mboost-dp1
Sikkerhedsfejl ved NETBANK/NEMID
#2 Nå okay, hvornår har de gjort det, fordi at tidligere har jeg skulle bruge det. Så er det blevet lavet om inden for 2 uger?
Bruger AL bank hvis det hjælper.
EDIT: Jeg kan så svarer på mit eget spørgsmål, det er noget der lige er ændret og altså ikke en sikkerheds fejl.
/thread
Bruger AL bank hvis det hjælper.
EDIT: Jeg kan så svarer på mit eget spørgsmål, det er noget der lige er ændret og altså ikke en sikkerheds fejl.
/thread
Hånter (5) skrev:Ronson (4) skrev:Det var så l... DAMN IT! Læg dog ordentligt op til det.
I don't get it. Hvad er det du prøver på at sige Ronron? Og hvornår skal vi have en dejlig kold øl igen?
Han ville gerne have et "Tak for hjælpen" så han kunne sige "Det var så lidt"
Bare for at følge op på #3:
https://www.al-bank.dk/netBank_frame.htm skrev:Fra den 18. januar 2012 skal du ikke længere benytte dit NemID nøglekort, når du logger på Netbank. Dit NemID nøglekort skal kun benyttes første gang, du foretager en godkendelse, efter du er logget på Netbank. Klik på knappen: Hjælp - øverst til højre på denne side, for at få flere oplysninger
Nå. Jeg ser nu et par sikkerhedsproblemer. Nu kan man logge ind med NemID-adgangskoden alene. En adgangskode som ikke er case-sensitive. Samtidig er der kommet følgende tilføjelse i Vilkår for Anvendelse (af AL-netbank):
Et tjek, som er nær umuligt, jf. Kasperds tråd om sikkerhedsproblemer i NemID.
3.1.8 Ved anvendelse af AL-NetBank skal kunden sikre, at AL-NetBank eller den relevante applikation til AL-MobilBank er distribueret af Arbejdernes Landsbanks edbcentral, som er Bankernes EDB Central (BEC)
Et tjek, som er nær umuligt, jf. Kasperds tråd om sikkerhedsproblemer i NemID.
Alrekr (7) skrev:Nu kan man logge ind med NemID-adgangskoden alene.
Det er slækket sikkerhed. Tanken er, at så længe man kun kan kigge, er der grænser for hvor slemt det er. Bad guys vil normalt stjæle penge, og for dem er denne ændring ikke så væsentlig.
Problemet er mere kendte/vigtige personer, hvor det faktisk ER interessant at bryde ind, bare for at kigge.
Alrekr (7) skrev:En adgangskode som ikke er case-sensitive.
Det er til gengæld overhovedet ikke et sikkerhedsmæssigt problem.
Alrekr (7) skrev:Et tjek, som er nær umuligt
Den slags er svært at læse for "den almindelige borger". Men som jeg læser det, står der bare at kunden skal gøre en indsats. Altså man skal ikke bare følge linket i en mail til http://myplace.dk/hack/al-bank/netbank, men rent faktisk tænke sig en smule om. Og det synes jeg da er ganske fair. Det er almindelig sund fornuft (for dem som har tænkt lidt over det), og det vil omgå de fleste phishing-forsøg.
I det her tilfælde lyder det som om der nok ikke var noget hul, men blot en misforståelse af hvordan tingene burde fungere. Det gør dog ikke spørgsmålet mindre relevant. Det er stadig værd at vide, hvem man skal kontakte, hvis man finder et hul.coday (1) skrev:Hej, jeg har opdaget en sikkerhedsfejl ved min netbank, der gør at jeg kan logge ind uden at bruge nøglekortet. Hvem skal jeg kontakte, min bank eller NEMID?
Min umiddelbare anbefaling vil være at du først kontakter din bank. Det er der flere grunde til at jeg vil anbefale.
- Hvis du på et senere tidspunkt skulle miste penge pga. sikkerhedshullet vil jeg mene du står stærkere, hvis du kan dokumentere at du har gjort banken opmærksom på hullet i tide.
- Banken burde have en større interesse i sikkerheden af netbanken end Danid har. Det er ikke Danids penge der kan blive hugget, og dårlig omtale påvirker ikke Danid, da nogen har besluttet at Danid skal have monopol og derfor ikke kan miste markedsandele.
- Bankens softwareudviklere burde være de bedste til at vurdere om hullet skyldes fejl i nemid eller i bankens egen software.
- Danid har historisk set ikke været særligt gode til at reagere om henvendelser om sikkerheden.
Når det er sagt vil jeg også sige at man behøver ikke nødvendigvis at holde sig til at kun rette henvendelse til banken. Man kan sagtens henvende sig til banken og Danid på samme tid.
Hvis hullet man finder er alvorligt nok vil jeg sige at man nok bør rette henvendelse til begge parter på samme tid. Og samtidigt vil jeg sige at et alvorligt hul bør de have lukket indenfor 24 timer, de systemer som nemid anvendes til er kritiske nok til at jeg ikke mener det er acceptabelt at lade et alvorligt hul stå åbent i over 24 timer.
På den anden side er mine personlige erfaringer med Danid så dårlige at jeg ikke selv ville kontakte dem, hvis jeg fandt et hul, da jeg ikke tror på at de ville lukke det. Så jeg ville nok vælge at holde oplysningerne for mig selv indtil jeg finder en person som både tager sikkerheden alvorligt og er i en position til at gøre noget ved det.
Sidstnævnte skal dog ikke ses som nogen anbefaling. At jeg har haft dårlig erfaringer med Danid bør ikke afholde andre fra helt at prøve at kommunikere med dem.
Linket virker ikke. Jeg fik bare en fejlmelding, og da jeg indtastede mit password i tekstfeltet øverst til høje skete der heller ikke noget.myplacedk (13) skrev:følge linket i en mail til http://myplace.dk/hack/al-bank/netbank,
Alrekr (16) skrev:Så du kan ikke se et problem i, at adgangskodens entropi er slækket,
Den er ikke slækket. Mig bekendt har de ikke ændret den siden NemID blev åbnet officielt...
Alrekr (16) skrev:samtidig med at sikkerheden slækkes?
...og dermed giver det ikke mening at snakke om noget "samtidigt".
Men nej, jeg kan ikke se noget problem med entropien. Kan du?
(Jeg er træt af at skrive den lange forklaring. Du får bevisbyrden denne gang.)
myplacedk (22) skrev:Den er ikke slækket. Mig bekendt har de ikke ændret den siden NemID blev åbnet officielt...
De har ikke ændret den, nej. Men ift. at jeg indtastede en kode med store og små bogstaver og tal (f.eks. gZ8JYya9), hvor der var forskel på store og små bogstaver til tjek, mens alle kombinationer af store og små bogstaver er accepteret når oden igen skal indtastes. Jeg havde ikke det store problem tidligere (pga. 2-faktor sikkerhed), men nu ser jeg et problem.
Med andre ord: Adgangskoden er ikke blevet slækket (som du forstod det jeg skrev), den har altid været slækket.
Og dermed giver det mening at snakke om noget samtidig.
Det er selvfølgelig ikke et generelt NemID-problem, men kun et problem for os med Arbejdernes Landsbank.
Ikke mig bekendt, nej. Det ligger trods alt også på platinvej hvor storcentret ligger på vejlevej - eller måske har det fået sin egen sidevej.Hånter (25) skrev:Yes, og så vidt jeg ved, er det ikke i Kolding Storcenter? ^^
Uanset hvad må jeg konkludere at jeg ikke arbejder i kolding storcenter.
Vi kigger på og lingu boller.Hånter (25) skrev:Men så har vi en date fredag omkring kl. 15:15 på Eiffel - hvor Linge kommer og kigger på?
Sådan er det, når man kommer fra Jylland og taler sjovt. Men altså, du gik heller ikke glip af så meget - vi spillede Trivial Pursuit og så Melodi Grand Prix. Jeg lod i øvrigt Mikhail vinde, når nu det var sidste gang vi sås i nogle måneders tid.
Alrekr (24) skrev:Men ift. at jeg indtastede en kode med store og små bogstaver og tal (f.eks. gZ8JYya9), hvor der var forskel på store og små bogstaver til tjek, mens alle kombinationer af store og små bogstaver er accepteret når oden igen skal indtastes.
Det er selvfølgelig skidt. Men det var ikke det du brokkede dig over.
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Software
Gå til bund