P2P Kredite
 FAQFAQ   SuchenSuchen   MitgliederlisteMitgliederliste   BenutzergruppenBenutzergruppen   RegistrierenRegistrieren 
 ProfilProfil   Einloggen, um private Nachrichten zu lesenEinloggen, um private Nachrichten zu lesen   LoginLogin 
P2P Kredite Anbieter Vergleich
Konto angeben bei Registrierung  
Gehe zu Seite Zurück  1, 2
 
Neues Thema eröffnen   Neue Antwort erstellen    P2P-Kredite.com Foren-Übersicht -> Auxmoney
Vorheriges Thema anzeigen :: Nächstes Thema anzeigen  
Autor Nachricht
farbfarbrik



Anmeldedatum: 19.06.2013
Beiträge: 113

BeitragVerfasst am: 11.08.2013, 22:07    Titel: Re: Konto angeben bei Registrierung Antworten mit Zitat

nobodyofconsequence hat Folgendes geschrieben:
Es ist das einzige Verfahren außer Chipkarten, das zumindest in Ansätzen sicher ist. Allerdings nur, wenn das Gerät wiederum passwortgeschützt ist, was ja in den wenigsten Fällen so ist.
mTAN ist so unsicher, da kannst Du gleich Klartext-Passwörter über's Internet verschicken, das ist eine absolute Frechheit, dass die einem sowas hierzulande andrehen, da war das klassische TAN-Verfahren sicherer.

Es gibt bei Sicherheit eine ganz einfache Regel: Sicherheit <> Komfort. Wer 'was anderes behauptet lügt oder hat keine Ahnung.


Dir ist klar, dass beim mTAN keine Passwörter verschickt werden, sondern lediglich die für den abzuschließenden Vorgang notwendige TAN.

Wenn jemand dir Schaden zufügen will, benötigt er neben deiner Loginnummer und deinem Passwort außerdem Zugang auf dein Handy.

Verlierst du dein Handy oder wird es dir geklaut, kannst du innerhalb kürzester Zeit deine Nummer sperren lassen. Ich weiß nicht, wie du so eine negative Einstellung gegenüber mTAN-Verfahren haben kannst. Wenn es dir so um Sicherheit geht, ist vielleicht die Sparkasse um die Ecke mit Überweisungen per Unterschrift für dich besser geeignet als Online-Banking!
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden
nobodyofconsequence
P2P Legende


Anmeldedatum: 02.09.2007
Beiträge: 5233

BeitragVerfasst am: 12.08.2013, 10:43    Titel: Re: Konto angeben bei Registrierung Antworten mit Zitat

Ganz einfach: ich weiß, wie GSM-Spoofing geht (also nicht praktisch, das habe ich vergessen, würde ich mit einer Stunde Googlen aber wieder rausfinden). Wenn ich Dein Smartphones einmal in den Fingern hatte, habe ich ab dem Zeitpunkt über mTAN Zugriff auf Dein Konto, zumindest bei manchen Banken. Und zwar für immer, bis du dein Konto oder Deine Telefonnummer wechselst.
Wenn ich anders (z.B. Über einen Trojaner) an Deinen Bank-Zugang komme, brauche ich dafür nicht mal Dein Handy, dann reicht mir die Telefonnummer.
Du glaubst gar nicht, wie unsicher GSM-Netze sind, da ist außer der eigentlichen Kommunikation (die die Telkos ja abrechnen wollen) so gut wie nix gesichert. Die ganze Signalisierung (und SMS sind Teil derselben) kannst Du nutzen, wenn Du nur weißt, wie's geht.

Ich habe selber noch keine Bank erlebt, bei der Passwörter sicher sind.
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden
nobodyofconsequence
P2P Legende


Anmeldedatum: 02.09.2007
Beiträge: 5233

BeitragVerfasst am: 12.08.2013, 11:05    Titel: Re: Konto angeben bei Registrierung Antworten mit Zitat

Generell fällt mir auf, wie naiv viele Leute bzgl. Der Sicherheit im Internet sind.
Alles, was nicht physisch (z.B. Über Chipkarten) oder zumindest über einen unabhängigen Kanal transaktionsgesichert ist, bekommt ein halbwegs versierter Hacker in kürzester Zeit geknackt. Starke Verschlüsselung funktioniert, aber die Schlüsselverteilung ist fast immer unsicher, zumindest in den Fällen, in denen sie halbwegs komfortabel ist.

Letztlich ist bei Geschäften das wichtigste, dass Die Haftung so ausgelegt ist, dass im Zweifelsfall das Risko beim Betreiber oder der Bank oder zumindest beim Händler liegt. Da sehen deutsche Banken aber leider übel aus. Deshalb würd ich immer Kreditkarten anderen Zahlungsmitteln vorziehen im Zweifelsfall ist auch PayPal noch besser, als alles, was direkt über Dein Konto läuft.
Das Konto selber solltest Du so sicher zunageln, wie es nur geht, egal wie unkomfortabel das ist, denn alles, was da jemand runter holt ist weg, auch wenn's der Dispo ist.
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden
farbfarbrik



Anmeldedatum: 19.06.2013
Beiträge: 113

BeitragVerfasst am: 12.08.2013, 13:11    Titel: Re: Konto angeben bei Registrierung Antworten mit Zitat

Ok danke für deine Erklärung, so genau kenne ich mich da jetzt auch nicht mit aus.
Aber ich gebe dir generell Recht, je sicherer ein Kontozugang ist, desto aufwändiger wird es, sich dort anzumelden.
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden
TTom



Anmeldedatum: 09.10.2011
Beiträge: 1552

BeitragVerfasst am: 12.08.2013, 15:34    Titel: Re: Konto angeben bei Registrierung Antworten mit Zitat

nobodyofconsequence hat Folgendes geschrieben:

Alles, was nicht physisch (z.B. Über Chipkarten) oder zumindest über einen unabhängigen Kanal transaktionsgesichert ist, bekommt ein halbwegs versierter Hacker in kürzester Zeit geknackt. Starke Verschlüsselung funktioniert, aber die Schlüsselverteilung ist fast immer unsicher, zumindest in den Fällen, in denen sie halbwegs komfortabel ist.

Technisch sollte der Schlüsselaustausch eigentlich auch kein Problem sein, wenn man asymmetrische Kryptografie benutzt, oder zumindest ein sicheres Key-Austausch-Verfahren (z.B. Diffie-Hellmann mit zusätzlichen digitalen Signaturen).

Das Problem ist eher, dass solche Verfahren nicht/zu wenig eingesetzt werden. Sei es aus technischer Unwissenheit, mangelnden Willen Geld in Sicherheit zu investieren, oder sogar, da man sich Möglichkeiten der Überwachung schaffen will.

Letzteres dürfte auch der Grund sein, warum bei GSM fast alles unverschlüsselt läuft.
_________________
Aktive P2P-Investments:
Bondora, Mintos
Auslaufend/Historisch: Estateguru*, Reinvest24*, Bondster*, Investly*, Funding Circle*, Auxmoney*, Lendermarket
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden
jensf



Anmeldedatum: 06.01.2012
Beiträge: 743
Wohnort: Karlsrube

BeitragVerfasst am: 12.08.2013, 16:03    Titel: Re: Konto angeben bei Registrierung Antworten mit Zitat

TTom hat Folgendes geschrieben:
nobodyofconsequence hat Folgendes geschrieben:

Alles, was nicht physisch (z.B. Über Chipkarten) oder zumindest über einen unabhängigen Kanal transaktionsgesichert ist, bekommt ein halbwegs versierter Hacker in kürzester Zeit geknackt. Starke Verschlüsselung funktioniert, aber die Schlüsselverteilung ist fast immer unsicher, zumindest in den Fällen, in denen sie halbwegs komfortabel ist.

Technisch sollte der Schlüsselaustausch eigentlich auch kein Problem sein, wenn man asymmetrische Kryptografie benutzt, oder zumindest ein sicheres Key-Austausch-Verfahren (z.B. Diffie-Hellmann mit zusätzlichen digitalen Signaturen).


Zwei großen Probleme:
a) Verifizierung:
Ein großes Problem ist immer die Verifizierung - wie willst Du sicherstellen, das nicht jemand die Daten abfängt und verändert?
Solange nicht beide Seiten über vertrauenswürdige Zertifikate abgesichert sind, ist dies nicht möglich.

Interessant waren hier die Anfänge der HBCI-Zeit:
Hier hat man auf dem lokalem PC einen Schlüssel generiert an den Server geschickt und zusätzlich wurde ein "INI-Brief" AUSGEDRUCKT und persönlich bei der Bank abgegeben. Der Ini-Brief entheilt ein Hash der Schlüssels, so dass die Bank verifizieren konnte, dass der Schlüssel tatsächlich vom Kunden generiert wurde.
Aufwendig - aber relativ sicher.

b) Ausspähung des Schlüssels:
Heutzutage aber ein viel grösseres Problem ist die Gefahr des Ausspähens des geheimen Schlüssels durch einen Trojaner.
Ein geheimer Kryptografischer Schlüssel müsste ja auf dem System gespeichert werden - hier ist er also leichtes Ziel für Trojaner. Natürlich kann man den Key selbst wieder mit einem Passwort verschlüsseln, dass der Benutzer dann beim Starten der Transaktion eingeben muß - aber auch das kann wieder abgegriffen werden.

Ich würde daher mal sagen: PC-Basiert ist das heutzutage nicht mehr machbar. Hier braucht es Medium, dass den Schlüssel nicht per Software kopierbar speichert - eben z.B. eine Chipkarte oder so ein Token-Generator.

Kurz zum Thema GSM-Spoofing:
Ganz so einfach ist das nun auch nicht - um eine SMS mitzulesen, musst Du Dich entweder in Reichweite der Funkzelle, in der sich das Handy befindet aufhalten, oder Du mußt die Anmeldung im Mobilfunknetz austricksen - was dann doch nicht ganz so einfach ist - solange nicht völlig veraltete SIMM-Karten mit einfachem DES verwendet werden (ging ja gerade durch die Presse).

Aber: Wozu so Aufwendig? Bei Smartphones ist ein Trojaner, der dann die SMS weiterleitet, wesentlich einfacher....
Eine Möglichkeit zur Erhöhung der Sicherheit wäre es also, für den Empfang vom MTANs nur ein altes Handy zu verwenden, dass keine Apps kennt...
_________________
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden
nobodyofconsequence
P2P Legende


Anmeldedatum: 02.09.2007
Beiträge: 5233

BeitragVerfasst am: 13.08.2013, 00:36    Titel: Re: Konto angeben bei Registrierung Antworten mit Zitat

jensf hat Folgendes geschrieben:

Eine Möglichkeit zur Erhöhung der Sicherheit wäre es also, für den Empfang vom MTANs nur ein altes Handy zu verwenden, dass keine Apps kennt...

Und nur mit alten SIMs funktioniert...
Oder die Bluetooth-Schwachstelle hat.

Aber ansonsten ist es so, wie Du schreibst.
Bei Smartphones kommt halt noch dazu, dass viele da drauf ihre e-Mail lesen. Und so ziemlich jede Bank bekommst Du davon überzeugt, Dir Dein Passwort zurück zu setzen und Dir ein neues per Mail zu schicken, im Zweifelsfall bestätigt durch eine mTAN...

Zum GSM-Spoofing: Du kannst häufig auch die SIM einfach austauschen. Das merkt der Nutzer zwar irgendwann, weil er dann aus dem Netz fliegt, aber der Schaden ist dann da....
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden
HansDambf



Anmeldedatum: 02.07.2012
Beiträge: 893

BeitragVerfasst am: 13.08.2013, 05:24    Titel: Re: Konto angeben bei Registrierung Antworten mit Zitat

Ich glaube das ist einfacher, als ihr denkt. Ich hatte letzten einen Bericht gesehen (Galileo oder Abenteuer Leben täglich), in dem ein Laptop mit einem Trojaner infiziert wurde. Der Trojaner wurde bei der Verbindung des Smartphones mit dem Laptop zum aufladen/Backup automatisch auf das Handy gespielt. Danach hatte der Hacker vollen Zugriff auf beides. Er hat eine Überweisung abgefangen, ab da hatte er den vollen Zugriff auf Konto und empfangene mTans. Überweisungen wurden automatisch ausgeführt, mTans empfangen. Der Nutzer konnte es nicht feststellen, weil die mTans auf seinem Handy nie ankamen.
Leider finde ich das Video im Netz nicht. Ich fand's schon sehr interessant und erschreckend. Bin als Pendler aber trotzdem ein Fan von mTan.
_________________
Geld verdienen im Internet - getestete Anbieter und Strategien: www.alltagstester24.de
Produkte und Dienstleistungen verständlich vorgestellt: www.OttoNormalKonsument.de
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden
jensf



Anmeldedatum: 06.01.2012
Beiträge: 743
Wohnort: Karlsrube

BeitragVerfasst am: 13.08.2013, 08:52    Titel: Re: Konto angeben bei Registrierung Antworten mit Zitat

nobodyofconsequence hat Folgendes geschrieben:
jensf hat Folgendes geschrieben:

Eine Möglichkeit zur Erhöhung der Sicherheit wäre es also, für den Empfang vom MTANs nur ein altes Handy zu verwenden, dass keine Apps kennt...

Und nur mit alten SIMs funktioniert...


Und? Auch die alten SIMs sind sicher, wenn kein einfach-DES verwendet wurde - und das wird in Deutschland schon lange nicht mehr verwendet...

Auch alte Handy arbeiten mit aktuellen SIM-Karten mit aktuellem Sicherheits-Standard.
Und Bluutooth kann man abstellen
_________________
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden
Beiträge der letzten Zeit anzeigen:   
Neues Thema eröffnen   Neue Antwort erstellen    P2P-Kredite.com Foren-Übersicht -> Auxmoney Alle Zeiten sind GMT + 1 Stunde
Gehe zu Seite Zurück  1, 2
Seite 2 von 2

 
Gehe zu:  
Du kannst keine Beiträge in dieses Forum schreiben.
Du kannst auf Beiträge in diesem Forum nicht antworten.
Du kannst deine Beiträge in diesem Forum nicht bearbeiten.
Du kannst deine Beiträge in diesem Forum nicht löschen.
Du kannst an Umfragen in diesem Forum nicht mitmachen.
Risikohinweis: Die Anlage in P2P Kredite kann zum Totalverlust führen!

phpBB SEO URLs V2

*Anzeige / Affiliate Link
Powered by phpBB © 2001, 2005 phpBB Group
Deutsche Übersetzung von phpBB.de

Anti Bot Question MOD - phpBB MOD gegen Spambots
Vereitelte Spamregistrierungen: 214707


Impressum & Datenschutz