuais:
:arrow: http://www.useit.com/
:arrow: http://www.designbyfire.com/

Não! Não são implementações de tecladinhos. São dois sites de HCI (Human-Computer Interaction) que dão dicas e guidelines de como implementar interfaces com usuário realmente boas e produtivas. E, pasmem, tecladinhos virtuais não se encaixam como boas práticas de design
Estas URLs também são válidas para os clientes que querem estes tecladinhos virtuais

… mas, se ainda assim você precisa de um tecladinho virtual, que tal este?
http://www.jars.com/classes/jresout.cgi?resource=10538

Continuando a série “nervosos com o teclado virtual”, meu banco, não contente em implementar o teclado embaralhando os numeros, também implementou um esquema onde quando vc passa o mouse em cima do numero, alguns “*” cobrem outros 3 números aleatórios.

Pode ser seguro, mas é um saco!!!

Olá

É duro mas vou discordar de gente como o Mota e o CV e isto é muito raro para mim. Na verdade os bancos além de serem seguros, precisam parecer seguros. Nem todos os clientes tem o nosso conhecimento de informática. Mas muitos ficam sabendo dos estragos causados por key loggers e então precisam da confiança dos teclados virtuais, principalmente naqueles com rotação aleatória de teclas. A idéia do PKI do Banco de Boston é boa mas exige computador de uso privativo o que nem sempre é possível.

Segurança é um dos meus assuntos prediletos. Volta e meia na FIAP são apresentadas ótimas palestras sobre o assunto. Não costumo perde-las. O que já li por aí e ouvi nas palestras me dá a certeza de que tudo o que aparentemente os bancos fazem ainda é pouco. Há muitos casos de violações e nem todos são divulgados. Quem freqüenta o MIRC pelas madrugadas já viu oferta mirabolantes de meninos de má índole e de cardeadores.

Mas sabem o que menos me agrada neste rolo todo? Sou engenheiro e não gosto do termo engenharia social usado para identificar os procedimentos escusos para obter informações privadas.

[]s
Luca

O que os olhos não veêm o coração não sente né Luca?!? ehehehe

Realmente eu concordo que parecer seguro aumenta a aceitação do sistema, mas é mancada enganar o povo e mais mancada ainda não deixar eu digitar minha senha na munheca.
Eu nem lembrava mais minha senha, eu tinha que simular o teclado pra lembrar quais eram os números (sério) … era tão prático

Voltando ao assunto do kafruni … fio, se quiser mesmo o teclado não precisa encanar com a virtual machine … quase todo mundo tem e quem não tem tem bons motivos pra instala-la (o banco, seu sistema, e um monte de coisinha pulando nos sites por aí). É uma única vez e indolor … vale a pena pra vc não se restringir demais na programação e recursos …
Fazer em Javascript não é uma tarefa descumonal já que o suporte aos recursos q vc vai precisar tem em todos os browsers (menos no lynx :roll: ) mas eh chatinho chatinho de manter.

Cara eu concordo contigo… ateh pq eu defendi árduamente esse ponto de vista…(é uma vezinha só ), e inclusive achei uma JVM de 2MB… mas infelizmente o pessoal não aceitou … pois entendem que com conexão discada 2MB são uma ENORMIDADE… A solução foi mesmo restringir a programação me limitando a versão 1.1.8 do JAVA. Como todos sabemos o próprio IE tem uma JVM mas ela eh feita na Versão 1.1 do JAVA portanto utilizando-me soh desses recursos consegui fazer com que o navegador interperte a applet sem necessidade de baixar a JVM.

Mas valeu galera… sei que o assunto eh bom mas Teclado Virtual nunca mais… heheeheh

Vc promete nao brigar???

No WinXP, o IE vem sem a Virtual Machine !

“aborges”:

Vc promete nao brigar???

No WinXP, o IE vem sem a Virtual Machine !

É verdade cara …nem me lembra disso… mas aza´r eles querem applet… o cara que entrar com XP, vai ter que baixar o plugin… obrigado pela ajuda… e sim prometo não brigar. ok!

Só uma dica bem básica pra quem tem que dialogar com o teclado virtual: desabilitem o JavaScript, escrevam sua senha na caixinha, habilitem Javascript de novo.

Se eu digitar minha senha super-ultra secreta no meu teclado numérico com uma mão e cobrir o teclado com a outra, ninguém vê. Keylogger já era, a onda agora é imagelogger! Agora, como tapar a porcaria da tela toda quando alguém vê que meu cursor vai em a, depois em b…?

Abaixo os teclados virtuais. Parecem seguros, assim como um graaaaande maiframe dos anos 70 parece um puta computador pra leigos. A segurança falsa ainda causa o incoveniente da pessoa relaxar mais aidna,a chando que aquela porcaria protege alguma coisa…

Falando em HCI, Daniel, não posso deixar de citar meu predileto, o Ok/Cancel, que tem charge nova hoje

[]s

acho q o banco do brasil tem uma proteção contra esses image loggers…ou pelo menos tenta.

quando vc clica no teclado, imediatamente apos, ele (e tudo que tá sobre ele) some por algus segundos (ou milesimos de segundos…sei lah) , pra evitar que o printScreen “tire a foto” de onde vc clicou

E no caso de progama espião que captura tudo que é digitado? Nesse caso o teclado virtual evita a digitação e é menos uma informação capturada, não?

“rodrigo_gomes”:

acho q o banco do brasil tem uma proteção contra esses image loggers…ou pelo menos tenta.

quando vc clica no teclado, imediatamente apos, ele (e tudo que tá sobre ele) some por algus segundos (ou milesimos de segundos…sei lah) , pra evitar que o printScreen “tire a foto” de onde vc clicou

mas o imagelogger não precisa tirar a foto bem qdo vc aperta o botão (seja do teclado real ou do virtual). E o que é pior, só precisa tirar a foto 1 vez (nos sistemas que tenho visto hoje).

“rodrigo_gomes”:

acho q o banco do brasil tem uma proteção contra esses image loggers…ou pelo menos tenta.

quando vc clica no teclado, imediatamente apos, ele (e tudo que tá sobre ele) some por algus segundos (ou milesimos de segundos…sei lah) , pra evitar que o printScreen “tire a foto” de onde vc clicou

Isso não protege muito não… só fazer um programinha que verifica qual a ForegroundWindow, pega o nome dela, se conter a string “banco do brasil” ou algo do tipo, começa a “filmar” um quadrado 15x15 em volta do mouse…

Vegetto:

“rodrigo_gomes”:

acho q o banco do brasil tem uma proteção contra esses image loggers…ou pelo menos tenta.

quando vc clica no teclado, imediatamente apos, ele (e tudo que tá sobre ele) some por algus segundos (ou milesimos de segundos…sei lah) , pra evitar que o printScreen “tire a foto” de onde vc clicou

Isso não protege muito não… só fazer um programinha que verifica qual a ForegroundWindow, pega o nome dela, se conter a string “banco do brasil” ou algo do tipo, começa a “filmar” um quadrado 15x15 em volta do mouse…

Realmente essa tentativa que o BB implementou de burlar os KL ou IL da vida não consiste em segurança alguma.
Primeiro que se ele tornar o teclado (ou a tela que seja) invisível quando o usuário clica em um botão o programa espião irá reconhecer o clique antes de a tela desaparecer, conseqüentemente não funcionará para nada. Isso se deve ao fato de o programa espião ser geralmente feito em C ou Assembly que são linguagens de um nível bem mais baixo que Java ou JS.

Segundo porque não mais são tiradas simples “fotos” da tela, e sim verdadeiros vídeos de toda a transação, sumir com o teclado e voltar com as posições alteradas das teclas não resolve nada.

Bom, o fato é que ainda não existe nenhuma grande vantagem em se utilizar o TV, quer dizer, hj em dia não é mais vantajoso o seu uso…

O pessoal que é contra o teclado virtual em bancos é muito radical.

Não precisamos de um teclado inteiro na tela, apenas de teclas de 0 a 9, divididas em 5 botoes que são exibidos de forma aleatória.

com isso um ImageLogger mesmo que de certo vai ser dificultado com as 5 teclas (com 2 numeros cada), qualquer outra coisa existente a nao ser isso não é segura isso inclui certificados, criptografia, blabla!

Se voce sabe de alguma outra alternativa e consegue provar procure trabalho em um banco e se torne um magnata.

Qual era a pergunta inicial do topico mesmo ?

Talvez, mas eu nao gosto de ser mole quando o assunto eh seguranca de dados bancarios. Teclados virtuais prejudicam a minha seguranca, e eu nao quero que isso fique assim.

benflodin:

Não precisamos de um teclado inteiro na tela, apenas de teclas de 0 a 9, divididas em 5 botoes que são exibidos de forma aleatória.

com isso um ImageLogger mesmo que de certo vai ser dificultado com as 5 teclas (com 2 numeros cada), qualquer outra coisa existente a nao ser isso não é segura isso inclui certificados, criptografia, blabla!

E como voce digitaria uma senha forte - uns 20-30 caracteres (com letras, numeros, espacos, pontuacao e acentuacao) num teclado desses? Um image logger pescaria uma senha dessa rapidinho - em algumas tentativas, da pra saber com 100% de certeza qual o PIN do usuario.

Talvez, mas eu nao gosto de ser mole quando o assunto eh seguranca de dados bancarios. Teclados virtuais prejudicam a minha seguranca, e eu nao quero que isso fique assim.

Na verdade acontece pelo contrario, teclados virtuais aumentam a segurança, e não eh nada lerdo!

cv:

benflodin:

Não precisamos de um teclado inteiro na tela, apenas de teclas de 0 a 9, divididas em 5 botoes que são exibidos de forma aleatória.

com isso um ImageLogger mesmo que de certo vai ser dificultado com as 5 teclas (com 2 numeros cada), qualquer outra coisa existente a nao ser isso não é segura isso inclui certificados, criptografia, blabla!

E como voce digitaria uma senha forte - uns 20-30 caracteres (com letras, numeros, espacos, pontuacao e acentuacao) num teclado desses? Um image logger pescaria uma senha dessa rapidinho - em algumas tentativas, da pra saber com 100% de certeza qual o PIN do usuario.

Sim isso é valido, mas apenas para bancos que nos permitem fazer inumeras tentativas de login chutando senhas e isso não existe, normalmente sao entre 3 a 5 tentativas por mes.

mesmo que o banco use senhas apenas numericas de 8 algarismos se voce fizer os calculos vai ver que é impossivel passar assim, tem que contar muito com a sorte!

Na verdade acontece pelo contrario, teclados virtuais aumentam a segurança, e não eh nada lerdo!

E voce se baseia em que pra fazer essas duas afirmacoes?

Sobre aumentar a segurança:

• Capturar digitos de um teclado normal é a coisa mais facil que tem, alem de ja existir varias implementações disso na net podemos fazer a nossa propria que seja imune a qualquer ant-virus. (modolos sistema operacional + hook de função)

Capturar imagens/videos de operações do usuario tambem é facil, mas tem a condição de que vai ser necessario uma interação humana pra decifrar a senha, o que ja se torna um ponto de dificuldade.

No dia que tivermos um algoritmo de reconhecimento de padrão excelente poderemos comparar as duas opções de igual pra igual. masss, akosdaos se usarmos a tecnica que descrevi acima das 5 teclas com numeros combinados o teclado virtual ainda vai ter mta vantagem.

Sobre a velocidade:

• Da uma olhada no teclado virtual do Itáu.

*A ultima vez que fui intimado assim foi no BMU por estar com uma camisa do Mayhem hahshdhsahsa

Ok, voce nao entendeu o problema. Digamos que eu seja o Antonio Ermirio de Moraes (AEM, pros intimos). E voce quer entrar na minha conta.

Eu uso MacOS X Leopard com Safari 3.0.4, e meu usuario nunca fica logado como administrador. Eu so uso esse computador pra entrar no Internet Banking.

No que um teclado virtual vai te ajudar a capturar a minha senha?

CV Você usa MacOS X Leopard com Safari 3.0.4, mas a solução utilizando o teclado virtual não é para aqueles que usam o mesmo sistema que você e sim pensando na maioria que usa Windows e IE, para você seria muito mais dificil capturar a sua senha e no caso da maioria ?!

Como em tudo e não só na informática não existe segurança 100%, sempre existe uma forma .

Pessoal, e o quê vocês acham do Itaú?

Depois de pedir a agência e conta ele mostra o seu nome e um teclado assim:

+-----------------------------------------------------------+
| JOAO DA SILVA                                                   |
|                                                                           |
| [8 ou 9]  [4 ou 6]  [5 ou 7]  [0 ou 2]  [1 ou 3]         |
|                                                                            |
|                           [OK]                                          |
+-----------------------------------------------------------+

E, dentro do site, para movimentações, ele pede contra-senha impressa num cartão (esqueci o nome disso).

cv:

Ok, voce nao entendeu o problema. Digamos que eu seja o Antonio Ermirio de Moraes (AEM, pros intimos). E voce quer entrar na minha conta.

Eu uso MacOS X Leopard com Safari 3.0.4, e meu usuario nunca fica logado como administrador. Eu so uso esse computador pra entrar no Internet Banking.

No que um teclado virtual vai te ajudar a capturar a minha senha?

Se o atacante descobrir que voce é o Antonio Ermirio de Moraes pode ter certeza que ele vai investir seu tempo pra descobrir sua senha e indepente do processador ou sistema operacional os teclados virtuais vao estar la pra te ajudar.

Olá CV, realmente é muito chato ter que digitar esse bolo de numeros e letras por um teclado virtual, mas tipo, no meu caso tou desenvolvendo um sistema para um colégio bem complexo, e no caso de mexer com alunos que querem fazer baderna nos computadores, no colégio, acho que um sistema sem teclado virtual ficaria vulnerável não? porque o acesso que a secretaria teria para cadastrar dados seria o mesmo computador que os alunos, a lan house do colégio!

Tou confuso aqui como proceder, o que utilizar!!

Uau, essa thread você realmente puxou dos primórdios.

Se você tem estudantes e membros do staff usando o mesmo computador, então tem de criar usuários diferentes. Aliás, não vejo grande ganho em economizar $800 em um Celeronzinho, mas se vai fazer isso mesmo, o negócio é usar Linux.