Artikelkommentarer

Information

Kommentatorn ansvarar själv för sina inlägg. Inlägg som innehåller diskriminerande uttalanden, personliga påhopp eller språk som kan uppfattas som stötande, kommer att tas bort av tjänstgörande redaktör. Även poänglösa datorkrigsinlägg tas bort.
Det finns bättre platser för sånt.

Hjälp oss hålla koll på inläggen!

Ser Du ett inlägg som du tycker borde tas bort, klicka på ikonen till höger vid inlägget.

Anmäl till moderator

Anmält till moderator

Kommentarer till:

Swedbank panikändrar inloggning till nätbank

Sedan två studenter vid Blekinge tekniska högskola har visat upp en framgångsrik attack mot Swedbanks nätbank inför banken en förändrad inloggningsprocedur med kort varsel. Men attackmetoden, som förutsätter dålig lokal säkerhet hos användaren, kan lika gärna användas mot andra banker, betonar studenternas lärare.

Är jag korkad eller..

2007-03-22 13:06

Det borde väl inte vara sårbart, bara användaren är lite uppmärksam?

För att överföra pengar till ett konto som man inte har upplagt så måste man (väl?) lägga till kontot genom att knappa in (delar av) kontonumret i säkerhetsdosan. Om man bara knappar in de siffror man själv har för kontonumret och inte de som visas på skärmen (vilket bedragarna kan ändra) så borde man väl vara säker. Då stämmer inte kontrollkoden överens med det kontonummer som bedragarna har skickat till banken.

Det Swedbank borde göra är att ta bort raden där det står vilka siffror man ska knappa in i dosan och ersätta denna rad med en instruktion om att det är de x sista siffrorna i kontonumret/summan på formatet x. Jag har för mig att det var så förut, jag har länge tänkt över risken för en man-in-the-middle-attack p.g.a. denna "hjälp".

Magnus Paulsson

Är jag korkad eller..

2007-03-22 17:23

Det här var en riktigt fjantig attack. Hur stora möjligheter har man att göra något seriöst brottsligt bara för man har tillgång till någons bankkonto? Allt som händer i banken är ju spårbart , och om någon börjar föra över stora summor i eller om det börjar likna skumma mönster i transaktionsloggarna så är det bara för banken att stoppa transaktionerna. Det här kan inte bli annat än småstölder om bankens centrala system är ok.

Snackar man företag så kan det givetvis bli lite större stölder, men där bör ju säkerheten vara lite högre också.

Ska man snacka osäkerhet så kan man titta på kreditkorten istället. Där räcker det med att fotostatkopiera någons kort för att man ska kunna sno pengar, och kortet lämnar man ju gladeligen ifrån sig på krogen, restaurangen mm.

pelpet

Är jag korkad eller..

2007-03-22 13:14

Nu använder jag inte swedbank så ni får ursäkta om jag har dålig koll, men hursomhelst:

Jag antar att de tre koderna är:
1) Logga in - Inga problem för hackaren där
2) Lägga till ett nytt mottagarkonto - Är inte detta ett problem då man väl verifierar kontonumret med dosan?
3) Överföra beloppet - Inga problem så länge man nöjer sig med att överföra samma belopp, eller?

Hur som helst, vore inte en bättre lösning än att lägga på en nia att seeda ett slumptal baserat på serverklockan och göra en modulu på kontonummret/summan för att generera den kod dosan ska svara på? Om man då bara låter koden vara giltig en begränsad tid (30 sekunder) så borde man ju öka säkerheten markant.

BobbyEwing

Så här gör man

2007-03-22 16:51

1) Sätt upp en falsk sida som länkar till orginalsida, förutom inloggningsboxen.

2) Få användaren att gå in på sidan, i detta fall genom att hacka användarens DNS inställningar och returnera en annan adress när användaren skriver swedbank.

Detta görs dock egentligen lättast genom att installera en browserplugin. Då kan du manipulera data som du vill.

3) När kunden loggar in på den falska sidan tar du information (automatiskt) och loggar in. Du skickar "riktig" feedback tillbaka till den falska sidan. Samma sak gör du när kunden skall göra en överföring, du ger kunden den challenge du vill ha men visar ett annat kontonummer för kunden.

4) För över till en "mulas" konto eller något annat konto du har kontroll över.

en attack mot engångskoder görs på samma sätt, men då räcker det att visa felmeddelande ibland så att du samlar på dig ett par koder.

Big J

jaha...

2007-03-22 13:22

Inte riktigt.

ALlt beror på vilken information som signeras.

Om koden som du knappar in bara motsvarar ett belopp eller är helt skild från informationen så går det.

Men om det nummer du ska knappa in i dosan skapats som en hash på kontonummret du försöker skicka pengar till samt beloppet och kontot du skickar ifrån så skulle koden inte kunna användas alls eftersom en annan överföring inte skulle matcha i bankens system.

Samma sak med inloggningen, om koden där är en hash på datum + användarnamn så kan den koden inte i sig användas för överföringar.

Lägg till att koden användaren ska knappa in är koden från banken + 4 siffror från kontonumret så kommer en "proxy" inte kunna fejka det med mindre än att de har ett konto med samma 4 siffror att skicka till.

Genom att blanda info från banken och användaren i verifikationen blir det mycket svårare att överhuvud taget komma åt något.

David Mårtensson

jaha...

2007-03-22 14:45

Jo, men man kan ju faktiskt designa ett program som gör följande:

1) Användaren försöker gå till swedbanks inlogg, men blir omdirigerad till min falska sida. När min applikation upptäcker detta går den till swedbanks inloggningssida.
2) Användaren knappar in sitt personnummer. Detta skickar min app till swedbanks sida och får verifieringskoden tillbaka, varefter jag presenterar den på kundens falska sida.
3) Kunden skriver in koden (som alltså är den som kom från swedbanks riktiga sida) i min falska sida och jag kan logga in.
4) Istället för att släppa in kunden låter jag dock min falska sida säga att koden var felaktig och ber om en ny verifikation. Denna gång ber jag dock att få verifikationskoden för att lägga till mitt konto som betalningsmottagere verifierad (som jag har fått inne i swedbanks system, där jag är inloggad)
5) Med hjälp av denna kod kan jag lägga till mig själv som mottagare och upprepa proceduren för att få koden för att verifiera överföringen.

Med hjälp av denna metod kan jag alltså få samtliga tre koder, oavsett vilken genereringsalgoritm banken använder. Nian som de ska införa är en viss säkerhet (så länge användaren vet att de ska förvänta sig en nia), men för att helt säkra sig mot en liknande attack så måste man införa ett system med kryptering och nycklar.

BobbyEwing

jaha...

2007-03-22 15:16

Självklart är det på detta sättet det fungerar. Det är väldigt svårt att få till ett kanonsäkert system som utnyttjar en öppen standard (HTML osv) i länken mellan parterna om en utomstående lyckas knipa själva länken.

För att dra det till ytterligare gränser kan kvantöverföring krävas, dvs läser man av informationsflödet så påverkas även informationen. Man kan tro att det går att dra paralleller till detta sätt, att det då enkelt skulle gå att bryta länken, läsa informationen, kopiera informationen och skicka den igen till avsedd mottagare. Men den insatte vet att det finns en liten tvist som gör att detta är svårare än det låter, praktiskt taget omöjligt.

Glam Casvaluir

jaha...

2007-03-22 22:39

Nja, svårt är det ju inte, problemet är ju bara att om man ska göra det helt säkert så måste man göra en icke-portabel lösning, dvs kunden måste installera saker på datorn. Och då finns de ju inte längre någon anledning att använda en web-baserad klient överhuvudtaget.

Kvantkryptering skull ju så klart vara en lösning, om det nu hade varit möjligt att genomföra via internet, vilket det inte är. Att det inte går att avlyssna kvantkryptering oupptäckt är väl inte "en liten tvist" utan hela konceptet: En vågfunktion kollapsar vid observation och du kan endast avläsa ett av de möjliga utfallen, inte hela funktionens tillstånd innan observation. Men för internet kommer det troligen aldrig vara en lösning då det skulle förutsätta en direkt anslutning mellan samtliga datorer som ska kommunicera.

Jens Johansson

DNS ändringen?

2007-03-22 13:31

> För så länge man använder namn så går det alltid att styra bort
> men frågan är gäller detta även ip-adresser?

De allra flesta webbservrar idag kör flera sajter (i fallet banker skulle man kunna tänka sig att man har en subdomän för företag och en för privatpersoner). Vilken som väljs beror på vilket domännamn som skickas med host-headern till servern. Har du en sådan lösning kommer servern helt enkelt inte att veta vad den ska göra med dig...

Om man byter ut internetbank.swedbank.se mot 164.10.45.80 när man surfar till dem möts man t.ex av en 404:a och ett intetsägande felmeddelande.

Dessutom är det nog få som skulle vilja sitta och köra IP-nummer istället för namn (och dessutom behöva byta nummer när banken flyttar webbtjänsten till annan server).

fhe

Varför...

2007-03-22 13:03

Det gör att om användaren bör bli uppmärksam om inloggningskoden inte börjar på 9.

För t.ex Swedbank behöver du komma över 3 koder för att kunna överföra pengar.
1) Inloggningskod
2) Verifieringskod för konto att överföra till
3) Verifieringskod för summan att överföra

Ett sätt är att låta användaren mata in dessa via falsk inloggningssida där varje försök resulterar i ett fel och där man ber användaren försöka igen, men om de nu ändrar så att inloggningskoden alltid skall börja på 9 så blir det direkt tydligt när de andra koderna efterfrågas eftersom de inte kommer att börja på 9.

redep - Jag vill ha tillbaka EDIT funktionen NU!

Fel?

2007-03-23 08:33

Felet förut var att det inte var någon markant skillnad på siffror kunden skulle knappa in på dosan. Inloggning, överföring och verifiering av ny mottagare var inte speciellt åtskiljaktiga.

Nu skiljer sig inloggningen ifrån de andra två iom att inloggningen alltid ska innehålla en 9:a. (Ett rent fulhack enligt mig, och ingen direkt säkerhetsåtgärd).

Länken mellan kunden och banken är kapad så att kaparen kontrollerar vad kunden ska se i sin browser. Detta gör att kaparen t.ex kan sitta som en vakant repeater under inloggningsfasen, men vid första överföringen, presentera en felaktig inloggning för kunden och be kunden verifiera en ytterligare kod. Vad som i bakgrunden sker är att kaparen med hjälp av kundens 2 verifieringar kan lägga till sitt konto som godkänd mottagare och även föra över pengar till sitt konto.

Glam Casvaluir

Inga nyheter

2007-03-22 13:15

Det här har länge länge varit ett känt problem, och jag har poängterat det i flera kommentarer på IDG.se. Jag har då också föreslagit lösningen att inloggningskoder ska skilja sig från överföringskoder.

Vad härnäst? En artikel om att all din finansiella administrering skyddas bakom en fyrsiffrig kod, om än i en dosa du förhoppningsvis har koll på.

Förlora bankomatkortet+kod och du kan forlora löspengar du har på konton (de flesta har en gräns, t.ex. 10kkr/dag). Förlora dosa+kod och alla lönekonton, sparkonton, fonder och aktier kan flyga iväg på sekunder. Vad jag vet så kan jag inte ta lån på min internetbank, men man kan köra sig i botten på optioner och aktier också om man vill sånt.

Jag upprepar, jag vill att dosan säger "Inloggning" när jag ska godkänna det, och "överföring till konto X" när jag ska godkänna det. Det finns flera sätt att införa detta (kanske inte några färdiga COTS, men det är bara för bankerna att beställa det).

Mats Egentligen

Jag sa ju att det var lätt!

2007-03-22 13:40

Är det verkligen så att alla banker är lika känsliga? Går detta att göra med Skandiabanken t.ex.? De har krypterad överföring med cerifikat som måste laddas ner i förväg och godkännas. Då går det väl inte att gå in i mitten eller? För går man till en annan sida så får man inte upp certifikatsidan och att det är en krypterad överföring. Men visst, de kan ha andra problem.

Med Swedbank så är det tydligt när man för över pengar att sifforna står för beloppet och borde oftast börja med 0 or om det inte är riktigt stora belopp som man kanske inte alltid har på kontot. Att då inloggningen alltid börjar på en 9:a och registreringen av kontonummer börjar på en annan siffra skulle räcka rätt långt om det blir allmänt känt och inarbetat, kanske att alla banker med dosa kör samma system. Men så fort en endaste person missar detta eller får information att det ändrats, kanske via fejkad hemsida så gäller det inte längre!

@dy

Jag sa ju att det var lätt!

2007-03-22 22:51

Nu har de ju inte kontroll över någon del av användarens dator utan bara dennes router och kan därmed styra vart anropen tar vägen. Om trafiken var krypterad med en public/private key lösning så skulle hackarna antingen vara tvugna att ha tillgång till bankens privata nyckel för att kunna lyckas med sin attack, eller fånga överföringen av den publika nyckeln, vidarebefordra en annan och sedan kryptera sina falska svar med motsvarande privat nyckel.. vilket försvåras om nyckeln är certifierad. På det hela taget skulle det göra hela attacken mycket svårare att genomföra med lyckat resultat.

Jens Johansson

Jag sa ju att det var lätt!

2007-03-22 23:29

Och då kan man ju undra hur säkert ditt 'i förväg nedladdade certifikat' är på din dator. En browserplugin/javaapplet är kanske lättare att få dig att ladda hem än ett snyggt paketerat bot-verktyg men det finns många botnet och många medlemmar i dessa? Några kan vara kunder på Skandiabanken. Den som äger botnet'et äger din dator, dvs ditt certifikat ligger risigt till, och pinkoden likaså vilket innebär att du inte har några pengar kvar...
PKI med mjuka certifikat är inte heller bra om inte miljön där ditt mjuka certifikat ligger är säker.
Jag vill säga hårda certifikat, men det är inte heller säkert att det är helt säker...

Martin Johnson

MIM attack

2007-03-22 13:37

Alltså, detta är ju inget nytt fenomen. En 12- åring hade klarat det, att banken nu "panik ändrar" är bara löjligt. Vad ska de PANIK ändra för att förebygga det?

MIM är en av de mest glasklara attacker som fungerar och något av det första man 'försöker' förebygga gällande känslig elektronisk överföring!

Speciellt om de har gått igenom vilka hot och risker det finns INNAN de ens påbörjar en online- bank. De måste väl ha stött på detta tidigare? iallafall måste de ha säkerhets- tekniker som flaggat för att MIM- attack är möjlig redan vid projektet/processens start?

Löjligt, gammalt och borde ha åtgärdats för längesen.

Acdgn

NYTT SCOOP IDG!!!!!!!!

2007-03-22 13:40

Det är ju bara att installera en keylogger på måldatorn. När sedan någon loggar in på Swedbank med sin personliga kod snappar man snabbt upp denna och kan gå vidare till att logga in på tjänsten E-kort (vilket inte kräver dosan för att komma åt) vilket gör att man kan generera VISA-kort-nummer och handla för.

Denna metod är dessutom säkrare då man inte behöver utföra attacken i realtid utan kan vänta i lugn och ro till lämpligt tillfälle.

Det tragiska är hur extremt enkelt detta är och ändå har ingen tidning, inte ens IDG, sett till att uppmärksamma detta!

NYTT SCOOP IDG! SÄTT SVIDBANKEN PÅ PLATS NU!!!!!!!!

Mats Egentligen

NYTT SCOOP IDG!!!!!!!!

2007-03-22 16:33

jag har varit på Swedbank om denna lucka i deras annars, enligt mig, säkra system. De borde ha en helt annan personlig kod för e-kort som är skilt från bankinloggningens persoliga kod. Och det hade känts tryggare ifall jag haft möjlighet att välja koder längre än 6 tecken.

Annars tycker jag att det är säkert nog med att ha koder, de jag ska knappa in i dosan, kopplade till konto och summa. Ännu bättre nu då jag kan identifiera inloggningskod med en 9a. För _jag_ hade reagerat på att jag får konstiga koder vid inloggningen och att efter två "felaktiga" inloggningar hade jag börjat fatta misstankar.

riptide

Fungerar även utan router...

2007-03-22 14:39

Man kan t.ex.:
- lägga in namnen på bankens servrar i den lokala hosts-filen, kan fixas genom virus eller trojan
- installera ett namnuppslagningsfilter i windows som gör sina egna övrsättningar mellan namn och IP-adress, kan göras genom virus eller trojan
- installera en webb-proxy i windows, kan göras med virus eller trojan

Förresten så fixar fixen från Swedbank bara den enklaste varianten av m-i-m attack. Om webb-sidan (eller lokal webb-proxy) istället skulle ha lite intelligens så att den parsade syntaxen på webbsidan och bara bytte ut rätt siffror till fel siffror, så skulle man inte kunna lösa detta annat än genom att blanda information från webb-sidan och från slutanvändaren.

Jag tyckte att förslagen med att ta några siffror ur kontonumret eller bank-/plus-gironumret och verifiera dessa som en del är en lysande förstärkning av säkerheten på ett sätt, men då blir fler siffror kända och hashalgoritmen blir då lättare att knäcka istället...

pac-man

jag...

2007-03-22 16:41

...råkade ut för att nåra ryssar hackade så jag fick en falsk Eniro. Jag var i en annan stad och fick således en falsk adress till det lokala bankkontoret. Glatt kollade jag på Eniro-kartan och gick dit. Middlebanken låg på baksidan av riktiga banken och falsk personalen klädde ut sig till mig och sprang över med mitt legg etc.

Det hela avslöjades dock av att tjuvarna räknade med att det skulle kunna komma "lokala" kunder och därför hade de en "look-a-like" kassadam. Det dumma var att de lät "look-a-like" tanten springa över till riktiga banken och tanten där blev misstänksam när det kom en dam som var väldigt lik kassörskan själv, men utklädd till mig .....

bjucke

Största bankkuppen i historien skulle bli möjlig

2007-03-22 16:57

... Om någon hackade root-servarna ute på internet. Eller varför inte bara nic-se? Då får du 100% kontroll över alla bankerna i Sverige och kan göra i princip vad som helst. Kunderna har ingen möjlighet att upptäcka felet så länge som din sida är bra gjord. Jag menar, hur många sitter och kontrollerar vilket IP nummer som ett visst hostname har? Inte jag iaf!

Och även om de nu skulle funka så går det ju alltid att hacka den internetleverantören som användaren sitter på..

Vet det är extrema grejer jag säger men vill man göra stösta bankkuppen i Sveriges historia så... Å om någon skulle göra de.. snacka om att gräpa ur folks förtroende för Internet's säkerhet !

Mr.KQ

OBS! Denna artikel är mer än 60 dygn gammal och är därför stängd för vidare debatt.

Fler nyheter från TechWorld

2010-02-09 07:00 - TechWorld Säkerhet:

Nätfiskare lurar till sig utsläppsrätter för 30 miljoner

Ett utstuderat nätbedrägeri har lyckats lura minst sju företag på certifikat för koldioxidutsläpp motsvarande över 30 miljoner kronor.

LÄS MER
Google betalar för attacker mot Chrome
Skräppost bekämpas med eget vapen
Bank stämmer offer för cyberstöld

2010-02-08 15:42 - TechWorld Säkerhet:

Brandväggen som tar en halv dag att installera

TEST Netasq U120 är en utm-brandvägg som rubbar våra cirklar med en del udda lösningar, men som även bjuder på en av de värsta installationer vi har varit med om.

(4 kommentarer)

2010-02-08 07:00 - TechWorld Säkerhet:

Forskare stoppar elak mask utan driftstörning

Säkerhetsforskare har utvecklat en lösning som stoppar spridningen av elaka datormaskar utan att de infekterade datorerna behöver tas offline.

2010-02-05 18:40 - TechWorld Säkerhet:

Gör Googlemobilen till inloggningsdosa

Svenska Nordic Edge har tagit fram en applikation som gör att Google Nexus One kan användas som inloggningsdosa på exempelvis nätverket eller internetbanken.

(2 kommentarer)

2010-02-05 07:00 - TechWorld Säkerhet:

Nolldagarssårbarheter i Oracles databas

En säkerhetsforskare har nyligen demonstrerat hur säkerheten i databasen Oracle 11g kan kringgås för att få godtyckliga användarrättigheter.

2010-02-05 05:57 - TechWorld Säkerhet:

Verktyg knäcker lösenordet till Iphonebackupen

I och med Itunes 8.2 och Iphone os 3.0 är det möjligt att spara en krypterad backup av sin Iphone på datorn. Nu har ett verktyg kommit ut som attackerar krypteringen.

(4 kommentarer)

2010-02-04 07:00 - TechWorld Säkerhet: