mboost-dp1
Nets Holding A/S
mente man hos DanID, at der var tale om en teoretisk mulighed, som kriminelle ikke ville benytte sig af.
[...]Det er et teoretisk scenarie, der ikke er ført ud i livet i dag.
Haha, hvis det er en teoritisk mulighed, så skal de kriminelle sgu da nok finde ud af det før eller siden.
Hva faen havde de regnet med.
"Det er ikke praktisk muligt LIGE NU, lad os derfor aldrig snakke om eller overveje det igen."
Nej vel?
RasmusA (3) skrev:Hvor er det sørgeligt, at man har tilbudt (påtvunget) danskerne et system, med lavere sikkerhed end det mange banker tilbød inden NemID
Og at man så samtidig har haft kendskab til at systemet kunne brydes - ja så er det jo helt til grin
Det har jo nemtop ikke haft lavere sikkerhed end de forrige systemer. Hvis du var klar over hvor mange danskere som har fået sin nøglefil stjålet eller maskinen overtaget af kriminelle, så ville du ikke sige sådan.
Det gamle system krævede kun at kriminelle fik opsnappet dit password og herefter kunne de i baggrunden på din maskine logge ind på din netbank og rippe det hele imens du så en film eller rodede i Word.
NemID er langt stærkere med nøglekortet, men der er altid rum for forbedringer.
Indtil bankerne sender lukkede terminaler ud til kunderne som kun kan tilslutte bankerne, så vil man se at kriminelle udnytter lette ofre.
Havde man en personlig firewall, som skal acceptere alle ukendte programmer på maskinen der forsøger at gå på nettet. Så ville en trojaner have større problemer med forblive uset. Men det virker heller ikke for Hr og Fru Danmark, for de trykker hovedløst ja til alting.
Cyberguyen (4) skrev:...kunne de i baggrunden på din maskine logge ind på din netbank og rippe det hele imens du så en film eller rodede i Word..
Og det kan de så også nu - så længe du er logget på din netbank kan de gøre det samme i baggrunden.
Cyberguyen (4) skrev:NemID er langt stærkere med nøglekortet, men der er altid rum for forbedringer.
Uden at vide hvordan NemID er bygget op er der ikke rigtigt nogen af os der med pompt og pragt kan sige at den er stærkere eller svagere.
At de bruger to-faktorering betyder er ikke ensbetydende med at der ikke kan være andre problemer forbundet med NemID.
Cyberguyen (4) skrev:RasmusA (3) skrev:Hvor er det sørgeligt, at man har tilbudt (påtvunget) danskerne et system, med lavere sikkerhed end det mange banker tilbød inden NemID
Og at man så samtidig har haft kendskab til at systemet kunne brydes - ja så er det jo helt til grin
Det har jo nemtop ikke haft lavere sikkerhed end de forrige systemer. Hvis du var klar over hvor mange danskere som har fået sin nøglefil stjålet eller maskinen overtaget af kriminelle,
Min tidligerer netbank brugte ikke nøglefil, så der var ikke nogen fil af stjæle
den brugte et papkort som nemid, men man skulle indtaste en kode hvergang man skulle flytte penge, og ikke som nu hvor man kun skal bruge en kode til log-in
og så havde den IKKE java
så jo, det havde større sikkerhed
Cloud02 (7) skrev:Uden at vide hvordan NemID er bygget op er der ikke rigtigt nogen af os der med pompt og pragt kan sige at den er stærkere eller svagere.
At de bruger to-faktorering betyder er ikke ensbetydende med at der ikke kan være andre problemer forbundet med NemID.
Jeg er ikke helt med?
Det er da dokumenteret hvordan NemID virker.
Justin (8) skrev:
Min tidligerer netbank brugte ikke nøglefil, så der var ikke nogen fil af stjæle
den brugte et papkort som nemid, men man skulle indtaste en kode hvergang man skulle flytte penge, og ikke som nu hvor man kun skal bruge en kode til log-in
og så havde den IKKE java
så jo, det havde større sikkerhed
Min bank havde også papkort inden NemID og jeg var også tilfreds, for de kreminelle gik efter alle dem uden nøglekort da det var lettere :-)
Det sikreste system pt. vil være et smartcard, men det kræver at alle har en kortlæser tilknyttet maskinen. Og så er vi igen tilbage til en nøglefil, men den er til gengæl lettere at tage med såfremt alle har kortlæsere...
Alternativt kunne man lave et kort som kunne stikkes direkte i USB porten, men så mangler windows og mac sikkert noget software som ikke kan installere i et corporate miljø.
#6 "Imens at du sidder på din netbank"
Kan ikke lige se hvor Word kom ind her? Min pointe er bare at mitm metoder stadigvæk fungerer fint.
Kan ikke lige se hvor Word kom ind her? Min pointe er bare at mitm metoder stadigvæk fungerer fint.
Justin (8) skrev:
Min tidligerer netbank brugte ikke nøglefil, så der var ikke nogen fil af stjæle
den brugte et papkort som nemid, men man skulle indtaste en kode hvergang man skulle flytte penge, og ikke som nu hvor man kun skal bruge en kode til log-in
og så havde den IKKE java
så jo, det havde større sikkerhed
Det er da LAVERE sikkerhed? Her har mitm-metoden jo lettere ved at få dig til at give koden videre, og når der så ikke engang er en nøglefil tilknyttet din computer kan han flytte penge fra din konto uden at skulle bruge din computer.
HerrMansen (11) skrev:#6 "Imens at du sidder på din netbank"
Kan ikke lige se hvor Word kom ind her? Min pointe er bare at mitm metoder stadigvæk fungerer fint.
Systemer med nøglefil kræver kun at den kriminelle har adgang til en tændt maskine.
Systemer med med NemID kræver at brugeren udfylder en en challenge fra den kriminelle. Det skal komme på det tidspunkt hvor brugeren forventer at modtage en challenge. Så hvis du logger ind i din netbank, så har de kriminelle måske 60-100 sekunder inden du begynder at undre dig over at NemID boksen ikke kommer op og lukker browser vinduet i irritation.
(undersøgelser viser at størstedelen af de alm. brugere lukker en browser, hvis den forventede side ikke kommer op indenfor 60-100 sekunder)
Jackiass (12) skrev:Justin (8) skrev:
Min tidligerer netbank brugte ikke nøglefil, så der var ikke nogen fil af stjæle
den brugte et papkort som nemid, men man skulle indtaste en kode hvergang man skulle flytte penge, og ikke som nu hvor man kun skal bruge en kode til log-in
og så havde den IKKE java
så jo, det havde større sikkerhed
Det er da LAVERE sikkerhed? Her har mitm-metoden jo lettere ved at få dig til at give koden videre, og når der så ikke engang er en nøglefil tilknyttet din computer kan han flytte penge fra din konto uden at skulle bruge din computer.
Mitm er desværre blevet et stort problem efter at SSL certifikaterne i kapitalismens navn er blevet givet til selskaber som ikke er i stand til at sikre sig.
Men mitm kræver stadig adgang til brugerens maskine eller til infrastruktur. Så kriminelle med adgang til et bolignet kan sidde på den grønne gren og lave mange mitm.
Cyberguyen (9) skrev:Cloud02 (7) skrev:Uden at vide hvordan NemID er bygget op er der ikke rigtigt nogen af os der med pompt og pragt kan sige at den er stærkere eller svagere.
At de bruger to-faktorering betyder er ikke ensbetydende med at der ikke kan være andre problemer forbundet med NemID.
Jeg er ikke helt med?
Det er da dokumenteret hvordan NemID virker.
Dokumenteret hvordan det virker, jovist. Men det jo ingen indikator for hvor sikkert det er. Det viser jo netop blot at det virker.
Hvor sikker NemIDs closed-source software er ift. bankernes closed-source software tidligere, er der jo ingen af os der reelt ved.
Justin (8) skrev:[Min tidligerer netbank] brugte et papkort som nemid, men man skulle indtaste en kode hvergang man skulle flytte penge, og ikke som nu hvor man kun skal bruge en kode til log-in
Det har ikke noget med NemID at gøre. Det er en ændring der er lavet i din netbank, muligvis samtidig med skiftet til NemID.
NemID stiller nogle muligheder til rådighed (en-faktor auth, to-faktor auth, en-faktor signatur, to-faktor signatur...) - hvordan og hvornår det bruges er op til din netbank.
#13: Niks. De kan gøre hvad det passer dem så længe at den sikre forbindelse er åben til banken. Imens at du sidder og tror at du er den eneste der kigger på dine netbank sider.
Justin (8) skrev:...og ikke som nu hvor man kun skal bruge en kode til log-in ... så jo, det havde større sikkerhed
Det er altså helt misforstået. Det at du kun skal bruge din hardware kode til at logge ind med, skal du tale med din bank om. Det er deres brug af NEMID der afgør dette. Flere banker kræver at man skal indtaste hardware kode for hver transaktion (e.g. Nykredit, som så ikke har hardware kode på login delen).
Det er helt enkelt. I stedet for 100 forskellige sikkerhedsløsninger hvor langt størstedelen ikke benyttede en hardware kode, ja så tilbyder NEMID netop kombinationen af software koder og hardware koder. Det er bare mere sikkert end løsninger hvor der kun er eet medie - uanset hvad pokker NEMID så er implementeret i!
Når det så er sagt, så er der bestemt muligheder for at forbedre NEMID og det vil ske i takt med diverse forsøg på at omgå sikkerheden. Det kan vel ikke være anderledes. Vi kan jo sagtens implementere langt mere sikkerhed, fx ved helt at adskille hardwaredelen fra software delen (i dag skal du jo indtaste hardware koden i software delen). Men det er jo afvejning af hvad der er nødvendigt og hvad der er mindst belastende for brugerne.
myplacedk (16) skrev:Det har ikke noget med NemID at gøre. Det er en ændring der er lavet i din netbank, muligvis samtidig med skiftet til NemID.
NemID stiller nogle muligheder til rådighed (en-faktor auth, to-faktor auth, en-faktor signatur, to-faktor signatur...) - hvordan og hvornår det bruges er op til din netbank.
Jeg siger heller ikke af det er på grund af Nemid, jeg siger bare af før Nemid havde jeg en mere sikker netbank
om det skyldes NemID, Banken, eller en helt 3. er jeg sådan set lige glad med, jeg kan bare se af sikkerheden er blevet laverer
men en ting som jeg er sikker skyldes Nemid er den unødvendigt brugt af JAVA :(
endog JAVA som skal have fuld adgang
Det skal nok blive misbrugt nu hvor man vil have alle pokersites til at bruge nemid.http://newz.dk/nemid-kompromitteret-efter-metode-danid-havde-taenkt-paa#53028 skrev:Da Version2 i november viste hvor let det ville være for hackerne at udføre et phisingangreb på NemID, Mente man hos DanID, at der var tale om en teoretisk mulighed, som kriminelle ikke ville benytte sig af.
Netop det angreb der blev gennemført har været ca. lige så nemt at gennemføre på de gamle systemer som det var på nemid. Så selvom sikkerheden er blevet sænket i forhold hvad man kunne få før, så er det dog ikke det der er blevet udnyttet i det konkrete angreb.RasmusA (3) skrev:Og at man så samtidig har haft kendskab til at systemet kunne brydes - ja så er det jo helt til grin
Det gamle system tillod at man valgte en bank med højere sikkerhed end det du beskriver.Cyberguyen (4) skrev:Det gamle system krævede kun at kriminelle fik opsnappet dit password og herefter kunne de i baggrunden på din maskine logge ind på din netbank og rippe det hele
Måske, men der er jo ingen uden for danid der har adgang til dokumentationen. Først den dag offentligheden har adgang til at læse en komplet beskrivelse af kommunikation mellem klienten og de involverede servere og kildekoden til den tredjepartssoftware, der skal køre på klientcomputeren, vil jeg kalde systemet for dokumenteret.Cyberguyen (9) skrev:Det er da dokumenteret hvordan NemID virker.
De har vel support for et USB tastatur. Man skal selvfølgelig også have en måde at få data ind på enheden. Det kunne gøres med en enhed som var i stand til at aflæse en QR kode fra skærmen.Cyberguyen (10) skrev:Alternativt kunne man lave et kort som kunne stikkes direkte i USB porten, men så mangler windows og mac sikkert noget software som ikke kan installere i et corporate miljø.
Kravet om at man skal have Java installeret reducerer sikkerheden, da det er endnu et stykke software som vilkårlige websites kan udnytte potentielle huller i.Jackiass (12) skrev:Det er da LAVERE sikkerhed? Her har mitm-metoden jo lettere ved at få dig til at give koden videre
At man samtidigt er blevet opfordret til at installere Java udenom officielle kanaler, således at der er større risiko for at få installeret en udgave med en trojan i, og mindre mulighed for at holde softwaren opdateret hjælper ikke.
At brugeren skal tillade deres applet fuld adgang til computeren reducerer også sikkerheden.
Og de forhindrer ikke nogen mitm angreb af den grund. Der er banker som i mange år har brugt nøglekort stort set identisk til dem nemid bruger. At bruge den type nøglekort uden Java giver højere sikkerhed end at bruge dem med Java.
Løsningen er et smartcard som modtager en krypteret challenge med et af banken signeret cerficat. Det bliver så dekrypteret og bearbejdet af selve cpu på smartcard, krypteret og sendt tilbage. Med disse certificater skal browseren basere sin SSL forbindelse til banken.
På denne måde kan selv et man in the middle angreb blive stoppet.
Men det er mere bøvlet end at have et simpelt papkort.
På denne måde kan selv et man in the middle angreb blive stoppet.
Men det er mere bøvlet end at have et simpelt papkort.
Er der nogen med tilstrækkelig indsigt, der kan forklare mig hvorfor Java åbenbart er nødvendigt i en løsning som NemID og hvorfor det er mere sikkert end den two-factor authentication som Google bruger?
Er det bare en fjollet designbeslutning eller ligger der et fornuftigt rationale bag?
Er det bare en fjollet designbeslutning eller ligger der et fornuftigt rationale bag?
HerrMansen (17) skrev:Måske, men der er jo ingen uden for danid der har adgang til dokumentationen. Først den dag offentligheden har adgang til at læse en komplet beskrivelse af kommunikation mellem klienten og de involverede servere og kildekoden til den tredjepartssoftware, der skal køre på klientcomputeren, vil jeg kalde systemet for dokumenteret.Cyberguyen (9) skrev:Det er da dokumenteret hvordan NemID virker.
De har beskrevet hvordan systemet er opbygget, men ikke frigivet koden. Det ser jeg egenligt ikke som noget problem.
Banken erstatter jo dit tab og mener at systemet er sikkert nok til ikke at lide tab.
Systemets sikkerhed er jo ikke blevet brudt. Man benytter en trojaner for at omgå sikkerheden i brugerens ende.
Det svarer til at du benytter en nøgle til en lås og ikke det samme som hvis du borer cylinderen ud.
HerrMansen (17) skrev:De har vel support for et USB tastatur. Man skal selvfølgelig også have en måde at få data ind på enheden. Det kunne gøres med en enhed som var i stand til at aflæse en QR kode fra skærmen.Cyberguyen (10) skrev:Alternativt kunne man lave et kort som kunne stikkes direkte i USB porten, men så mangler windows og mac sikkert noget software som ikke kan installere i et corporate miljø.
Du bliver nødt til at have noget der er krypteret som kræver at en en person imellem ikke vil kunne læse indholdet før det bliver dekrypteret af en beskyttet enhed i din ende. Det er eneste måde at beskytte imod et mitm angreb.
Lowkey (22) skrev:Er der nogen med tilstrækkelig indsigt, der kan forklare mig hvorfor Java åbenbart er nødvendigt i en løsning som NemID og hvorfor det er mere sikkert end den two-factor authentication som Google bruger?
Er det bare en fjollet designbeslutning eller ligger der et fornuftigt rationale bag?
Du sammenligner pærer med bananer her. NEMID er i praksis et "two-factor authentication" system. Derudover er det så implementeret i Java. Men de to ting har ikke noget med hinanden at gøre...Hvorfor de så har valgt Java skal jeg ikke kloge mig på.
Java er ikke nødvendigt til sådan en løsning. Jyske Bank havde en tilsvarende løsning uden Java.Lowkey (22) skrev:Er der nogen med tilstrækkelig indsigt, der kan forklare mig hvorfor Java åbenbart er nødvendigt i en løsning som NemID
Det er vist ikke et spørgsmål om sikkerhed, men derimod at nemid ikke kræver at man bruger en smartphone.Lowkey (22) skrev:og hvorfor det er mere sikkert end den two-factor authentication som Google bruger?
På et af punkterne har Google haft en nemmere opgave. De skulle kun implementere en løsning til autentifikation på deres egne sites.
Nemid skal bruges til en lang række forskellige sites. Og det er løsningen faktisk ikke gearet til, fordi det åbner op for nemmere phishing angreb.
Jeg tvivler på at banken dækker de tab man lider, hvis nemid bliver brugt til at bryde ind på en kundes computer og stjæle fortrolige oplysninger. Desuden er det svært at bevise, at det var den måde de fortrolige oplysninger blev stjålet på.Cyberguyen (23) skrev:Banken erstatter jo dit tab og mener at systemet er sikkert nok til ikke at lide tab.
Man kan sagtens lave systemet sikkert uden brug af kryptering. Der er ikke brug for kryptering, der er kun brug for autentifikation. Det vil sige en MAC eller en signatur. Og det kan man også sagtens lave på en sådan enhed.Cyberguyen (23) skrev:Du bliver nødt til at have noget der er krypteret som kræver at en en person imellem ikke vil kunne læse indholdet før det bliver dekrypteret af en beskyttet enhed i din ende.
QR koden på skærmen skal blot indeholde data i klartekst og en MAC. Data som enheden sender som USB tastatur skal også blot være klartekst og en MAC. (Faktisk kan man nøjes med en MAC, da serveren jo allerede ved hvad det er for en klartekst du vil autentificere). En MAC kan sagtens indkodes med tegn du kan taste på tastaturet. Hvis man tager de tal og bogstaver som sidder ens på forskellige nationale tastaturlayouts tror jeg der er nok til en base32 inkodning (og ellers kan man tage en base16, som er nemmere at implementere).
Cyberguyen (4) skrev:
Det gamle system krævede kun at kriminelle fik opsnappet dit password og herefter kunne de i baggrunden på din maskine logge ind på din netbank og rippe det hele imens du så en film eller rodede i Word.
NemID er langt stærkere med nøglekortet, men der er altid rum for forbedringer.
Indtil bankerne sender lukkede terminaler ud til kunderne som kun kan tilslutte bankerne, så vil man se at kriminelle udnytter lette ofre.
Havde man en personlig firewall, som skal acceptere alle ukendte programmer på maskinen der forsøger at gå på nettet. Så ville en trojaner have større problemer med forblive uset. Men det virker heller ikke for Hr og Fru Danmark, for de trykker hovedløst ja til alting.
Jeg kan stadig ikke se hvorfor man overhovedet skal inficeres af en trojaner for at blive ramt. Det eneste det kræver er DNS-hijacking, som er en utrolig smal sag at sætte op på fx et frit trådløst netværk placeret i det offentlige rum.
Problemet med NemID er, at der lægges op til at det skulle være sikkert at bruge fra enhver computer, eller fra ethvert netværk, da der bruges engangsnøgler. Den påstand kunne ikke være fjernere fra sandheden, netop fordi det er så nemt at lave MIM-angreb. Med en digital signatur kunne man ved at sikre sin egen computer i vid udstrækning sikre sig mod svindel. Det er ikke nok med NemID, hvor man også skal sikre forbindelsen hele vejen til banken (vel at mærke før der bliver oprettet SSL-forbindelse), held og lykke med det!
HerrMansen (5) skrev:Og det kan de så også nu - så længe du er logget på din netbank kan de gøre det samme i baggrunden.
Er det ikke op til bankerne om de vil kræve en kode fra papkortet hver gang man foretager sig noget eller kun ved login?Justin (8) skrev:den brugte et papkort som nemid, men man skulle indtaste en kode hvergang man skulle flytte penge, og ikke som nu hvor man kun skal bruge en kode til log-in
Lowkey (25) skrev:#24
For brugerens synspunkt virker det da nogenlunde ens.
I begge systemer skal man indtaste brugernavn og password, hvorefter man skal indtaste en kode fra token, papkort eller app på sin telefon.
Hvad gør de to løsninger så forskellige?
Intet de er begge "2-factor authentication" - det er netop hvad jeg skriver. De 2 ting der ikke har noget med hinanden at gøre er 1) "2-factor-authentication" og 2) Java. Og det var den sammenligning OP kom med...
Lowkey (32) skrev:Så forstår jeg ikke hvordan det er at sammenligne pærer og bananer.
Jeg troede at det betød, at de to ting ikke havde noget med hinanden at gøre.
1) "2-factor-authentication"
2) Java
OP sammenlignede de to ting. Dertil sagde jeg at det var som at sammenligne pærer og bananer. Hvordan kan det misforstås?
Magten (29) skrev:Er det ikke op til bankerne om de vil kræve en kode fra papkortet hver gang man foretager sig noget eller kun ved login?Justin (8) skrev:den brugte et papkort som nemid, men man skulle indtaste en kode hvergang man skulle flytte penge, og ikke som nu hvor man kun skal bruge en kode til log-in
ifølge myplacedk, Ja
Justin (19) skrev:jeg siger bare af før Nemid havde jeg en mere sikker netbank
Så er det bare en ligegyldig anekdote, som lugter af at du giver NemID skylden for den lavere sikkerhed. Du kunne lige så godt have skrevet "før søndag". (Jeg gætter på at ændringen trådte i kraft en søndag, det plejer den slags.)
Magten (29) skrev:Er det ikke op til bankerne om de vil kræve en kode fra papkortet hver gang man foretager sig noget eller kun ved login?
Jo, og de behøver faktisk ikke bruge hardware koden ved login heller. Det er klart et område som burde standardiseres efter "best practice" (hvad det så end er).
#33
Det kan jeg først se nu, men lad mig forklare det.
Du tolkede mit spørgsmål i #22 som at jeg spurgte om forskellen på 2-factor auth. og java, men jeg mente i virkeligheden forskellen på en 2-factor auth der bruger java (som nemID) og en der ikke gør (som Google 2-factor auth.).
Derfor misforstod jeg din følgende post, da det var et svar på noget andet end det jeg troede at jeg havde spurgt om og derefter var alt nonsens.
Semantisk støj.
ITemplate (33) skrev:Hvordan kan det misforstås?
Det kan jeg først se nu, men lad mig forklare det.
Du tolkede mit spørgsmål i #22 som at jeg spurgte om forskellen på 2-factor auth. og java, men jeg mente i virkeligheden forskellen på en 2-factor auth der bruger java (som nemID) og en der ikke gør (som Google 2-factor auth.).
Derfor misforstod jeg din følgende post, da det var et svar på noget andet end det jeg troede at jeg havde spurgt om og derefter var alt nonsens.
Semantisk støj.
Lowkey (22) skrev:Er der nogen med tilstrækkelig indsigt, der kan forklare mig hvorfor Java åbenbart er nødvendigt i en løsning som NemID og hvorfor det er mere sikkert end den two-factor authentication som Google bruger?
Er det bare en fjollet designbeslutning eller ligger der et fornuftigt rationale bag?
Java er ikke nødvendig for at løsningen virker. Det kunne have været lavet med almindelig HTML. Fx. Sydbank gjorde noget i den stil før NemID, også med koder på lamineret papir.
Men ved at bruge en applet (enda med masser af rettigheder) har man mulighed for at tilføje ekstra funktionalitet. Primært noget som slutbrugeren ikke bemærker, men som giver mulighed for ekstra sikkerhed, bedre sporing, bedre support osv.
Og så vil jeg MEGET nødigt stå bag en HTML/Javascript implementering af signeringen. (Bemærk at når du overfører penge osv. og skal skrive din kode og evt. en nøgletal, så er det NemID-appletten du ser igen.
Sammenligningen med Googles to-faktor løsning kan jeg ikke hjælpe med, og jeg ved heller ikke hvem der påstår at den skulle være mindre sikker, og om det overhovedet kan sammenlignes direkte.
Det har du vist egentlig ret i. Så er det interessant at spørge hvilket af de to systemer, der er nemmest at udføre phishing imod ved at udnytte at de kan autentificere tredjepartssites.Lowkey (27) skrev:Men man kan dog bruge Google som Oauth eller OpenID provider, så der er vel en integration med 3. part.
Mit gæt er at Google som udgangspunkt har antaget at nogle af disse tredjepartssites vil være involveret i phishing, og at de derfor har sikret deres system bedre imod det. Nemid er designet på en måde der kræver at man kan stole på alle disse tredjepartssites. Og samtidigt forsøger man ihærdigt at udvide listen af tredjepartssites, der anvender nemid.
Men hvis vi lige kan se et eksempel på et tredjepartssite, der anvender Google til autentifikation, så har vi et sammenligningsgrundlag.
Nej.dinmor (28) skrev:Det eneste det kræver er DNS-hijacking
Vi har SSL til at beskytte os imod den type angreb.
Du har fuldstændigt ret i at den påstand er forkert. En lignende påstand har været fremsat omkring nogle netbank systemer længe før nogen fandt på nemid.dinmor (28) skrev:Problemet med NemID er, at der lægges op til at det skulle være sikkert at bruge fra enhver computer, eller fra ethvert netværk, da der bruges engangsnøgler. Den påstand kunne ikke være fjernere fra sandheden
Allerede dengang har jeg stået fast på, at man ikke kan lave et system der er sikkert, hvis klienten er kompromitteret. Og det står jeg stadigvæk fast på.
Men hvem er det der har fremsat denne fejlagtige påstand? Er den nogensinde blevet fremsat officielt, eller er det blot en meget sejlivet skrøne, som har overlevet overgangen fra tidligere systemer til nemid?
Deres applet giver mulighed for ekstra sikkerhedshuller. På hvilke punkter mener du, at den giver mulighed for ekstra sikkerhed?myplacedk (38) skrev:Men ved at bruge en applet (enda med masser af rettigheder) har man mulighed for at tilføje ekstra funktionalitet. Primært noget som slutbrugeren ikke bemærker, men som giver mulighed for ekstra sikkerhed, bedre sporing, bedre support osv.
Nu hvor diskussionen alligevel går på Java v/s HTML vs WhatEver burde det være klart for alle at implementeringen af NEMID's applet/whatever ikke er dens styrke. Det ER separationen mellem din computer og hardware delen (papkort eller nøgle-generator) der er styrken bag NEMID. Nu har slette personer så fundet en vej til at narre den fysiske del fra godtroende brugere.
I mine øjne er det på den fysiske del NEMID bør udvikles. Jeg har fx en nøgle-generator og det store problem med den, er at jeg skal indtaste nøglen i samme medie som styrer resten af sikkerheden. Der kikser separationen og netop der fandt hackerne en vej frem. Adskil dette 100% og det ville markant mere sikkert end i dag. Hvorfor skal jeg indtaste denne nøgle? Hvorfor ikke lade nøglegeneratoren sende nøglen krypteret over EDGE netværket? Blot et eksempel - det kan sikkert gøres mere elegant og bedre, men det centrale er at medierne bør (og kan) adskilles 100%.
I mine øjne er det på den fysiske del NEMID bør udvikles. Jeg har fx en nøgle-generator og det store problem med den, er at jeg skal indtaste nøglen i samme medie som styrer resten af sikkerheden. Der kikser separationen og netop der fandt hackerne en vej frem. Adskil dette 100% og det ville markant mere sikkert end i dag. Hvorfor skal jeg indtaste denne nøgle? Hvorfor ikke lade nøglegeneratoren sende nøglen krypteret over EDGE netværket? Blot et eksempel - det kan sikkert gøres mere elegant og bedre, men det centrale er at medierne bør (og kan) adskilles 100%.
myplacedk (35) skrev:Så er det bare en ligegyldig anekdote, som lugter af at du giver NemID skylden for den lavere sikkerhed. Du kunne lige så godt have skrevet "før søndag". (Jeg gætter på at ændringen trådte i kraft en søndag, det plejer den slags.)
Hvorfor er du så fastsat på af det skal være nemids skyld ??
kasperd (40) skrev:Deres applet giver mulighed for ekstra sikkerhedshuller. På hvilke punkter mener du, at den giver mulighed for ekstra sikkerhed?
Det har jeg ikke forstand på, men dem som har siger at det er sådan. Jeg kan godt gentage noget af det de har sagt til mig, men jeg forstår det ikke godt nok til at bruge det fornuftigt som argumentation.
For lige at sætte det i kontekst: Jeg arbejder bla. med netbank og mobilbank, og sidder ganske få meter fra vores flinke og snakkesagelige NemID-ansvarlige. Og de er IKKE biased til fordel for DanID.
Jeg ved godt det er et lidt tyndt argument, men det er der.
Så længe en virus/malware opnår administratorrettigheder på din maskine og dermed kan kontrollere andre programmer og sniffe keyboard/mus og andre inputenheder (som i dette tilfælde), så er _intet_ eksisterende system sikkert.
En mulig løsning jeg kunne forstille mig var en tre-faktor sikkerhed hvor man kun kunne bede om overførsel af penge via en computer (som med NemID nu) og hver overførsel skulle godkendes via en app på brugerens smartphone, som så er registreret hos ens bank.
Bruger eksempel:
1. Logger ind på bank via browser og NemID på computeren.
2. Vælger at overføre 100kr til xxx.
3. Smartphone app viser en pop-up: "Er du sikker på at du vil overføre 100kr til xxx? [Ja] [Nej]"
(man kunne også forestille sig at app-godkendelsen kun var nødvendig over en hvis beløbsstørrelse)
Dette ville kræve at både ens computer og smartphone var kompromitteret, og angriberne vidste at de hørte sammen.
En mulig løsning jeg kunne forstille mig var en tre-faktor sikkerhed hvor man kun kunne bede om overførsel af penge via en computer (som med NemID nu) og hver overførsel skulle godkendes via en app på brugerens smartphone, som så er registreret hos ens bank.
Bruger eksempel:
1. Logger ind på bank via browser og NemID på computeren.
2. Vælger at overføre 100kr til xxx.
3. Smartphone app viser en pop-up: "Er du sikker på at du vil overføre 100kr til xxx? [Ja] [Nej]"
(man kunne også forestille sig at app-godkendelsen kun var nødvendig over en hvis beløbsstørrelse)
Dette ville kræve at både ens computer og smartphone var kompromitteret, og angriberne vidste at de hørte sammen.
Mulpacha (45) skrev:En mulig løsning jeg kunne forstille mig var en tre-faktor sikkerhed
Teknisk set er den tredje faktor "noget man er", altså noget der ikke kan ændres. Fingeraftryk, iris-scanning el. lign. Men lad os se bort fra terminologien. :)
Mulpacha (45) skrev:hvor man kun kunne bede om overførsel af penge via en computer (som med NemID nu) og hver overførsel skulle godkendes via en app på brugerens smartphone, som så er registreret hos ens bank.
Hvem skal så betale for smartphonen og uddannelsen i at bruge den?
Den billige udgave er en SMS. Der har du allede en del sikkerhed ved at en SMS er ret svær at få tilsendt uden at have simkortet, og de fleste kan modtage og besvare en SMS i dag. Det er der nogle banker der bruger ved de mest mistænkelige actions.
I øvrigt en løsning jeg personligt godt kan lide.
EDIT - Jeg glemte næsten pointen: Den med smartphonen kan ikke bruges som generel løsning, da langt fra alle har en smartphone. Men som en ekstra sikkerhed kan man benytte SMS, som langt de fleste kan bruge.
Mulpacha (45) skrev:(man kunne også forestille sig at app-godkendelsen kun var nødvendig over en hvis beløbsstørrelse)
Hvis du fastsætter et bestemt beløb, vil folk bare overføre ca. 1 kr mindre. Men hvis man gør det ved alle overførsler bliver det hurtigt træls.
Skal det være godt, skal der sættes nogle komplicerede regler op til at vurdere hvor mistænkeligt det er. Fx. beløbets størrelse i sig selv, beløbets størrelse i forhold til kundens typiske overførsler, hvor mange gange før er der overført penge fra samme hardware, hvor mange gange før er der overført penge til samme modtager osv osv.
Det er ikke helt ukendt, der er noget med samme princip (men med et helt andet formål) til udlandsoverførsler. Jeg kender ikke de præcise regler, men en af effekterne er at jo højere beløbet er, jo større er risikoen for at overførslen udtages til manuel kontrol. Men der er ingen bagatel-grænse man kan gå efter.
kasperd (26) skrev:Man kan sagtens lave systemet sikkert uden brug af kryptering. Der er ikke brug for kryptering, der er kun brug for autentifikation. Det vil sige en MAC eller en signatur. Og det kan man også sagtens lave på en sådan enhed.Cyberguyen (23) skrev:Du bliver nødt til at have noget der er krypteret som kræver at en en person imellem ikke vil kunne læse indholdet før det bliver dekrypteret af en beskyttet enhed i din ende.
QR koden på skærmen skal blot indeholde data i klartekst og en MAC. Data som enheden sender som USB tastatur skal også blot være klartekst og en MAC. (Faktisk kan man nøjes med en MAC, da serveren jo allerede ved hvad det er for en klartekst du vil autentificere). En MAC kan sagtens indkodes med tegn du kan taste på tastaturet. Hvis man tager de tal og bogstaver som sidder ens på forskellige nationale tastaturlayouts tror jeg der er nok til en base32 inkodning (og ellers kan man tage en base16, som er nemmere at implementere).
Sålænge at gerningsmanden er istand til at læse informationen og videreformidle den til dig, så vil det være muligt at lave man in the middle angreb.
Forklar endelig hvis jeg har ikke har forstået det korrekt.
En gerningsmand laver et man in the middle angreb på dig med et falsk SSL certifikat og DNS. Du sender login og din personlige kode til ham, han sender den videre til banken. Han modtager en QR kode fra banken og formidler QR koden videre til dig. Du scanner den med din telefon eller tilsvarende og indtaster det på skærmen, som telefonen outputter. Gerningsmanden indtaster det som du leverer til ham over skærmen til banken og han er inde i din netbank.
Er det meningen at telefonen skal sende noget til banken, når den har scannet koden? For ellers er systemet ikke mere sikkert end de vi har idag.
Det er sikkert, men jeg synes det er bøvlet at man skal sende en SMS hver gang man skal logge ind i sin bank.
Nu er jeg ikke sikkerhedsekspert, og også ny her, men som jeg ser det så kan det forega sådan her: Det gamle system med papkort og engangsnøgler, som bl.a. Jyskenetbank benyttede var ikke sikrere end Nemid, men der var kun åbent for mim angerb i den enkelte transaktion, da der jo skulle bruges en engangsnøgle ved hver transaktion.når man ikke længere taser engangskoder, så lukker hullet igen. Med den måde det foregår i dag, så skal man jo for det meste kun bruge engangsnøgle ved logon, og herefter bruge kodeord. Det kræver at mim opsnapper din forbindelse, lokker een engangsnøgle fra dig og kender dit kodeord. Når du så (tror du) logger af, så holder mim forbindelsen åben og lænser din konto i god ro og orden.
Dels så vil jeg til enhver tid vælge sikkerhed over brugervenlighed. Jeg har fuld forståelse for at nogen har behov for lavere sikkerhed mod en højere brugervenlighed.
Men jeg ville gerne have muligheden for at tilvælge et højere sikkerhedsniveau...
Derudover. Er jeg den eneste der, i takt med at NemID bliver mere og mere udbredt, går og venter på at vi begynder at se folk der fokusere på "Identity Theft" istedet for pengeoverførsler?...
@ #48
Velkommen til, håber at du syntes om det.
Et lille hint, det er altid en god idé at læse hvad der står i tråden, før man begynder at kommentere...
Det du skriver er allerede gennemgået og besvaret længere oppe i tråden..
Men jeg ville gerne have muligheden for at tilvælge et højere sikkerhedsniveau...
Derudover. Er jeg den eneste der, i takt med at NemID bliver mere og mere udbredt, går og venter på at vi begynder at se folk der fokusere på "Identity Theft" istedet for pengeoverførsler?...
@ #48
Nu er jeg ikke sikkerhedsekspert, og også ny her,...
Velkommen til, håber at du syntes om det.
Et lille hint, det er altid en god idé at læse hvad der står i tråden, før man begynder at kommentere...
Det du skriver er allerede gennemgået og besvaret længere oppe i tråden..
Det jeg sagde var, at hvis du har en ekstern enhed og sender oplysninger til den beskyttet med en MAC, så kan man ikke udføre et mitm angreb.Cyberguyen (47) skrev:Sålænge at gerningsmanden er istand til at læse informationen og videreformidle den til dig, så vil det være muligt at lave man in the middle angreb.
Forklar endelig hvis jeg har ikke har forstået det korrekt.
Det er fuldstændigt ligegyldigt om uvedkommende kan læse indholdet af transaktionen, da han ikke er i stand til at modificere dem.
Det kræver selvfølgelig at indholdet af transaktionen vises på en enhed der ikke er kompromitteret. Hvis brugeren ser indholdet af transaktionen både på computerens skærm og på enhedens skærm, og skal bekræfte transaktionen ved at overføre en MAC fra den eksterne enhed til computeren, så er man sikret med mindre begge enheder er kompromitteret.
Det er ikke nemt at lave et falskt certifikat, som ikke øjeblikkeligt udløser en advarsel fra browseren.Cyberguyen (47) skrev:En gerningsmand laver et man in the middle angreb på dig med et falsk SSL certifikat og DNS.
Hvis det endeligt skulle lykkes for nogen, så bør de for alt i verden undgå at sende det falske certifikat til min browser. For det kan godt være at min browser ikke advarer mig, men jeg læser alligevel selv certifikatet igennem, hver gang jeg logger på netbanken. Og hvis jeg ser noget mistænkeligt i certifikatet, så gemmer jeg et eksemplar af det og ringer med det samme til banken.
Hvis de vil nå at udnytte det falske certifikat til noget, så skal de sørge for at hverken jeg, eller andre som er lige så bevidste om sikkerheden får det at se.
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund