金融網站要使用者做的設定真是危險－jeffyeh

　　日前因為遺失了憑證,所以上網重新申請,由於申請重新下載必需電話與客服核對資料後,才可以下載,但很不巧,我的電腦下載了很多次,老是失敗,所以每次重新下載都要打電話過去,我也看了網站上的說明,依說明設定了安全性,還是下載不了,最後忍不住了,就問客服,你們的下載憑證建議系統環境為何,我怎麼老是下載不下來,而且我已依你們網站上的說明去設定了,還是不行,等了一會,客服沒說什麼,我就主動的告知,我的是XP HE SP2,IE7,所有的安全性更新全更了,客服聽到這後,請改用IE6下載憑證看看,聽到這,我心涼了一半,我要移除IE7! IE7這東西很難移的乾淨,而且安全性更新全上了,不是那麼好移,沒弄好,系統可能不穩,此時客服人員就說,可以找另一台電腦來試試啊,我心又OOXX了一次,沒錯,我是還有另一台電腦,不過也是IE7. 看樣子,我不用IE6試看看,客服似乎也無法給我第二個答案,只好到公司試試,因為剛好有一台是Win2000的系統,IE7上不去,所以只能用IE6.

　　隔日到公司後,下載前確認一下所有的設定已跟網站上的安全設定一致了,就開始下載,結果也很順利的拿到憑證,這結論似乎告訴了我,這個網站是否有做了什麼樣的動作被IE7檔下來或不相容的地方,由於下載憑證時,它會Create一個目錄來存放檔案,回家看了一下當初下載失敗的電腦,目錄都有產生啊,就是沒檔案,因為每次重新下載憑證都要打電話核對資料,所以沒辦法去試出為什麼IE7不能下載,但能確定的是明年憑證到期,屆時我又要去找一台IE6來下載了. (下載失敗的話,網頁是會丟出訊息,但那訊息是他們才知道的訊息代號,根本無法從訊息中得知問題點,而且是一失敗就鎖,沒得重試,必需再打電話給客服,核對好資料後,才會再解鎖後重新下載)

雖然IE7的問題無法找到答案,但網站上的下載教學,其實也有點讓人無言,見下圖:

二進位和指令碼行為 : 啟用

下載未簽署的ActiveX控制項 : 啟用

下載簽名的ActiveX控制項 : 啟用

封鎖快顯 : 關閉

　　開啟這些,在它個的網站遊走,可能還很安全,但如果依這設定到其它網站去,自然就成為一個腳開開,歡迎進來的漏洞,而有多少使用者有這種Sense,因為這個安全性的關係,下載完憑證後,要記得再把這些設定值改回來,我相信大多數的使用者都是下載回來就好了,剛剛那些異動就不管它,而且網站教學也沒說什麼,只說要打開才能下載,為了方便下次使用,就不去改回那些設定了.

　　這個問題好像不是只有我遇到,最近在拜讀黑暗執行緒的文章,剛好也看到一篇與我遇到的問題一樣的,參考:讓我們再創台灣的資安奇蹟。啊~~~ 福氣啦!! . (這也是促始我寫出這篇不愉快的回憶的原因),雖然後續新出來的作業系統或IE的安全性都提升了,但有些網站如果要能順利執行,又要使用者再把某些安全性功能關閉才能使用,例如Hinet的WebMail也要開啟"允許程式碼片段",安全性自然也就打了折扣. 只能說,你真的要用那個服務,你也只能照實去設,不然你就不要用~(或許下次要來試試FireFox,我可不想又要再打電話給客服,請他們幫我解鎖....)