Banken ruilen SSL pagina's in voor gemakzucht
Jarenlang is er tegen internetgebruikers verteld dat ze voor het doen van transacties alleen websites kunnen vertrouwen die van SSL gebruik maken. Verschillende banken hebben echter besloten om hun online banking logins te verplaatsen naar onversleutelde pagina's. De data wordt dan wel versleuteld als men in wil loggen, de maatregel gaat in tegen het advies wat lange tijd gegeven is. Vier van de vijf grootste Amerikaanse banken hebben de logins op een niet-versleutelde pagina geplaatst.
Websites maken liever geen gebruik van "https" op drukke pagina's, omdat SSL dan wel veiliger mag zijn, het heeft ook met tragere responstijden te maken. Consumenten hebben daarnaast een voorkeur voor makkelijk te herinneren URLs voor hun online banksite. Door het plaatsen van logins op niet-versleutelde pagina's krijgen banken snel ladende en makkelijk te onthouden pagina's.
Microsoft had in april al kritiek op deze manier van werken, omdat de logingegevens tussen server en client veranderd en opgevangen kunnen worden. (Netcraft)
naar een https login systeem.
https://www.abnamro.nl? En mensen die https niet `snappen'
kunnen gewoon doorklikken vanaf http://www.abnamro.nl.
toevoegen, ben je er nog sneller en hoef je helemaal niets te onthouden.
webformulieren ook nog steeds onversleuteld verzonden
terwijl er een hele rits aan persoonsgegevens inclusief
bankgegevens verzonden moet worden.
Banken in Nederland namen het ook niet bepaald echt nauw met
veiligheid.
1/ reden om https niet meer te gebruiken is dat het trage respons geeft
2/ reden is dat gebruikers die moeilijke URL'S niet kunnen onthouden.
Dus het is de gebruiker die het wil. Lekker snel en je hoeft weinig te
onthouden. De zelfde reden waarom de meeste mensen hun loginnaam
en password automatisch al door IE in laten vullen........
vinden maar op een speciaal hiervoor ontworpen bakje, zoals
bijv. een CSS. Hiermee haal je een normale performance. De
webserver kan dan de zaken doen waarvoor deze is gemaakt.
ook voor (naar verhouding) erg weinig geld computers kan
neerzetten die het met gemak aankunnen.
van "Favorieten" hup toevoegen en je hoeft geen url meer te
onthouden.
Deze keer ben ik het eens met MS
kan afluisteren.
betaalservice. Daar hadden ze de hele aanmeld-procedure via
SSL lopen. Alleen het uiteindelijke overzicht kreeg je via
HTTP te zien. Dat overzicht bevatte al je persoonsgegevens,
inclusief credit card nummer!
web-mail inlog pagina's moeten volgens SSL.
Hoeveel mensen checken even hun email bij een onbekende wifi (open)
station, zodat alle inlog gegevens open en bloot te zien kunnen zijn op het wifi
acces station!
roepen? Hoeft er zelfs niet meer dorgelinkt te worden.
En wat de concurrentie betreft, moeten ze gewoon in de gedragscode voor
online banken zetten dat iedereen een bepaalde minimale
veiligheidsstandaard hanteerd, net als bij gewoon bankieren. (Of
eventueel per wet regelen).
MBB
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
