Nutzt ihr Onlinebanking?

krabbels

Ich bin es schrieb:

krabbels schrieb:

Ich bin es schrieb:

krabbels schrieb:

Mr Evil schrieb:

zudem hab ich auch eine paranoide firewall einstellung #gg {blockt pauschal alles}und, virenscanner ist zudem aktiv {sowie alle updates die immer kommen}

Mit meinem tollen Virus und root-Rechten ersetze ich natürlich deine (Software-)Firewall- und Virenscanner-Programme und dann kannst du noch so sehr eingestellt haben - interessiert mich überhaupt nicht.
Mal ehrlich, ich kann mir kaum vorstellen, dass Online-Banking so unglaublich sicher ist.

Was du dir vorstellen kannst oder nicht hat wenig mit den Fakten zu tun..

Fakt ist, dass jeder halbwegs gewiefte Hacker ein Durchschnittssystem ohne große Probleme knackt. Demzufolge kann Online-Banking gar nicht sicher sein.

Quelle?

Soll das ein Schwerz sein? Was bitte ist so schwer daran einen Virus zu schreiben und ihn in einem vermeindlich sinnvollen Programm versteckt zu verteilen? Selbst Spiele werden heutzutage teilweise schon mit Rootkits ausgeliefert.

krabbels schrieb:

Ich bin es schrieb:

krabbels schrieb:

Ich bin es schrieb:

krabbels schrieb:

Mr Evil schrieb:

zudem hab ich auch eine paranoide firewall einstellung #gg {blockt pauschal alles}und, virenscanner ist zudem aktiv {sowie alle updates die immer kommen}

Mit meinem tollen Virus und root-Rechten ersetze ich natürlich deine (Software-)Firewall- und Virenscanner-Programme und dann kannst du noch so sehr eingestellt haben - interessiert mich überhaupt nicht.
Mal ehrlich, ich kann mir kaum vorstellen, dass Online-Banking so unglaublich sicher ist.

Was du dir vorstellen kannst oder nicht hat wenig mit den Fakten zu tun..

Fakt ist, dass jeder halbwegs gewiefte Hacker ein Durchschnittssystem ohne große Probleme knackt. Demzufolge kann Online-Banking gar nicht sicher sein.

Quelle?

Soll das ein Schwerz sein? Was bitte ist so schwer daran einen Virus zu schreiben und ihn in einem vermeindlich sinnvollen Programm versteckt zu verteilen? Selbst Spiele werden heutzutage teilweise schon mit Rootkits ausgeliefert.

Würd die Heuristik von meinem Virenscanner sofort finden, außer du bist gut, aber dann gehts auch net lang, dann hat mein Virescanner die Signatur von dem.
Schreibst du die Anwendung nur für mich, dann wird es für dich sehr sehr schwer mich dazu zu bewegen die Datei auszuführen. Außerdem könnte ich dann recht leicht zurückverfolgen wie es zu dem Betrug gekommen sein könnte, dann hast du da auch nen Problem.

Also das finde ich jetzt mal meiner Analyse nach unglaubwürdig. Zwar kann man mit einem keylogger die zugangsdaten mitlesen, jedoch wird es bei einer überweisung zumindest mit dem Digipass unmöglich eine andere kontonummer als empfänger zu benutzen.

Der digipass ist bei meiner bank so ein teil, wo man die kontonummer eingibt, und das ding mittels eines hardware keys eine tan generiert, die nur für die eine kontonummer zu einer bestimmten uhrzeit gültig ist.

rüdiger

Ich bin es schrieb:

Wenn der Angreifer Zugriff auf den DNS-Server meines Providers hat auch...

Dann kann er immer noch nicht das Zertifikat fälschen .

Ich denke mal, dass wir hier eh nicht über ein reelles Risiko reden. Man kann auch auf dem Weg zur Bank ganz einfach überfallen werden und dazu muss der Täter nicht einmal was großartiges leisten .

krabbels

Ich bin es schrieb:

krabbels schrieb:

Ich bin es schrieb:

krabbels schrieb:

Ich bin es schrieb:

krabbels schrieb:

Mr Evil schrieb:

zudem hab ich auch eine paranoide firewall einstellung #gg {blockt pauschal alles}und, virenscanner ist zudem aktiv {sowie alle updates die immer kommen}

Mit meinem tollen Virus und root-Rechten ersetze ich natürlich deine (Software-)Firewall- und Virenscanner-Programme und dann kannst du noch so sehr eingestellt haben - interessiert mich überhaupt nicht.
Mal ehrlich, ich kann mir kaum vorstellen, dass Online-Banking so unglaublich sicher ist.

Was du dir vorstellen kannst oder nicht hat wenig mit den Fakten zu tun..

Fakt ist, dass jeder halbwegs gewiefte Hacker ein Durchschnittssystem ohne große Probleme knackt. Demzufolge kann Online-Banking gar nicht sicher sein.

Quelle?

Soll das ein Schwerz sein? Was bitte ist so schwer daran einen Virus zu schreiben und ihn in einem vermeindlich sinnvollen Programm versteckt zu verteilen? Selbst Spiele werden heutzutage teilweise schon mit Rootkits ausgeliefert.

Würd die Heuristik von meinem Virenscanner sofort finden

Na klar, weil ja so unglaublich effektiv
Du brauchst dich nicht an Details aufhängen, das ist nur ein Weg von vielen. Eine 100%-Garantie gegen Angriffe gibt es nicht und meistens liegt die Schranke mangels Erfahrung beim Anwender und schlecht programmierter Software sowieso weit drunter.

rüdiger schrieb:

@DerKluge
Und wie willst du das SSL-Zertifikat fälschen?

In dem ich auch die IP des Zertifikatserver umlenke und diesen selber zur Verfügung stelle.
Dann noch ein neues Zertifikat ausstellen und dem Nutzer sagen das das alte abgelaufen ist und schon frißt er es.

Nur die wenigsten User haben eine Bank, die die Fingerprints ihrer Webadresse und Zertifikate mit auf die iTan Listen drucken.

DrGreenthumb schrieb:

Was versteht man denn unter host-Datei verändern? Im DHCP-Server des Providers/der Firma einbrechen?

Unter Linux:
/etc/hosts

unter Windows:
C:\WINDOWS\system32\drivers\etc\hosts

Oliver schrieb:

W
Hab ich was vergessen, bzw. sehe ich was völlig falsch?

Ja, dem Nutzer vorgaukeln das das Zertifikat veraltet ist und er ein neues benötigt.

DrGreenthumb schrieb:

DHCP war auch quatsch, meinte DNS. Aber um da irgendwas umzuleiten muss man doch erstmal an den DNS-Server ran oder nicht?

Nein!

Trag mal in deine Hosts Datei folgendes ein:

217.12.3.11 www.google.de

Das sollte dich immer nach www.yahoo.de umleiten sobald du google eingibst. :p

Walli schrieb:

Ich nutze es und habe sogar die gescannte TAN-Liste auf der Platte.

:Kopf auf den Tisch hau:

Allerdings ist die in einem verschlüsselten Verzeichnis, welches ich nur bei Bedarf mounte.

Ausgedruckt auf Papier wäre es sicherer.

Bei den Beträgen, über die ich als Student verfüge auch kein großes Risiko und allemal sicherer als die Liste irgendwo rumfliegen zu lassen.

Nein, das gerade nicht.

Leuten die sich keine guten Passwörter merken können, wird sogar empfohlen die kryptischen Passwörter auf einen Zettel zu schreiben und zu verschließen, denn das ist immer noch deutlich sicherer als ein einfaches unsicheres Passwort zu verwenden.

Und wenn jemand diese Meisterleistung vollbracht hat kann er das Geld gerne haben.

Als ob du nicht zur Polizei gehen würdest um Anzeige zu erstatten.

rüdiger

Der Kluge schrieb:

rüdiger schrieb:

@DerKluge
Und wie willst du das SSL-Zertifikat fälschen?

In dem ich auch die IP des Zertifikatserver umlenke und diesen selber zur Verfügung stelle.
Dann noch ein neues Zertifikat ausstellen und dem Nutzer sagen das das alte abgelaufen ist und schon frißt er es.

Wie ich bereits erklärt habe , funktionieren die Zertifikate bei SSL so nicht. Der Browser fragt nicht einen Zertifizierungsserver ab, sondern hat eine Liste mit Publickeys der Zertifizierungsstellen und ist so in der Lage die Zertifikate zu verifizieren.
Und um ein Zertifikat für ungültig zu erklären, müsstest du an den privaten Schlüssel gelangen.

rüdiger schrieb:

Und um ein Zertifikat für ungültig zu erklären, müsstest du an den privaten Schlüssel gelangen.

Schön, wenn ich schon Zugriff auf die hosts Datei habe, dank offenem WLAN und Sicherheitslücken im Rechner, dann kann ich auch gleich die Public Keys austauschen.

DrGreenthumb schrieb:

äh, ja nee. Es ging doch nicht um die eigene Host-Datei. Wenn _die_ jemand ändern kann, ist doch eh alles zu spät.

Oh doch, um die ging es.

Ein offenes WLan macht das recht leicht.

SideWinder

Der Kluge schrieb:

DrGreenthumb schrieb:

äh, ja nee. Es ging doch nicht um die eigene Host-Datei. Wenn _die_ jemand ändern kann, ist doch eh alles zu spät.

Oh doch, um die ging es.

Ein offenes WLan macht das recht leicht.

Die Frage war ja auch eindeutig "Benutzt Ihr Onlinebanking mit offenem WLAN"

MfG SideWinder

Oliver

rüdiger schrieb:

@Oliver
Es wird kein Zertifizierungsserver abgefragt. Die Browser haben ja die Publickeys der CAs schon gespeichert.

Ah ok - hab gerade nochmal nachgelesen, da hatte ich was falsch verstanden^^

Der Kluge schrieb:

Oliver schrieb:

W
Hab ich was vergessen, bzw. sehe ich was völlig falsch?

Ja, dem Nutzer vorgaukeln das das Zertifikat veraltet ist und er ein neues benötigt.

Ich hatte oben geschrieben es sitzt niemand vor dem PC der immer blind auf ja und ok klickt. Also in dem Fall einfach auf Abrrechen gehen.

Jetz nocheinmal die Frage: Ist online-Banking mit digipass ohne besitzt des keygenerators zu knachen bzw. das abfangen der informationen macht ja keinen sinn oder?

rüdiger

Der Kluge schrieb:

rüdiger schrieb:

Und um ein Zertifikat für ungültig zu erklären, müsstest du an den privaten Schlüssel gelangen.

Schön, wenn ich schon Zugriff auf die hosts Datei habe, dank offenem WLAN und Sicherheitslücken im Rechner, dann kann ich auch gleich die Public Keys austauschen.

Ist aber ein ziemlich irrelevanter Fall. Ich glaube kaum, dass das eine große Gefahr ist. Vermutlich ist ein Spaziergang zur Bank gefährlicher...

Christoph

Walli schrieb:

Bei den Beträgen, über die ich als Student verfüge auch kein großes Risiko [...]

Koennte es fuer dich nicht dennoch existenzbedrohend werden, wenn dein Konto ploetzlich leergeraeumt ist, auch wenn da keine sehr hohen Betraege drauf waren?

rüdiger schrieb:

Ist aber ein ziemlich irrelevanter Fall. Ich glaube kaum, dass das eine große Gefahr ist. Vermutlich ist ein Spaziergang zur Bank gefährlicher...

Naja, bei WLAN hat man eigentlich Zeit wenn man den Einbruch in aller Ruhe vom Hotelzimmer aus macht und dem Cracker nachweisen kann man es auch so gut wie gar nicht.
Das ist also schon schlimmer als ein normaler Bankraub der typischerweise unter Zeitdruck stattfindet.

rüdiger

Der Kluge schrieb:

rüdiger schrieb:

Ist aber ein ziemlich irrelevanter Fall. Ich glaube kaum, dass das eine große Gefahr ist. Vermutlich ist ein Spaziergang zur Bank gefährlicher...

Naja, bei WLAN hat man eigentlich Zeit wenn man den Einbruch in aller Ruhe vom Hotelzimmer aus macht und dem Cracker nachweisen kann man es auch so gut wie gar nicht.
Das ist also schon schlimmer als ein normaler Bankraub der typischerweise unter Zeitdruck stattfindet.

Ich halte es trotzdem für ein sehr unrealistisches Szenario, da der Aufwand enorm ist. Es lohnt sich einfach nicht. Spyware die Phishing-Mails verschickt scheint da wohl einen besseren Kosten/Nutzen-Faktor zu haben oder Manipulationen an Bankautomaten...