mboost-dp1
unknown
Min netbank (Jyske netbank) kræver
CPR nummer
Kode
Nøglekort-kode
Og en 4-cifret kode fra nøglekortet
Den 4-cifrede kode skifter hver gang..
Hvordan får de fat på den? :S
CPR nummer
Kode
Nøglekort-kode
Og en 4-cifret kode fra nøglekortet
Den 4-cifrede kode skifter hver gang..
Hvordan får de fat på den? :S
Når jeg skal logge ind på min netbank (Danske Bank)
skal jeg indtaste en kode fra en lille lommeregner lignende ting kaldet ActiveCard.
Det er ret svært at bryde, selvom nogle skulle have en bagdør på min PC.
Det er dog valgfrit om vil bruge denne login type eller bruge den gamle type med en nøglefil+kode.
(Med mindre man bruger FireFox, så kan man kun bruge ActiveCard)
skal jeg indtaste en kode fra en lille lommeregner lignende ting kaldet ActiveCard.
Det er ret svært at bryde, selvom nogle skulle have en bagdør på min PC.
Det er dog valgfrit om vil bruge denne login type eller bruge den gamle type med en nøglefil+kode.
(Med mindre man bruger FireFox, så kan man kun bruge ActiveCard)
Jeg har Nordea, og når man skal logge ind fungere det på følgende måde:
Man vælger sin nøglefil (en .reg fil som er krypteret), og når man så har valgt den står ens brugernavn allerede i loginfeltet, og så skal man bare indtaste sin kode, og så er man inde.
Man vælger sin nøglefil (en .reg fil som er krypteret), og når man så har valgt den står ens brugernavn allerede i loginfeltet, og så skal man bare indtaste sin kode, og så er man inde.
#8
Selvfølgelig har de det..
Det er jo dem som har valgt et overordentligt sølle system hvor een fil fra din harddisk og een kode er nok til at få adgang..
Fremtidens logon er garanteret baseret på disse activecards hvor koden skifter hele tiden og derfor ikke kan bruges til noget hvis man kunne aflure den..
Til den tid vil russerne være nødt til at flyve hertil og fysisk bryde ind i folks huse og stjæle kodebrikken for at få adgang.
Dog med den mulighed selvfølgelig hvis de bryder krypteringen i nøglebrikkerne men allerede der er vi ude i noget der er mange gange mere avanceret end blot at installere en bagdør som sender en fil og et logged password til russeren som derefter logger ind og lænser kontoen..
Intet er umuligt...Men man kan gøre det meget svært og økonomisk urentabelt ...
XxX
Selvfølgelig har de det..
Det er jo dem som har valgt et overordentligt sølle system hvor een fil fra din harddisk og een kode er nok til at få adgang..
Fremtidens logon er garanteret baseret på disse activecards hvor koden skifter hele tiden og derfor ikke kan bruges til noget hvis man kunne aflure den..
Til den tid vil russerne være nødt til at flyve hertil og fysisk bryde ind i folks huse og stjæle kodebrikken for at få adgang.
Dog med den mulighed selvfølgelig hvis de bryder krypteringen i nøglebrikkerne men allerede der er vi ude i noget der er mange gange mere avanceret end blot at installere en bagdør som sender en fil og et logged password til russeren som derefter logger ind og lænser kontoen..
Intet er umuligt...Men man kan gøre det meget svært og økonomisk urentabelt ...
XxX
Det er ikke muligt at følge pengenes vandring? En hver bank burde da gå med til at levere dem tilbage til ejermændene..
#9 problemet er, som du ganske rigtig siger, at Nordea's svenske version af netbank har valgt en for svag sikkerhed.
Men mig bekendt behøver svenskernes netbank ikke engang en keyfile, for at kunne logge på. Af historiske årsager er Nordea's danske og svenske netbank ikke ens.
Derfor er det kun svenskere der er blevet kompromitteret, og ikke danskere.
Så den danske version af netbank, hvor man har en keyfile, og et password der passer dertil, er stadig ukompromitteret - og betydelig billigere end at skulle både købe og administrere de keycards der skal sendes rundt.
Men mig bekendt behøver svenskernes netbank ikke engang en keyfile, for at kunne logge på. Af historiske årsager er Nordea's danske og svenske netbank ikke ens.
Derfor er det kun svenskere der er blevet kompromitteret, og ikke danskere.
Så den danske version af netbank, hvor man har en keyfile, og et password der passer dertil, er stadig ukompromitteret - og betydelig billigere end at skulle både købe og administrere de keycards der skal sendes rundt.
ej altså hvem har skrevet den nyhed? prøv nu lige at læse det igennem inden du sender det ind.
den svenske afdeling?
? hvad er det for en?
altså...
jeg HAR hørt om copy/paste, men derfor behøver man da ikke gøre det fra en svensk side, og så ikke rette det til dansk bagefter.
[spoiler]Nordea's svenske afdeling har været udsat for det, der menes at være det største online tyveri til dato.
En russisk bande har, ved hjælp af trojanen "Haxdoor.Ki", franarret uskyldige brugere deres login informationer med falske login sider og indbyggede keyloggers. Banden havde derefter frit spil til langsomt at tømme diverse konti over en periode på mere end 15 måneder.
Nordea har valgt at kompensere for tabene, da de mener det til dels er deres skyld, at sikkerheden ikke har været helt i orden. [/spoiler]
Den svenske afdelingen af banken Nordea
den svenske afdeling?
Trojaneren
? hvad er det for en?
En russiske bande
altså...
jeg HAR hørt om copy/paste, men derfor behøver man da ikke gøre det fra en svensk side, og så ikke rette det til dansk bagefter.
[spoiler]Nordea's svenske afdeling har været udsat for det, der menes at være det største online tyveri til dato.
En russisk bande har, ved hjælp af trojanen "Haxdoor.Ki", franarret uskyldige brugere deres login informationer med falske login sider og indbyggede keyloggers. Banden havde derefter frit spil til langsomt at tømme diverse konti over en periode på mere end 15 måneder.
Nordea har valgt at kompensere for tabene, da de mener det til dels er deres skyld, at sikkerheden ikke har været helt i orden. [/spoiler]
#2 Watch out !
Nordeas svenske netbank logon og Jyske Banks ditto ligner hinanden en del, kig selv : http://app.nordea.se/login/index.html og https://www.jyskenetbank.dk/frameset.htm, idet de begge spørger kunden om kundeidentifikation, nøglekortsdata, og dernæst kræver næste kode fra kortet.
Hvis alt dette indtastes på en falsk Jyskenetbank webside med en aktiv keylogger, og en aktiv forbryder der laver ræleindtastning til en rigtig Jyskenetbank side, så bliver du også lænset.
Så hold altid din maskine fri for virus, hold Windows sikkerhedsopdateret og hold altid øje med at du hører HTTPS/SSL imod den rigtige netbank server, da du ellers kan være den næste der bliver fuppet !
Nordeas svenske netbank logon og Jyske Banks ditto ligner hinanden en del, kig selv : http://app.nordea.se/login/index.html og https://www.jyskenetbank.dk/frameset.htm, idet de begge spørger kunden om kundeidentifikation, nøglekortsdata, og dernæst kræver næste kode fra kortet.
Hvis alt dette indtastes på en falsk Jyskenetbank webside med en aktiv keylogger, og en aktiv forbryder der laver ræleindtastning til en rigtig Jyskenetbank side, så bliver du også lænset.
Så hold altid din maskine fri for virus, hold Windows sikkerhedsopdateret og hold altid øje med at du hører HTTPS/SSL imod den rigtige netbank server, da du ellers kan være den næste der bliver fuppet !
#16
Ja sådan har jeg også forstået det..
De kan måske godt aflure visse koder men da koderne fra nøglekortet kun bruges en gang hver så er der ikke meget ved at aflure når du overfører penge til moster Oda for den kode du får ud af det virkede kun til den ene transaktion.
Activecards og Jyske banks nøglekort er jo sådan set samme løsning...Activecards er bare lidt mere avancerede da den genererer koden live og man behøver ikke få tilsendt nye koder med posten.
XxX
Ja sådan har jeg også forstået det..
De kan måske godt aflure visse koder men da koderne fra nøglekortet kun bruges en gang hver så er der ikke meget ved at aflure når du overfører penge til moster Oda for den kode du får ud af det virkede kun til den ene transaktion.
Activecards og Jyske banks nøglekort er jo sådan set samme løsning...Activecards er bare lidt mere avancerede da den genererer koden live og man behøver ikke få tilsendt nye koder med posten.
XxX
#16 Tyvenes fidus er at du tror du logger i på en Jyskenetbank side, der spørger om dine oplysninger og siden beder om en engangskode, men i virkeligheden er det ikke hos Jyskenetbank, men på de kriminelles hjemmeside. Samtidig sidder der så en kriminel, der logger ind med de oplysninger du giver ham, og kan derfor flytte penge til en konto i langbortistan, imens du får præsenteret en fejlmeddelelse. Det hele er ganske simpelt, da det bare er et "man in the middle" trick.
#17 Der kan du kun kigge, og ikke flytte penge.
#17 Der kan du kun kigge, og ikke flytte penge.
Forstår ikke hvorfor tyvene brugte en falsk hjemmeside når de allerede havde en keylogger... desuden så kan det jo være lige meget om man skal taste 1000 ting for at komme ind på sin netbank, når alle koderne bliver logget
#20 har du slet ikke læst ovenstående indlæg?
De bruger en falsk hjememside (på trods af trojener og keyloggers) for at du så der skal indtaste alle dine info PLUS en kode eller to fra dit "skrab-en-kode-nøglekort". Så har de to koder som ikke er brugt, og de kan nu logge ind på din netbank og overføre penge.
ALTID selv skriv url til din netbank. ALDRIG følg link hvorend det så måtte være fra (email, chat, website etc)
De bruger en falsk hjememside (på trods af trojener og keyloggers) for at du så der skal indtaste alle dine info PLUS en kode eller to fra dit "skrab-en-kode-nøglekort". Så har de to koder som ikke er brugt, og de kan nu logge ind på din netbank og overføre penge.
ALTID selv skriv url til din netbank. ALDRIG følg link hvorend det så måtte være fra (email, chat, website etc)
Problemet er bare, at lige meget hvormange sikkerhed foranstaltninger du laver, vil det altid kunne brydes hvis man laver en falsk side, som ligner den rigtige og brugeren så tror at det er den rigtige... så er det jo ligemeget om man skal indtaste CPR ovs...
#11 > "jeg forstår heller ikke det system med en reg fil, så kan man jo kun bruge netbanken derhjemme. Det er da meget federe at kunne få adgang til den ved hver en computer. Jeg var i hvert fald glad for det da jeg var ude at rejse."
Du kan godt logge på fra andre computere end din egen, så skal du have nøglefilen liggende på en usb-key f.eks.
Jeg har Amagerbanken, og de kræve en nøglefil og en kode for at logge på netbank, når du er logget på og laver en overførelse eller betaler via giro, så skal du bruge din kode en gang til.
Du kan godt logge på fra andre computere end din egen, så skal du have nøglefilen liggende på en usb-key f.eks.
Jeg har Amagerbanken, og de kræve en nøglefil og en kode for at logge på netbank, når du er logget på og laver en overførelse eller betaler via giro, så skal du bruge din kode en gang til.
FY, IVAN! FY! SLEM KOMMUNIST! Tak nelzya! Ne mozhno!
Det er åbenbart noget af en trojan de har fået lavet. Tag et kik på detaljerne. Den har også en Tysk version. Den nægter dig adgang til diverse antivirus sider, etc, and listen to this -
"When the backdoor's main component accesses the skyinet.info website with a specially costructed URL, the site offers a URL to a file named samki.exe. This file contains a nasty payload - it renames several files that represent the key Windows components (for example kernel32.dll, explorer.exe and so on) and destroys the Registry database. So after system restart Windows becomes unbootable and damaged beyond repair."
Vi er ovre i noget der imellem et rootkit og en ond trojan her. Den loader sig selv ind i filer så som mozilla.exe, icq.exe, etc.
Se det selv, og hav' et spejl klar så du kan se dit fortvivlede ansigtsudtryk når du ser hvad den egentlig kan.
Det er åbenbart noget af en trojan de har fået lavet. Tag et kik på detaljerne. Den har også en Tysk version. Den nægter dig adgang til diverse antivirus sider, etc, and listen to this -
"When the backdoor's main component accesses the skyinet.info website with a specially costructed URL, the site offers a URL to a file named samki.exe. This file contains a nasty payload - it renames several files that represent the key Windows components (for example kernel32.dll, explorer.exe and so on) and destroys the Registry database. So after system restart Windows becomes unbootable and damaged beyond repair."
Vi er ovre i noget der imellem et rootkit og en ond trojan her. Den loader sig selv ind i filer så som mozilla.exe, icq.exe, etc.
Se det selv, og hav' et spejl klar så du kan se dit fortvivlede ansigtsudtryk når du ser hvad den egentlig kan.
#3, #19 og #21, som jeg viste i praksis i et lille projekt på universitetet er det sådanne set let nok at bryde selv Jyske Netbank eller andre banker med engangs nøgler. Det kræver blot du kan være "man in the middle". Kan man installere en trojan, keylogger m.v. kan man også oftest modificere selve browseren og dermed blive "man in the middle".
Er man først der er SSL forbindelse ligegyldig da man kan komme ind før den. Indtastning af URL eller brug af falske websider ligegyldig da man blot modificere det request browseren sender til banken. Fx. modificere kontonummeret og beløbet brugeren vil overføre. Det retter man så bare igen inden svaret vises til brugeren. Når han indtaster sine koder m.v. retter man blot igen. Retter man evt. også konto oversigt o.l. vil han først finde ud af at noget er galt når nogen brokker sig over de ikke har modtaget penge, eller han modtager et papir kontoudtog fra banken.
Dette er blot lidt svære end at bruge en standard trojan, keylogger, men på ingen måde umuligt. Sikkerheden bunder i at man kan stole på at ens computer gør det rigtige. Diverse sikkerheds metoder man bruger kan kun beskytte mod ondskab på internettet, men ikke ondskab på ens egen computer. Vil man gøre det mere sikkert skulle man bruge en eksterne "sikker" enhed til at verificere og godkende transaktionen. I praksis evt. en anden kommunikationskanal, fx. mobiltelefonen. Ikke at dette ikke kan brydes. Det er blot svære, da 2 enheder skal kompromiteres samtidigt.
Det er så et spørgsmål om hvor sikkert banken vil gøre det. Mere sikkert er ofte lig med mere besværligt. For en bank betyder det måske mistet forretning. Så hvor meget koster den mistede forretning mod de indbrud der måtte komme...
Er man først der er SSL forbindelse ligegyldig da man kan komme ind før den. Indtastning af URL eller brug af falske websider ligegyldig da man blot modificere det request browseren sender til banken. Fx. modificere kontonummeret og beløbet brugeren vil overføre. Det retter man så bare igen inden svaret vises til brugeren. Når han indtaster sine koder m.v. retter man blot igen. Retter man evt. også konto oversigt o.l. vil han først finde ud af at noget er galt når nogen brokker sig over de ikke har modtaget penge, eller han modtager et papir kontoudtog fra banken.
Dette er blot lidt svære end at bruge en standard trojan, keylogger, men på ingen måde umuligt. Sikkerheden bunder i at man kan stole på at ens computer gør det rigtige. Diverse sikkerheds metoder man bruger kan kun beskytte mod ondskab på internettet, men ikke ondskab på ens egen computer. Vil man gøre det mere sikkert skulle man bruge en eksterne "sikker" enhed til at verificere og godkende transaktionen. I praksis evt. en anden kommunikationskanal, fx. mobiltelefonen. Ikke at dette ikke kan brydes. Det er blot svære, da 2 enheder skal kompromiteres samtidigt.
Det er så et spørgsmål om hvor sikkert banken vil gøre det. Mere sikkert er ofte lig med mere besværligt. For en bank betyder det måske mistet forretning. Så hvor meget koster den mistede forretning mod de indbrud der måtte komme...
desværre sker dette alt for mange gange, man kan smide nok så mange millioner efter sikkerheden på banksystemer m.m. men focus skal være mere på den der logger ind, og bruger systemerne.
kunne f.eks. være en ide at tilbyde kunderne et online kursus i hvordan de skal forholde sig til online sikkerhed. det koster da lidt penge men skulle nok kunne betale sig selv ind i længden, og lære deres bruger hvordan man bruger nettet mere sikkert.
dette er self ikke for alle brugere, men til dem som molle føler sig "sikker" på nettet. og det er oftest dem som ryger i "fælden"
man skal lære folk at udvise sund fornuft, også online
kunne f.eks. være en ide at tilbyde kunderne et online kursus i hvordan de skal forholde sig til online sikkerhed. det koster da lidt penge men skulle nok kunne betale sig selv ind i længden, og lære deres bruger hvordan man bruger nettet mere sikkert.
dette er self ikke for alle brugere, men til dem som molle føler sig "sikker" på nettet. og det er oftest dem som ryger i "fælden"
man skal lære folk at udvise sund fornuft, også online
#26 Du har selvfølgelig din reg fil liggende på en kodeords beskyttet USB nøgle, når du rejser eller bruger computere i webcafeer.
Og du kopierer den aldrig ind på nogen fremmed computer !
Lidt besværligt, men helt sikkert når man rejser rundt som bagpacker, og checker posteringer og PBS betalinger i Netbank fra Thailand.
Men husk at her er PC sikkerheden pine død nødvendig, så lad hellere være, hvis du er i tvivl om at IT sikkerheden er i orden. Lidt som at give sit Visa kort til en meget skummel tjener !
Og du kopierer den aldrig ind på nogen fremmed computer !
Lidt besværligt, men helt sikkert når man rejser rundt som bagpacker, og checker posteringer og PBS betalinger i Netbank fra Thailand.
Men husk at her er PC sikkerheden pine død nødvendig, så lad hellere være, hvis du er i tvivl om at IT sikkerheden er i orden. Lidt som at give sit Visa kort til en meget skummel tjener !
Der er Lån og Spar banks faktisk meget smartere. Man kan vælge at have en nøglefil og brugnavn/kodeord. Men man kan også vælge bare at have brugernavn/kodeord, og så kan man se ens konti, og hvis man vil overføre penge, skal man også bruge en anden kode end til ens login plus en engangskode som man modtager på sin mobil. Derved er der ingen chance for at ens koder/nøglefiler kan blive stjålet/keylogget.
da det er en engangskode kan den kun bruges en gang, og for at jeg kan modtage en sms med den rigtige kode kræver det jo at jeg er i forbindelse med min rigtige netbank.
ja, men tyven har installeret et program på din computer, så han han styrer din computer realtime. I det splitsekund du indtaster koden, så godkender du tyvens transaktion. Med andre ord, din egen transaktion bliver aldrig udført
Kig med her http://groups.google.dk/group/dk.edb.sikkerhed/top...
her er denne type for man-in-the-middle angreb allerede blevet diskuteret
her er denne type for man-in-the-middle angreb allerede blevet diskuteret
#26
Før man laver en overførsel hos Nordea i danmark kræver det også at man skriver sit kodeord igen, men jeg ved ikke hvor god sikkerhed det er overfor sager som denne, for koden er som sagt den samme, så har du allerede koden til at logge ind, har du også koden til at overføre penge med.
Før man laver en overførsel hos Nordea i danmark kræver det også at man skriver sit kodeord igen, men jeg ved ikke hvor god sikkerhed det er overfor sager som denne, for koden er som sagt den samme, så har du allerede koden til at logge ind, har du også koden til at overføre penge med.
Mac forhindrer desværre ikke dumhed. Måske tværtimod... Nej, nu skal jeg ikke være alt for kritisk overfor en maskine der stort set ikke er kompatibel med alt andet en Blizzards spil! ;-)
Fik ikke sat linket ind i min sidste post. Her er det: http://www.f-secure.com/v-descs/haxdoor_ki.shtml
Fik ikke sat linket ind i min sidste post. Her er det: http://www.f-secure.com/v-descs/haxdoor_ki.shtml
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund