PARTNER SERWISU
tvxkawtq
1 2

Bezpieczne?

tadekmazur
9
Dołączył: 2009-01-18
Wpisów: 1 151
Wysłane: 13 lutego 2009 20:23:58
Jak dotąd myślałem że posługiwanie się tokenem lub listą haseł jednorazowych daje bezpieczeństwo w e-bankowości i e-maklerskości. Niestety wykombinowli jakiś "pharming" i znowu bezpieczeństwo spadło. Hakerzy mieszają w DNSach i mogą przekierować połączenie na swoją stronę (też z kłódeczką i jakimś tam certyfikatem) złapać jednorazowe hasło i nim się sami zalogować. Zgroza! Niby rachunki maklerskie bezpieczniejsze bo przelewać można tylko na swoje konta, ale to tylko pozorne bezpieczeństwo bo można porobić takie zleconka na małopłynnych papierach żeby kolega z kontem na Kajmanach był po drugiej stronie takiej "transakcji".
Chyba już czas żeby instytucje finansowe przeszły na podpis elektroniczny. Jest trochę drogawy, ale kodu prywatnego żaden gościu nie wyhakuje bo jest na osobnej karcie kryptograficznej i wyciągnąć go z niej nie da rady.

TheBlackHorse
1
Dołączył: 2008-10-09
Wpisów: 1 410
Wysłane: 21 lutego 2009 12:39:47
Warto posługiwać się tokenem? Kto z was go używa?
You can't judge a fish by lookin' in the pond
You can't judge right from looking at the wrong
You can't judge one by looking at the other
You can't judge a book by looking at the cover
Oh can't you see, oh you misjudge me
I look like a farmer, but I'm a lover!

yogo
0
Dołączył: 2008-11-26
Wpisów: 120
Wysłane: 21 lutego 2009 15:30:06
witam uzywalem karty zdrapki w inteligo...pozniej token z haslami ktory musialem miec przy przesylaniu pieniedzy i nie wiem czy to takie dobre rozwiazanie, teraz uzywam i mysle ze to swietna rzecz hasla na komorke (jest to pewnego rodzaju token-jak mi tlumaczyli) , przed dokonaniem przelewu trzeba wpisac haslo ktore przesla na twoj nr komorkowy z twojego banku, proste i skuteczne


TheBlackHorse
1
Dołączył: 2008-10-09
Wpisów: 1 410
Wysłane: 21 lutego 2009 16:18:24
Co do haseł sms też uważam, że to bardzo dobre rozwiązanie i chyba jedno z lepszych. Token wzbudził moje zainteresowanie ponieważ nigdy nie miałem z nim do czynienia.
You can't judge a fish by lookin' in the pond
You can't judge right from looking at the wrong
You can't judge one by looking at the other
You can't judge a book by looking at the cover
Oh can't you see, oh you misjudge me
I look like a farmer, but I'm a lover!

tadekmazur
9
Dołączył: 2009-01-18
Wpisów: 1 151
Wysłane: 21 lutego 2009 19:15:21
Doczytałem trochę. Dla pewności trzeba sprawdzić certyfikat strony. Jeśli do tego stosujemy hasła jednorazowe to wszystko ok. W sumie to najgorszy może być atak typu "man in the middle". Sprawdzenie certyfikatu strony banku załatwia sprawę.

del-20130531
0
Dołączył: 2009-01-31
Wpisów: 757
Wysłane: 8 marca 2009 13:50:41
tadekmazur napisał(a):
Doczytałem trochę. Dla pewności trzeba sprawdzić certyfikat strony. Jeśli do tego stosujemy hasła jednorazowe to wszystko ok. W sumie to najgorszy może być atak typu "man in the middle". Sprawdzenie certyfikatu strony banku załatwia sprawę.


a jak drogi kolega sprawdza się certyfikat strony, skoro złodzieje mogą podrobić nawet kłódeczkę. Na co zwracać uwagę sprawdzając ten certyfikat? Dziękuję

tadekmazur
9
Dołączył: 2009-01-18
Wpisów: 1 151
Wysłane: 8 marca 2009 14:23:02
Klikamy na kłódeczkę i czytamy pełne info o certyfikacie. Jeśli wszystko się zgadza to mamy PEWNOŚĆ że jesteśmy połączeni ze stroną właściwą. O ile mi wiadomo to w takie połączenie nikt nie jest w stanie zaingerować bo SSL gwarantuje integralność. Czyli jeśli czytamy certyfikaty to nie ma ryzyka ataku "man in the middle". Zatem wystarczy postępować ostrożnie żeby ryzyko nielegalnych operacji na koncie całkowicie wyeliminować.
Natomiast można je podglądnąć na kilka sposobów.
Najbardziej znany to keylogger na komputerze użytkownika. Jeśli tylko przekazuje intruzowi historię uderzeń w klawiaturę to ujawnia numery kart kredytowych i niektóre tajemnice konta, jeśli dodatkowo robi zrzuty ekranu to ujawnia całą wiedzę o rachunku i wirtualne klawiatury nie będą żadną obroną. Aktualizowany program typu Internet Security teoretycznie nie powinien do tego dopuścić, ale pewność wyraźnie poniżej 100%.
Drugi sposób podglądu to osłabienie szyfrowania. Strona bankowa negocjuje z naszym komputerem najmocniejsze szyfrowanie jakie nasz komputer może obsłużyć. Jeśli sprytny haker sprawi aby nasz komputer udawał starocia gotowego tylko na 40 bitowy SSL, a strona banku jest pod tym względem do bani (tzn dopuści takie "szyfrowanie") to intruz przejmie je i rozkoduje w pięć minut. Tutaj powinna temu zapobiec strona banku nie zgadzając się na zbyt niską jakość szyfru, ale wiele stron się podobnao zgadza. Dobry program ochronny powinien załatwić sprawę.
Trzeci sposób podglądu to antena kierunkowa i odczyt emisji ekranu monitora. Przed tym może ochronić tylko ekran Faradaya (wątpię żeby ktoś miał coś takiego w domu, w bankach chyba mają). Można to zrobić z furgonetki pod Twoim domem i nic na to nie poradzisz, ale prawdopodobieństwo takiego ataku na przypadkowe prywatne osoby jest znikome.

Powyższe dotyczyło podglądu w sieciach kablowych. W wi-fi o podglądanie łatwiej.
Edytowany: 8 marca 2009 14:26

SlawekW
0
Dołączył: 2009-01-09
Wpisów: 878
Wysłane: 8 marca 2009 14:45:17
Dla porownania dwa sposoby zabezpieczania dostepu z grupy ING.

Dostep do rachunku biezacego wedlug mnie zabezpieczony fatalnie: nazwa uzytkownika i piec losowo wybranych znakow z hasla. Troche cierpliwosci ze strony hakera i po sprawie.

Z drugiej strony zabezpieczenie rachunku gieldowego w ING Securities. Na pierwszym poziomie dostep do podladu rachunku, taki sm system jak na "ROR", ale juz maly szczebel lepszy, w hale musza byc male i wielkie litery, zatem wiecej kombinacji. Ale zlamanie tego, daje tylko podglad. Oraz system wymusza zmiane hasla co miesiac.

Ponadto, zeby wykonac na rachunku wykonac operacje, trzeba wskazac "fizyczny" plik klucza i dodatkowo podac do niego hasło.

Na koniec, owoc ewentualnych operacji trzeba przekazać na konto wskazane w umowie, nie da się - o ile nie jestem w błędzie - dopisać nowego rachunku przez net.

Podsumowujac, czuje ze moja kasa na rachunku biezacym jest zabezpieczona fatalnie (czym sie nie przejmuje zbytnio, bo tam zwykle pustki), a na rachunku gieldowym calkiem przyzwoicie!
Mnie tez dopadł kryzys.. jem spleśniały ser, pije stare wino i jeżdżę autem bez dachu....

tadekmazur
9
Dołączył: 2009-01-18
Wpisów: 1 151
Wysłane: 8 marca 2009 14:58:29
Nigdzie nie przeleją kasy z rachunku maklerskiego na obce konto, ale to nie zabezpiecza przed złożeniem "fajnego" fałszywego zlecenia w imieniu ofiary. Intruz może być po drugiej stronie na jakimś niepłynnym papierze z chorą ceną.

Ja jestem na tokenie. System z kluczem prywatnym w ING byłby lepszy gdyby plik był przechowywany na karcie kryptograficznej jak podpis elektroniczny (a z tego co czytam nie jest).

SlawekW
0
Dołączył: 2009-01-09
Wpisów: 878
Wysłane: 8 marca 2009 15:16:23
Jasne, tylko zachowajmy zasade propocjonalnosci wynikajacej z analizy ryzyka. Wiesz, ja tez moge podniesc bezpieczenstwo ROR-u w ING robiac sobie haslo 36. znakowe, ale nie bedzie mi sie chyba wtedy chcialo logowac do tego konta.

To co mowisz o karcie i "fajnych" zleceniach tez prawda, ale znow analiza ryzyka nie uzasadnia takich kosztow. Innymi slowy, jesli angazujesz ogromne kwoty na bardzo nieplynnych papierach, ktore daja mozliwosci wykonania takiego numeru, to musisz szukac rachunku, ktory cie przed tym zabezpieczy, ale wtedy pewnie odpowiednio slono za to placisz, bo stworzenie takich zabezpieczen tez kosztuje.

Poki co, mozemy chyba sie czuc bezpiecznie nie robiac glupot. Wlasciwie zabezpieczac wlasna siec bezprzewodowa, troche sie wyczulic na "phishing", sprawdzac certyfikaty, od czasu do czasu zmieniac haslo i nie wpadac w paranoje.
Mnie tez dopadł kryzys.. jem spleśniały ser, pije stare wino i jeżdżę autem bez dachu....
Edytowany: 8 marca 2009 15:16


karoldvl
0
Dołączył: 2008-10-21
Wpisów: 167
Wysłane: 8 marca 2009 15:27:44
Dużo też zależy od bezpieczeństwa systemu. Dobrze do tego celu nadaje się używanie systemów bootowalnych z nośników tylko do odczytu na sprawdzonym sprzęcie. Korzystam z modyfikowanej wersji Slaksa od paru lat i tylko uruchomienie NOL3 sprawiło trochę kłopotu. Wrzucenie płyty/pendrive'a gwarantuje świeży system za każdym restartem i odpada sprawa wirusów, trojanów, keyloggerów software'owych. Obecny poziom zabezpieczeń w instytucjach finansowych jest całkowicie wystarczający przy założeniu bezpiecznych systemów użytkowników. W przypadku niesprawdzonych stacji roboczych mało jest zabezpieczeń, które gwarantowałyby pełną poufność.

SlawekW
0
Dołączył: 2009-01-09
Wpisów: 878
Wysłane: 8 marca 2009 15:59:28
No wlasnie, a ja nie chce tych klopotow z korzystaniem z niszowych systemow, chce dostep do kont (obu) z dowolnego komputera, pod warunkiem, ze nie zapomnialem pendriva.

Latwo jest pod wplywem newsów wpasc w paranoje w kwestii bezpieczenstwa, ale analiza ryzyka wskazuje, ze absolutnie nie ma powodu.

Z jednej strony, nie nosze ze soba w portfelu spisu numerow kont, hasel, kluczy, nie wpisuje ich w komorke, jako najbardziej poreczne narzedzie.

Z drugiej nie wykladam scian olowiem i nie kupuje przesadnie drogich zabezpieczen. Nie pogarszam komfortu pracy na tyle, zeby mi sie nie chcialo zaczac pracowac.:)
Mnie tez dopadł kryzys.. jem spleśniały ser, pije stare wino i jeżdżę autem bez dachu....
Edytowany: 8 marca 2009 16:52

tadekmazur
9
Dołączył: 2009-01-18
Wpisów: 1 151
Wysłane: 8 marca 2009 17:18:59
@ Karolhot

Zaciekawił mnie Twój post. Mógłbyś odrobinę rozwinąć temat?
Co z aktualizacjami takiego systemu? Czy korzystasz także z jakiegoś bezpieczniaka typu Internet Security?
Jeśli pytania są głupie to przepraszam ale moja wiedza o systemach innych niż Windowsy jest zerowa.

karoldvl
0
Dołączył: 2008-10-21
Wpisów: 167
Wysłane: 8 marca 2009 18:00:00
Wygląda to tak, że na pendrivie z opcją zablokowania zapisu mam zainstalowany system. Slax jest taką dystrybucją Linuksa przystosowaną w szczególności do tego typu zastosowań. Z początku wymaga to trochę zachodu, ale do podstawowej konfiguracji nie trzeba jeszcze znać systemu na wylot.

Żeby nie babrać się w ustawienia sieciowe, to używam tego na notebooku podłączonym do routera, który rozdziela sieć. Zapewnia to mniejsze problemy z konfiguracją, no i mam pewność, że hardware się raczej nie zmieni (co ułatwia sprawę).

Główną wadą (ale zarazem zaletą i clou całego rozwiązania) jest brak opcji zapisu. Czyli wszelkie zmiany dokonane w systemie, pobrane pliki znikają po wyłączeniu komputera. Rzeczy, które chcę zachować (np. wyciąg) można np. nagrać na inną pamięć przenośną lub zgrać po sieci lokalnej.

Zastosowanie pendrive'a zamiast CD pozwala raz na jakiś czas dokonać aktualizacji systemu, aplikacji do notowań etc. Wtedy przy oddzielnym uruchomieniu (i przełączeniu pendrive'a na tryb z zapisem) można zgrać zmiany zachowane w pamięci operacyjnej.

Z pewnością nie jest to tak wygodne, jak działanie na normalnym systemie, ale zapewnia dużo większe bezpieczeństwo i poczucie, że nawet najgorsze namieszanie w systemie można odwrócić poprzez zwykły reset.

Głównym problemem, jaki miałem, jest niekompatybilność polskich systemów brokerskich z rozwiązaniami niestandardowymi (czyt. wszystko, co nie jest Internet Explorerem 5.5 na Windowsie). Proste systemy transakcyjne albo coś w Javie można obsłużyć bez problemu w Firefoksie/Konquerorze (np. mBank czy inne systemy typowo bankowe). Problem jest lekki z ePromakiem (wymaga IE, ale jest to tylko głupie ograniczenie nałożone przez twórców) i duży z NOL2/3 - to są systemy robione jako kontrolki ActiveX - typowo pod Windowsa. Ale i to da się obejść - Crossover Office (emulator Windowsa na bazie wine) + Internet Explorer 5.5 pozwala z tego korzystać w miarę bezproblemowo (po etapie konfiguracji, który nie jest zbyt przyjemny). Na szczęście NOL zachowuje ustawienia na serwerze biura maklerskiego, więc brak zapisu w systemie nie stanowi problemu.

Do takich zastosowań, jakie mam, jest to rozwiązanie zadowalające, ale w większości przypadków będzie zapewne zbyt ograniczające (nie mówiąc już o problemach technicznych z konfiguracją).

Dużo prostszym wyjściem, a również poprawiającym w znacznym stopniu bezpieczeństwo, jest instalacja podwójna systemu (Windows sklonowany na dwie partycje). Jednej instalacji używa się do normalnej pracy, a drugiej tylko do zastosowań typu bank/DM (mniejsze prawdopodobieństwo złapania czegoś nieodpowiedniego). Jest to takie chyba wyważenie między funkcjonalnością, bezpieczeństwem a wygodą. W przypadku takim powstają pewne wątpliwości licencyjne, ale to już kwestia dziwnych zapisów Microsoftu i temat na inną dyskusję.

tadekmazur
9
Dołączył: 2009-01-18
Wpisów: 1 151
Wysłane: 8 marca 2009 19:43:18
Thanks.

tadekmazur
9
Dołączył: 2009-01-18
Wpisów: 1 151
Wysłane: 9 marca 2009 08:42:17
Laptop czy stacjonarny? Ma to jakieś znaczenie dla bezpieczeństwa? Zakładam że laptop używa karty GSM, a nie korzysta z hot spota w kawiarni (co podobno jest kiepskim pomysłem przy połączeniach z bankami).

karoldvl
0
Dołączył: 2008-10-21
Wpisów: 167
Wysłane: 9 marca 2009 11:30:23
W moim przypadku jest to akurat "laptop stacjonarny".

Dla usług bankowości internetowej w sumie nie ma znaczenia, czy jest to GSM/Wi-Fi/sieć osiedlowa. Wszędzie zakłada się, że po drodze możliwy (a nawet prawdopodobny) jest podsłuch (tak samo w przypadku stacjonarnego, który przesyła cokolwiek przez Internet). Od tego jest SSL, żeby wszystko było bezpieczne.

Główna różnica powstaje w momencie podłączenia komputera stacjonarnego do Internetu przez router rozdzielający łącze (albo cokolwiek co dokonuje translacji adresów - NAT). W uproszczeniu laptop podłączony do Internetu przez GSM/Wi-Fi jest jak na widelcu, bo można się do niego bezpośrednio dobrać z zewnątrz. Wszystko, co stoi za NAT-em/firewallem technicznie nie jest tak łatwo dostępne dla ataków zewnętrznych (trochę analogia do przesyłania listów na adres skrytki pocztowej zamiast domowego, ale to tak bardzo uproszczona ;-)). Więc bardziej chodzi o sposób podłączenia. Stacjonarny wpięty bezpośrednio do Neostrady będzie porównywalny z laptopem korzystającym z hotspota. No może w tym drugim przypadku dochodzi jeszcze możliwość podsłuchu bezpośrednio przez otoczenie. Trudniej byłoby się sąsiadowi wpiąć między modem a centralę, co nie znaczy, że po drodze nie ma innych miejsc, w których może dojść do wycieku niezaszyfrowanych danych.

Całe bezpieczeństwo usług bankowych opiera się nie na niemożności podsłuchania, ale na skutecznym szyfrowaniu i weryfikacji drugiej strony. Przynajmniej do czasu gdy nie rozpowszechnią się komputery kwantowe. :-)

tadekmazur
9
Dołączył: 2009-01-18
Wpisów: 1 151
Wysłane: 9 marca 2009 12:05:01
Rozumiem że wszystko jedno czy łączę się z laptopa GSM czy ze stacjonarnego podpiętego bezpośrednio do Neostrady. Korzystam z obu sposobów.
A coś ekstra dawałoby podpięcie stacjonarnego przez dodatkowy router. Jakieś ekstra bezpieczeństwo nie jest mi potrzebne.
Wystarczy bardzo dobre.

karoldvl
0
Dołączył: 2008-10-21
Wpisów: 167
Wysłane: 9 marca 2009 12:06:33
Tak. Mniej więcej wychodzi na to samo.

discopolo
0
Dołączył: 2009-08-28
Wpisów: 1 035
Wysłane: 8 marca 2010 17:23:42
Co się dzieje gdy upada biuro maklerskie?
Gdzieś czytałem że papiery pozostają własnością klienta dzięki zapisowi w KDPW.
Czy ktoś zorientowany mógłby to potwierdzic?

Użytkownicy przeglądający ten wątek Gość


1 2

Na silniku Yet Another Forum.net wer. 1.9.1.8 (NET v2.0) - 2008-03-29
Copyright © 2003-2008 Yet Another Forum.net. All rights reserved.
Czas generowania strony: 0,223 sek.

jvutighq
nbwpdera
phrymlhg
Portfel StockWatch
Data startu Różnica Wartość
Portfel 4 fazy rynku
01-01-2017 +75 454,67 zł +377,27% 95 454,67 zł
Portfel Dywidendowy
03-04-2020 +60 637,62 zł 254,44% 125 556,00 zł
Portfel ETF
01-12-2023 +4 212,35 zł 20,98% 24 333,09 zł
huyugqvk
ntqeryzo
cookie-monstah

Serwis wykorzystuje ciasteczka w celu ułatwienia korzystania i realizacji niektórych funkcjonalności takich jak automatyczne logowanie powracającego użytkownika czy odbieranie statystycznych o oglądalności. Użytkownik może wyłączyć w swojej przeglądarce internetowej opcję przyjmowania ciasteczek, lub dostosować ich ustawienia.

Dostosuj   Ukryj komunikat