NLB mora povrniti škodo zaradi phishinga

technolog je 25. dec 2013 ob 14:56 izjavil:

se lahko naredi tale scenarij: Ti narediš nakazilo 10EUR za nove čevlje, vpišeš kodo. V resnici pa napadalec namesto tebe naredi 5000EUR nakazilo offshore.

Tale scenarij je pa po moje bolj znanstvena fantastika. Povezava med klientom in bančnim strežnikom je šifrirana.
Nisem kakšen hacker, ampak močno dvomim, da bi bil kdo sposoben po želji spreminjati šifrirane paketke, ki potujejo na bančni strežnik.
Razen če ni kakšna državna agencija NSA ali kaj podobnega, Ampak ti ti ne bodo šli krasti denarja z računa, ker ti ga poberejo kar legalno preko raznoraznih davkov in podobnega.

technolog je 25. dec 2013 ob 15:08 izjavil:

Seveda je možno. Če ti nazažeš 10EUR sosedi Micki in vpišeš potrditveno kodo, lahko MITM napadalec v ozadju naredi s to isto kodo poljubno nakazilo.
Sem kaj spregledal? Ne uporabljam Klika, tko da ne vem čist točno, kako delujejo stvari tam.

Spregledal si, da je teh kod 8. Vsakič pa moraš vpisat dve naključno izbrani.

technolog je 25. dec 2013 ob 15:16 izjavil:

Klient je browser al kakšen poseben .exe program? Če je browser, potem v primeru phishing linka ni važno, kako hudo kriptirana (šifrirana ni pravi izraz!!) je povezava.

Za firme (NLB Pro Klik) je poseben programček, za navadno rajo (NLB Klik) pa gre prek Browserja.
Ampak za Phishing link pa imamo spet svojo zaščito in sicer "osebno sporočilo". To sporočilo si sestaviš sam in vsakič ko se povežeš na pravi NLB Klik te mora na prijavni strani pričakati tvoje osebno sporočilo. Če ga ni nikjer poten je to znak da si na Phishing strani.

To osebno sporočilo ti posreduje bančni strežnik glede na tvoj certifikat. Torej še preden vpišeš geslo.

Čeprav bi bil tak napad z nekaj nepazljivosti uporabnika teoretično možen, se mi zdi da bi bilo za to potrebno zelo veliko dela.
Čudno se mi zdi da bi se nekdo tako potrudil za eno slovensko banko.
Razen če je bilo na ta način ukradeno res veliko denarja.

SKB bo moral nekaj naredit, ker trenutno ne pride do kolen vsemu temu, kar ste mi povedal.

Ampak ne, oni rajš dodajo to, da je treba kodo pisat dvakrat ob prijavi, kar res ne ščiti proti ničemur.

Čudno se mi zdi da bi se nekdo tako potrudil za eno slovensko banko.

Jaz imam delujoč prototip za tale napad spisan v enem dnevu. In bi tud deloval, če privzamemo, da uporabnik spregleda to, da ga ne pričaka osebno sporočilo.
Pa še reply na tvoje prejšnje sporočilo: To, da je kod osem, nima veze na nič.

technolog je 25. dec 2013 ob 15:32 izjavil:

Pa še reply na tvoje prejšnje sporočilo: To, da je kod osem, nima veze na nič.

Koda je ena, z osmimi znaki (velike črke in številke). Ob nakazilu te povpraša po dveh naključno izbranih, ki ju vneseš s pomočjo prikazane tipkovnice.
Je pa res, da je ta mehanizem irelevanten, če privzamemo način napada, ki si ga omenil.

technolog je 25. dec 2013 ob 15:44 izjavil:

Tehnološka izvedba je tukej še ta mal problem, upam da se zavedate. Problemi se začnejo takrat, ko ti dejansko uspe dobit dostop (torej kam nakazat, kje postavit serverje, ustanavljanje offshore računa, se primerno skrit za sloji plačancev, ki te ne izdajo)... To so ta, ta nevarna znanja.

Kakorkoli, na koncu je kar velik dela.
In zakaj bi toliko dela vložil za eno slovensko banko, ki je v svetovnem merilu majhna, če lahko z enako vloženega dela drugje zaslužiš precej več.
Edini razlog, ki mi pride na pamet je, da gre za slovensko navezo, ampak tukaj bi pa rekel da pri nas kljub vsemu ni veliko ljudi, ki bi to znali izvesti.

Zato meni cela tale zgodba ne štima.
Ali pa so same informacije o načinu zlorabe napačne.

technolog je 25. dec 2013 ob 15:08 izjavil:

Seveda je možno. Če ti nazažeš 10EUR sosedi Micki in vpišeš potrditveno kodo, lahko MITM napadalec v ozadju naredi s to isto kodo poljubno nakazilo.

Sem kaj spregledal? Ne uporabljam Klika, tko da ne vem čist točno, kako delujejo stvari tam.

Ne more.
Zadeva je simple in bullet proof(idiot proof ni...je ta bebec ocitno dokazal al se mu je pa to zgodilo pred uvedbo vsega tega).
Prvo se logiras na klik.nlb.si. Ce si res paranoik si si v naprej zapolnil ip stevilko streznika in pred tem pogledas kaj tvoj racunalnik vidi pod klik.nlb.si.
Potem imas certifikat, ki si ga downloadal z njihove strain(ce so jim vdrli in ze takrat zamenjali ta root cert potem so za vso skodo avtomaticno krivi oni).
Potem se moras avtenticirati s svojim certifikatom(za katerega si spet lahko dal HIGH security in si moral ze na svoji strain vtipkati geslo, da ga sploh lahko posljes naprej).
Potem prides na login page, kjer te mora cakati tisti osebni tekst, ki si ga nastavil. Res da bi ti lahko nekdo heknil masino pa prejsnjo sejo sejval kaj tam pise...ampak a ne tle si ze v startu zajebal, ker ti je nekdo udrl v masino.
No potem naredis placilo(10 eur) na nov racun. Sledi prvi post na klik.nlb.si, kjer je ze na klikovi strain zapisano kaj koliko in kam hoces placati. Ker je to nov racun te vprasa za dodatno geslo(random crka stevilka s papirja, ki si ga dobil priporoceno po posti). Ko to vneses(aja vtipkati ga ne mores uporabljena je virtualna tipkovnica, kjer so tipke vsakic random razporejene)...potem se potrdi tisto placilo, ki je ze shranjeno na strain klika. In to geslo, ki si ga vtipkal velja izkljucno samo za TO prvo placilo in samo TA racun. Za nov racun bo moral cez cel postopek. Torej ti ne more po tem, ko si ti vtipkal dodatno geslo narediti posebej posta na klik s podatki o nekem xy racunu. IMPOSIBRU!!!.
Je pa seveda mozen naslednji scenarij:
-Janezek gleda pornice.
-Janezek fase trojanca.
a)Janezku trojanec namesto klik.nlb.si prikaze tuj page in mu nekako spizdi certifikat in geslo
v starem kliku si bil tle ze mrtev. Imeli so VSE kar so rabili.
b)Isti scenarij.
-prvo te nategnejo, da Z LASTNO ODLOCITVIJO kupis izdelek za 10 eur. Potrdis placilo z unikatnim geslom in shranis racun med priljubljene.
-te prepricajo, da spet kupis nekaj za 5 eur...se logiras gres cez vse postopke in potem oni naredijo nov post z vrednostjo 500 eur...in potem se enega za potrditev(dodatno geslo NE bo zahtevano).
Ampak dejansko bi moral biti slep, gluh in glup, da ne bi opazil, da se ta druga MISSION IMPOSSIBLE variant odvija pred tvojimi ocmi :)
V vsakem primeru si pa spet kriv SAM. Nemogoce, da nosi banka kakrsno koli odgovornost.
Tko, da resnicno upam, da so tega cloveka nategnili preden so vse to uvedli. Potem se nekako razumem sodnike...

Ok razmišljaš, edin tole ne drži:

No potem naredis placilo(10 eur) na nov racun. Sledi prvi post na klik.nlb.si, kjer je ze na klikovi strain zapisano kaj koliko in kam hoces placati. Ker je to nov racun te vprasa za dodatno geslo(random crka stevilka s papirja, ki si ga dobil priporoceno po posti). Ko to vneses(aja vtipkati ga ne mores uporabljena je virtualna tipkovnica, kjer so tipke vsakic random razporejene)...potem se potrdi tisto placilo, ki je ze shranjeno na strain klika. In to geslo, ki si ga vtipkal velja izkljucno samo za TO prvo placilo in samo TA racun. Za nov racun bo moral cez cel postopek. Torej ti ne more po tem, ko si ti vtipkal dodatno geslo narediti posebej posta na klik s podatki o nekem xy racunu. IMPOSIBRU!!!.

En korakec do razumevanja ti še manjka. Če ne bo šlo, ti pa razložim.

Zaključek je tak, da če se ti uspe vrinit v povezavo preko phisnihnga, je tak napad možen (to, da podtakneš malicious nakazilo). Ampak zaradi phishing zaščite (osebno sporočilo ob loginu) to ni mogoče, razen če je uporabnik šlampast in ni pozoren, da sporočila ni bilo.

Dobro se ti vrinejo med sejo in ti nazaj servirajo html kjer pise 10 namesto 500.
Pa potem se tist java crap pojahajo do konca preden se ta del kode pride do tvojega brskalnika...to bi blo pomojem ze v vseh casopisih :)

Najceneje za njih bi bilo, da dodajo moznost(ki je lahko OPT IN in jo placamo uporabniki).
Vtipkam 10 eur nakazila Matthaiu in dobim unikatno geslo po smsu za tocno to vsoto. "Posiljamo vam potrditveno kodo za potrditev placila v vrednosti 10 eur na TRR xxxxxxx. Koda: blabla".
Dokler ne vpisem te kode placilo ne gre cez.
Pa mi lahko heknejo od moje masine do banke kar hocejo.
No razen ce se prej ne naucijo pofejkat kartkih stevilk....kar bo Matthai verjetno rekel, da ni tezko.
In smo spet v riti :D

Lahko bi digitalno podpisal vsako transakcijo... se da pa tudi to pofejkat.

Torej žrtev tukaj je lahko bil napaden z kombinacijo NLB tarča phishing-a in Klik.nlb shekan? / Robert Škulj naredil samomor ? Ma kdo kake dokumente od sodišča za prebrat?

tehnolog, ti razmišljaš pa v tej smeri Hooking @ Wikipedia ?

Happy xmas. :D

Ja, recimo, da zaupam CA-ju. Pri NLB je pa problem, da na Kliku uporabnika 'navajajo' k temu, da CA-ja ni, tam pa CA kar naenkrat je pomemben.

BTW, slovenske banke uporabljajo kaj PFS? Kaj pravi SSLtest?

In čim to vzamejo v zakup banke, konča na plečih komitentov, ustrezno prikrito seveda.

Zato bi blo fajn, da se uvedejo neki splošni varnostni standardi.

poweroff je 25. dec 2013 ob 18:22 izjavil:

Ja, recimo, da zaupam CA-ju. Pri NLB je pa problem, da na Kliku uporabnika 'navajajo' k temu, da CA-ja ni, tam pa CA kar naenkrat je pomemben.

BTW, slovenske banke uporabljajo kaj PFS? Kaj pravi SSLtest?

To ni res. Prva stran navodil je, da si prenses njihov certifikat za CA in ga uvozis v browser/OS. Stran iz kje si pa preneses je pa Thawte SSL.

Zato pa je tu uvedba ocen tveganja, kjer risk management določi mejo, do katerega zneska se vlaga v varnost in kakšen znesek se nameni za poplačilo morebitne škode. Lahko gre to iz fonda banke, lahko je zavarovano...

Tu je le ena majhna "drobnarija". Ko imaš opravka z banko ali zavarovalnico, se te ne tepejo za to,d a bi ti izplačale škodo vedno ali čimveč. Ravno obratno. Interes jih sili v čimmanjša izplačila in samo ko ne gre drugače. Ja, nekaj šteje dobro ime, ampak ne vpliva vsako izplačilo enako na dobro ime in komot izvisiš.

In ko pride do nasprotja interesov je komitent sam na eni strani,banka/zavarovalnica s svojim utečenim in specializiranim teamom pa na drugi.

Če že zaradi drugega ne, bi zaradi tega rad videl minimalno dovljene varnostne mehanizme, ki bi zmanjšali število takih slučajev in njihovo resnot.

Brane22 je 25. dec 2013 ob 18:44 izjavil:

In ko pride do nasprotja interesov je komitent sam na eni strani,banka/zavarovalnica s svojim utečenim in specializiranim teamom pa na drugi.

In BTW je ponavadi takrat komitent brez beliča, banki pa za denar ni sile. Kdo je takrat v boljši situaciji za izsiljevanja tipa vzemi ali pusti" je pa tudi očitno.

technolog je 25. dec 2013 ob 14:13 izjavil:

Pozor!

Ne se prosim slepit, da je SKB kaj bolj varen, ker je treba kao dvakrat pisat neko kodo. Niti pikice bolj.

Le uporabniki jih v pizdo pošiljajo, ker rabiš 5 minut, da se sploh prijaviš. Seveda lahko izklopiš, ampak na lastno škodo. Logike itak nima nihče nobene.

Edina pametna rešitev je, da dajo uporabnikom osebne certifikate. Tega pa seveda nihče ne bi.

glede na to da je Tanner (password generator bi mu verjetno reku) bl k ne standard po večini bank ne vem zakaj bi bil manj varen kot certifikat? je pa precej bolj priročen...

Kolikor se spomnim pri Kliku leta 2009 dodatna koda za potrjevanje transakcij še ni bila obvezna.

Edit: bo držalo: NLB klik amaterji?

Izi je 25. dec 2013 ob 14:22 izjavil:

Tukaj je pa sodišče močno brcnilo v temo. Se vidi, da se sodniki ne spoznajo na te zadeve.

A zadevo ti poznaš bolje?
Ker sodišče je presodilo, da uporabnik ni ravnal malomarno.
Na podlagi česa si ti presodil drugače?

Izi je 25. dec 2013 ob 14:22 izjavil:

Tukaj je pa sodišče močno brcnilo v temo. Se vidi, da se sodniki ne spoznajo na te zadeve.

Tale zadeva z phishingon in prenakazanim denarjem je popoln bullshit. Tudi če jaz na internetu objavim svoje geslo za Banko mi nihče ne more ukrasti denarja.
Prva stvar je, da se brez certifikata ne moreš prijaviti v banko, tudi če veš geslo. Certifikat pa se lahko ukrade samo fizično iz računalnika. Se pravi EDINA možnost je, da so mu denar prenakazali iz njegovega računalnika, ki je imel nameščen certifikat. Torej ali so mu vlomili v hišo ali pa mu ukradli prenosnik. Kje je tukaj kriva banka?
Pa tudi v tem primeru se lahko samo povežeš na banko, še vedno pa ne moreš prenakazati denarja, ker rabiš vpisati še dvomestno zaščitno kodo, ki je ne more vedeti nihče razen lastnik. Se pravi, da so mu morali zraven ukrasti še tisti listek s kodami za nakazila.

Tukaj je pa že toliko čejev in nelogičnosti, da lahko zaključimo, da je ta uporabnik sam nakazal svoj denar na nek drug svoj račun in potem prijavil denar kot ukraden. Naivno sodišče pa mu je verjelo.
Skratka ta uporabnik je nategnil državo in si namesto povračila denarja zasluži zapor.

NLB Klik je štirikrat varovan.
1. Certifikat
2. Geslo
3. Osebno sporočilo
4. Varnostna koda (dvomestna), ki je ob vsakem nakazilu drugačna

Če si še tako neumen in nevešč ti nihče ne more ukrasti denarja, če mu sam ne dovoliš.

Ha ha, čista slovenceljska miselnost:
- žrtev je kriva
- dajmo jo še pretepst in pobrcat
- dogodek se verjetno niti zgodil ni...

Se ti ne zdi, da si lahko NLB (pred dnevi smo jih podarili milijardo, pomnimo) privošči vrhunske odvetnike in strokovnjake s katerim bi na sodišču zmagali, tudi če bi sami s pištolo stranko oropali?

Saj predlagan je, kolikor vem.

MuadDib je 25. dec 2013 ob 14:34 izjavil:

ni stroskov pri placevanju poloznic (po celi evropi, se razume)

Kaj s tem misliš? Grem na poljubno pošto in plača položnico brez provizije?
Imajo svoje poslovalnice po celi evropi?

poweroff je 25. dec 2013 ob 16:59 izjavil:

Gandalfar je 25. dec 2013 ob 12:04 izjavil:

> Ja pizda cela fora avtentifikacije je da korespondentu NE verjamem na lepe oči.

Ja, saj je simple. Gres na njihovo stran: https://elba.nlb.si/ac-nlb-prevzem-klik
(ki je podpisana s strani Verisigna) in si uvozis njihov root certifikat v browser. Lahko bi se pa tudi s tehnikom zmenil po telefonu, da ti pove signature.

Aha, kako pa zaupaš, da ta stran ni MITMjana?

Če frfoks zaupa Verisign-u, zakaj ne bi tudi Janez?

Looooooka je 25. dec 2013 ob 16:59 izjavil:

Najceneje za njih bi bilo, da dodajo moznost(ki je lahko OPT IN in jo placamo uporabniki).
Vtipkam 10 eur nakazila Matthaiu in dobim unikatno geslo po smsu za tocno to vsoto. "Posiljamo vam potrditveno kodo za potrditev placila v vrednosti 10 eur na TRR xxxxxxx. Koda: blabla".
Dokler ne vpisem te kode placilo ne gre cez.

To je tako dobra ideja, da jo banke že uporabljajo lep čas.

Pa mi lahko heknejo od moje masine do banke kar hocejo.

Razen če ti heknejo mandoridni telefon...

In smo spet v riti :D

Tako je.

Psihing strani je, kolikor je bilo objavljeno, dal vse osebne podatke, številko računa in gesla. Že ob prvi uporabi klik-a te pričaka obvestilo o varni uporabi, kjer lepo piše, da banka nikoli ne bo zahtevala dodatnih podatkov klienta. Če se na strani pojavi zahteva po osebnih podatkih, je to znak, da gre za lažno stran.

Osebno poslujem preko klik-a že od kar obstoji, prenakazoval sem že večje vsote 100kDEM+, v času, ko je bilo varovanje še nepopolno pa ni bilo nikoli nič narobe.
Osebni ključ imam na ključku in SD kartici (rezerva), vstavim ga v brovser, ko nameravam delat z banko, po zaključku seje, ga iz računalnika brišem.
Postopek traja nekaj sekund za vnos in sekunda za izbris. Prijavljal sem se na različnih računalnikih, tudi po svetu, pa ni bilo nikoli problemov.

Sem pa že delal na računalnikih strank, ki so imele osebni ključ shranjen v brovserju, naštimano prvo geslo avtomatsko prijavo, drugo geslo pa v beležki pod naslovom - gesla.
Na opozorilo, da to ni varno (tudi pri strankah, katerim bi bilo kaj pobrati), jih je malo zaskrbelo, tako, da so ukinili avtomatsko prijavo in umaknili gesla, po prejemu novega ključa, pa smo uredili tako kot je potrebno.

Problem je namreč, če je ključ dan v brovser, brez možnosti izvoza (to je možno nastavit samo ob instalaciji - prevzemu).

Problem je, da ni zavarovanja pred neumnostjo samih uporabnikov.

Osebno poslujem preko klik-a že od kar obstoji, prenakazoval sem že večje vsote 100kDEM+, v času, ko je bilo varovanje še nepopolno pa ni bilo nikoli nič narobe.

Jaz sem take vsote včasih nosil v kufrih. Znanec še 10x višje v škatlah in vrečah za smeti. Your point?