"USB-stick met VM oplossing voor veilig internetbankieren"
In Amerika blijven banken en bankklanten met internetbankieren worstelen. Afgelopen week werd er een wetsvoorstel gepresenteerd om scholen en gemeenten dezelfde rechten als consumenten te geven in het geval hun bankrekening wordt geplunderd. Alleen consumenten kunnen in in de VS in aanmerking voor een vergoeding komen, terwijl bedrijven, onderwijsinstellingen en gemeenten de schade zelf moeten dragen. De afgelopen maanden werden in Amerika talloze instanties het doelwit van criminelen, die vooral de Zeus Trojan gebruikten om online bankrekeningen te legen.
Naast wetgeving zullen de banken ook een beter beveiligde vorm van internetbankieren moeten aanbieden. Volgens Avivah Litan, financieel fraude analist van Gartner, zijn er verschillende nieuwe en veel belovende technologieën die bankklanten tegen dit soort aanvallen moeten beschermen. Litan doelt dan op speciaal "gecodeerde USB-sticks", die een virtueel besturingssysteem op de computer van de klant laden en alle toetsaanslagen tussen de bank en klant versleutelen.
Vooralsnog zijn zowel de wetgeving als USB-sticks toekomstmuziek. Het wetsvoorstel zal naar alle waarschijnlijkheid pas begin volgend jaar behandeld worden.
is een ubuntu, of aanverwante, life CD niet makelijker ?
USB sticks kunnen ook beschreven worden.
een CD niet meer.
willen (kunnen) aanpassen. ??
En dan natuurlijk eerst remote controle of de USB-stick nog in juiste (originele) toestand
is voordat je verder kan met bankieren.
is een ubuntu, of aanverwante, life CD niet makelijker ?
USB sticks kunnen ook beschreven worden.
een CD niet meer.
Dat is dan ook weer een nadeel; live CD's verouderen snel, en bevatten na een paar weken dus al niet meer de laatste patches. Als je dus "veilig" wilt internetbankieren oid, kan je elke week een nieuwe live CD branden... Denk niet dat er echt veel normale mensen zijn die dat willen doen.
Volgens mij zijn er wel USB-sticks met zo'n switch om ze read-only te maken, dat lijkt me dan een stuk handiger
Het gaat niet om authorisatie/inloggen.
Maar om in een veilige omgeving, zonder malware, te kunnen
internetbankieren.
Afaik tenzij je de usb stick boot, en niet als VM laad, verzorgt het host OS nog altijd alle hardware afhandeling en ben je dus nog steeds vatbaar voor dezelfde keylogger ?
Banken willen dat online bankieren anytime, anywhere, from any device, mogelijk is.
USB sticks met virtuele OS-'en e.d. gaan niet draaien op een XBox 360 gebaseerd Internet Cafe ergens achter in de rimboe van Thailand. Een programma starten vanaf een reguliere Unix PC of Windows Machine in een InternetCafe of Hotel ook niet.
Of gaan de banken eindelijk inzien dat je niet anytime, anywhere, from any device moet kunnen bankieren?
alstublieft.
Het gaat niet om authorisatie/inloggen.
Maar om in een veilige omgeving, zonder malware, te kunnen
internetbankieren.
Dat is relatief. Met de Digipass van Rabobank.be log je in met een persoonlijk gebruikersnummer en een nummer dat je verkrijgt met de Digipass (hiervoor moet je je PIN-code intypen in de Digipass). Zonder PIN-code geraak je nergens, maar het kan nog wat veiliger. Bij Rabobank.be heb je geen kaart nodig. Bij Dexia heb je die wél nodig (die steek je immers in de Digipass).
Voor Dexia moet je ook inloggen met het nummer op je bankkaart, je krijgt een code op de website te zien die je moet invoeren in de Digipass en daarna je PIN-code. Dit creëert een nieuwe code die je moet ingeven op de site. Bij elke actie moet je werken met de Digipass en codes. Wil je iets overschrijven, dan wordt de som van de overschrijvingen gebruikt in de code.
Bijv. ik schrijf 45 euro over naar rekening X en 55 naar rekening Y, dan moet ik eerst mijn PIN-code ingeven in de Digipass, dan de code die ik op het scherm te zien krijg, dan de som (100) van de overschrijvingen en dan moet ik de code ingeven die door de Digipass gegenereerd wordt. Als er dus iemand tussen zit, dan kan die nooit gaan lopen met een bedrag dat hoger (of lager) is dan de som van die overschrijvingen.
Ik voel me daar redelijk goed bij. :-) En bovendien, banken in België zijn verantwoordelijk. Als er iets fout loopt, dan moeten zij de klant vergoeden. Onder andere Dexia heeft dat al gedaan, zelfs in gevallen waar de klant in fout (Windows Updates niet geïnstalleerd, virussen, Trojans, ...) was.
http://en.wikipedia.org/wiki/Virtual_machine
Zo maar een paar vragen die bij me opkomen bij dit verhaal:
1. USB stick maakt via BIOS contact met de rest van het (chips op het ) moederboard:
- Wie zegt dat het BIOS en de processor fabrikanten te vertrouwen zijn?
2. Niet iedere device heeft een USB port?
- Hoe ga je dan internet bankieren?
3. USB poorten kunnen uitgezet zijn (via de bios) op een computer?
- En toen?
4. Hoe bewijs je dat het VM systeem niet ge-backdoor-ed is?
- Zolang er geen hardcoded bewijs is, blijft het giswerk of je VM systeem echt dicht zit
5. Welke "codering:" gebruikt het systeem
- Hoogstwaarschijnlijk met een ingebouwde NSA, FBI hackable ingangen :-)
De veiligste manier van bankieren is je gezicht laten zien aan de balie in een bankgebouw, face-to-face en daar cash op de balie leggen :-) De rest is slechts bs, een security sprookje ;-) of nachtmerrie.
De veiligste manier van bankieren is je gezicht laten zien aan de balie in een bankgebouw, face-to-face en daar cash op de balie leggen :-) De rest is slechts bs, een security sprookje ;-) of nachtmerrie.
De veiligste manier? En dan daar ter plekke overvallen worden zeker!? ;-)
BTW Rabobank.be heeft geen "echte" balie...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
