mboost-dp1
No Thumbnail
Det ser ud til at bankerne for alvor er begyndt at oppe sig mht. til sikkerheden i deres netbanker. Sidste gang jeg loggede ind på netbank ved Nordea, stod der, at de havde fået en ny sikkerhedsforanstaltning. Fremover ville de, ved hvad de kaldte "mistænksomme overførsler", sende en SMS til en, som man så kunne svare på, for at godkende overførslen. Det lyder også umiddelbart som en langt bedre løsning en hvad denne nyhed fortæller om. Jeg synes SDCs løsning stinker langt væk af hvad vi ser i DRM, og det har vi jo set hvor godt virker. Specielt hvis en evt. har komplet adgang til sit offers PC, kan jeg ikke se hvordan han ikke nemt kan kopiere de oplysninger om PC'en, som nøglefilen er bundet til, og så senere rekonstruere det andetsteds. Systemet skal nok virke i det korte løb, men det er bare et spørgsmål om tid før det bliver brudt, og de skal til at finde på en ny "låsemekanisme"
Jeg kan ikke se hvordan det her hæver sikkerheden væsentligt. Hvilke hardware-enheder er det som identificerer mig unikt (eller i det mindste godt nok) til at informationen kan bindes til nøglefilen? Og hvordan er de sikre på at en hacker ikke kører virtualisering, der er sat op på en måde, så hardwaren identificerer sig ligesom på min pc. Hvis en hacker kan stjæle nøglefil og password, så kræver det vel ikke meget mere også at stjæle nogle oplysninger om hardware.
En løsning a la Danske Banks activecard vil da være langt mere sikkert. Det ville tilmed fungere på Mac OS X, Linux, m.fl.
En løsning a la Danske Banks activecard vil da være langt mere sikkert. Det ville tilmed fungere på Mac OS X, Linux, m.fl.
#5 Helt enig.
Og de der hemmelige ”hardware” oplysninger systemet vil bruge er sikkert ipen :-)
Med hensyn til sikkerhed kan det være lige meget hvilken mappe en nøglefil ligger i, hvis mappen ikke er delt. De vil altid kunne installere en key logger der henter den, mens den logger koden (samt hente andre hardware oplysninger og starter en proxy, selvfølgelig ;-) )
Og de der hemmelige ”hardware” oplysninger systemet vil bruge er sikkert ipen :-)
Med hensyn til sikkerhed kan det være lige meget hvilken mappe en nøglefil ligger i, hvis mappen ikke er delt. De vil altid kunne installere en key logger der henter den, mens den logger koden (samt hente andre hardware oplysninger og starter en proxy, selvfølgelig ;-) )
Tjah, de kan godt vinke alle deres "Brug os over det hele" reklamer ad helvede til, medmindre du har en laptop, men hvis den sa bliver nakked er du stadig fcked.
Og de der hemmelige ”hardware” oplysninger systemet vil bruge er sikkert ipen :-)Det er dygtige folk der sidder og laver det her, så det tror jeg næppe. At bruge IP'en er værre end ingenting fordi den kan ændre sig uden varsel...
Eneste forbehold jeg har mod det nyeste tiltag, er at det nu bliver umuligt at logge ind fra både laptop og stationær.Det kan vel laves som en liste af godkendte enheder?
Tjah, de kan godt vinke alle deres "Brug os over det hele" reklamer ad helvede til, medmindre du har en laptop, men hvis den sa bliver nakked er du stadig fcked.Hvis ens laptop bliver nakket, så er det jo noget man er klar over og så ringer man og får netbanken spærret lige som med dankort. I øvrigt er det banken der bærer det økonomiske ansvar med mindre man opfører sig meget meget åndssvagt...
#7. Ja du har ret mht den eksisterende løsning, men det nye tiltag er baseret på ActiveX og derfor ikke just platformsuafhængigt.
Det vil stadig være muligt at logge ind fra mere end 1 maskine. Eneste forskel bliver at du skal logge ind på din Netbank for at kopiere nøglen til et andet medie eller anden maskine.
Så en kopi af nøglefil + en keylogger til at sniffe dit pwd er ikke længere nok, nu skal hardware også emuleres. Alt andet lige en forbedring af sikkerheden som ikke besværliggør anvendelsen af Netbank´en for brugeren.
Selvfølgeligt findes der bedre løsninger, men alting har sin pris og i sidste ende er det kunderne der skal betale. Med det nuværende omfang af misbrug vurderer jeg SDC´s løsning som et fornuftigt tiltag og et lille skridt i den rigtige retning.
Det vil stadig være muligt at logge ind fra mere end 1 maskine. Eneste forskel bliver at du skal logge ind på din Netbank for at kopiere nøglen til et andet medie eller anden maskine.
Så en kopi af nøglefil + en keylogger til at sniffe dit pwd er ikke længere nok, nu skal hardware også emuleres. Alt andet lige en forbedring af sikkerheden som ikke besværliggør anvendelsen af Netbank´en for brugeren.
Selvfølgeligt findes der bedre løsninger, men alting har sin pris og i sidste ende er det kunderne der skal betale. Med det nuværende omfang af misbrug vurderer jeg SDC´s løsning som et fornuftigt tiltag og et lille skridt i den rigtige retning.
jaja - et lignende system, hvor nøglefilen bliver bundet til en række informationer om hardware og software på den pc hvor den bliver brugt, har været i funktion i Danske Bank Netbank siden Februar. Hvis man forstår hvordan systemet fungerer, så er det ikke mere besværligt for den almindelige bruger - hvis man blot opbevarer en ulåst nøgle på en eksternt medie - mens det gør det sværere for dem der vil forsøge at komme ind ulovligt. Det er en opgradering af sikkerheden, det er ikke den endegyldige løsning på det svageste led i netbanken - kunden og dennes computer.
Der er activecard'et som Danske Bank anvender i højere grad sikkert - men efter min mening også for besværligt til at jeg personligt gider at bruge det. Sikkerhed kontra anvendelighed i dette tilfælde
Der er activecard'et som Danske Bank anvender i højere grad sikkert - men efter min mening også for besværligt til at jeg personligt gider at bruge det. Sikkerhed kontra anvendelighed i dette tilfælde
I mine øjne er det en rigtig dårlig ide. Jeg bruger selv både min stationære og min bærbare til netbank. Og hvad nu hvis jeg skifter ud i min hardware der hvor filen, i givet fald, er låst?
Jeg kommer ikke til at blive berørt af dette her tiltag, men jeg håber så sandelig, at min bank finder på noget mindre tåbeligt.
Jeg kommer ikke til at blive berørt af dette her tiltag, men jeg håber så sandelig, at min bank finder på noget mindre tåbeligt.
det lyder meget som de ændringerdanskebank lavede for et par måneder siden...
Nu skal man (hvis man er på en anden maskine) kopiere sin nøglefil ind vha. hjemmesiden, og så bliver den vidst slettet af netbank komponenten igen på unload - som jeg har forstået det...
Nu skal man (hvis man er på en anden maskine) kopiere sin nøglefil ind vha. hjemmesiden, og så bliver den vidst slettet af netbank komponenten igen på unload - som jeg har forstået det...
#13 - så skal du - ihvertfald som Danske Bank gør det - blot inden du skifter hardwaren tage en sikkerhedskopi igennem netbanken, afgive din personlige kode for at låse denne sikkerhedskopi op. Når så du har skiftet hardwaren, så gendanner du din adgang via din ulåste sikkerhedskopi og så bliver nøglefilen så låst til dit nye hardware.
eller også tage en sikkerhedskopi på den bærbare, låse den op og flytte over på den stationære, hvor den så bliver låst til den.
#14 man kan vælge om man vil lægge sin nøglefil ind på computeren eller om man vil bruge den midlertidigt. I sidst nævnte tilfælde vil den blive "slettet af netbank komponenten igen på unload"
eller også tage en sikkerhedskopi på den bærbare, låse den op og flytte over på den stationære, hvor den så bliver låst til den.
#14 man kan vælge om man vil lægge sin nøglefil ind på computeren eller om man vil bruge den midlertidigt. I sidst nævnte tilfælde vil den blive "slettet af netbank komponenten igen på unload"
Det skal nok gi en dejligt masse support problemer når hr og fru olsen har geninstalleret deres PC og liige skal hive netbanknøglen ind fra diskette igen...
Jeg foretrækker et system hvor jeg identificerer mig med et ganske almindeligt RSA public / private key system hvor jeg kan flytte min private nøgle til en USB dongle som det passer mig.
Alternativt må min bank lave en USB dongle der gemmer min RSA private key, som jeg så lige skal stikke i når jeg logger på. Så er det kun hvis jeg får stjålet nøglen det er et problem.
Hvis de vil låse mig til noget hardware, passer det vel også meget godt at de selv leverer det?
Jeg ved at DataLøn kører med et lignende smartcard system, men det er også ganske muligt at lave specielle USB dongles der indeholder skjulte memory områder som man kan tilgå uden om Mass Storage driveren.
Jeg foretrækker et system hvor jeg identificerer mig med et ganske almindeligt RSA public / private key system hvor jeg kan flytte min private nøgle til en USB dongle som det passer mig.
Alternativt må min bank lave en USB dongle der gemmer min RSA private key, som jeg så lige skal stikke i når jeg logger på. Så er det kun hvis jeg får stjålet nøglen det er et problem.
Hvis de vil låse mig til noget hardware, passer det vel også meget godt at de selv leverer det?
Jeg ved at DataLøn kører med et lignende smartcard system, men det er også ganske muligt at lave specielle USB dongles der indeholder skjulte memory områder som man kan tilgå uden om Mass Storage driveren.
#16 Det er da ikke noget problem for hr og fru olsen. De har jo en ulåst backup på deres diskette.
Hvis de endelig vil tage en ny sikkerhedsbackup, så bliver det oplyst om at de skal låse nøglefilen op før de sikkerhedskopiere den. Det er supernemt, selv min mor kunne finde ud af Danske Banks system.
Men selvfølgelig er der nogle paranoide mennesker som føler sig trådt på når sikkerheden bliver forbedret.
For 10 år siden ville de samme mennesker garanteret have haft sagt "Der skal ikke lægges nogle nøglefiler på min maskine, et login med password burde være nok"
Hvis de endelig vil tage en ny sikkerhedsbackup, så bliver det oplyst om at de skal låse nøglefilen op før de sikkerhedskopiere den. Det er supernemt, selv min mor kunne finde ud af Danske Banks system.
Men selvfølgelig er der nogle paranoide mennesker som føler sig trådt på når sikkerheden bliver forbedret.
For 10 år siden ville de samme mennesker garanteret have haft sagt "Der skal ikke lægges nogle nøglefiler på min maskine, et login med password burde være nok"
Jeg sidder og ryster let på hovedet for mig selv... af to grunde:
1: Jeg har svært ved at tro at sikkerheden bliver meget forøget, som det blev skrevet tidligere, skal alle informationerne stadig udveksles mellem computeren og netbanken, så en hacker (eller cracker?) med evner, kan vel bryde ind og få fat i de nødvendige oplysninger - så længe det ligger på computeren kan hackeren få fat i dem?
2: Netbanken kan kun bruges fra én computer. I det øjeblik computeren er skiftet ud, gået ned, sendt til reperation, man er ude at rejse eller af anden grund ønsker at bruge netbank fra en anden computer, så er det ikke muligt. Jeg ved det ikke er anderledes end tidligere, men jeg synes godt nok det er usmart.
SÅ hvorfor ikke bruge engangskoder, som I Jyske Bank. Jeg har selv været let kritisk overfor det, men nu har jeg haft det i små tre år og jeg er ganske godt tilfreds med det.
Jeg synes det er noget nemmere at få et brev med nøgler som kan ligge i min pung, end at skulle installere alle mulige irreterende programmer før netbanken virker. Og så har jeg tilmed hørt at det er noget af det mest sikre.
1: Jeg har svært ved at tro at sikkerheden bliver meget forøget, som det blev skrevet tidligere, skal alle informationerne stadig udveksles mellem computeren og netbanken, så en hacker (eller cracker?) med evner, kan vel bryde ind og få fat i de nødvendige oplysninger - så længe det ligger på computeren kan hackeren få fat i dem?
2: Netbanken kan kun bruges fra én computer. I det øjeblik computeren er skiftet ud, gået ned, sendt til reperation, man er ude at rejse eller af anden grund ønsker at bruge netbank fra en anden computer, så er det ikke muligt. Jeg ved det ikke er anderledes end tidligere, men jeg synes godt nok det er usmart.
SÅ hvorfor ikke bruge engangskoder, som I Jyske Bank. Jeg har selv været let kritisk overfor det, men nu har jeg haft det i små tre år og jeg er ganske godt tilfreds med det.
Jeg synes det er noget nemmere at få et brev med nøgler som kan ligge i min pung, end at skulle installere alle mulige irreterende programmer før netbanken virker. Og så har jeg tilmed hørt at det er noget af det mest sikre.
Bruger de nøglekort?
For at komme ind på min Jyske Netbank skal jeg bruge:
- CPR nummer
- Identifikations kode til nøglekort
- 4-cifret kode fra nøglekort (hver kode kan kun bruges én gang)
- en 10-cifret kode som består af tal og bogstaver som ikke kan ændres.
DET virker rimelig sikkert for mig
Nøglekortet er genialt. Det skal også bruges hvis man skal overføre penge.
For at komme ind på min Jyske Netbank skal jeg bruge:
- CPR nummer
- Identifikations kode til nøglekort
- 4-cifret kode fra nøglekort (hver kode kan kun bruges én gang)
- en 10-cifret kode som består af tal og bogstaver som ikke kan ændres.
DET virker rimelig sikkert for mig
Nøglekortet er genialt. Det skal også bruges hvis man skal overføre penge.
#19 hvad skal det hjælpe mod at en bruger tror han logger på banken, men derimod trykker sin information ind på en falsk side, en sådan side vil kunne skaffe alt den ønskede information.
Et sådan system skal indeholde tovejs kommunikation i form af at banken skal give dig en kode som du skal skrive ind på dit nøglekort, ellers er det kun banken der identificere dig, men du ikke har mulighed for at identificere banken.
Et sådan system skal indeholde tovejs kommunikation i form af at banken skal give dig en kode som du skal skrive ind på dit nøglekort, ellers er det kun banken der identificere dig, men du ikke har mulighed for at identificere banken.
#19
Danske Banks system har nogle fordele fremfor Jyske Banks system. Bortset fra at hos Danske Bank ønske Mac løsningen for at det ikke bliver deres almindelige løsning, som minder mere om PortalBank.
Danske Banks "Mac" løsning giver kunden en dims, som har samme størrelse som 2 dankort lagt oven på hinanden. Du tasker en kode på dimsen så viser den en kode på skærmen og du har et minut til at taste den.
Fordelen er at hvis dimsen bliver stjålet skal tyven knække koden på dimsen inden du spærre kontoen. Hos Jyske Bank kan man bruge engangskoden indtil kontoen er spærret.
Danske Banks system har nogle fordele fremfor Jyske Banks system. Bortset fra at hos Danske Bank ønske Mac løsningen for at det ikke bliver deres almindelige løsning, som minder mere om PortalBank.
Danske Banks "Mac" løsning giver kunden en dims, som har samme størrelse som 2 dankort lagt oven på hinanden. Du tasker en kode på dimsen så viser den en kode på skærmen og du har et minut til at taste den.
Fordelen er at hvis dimsen bliver stjålet skal tyven knække koden på dimsen inden du spærre kontoen. Hos Jyske Bank kan man bruge engangskoden indtil kontoen er spærret.
#20 Hver engangsnøgle har desuden to tilfældige bogstaver, som en phishing side ikke vil kende, derfor beskytter Jyske banks løsning også mod det.
F.eks.: Ved login - Indtast engangsnøgle 12AX. Så er det op til brugeren at kontrollere på nøglekortet, står der ikke AX er det en phishingside og koden må ikke indtastes.
F.eks.: Ved login - Indtast engangsnøgle 12AX. Så er det op til brugeren at kontrollere på nøglekortet, står der ikke AX er det en phishingside og koden må ikke indtastes.
#9 Det er ikke dygtige folk der laver det her. Jeg har adskille (desværre fortrolige) skrækhistorier omkring SDC og i sær deres "Kernesystem" design. Vi tangerer her Amanda og EPJ, bortset fra at SDC er bedre til damage control end WM Data og IBM. Der er nogle dygtige folk hos SDC det er klart, men som på alle andre arbejdspladser udgør de næppe et overvældende flertal.
#17 Din opfattelse af hvor snedige/opmærksomme hr. og fru. Olsen er, i forhold til deres it systemer er ikke sammenfaldende med virkeligheden.
#19 Da jeg var 12 år troede jeg at flere adgangskoder var = større sikkerhed. Det jeg glemte i den forbindelse er naturligvis at hvis nogen kan gætte og/eller h4xx0r det ene password, kan de gøre det samme ved dem alle. Det er selvfølgelig klart at det vil tage længere tid, såfremt den bedste angrebsstrategi er "brute force", men computere bliver hurtigere, hurtigere end systemer bliver mere sikre.
Det at anvende "hardware oplysninger" er desuden en rimelig dårlig måde at sikre sig at personen er berettiget til at lave det vedkommende gør, da (IIRC) 90% af alle angreb af denne slags udføres fra den "korrekte" maskine, enten ved hjælp af en backdoor, spoofing eller simpel vold / tyveri - og eftersom mange Windows brugere slet ikke har et password, og 70% af dem der har er villige til at fortælle det i bytte for en chokoladebar eller kuglepen (for ikke at tale om dem der har "123456" eller "password"), så er det kun i marginalt få tilfælde at dette tiltag vil standse en beslutsom identitets tyv.
Men det lyder jo altsammen godt for Hr. og Fru. Olsen, og Hr. og Fru. Christiansborg, når nu bankernes ringe sikkerhed har været under hård kritik i længere tid.
#17 Din opfattelse af hvor snedige/opmærksomme hr. og fru. Olsen er, i forhold til deres it systemer er ikke sammenfaldende med virkeligheden.
#19 Da jeg var 12 år troede jeg at flere adgangskoder var = større sikkerhed. Det jeg glemte i den forbindelse er naturligvis at hvis nogen kan gætte og/eller h4xx0r det ene password, kan de gøre det samme ved dem alle. Det er selvfølgelig klart at det vil tage længere tid, såfremt den bedste angrebsstrategi er "brute force", men computere bliver hurtigere, hurtigere end systemer bliver mere sikre.
Det at anvende "hardware oplysninger" er desuden en rimelig dårlig måde at sikre sig at personen er berettiget til at lave det vedkommende gør, da (IIRC) 90% af alle angreb af denne slags udføres fra den "korrekte" maskine, enten ved hjælp af en backdoor, spoofing eller simpel vold / tyveri - og eftersom mange Windows brugere slet ikke har et password, og 70% af dem der har er villige til at fortælle det i bytte for en chokoladebar eller kuglepen (for ikke at tale om dem der har "123456" eller "password"), så er det kun i marginalt få tilfælde at dette tiltag vil standse en beslutsom identitets tyv.
Men det lyder jo altsammen godt for Hr. og Fru. Olsen, og Hr. og Fru. Christiansborg, når nu bankernes ringe sikkerhed har været under hård kritik i længere tid.
#20 Det det hjælper er, at det er en ENgangskode du bruger - det vil sige, at selv hvis de fisker din kode, kan de ikke bruge den til selv at logge ind - der skal de bruge en ny. Så indtil videre vil jeg mene, at nøglekort er noget af det sikreste på markedet.
Nu må alle I sikkerhedseksperter gerne fortælle mig hvad der er bedre med alle disse hardware og software løsninger.
I min bank har jeg et kundenummer + en liste med engangs "pinkoder". Derudover skal jeg ved bekræftelser indtaste en tilfældig kode ud fra en anden liste.
Hvis der er nogen der får fat på mit kundenummer så skal de jo stadig også kunne bruteforce sig frem til det næste nummer på mit kort. Og mon ikke at banken har en foranstaltning for at man ikke kan prøve mere end X gange.
Desuden skal de jo bruge den bekræftelseskode for at kunne overføre penge eller andet.
Hvis nogen har logget ind med mit nummer kan jeg se det da jeg overstreger de koder jeg allerede har brugt og derved kan se hvis nogen andre har brugt det næste i rækken.
Hvordan er Danske Banks løsning sikrere hvor jeg bare har 1 kode? (Og så noget ActiveX software.)
I min bank har jeg et kundenummer + en liste med engangs "pinkoder". Derudover skal jeg ved bekræftelser indtaste en tilfældig kode ud fra en anden liste.
Hvis der er nogen der får fat på mit kundenummer så skal de jo stadig også kunne bruteforce sig frem til det næste nummer på mit kort. Og mon ikke at banken har en foranstaltning for at man ikke kan prøve mere end X gange.
Desuden skal de jo bruge den bekræftelseskode for at kunne overføre penge eller andet.
Hvis nogen har logget ind med mit nummer kan jeg se det da jeg overstreger de koder jeg allerede har brugt og derved kan se hvis nogen andre har brugt det næste i rækken.
Hvordan er Danske Banks løsning sikrere hvor jeg bare har 1 kode? (Og så noget ActiveX software.)
Man-in-the middle angreb kan omgå alle former for autentificering ligegyldigt hvor stærke de er. Nøglekort, ActiveCard, fingeraftryk, certifikater, låsning til hardware eller whatever giver altså ikke det store sålænge et andet led på vejen mellem brugeren og serveren er kompromiteret. I øjeblikket er Windows+IE det svageste led.
Det bedste sikkerhedsråd er i øjeblikket ikke at bruge Windows til netbank.
Det bedste sikkerhedsråd er i øjeblikket ikke at bruge Windows til netbank.
Sikkerhedsløsningen med PC-låsen blev indført i Danske Bank d. 6 februar og alle de andre afdelinger i Norge, England og Irland (og BG bank) er kommet til lidt senere.
PC-låsen (brugerid’et) går ind på tager et aftryk af den computer den er installeret på og kan derved kun bruges på den computer. Hele tanken bag denne sikkerhedsløsning er jo endelig meget god, hvis det ikke var fordi den gav så mange problemer.
Hvis man installere nyt hardware bliver brugerid’et ugyldigt (hvilket næsten også siger sig selv), men faktisk kan software opdateringer også skabe problemer.
Specielt Windows Vista er slem til at skabe problemer, og Hr. og Fru. Jensen aner ikke hvad de skal gøre når problemet opstår.
En anden ulempe ved denne PC-lån er at den bruger ActiveX objekter, hvilket betyder at den kun kan bruges på Internet Explorer, hvis man vil bruge en anden browser eller et andet styresystemer skal man vælge en ActiveCard løsning, hvilket faktisk er en okay løsning.
Personligt synes jeg det er godt at der er kommet mere fokus på Netbank sikkerhed, jeg synes dog ikke denne løsning er den rigtige.
- Et styk frustreret netbank supporter
PC-låsen (brugerid’et) går ind på tager et aftryk af den computer den er installeret på og kan derved kun bruges på den computer. Hele tanken bag denne sikkerhedsløsning er jo endelig meget god, hvis det ikke var fordi den gav så mange problemer.
Hvis man installere nyt hardware bliver brugerid’et ugyldigt (hvilket næsten også siger sig selv), men faktisk kan software opdateringer også skabe problemer.
Specielt Windows Vista er slem til at skabe problemer, og Hr. og Fru. Jensen aner ikke hvad de skal gøre når problemet opstår.
En anden ulempe ved denne PC-lån er at den bruger ActiveX objekter, hvilket betyder at den kun kan bruges på Internet Explorer, hvis man vil bruge en anden browser eller et andet styresystemer skal man vælge en ActiveCard løsning, hvilket faktisk er en okay løsning.
Personligt synes jeg det er godt at der er kommet mere fokus på Netbank sikkerhed, jeg synes dog ikke denne løsning er den rigtige.
- Et styk frustreret netbank supporter
Argh.. skod... jeg har jo flere PC'ere end bare een :(.
Og til Jer der ikke ved om I kører på SDC systemet, så tjek om jeres netbank åbner fra https://www.portalbank.dk/
..men folkens... skift til Jydske bank, de har "challenge" login, man får udleveret en lille folder med 40-50 koder på, og når man skal logge ind, beder systemet fx. om kode C-12 fx., og så indtaster man den, og alle koder er engangs, så man skal have en ny kodebog engang imellem i sin filial.
Den sikkerhed er simpel og langt mere effektiv end dumme låse der bare giver administrative problemer..
Og til Jer der ikke ved om I kører på SDC systemet, så tjek om jeres netbank åbner fra https://www.portalbank.dk/
..men folkens... skift til Jydske bank, de har "challenge" login, man får udleveret en lille folder med 40-50 koder på, og når man skal logge ind, beder systemet fx. om kode C-12 fx., og så indtaster man den, og alle koder er engangs, så man skal have en ny kodebog engang imellem i sin filial.
Den sikkerhed er simpel og langt mere effektiv end dumme låse der bare giver administrative problemer..
Jeg har prøvet både Jyske Banks engangskode kort og Danske Banks ActiveCard. Af de to er Jyske Banks langt den rareste, den er langt nemmere og hurtigere. Sikkerhedsmæssigt er der ikke den store forskel. Det er ca. samme princip, bortset fra at Jyske Bank bruger små kort og Danske Bank har en elektronisk løsning.
Problemet med Danske Banks system er at man skal sidde og fedte med at indtaste pin-koder på en dimmer med knapper der er alt for små til voksen fingre. Resultatet er at det tager noget længere tid bare at betale en regning hos Danske Bank. Jeg tror at Jyske Bank selv har udviklet noget der passede ind i deres behov, mens Danske Bank har købt en løsning, og tilpasset den mindre ideelt.
Ideen med en nøglefil har jeg aldrig fatte, den kan aldrig være nær så sikker som en "one-time pad" som både Jyske Bank og Danske Banks løsninger begge er en implementation af. Mon ikke bare det at låse filen til en computer er den billige løsning og alternativet til at lave det "rigtigt".
Problemet med Danske Banks system er at man skal sidde og fedte med at indtaste pin-koder på en dimmer med knapper der er alt for små til voksen fingre. Resultatet er at det tager noget længere tid bare at betale en regning hos Danske Bank. Jeg tror at Jyske Bank selv har udviklet noget der passede ind i deres behov, mens Danske Bank har købt en løsning, og tilpasset den mindre ideelt.
Ideen med en nøglefil har jeg aldrig fatte, den kan aldrig være nær så sikker som en "one-time pad" som både Jyske Bank og Danske Banks løsninger begge er en implementation af. Mon ikke bare det at låse filen til en computer er den billige løsning og alternativet til at lave det "rigtigt".
#5 du slynger en masse ud som du ikke aner noget om! Bare fordi du ikke forstår systemet er ikke ensbetydende med det ikke virker ;P
Windows aktivering låser sig også til dit hardware (bundkort) og det virker altså.
#7+8 Igen gætter i uden at vide noget. Man KAN fortsat logge på fra 10 forskellige PC'er hvis man vil. Men man binder de enkelte nøglefiler til de PC'er under import.
Det er korrekt at det i første omgang kræver IE for at gennemføre bindingen, men det betyder altså ikke at man bare kan logge på med Firefox. Har du lavet bindingen, så SKAL du altså også logge på med IE.
Desuden kan man også lave bindingen til f.eks. et USB-drev.
Windows aktivering låser sig også til dit hardware (bundkort) og det virker altså.
#7+8 Igen gætter i uden at vide noget. Man KAN fortsat logge på fra 10 forskellige PC'er hvis man vil. Men man binder de enkelte nøglefiler til de PC'er under import.
Det er korrekt at det i første omgang kræver IE for at gennemføre bindingen, men det betyder altså ikke at man bare kan logge på med Firefox. Har du lavet bindingen, så SKAL du altså også logge på med IE.
Desuden kan man også lave bindingen til f.eks. et USB-drev.
Danske banks Activecard løsning og Jyskebanks nøglekort løsning er fuldstændig samme princip.
kunden har en tilfældig kode som kun kan bruges én gang når der logges på og når der bekræftes betalinger. For hver handling der kræves en bekræftigelse skal der bruges en ny kode.
Når der skal bekræftes en overførsel sender banken en kode som kunden bruger til at bekræfte, at det er banken der sender og denne kode bruger kunden til at sende det rigtige kodeord tilbage til banken så betalingen bekræftes og gennemføres. Hvis den kode banken sender er forkert, så vil den kode kunden anvender heller ikke kunne bruges. Koden er derudover kun gyldig i X antal sekunder (30-60 sekunder måske).
Danske Bank bruger blot en lille "lommeregner" som generer koderne, hvor kunden laver sin egen personlige pinkode til - mens Jyske Bank bruger et nøglekort, hvor der er X antal koder der kan bruges én gang, hvorefter der skal bestilles et nyt kort.
kunden har en tilfældig kode som kun kan bruges én gang når der logges på og når der bekræftes betalinger. For hver handling der kræves en bekræftigelse skal der bruges en ny kode.
Når der skal bekræftes en overførsel sender banken en kode som kunden bruger til at bekræfte, at det er banken der sender og denne kode bruger kunden til at sende det rigtige kodeord tilbage til banken så betalingen bekræftes og gennemføres. Hvis den kode banken sender er forkert, så vil den kode kunden anvender heller ikke kunne bruges. Koden er derudover kun gyldig i X antal sekunder (30-60 sekunder måske).
Danske Bank bruger blot en lille "lommeregner" som generer koderne, hvor kunden laver sin egen personlige pinkode til - mens Jyske Bank bruger et nøglekort, hvor der er X antal koder der kan bruges én gang, hvorefter der skal bestilles et nyt kort.
Hvis jeg stjæler dit nøglekort til jyske, hvor er sikkerheden så henne?
Desuden kan man i SDC's netbank vælge at køre med engangskoder via mobiltelefon og så slet ikke have nogen nøglefil. Men for de fleste er dette for besværligt, men muligheden er der og har eksisteret længe.
Desuden kan man i SDC's netbank vælge at køre med engangskoder via mobiltelefon og så slet ikke have nogen nøglefil. Men for de fleste er dette for besværligt, men muligheden er der og har eksisteret længe.
#33
Hvis du stjæler mit nøglekort, så mangler du stadig at kende dels mit CPR nummer, og dels min adgangskode.
Derudover, så kan jeg til enhver tid ringe til banken og anullere adgangen til det kort du har stjålet.
Det lader til at folk ikke helt ved hvordan systemet fungerer med nøglekortet.
1. Log ind med CPR nummer, og ID fra nøglekort (eks 1337HX)
2. De beder en kode fra eks. 12.AX på nøglekort 1337HX
12 er nummeret på koden.
AX er en kontrolkode.
Hvis ikke nummer 12 har kontrolkoden AX, så er det ikke banken du har fat i, og du giver dem så ikke svaret på hvad der står udfor nummer 12.
Selv hvis der er et "man in the middle attack" så nytter det ikke, for så snart banken har spurgt om en kode 1 gang, så er den ude af deres system, uanset om du svarer på spørgsmålet eller ej.
Hvis du stjæler mit nøglekort, så mangler du stadig at kende dels mit CPR nummer, og dels min adgangskode.
Derudover, så kan jeg til enhver tid ringe til banken og anullere adgangen til det kort du har stjålet.
Det lader til at folk ikke helt ved hvordan systemet fungerer med nøglekortet.
1. Log ind med CPR nummer, og ID fra nøglekort (eks 1337HX)
2. De beder en kode fra eks. 12.AX på nøglekort 1337HX
12 er nummeret på koden.
AX er en kontrolkode.
Hvis ikke nummer 12 har kontrolkoden AX, så er det ikke banken du har fat i, og du giver dem så ikke svaret på hvad der står udfor nummer 12.
Selv hvis der er et "man in the middle attack" så nytter det ikke, for så snart banken har spurgt om en kode 1 gang, så er den ude af deres system, uanset om du svarer på spørgsmålet eller ej.
#33
Som andre har sagt skal du også bruge en kode, der ikke er skrevet ned.
Men også relevant: Langt de fleste (alle?) angreb mod netbanker sker over nettet, og den vej kan man altså ikke lure dit nøglekort, da det er et stykke papir.
Skulle du tabe dit nøglekort på gaden, skal folk stadig gætte både CPR-nummer og hemmelig kode.
Den nemmeste måde at bryde det system, må være en pistol for panden. Ellers må du aflure CPR-nummer og hemmelig kode, for derefter at stjæle nøglekortet. Så vil jeg sgu hellere bryde ind i et hus og snuppe nogle ting. (Ikke at det så er noget jeg har lyst til.)
Hvis jeg stjæler dit nøglekort til jyske, hvor er sikkerheden så henne?
Som andre har sagt skal du også bruge en kode, der ikke er skrevet ned.
Men også relevant: Langt de fleste (alle?) angreb mod netbanker sker over nettet, og den vej kan man altså ikke lure dit nøglekort, da det er et stykke papir.
Skulle du tabe dit nøglekort på gaden, skal folk stadig gætte både CPR-nummer og hemmelig kode.
Den nemmeste måde at bryde det system, må være en pistol for panden. Ellers må du aflure CPR-nummer og hemmelig kode, for derefter at stjæle nøglekortet. Så vil jeg sgu hellere bryde ind i et hus og snuppe nogle ting. (Ikke at det så er noget jeg har lyst til.)
Man-in-the middle angreb kan omgå alle former for autentificering ligegyldigt hvor stærke de er. Nøglekort, ActiveCard, fingeraftryk, certifikater, låsning til hardware eller whatever giver altså ikke det store sålænge et andet led på vejen mellem brugeren og serveren er kompromiteret.
Det er decideret forkert.
I øjeblikket er Windows+IE det svageste led.Og Windows har intet med sagen at gøre når vi snakker man in the middle angreb.
Det bedste sikkerhedsråd er i øjeblikket ikke at bruge Windows til netbank.
#38
Er det noget du kan argumentere for? Hvis vi altså ser bort fra kvante-kryptering, det bliver jo nok ikke aktuelt i netbankerne lige foreløbig.
Ikke ud over at den nemmeste måde at gøre det på er, at inficere en Windows-maskine. :)
"Man-in-the middle angreb kan omgå alle former for autentificering"
Det er decideret forkert.
Er det noget du kan argumentere for? Hvis vi altså ser bort fra kvante-kryptering, det bliver jo nok ikke aktuelt i netbankerne lige foreløbig.
Og Windows har intet med sagen at gøre når vi snakker man in the middle angreb.
Ikke ud over at den nemmeste måde at gøre det på er, at inficere en Windows-maskine. :)
#38,39
Det kommer meget an på hvordan man definerer man-in-the-middle angreb.
Traditionelt har ordet været brugt til at definere angreb hvor angriberen havde adgang til forbindelsen et sted i mellem de to parter. I dette tilfælde kan stærk kryptering gøre det nærmest umuligt at få noget ud af angrebet.
Hvis angriberen derimod angriber den ene parts computer så kan man godt få noget ud af selv meget sikre systemer. Man kan eksempelvis lave en udvidelse til Firefox/Explorer som retter i kontonumre og beløbstørrelser hver gang brugeren laver en transaktion. Rettelserne vil forgå i det øjeblik transaktionen sendes afsted, og brugeren vil derfor aldrig opdage noget.
Koden vil blive afviklet i browseren før data bliver krypteret, og brugeren indtaster selv alle nødvendige password og nøgler.
Det kommer meget an på hvordan man definerer man-in-the-middle angreb.
Traditionelt har ordet været brugt til at definere angreb hvor angriberen havde adgang til forbindelsen et sted i mellem de to parter. I dette tilfælde kan stærk kryptering gøre det nærmest umuligt at få noget ud af angrebet.
Hvis angriberen derimod angriber den ene parts computer så kan man godt få noget ud af selv meget sikre systemer. Man kan eksempelvis lave en udvidelse til Firefox/Explorer som retter i kontonumre og beløbstørrelser hver gang brugeren laver en transaktion. Rettelserne vil forgå i det øjeblik transaktionen sendes afsted, og brugeren vil derfor aldrig opdage noget.
Koden vil blive afviklet i browseren før data bliver krypteret, og brugeren indtaster selv alle nødvendige password og nøgler.
#39 Ja, det er netop det SSL autentificering løser. Der bruges en kombination af et RSA nøglepar og et certifikat. Den private nøgle kendes kun af det endepunkt som ejer certifikatet. Således kan kun endepunktet afkode hvad der er kodet med den offentlige nøgle fra certifikatet. Der findes ingen kendte (og sandsynligvis slet ingen) man in the middle angreb på SSL...
Ikke ud over at den nemmeste måde at gøre det på er, at inficere en Windows-maskine. :)I så fald er det ikke et man in the middle angreb.
Det kommer meget an på hvordan man definerer man-in-the-middle angreb.Det er sådan man definerer det. Alt muligt andet kan sagtens være sikkerhedsproblemer, men det er ikke man in the middle angreb...
Traditionelt har ordet været brugt til at definere angreb hvor angriberen havde adgang til forbindelsen et sted i mellem de to parter.
Mit oprindelige indlæg gik også på #26 som bruger den samme definition af man in the middle, men kommer med en forkert påstand...
#40, #41, #42
Okay, hvis et man-in-the-middle betyder at man intet gør hos nogen af parterne, så kan vi vel kalde det et modificeret man-in-the-middle.
Man kan fx. nøjes med at pille ved DNS'en. Man skriver adressen til banken, men får fat i en 3. part, som starter med at fungere som en proxy.
K = Kunde ('s computer)
B = Bank ('s system)
M = Man in the Middle
K->M: Jeg vil gerne sende 12 kr. til min mor
M->B: Jeg vil gerne sende 12.000 kr. til en konto i sweitz
B->M: Jeg skal bruge nøgle 12AB for at sende 12.000 kr til sweitz
M->K: Jeg skal bruge nøgle 12AB for at sende 12 kr. til din mor
etc.
Der skal nok lidt social engineering til, for at komme uden om SSL osv. Men hvis folk hopper den der Tele2-ting, så er det da den nemme del. :)
Det kan fx. være noget med én SSL-forbindelse fra K til M, og en anden fra M til B. Eller måske slet ingen kryptering fra K til M, det tror jeg ikke engang jeg selv ville lægge mærke til.
Måske er det ikke et rent man-in-the-middle, men kommunikationen bliver stadig ændret undervejs, så det er da noget i den stil. Men sådan fungerer det jo i dag - man kombinerer.
Først sender man en fil ud på samme måde som spam. Filen er en worm, som selv spreder sig yderligere. Filen indeholder en backdoor/bot/whatever osv.
Okay, hvis et man-in-the-middle betyder at man intet gør hos nogen af parterne, så kan vi vel kalde det et modificeret man-in-the-middle.
Man kan fx. nøjes med at pille ved DNS'en. Man skriver adressen til banken, men får fat i en 3. part, som starter med at fungere som en proxy.
K = Kunde ('s computer)
B = Bank ('s system)
M = Man in the Middle
K->M: Jeg vil gerne sende 12 kr. til min mor
M->B: Jeg vil gerne sende 12.000 kr. til en konto i sweitz
B->M: Jeg skal bruge nøgle 12AB for at sende 12.000 kr til sweitz
M->K: Jeg skal bruge nøgle 12AB for at sende 12 kr. til din mor
etc.
Der skal nok lidt social engineering til, for at komme uden om SSL osv. Men hvis folk hopper den der Tele2-ting, så er det da den nemme del. :)
Det kan fx. være noget med én SSL-forbindelse fra K til M, og en anden fra M til B. Eller måske slet ingen kryptering fra K til M, det tror jeg ikke engang jeg selv ville lægge mærke til.
Måske er det ikke et rent man-in-the-middle, men kommunikationen bliver stadig ændret undervejs, så det er da noget i den stil. Men sådan fungerer det jo i dag - man kombinerer.
Først sender man en fil ud på samme måde som spam. Filen er en worm, som selv spreder sig yderligere. Filen indeholder en backdoor/bot/whatever osv.
#30 Meget apropos. Der er rigtig mange eksempler på tilfælde hvor Windows Aktiverings hardwarelås, har udløst falske positiver. Det er muligvis kun i 5% af tilfældene at en BIOS opdatering (eller hvad det nu skal være) har fucket dit Windows op - men når det sker for *dig* er det en ringe trøst, og så kunne det ligesågodt være 100%.
#42
Den eneste decideret forkerte påstand her er, at du tror vi har samme definition af "man in the middle"-angreb.
Kommunikationsvejen mellem bruger og bank-server inkluderer typisk inputenheder, skærm, operativsystem, browser og internetforbindelse. Alle disse punkter kan angribes med "man in the middle"-angreb.
Hvis du vil vide mere herom, så se fx http://en.wikipedia.org/wiki/Man_in_the_middle_att...
"a man-in-the-middle attack (MITM) is an attack in which an attacker is able to read, insert and modify at will, messages between two parties without either party knowing that the link between them has been compromised."
Mit oprindelige indlæg gik også på #26 som bruger den samme definition af man in the middle, men kommer med en forkert påstand...
Den eneste decideret forkerte påstand her er, at du tror vi har samme definition af "man in the middle"-angreb.
Kommunikationsvejen mellem bruger og bank-server inkluderer typisk inputenheder, skærm, operativsystem, browser og internetforbindelse. Alle disse punkter kan angribes med "man in the middle"-angreb.
Hvis du vil vide mere herom, så se fx http://en.wikipedia.org/wiki/Man_in_the_middle_att...
"a man-in-the-middle attack (MITM) is an attack in which an attacker is able to read, insert and modify at will, messages between two parties without either party knowing that the link between them has been compromised."
[url=#25]#25[/url] Dj Mortar
Et mere udspekulerede angreb, kunne lave et MiM angreb eller noget der minder om det, og samtidig modificerer lidt på klientmaskinens browser eller opsætning, for at ikke afsløre det. F.eks. kunne man installere et ekstra rodcertifikat, som udgav sig for at være TDC, Verisign, Tawte eller en anden certifikat udsteder, men som i virkeligheden indeholdt angriberens offentlige nøgle. Med dette placeret på klientmaskinen kunne han så vha. angreb på DNS eller routning kunne lave et MiM angreb uden at browseren advarede om det forkerte SSL certifikat.
Hvis klientmaskinen er kompromiteret er der intet at gøre, du kan aldrig opnå sikkerhed med en kompromiteret klientmaskine. Man ville være nødt til at flytte klientfunktionaliteten ud i et seperat stykke hardware, og her mener jeg noget langt mere vidtgående end det bankerne gør i dag.
Hvis klientmaskinen er sikker, og du sørger for at starte på bankens SSL beskyttede side, så tror jeg de alle er sikre.
[url=#26]#26[/url] tazly
[url=#33]#33[/url] Toranaga
[url=#35]#35[/url] Larholm
Er du i familie med Thor?
[url=#43]#43[/url] myplacedk
Det betyder trods alt, at sådan en transaktion faktisk bliver set af en bankmedarbejder før den bliver udført. Og jeg håber da, at min bankrådgiver ville have ringet til mig og dobbeltchecket den transaktion, hvis jeg da ikke allerede havde fortalt ham, at jeg skulle fem måneder til Zürich.
Hvis man er paranoid, så gør man følgende:
1. Afslut browseren
2. Start browseren op
3. Brug bookmarket
4. Check at certifikatet er udstedt af den forventede CA
5. Udfører de handlinger man har brug for i netbanken uden at åbne nogen andre sider
6. Afslutter browseren
Nu må alle I sikkerhedseksperter gerne fortælle mig hvad der er bedre med alle disse hardware og software løsninger.Mange af de tiltag er forsøg på at beskytte imod misbrug når klientmaskinen er kompromiteret. Man kan muligvis beskytte imod naive angreb, der kun installerer en keyboard sniffer og kopierer et par filer fra harddisken.
Et mere udspekulerede angreb, kunne lave et MiM angreb eller noget der minder om det, og samtidig modificerer lidt på klientmaskinens browser eller opsætning, for at ikke afsløre det. F.eks. kunne man installere et ekstra rodcertifikat, som udgav sig for at være TDC, Verisign, Tawte eller en anden certifikat udsteder, men som i virkeligheden indeholdt angriberens offentlige nøgle. Med dette placeret på klientmaskinen kunne han så vha. angreb på DNS eller routning kunne lave et MiM angreb uden at browseren advarede om det forkerte SSL certifikat.
Hvis klientmaskinen er kompromiteret er der intet at gøre, du kan aldrig opnå sikkerhed med en kompromiteret klientmaskine. Man ville være nødt til at flytte klientfunktionaliteten ud i et seperat stykke hardware, og her mener jeg noget langt mere vidtgående end det bankerne gør i dag.
Hvis klientmaskinen er sikker, og du sørger for at starte på bankens SSL beskyttede side, så tror jeg de alle er sikre.
[url=#26]#26[/url] tazly
Man-in-the middle angreb kan omgå alle former for autentificering ligegyldigt hvor stærke de er.Jeg tror du tænker på noget andet end MiM angreb. Hvis man kompromiterer klienten, ja så kan ingen autentificering hjælpe. Men hvis man kun udfører et MiM angreb vil SSL beskytte brugerne - så længe de husker at bruge SSL.
[url=#33]#33[/url] Toranaga
Hvis jeg stjæler dit nøglekort til jyske, hvor er sikkerheden så henne?CPR nummer og kodeord står ikke på kortet.
[url=#35]#35[/url] Larholm
Er du i familie med Thor?
[url=#43]#43[/url] myplacedk
Jeg vil gerne sende 12.000 kr. til en konto i sweitzMed Jyske Bank kan man ikke udføre overførsler til udlandet fra netbanken. Man kan dog sende en besked til sin bankrådgiver og bede om at få sådan en overførsel foretaget. Jeg har faktisk selv engang haft brug for at overføre ca. 12.000 kr til en konto i Schweiz og gjorde det på den måde.
Det betyder trods alt, at sådan en transaktion faktisk bliver set af en bankmedarbejder før den bliver udført. Og jeg håber da, at min bankrådgiver ville have ringet til mig og dobbeltchecket den transaktion, hvis jeg da ikke allerede havde fortalt ham, at jeg skulle fem måneder til Zürich.
Eller måske slet ingen kryptering fra K til M, det tror jeg ikke engang jeg selv ville lægge mærke til.Det er muligvis der den største svaghed ligger for de fleste brugere. Den korrekte måde at gøre det på er at indtaste netbankens URL inklusiv https og så lave et bookmark af den side.
Hvis man er paranoid, så gør man følgende:
1. Afslut browseren
2. Start browseren op
3. Brug bookmarket
4. Check at certifikatet er udstedt af den forventede CA
5. Udfører de handlinger man har brug for i netbanken uden at åbne nogen andre sider
6. Afslutter browseren
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund