"Internetbankieren met USB even veilig als zonder"
Zolang banken de kosten van fraude met internetbankieren dragen, zijn alle verschillende manieren van internetbankieren voor de klant allemaal even veilig, aldus onderzoekers van de Radboud Universiteit. Informaticastudent Arjan Blom onthulde gisteren in Nieuwsuur een beveiligingslek in de e.dentifier2 van ABN AMRO. De e.dentifier2 kan "los" gebruikt worden, zonder USB-kabel, of het kan met een USB-kabel aan een pc of laptop verbonden worden.
In het eerste geval moet de gebruiker steeds codes overtoetsen. Met de USB-verbinding is dat niet nodig, waardoor het iets gebruikersvriendelijker is. "Het gebruik van de USB-kabel zou een extra beveiliging moeten bieden bij internetbankieren, namelijk in het geval dat de pc of de webbrowser besmet is met een virus. Maar door een knullige fout in het ontwerp van het systeem is er van extra beveiliging geen enkele sprake", aldus Blom.
Volgens Blom en zijn begeleider Erik Poll lijkt het er overigens op dat de e.dentifier2 met USB-kabel niet onveiliger is dan zonder die kabel. "Maar dat kan alleen ABN-AMRO vaststellen, omdat het mede afhangt van interne checks die de bank uitvoert tijdens internetbankieren."
De informatici stellen dat zolang de kosten van fraude bij internetbankieren door de bank gedragen worden, de verschillende manieren van internetbankieren voor de klant allemaal even veilig zijn.
Methoden
De onderzoekers merken verder op dat er eenvoudigere methoden zijn om gebruikers van internetbankieren aan te vallen, en zullen criminelen die verkiezen boven deze complexere aanval. "Maar het is van groot belang dat cruciale fouten als deze aan het licht worden gebracht voordat ze misbruikt worden, om ze te repareren en om vergelijkbare fouten in andere systemen te voorkomen."
Misbruik
De onderzoekers stellen dat het gevonden lek in het systeem mogelijk niet interessant genoeg is voor criminelen, een crimineel zou een hoge mate van controle moeten hebben over de pc van het slachtoffer, toch vinden ze het verbijsterend dat een dergelijke fout onopgemerkt heeft kunnen blijven. "Dit is eens te meer een waarschuwing aan bedrijven en organisaties die afhankelijk zijn van ICT om beter naar de beveiliging te kijken."
ABN-AMRO en haar leverancier Gemalto, die de e.dentifier2 ontwikkelde zijn door de onderzoekers op de hoogte gesteld van dit probleem. Na de ontdekking in oktober 2011 is een verbeterde versie van de e.dentifier2 ontwikkeld.
De meeste mensen zullen het verschrikkelijk vinden als er iets kwaadaardigs op hun PC gebeurt dat onzichtbaar voor ze is en waar ze geen grip op hebben. Zeker als ze vervolgens op Internet gaan zoeken naar oplossingen, en dan verhalen vinden van o.a. Dorifel en andere malware die bestanden versleutelt of zelfs verwijdert. Thuisgebruikers maken zelden of nooit backups en hebben vaak stapels baby/kinder/vakantiefoto's op hun PC staan.
En de opmerking is des te vreemder, omdat een via USB (of op andere wijze) gekoppeld device, mits goed geïmplementeerd, "authoritative" kan zijn. D.w.z. de gegevens van de overboeking op dat device zelf toont, en na akkoord van de gebruiker, digtitaal ondertekent of versleutelt en ten slotte naar de bank verstuurt. Dan maakt het geen barst uit of je PC (en/of netwerk) gecompromitteerd is c.q. je wel of geen (echt) slotje in je webbrowser ziet. Zie ook mijn 1e bijdrage in http://www.security.nl/artikel/42722/1/%22Internetbankieren_vanaf_besmette_pc_altijd_onveilig%22.html.
M.a.w. er zijn wel degelijk systemen denkbaar waarmee je veilig kan internetbankieren, en die het dus voor cybercriminelen veel minder interessant maken om PC's pwnen.
Over internetbankieren in het algemeen: gebruikers die geheel conform http://www.3xkloppen.nl/nl/ en http://www.veiligbankieren.nl/scrivo/asset.php?id=952694 (PDF) internetbankieren en toch beroofd worden, zullen zich voorgelogen voelen. Immers al doe je je best en volg je die instructies, dan heb je nog steeds geen enkele garantie dat je niet digitaal beroofd wordt. Virusscanners en firewalls houden de huidige generatie malware echt niet tegen, en met MITB malware zegt een slotje in je browser helemaal niets meer.
Ook die (digitaal beroofde) mensen zullen dan inzien dat multi-purpose PC's gewoon te onveilig zijn voor internetbankieren. Een fenomeen dat banken ons door slimme marketing en het sluiten van wijkkantoren door de strot hebben gedrukt. Fantastisch dat Nederland het land is met de meeste internetbankiers. En ook zeer aantrekkelijk voor cybercrimelen (hoe zou dat nou toch komen).
Conclusie: het kan de BANKEN (en hun aandeelhouders) geen ruk schelen dat gebruikers worden beroofd. Daarom investeren ze niet in veiliger methodes en apparatuur, maar kopen crap van Gemalto of poeieren je af met een SMSje. De banken besparen zoveel op personeel en de wijkkantoren die ze sluiten, dat de kosten van cybercrime verhoudingsgewijs nog steeds een lachertje zijn. Sterker, ze vinden nog steeds dat contant geld moet worden uitgebannen omdat zij daarmee nog meer risico's naar hun klanten kunnen verschuiven (die ze de afgelopen jaren al heel veel poten hebben uitgedraaid). Oh ja, en denk niet dat ze voor 100% voor de risico's van internetbankieren zullen blijven opdraaien (zie http://www.security.nl/artikel/40507/1/Banken_willen_eigen_risico_voor_internetbankieren.html). Terwijl de economische crisis welig tiert en ze onze pensioenen hebben laten verdampen, exploderen de winsten van banken nog steeds en rijden de werknemers in steeds dikkere auto's (ter vergelijking zie http://www.security.nl/artikel/42730/1/Utrechtse_politie_zoekt_crimefighter_in_cyberspace.html).
Ouderen en jongere mensen die (deels na een digitale beroving) niet (meer) durven te internetbankieren (en die steeds langer moeten wachten op hun bankafschrift en ver moeten reizen naar een bankkantoor) zijn de dupe van deze "vooruitgang".
Ze zeggen nu:
Maar het originele paper heeft als titel: Designed to Fail: A USB-Connected Reader for Online Banking. Zie hier http://www.cs.ru.nl/~erikpoll/papers/nordsec2012.pdf
Als met en zonder USB het even onveilig is, dan zou je het paper toch een andere titel meegeven.
Draaikonterij??
Ik vind dat je veel goede argumenten aanvoert, maar in je conclusie een beetje doorslaat. Jammer, wat dat kan wat geloofwaardigheid van je verhaal wegnemen, terwijl je goede punten hebt.
Ik denk dat het personeel bij banken zich niet prettig voelt bij dit soort issues. Probleem is natuurlijk dat die banken meestal heel grote bedrijven zijn, waar dus ook heel veel mensen iets over moeten roepen over de te nemen maatregelen. Dat betekent automatisch dat er altijd compromissen zijn verwerkt in de uiteindelijke maatregelen, en dus dat niet alle maatregelen optimaal zijn.
Maar de opmerking dat het ze niets kan schelen, is gewoon niet waar. Er zal heus wel iemand in een bank te vinden zijn die het weinig kan schelen, maar dat geldt zeker niet voor het bankpersoneel in het algemeen.
Wél is het waar dat er een kosten/baten analyse plaatsvindt, vóórdat nieuwe maatregelen worden ingevoerd. En dat betekent daardoor ook wel eens dat voorgestelde maatregelen helaas niet dóór zullen gaan. Maar geloof mij, dat gebeurt overal, in elk bedrijf. En dat moet ook wel, omdat die bedrijven anders failliet gaan, en dan hebben we met z'n allen helemaal geen geld meer. Ook niet optimaal, lijkt mij.
Het vergoeden van de schade bij "geplunderde rekeningen" is natuurlijk niet helemaal optimaal, zoals je al zegt, maar het betekent wel dat je daardoor toch minimale negatieve effecten overhoudt. En inderdaad, toch is de geplunderde er vast niet blij mee, maar je weet net zo goed als ik dat totale veiligheid niet bestaat, dus je komt altijd met "het best mogelijke".
En vervolgens moet je dan kijken hoe je het optimale beveiligingsniveau kan bereiken. Ik weet zeker dat er betere maatregelen mogelijk zijn dan banken nu hebben geïmplementeerd, en dat zal op de duur ook moeten gebeuren, maar dat betekent nog niet dat banken dit zelf ook niet zouden willen.
Maar de ultieme maatregel is nog niet gevonden, denk ik, en dus is iedere maatregel op dit moment nog een "deel-maatregel", en dus moet je goed nagaan, of de maatregel z'n geld wel waard is. En tot die tijd is het "vergoeden van geplunderde rekeningen" volgens mij niet zo'n heel slecht alternatief.
Ik vind dat je veel goede argumenten aanvoert, maar in je conclusie een beetje doorslaat. Jammer, wat dat kan wat geloofwaardigheid van je verhaal wegnemen, terwijl je goede punten hebt.
Ik denk dat het personeel bij banken zich niet prettig voelt bij dit soort issues.
Oh ja, gisteravond meldde RTL4 nieuws dat er per dag 25 banen in de bankensector verloren gaan (zie ook http://www.rtl.nl/components/financien/rtlz/nieuws/2012/33/bij-banken-en-verzekeraars-verdwijnen-14000-banen.xml). Wat ze er niet bij vertellen is dat dit voornamelijk aan de onderkant van de organisaties gebeurt, o.a. door wijkkantoren te sluiten (precies de mensen met meer gevoel dan hebzucht). Ik ben benieuwd hoeveel het gemiddelde salaris (van de zittenblijvers) stijgt na elke in de WW gedumpte medewerker...
Gewoon iedereen een voorgebakken configuratie leveren als bank en de beveiliging zit goed!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
