Novi varnostni mehanizmi slovenskih bank

Pametne kartice bo bolj leva rešitev. Delajo zgolj v win okolju, plus da jih uporabniki večinoma puščajo v čitalcu.

>>port 80 je forvardan na drugo mašino kjer lavfa apache.
>Tukaj tudi. Ampak kaj ima to veze pri napadih na brskalnik oz. tvoj workstation?

Odhodni promet forwardiraš na apache? To je recimo tisto ko greš TI brat slo-tech.

preko 80 ne more komunicirat s kompom, kjer uporabljam bančno seanso, ker bo zahteva za branje prerutana na drug komp. edin hijack explorerja pride v upoštev, da zaobide firewal od xpjev (samo IE lahko dela preko 80). razen če je še možno nepooblaščeno odpiranje portov.

preko 80 ne more komunicirat s kompom, kjer uporabljam bančno seanso, ker bo zahteva za branje prerutana na drug komp. edin hijack explorerja pride v upoštev, da zaobide firewal od xpjev (samo IE lahko dela preko 80). razen če je še možno nepooblaščeno odpiranje portov.

Dajmo nekaj razčistit.

Ti blokiraš izhodni promet lokalno s firewallom ali na routerju?

Ker če na routerju, potem ne moreš videti kateri program je poslal zahtevek.

Če pa s firewallom lokalno, se ga pa da zaobiti oziroma se uporabi hijack MSIE.

V sosednji temi se je zgrnilo precej nejevolje nad Abanko (vsaj kar se "epoti" tiče) in tudi v tej temi so bile proti njej uperjene kritike, po mojem upravičeno. Ti novi varnostni mehanizmi (v kombinaciji s slabim osnovnim varnostnim mehanizmom - tj. strežniškim certifikatom, pri katerem je podpisan ranljiv MD5 hash) uporabniku prinesejo več nevšečnosti kot varnosti (sploh če bo vnos glavnega gesla preko "navidezne" tipkovnice res postal obvezen). Ampak kot komitent te banke moram reči, da sem z njihovimi storitvami zadovoljen; napake pri vodenju računa se mi ne dogajajo (kot pri prejšnji banki, od katere sem pobegnil), delovni čas izpostav je sicer kratek, vendar so uslužbenci prijazni, in kar je na tem forumu še bolj pomembno - spletna stran z elektronskim bančništvom vred se mi zdi prijazna, pregledna, enostavna za uporabo (kar niti slučajno ne bi mogel reči za svojo prejšnjo banko). No, malo so se mi zamerili le s tem, da elektronsko podpisovanje (za vezane vloge ipd.) deluje le v Windowsih.

Ampak vseeno, če slučaaajno tako kapitalno zamočijo z novimi varnostnimi mehanizmi, da se odločim pobegniti ...bi pa rad od tistih, ki imajo izkušnje z več bankami (tako izkušnje s samo banko kot z elektrosnkim poslovanjem z njo), izvedel še o tem, kakšno je stanje pri drugih slovenskih bankah (ki imajo izpostavo tudi na območju Gorenjske). Predvsem me zanima, če je delo z elektronskim bančništvom tako enostavno in pregledno. (Naj jo kar imenujem - Gorenjska banka je v tem oziru zgled za "how not to ...".)

Upam, da ni narobe, če poimensko imenujemo podjetja ...

... vendar so uslužbenci prijazni ...

Jasno, saj gre za banko prijaznih ljudi ;)

S kritiko v tej temi se cisto strinjam, medtem ko je tisto v drugi temi privleceno za lase. Treba je tudi vedeti, da ideja o "virtualni tipkovnici" ni nastala pri IT-ju ampak je zrasla na zelniku kaksnega od sefov, ki je to smatral kot dobro reklamo. Ce bo stvar postala obvezna bo pa bolj anti-reklama.

(Naj jo kar imenujem - Gorenjska banka je v tem oziru zgled za "how not to ...".)

Mene je Gorenjska banka tudi precej razocarala kar se tice cakanja v vrsti in prijaznosti, nisem pa uporabljal ebancnistva.
Najbolj me je motilo to, ko so kar na enkrat problikovali moj studentski racun v navaden racun in mi racunali vodenje racuna. Ko sem jim cez par dni prinesel potrdilo o vpisu (za kar sem moral precej casa cakati v vrsti), so mi razlozi, da je tisto o obveznem potrdilu o vpisu za studente pisalo na zadnji strani prejsnjega izpiska o stanju. Tega ne morem ne potrditi ne zanikati, vem pa da napisa nisem opazil. Zanimivo, da pri drugi banki cesa podobnega niso nikoli naredili. In po tem koliko studentov je bilo v vrsti zaradi "pozabljenega potrdila", sklepam, da nisem bil edini, ki so ga tako "nategnili".

Aja btw: baje obstajajo neuradni nacrti, da bi Gorenjsko banko zdruzili z Abanko, tako da mogoce tudi v Abanki ne bos varen. :)

Komentarjev do tega nisem bral, tako, da če je bilo to že omenjeno, se oproščam.

>Tale ta zadnja je še najboljša. Edino cena bi bila morda velika oziroma prevelika. Kaj pa da dobiš TAN + USB ključek, ki bi
>bil narejen tako, da se ne da spreminjat in bi se vtaknil stvar v računalnik in se preko tistega prijavil. Poleg tega bi bil
>vsak ključek uporaben le za določen račun in še imel bi posebaj TAN. Samo pol če ti ukradejo potem pa je ...

Dobra ideja. Ključek bi bil bootable, kot imaš racimo sedaj nekje na travnku mac on stick. Ali pa da skoraj vsak linux inštaliraš na USB ključ. Tako, da OS na ključku sploh ne bi rabil biti podoben DOSu ali WIn 3.11 ampak sodobna zadeva. Sploh glede na to, da imam jaz na enemu ključku WinXP. Če pa dodaš še Aktivno Kartico, ki bi lahko bila vključena v sam USB ključek, je pa totalna zmaga. Seveda, pred bootom takšnega USB ključka, bi moram vpisati pin, če bi vseboval še aktivno kartico pa še pri vsaki transakciji.

Bi bilo pa seveda potrebno narediti natančno analizo kaj je dražje: stvar, ki se priklopi na omrežje ali pa moj predlog. In subtilno analizo varnosti omenjenih zadev.

edit:
@fiction

>Jah to z USB ne vem kako je kaj varno pri kompromitiranem racunalniku

Z mojo predlagano rešitvijo, ti ni treba skrbeti za komprimitiran račnalnik...

Ti misliš, da bi samo zaradi banke bootal v drug sistem? Ti se moraš hecati. Nobeden te ne bo resno jemal.

Od vseh ljudi, ki jih poznam, bi ti 99% reklo, da si bedak. Kaj takšnega je nemogoče izvesti.

Ti misliš, da bi samo zaradi banke bootal v drug sistem? Ti se moraš hecati. Nobeden te ne bo resno jemal.

Najvecji paranoiki to ze zdaj pocnejo. Ampak ja, za povprecnega uporabnika to ni prakticno pa mogoce tudi noce uporabljati za e-bancnistvo sistema, ki mu ga ti vsilis. Ceprav ti mislis, da je najbolj varen, najbolj kul ali pa karkoli.

Popravkov za tak zaprt sistem ni noben problem izdelovat - pač vsakega podpišeš z digitalnim potrdilom, sistem pa ne namešča popravkov, ki nimajo veljavnega podpisa (nekaj podobnega, kot je na Visti x64 z gonilniki).

Ok, imas prav. Ampak se vedno je vse skupaj silno nadlezno za banko, ki mora skrbeti za "pushanje" popravkov za desktop OS. Poleg vzdrzevanja svojih sistemov mora prakticno skrbeti se za tebe. Najbrz bi to kar precej stalo. Pa problem je se v tem, da ti lahko ne uporabljas stalno tega in imas se vedno precej zastarel software. Ko se naslednjic odlocis in zbootas ta OS, si lahko se vedno nekaj casa (dokler se ne namestijo popravki) ranljiv. Ce se da namescati software, obstaja moznost da se z izkoriscanjem dolocene ranljivosti namesti tudi koda, ki mogoce ni podpisana. In ta bo potem stalno prisotna.

Moja resitev vsebuje en tak cheap embedded sistem, ki ima manj kompleksno kodo (na ekranu samo izpisuje za kaksno
transakcijo gre). Torej vse skupaj bi bilo precej manj obsezno kot povprecen brskalnik in zato bi bilo tudi manj moznosti za napake. V zadevo vstekas ethernet kabel pa je. Kljub zamegljenemu pogledu na tvojem racunalniku (poljuben OS, poljuben browser) tako se vedno vidis dejansko stanje. In s tisto napravo potem samo se reces ACK. Na zadevo fizicno sploh ne bi mogel pisati brez da bi zlomil pecat, ki bi prepreceval nadaljnjo uporabo. Banka bi ti zadevo dala za eno leto potem bi pa tisto vrnil. Banka ali podizvajalec bi potem zbral stare naprave, jih odprl in morebiti na EEPROM namestil nov software. Ideja je v tem, da prakticno ne bi mogel namestiti gor backdoora (po rebootu bi vse skupaj izginilo). Torej napadalec bi moral vedno znova in znova izkoriscati morebitno ranljivost. To bi pa pomenilo, da bi se dalo potencialno hitreje najti napako.

Pri mojem primeru BankOnStick, sploh ni nujno, da delaŠ z banko preko brskalnika. Naloži se ti kernel, en minimalistični x server, mogoče posebna aplikacija za delo z banko (v kiosk mode).

Glede popravkov: bili bi večinoma samo nujni (ali kernel) popravki, mogoče še kakšna malenkost. Vse verificirano, da se ne naloži ZlobnaKoda^TM. Minimalni grafični server podpira večino kartic in monitorjev, magar prvo vse na default 800x600. Tako kot imajo linux live cdji, ko si lahko nastaviš persistent disk space, bi pri temu bil za takšne nastavitve oziroma lep setup process, ki bi zadevo nastavil in bi se ponovno zagnal, če bi ga zadegal v drug računalnik.

Ne rečem, da je moja rešitev boljša... lahko bi zadeva delovala tudi direkt iz winsev (če bi zadeva vsebovala tudi aktivno kartico - tist kalkulaatorček), bi pa v navodilih pisalo, da je v takšnem načinu manj varno.

Glede bank:
SKB za fizične osebe ponuja skb.net, kjer dobiš Aktivno kartico, zadeva izgleda kot kalkulatorček, in ko pravilno vpišeš PIN, se ti izpiše številka, ki je one time access only. Vmesnk je lep in pregleden; meni je všeč. Dosti bolj, kot klik - klik za fizične osebe, da ne bo pomote - kjer če pravilno vem, dobiš navaden certifikat za v browser in že online bankuješ. (hmmm, ima kdo boljši predlog za glagol besede "banka"?)

To se mi zdi kar dobra (varnostno gledano) resitev. Prakticna tudi. In uporabniku prijazna.

No ja, uporabniku ni tako zelo prijazna. One-time-password generatorji so dveh vrst: event pa time based. Event based pomeni, da samo enkrat (kadarkoli) lahko uporabis tisto geslo, medtem ko banke uporabljajo bolj varen (casovno osnovan) nacin, kjer geslo velja recimo 30 sekund. Torej v 30 sekundah moras pretipkati npr. 10 stevilk v brskalnik. Za stare mame je to precej komplicirano.

Poleg tega pa ni problem samo vstop v spletno banko, ampak izvajanje vsake transakcije. Trojanec ti recimo lahko pusti, da se normalno logiras potem pa nakaze denar. Tudi, ce ti uporabis vsakic OTP (kar je se malo manj prakticno), se zmeraj lahko mislis, da nakazujes denar znancu, v resnici pa ti je zlobna koda nekaj podtaknila in si denar nakazal v Rusijo (ker recimo
tvoje transakcije ni spustila cez in je samo zlorabila enkratno geslo).

Ravno zato, ker ne mores zaupati tistemu kar vidis na kompromitiranem racunalniku, se uporablja out-of-band signalizacija. Kjer recimo dobis SMS ali res hoces, nakazati temu in temu denar. (No pri nas dobis SMS sele naknadno, ko je denar ze sel, ampak ok). Problem s tem je, da je prenos podatkov s pomocjo SMS sporocil razmeroma drag pa tudi telefonu kmalu ne bos vec mogel zaupati (lahko je okuzen tako kot racunalnik).

Posebna naprava bi komunicirala kar preko interneta (ki ga ze itak uporabljas za spletno bancnistvo) tako da odpadejo vsi stroski v zvezi s tem (ljudje imajo itak vec ali manj flatrate). Pa tudi bolj prakticno je vse skupaj. Najprej se prijavis (za to lahko recimo porabis tudi 10 minut) potem pa samo stiskas YES / NO za vsako transakcijo, ki se ti prikaze. Vse ostalo (prej) naredis v brskalniku. Za prijavo bi se lahko recimo uporabljal enostavno certifikat.