Danskenetbanks bruger-id system.-Er det sikkert ?
-
Indlæg -
Når jeg skal logge ind på Danskenetbank bruger jeg min bruger-id og en pinkode.
Dertil skal der på computeren være en identifikationsfil som de også kalder bruger-id.Bruger-id filen bliver engang imellem uden varsel ændret af banken mens du er online.
På den måde bliver backupkopier ubrugelige.Mange får derfor en frygtelig bøvl når de skal bruge netbank fra computeren i sommerhuset.
Banken siger at det er nødvendigt af sikkerhedshensyn.
Men resultatet bliver at de fleste kunder render rundt med en usb-stik med kopier af bruger-id filen.
Hvem sagde sikkerhedshensyn ????Har jeg overset noget ?
Jeg kan se i hvert fald at det er til fordel for banken.
Hvis der sker noget fordi hackere får fingre i en bruger-id fil er ansvaret lagt over på kunden…..
Jeg er ikke helt klar over detaljerne i det du beskriver. Jeg tror min adgang til Danskenetbank fungerer anderledes.
Men under alle omstændigheder. Jeg har kun set én netbank, der fungerer fornuftigt sikkerhedsmæssigt og det er Jyske Banks netbank.
En netbank, der er afhængige af filer på kundens computer, lyder som udgangspunkt til at være designet forkert.
Man kan vælge om bruger-id skal være låst til en bestemt pc, eller om man vil kunne bruge den til flere forskellige pc’er. Det står beskrevet et eller andet sted i deres sektion om netbanken.
Det er netop det , som jeg er utilfreds med. Banken opfordrer dig til at fjerne låsen og gemme id-filen på en usb-stik. Jeg har måske været uheldig, men det med at tabe en usbstik under en tur ude i byen har jeg prøvet et par gange…..
Det er vel næppe det store problem. Selvom der er en der finder din tabte USB nøgle skal han stadig kende kodeordet. Desuden er jeg overbevist om at du kan bede banken om at opdatere din nøglefil, således den der ligger på USB’en ikke længere vil være brugbar.
Kompromiteres kundens computer har en angriber adgang til både nøglefil og kodeord.
Ja, men det skal være en ganske voldsom kompromitering idet den både skal indeholde en keylogger som kører i baggrunden (eller phising site), adgang til harddisk, samt mulighed for at sende disse data ud af computeren igen.
Mig bekendt er JB den eneste bank der har en nøglekortsløsning der også kræver et fysisk indbrud.
Kompromiteret er kompromiteret.
Hvis en angriber kan eksekvere sine egne programmer på computere kan vedkommende hvad han vil.Danske Bank har et “Active Card" (hvis man vælger det), der i princippet er tilsvarende JB’s nøglekort.
JBs netbank har dog den fordel at den ikke bruger unødig kompliceret teknologi til at løse problemerne (NB: husk at “kompliceret" er ikke det samme som “avanceret")
Vi er ikke uenige om at JB har den bedste løsning rent sikkerhedsmæssigt, men jeg er dog uenig i “kompromitere er kompromiteret". Det fleste netrelaterede sikkerhedshuller giver slet ikke nok rettigheder til at gøre det der skal til. Desuden starter ‘kompromiterings’skalen allerede ved afgivelse af ens IP, hvilket næppe kan kaldes særligt alvorligt.
“Hvis en angriber kan eksekvere sine egne programmer på computere kan vedkommende hvad han vil.".
Tja. Der er stadig begrænsninger hvis pc’en f.ex. kører Vista. Og en ganske almindelig outgoing firewall som Zonealarm giver også sine begrænsninger. Endelig kan angrebet være begrænset til at kunne køre i en bestemt process som f.ex. Internet Explorer.
Et IP-nummer skal betragtes som offentlig information. Der er ingen sikkerhed i at forsøge at holde det hemmeligt.
Det er korrekt at der er mange angreb på serversoftware, der ikke resulterer i muligheden for at udføre vilkårlig kode, men når det kommer til private brugeres maskiner, så drejer det sig oftest om at der er kommet uønsket software ind på maskinen og det er som oftets eksekveret med samme rettigheder som brugerne selv.Så jeg står ved mit udsagn
Jeg har et såkaldt Activ card fra danske bank. Det er en lille dims der ligner en lommeregner. Den giver mig en kode der gælder een gang når jeg skal logge på.
Den løsning er meget sikker, og det koster ikke ekstra at få den.
Løsningen kan benyttes uafhængigt af hvilken computer man bruger, den kan også benyttes på offentlige pc’ere.
Danske Banks Activ card kan man også få selvom man har den normale “net id" log-on til netbanken…
Selve netbank delen er ens, dog lidt forskel på hvor ofte man skal “legitemere" sig når man er online
- Du skal være logget ind for at svare på dette indlæg.