NLB mora povrniti škodo zaradi phishinga

Postopek traja nekaj sekund za vnos in sekunda za izbris. Prijavljal sem se na različnih računalnikih, tudi po svetu, pa ni bilo nikoli problemov.

Ni problema dobiti nazaj certifikat z undelete orodji .

Nekaj nametanih komentarjev na temo.

Okoli l. 2009 je bil splošen nivo varnosti NLB klik na začetnem nivoju, varnostni elementi so bili osnovni, banka je ponujala možnost, ki je že ob manjši neprevidnosti uporabnika, le tega izpostavila visokem tveganju. "Osnovni paket [NLB klika] torej ne zagotavlja visoke ravni varnosti, vendar se najveć uporabnikov odloči prav zanj in to zaradi ugodne cene. Tega prav gotovo ne bi storili, če bi se zavedali potencialne nevarnosti, ki jim grozi. Prav pri uporabi tega osnovnega paketa je do zdaj prišlo do največjega števila odtujitev denarja z računov uporabnikov."[1]

Izhodišče za 120. čl. ZPlaSS je neenakopraven odnos med bank in komitentom. Banka je namreč tista, ki ima možnost predpisati in zahtevati uporabo poljubnih varovalnih mehanizmov. Povprečen uporabnik, pa po drugi strani ni sposoben ocenjevanja tveganj in s tem informirane izbire na trgu. V to neenakopravnost se poseže tako, da se povprečnega uporabnika še vedno spodbuja k varnem in odgovornem ravnanju (sam trpi stroške do višine 150 EUR), banko pa k dejanski implementaciji ustreznih varnostnih mehanizmov, ki bodo minimizirali njeno stopnjo tveganja (če ni vzroka v hudi malomarnosti na strani uporabnika, bo banka nosila vse posledice zlorabe, ki presega 150 EUR).

Vsebina sodbe mi ni na voljo, da jo bi prebral, vendar pa ob upoštevanju zgornjih dveh odstavkov, ni nujno iz trte zvita. Če je uporabnik uporabljal "Osnovni paket", ki ga je banka prodajala in z nižjo ceno tudi promovirala in, če je za varnost računalnika poskrbel tako, kot bi za to poskrbel povprečen uporabnik, potem sta dva bistvena pogoja torej skoraj že izpolnjena. Banka se je odločila ponujati bolj tvegano rešitev (kar pomeni višje zavarovalne premije za banko), uporabnik pa ni ravnal očitno malomarno (nameščen požarni zid, protivirusna zaščita, verjetno tudi uporaba gesla). Glede na kvaliteto različnih phishing strani in odsotnost podatka o uporabljenem spletnem brskalniku, pa ostane odprto vprašanje kako enostavno bi bilo za povprečnega uporabnika zaznati, da vidi phising stran in ne "original".

Glede na odsotnost očitnih indikatorjev, da povezava ni zaščitena (govora je o spletnih brskalnikih l. 2009), ali pa, da je z njo nekaj narobe (znova, l. 2009), v kombinaciji s svetovanjem banke, ki je uporabnike "trenirala" na varnostno tvegano potrjevanje navidezno neveljavnega digitalnega potrdila, se da sklepati, da tudi tukaj zelo verjetno ni šlo za hudo malomarnost uporabnika.

Glede na to, da so se varnostni mehanizmi v preteklih štirih letih izboljšali, je tudi to lahko predstavljeno in upošetvano kot implicitno priznanje banke, da takratni varnostni mehanizmi niso bili optimalni. Enako pa se lahko ugotovi (in se še vedno ugotavlja) za spletne brskalnike.


[1] Belič, B; 2009; Varnost sistemov internetnega bančništva na primeru Klik NLB; EPF - Ekonomsko-poslovna fakulteta, Maribor; http://dkum.uni-mb.si/IzpisGradiva.php?...

joze67 je 26. dec 2013 ob 11:48 izjavil:

AndrejO je 26. dec 2013 ob 11:26 izjavil:

Glede na to, da so se varnostni mehanizmi v preteklih štirih letih izboljšali, je tudi to lahko predstavljeno in upošetvano kot implicitno priznanje banke, da takratni varnostni mehanizmi niso bili optimalni. Enako pa se lahko ugotovi (in se še vedno ugotavlja) za spletne brskalnike.

Tole ... ne drži. Vsi ponudniki izboljšujejo svojo tehnologijo, prav tako kot napadalci. Beseda "optimalno" ima skozi čas drugačen pomen - kar je bilo optimalno 2003, v letu 2013 morda ni več.

Morda sem premalo pojasnil, pa bom še malo.

Če se pogleda progresijo varnostnih ukrepov spletnih bank, se opazi, da banke šele po večjih ali odmevnejših zlorabah uvajajo tehnologije in pristope, ki so bili na voljo že leta prej in so jih konkurenti tudi že uporabljali. Tukaj ni govora o temu, da se izumlja novo šifriranje ali nove protokole, govora je izključno o temu, da se začne uporabljati tehnike, ki so bile optimalne že l. 2009 in so še danes zadostne.

Za primerjavo še ena povezava iz l. 2009: http://www.zps.si/osebne-finance/varnos...

Povzetek tabel je, da je bilo že takrat videti, da imaš takšne in drugačne varnostne mehanizme. Kar se je s časom pri Klik NLB spremenilo, je samo to, da so spletni brskalniki malenkostno izboljšali uporabniške vmesnike (ranljivosti in omejitve PKI so še vedno iste) in, da so selektivno uvedli nekatere dodatne varnostne mehanizme.

Pa ni NLB največji grešnik. Zaradi nabrane zgodovine je npr. Abanet še danes "unsafe at any speed", če se uporabnik le malenkost spozabi. Spozabi na način, ki ga ni možno povezati z malomarnostjo.

Tigorsami je 25. dec 2013 ob 10:43 izjavil:

Koliko lahko zaupate banki, ob obisku katere dobite sporočilo:

klik.nlb.si uporablja neveljavno digitalno potrdilo.

Digitalno potrdilo ni vredno zaupanja, ker tudi njegov izdajatelj ni.

Mimogrede, izdajatelj potrdila je NLB.

Seveda je treba za nadaljevanje dodati izjemo in kako naj običajni uporabnik ve, da je enkrat to dobro, drugič pa ne.
Samo zato, ker se banki zdi škoda dobrih sto evrov za certifikat z zeleno naslovno vrstico.

To ti javi zato, ker nimaš NLB certifikata (ker nisi njihov uporabnik), ki ti ga osebno izda NLB, in ga moraš potem uvozit v brskalnik. Potem pa ti tega ne bo več javljalo.

BigWhale je 26. dec 2013 ob 08:43 izjavil:

Obstajajo tehnologije s katerimi se da na precej enostaven nacin zascititi spletne strani pred phishingom. Spletno stran pa si lahko zascitis aktivno ali pa pasivno. V podrobnosti se ne morem spuscati, gre pa za mehanizme kjer imas third party service, ki skrbi za validacijo spletne strani ali posameznih elementov na spletni strani. V kombinaciji z DNSSEC in nekaj osvescenosti uporabnika, je stvar precej efektivna.

Je pa dobro, da imas SSL certifikat, ki je bil izdan od ustreznega CAja. Ce imas svoj CA, potem pa poskrbis, da si uporabniki namestijo tvoj CA certifikat.

Ni pa nobena zascita 100% varna.

A ni mela ena slovenska firma to cez nekaj let nazaj.
Na stran zalimas nek link, ki je na koncu za uporabnika slikca...ki jo lahko kadarkoli klikne in ga forwardira na stran, ki mu pove ce je stran res prava(sklepam, da je v linku nek string zgeneriran s kljucem, ki je znan samo temu overitelju in spletni strani)...
To bi blo ze dovolj, da bi uporabnik vedel, da je na pravi strani.
Potem pa se dvostopenjska avtentikacija(sorry v letu 2013 se mi zdijo namenski generatorji kljucev nepotreben balast)...pa si verjetno ze relativno safe.

Looooooka je 26. dec 2013 ob 13:53 izjavil:

A ni mela ena slovenska firma to cez nekaj let nazaj.
Na stran zalimas nek link, ki je na koncu za uporabnika slikca...ki jo lahko kadarkoli klikne in ga forwardira na stran, ki mu pove ce je stran res prava(sklepam, da je v linku nek string zgeneriran s kljucem, ki je znan samo temu overitelju in spletni strani)...
To bi blo ze dovolj, da bi uporabnik vedel, da je na pravi strani.

To je crap in uporabnik ne bi bil čisto nič bolj varen. Kaj mu namreč jamči, da tudi stran, ki se mu odpre po kliku na to stran ni navaden ponaredek?

Looooooka je 26. dec 2013 ob 13:53 izjavil:

Potem pa se dvostopenjska avtentikacija(sorry v letu 2013 se mi zdijo namenski generatorji kljucev nepotreben balast)...pa si verjetno ze relativno safe.

Razpoložljive stopnje so:
- nekaj, kar vem (uporabniška imena, gesla, ipd.);
- nekaj, kar sem (biometrični podatki, zasebni biografski podatki, ipd.);
- nekaj, kar imam (digitalni podpisi, OTP, ipd.).

Izberi poljubni dve.

V nadaljevajnu izberi relativno varno implementacijo izbranih dveh. Relativno je tukaj določeno glede na verjetnost zlorabe in potencialno škodo, ki s takšno zlorabo nastane. Generator ključev je primer "nekaj, kar imam" dejavnika, ki ga lahko nadomestiš z nečim drugim. Vendar pa je vprašanje s čim bi ga ti nadomestil, da bi ohranil solidno varnost pri večji praktičnosti.

BigWhale je 26. dec 2013 ob 16:41 izjavil:

Najvecja tezava je v tem, da je potrebno spletno stran narediti tako, da so elementi zascite prepoznavni in jih lahko uporabnik preveri na cim bolj preprost nacin, brez da bi rabil poglobljeno znanje iz racunalniskih omrezij. :)

Najvecja bedarija pa je, da se tega ne naredi na izvorni strani.

a1) Vse, kar lahko narediš na N-ti spletni strani, lahko narediš tudi na N-1 spletni strani, ki jo uporablja za verifikacijo.

a2) Ljudje iščemo najhitrejši/najlažji način za dosego cilja.

Po logičnem sklepanju na podlagi zgornjih dveh aksiomov:

i1) lahko vse mehanizme uporabiš na 1. spletni strani.
i2) je uporaba na 1. spletni strani edina smiselna, saj uporabnik v povprečju ne bo preverjal verodostojnosti strani, če je preverba opcijska (link na neko novo stran).

Ergo, tovrstne rešitve so smetje. Vendar ne skrbi, ne da se mi tega razglašati naokoli in, če je to tvoj vir prihodkov, ... There's one born every minute.

Tvoj certifikat manjka.

PS: Ne spreminjaj "internih" "sistemskih" nastavitev, ker so dobri za 99,9999999% primerov in boš kvečjemu kaj pokvaril. Si sam ugotovil, da ti spremembe nič ne pomagajo.

BigWhale je 26. dec 2013 ob 19:36 izjavil:

V resnici je tako, da lahko ti izvajas phishing za izvorno spletno stran in se verifikacijsko stran, da bi pa rec res delovala, moras pa priti se do uporabnikovega racunalnika in ponarediti se nekaj drugih zadev, ki pa niso povsem trivialne.

Dokler se zanašaš izključno na spletno stran in spletni brskalnik, potem bo phishing enako uspešen, ne glede na to katera stran (1., 2., ... ali N-ta) je zadnja v verigi verifikacij, če so vse ostale okoliščine enake. Vendar pa, če je za verifikacijo potrebno opcijsko obiskati dodatno stran, potem bo phishing lažje izvedljiv, saj bo avtomatično "vklopljena" človekova lastnost "optimizacije procesa". To je tisto, kar ne glede na dobre ideje, izniči kakršno koli dodano vrednost rešitve, ki ni "vsiljena" v proces uporabe in se minimalno zanaša na dogovorjeno pravilno ravnanje uporabnika.

BigWhale je 26. dec 2013 ob 19:36 izjavil:

Jasno, ce uporabnik teh zadev ne preverja, je popolnoma vseeno kaksne mehanizme uporabljas za zascito.

Phishing temelji točno na temu. Rešitev za to nevarnost torej ni v temu, da še naprej zaupaš uporabniku, temveč izključno v temu, da uporabnika postaviš v položaj v katerem bo nasesti phishingu mentalno napornejši proces, kot pa ravnati varno. Samo sodatne spletne strani izvornega problema ne rešujejo.

Primer večanja takšnega mentalnega napora je npr. v FF, kjer mora uporabnik skozi daljši proces v katerem potrdi, da želi sprejeti povezavo, ki ni povezana z verigo zaupanja, ki bi ji uporabnik že zaupal. Veliko uporabnikov pri tem procesu preprosto "popi**i" in vse skupaj zapre, kar je natačno tisti rezultat, ki se ga je želelo doseči.

Obupal nad Ie in šel preveriti na firefox v25:
dodam acnlb.cer v Ff certifikati shrambo https://slo-tech.com/forum/t316631/p206... , dodam še skozi skozi "add exception" ko Ff v prvo "zateži" in dobim


Kdo zdaj koga na suho ??

Nimam, a te brez osebnega nlb certifikata sploh do klik login strani ne spusti ?

Heh, ko soforumaš ne prebere, kaj mu napišem.

Sicer bi lahko NLB (ali browser) dal bolj razumljivo sporočilo o napaki.

MITM lahko izvedeš tudi lokalno na računalniku tako, da zlonamerna koda vzpostavi lokalnega posrednika (proxy) in ustrezno "popravi" nastavitve v uporabnikovem spletnem brskalniku oz. sistemu. Če uporabnik ne pazi na sporočila brskalnika glede neustreznih digitalnih potrdil, je zloraba hitro tu.

Pa imaš MITM za katerega na rabiš nekih hudih scenarijev rezanja žic, dešifriranja ali česa podobnega. Reklamacija? Valjda, gospod. Je to bil vaš IP naslov? Je? Ja potem ste pa to vi nakazali, a ne?

Možne so tudi ostale variante, ki gredo za MTIM zelo rade na temo "za hrbtom spremenim nastavitve spletnega brskalnika".

> Seveda pozabmo IE tukej in njegov ActiveX.

Z vsemi zero dayi Jave in Acrobatovih PDF-jev, je IE res se najmanjsi problem.

Matija82 je 31. dec 2013 ob 11:07 izjavil:

Plačila, ki ne zahtevajo dodatne potrditve z virtualno tipkovnico morajo biti ročna nastavljena kot "hitra plačila". To pa lahko naštimaš šele ko enkrat opraviš plačilo na ta račun z dodatno potrditvijo.

Ha?