Bank laat klanten via USB-stick internetbankieren
Een Amerikaanse bank wil klanten tegen fraude beschermen door ze via een USB-stick te laten internetbankieren. De East Carolina Bank biedt zakelijke klanten een oplossing van IronKey. Die draait vanaf een USB-stick, maar kan gewoon vanuit Windows worden gestart. Trusted Access moet bescherming tegen malware zoals ZeuS en SpyEye bieden door de input van de Windows keyboard driver via een virtueel besturingssysteem te beveiligen. Window's API's, applicaties of malware die de invoer proberen te onderscheppen, krijgen daardoor alleen versleutelde ciphertext te zien.
Voor consumenten zal het programma binnenkort als download worden aangeboden. Volgens de bank kan de software als een concurrentievoordeel worden gezien, waarbij het een betere bescherming biedt dan andere banken.
Trusted Access secures keyboard input from the Windows keyboard driver through to the virtual operating environment. Windows APIs, applications, or malware attempting intercept keyboard input will receive encrypted ciphertext.
Wat als de keyboard driver hacked is?
Helpdesk heeft u autorun aanstaan?
Trusted Access secures keyboard input from the Windows keyboard driver through to the virtual operating environment. Windows APIs, applications, or malware attempting intercept keyboard input will receive encrypted ciphertext.
Wat als de keyboard driver hacked is?
Inderdaad, ook oplossingen als deze houden ergens op. Als de gebruikte VM een schilletje rond de keyboard driver kan vormen, kennelijk zelfs zonder daar administrator-rechten voor nodig te hebben, dan kan een ander dat vermoedelijk ook. Het is meer een stap in een wapenwedloop dan een definitieve oplossing, lijkt me.
Ik geloof dat ik het idee van een random reader of digipass of hoe je ze noemen wilt, dat in het geheel niet verbonden is met de computer of een netwerk, eigenlijk nog het beste vind werken. Daarmee onderteken je weliswaar niet de volledige transactiedata, maar die dingen worden in ieder geval nergens mee besmet en ze zijn niet afhankelijk van het toetsenbord van een mogelijk besmette machine.
Alleen is het veel moeilijker te herleiden bij welk account/webside the onderschepte data behoord
Hmm, drivers zijn volgens mij sowieso een bij elkaar gehackt zooitje ;-)
Serieus, het punt daarbij is dat dit alleen interessant is als het een gerichte aanval betreft; er zijn ladingen drivers die je niet allemaal (kosteneffectief) kunt vervangen. Drivers moeten ook gesigned zijn trouwens, dus dat beperkt de aanvalskansen nog verder (hoewel dat omzeild kan worden; https://secure.security.nl/artikel/36976/Windows_7_rootkit_omzeilt_Microsoft_patch.html).
In theorie zou het inderdaad mogelijk moeten zijn om een driver te reverse-engeneeren, keylogger toe te voegen, te signen en dan op een slachtoffers computer te zetten... Maar dit zijn "gewone" bankklanten en daarvoor zie ik dit niet zo snel gebeuren.
Surfen doe je op een sandbox portable firefox
Nadeel is wel dat je voor de keyboard nog steeds afhankelijk bent en dus ook voor exploits die hier gebruik van maken.
Grootste nadeel is dat je dus niet any-time-any-where kan werken.
Er moet een programma gestart worden vanaf de Ironkey om hem te unlocken. Dus als guest user op een machine, zoals in een hotel op een hotelcomputer, of cybercafe gaat niet werken.
Daarbij zijn Ironkeys relatief duur. Duurder dan een token over een periode van zeg 3-5 jaar.
Daar zit ik op te wachten....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
