Nordea sikkerhed?

[Kasper Laudrup]

Hej gruppe,

Da jeg nu så et andet indlæg omkring Nordea, tænkte jeg på, om nogen
tilfældigvis så TV-avisen i går, hvor en repræsentant fra Nordea
argumenterede for sikkerheden i deres netbank. I forbindelse med angreb i
Sverige havde "hackere" fået fat i brugeres password ved at installere
keyloggere (formentligt via trojanere i emails), men han argumenterede så
for, at sikkerheden i den danske Nordea var langt bedre, da man
også brugte nøglefiler.

Nu bruger jeg ikke selv Nordea og er ikke nogen sikkerhedsekspert, men er
det ikke umiddelbart noget vrøvl? Hvis man har kontrol nok over offerets
computer til at installere en keylogger, er det vel intet problem at få
fat i den nævnte nøglefil også, det er vel egentligt hurtigere end at
vente på at brugeren indtaster sit password?

Har jeg misforstået noget?

Nu bruger jeg som sagt ikke selv Nordea, så spørgsmålet er blot ud fra
generel interesse...

Mvh.
Kasper

[Klaus Ellegaard]

Post by Kasper Laudrup
Nu bruger jeg ikke selv Nordea og er ikke nogen sikkerhedsekspert, men er
det ikke umiddelbart noget vrøvl? Hvis man har kontrol nok over offerets
computer til at installere en keylogger, er det vel intet problem at få
fat i den nævnte nøglefil også, det er vel egentligt hurtigere end at
vente på at brugeren indtaster sit password?

Jo, det er noget vrøvl. Kombinationen af en nøgle og et password
er den mest usikre metode, når pc'en først er kompromitteret.

Løsninger med tokens (Danske Banks "Mac-version") og éngangs-
nøgler (Jyske Bank) er klart at foretrække. De kræver nemlig
begge adgang til noget fysisk, som hackeren umuligt kan få fat
i online.

Det er klart, at alle metoderne er sårbare over for "Man in
the middle"-angreb, men der er nogle timing-issues i det, der
gør dem upraktiske. Især når der er så mange nøgle-baserede
løsninger, der er simple at misbruge.

Mvh.
Klaus.

[Kasper Laudrup]

Post by Klaus Ellegaard

Post by Kasper Laudrup
Nu bruger jeg ikke selv Nordea og er ikke nogen sikkerhedsekspert, men er
det ikke umiddelbart noget vrøvl? Hvis man har kontrol nok over offerets
computer til at installere en keylogger, er det vel intet problem at få
fat i den nævnte nøglefil også, det er vel egentligt hurtigere end at
vente på at brugeren indtaster sit password?

Jo, det er noget vrøvl. Kombinationen af en nøgle og et password
er den mest usikre metode, når pc'en først er kompromitteret.
Løsninger med tokens (Danske Banks "Mac-version") og éngangs-
nøgler (Jyske Bank) er klart at foretrække. De kræver nemlig
begge adgang til noget fysisk, som hackeren umuligt kan få fat
i online.

Det er også derfor jeg føler mig relativt sikker med Jyske Bank, som
også fungerer uden problemer under andre operativsystemer end Windows.
Derudover slipper man også for at rende rundt med en nøglefil på en
diskette, USB-nøgle eller lignede som alligevel ikke giver ekstra
sikkerhed.

Post by Klaus Ellegaard
Det er klart, at alle metoderne er sårbare over for "Man in the
middle"-angreb, men der er nogle timing-issues i det, der gør dem
upraktiske. Især når der er så mange nøgle-baserede løsninger, der
er simple at misbruge.
Mvh.
Klaus.

Så vidt jeg har læst og forstået er man-in-the-middle attacks næppe
den store risiko i praksis. Det er nok snarere en teoretisk mulighed, men
i praksis viser det sig jo, at det er langt nemmere at få folk til
friviligt at installere et program på sin computer, så det er indtil
videre ikke besværet værd.

Tak for dit svar!

Mvh.
Kasper

[J.K.Arning]

Post by Klaus Ellegaard
Løsninger med tokens (Danske Banks "Mac-version") og éngangs-
nøgler (Jyske Bank) er klart at foretrække. De kræver nemlig
begge adgang til noget fysisk, som hackeren umuligt kan få fat
i online.

Jeg har både konto og netbank i Nordea DK og Nordea SE. I sverige benytter
jeg brugernanvn, adgangskode + engangs adgangskode fra et fysisk kort hvor
jeg skraber denne engangs adgangskode fri når jeg skal bruge den. Hvordan
det skulle kunne lykkedes nogen at omgå dette er mig en gåde men jeg så så
heller ikke det omtalte program.

Og så vil jeg tilføje at Nordea SE løsningen er langt dne letteste at
benytte i hverdagen da jeg reelt kan tilgå min netbank lige hvor jeg vil
uden at skulle have andet end nøglekortet i lommen.

[jørgen]

Post by J.K.Arning
Jeg har både konto og netbank i Nordea DK og Nordea SE. I sverige benytter
jeg brugernanvn, adgangskode + engangs adgangskode fra et fysisk kort hvor
jeg skraber denne engangs adgangskode fri når jeg skal bruge den. Hvordan
det skulle kunne lykkedes nogen at omgå dette er mig en gåde men jeg så så
heller ikke det omtalte program.

Een åbenlys mulighed er, at trojeren ringer hackeren op når du tilgår
banken. Mens du er logget ind, har han også adgang

[J.K.Arning]

Post by jørgen

Post by J.K.Arning
Jeg har både konto og netbank i Nordea DK og Nordea SE. I sverige benytter
jeg brugernanvn, adgangskode + engangs adgangskode fra et fysisk kort hvor
jeg skraber denne engangs adgangskode fri når jeg skal bruge den. Hvordan
det skulle kunne lykkedes nogen at omgå dette er mig en gåde men jeg så så
heller ikke det omtalte program.

Een åbenlys mulighed er, at trojeren ringer hackeren op når du tilgår
banken. Mens du er logget ind, har han også adgang

Enhver handling i netbanken skal bekræftes med en engangs kode. Logind
kræver en kode. At afsende en betaling eller flere samtidigt kræver en ny
kode m.m. så hvordan skulle en hacker kunne foretage sig noget uden
engangskoder?

[J.K.Arning]

Post by J.K.Arning
Enhver handling i netbanken skal bekræftes med en engangs kode. Logind
kræver en kode. At afsende en betaling eller flere samtidigt kræver en ny
kode m.m. så hvordan skulle en hacker kunne foretage sig noget uden
engangskoder?

Sagt på en anden måde, det kræver en engangskode at logge ind, hvis du ikke
kan oplyse en ny engangskode kan du intet foretage dig udover at se en
saldo eller generelt browse rundt på siden.

[jørgen]

Post by J.K.Arning
Sagt på en anden måde, det kræver en engangskode at logge ind, hvis du ikke
kan oplyse en ny engangskode kan du intet foretage dig udover at se en
saldo eller generelt browse rundt på siden.

Ok, jeg antog man kun skulle bruge engangskoden til at logge på.

Så kan man måske forestille sig systemet brudt ved, at hackeren viser
een ting for brugeren, og en anden ting for banken. Dvs det er et
forkert kontonr og pengebeløb brugeren godkender

[J.K.Arning]

Post by jørgen

Post by J.K.Arning
Sagt på en anden måde, det kræver en engangskode at logge ind, hvis du ikke
kan oplyse en ny engangskode kan du intet foretage dig udover at se en
saldo eller generelt browse rundt på siden.

Ok, jeg antog man kun skulle bruge engangskoden til at logge på.
Så kan man måske forestille sig systemet brudt ved, at hackeren viser
een ting for brugeren, og en anden ting for banken. Dvs det er et
forkert kontonr og pengebeløb brugeren godkender

Ja det ville give mening, men så skal hackeren altså også som du vistnok
tidligere skriver rent faktisk være tilstede lige når det sker.

[Christian Laursen]

Post by J.K.Arning

Post by jørgen
Så kan man måske forestille sig systemet brudt ved, at hackeren viser
een ting for brugeren, og en anden ting for banken. Dvs det er et
forkert kontonr og pengebeløb brugeren godkender

Ja det ville give mening, men så skal hackeren altså også som du vistnok
tidligere skriver rent faktisk være tilstede lige når det sker.

Den slags kan da automatiseres.

[unknown]

Check Danske Banks "active card"

Forskellig kode og adgang hver gang som virker i 20 sekunder! . . .
- betyder at der er intet gemt på computeren og banken kan kontaktes fra
enhver computer . . .

[jørgen]

Post by unknown
Check Danske Banks "active card"
Forskellig kode og adgang hver gang som virker i 20 sekunder! . . .
- betyder at der er intet gemt på computeren og banken kan kontaktes fra
enhver computer . . .

Det er da meget godt. Men hvis hackeren har infiltreret computeren, og
kan opfange engangskoden i det splitsekund den indtastes; så er der vel
ikke noget som forhindrer ham i at "annullere" brugerens egen
pengeoverførsel, og udføre sin egen - med den gyldige kode?

[gil]

Post by jørgen
Det er da meget godt. Men hvis hackeren har infiltreret computeren, og
kan opfange engangskoden i det splitsekund den indtastes; så er der vel
ikke noget som forhindrer ham i at "annullere" brugerens egen
pengeoverførsel, og udføre sin egen - med den gyldige kode?

Først skal du logge på med en engangskode. For at gennemføre en
overførsel skal denne konfirmeres med endnu en kode. Man aflæser på
skærmen en af banken genereret kode, denne indtastes i ens Active Card
som så generer koden til bekræftigelse. Virker *meget* vandtæt.

[jørgen]

Post by gil
Virker *meget* vandtæt.

Måske. Jeg har 0% kendskab til hvordan den tekniske del af systemet er
bygget op. Så jeg tør ikke sige hvad der er muligt, og hvad der ikke er

[gil]

Post by jørgen
Måske. Jeg har 0% kendskab til hvordan den tekniske del af systemet er
bygget op. Så jeg tør ikke sige hvad der er muligt, og hvad der ikke er

Lidt mere om produktet:
http://www.itsecuritymall.com/actividentity/tokens_feat.html

[jørgen]

Post by gil
http://www.itsecuritymall.com/actividentity/tokens_feat.html

Den del er muligvis sikker nok. Det er hvordan systemet behandler den
token og overførslen brugeren er ved at godkende, som måske kan være hullet

[gil]

Post by jørgen
Den del er muligvis sikker nok. Det er hvordan systemet behandler den
token og overførslen brugeren er ved at godkende, som måske kan være hullet

Det er jeg helt med på; men umiddelbart virker konstruktionen med nye
koder, hver gang der skal foretages en transaktion, som en mere
gennemtænk løsning, sammenlignet med visse andre løsninger.

[Andreas Plesner Jacobsen]

Post by gil
Først skal du logge på med en engangskode. For at gennemføre en
overførsel skal denne konfirmeres med endnu en kode. Man aflæser på
skærmen en af banken genereret kode, denne indtastes i ens Active Card
som så generer koden til bekræftigelse. Virker *meget* vandtæt.

Jørgen har dog ret i at man kan udføre et man-in-the-middle angreb, og
udskifte brugerens transaktion med ens egen.

[gil]

Post by Andreas Plesner Jacobsen
Jørgen har dog ret i at man kan udføre et man-in-the-middle angreb, og
udskifte brugerens transaktion med ens egen.

Nej, i det separate skærmbillede hvor accept koden skal indtastes
fremgår det klart hvad det er der vil ske når koden er indtastet og man
trykker OK. Altså i klart sprog fra hvor til hvor.

[Kent Friis]

Post by gil

Post by Andreas Plesner Jacobsen
Jørgen har dog ret i at man kan udføre et man-in-the-middle angreb, og
udskifte brugerens transaktion med ens egen.

Nej, i det separate skærmbillede hvor accept koden skal indtastes
fremgår det klart hvad det er der vil ske når koden er indtastet og man
trykker OK. Altså i klart sprog fra hvor til hvor.

Hvilken garanti har du for at det der står på skærmen er det samme som
bliver sendt over netværket?

Mvh
Kent

[gil]

Post by Kent Friis
Hvilken garanti har du for at det der står på skærmen er det samme som
bliver sendt over netværket?

OM koden, der skal laves accept på, er unik i forhold til det som *jeg*
mener at have gang i, ved jeg ikke; men umiddelbart efter at have
trykket OK, så vil transaktionen fremgå af kontoen, er dette ikke i
overensstemmelse med det tilsigtede, ja så må alle alarmklokker vel
ringe. *Jeg* tror det er lang ude; men alt kan jo lade sige gøre, siger
nogle.

[Kent Friis]

Post by gil

Post by Kent Friis
Hvilken garanti har du for at det der står på skærmen er det samme som
bliver sendt over netværket?

OM koden, der skal laves accept på, er unik i forhold til det som *jeg*
mener at have gang i, ved jeg ikke;

Det kan den ikke være. Banken ved ikke hvad du mener at have gang i,
de ved kun hvad de modtager fra den angrebne maskine. Og du ved ikke
hvad banken tror du vil, og koden du skal indtaste kan heller ikke
fortælle det.

Post by gil
men umiddelbart efter at have
trykket OK, så vil transaktionen fremgå af kontoen,

Men det kan du jo ikke se før du får næste kontoudtog fra banken. Den
angrebne PC kan jo bare fortælle dig hvad den tror du vil vide (nemlig
at du har overført de penge du bad om til den rigtige konto).

Post by gil
er dette ikke i
overensstemmelse med det tilsigtede, ja så må alle alarmklokker vel
ringe.

Når først du opdager det er kontoen tom.

Post by gil
*Jeg* tror det er lang ude; men alt kan jo lade sige gøre, siger
nogle.

Det kan sagtens lad sig gøre. Der er en masse arbejde i det, og en
stor del af arbejdet vil være bank-specifikt, så der er klart nemmere
mål at angribe.

Mvh
Kent

[gil]

Post by Kent Friis
Hvilken garanti har du for at det der står på skærmen er det samme som
bliver sendt over netværket?

Danske Bank erkender i dag, i JP, at de bliver lænset; men efter
artiklen at dømme, er det på systemer med nøglefiler problemet skal findes.

http://epn.dk/finans/pengeinstitutter/article17286.ece

[Michael Rasmussen]

On Sat, 20 Jan 2007 16:03:09 +0100

Post by jørgen
Det er da meget godt. Men hvis hackeren har infiltreret computeren,
og kan opfange engangskoden i det splitsekund den indtastes; så er
der vel ikke noget som forhindrer ham i at "annullere" brugerens egen
pengeoverførsel, og udføre sin egen - med den gyldige kode?

Virker ikke. Den generede kode gælder for een handling. I ovenstående
tilfælde gælder koden annulleringen, hvorfor det kræver generering af
ny kode, for at gennemfører en ny pengeoverførsel.

[Kent Friis]

Post by jørgen
Det er da meget godt. Men hvis hackeren har infiltreret computeren,
og kan opfange engangskoden i det splitsekund den indtastes; s=E5 er
der vel ikke noget som forhindrer ham i at "annullere" brugerens egen=20
pengeoverf=F8rsel, og udf=F8re sin egen - med den gyldige kode?

Virker ikke. Den generede kode g=E6lder for een handling. I ovenst=E5ende
tilf=E6lde g=E6lder koden annulleringen, hvorfor det kr=E6ver generering af
ny kode, for at gennemf=F8rer en ny pengeoverf=F8rsel.

Du misforstår ham. Læs "annulere" som smide væk / erstatte med sin
egen betaling.

Altså vise kundens data på skærmen, men sende sine egne til banken.

Mvh
Kent

[Alex Holst]

Post by J.K.Arning
Jeg har både konto og netbank i Nordea DK og Nordea SE. I sverige benytter
jeg brugernanvn, adgangskode + engangs adgangskode fra et fysisk kort hvor
jeg skraber denne engangs adgangskode fri når jeg skal bruge den. Hvordan
det skulle kunne lykkedes nogen at omgå dette er mig en gåde men jeg så så
heller ikke det omtalte program.

Jeg så det heller ikke, men det er min forståelse at angrebet, i bedste
mitm stil, opsnappede engangskoderne og ændrede på transaktionerne inden
de blev afsendt.

[Erling S.]

Post by Kasper Laudrup
Hej gruppe,
Da jeg nu så et andet indlæg omkring Nordea, tænkte jeg på, om nogen
tilfældigvis så TV-avisen i går, hvor en repræsentant fra Nordea
argumenterede for sikkerheden i deres netbank. I forbindelse med angreb i
Sverige havde "hackere" fået fat i brugeres password ved at installere
keyloggere (formentligt via trojanere i emails), men han argumenterede så
for, at sikkerheden i den danske Nordea var langt bedre, da man
også brugte nøglefiler.
Nu bruger jeg ikke selv Nordea og er ikke nogen sikkerhedsekspert, men er
det ikke umiddelbart noget vrøvl? Hvis man har kontrol nok over offerets
computer til at installere en keylogger, er det vel intet problem at få
fat i den nævnte nøglefil også, det er vel egentligt hurtigere end at
vente på at brugeren indtaster sit password?
Har jeg misforstået noget?
Nu bruger jeg som sagt ikke selv Nordea, så spørgsmålet er blot ud fra
generel interesse...
Mvh.
Kasper

Hej.
Jo umiddelbart skulle man tro, at en dygtig hacker sagtens kunne få fat
i nøglefilen, som mange lægger på deres harddisk.
Lidt sværere er det for dem, hvis man i stedet har sin nøglefil på en
diskette eller usb-stick - hvor de netop skal "være der", mens man
bruger nøglefilen (den kan jo også stjæles bogstavelig - hvis man ikke
passer på sine filer).
Men i princippet er man aldrig 100% sikker.
Der kunne nok gøres mere fra Nordeas side for at sikre deres systemer bedre.
/Erling

[Bjarke Andersen]

Post by Kasper Laudrup
Da jeg nu så et andet indlæg omkring Nordea, tænkte jeg på, om nogen
tilfældigvis så TV-avisen i går, hvor en repræsentant fra Nordea
argumenterede for sikkerheden i deres netbank. I forbindelse med angreb i
Sverige havde "hackere" fået fat i brugeres password ved at installere
keyloggere (formentligt via trojanere i emails), men han argumenterede så
for, at sikkerheden i den danske Nordea var langt bedre, da man
også brugte nøglefiler.

Tja nøglefiler kan tages ud af computeren.

Post by Kasper Laudrup
Nu bruger jeg ikke selv Nordea og er ikke nogen sikkerhedsekspert, men er
det ikke umiddelbart noget vrøvl? Hvis man har kontrol nok over offerets
computer til at installere en keylogger, er det vel intet problem at få
fat i den nævnte nøglefil også, det er vel egentligt hurtigere end at
vente på at brugeren indtaster sit password?

Jeg vil sige du har ret.

Dog undrer denne Nordea sag mig. Da for et år eller 2 siden var lignende
sag i Danmark, brystede svenske Nordea sig med at anvende skrabelodder
eller med engangkoder.

Har Nordea i Sverige nedgraderet sikkerheden?

I min verden burde alle banker udlevere Secur-ID eller lign, da de giver et
niveau sikkerhed mere. Udover man skal kende login, og have evt
sikkerhedsnøgler fra maskinen, skal man osse fysisk have fat i
nøglegeneratoren, som kunden har.

Sorry for manglende rigtig buzz word. Jeg har savsmuld i øjnene og hjernen
er gået kold.

[J.K.Arning]

Post by Bjarke Andersen
Dog undrer denne Nordea sag mig. Da for et år eller 2 siden var lignende
sag i Danmark, brystede svenske Nordea sig med at anvende skrabelodder
eller med engangkoder.
Har Nordea i Sverige nedgraderet sikkerheden?

Nej det har de ikke og derfor undrer historien mig også men som skrevet i
et andet indlæg så så jeg ikke programmet.

[Alex Holst]

Post by Bjarke Andersen
I min verden burde alle banker udlevere Secur-ID eller lign, da de giver et
niveau sikkerhed mere. Udover man skal kende login, og have evt
sikkerhedsnøgler fra maskinen, skal man osse fysisk have fat i
nøglegeneratoren, som kunden har.

Hvis en angriber har totalt kontrol over en brugers maskine, kan intet
forhindre at brugerens godkendte transaktioner bliver omskrevet inden de
sendes til banken.

(Personligt kunne jeg godt tænke mig at det at benytte netbank fra en
angrebet PC sidestilles med at opbevare Dankort og pinkode sammen. Så
hæfter kunden for evt. tab.)

[jørgen]

Post by Alex Holst
(Personligt kunne jeg godt tænke mig at det at benytte netbank fra en
angrebet PC sidestilles med at opbevare Dankort og pinkode sammen. Så
hæfter kunden for evt. tab.)

Hvorfor dog det? Som computer-verdenen ser ud i dag, kan selv de
dygtigste eksperter blive ramt. Er man oppe mod meget dygtige hackere,
så optager man dem sikkert slet ikke, før det er for sent.

Det er altså ikke det samme, som at skrive sin pinkode på sit dankort

[Alex Holst]

Post by jørgen

Post by Alex Holst
(Personligt kunne jeg godt tænke mig at det at benytte netbank fra en
angrebet PC sidestilles med at opbevare Dankort og pinkode sammen. Så
hæfter kunden for evt. tab.)

Hvorfor dog det? Som computer-verdenen ser ud i dag, kan selv de
dygtigste eksperter blive ramt.

Som computer-verdenen ser ud i dag, kan man let undgå at blive "ramt",
blot man følger nogle relativt simple regler om PC brug. Det virker fint
for menneskerne i min omgangskreds.

Vi har haft denne diskussion en million-milliard gange her i gruppen.

Post by jørgen
Er man oppe mod meget dygtige hackere,
så optager man dem sikkert slet ikke, før det er for sent.
Det er altså ikke det samme, som at skrive sin pinkode på sit dankort

Det er først hvis man bliver udset som mål af angribere der har tid og
resourcer til at finde nye huller i ens operativsystem. Ankelbiderne der
sender malware/phishing mail falder ikke i denne gruppe.

[Axel Hammerschmidt]

Alex Holst <***@mongers.org> wrote:

<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan intet
forhindre at brugerens godkendte transaktioner bliver omskrevet inden de
sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.

Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

[Kent Friis]

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan intet
forhindre at brugerens godkendte transaktioner bliver omskrevet inden de
sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere at
det er de korrekte tal?

Eller med "afhængig af", at beløb + kontonummer er en del af
tallet (som så kommer op i nærheden af 20 cifre), så det kan aflæses
direkte?

Mvh
Kent

[Axel Hammerschmidt]

Post by Kent Friis

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan intet
forhindre at brugerens godkendte transaktioner bliver omskrevet inden de
sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere at
det er de korrekte tal?

Det er kun banken, som er modtager der skal.

Post by Kent Friis
Eller med "afhængig af", at beløb + kontonummer er en del af
tallet (som så kommer op i nærheden af 20 cifre), så det kan aflæses
direkte?

Det behøver det ikke at være. Det kan være alt fra en simpel tværsum til
en hash funktion. Nytten er, at det fungerer som en digital signatur.

[Kent Friis]

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan intet
forhindre at brugerens godkendte transaktioner bliver omskrevet inden de
sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere at
det er de korrekte tal?

Det er kun banken, som er modtager der skal.

Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså når
kunden vil overføre til kontonummer 1234, men banken aldrig ser andet
end kontonummer 4321.

Mvh
Kent

[gil]

Post by Kent Friis
Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså når
kunden vil overføre til kontonummer 1234, men banken aldrig ser andet
end kontonummer 4321.

Hvis banken aldrig ser andet end 4321, så vil jeg jo også blive
præsenteret for det forkerte i skærmbillede hvor accept koden skal
indtastes, right?

[Kent Friis]

Post by gil

Post by Kent Friis
Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså når
kunden vil overføre til kontonummer 1234, men banken aldrig ser andet
end kontonummer 4321.

Hvis banken aldrig ser andet end 4321, så vil jeg jo også blive
præsenteret for det forkerte i skærmbillede hvor accept koden skal
indtastes, right?

Du sidder ikke nede i banken.

Det du ser er hvad din PC viser. Hvis din PC er "h4x0rd", så viser
den det angriberen ønsker du skal se.

Det er hele princippet i et MITM-angreb. Du aner ikke hvad banken
ser, og banken aner ikke hvad du ser.

Mvh
Kent

[gil]

Post by Kent Friis
Du sidder ikke nede i banken.
Det du ser er hvad din PC viser. Hvis din PC er "h4x0rd", så viser
den det angriberen ønsker du skal se.
Det er hele princippet i et MITM-angreb. Du aner ikke hvad banken
ser, og banken aner ikke hvad du ser.

Hvis 'banken' ikke svarer rigtigt på min forespørgsel svarer jeg sku' da
ikke OK. Din teori omfatter to spørgsmål til 'banken', mit og
angriberens. Forventer du to svar fra 'banken'? No way.

[Kent Friis]

Post by gil

Post by Kent Friis
Du sidder ikke nede i banken.
Det du ser er hvad din PC viser. Hvis din PC er "h4x0rd", så viser
den det angriberen ønsker du skal se.
Det er hele princippet i et MITM-angreb. Du aner ikke hvad banken
ser, og banken aner ikke hvad du ser.

Hvis 'banken' ikke svarer rigtigt på min forespørgsel svarer jeg sku' da
ikke OK.

Hvilken forespøgsel?

Mvh
Kent

[gil]

Post by Kent Friis
Hvilken forespøgsel?

Med ActivCard, som bruger adgang, kan min PC ikke overtages af en
angriber, så derfor.

[Kent Friis]

Post by gil

Post by Kent Friis
Hvilken forespøgsel?

Med ActivCard, som bruger adgang, kan min PC ikke overtages af en
angriber, så derfor.

Med den holdning må jeg give Alex ret i at det eneste effektive er
at lade folk selv hæfte for tabet.

Mvh
Kent

[Kent Friis]

Post by gil

Post by Kent Friis
Du sidder ikke nede i banken.
Det du ser er hvad din PC viser. Hvis din PC er "h4x0rd", så viser
den det angriberen ønsker du skal se.
Det er hele princippet i et MITM-angreb. Du aner ikke hvad banken
ser, og banken aner ikke hvad du ser.

Hvis 'banken' ikke svarer rigtigt på min forespørgsel svarer jeg sku' da
ikke OK. Din teori omfatter to spørgsmål til 'banken', mit og
angriberens. Forventer du to svar fra 'banken'? No way.

Det er iøvrigt ikke "min teori". Man in the middle (MITM) angreb har
været kendt i mange år - ja jeg er næsten sikker på at de har været
kendt siden før jeg blev født.

Mvh
Kent

[Axel Hammerschmidt]

Post by Kent Friis

Post by gil

Post by Kent Friis
Du sidder ikke nede i banken.
Det du ser er hvad din PC viser. Hvis din PC er "h4x0rd", så viser
den det angriberen ønsker du skal se.
Det er hele princippet i et MITM-angreb. Du aner ikke hvad banken
ser, og banken aner ikke hvad du ser.

Hvis 'banken' ikke svarer rigtigt på min forespørgsel svarer jeg sku' da
ikke OK. Din teori omfatter to spørgsmål til 'banken', mit og
angriberens. Forventer du to svar fra 'banken'? No way.

Det er iøvrigt ikke "min teori". Man in the middle (MITM) angreb har
været kendt i mange år - ja jeg er næsten sikker på at de har været
kendt siden før jeg blev født.

Men det (man-in-the-middle) er ikke sådan et angreb vi har her.

: Hvis en angriber har totalt kontrol over en brugers maskine, kan intet
: forhindre at brugerens godkendte transaktioner bliver omskrevet inden
: de sendes til banken.

ActivCard er det samme som en OTP.

I øvrigt vil jeg gerne vide hvordan banken ikke har sikret sig mod en
der "har totalt kontrol over en brugers maskine" når det under alle
omstændigheder gælder for kontohaveren?

[Alex Holst]

Post by Axel Hammerschmidt
Men det (man-in-the-middle) er ikke sådan et angreb vi har her.

Angriberen sidder mellem to kommunikationspunkter: Det ene punkt er
brugeren og det andet er bankens servere. Angriberen manipulerer med
data sendt i begge retninger.

Det er ikke *brugeren* der signer eller sender data, det er brugerens
software.. som er under andres kontrol.

Post by Axel Hammerschmidt
I øvrigt vil jeg gerne vide hvordan banken ikke har sikret sig mod en
der "har totalt kontrol over en brugers maskine" når det under alle
omstændigheder gælder for kontohaveren?

Jeg kan ikke lige få ovenstående formulering til at give mening. Kan du
prøve igen? Vil du vide hvordan en bank kan sikre sig mod at en ond
person sidder foran computeren og flytter penge?

[Axel Hammerschmidt]

Post by Alex Holst

Post by Axel Hammerschmidt
Men det (man-in-the-middle) er ikke sådan et angreb vi har her.

Angriberen sidder mellem to kommunikationspunkter: Det ene punkt er
brugeren og det andet er bankens servere. Angriberen manipulerer med
data sendt i begge retninger.
Det er ikke *brugeren* der signer eller sender data, det er brugerens
software.. som er under andres kontrol.

Det er kun indput/output der er under andres (end bankens) kontrol.

Post by Alex Holst

Post by Axel Hammerschmidt
I øvrigt vil jeg gerne vide hvordan banken ikke har sikret sig mod en
der "har totalt kontrol over en brugers maskine" når det under alle
omstændigheder gælder for kontohaveren?

Jeg kan ikke lige få ovenstående formulering til at give mening. Kan du
prøve igen? Vil du vide hvordan en bank kan sikre sig mod at en ond
person sidder foran computeren og flytter penge?

Banken skal "forhindre at brugerens godkendte transaktioner bliver
omskrevet inden de sendes til banken".

[Alex Holst]

Post by Axel Hammerschmidt

Post by Alex Holst
Jeg kan ikke lige få ovenstående formulering til at give mening. Kan du
prøve igen? Vil du vide hvordan en bank kan sikre sig mod at en ond
person sidder foran computeren og flytter penge?

Banken skal "forhindre at brugerens godkendte transaktioner bliver
omskrevet inden de sendes til banken".

Det er umuligt med de fleste nuværende computersystemer og protokoller.
Det er hele pointen i denne diskussion: Hvis andre har kontrol over din
PC, kan du ikke stole på noget som helst.

Med en TPM chip og en chain-of-trust der starter ved power-on, kan man i
det mindste opdage og deaktivere malware, men Microsoft har så travlt
med at benytte TPM chippen til deres egne defekte DRM og anti-piracy
formål at mange brugere ikke vil have noget med deres Trusted Computing
at gøre.

[Axel Hammerschmidt]

Post by Alex Holst

Post by Axel Hammerschmidt

Post by Alex Holst
Jeg kan ikke lige få ovenstående formulering til at give mening. Kan du
prøve igen? Vil du vide hvordan en bank kan sikre sig mod at en ond
person sidder foran computeren og flytter penge?

Banken skal "forhindre at brugerens godkendte transaktioner bliver
omskrevet inden de sendes til banken".

Det er umuligt med de fleste nuværende computersystemer og protokoller.
Det er hele pointen i denne diskussion: Hvis andre har kontrol over din
PC, kan du ikke stole på noget som helst.

Det er så ikke umuligt. Og det er pointen i denne diskussion.

Post by Alex Holst
Med en TPM chip og en chain-of-trust der starter ved power-on, kan man i
det mindste opdage og deaktivere malware, men Microsoft har så travlt
med at benytte TPM chippen til deres egne defekte DRM og anti-piracy
formål at mange brugere ikke vil have noget med deres Trusted Computing
at gøre.

OTP med MAC opnår det samme.

[Alex Holst]

Post by Axel Hammerschmidt

Post by Alex Holst
Med en TPM chip og en chain-of-trust der starter ved power-on, kan man i
det mindste opdage og deaktivere malware, men Microsoft har så travlt
med at benytte TPM chippen til deres egne defekte DRM og anti-piracy
formål at mange brugere ikke vil have noget med deres Trusted Computing
at gøre.

OTP med MAC opnår det samme.

Udtørret svensk pølseret har større sandsynlighed for at hjælpe brugeren
med at opdage og deaktivere malware end "OTP med MAC" nogensinde får.

[Axel Hammerschmidt]

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan intet
forhindre at brugerens godkendte transaktioner bliver omskrevet inden de
sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere at
det er de korrekte tal?

Det er kun banken, som er modtager der skal.

Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså når
kunden vil overføre til kontonummer 1234, men banken aldrig ser andet
end kontonummer 4321.

Kunden indtaster sin bestilling til konto 1234 og sender det. Men banken
modtager en bestilling til konto 4321 og sender et tal svarende hertil
tilbage. Kunden indtaster det tal (challengetallet) i sin ActivCard og
får et nyt tal og sender så et tal svarende til konto 1234 og det nye
tal tilbage.

Hvordan kan en med total kontrol over brugerens computer omskrive dette
nye tal inden det sendes, så det både passer med kontonummer 4321 og det
tal banken har brugt?

Selv om jeg ikke ved hvordan Den Danske Banks ActivCard virker i
detaljer så vil jeg mene, at det ikke bare er et spørgsmål om der kan
være en trediemand et sted med "totalt kontrol over en brugers maskine".
Du har jo selv total kontrol over din egen computer. Så banken har da i
højeste grad en interesse i at en godkendt transaktion ikke kan blive
omskrevet inden det sendes.

[Kent Friis]

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan intet
forhindre at brugerens godkendte transaktioner bliver omskrevet inden de
sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere at
det er de korrekte tal?

Det er kun banken, som er modtager der skal.

Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså når
kunden vil overføre til kontonummer 1234, men banken aldrig ser andet
end kontonummer 4321.

Kunden indtaster sin bestilling til konto 1234 og sender det. Men banken
modtager en bestilling til konto 4321 og sender et tal svarende hertil
tilbage. Kunden indtaster det tal (challengetallet) i sin ActivCard og
får et nyt tal og sender så et tal svarende til konto 1234 og det nye
tal tilbage.

Der mangler et eller andet her. Hvordan ved activcard'en at det er
konto 1234? Vil du have brugeren til at indtaste kontonummeret både
på PC'en og på activecard'en?

Mvh
Kent

[Axel Hammerschmidt]

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan
intet forhindre at brugerens godkendte transaktioner bliver
omskrevet inden de sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde,
men med ActivCard skal man indtraste et tal, som man bliver
præsenteret for på skærmen ved selve transaktionen, i sin
ActivCard. Det tal, som ActivCard melder tilbage skal så indtastes
og bliver sendt tilbage til banken før transaktionen bliver
gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere at
det er de korrekte tal?

Det er kun banken, som er modtager der skal.

Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså når
kunden vil overføre til kontonummer 1234, men banken aldrig ser andet
end kontonummer 4321.

Kunden indtaster sin bestilling til konto 1234 og sender det. Men banken
modtager en bestilling til konto 4321 og sender et tal svarende hertil
tilbage. Kunden indtaster det tal (challengetallet) i sin ActivCard og
får et nyt tal og sender så et tal svarende til konto 1234 og det nye
tal tilbage.

Der mangler et eller andet her. Hvordan ved activcard'en at det er
konto 1234? Vil du have brugeren til at indtaste kontonummeret både
på PC'en og på activecard'en?

Nej. Kunden sender et tal svarende til konto 1234 og det nye tal (fra
ActivCard) tilbage og det er det tal, der så skal omskrives.

[Kent Friis]

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan
intet forhindre at brugerens godkendte transaktioner bliver
omskrevet inden de sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde,
men med ActivCard skal man indtraste et tal, som man bliver
præsenteret for på skærmen ved selve transaktionen, i sin
ActivCard. Det tal, som ActivCard melder tilbage skal så indtastes
og bliver sendt tilbage til banken før transaktionen bliver
gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere at
det er de korrekte tal?

Det er kun banken, som er modtager der skal.

Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså når
kunden vil overføre til kontonummer 1234, men banken aldrig ser andet
end kontonummer 4321.

Kunden indtaster sin bestilling til konto 1234 og sender det. Men banken
modtager en bestilling til konto 4321 og sender et tal svarende hertil
tilbage. Kunden indtaster det tal (challengetallet) i sin ActivCard og
får et nyt tal og sender så et tal svarende til konto 1234 og det nye
tal tilbage.

Der mangler et eller andet her. Hvordan ved activcard'en at det er
konto 1234? Vil du have brugeren til at indtaste kontonummeret både
på PC'en og på activecard'en?

Nej. Kunden sender et tal svarende til konto 1234 og det nye tal (fra
ActivCard) tilbage og det er det tal, der så skal omskrives.

Med "et tal svarende til", mener du da en checksum eller lignende af
kontonummer + tallet fra activcard'en? Skal kunden beregne checksummen
i hovedet? Activecard'en kender ikke kontonummeret, og kan derfor
ikke beregne checksum'en, og hvis det er PC'en der skal beregne den,
har den jo allerede grundlaget for beregningen, og kan bare lave
beregningen med det andet kontonummer.

Mvh
Kent

[gil]

Post by Kent Friis
ikke beregne checksum'en, og hvis det er PC'en der skal beregne den,
har den jo allerede grundlaget for beregningen, og kan bare lave
beregningen med det andet kontonummer.

PC'en skal *aldrig* beregne noget.

[Kent Friis]

Post by gil

Post by Kent Friis
ikke beregne checksum'en, og hvis det er PC'en der skal beregne den,
har den jo allerede grundlaget for beregningen, og kan bare lave
beregningen med det andet kontonummer.

PC'en skal *aldrig* beregne noget.

I så fald er der to valgmuligheder tilbage: Enten at indtaste kontonummer
+ beløb på active-card'en, og lad den beregne det, eller ved at kunden
laver beregningen i hovedet.

Mvh
Kent

[Axel Hammerschmidt]

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan
intet forhindre at brugerens godkendte transaktioner bliver
omskrevet inden de sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde,
men med ActivCard skal man indtraste et tal, som man bliver
præsenteret for på skærmen ved selve transaktionen, i sin
ActivCard. Det tal, som ActivCard melder tilbage skal så indtastes
og bliver sendt tilbage til banken før transaktionen bliver
gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere at
det er de korrekte tal?

Det er kun banken, som er modtager der skal.

Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså når
kunden vil overføre til kontonummer 1234, men banken aldrig ser andet
end kontonummer 4321.

Kunden indtaster sin bestilling til konto 1234 og sender det. Men banken
modtager en bestilling til konto 4321 og sender et tal svarende hertil
tilbage. Kunden indtaster det tal (challengetallet) i sin ActivCard og
får et nyt tal og sender så et tal svarende til konto 1234 og det nye
tal tilbage.

Der mangler et eller andet her. Hvordan ved activcard'en at det er
konto 1234? Vil du have brugeren til at indtaste kontonummeret både
på PC'en og på activecard'en?

Nej. Kunden sender et tal svarende til konto 1234 og det nye tal (fra
ActivCard) tilbage og det er det tal, der så skal omskrives.

Med "et tal svarende til", mener du da en checksum eller lignende af
kontonummer + tallet fra activcard'en?

En check på at f.eks kontonummer ikke er ændret.

Post by Kent Friis
Skal kunden beregne checksummen i hovedet? Activecard'en kender ikke
kontonummeret, og kan derfor ikke beregne checksum'en, og hvis det er
PC'en der skal beregne den, har den jo allerede grundlaget for
beregningen, og kan bare lave beregningen med det andet kontonummer.

Kontrollen kan foregå på kundens maskine, lige efter responstallet
bliver indtastet (vi skal ikke skrive kunden helt ud af forløbet).
Tallet fra ActivCard skal passe med kontonummeret kunden sendte. Eller
(kontrollen kan foregå) hos banken, med det kontonummer banken fik.
Ingen (heller ikke kunden) undtagen banken (og ActivCard - det er
firmaet som laver DDBs Token regnemaskine) kender challenge/respons-
eller kontrol algoritmerne, så kundens godkendte transaktioner kan blive
omskrevet inden de sendes til banken. Hackeren kan ikke mere end kunden,
hvis det skal være realistisk.

[Kent Friis]

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers maskine, kan
intet forhindre at brugerens godkendte transaktioner bliver
omskrevet inden de sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde,
men med ActivCard skal man indtraste et tal, som man bliver
præsenteret for på skærmen ved selve transaktionen, i sin
ActivCard. Det tal, som ActivCard melder tilbage skal så indtastes
og bliver sendt tilbage til banken før transaktionen bliver
gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere at
det er de korrekte tal?

Det er kun banken, som er modtager der skal.

Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså når
kunden vil overføre til kontonummer 1234, men banken aldrig ser andet
end kontonummer 4321.

Kunden indtaster sin bestilling til konto 1234 og sender det. Men banken
modtager en bestilling til konto 4321 og sender et tal svarende hertil
tilbage. Kunden indtaster det tal (challengetallet) i sin ActivCard og
får et nyt tal og sender så et tal svarende til konto 1234 og det nye
tal tilbage.

Der mangler et eller andet her. Hvordan ved activcard'en at det er
konto 1234? Vil du have brugeren til at indtaste kontonummeret både
på PC'en og på activecard'en?

Nej. Kunden sender et tal svarende til konto 1234 og det nye tal (fra
ActivCard) tilbage og det er det tal, der så skal omskrives.

Med "et tal svarende til", mener du da en checksum eller lignende af
kontonummer + tallet fra activcard'en?

En check på at f.eks kontonummer ikke er ændret.

I bankens ende er kontonummeret ikke ændret. Der har altid stået 9999.
I kundens ende er kontonummeret ikke ændret. Der har altid stået 1234.

For at opdage problemet, er du nødt til at sammenligne begge ender,
via en kanal angriberen ikke har kontrol over. Altså udenom kundens
PC.

Post by Axel Hammerschmidt

Post by Kent Friis
Skal kunden beregne checksummen i hovedet? Activecard'en kender ikke
kontonummeret, og kan derfor ikke beregne checksum'en, og hvis det er
PC'en der skal beregne den, har den jo allerede grundlaget for
beregningen, og kan bare lave beregningen med det andet kontonummer.

Kontrollen kan foregå på kundens maskine,

Game over.

Hvis du lader forbryderen stå for kontrollen, har du allerede tabt.

Post by Axel Hammerschmidt
lige efter responstallet
bliver indtastet (vi skal ikke skrive kunden helt ud af forløbet).
Tallet fra ActivCard skal passe med kontonummeret kunden sendte. Eller
(kontrollen kan foregå) hos banken, med det kontonummer banken fik.

Det eneste kontonummer banken fik er 9999, Fup og Svindel A/S.

Post by Axel Hammerschmidt
Ingen (heller ikke kunden) undtagen banken (og ActivCard - det er
firmaet som laver DDBs Token regnemaskine) kender challenge/respons-
eller kontrol algoritmerne, så kundens godkendte transaktioner kan blive
omskrevet inden de sendes til banken. Hackeren kan ikke mere end kunden,
hvis det skal være realistisk.

Han har ikke brug for at kunne mere end kunden. Kunden kan tømme sin
egen konto.

Mvh
Kent

[Axel Hammerschmidt]

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt
<snip>

Post by Alex Holst
Hvis en angriber har totalt kontrol over en brugers
maskine, kan intet forhindre at brugerens godkendte
transaktioner bliver omskrevet inden de sendes til banken.

Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den
måde, men med ActivCard skal man indtraste et tal, som man
bliver præsenteret for på skærmen ved selve transaktionen, i
sin ActivCard. Det tal, som ActivCard melder tilbage skal så
indtastes og bliver sendt tilbage til banken før
transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af
de talværdier, f.eks beløbene og kontonumrer som indgår.

Og hvordan kommer du derfra og til at brugeren kan verificere
at det er de korrekte tal?

Det er kun banken, som er modtager der skal.

Hvordan ved banken hvilket kontonummer kunden tænkte på? Altså
når kunden vil overføre til kontonummer 1234, men banken aldrig
ser andet end kontonummer 4321.

Kunden indtaster sin bestilling til konto 1234 og sender det. Men
banken modtager en bestilling til konto 4321 og sender et tal
svarende hertil tilbage. Kunden indtaster det tal
(challengetallet) i sin ActivCard og får et nyt tal og sender så
et tal svarende til konto 1234 og det nye tal tilbage.

Der mangler et eller andet her. Hvordan ved activcard'en at det er
konto 1234? Vil du have brugeren til at indtaste kontonummeret både
på PC'en og på activecard'en?

Nej. Kunden sender et tal svarende til konto 1234 og det nye tal (fra
ActivCard) tilbage og det er det tal, der så skal omskrives.

Med "et tal svarende til", mener du da en checksum eller lignende af
kontonummer + tallet fra activcard'en?

En check på at f.eks kontonummer ikke er ændret.

I bankens ende er kontonummeret ikke ændret. Der har altid stået 9999.
I kundens ende er kontonummeret ikke ændret. Der har altid stået 1234.
For at opdage problemet, er du nødt til at sammenligne begge ender,
via en kanal angriberen ikke har kontrol over. Altså udenom kundens
PC.

Det behøver banken ikke for at opdage at der er med OTP og MAC.

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Kent Friis
Skal kunden beregne checksummen i hovedet? Activecard'en kender ikke
kontonummeret, og kan derfor ikke beregne checksum'en, og hvis det er
PC'en der skal beregne den, har den jo allerede grundlaget for
beregningen, og kan bare lave beregningen med det andet kontonummer.

Kontrollen kan foregå på kundens maskine,

Game over.
Hvis du lader forbryderen stå for kontrollen, har du allerede tabt.

Angriberen har samme begrænsede kontrol som kunden.

Post by Kent Friis

Post by Axel Hammerschmidt
lige efter responstallet bliver indtastet (vi skal ikke skrive kunden
helt ud af forløbet). Tallet fra ActivCard skal passe med kontonummeret
kunden sendte. Eller (kontrollen kan foregå) hos banken, med det
kontonummer banken fik.

Det eneste kontonummer banken fik er 9999, Fup og Svindel A/S.

Det er lige meget, når transaktionen ikke gennemføres.

Post by Kent Friis

Post by Axel Hammerschmidt
Ingen (heller ikke kunden) undtagen banken (og ActivCard - det er
firmaet som laver DDBs Token regnemaskine) kender challenge/respons-
eller kontrol algoritmerne, så kundens godkendte transaktioner kan blive
omskrevet inden de sendes til banken. Hackeren kan ikke mere end kunden,
hvis det skal være realistisk.

Han har ikke brug for at kunne mere end kunden. Kunden kan tømme sin
egen konto.

Selvfølgelig kan han det, men så passer det der kommer efter
challenge/respons osse med kontonummeret.

[Alex Holst]

Post by Axel Hammerschmidt
Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Hvad forhindrer en angriber i at sende "onde" beløb og kontonr til
banken, men vise brugeren de rigtige beløb og kontonr sammen med en
challenge der er baseret på angriberens valgte data?

Når andre har kontrol over din PC, kan du ikke længere stole på noget
som helst. Jeg kan anbefale at læse Ross Andersons "Security
Engineering", der behandler dette emne rimeligt godt.

[gil]

Post by Alex Holst
Hvad forhindrer en angriber i at sende "onde" beløb og kontonr til
banken, men vise brugeren de rigtige beløb og kontonr sammen med en
challenge der er baseret på angriberens valgte data?

Jeg taster et kontonummer, tal. I skærmbilledet hvor acceptkoden tastes
er kontonummeret omsat til klart sprog. Hvis banken modtager et "ondt
beløb og kontonummer"; vil mit skærmbillede (acceptkode rammen) vise en
forkert modtager.

[Alex Holst]

Post by gil
Jeg taster et kontonummer, tal. I skærmbilledet hvor acceptkoden tastes
er kontonummeret omsat til klart sprog. Hvis banken modtager et "ondt
beløb og kontonummer"; vil mit skærmbillede (acceptkode rammen) vise en
forkert modtager.

Softwaren der er ansvarlig for at vise kontonummeret kan påvirkes
ligesom alt andet på din maskine.

(Hvad mener du med 'omsat til klart sprog'?)

[gil]

Post by Alex Holst
(Hvad mener du med 'omsat til klart sprog'?)

1234567890 bliver til "Ole's skothandel".

[jørgen]

Post by gil
1234567890 bliver til "Ole's skothandel".

Anden gang man sender til samme konto, så ved tyven hvad 1234567890 betyder

[gil]

Post by jørgen
Anden gang man sender til samme konto, så ved tyven hvad 1234567890 betyder

Acceptkoden er *aldrig* den samme.

[Kent Friis]

Post by gil

Post by jørgen
Anden gang man sender til samme konto, så ved tyven hvad 1234567890 betyder

Acceptkoden er *aldrig* den samme.

Det var kontonummeret du snakkede om.

Mvh
Kent

[Klaus Ellegaard]

Post by gil

Post by Alex Holst
(Hvad mener du med 'omsat til klart sprog'?)

1234567890 bliver til "Ole's skothandel".

Det sker kun ved overførsler inden for samme pengeinstitut. Hvis man
f.eks. overfører penge til en anden bank eller udlandet, har banken
ikke (altid) information om indehaveren.

Den onde mand skal altså bare vente på, at brugeren overfører penge
til et andet pengeinstitut.

Mvh.
Klaus.

[Alex Holst]

Post by gil

Post by Alex Holst
(Hvad mener du med 'omsat til klart sprog'?)

1234567890 bliver til "Ole's skothandel".

Så vidt jeg ved kan man ikke lave vilkårlige opslag på kontonumre og få
ejeridentifikation tilbage i hovedet, så det er sikkert info som er
tilgængelig på anden vis. Malwaren kan hente den oplysning samme sted
som brugerens software gør.

[gil]

Post by Alex Holst
ejeridentifikation tilbage i hovedet, så det er sikkert info som er
tilgængelig på anden vis. Malwaren kan hente den oplysning samme sted
som brugerens software gør.

'Brugeren' er i dette tilfælde banken, så, no way.

[jørgen]

Post by gil
'Brugeren' er i dette tilfælde banken, så, no way.

Trojaneren kunne være så snedigt udtænkt, at den benytter banken til at
hente informationer omkring kontoen. Det vil ikke være noget problem,
hvis der først skal indtastes kode til sidst i forløbet.

[Alex Holst]

Post by gil

Post by Alex Holst
ejeridentifikation tilbage i hovedet, så det er sikkert info som er
tilgængelig på anden vis. Malwaren kan hente den oplysning samme sted
som brugerens software gør.

'Brugeren' er i dette tilfælde banken, så, no way.

Nej, "brugeren" er stadigt en person der benytter en PC med malware
installeret.

Det er naturligvis en mulighed at den benyttede protokol ikke tillader
vilkårlige opslag, så derfor vil et stykke malware ikke umiddelbart
kunne pille ved transaktioner inden for samme bank, medmindre brugeren
blindt trykker 'ok'.

[Axel Hammerschmidt]

Post by Alex Holst

Post by Axel Hammerschmidt
Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Hvad forhindrer en angriber i at sende "onde" beløb og kontonr til
banken, men vise brugeren de rigtige beløb og kontonr sammen med en
challenge der er baseret på angriberens valgte data?

Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

Post by Alex Holst
Når andre har kontrol over din PC, kan du ikke længere stole på noget
som helst. Jeg kan anbefale at læse Ross Andersons "Security
Engineering", der behandler dette emne rimeligt godt.

Så kan du måske svare på, om banken ikke har sikret sig mod en der "har
totalt kontrol over en brugers maskine" når det under alle
omstændigheder gælder for kontohaveren?

[Klaus Ellegaard]

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

Teorien her er, at challenges er uafhængige af transaktionen. Der
er vist hverken dokumentation for eller imod den teori.

Da brugerens pc er overtaget af en ond mand, er der ikke længere
sammenhæng mellem det, brugeren taster, og det, der bliver sendt
over nettet.

Således kan brugeren taste "http://ekstrabladet.dk" og få vist
forsiden fra information.dk. Eller alle forekomster af "Fogh"
på siden kan være erstattet med "Ole Sohn".

Eller, mere relevant: Brugeren logger på sin netbank på sædvanlig
vis: brugernavn og talkode oplyst af ActivCard. Han browser lidt
rundt og ser kontooversigter og den slags. Altsammen sker uden at
der fifles med data.

Men nu beder brugeren om at få flyttet 200 kr fra sin egen konto
til konto 123456789 (moster Anna) som betaling for et flot sæt
hjemmehæklede grydelapper.

Denne transaktion bliver ikke sendt til banken. Den onde mand har
erstattet beløbet med 50.000 kr og kontonummeret med 987654321.
Det er altså dette beløb og kontonummer, banken ser. Brugeren tror
stadig, han er i gang med at betale for grydelapperne.

Banken sender nu et tilfældigt challenge til brugeren, som har
reference til overførslens interne nummer - hverken til beløb
eller konto.

Den onde mand erstatter det forkerte beløb og kontonummer med
moster Annas, så brugeren ikke aner uråd. Den glade bruger taster
challenge'et ind på ActivCard'et, får en response-værdi, som han
taster ind i browseren.

Response-værdien sendes uændret til banken, der nu har brugerens
accept(!) på, at 50.000 kroner skal flyttes til den onde mand.


Der er to "problemer" med denne historie:

1. Det antages, at bankens challenge er baseret på et internt
nummer og altså ikke indeholder kodet information om beløb
og/eller kontonumre. Vi kan vist hverken dokumentere for
eller imod den teori.

2. Det er uendeligt meget nemmere at gå efter at udnytte en
bruger, der har sikkerheden baseret på nøglefil og password.
Så selvom ovenstående i princippet er muligt, er det så
besværligt, at ActivCard'et i praksis må siges at være så
godt som 100% sikkert. I forhold til alternativet, altså.


I princippet kan man sammenligne de to løsninger således:

Man stjæler to låste kufferter. Man har kun behov for (eller tid)
til at få den ene åbnet.

Der er kodelås på den første kuffert. I det ulåste papirrum er
der en mobiltelefon og et ActivCard. For at få kombinationen til
kodelåsen, skal man ringe til et kendt nummer på mobiltelefonen,
identificere sig selv, få en kode, taste den ind på ActivCard'et,
læse det viste op for manden i telefonen, som så vil kvittere med
tal-kombinationen til kodelåsen.

Der er kodelås på den anden kuffert, men i det ulåste papirrum
foran ligger kombinationen. Så det er bare at dreje tallene frem
på kodelåsen.

Hvilken kuffert vil de fleste tyve vælge at åbne?

Mvh.
Klaus.

[Kent Friis]

Post by Klaus Ellegaard
1. Det antages, at bankens challenge er baseret på et internt
nummer og altså ikke indeholder kodet information om beløb
og/eller kontonumre. Vi kan vist hverken dokumentere for
eller imod den teori.

Det kan lade sig gøre, men kræver at brugeren involveres. Enten ved
at brugeren skal indtaste kontonummeret+beløb (ok, kontonummer er
nok, der er ingen fidus i at fuske med beløbet, hvis man ikke får
pengene) på active-card'en, som banken kan verificere, eller ved
at banken inkluderer kontonummeret i challengen, så active-card'en
kan vise den på skærmen, og brugeren verificere at det er den
rigtige konto.

Det kræver dermed at de data der skal indtastes manuelt øges fra 4-6
tegn, til at være nok til at indeholde et helt kontonummer, hvilket
vil gøre ideen upopulær hos kunderne.

Post by Klaus Ellegaard
2. Det er uendeligt meget nemmere at gå efter at udnytte en
bruger, der har sikkerheden baseret på nøglefil og password.
Så selvom ovenstående i princippet er muligt, er det så
besværligt, at ActivCard'et i praksis må siges at være så
godt som 100% sikkert. I forhold til alternativet, altså.

Det var faktisk noget af det første jeg skrev. Det kan sagtens lade
sig gøre, men det kræver meget mere arbejde.

Problemet er bare at hvis Nordea-Sverige bruger token-løsningen,
er dette den eneste mulighed for at angribe systemet (udover fejl
i systemet). Generelt set har du ret, det er for besværligt i
forhold til at angribe en bank der kun bruger alm. password. Men
når vi allerede ved at pengene er væk, så er det uinteressant
at andre banker havde været nemmere at stjæle fra.

Post by Klaus Ellegaard
Man stjæler to låste kufferter. Man har kun behov for (eller tid)
til at få den ene åbnet.
Der er kodelås på den første kuffert. I det ulåste papirrum er
der en mobiltelefon og et ActivCard. For at få kombinationen til
kodelåsen, skal man ringe til et kendt nummer på mobiltelefonen,
identificere sig selv, få en kode, taste den ind på ActivCard'et,
læse det viste op for manden i telefonen, som så vil kvittere med
tal-kombinationen til kodelåsen.
Der er kodelås på den anden kuffert, men i det ulåste papirrum
foran ligger kombinationen. Så det er bare at dreje tallene frem
på kodelåsen.
Hvilken kuffert vil de fleste tyve vælge at åbne?

Og så har vi situationen vi diskuterer her: I den kuffert med
activecard'en lå der en bærbar PC, det gør der ikke længere. Hvad
er den nemmeste måde tyven kan have brugt til at få PC'en ud?

Hint: Han har ikke fået den ud ved at åbne den anden kuffert.

Mvh
Kent

[Morten Guldager]

Post by Klaus Ellegaard

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

Teorien her er, at challenges er uafhængige af transaktionen. Der
er vist hverken dokumentation for eller imod den teori.
Da brugerens pc er overtaget af en ond mand, er der ikke længere
sammenhæng mellem det, brugeren taster, og det, der bliver sendt
over nettet.
Således kan brugeren taste "http://ekstrabladet.dk" og få vist
forsiden fra information.dk. Eller alle forekomster af "Fogh"
på siden kan være erstattet med "Ole Sohn".
Eller, mere relevant: Brugeren logger på sin netbank på sædvanlig
vis: brugernavn og talkode oplyst af ActivCard. Han browser lidt
rundt og ser kontooversigter og den slags. Altsammen sker uden at
der fifles med data.
Men nu beder brugeren om at få flyttet 200 kr fra sin egen konto
til konto 123456789 (moster Anna) som betaling for et flot sæt
hjemmehæklede grydelapper.
Denne transaktion bliver ikke sendt til banken. Den onde mand har
erstattet beløbet med 50.000 kr og kontonummeret med 987654321.
Det er altså dette beløb og kontonummer, banken ser. Brugeren tror
stadig, han er i gang med at betale for grydelapperne.
Banken sender nu et tilfældigt challenge til brugeren, som har
reference til overførslens interne nummer - hverken til beløb
eller konto.
Den onde mand erstatter det forkerte beløb og kontonummer med
moster Annas, så brugeren ikke aner uråd. Den glade bruger taster
challenge'et ind på ActivCard'et, får en response-værdi, som han
taster ind i browseren.
Response-værdien sendes uændret til banken, der nu har brugerens
accept(!) på, at 50.000 kroner skal flyttes til den onde mand.
1. Det antages, at bankens challenge er baseret på et internt
nummer og altså ikke indeholder kodet information om beløb
og/eller kontonumre. Vi kan vist hverken dokumentere for
eller imod den teori.

Og selv om moster Annas kontonummer er blevet en de af det 4
cifrede nøgle-index så kan brugeren ikke kontrolere dette uden
at bruge sin PC. (som jo er busted)

Banken kunne i disse moderne tider krydre sin netbank med SMS
udsendelse.
Så brugeren blev præsenteret for transaktionen der skulle godkendes
både på PC'en og på mobilen.

Jeg kan ikke helt gennemskue om ikke det vil være bedre om nøgle-index
ligger i SMS'en, så fristes brugeren ikke til at til at taste nøglen
ind uden at have set SMS'en.

Det vil gøre det væsentligt mere bøvlet at være vandal.



/Morten %-)

[Axel Hammerschmidt]

Post by Klaus Ellegaard

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

Teorien her er, at challenges er uafhængige af transaktionen. Der
er vist hverken dokumentation for eller imod den teori.

Jeg spekulerer osse:

Results 1 - 10 of about 35,900 for ActivCard Token. (0.05 seconds)

Danske Netbank bruger ActivCards Token regnemaskine. Der står nok (jeg
har ikke læst alle 35.900 hit) ikke direkte noget om hvordan challenge
evt er afhængig af transaktionen.

Men som der står i det Wiki som jeg citerer i mit svar til Alex Holst,
så vil en MIC (eller MAC som det hedder der) hvis den funktion ellers er
med, sikre mod man-in-the-middle angrebet. Kombineres tallet fra
ActivCard med transaktionsdata har man netop sikret mod at indholdet
bliver ændret uden at det opdages.

[Kent Friis]

Post by Axel Hammerschmidt

Post by Klaus Ellegaard

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

Teorien her er, at challenges er uafhængige af transaktionen. Der
er vist hverken dokumentation for eller imod den teori.

Results 1 - 10 of about 35,900 for ActivCard Token. (0.05 seconds)
Danske Netbank bruger ActivCards Token regnemaskine. Der står nok (jeg
har ikke læst alle 35.900 hit) ikke direkte noget om hvordan challenge
evt er afhængig af transaktionen.
Men som der står i det Wiki som jeg citerer i mit svar til Alex Holst,
så vil en MIC (eller MAC som det hedder der) hvis den funktion ellers er
med, sikre mod man-in-the-middle angrebet. Kombineres tallet fra
ActivCard med transaktionsdata har man netop sikret mod at indholdet
bliver ændret uden at det opdages.

Hvis kontonummer + beløb indtastes direkte i active-card'en, ja. Ellers
ikke.

Mvh
Kent

[Axel Hammerschmidt]

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Klaus Ellegaard

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på
angriberens valgte data" som passer, når angriberen ikke har de tal
som kommer fra bankens computer og kundens ActivCard?

Teorien her er, at challenges er uafhængige af transaktionen. Der
er vist hverken dokumentation for eller imod den teori.

Results 1 - 10 of about 35,900 for ActivCard Token. (0.05 seconds)
Danske Netbank bruger ActivCards Token regnemaskine. Der står nok (jeg
har ikke læst alle 35.900 hit) ikke direkte noget om hvordan challenge
evt er afhængig af transaktionen.
Men som der står i det Wiki som jeg citerer i mit svar til Alex Holst,
så vil en MIC (eller MAC som det hedder der) hvis den funktion ellers er
med, sikre mod man-in-the-middle angrebet. Kombineres tallet fra
ActivCard med transaktionsdata har man netop sikret mod at indholdet
bliver ændret uden at det opdages.

Hvis kontonummer + beløb indtastes direkte i active-card'en, ja. Ellers
ikke.

Det kan klares i software på kundens computer. Med OTP med MAC.

[Kent Friis]

Post by Axel Hammerschmidt

Post by Alex Holst

Post by Axel Hammerschmidt
Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Hvad forhindrer en angriber i at sende "onde" beløb og kontonr til
banken, men vise brugeren de rigtige beløb og kontonr sammen med en
challenge der er baseret på angriberens valgte data?

Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

Al kommunikationen går gennem den angrebne PC. Dermed kender
angriberen alle de nødvendige data.

Post by Axel Hammerschmidt

Post by Alex Holst
Når andre har kontrol over din PC, kan du ikke længere stole på noget
som helst. Jeg kan anbefale at læse Ross Andersons "Security
Engineering", der behandler dette emne rimeligt godt.

Så kan du måske svare på, om banken ikke har sikret sig mod en der "har
totalt kontrol over en brugers maskine" når det under alle
omstændigheder gælder for kontohaveren?

Banken har sikret sig imod at brugeren overfører alle sine egne penge
til en anden konto ved at gøre brugeren selv ansvarlig for den
handling.

Det er først når det er andre der gør det at problemet opstår.

Mvh
Kent

[Axel Hammerschmidt]

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Alex Holst

Post by Axel Hammerschmidt
Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Hvad forhindrer en angriber i at sende "onde" beløb og kontonr til
banken, men vise brugeren de rigtige beløb og kontonr sammen med en
challenge der er baseret på angriberens valgte data?

Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

Al kommunikationen går gennem den angrebne PC. Dermed kender
angriberen alle de nødvendige data.

Angriberen ved ikke hvad responstallet fra kundens ActivCard er i det
tilfælde, at det der kom tilbage fra banken var baseret på den rigtige
konto (1234).

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Alex Holst
Når andre har kontrol over din PC, kan du ikke længere stole på noget
som helst. Jeg kan anbefale at læse Ross Andersons "Security
Engineering", der behandler dette emne rimeligt godt.

Så kan du måske svare på, om banken ikke har sikret sig mod en der "har
totalt kontrol over en brugers maskine" når det under alle
omstændigheder gælder for kontohaveren?

Banken har sikret sig imod at brugeren overfører alle sine egne penge
til en anden konto ved at gøre brugeren selv ansvarlig for den
handling.

Jamen før det. Brugeren har ingen kontrol over ActivCard og tilhørende
software. Brugeren ser kun challenge/respons tallene, men ved ikke
hvordan de opstår eller de videre indgår i forløbet.

[Kent Friis]

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Alex Holst

Post by Axel Hammerschmidt
Det er jeg ikke enig i. Nu ved jeg ikke om det virker på den måde, men
med ActivCard skal man indtraste et tal, som man bliver præsenteret for
på skærmen ved selve transaktionen, i sin ActivCard. Det tal, som
ActivCard melder tilbage skal så indtastes og bliver sendt tilbage til
banken før transaktionen bliver gennemført.
Det første tal, som banken sender kan så gøres afhængig af de
talværdier, f.eks beløbene og kontonumrer som indgår.

Hvad forhindrer en angriber i at sende "onde" beløb og kontonr til
banken, men vise brugeren de rigtige beløb og kontonr sammen med en
challenge der er baseret på angriberens valgte data?

Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

Al kommunikationen går gennem den angrebne PC. Dermed kender
angriberen alle de nødvendige data.

Angriberen ved ikke hvad responstallet fra kundens ActivCard er i det
tilfælde, at det der kom tilbage fra banken var baseret på den rigtige
konto (1234).

Hvor kender banken konto 1234 fra? Det eneste der er sendt til banken
er konto 9999.

Post by Axel Hammerschmidt

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Alex Holst
Når andre har kontrol over din PC, kan du ikke længere stole på noget
som helst. Jeg kan anbefale at læse Ross Andersons "Security
Engineering", der behandler dette emne rimeligt godt.

Så kan du måske svare på, om banken ikke har sikret sig mod en der "har
totalt kontrol over en brugers maskine" når det under alle
omstændigheder gælder for kontohaveren?

Banken har sikret sig imod at brugeren overfører alle sine egne penge
til en anden konto ved at gøre brugeren selv ansvarlig for den
handling.

Jamen før det.

Hvadfornoget "før det"? Der er intet der forhindrer brugeren selv i at
overføre alle sine penge til en forbryder.

Post by Axel Hammerschmidt
Brugeren har ingen kontrol over ActivCard og tilhørende
software. Brugeren ser kun challenge/respons tallene, men ved ikke
hvordan de opstår eller de videre indgår i forløbet.

Irrelevant.

Mvh
Kent

[Alex Holst]

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

1. Brugeren tænder sin PC der har malware installeret.
2. Brugeren logger ind i sin netbank.
3. Brugeren starter en transaktion, kr. 200 til kontonr 1234.
4. Malware opfanger dette og sender i virkeligheden en
transaktionsrequest på kr. 50.000.000 til konto 9999.
5. Banken svarer med et tal, baseret på dataene i punkt 4.
6. Malware viser brugeren en skærm hvor der står kr. 200, kontonr. 1234
samt bankens tal fra punkt 5 og beder om et ActivCard response.
7. Brugeren indtaster bankens tal i sin ActivCard.
8. Brugeren indtaster ActivCardets response i sin web browser og har
dermed godkendt en transaktion på mange penge til konto 9999.
9. THE END

Post by Axel Hammerschmidt

Post by Alex Holst
Når andre har kontrol over din PC, kan du ikke længere stole på noget
som helst. Jeg kan anbefale at læse Ross Andersons "Security
Engineering", der behandler dette emne rimeligt godt.

Så kan du måske svare på, om banken ikke har sikret sig mod en der "har
totalt kontrol over en brugers maskine" når det under alle
omstændigheder gælder for kontohaveren?

Bankens sikring ligger primært i den danske lovgivning:
Bedrageri/svindel er ulovligt, så derfor er det de færreste der gør
dumme ting med deres bankkonti.

En angriber der har kortvarig kontrol over en bankkundes PC er ligeglad
med den danske lovgivning.

[gil]

Post by Alex Holst
1. Brugeren tænder sin PC der har malware installeret.
2. Brugeren logger ind i sin netbank.
3. Brugeren starter en transaktion, kr. 200 til kontonr 1234.
4. Malware opfanger dette og sender i virkeligheden en
transaktionsrequest på kr. 50.000.000 til konto 9999.
5. Banken svarer med et tal, baseret på dataene i punkt 4.
6. Malware viser brugeren en skærm hvor der står kr. 200, kontonr. 1234
samt bankens tal fra punkt 5 og beder om et ActivCard response.

1234 er på nuværende tidspunkt omsat til: A/S Fup og Svindel og jeg
godkender ikke.

[Christian Iversen]

Post by gil

Post by Alex Holst
1. Brugeren tænder sin PC der har malware installeret.
2. Brugeren logger ind i sin netbank.
3. Brugeren starter en transaktion, kr. 200 til kontonr 1234.
4. Malware opfanger dette og sender i virkeligheden en
transaktionsrequest på kr. 50.000.000 til konto 9999.
5. Banken svarer med et tal, baseret på dataene i punkt 4.
6. Malware viser brugeren en skærm hvor der står kr. 200, kontonr. 1234
samt bankens tal fra punkt 5 og beder om et ActivCard response.

1234 er på nuværende tidspunkt omsat til: A/S Fup og Svindel og jeg
godkender ikke.

Vi prøver lige igen. Følgende er sandt for scenariet:

- Din computer er inficeret med et fjendtligt program.
- Du har netbank med et activecard-lignende aggregat.
- Konto 1234 er Tante Erda, som du gerne vil give 200 i fødselsdagsgave.
- Konto 9999 er Ond. E. Schvindler, som du meget nødigt vil miste penge til.

1. Du tænder for din PC

2. Du logger ind på netbank

3. Du beder netbank om at overføre 200 kr til konto 1234 (din tante)

4. Da din computer har et fjentligt program der har kontrol over hvad der
bliver vist på skærmen og sendt over internettet, sender din computer i
_virkeligheden_ en forespørgsel om at overføre 50.000.000 kr til konto
9999. Bankens server modtager denne forespørgsel, og sender en
challenge-kode tilbage til din computer (sådan en kode som skal tastes ind
på et activecard)

5. På din skærm står nu at du skal godkende en overførsel på 200 kr til
konto 1234, for det er netop dén tekst det ondsindede program vælger at
vise - og det på trods af at banken har fået noget andet at vide.

6. Fordi det du kan se på skærmen ser korrekt ud, taster du challenge-koden
ind i dit activecard, og modtager en response-kode. Denne kode taster du så
ind i netbanken.

7. Programmet sender din _korrekte_ godkendelseskode på overførslen af
50.000.000 kr til bankens server.

8. Bankens server har nu modtaget både en forespørgsel på at overføre
50.000.000 kr, og en korrekt godkendelse af denne forspørgsel. Den bliver
derfor udført.


På intet tidspunkt har du på din skærm set kontonr. 9999, og på intet
tidspunkt har banken set kontonr. 1234.

Forstår du det nu?

[gil]

Post by Christian Iversen
På intet tidspunkt har du på din skærm set kontonr. 9999, og på intet
tidspunkt har banken set kontonr. 1234.

Men jeg svarer ikke før jeg har set 1234 omsat til "Tante Erda". Hvis
banken aldrig er blevet bedt om at omsætte 1234 til klart sprog hvordan
så? Det skærmbillede som jeg godkender i indeholder to oplysninger,
kontonummer 1234, som jeg har tastet, og svaret fra banken "Tante Erda".
Da banken aldrig er blevet præsenteret for en forespørgsel på 1234, hvor
kommer så det rigtige svar fra?

[Christian Iversen]

Post by gil

Post by Christian Iversen
På intet tidspunkt har du på din skærm set kontonr. 9999, og på intet
tidspunkt har banken set kontonr. 1234.

Men jeg svarer ikke før jeg har set 1234 omsat til "Tante Erda".

Det sker _kun_ hvis Erda også er kunde i samme bank, eller visse andre
banker som lige netop din bank har en samarbejdsaftale med. Mener ud at du
aldrig overfører penge til andre end denne kundekreds?

Post by gil
Hvis banken aldrig er blevet bedt om at omsætte 1234 til klart sprog
hvordan så?

Programmet kan jo have ligger på din computer et stykke tid, og kan slå til
første gang du overfører penge til en konto som du tidligere har overført
til. På den måde er det ingen sag for programmet at opbygge en liste over
de korrekte navne.

Det er desuden ikke sikkert at programmet ikke bare kan sende en
overførsels_forespørgsel_ til banken, som den så bagefter afviser. Den
almindelige netbank kan jo (i visse tilfælde, som sagt) vise navnet på
modtageren inden du har godkendt overførslen.

Post by gil
Det skærmbillede som jeg godkender i indeholder to oplysninger,
kontonummer 1234, som jeg har tastet, og svaret fra banken "Tante Erda".

Igen, kun nogle gange.

Post by gil
Da banken aldrig er blevet præsenteret for en forespørgsel på 1234, hvor
kommer så det rigtige svar fra?

Enten har programmet set dig overføre penge til Erda før, eller også har den
lavet en falsk forespørgsel.

Under alle omstændigheder ikke noget stort problem.

[gil]

Post by Christian Iversen
banker som lige netop din bank har en samarbejdsaftale med. Mener ud at du
aldrig overfører penge til andre end denne kundekreds?

Du vil som minimum altid få at vide hvilket pengeinstitut du overfører
til, de første tal i kontonummeret er jo reg. nummeret på pengeinstitutet.

[Andreas Plesner Jacobsen]

Post by gil

Post by Christian Iversen
banker som lige netop din bank har en samarbejdsaftale med. Mener ud at du
aldrig overfører penge til andre end denne kundekreds?

Du vil som minimum altid få at vide hvilket pengeinstitut du overfører
til, de første tal i kontonummeret er jo reg. nummeret på pengeinstitutet.

Hvad skulle forhindre angriberen i at skrive det rigtige navn i denne
rubrik?

[Christian Iversen]

Post by gil

Post by Christian Iversen
banker som lige netop din bank har en samarbejdsaftale med. Mener ud at
du aldrig overfører penge til andre end denne kundekreds?

Du vil som minimum altid få at vide hvilket pengeinstitut du overfører
til, de første tal i kontonummeret er jo reg. nummeret på pengeinstitutet.

Hør nu her - fordi din computer er inficeret af et fjendtligt program kan du
ikke regne med NOGET der står på skærmen.

Hvordan ved du så at det pengeinstitut der står på skærmen er det samme som
dét der bliver overført til? (hint: det kan du umuligt vide)

[Sune Vuorela]

Post by Christian Iversen
Hvordan ved du så at det pengeinstitut der står på skærmen er det samme som
dét der bliver overført til? (hint: det kan du umuligt vide)

Smæk en hub op foran og fang trafikken (og dekrypter den ;)

/Sune

[Christian Iversen]

Post by Sune Vuorela

Post by Christian Iversen
Hvordan ved du så at det pengeinstitut der står på skærmen er det samme
som dét der bliver overført til? (hint: det kan du umuligt vide)

Smæk en hub op foran og fang trafikken (og dekrypter den ;)

Det ser ud som om du spøøøger, men for lige at slå det fast: Det er
naturligvis umuligt hvis vi antager at man ikke kan snyde brugeren til at
acceptere et falsk SSL-certifikat (dét er til gengæld ikke umuligt)

[Alex Holst]

Post by gil

Post by Alex Holst
1. Brugeren tænder sin PC der har malware installeret.
2. Brugeren logger ind i sin netbank.
3. Brugeren starter en transaktion, kr. 200 til kontonr 1234.
4. Malware opfanger dette og sender i virkeligheden en
transaktionsrequest på kr. 50.000.000 til konto 9999.
5. Banken svarer med et tal, baseret på dataene i punkt 4.
6. Malware viser brugeren en skærm hvor der står kr. 200, kontonr. 1234
samt bankens tal fra punkt 5 og beder om et ActivCard response.

1234 er på nuværende tidspunkt omsat til: A/S Fup og Svindel og jeg
godkender ikke.

Det er hel klart men god feature, at kontonumre oversættes til ejernavnet.

Men som Klaus gjorde opmærksom på, er det kun kontonumre inden for samme
bank der kan omsættes på den måde. Min egen netbank gør intet i denne
stil, selv ikke når penge flyttes mellem mine egne konti eller til min
hustrus konti.

Jeg vil desuden påstå, at hvis du virkeligt opdager der står "A/S Fup og
Svindel" i stedet for rette modtager, så har du også en så god
brugeradfærd at malware ikke bliver installeret på din PC - og så har du
slet ikke nogle af de problemer vi har diskuteret.

[Axel Hammerschmidt]

Post by Alex Holst

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

1. Brugeren tænder sin PC der har malware installeret.
2. Brugeren logger ind i sin netbank.
3. Brugeren starter en transaktion, kr. 200 til kontonr 1234.
4. Malware opfanger dette og sender i virkeligheden en
transaktionsrequest på kr. 50.000.000 til konto 9999.
5. Banken svarer med et tal, baseret på dataene i punkt 4.
6. Malware viser brugeren en skærm hvor der står kr. 200, kontonr. 1234
samt bankens tal fra punkt 5 og beder om et ActivCard response.
7. Brugeren indtaster bankens tal i sin ActivCard.
8. Brugeren indtaster ActivCardets response i sin web browser og har
dermed godkendt en transaktion på mange penge til konto 9999.
9. THE END

Nej til pkt 8. Fordi nu passer det tal banken modtager ikke med det
kontonummer/beløb i pkt 3:

: The one time pad does not provide any mechanism to ensure message
: integrity, and in theory a man-in-the-middle attacker who knows the
: exact message being sent can straightforwardly replace all or part of
: that message with text of their choosing that is the same length.
: Standard techniques to prevent this, such as the use of a message
: authentication code, can be used along with a one-time pad system, but
: they lack the perfect security that OTP enjoys.

http://en.wikipedia.org/wiki/One-time_pad

Og det er det, der var pointen med at osse kontonummer/beløb kom med i
det der sendes tilbage.

Post by Alex Holst

Post by Axel Hammerschmidt

Post by Alex Holst
Når andre har kontrol over din PC, kan du ikke længere stole på noget
som helst. Jeg kan anbefale at læse Ross Andersons "Security
Engineering", der behandler dette emne rimeligt godt.

Så kan du måske svare på, om banken ikke har sikret sig mod en der "har
totalt kontrol over en brugers maskine" når det under alle
omstændigheder gælder for kontohaveren?

Bedrageri/svindel er ulovligt, så derfor er det de færreste der gør
dumme ting med deres bankkonti.

Banken kan sikre sig ved at ingen, der har total kontrol over brugerens
computer, heller ikke brugeren, ved noget om hvad der skal sendes
tilbage. De kender kun tallet fra ActivCard.

[Kent Friis]

Post by Axel Hammerschmidt

Post by Alex Holst

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

1. Brugeren tænder sin PC der har malware installeret.
2. Brugeren logger ind i sin netbank.
3. Brugeren starter en transaktion, kr. 200 til kontonr 1234.
4. Malware opfanger dette og sender i virkeligheden en
transaktionsrequest på kr. 50.000.000 til konto 9999.
5. Banken svarer med et tal, baseret på dataene i punkt 4.
6. Malware viser brugeren en skærm hvor der står kr. 200, kontonr. 1234
samt bankens tal fra punkt 5 og beder om et ActivCard response.
7. Brugeren indtaster bankens tal i sin ActivCard.
8. Brugeren indtaster ActivCardets response i sin web browser og har
dermed godkendt en transaktion på mange penge til konto 9999.
9. THE END

Nej til pkt 8. Fordi nu passer det tal banken modtager ikke med det

Du har overset punkt 4. Banken ser aldrig 200 og 1234, men kun
50.000.000 og 9999.

Post by Axel Hammerschmidt
Banken kan sikre sig ved at ingen, der har total kontrol over brugerens
computer, heller ikke brugeren, ved noget om hvad der skal sendes
tilbage. De kender kun tallet fra ActivCard.

Hvordan kan brugerens computer sende noget tilbage, som ingen der har
adgang til den ved noget om?

Eller sagt på en anden måde, hvordan får CPU'en fat i noget der ikke
står i RAM?

Mvh
Kent

[Axel Hammerschmidt]

Post by Kent Friis

Post by Axel Hammerschmidt

Post by Alex Holst

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på
angriberens valgte data" som passer, når angriberen ikke har de tal
som kommer fra bankens computer og kundens ActivCard?

1. Brugeren tænder sin PC der har malware installeret.
2. Brugeren logger ind i sin netbank.
3. Brugeren starter en transaktion, kr. 200 til kontonr 1234.
4. Malware opfanger dette og sender i virkeligheden en
transaktionsrequest på kr. 50.000.000 til konto 9999.
5. Banken svarer med et tal, baseret på dataene i punkt 4.
6. Malware viser brugeren en skærm hvor der står kr. 200, kontonr. 1234
samt bankens tal fra punkt 5 og beder om et ActivCard response.
7. Brugeren indtaster bankens tal i sin ActivCard.
8. Brugeren indtaster ActivCardets response i sin web browser og har
dermed godkendt en transaktion på mange penge til konto 9999.
9. THE END

Nej til pkt 8. Fordi nu passer det tal banken modtager ikke med det

Du har overset punkt 4. Banken ser aldrig 200 og 1234, men kun
50.000.000 og 9999.

Se svaret til Alex.

Post by Kent Friis

Post by Axel Hammerschmidt
Banken kan sikre sig ved at ingen, der har total kontrol over brugerens
computer, heller ikke brugeren, ved noget om hvad der skal sendes
tilbage. De kender kun tallet fra ActivCard.

Hvordan kan brugerens computer sende noget tilbage, som ingen der har
adgang til den ved noget om?

Der skulle ha' stået: ingen, der har total kontrol over brugerens
computer, heller ikke brugeren, kender det der skal sendes tilbage. De
kender kun tallet fra ActivCard og kontonummeret (i det her eksempel)
men ikke hvordan det kombineres. Heller ikke challenge/respons
funktionen.

[Alex Holst]

Post by Axel Hammerschmidt

Post by Alex Holst

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

1. Brugeren tænder sin PC der har malware installeret.
2. Brugeren logger ind i sin netbank.
3. Brugeren starter en transaktion, kr. 200 til kontonr 1234.
4. Malware opfanger dette og sender i virkeligheden en
transaktionsrequest på kr. 50.000.000 til konto 9999.
5. Banken svarer med et tal, baseret på dataene i punkt 4.
6. Malware viser brugeren en skærm hvor der står kr. 200, kontonr. 1234
samt bankens tal fra punkt 5 og beder om et ActivCard response.
7. Brugeren indtaster bankens tal i sin ActivCard.
8. Brugeren indtaster ActivCardets response i sin web browser og har
dermed godkendt en transaktion på mange penge til konto 9999.
9. THE END

Nej til pkt 8. Fordi nu passer det tal banken modtager ikke med det

Jo til pkt 8, fordi banken ser aldrig hvad brugeren indtaster i punkt 3.
Banken ser kun hvad angriberen sender i punkt 4.

Vil du ikke nok læse de relevante afsnit i "Security Engineering"
omkring dette emne? Det er ikke specielt kompliceret. Bogen er gratis
til download. Du kan finde et link i OSS'ens 'videre læsning om sikkerhed'.

Hvis du kan opfinde en protokol der er immum overfor mitm og
kompromitteret computing base kan du tjene *mange* penge. Bill
Gates/Mærsk-agtig mange penge.

[Axel Hammerschmidt]

Post by Alex Holst

Post by Axel Hammerschmidt

Post by Alex Holst

Post by Axel Hammerschmidt
Hvordan får angriberen fat i "en challenge der er baseret på angriberens
valgte data" som passer, når angriberen ikke har de tal som kommer fra
bankens computer og kundens ActivCard?

1. Brugeren tænder sin PC der har malware installeret.
2. Brugeren logger ind i sin netbank.
3. Brugeren starter en transaktion, kr. 200 til kontonr 1234.
4. Malware opfanger dette og sender i virkeligheden en
transaktionsrequest på kr. 50.000.000 til konto 9999.
5. Banken svarer med et tal, baseret på dataene i punkt 4.
6. Malware viser brugeren en skærm hvor der står kr. 200, kontonr. 1234
samt bankens tal fra punkt 5 og beder om et ActivCard response.
7. Brugeren indtaster bankens tal i sin ActivCard.
8. Brugeren indtaster ActivCardets response i sin web browser og har
dermed godkendt en transaktion på mange penge til konto 9999.
9. THE END

Nej til pkt 8. Fordi nu passer det tal banken modtager ikke med det

Jo til pkt 8, fordi banken ser aldrig hvad brugeren indtaster i punkt 3.
Banken ser kun hvad angriberen sender i punkt 4.

Nej til pkt 8. Banken behøver ikke se hvad brugeren indtastede i punkt
3, når det der kommer tilbage anden gang ikke passer med det banken
modtog første gang, og gør det ikke det, fordi angriberen (og kunden)
ikke ved hvordan kontonummer og challenge/respons kombineres, afvises
transaktionen.

Post by Alex Holst
Vil du ikke nok læse de relevante afsnit i "Security Engineering"
omkring dette emne? Det er ikke specielt kompliceret. Bogen er gratis
til download. Du kan finde et link i OSS'ens 'videre læsning om sikkerhed'.
Hvis du kan opfinde en protokol der er immum overfor mitm og
kompromitteret computing base kan du tjene *mange* penge. Bill
Gates/Mærsk-agtig mange penge.

ActivCard tjener da penge. Det de laver kan måske forbedres.

Du kan jo kigge på det jeg citerede fra WiKien. Ingen bliver klogere af
at du henviser til at en bog, som du påstår viser du har ret.

[Andreas Plesner Jacobsen]

Post by Axel Hammerschmidt

Post by Alex Holst
Jo til pkt 8, fordi banken ser aldrig hvad brugeren indtaster i punkt 3.
Banken ser kun hvad angriberen sender i punkt 4.

Nej til pkt 8. Banken behøver ikke se hvad brugeren indtastede i punkt
3, når det der kommer tilbage anden gang ikke passer med det banken
modtog første gang, og gør det ikke det, fordi angriberen (og kunden)
ikke ved hvordan kontonummer og challenge/respons kombineres, afvises
transaktionen.

Vi tager den lige en gang til: "Det onde program" har sendt det samme
(forkerte) kontonummer begge gange, men vist det rigtige kontonummer på
kundens skærm.
Kunden har ingen mulighed for at kontrollere at det challenge han
modtager har noget at gøre med det kontonummer han ser på skærmen.
Heller ikke hvis du bruger OTP og MAC. MAC sikrer kun at beskeden ikke
bliver fusket med når den har forladt kundens PC, og da er det allerede
for sent.

Ortogonalt til denne diskussion: Det er ikke realistisk (og ikke
nødvendigt) at bankerne bruger OTP til at kryptere disse informationer.

Og nej. ActivCard og skrabelodskoder er ikke OTP.

[Alex Holst]

Post by Axel Hammerschmidt
Nej til pkt 8. Banken behøver ikke se hvad brugeren indtastede i punkt
3, når det der kommer tilbage anden gang ikke passer med det banken
modtog første gang, og gør det ikke det, fordi angriberen (og kunden)
ikke ved hvordan kontonummer og challenge/respons kombineres, afvises
transaktionen.

Det er jo dybt forkert. Er du ingeniør eller noget i den stil?

Post by Axel Hammerschmidt
Du kan jo kigge på det jeg citerede fra WiKien. Ingen bliver klogere af
at du henviser til at en bog, som du påstår viser du har ret.

Hvis du stod overfor en person som hårdnakket påstod at der kun er 12
bogstaver i det danske alfabet, ville du så ikke sende vedkommende i
retning af et eller andet referenceværk der viser at han tager fejl?

Jeg vil ikke have dig til at læse bogen for at bevise jeg har ret. Jeg
vil have dig til at læse i bogen fordi det er pinligt, at du bliver ved
med at misforstå, når jeg har forsøgt at forklare det 6 gange - og andre
har også forsøgt løbende i denne tråd.

[Kristian Thy]

Post by Alex Holst
Det er jo dybt forkert. Er du ingeniør eller noget i den stil?

Nu må vi vist lige bede om kammertonen!

\\kristian :)

[k***@gmail.com]

Get a Mac ^^ jeg kan ikke forstå når sikkerheden i Windows gang på
gang viser sig at være så dårligt, at folk ikke tager sig sammen, og
kigger på alternativer.

Post by Kasper Laudrup
Hej gruppe,
Da jeg nu så et andet indlæg omkring Nordea, tænkte jeg på, om nogen
tilfældigvis så TV-avisen i går, hvor en repræsentant fra Nordea
argumenterede for sikkerheden i deres netbank. I forbindelse med angreb i
Sverige havde "hackere" fået fat i brugeres password ved at installere
keyloggere (formentligt via trojanere i emails), men han argumenterede så
for, at sikkerheden i den danske Nordea var langt bedre, da man
også brugte nøglefiler.
Nu bruger jeg ikke selv Nordea og er ikke nogen sikkerhedsekspert, men er
det ikke umiddelbart noget vrøvl? Hvis man har kontrol nok over offerets
computer til at installere en keylogger, er det vel intet problem at få
fat i den nævnte nøglefil også, det er vel egentligt hurtigere end at
vente på at brugeren indtaster sit password?
Har jeg misforstået noget?
Nu bruger jeg som sagt ikke selv Nordea, så spørgsmålet er blot ud fra
generel interesse...
Mvh.
Kasper
--
This post has not been scanned for virus. Read at your own risk!