 |
|
| Vorheriges Thema anzeigen :: Nächstes Thema anzeigen |
| Autor |
Nachricht |
farbfarbrik
Anmeldedatum: 19.06.2013 Beiträge: 113
|
Verfasst am: 11.08.2013, 22:07 Titel: Re: Konto angeben bei Registrierung |
|
|
| nobodyofconsequence hat Folgendes geschrieben: | Es ist das einzige Verfahren außer Chipkarten, das zumindest in Ansätzen sicher ist. Allerdings nur, wenn das Gerät wiederum passwortgeschützt ist, was ja in den wenigsten Fällen so ist.
mTAN ist so unsicher, da kannst Du gleich Klartext-Passwörter über's Internet verschicken, das ist eine absolute Frechheit, dass die einem sowas hierzulande andrehen, da war das klassische TAN-Verfahren sicherer.
Es gibt bei Sicherheit eine ganz einfache Regel: Sicherheit <> Komfort. Wer 'was anderes behauptet lügt oder hat keine Ahnung. |
Dir ist klar, dass beim mTAN keine Passwörter verschickt werden, sondern lediglich die für den abzuschließenden Vorgang notwendige TAN.
Wenn jemand dir Schaden zufügen will, benötigt er neben deiner Loginnummer und deinem Passwort außerdem Zugang auf dein Handy.
Verlierst du dein Handy oder wird es dir geklaut, kannst du innerhalb kürzester Zeit deine Nummer sperren lassen. Ich weiß nicht, wie du so eine negative Einstellung gegenüber mTAN-Verfahren haben kannst. Wenn es dir so um Sicherheit geht, ist vielleicht die Sparkasse um die Ecke mit Überweisungen per Unterschrift für dich besser geeignet als Online-Banking! |
|
| Nach oben |
|
 |
nobodyofconsequence P2P Legende

Anmeldedatum: 02.09.2007 Beiträge: 5233
|
Verfasst am: 12.08.2013, 10:43 Titel: Re: Konto angeben bei Registrierung |
|
|
Ganz einfach: ich weiß, wie GSM-Spoofing geht (also nicht praktisch, das habe ich vergessen, würde ich mit einer Stunde Googlen aber wieder rausfinden). Wenn ich Dein Smartphones einmal in den Fingern hatte, habe ich ab dem Zeitpunkt über mTAN Zugriff auf Dein Konto, zumindest bei manchen Banken. Und zwar für immer, bis du dein Konto oder Deine Telefonnummer wechselst.
Wenn ich anders (z.B. Über einen Trojaner) an Deinen Bank-Zugang komme, brauche ich dafür nicht mal Dein Handy, dann reicht mir die Telefonnummer.
Du glaubst gar nicht, wie unsicher GSM-Netze sind, da ist außer der eigentlichen Kommunikation (die die Telkos ja abrechnen wollen) so gut wie nix gesichert. Die ganze Signalisierung (und SMS sind Teil derselben) kannst Du nutzen, wenn Du nur weißt, wie's geht.
Ich habe selber noch keine Bank erlebt, bei der Passwörter sicher sind. |
|
| Nach oben |
|
 |
nobodyofconsequence P2P Legende

Anmeldedatum: 02.09.2007 Beiträge: 5233
|
Verfasst am: 12.08.2013, 11:05 Titel: Re: Konto angeben bei Registrierung |
|
|
Generell fällt mir auf, wie naiv viele Leute bzgl. Der Sicherheit im Internet sind.
Alles, was nicht physisch (z.B. Über Chipkarten) oder zumindest über einen unabhängigen Kanal transaktionsgesichert ist, bekommt ein halbwegs versierter Hacker in kürzester Zeit geknackt. Starke Verschlüsselung funktioniert, aber die Schlüsselverteilung ist fast immer unsicher, zumindest in den Fällen, in denen sie halbwegs komfortabel ist.
Letztlich ist bei Geschäften das wichtigste, dass Die Haftung so ausgelegt ist, dass im Zweifelsfall das Risko beim Betreiber oder der Bank oder zumindest beim Händler liegt. Da sehen deutsche Banken aber leider übel aus. Deshalb würd ich immer Kreditkarten anderen Zahlungsmitteln vorziehen im Zweifelsfall ist auch PayPal noch besser, als alles, was direkt über Dein Konto läuft.
Das Konto selber solltest Du so sicher zunageln, wie es nur geht, egal wie unkomfortabel das ist, denn alles, was da jemand runter holt ist weg, auch wenn's der Dispo ist. |
|
| Nach oben |
|
 |
farbfarbrik
Anmeldedatum: 19.06.2013 Beiträge: 113
|
Verfasst am: 12.08.2013, 13:11 Titel: Re: Konto angeben bei Registrierung |
|
|
Ok danke für deine Erklärung, so genau kenne ich mich da jetzt auch nicht mit aus.
Aber ich gebe dir generell Recht, je sicherer ein Kontozugang ist, desto aufwändiger wird es, sich dort anzumelden. |
|
| Nach oben |
|
 |
TTom
Anmeldedatum: 09.10.2011 Beiträge: 1552
|
Verfasst am: 12.08.2013, 15:34 Titel: Re: Konto angeben bei Registrierung |
|
|
| nobodyofconsequence hat Folgendes geschrieben: |
Alles, was nicht physisch (z.B. Über Chipkarten) oder zumindest über einen unabhängigen Kanal transaktionsgesichert ist, bekommt ein halbwegs versierter Hacker in kürzester Zeit geknackt. Starke Verschlüsselung funktioniert, aber die Schlüsselverteilung ist fast immer unsicher, zumindest in den Fällen, in denen sie halbwegs komfortabel ist.
|
Technisch sollte der Schlüsselaustausch eigentlich auch kein Problem sein, wenn man asymmetrische Kryptografie benutzt, oder zumindest ein sicheres Key-Austausch-Verfahren (z.B. Diffie-Hellmann mit zusätzlichen digitalen Signaturen).
Das Problem ist eher, dass solche Verfahren nicht/zu wenig eingesetzt werden. Sei es aus technischer Unwissenheit, mangelnden Willen Geld in Sicherheit zu investieren, oder sogar, da man sich Möglichkeiten der Überwachung schaffen will.
Letzteres dürfte auch der Grund sein, warum bei GSM fast alles unverschlüsselt läuft. _________________ Aktive P2P-Investments:
Bondora, Mintos
Auslaufend/Historisch: Estateguru*, Reinvest24*, Bondster*, Investly*, Funding Circle*, Auxmoney*, Lendermarket |
|
| Nach oben |
|
 |
jensf
Anmeldedatum: 06.01.2012 Beiträge: 743 Wohnort: Karlsrube
|
Verfasst am: 12.08.2013, 16:03 Titel: Re: Konto angeben bei Registrierung |
|
|
| TTom hat Folgendes geschrieben: | | nobodyofconsequence hat Folgendes geschrieben: |
Alles, was nicht physisch (z.B. Über Chipkarten) oder zumindest über einen unabhängigen Kanal transaktionsgesichert ist, bekommt ein halbwegs versierter Hacker in kürzester Zeit geknackt. Starke Verschlüsselung funktioniert, aber die Schlüsselverteilung ist fast immer unsicher, zumindest in den Fällen, in denen sie halbwegs komfortabel ist.
|
Technisch sollte der Schlüsselaustausch eigentlich auch kein Problem sein, wenn man asymmetrische Kryptografie benutzt, oder zumindest ein sicheres Key-Austausch-Verfahren (z.B. Diffie-Hellmann mit zusätzlichen digitalen Signaturen). |
Zwei großen Probleme:
a) Verifizierung:
Ein großes Problem ist immer die Verifizierung - wie willst Du sicherstellen, das nicht jemand die Daten abfängt und verändert?
Solange nicht beide Seiten über vertrauenswürdige Zertifikate abgesichert sind, ist dies nicht möglich.
Interessant waren hier die Anfänge der HBCI-Zeit:
Hier hat man auf dem lokalem PC einen Schlüssel generiert an den Server geschickt und zusätzlich wurde ein "INI-Brief" AUSGEDRUCKT und persönlich bei der Bank abgegeben. Der Ini-Brief entheilt ein Hash der Schlüssels, so dass die Bank verifizieren konnte, dass der Schlüssel tatsächlich vom Kunden generiert wurde.
Aufwendig - aber relativ sicher.
b) Ausspähung des Schlüssels:
Heutzutage aber ein viel grösseres Problem ist die Gefahr des Ausspähens des geheimen Schlüssels durch einen Trojaner.
Ein geheimer Kryptografischer Schlüssel müsste ja auf dem System gespeichert werden - hier ist er also leichtes Ziel für Trojaner. Natürlich kann man den Key selbst wieder mit einem Passwort verschlüsseln, dass der Benutzer dann beim Starten der Transaktion eingeben muß - aber auch das kann wieder abgegriffen werden.
Ich würde daher mal sagen: PC-Basiert ist das heutzutage nicht mehr machbar. Hier braucht es Medium, dass den Schlüssel nicht per Software kopierbar speichert - eben z.B. eine Chipkarte oder so ein Token-Generator.
Kurz zum Thema GSM-Spoofing:
Ganz so einfach ist das nun auch nicht - um eine SMS mitzulesen, musst Du Dich entweder in Reichweite der Funkzelle, in der sich das Handy befindet aufhalten, oder Du mußt die Anmeldung im Mobilfunknetz austricksen - was dann doch nicht ganz so einfach ist - solange nicht völlig veraltete SIMM-Karten mit einfachem DES verwendet werden (ging ja gerade durch die Presse).
Aber: Wozu so Aufwendig? Bei Smartphones ist ein Trojaner, der dann die SMS weiterleitet, wesentlich einfacher....
Eine Möglichkeit zur Erhöhung der Sicherheit wäre es also, für den Empfang vom MTANs nur ein altes Handy zu verwenden, dass keine Apps kennt... _________________
 |
|
| Nach oben |
|
 |
nobodyofconsequence P2P Legende

Anmeldedatum: 02.09.2007 Beiträge: 5233
|
Verfasst am: 13.08.2013, 00:36 Titel: Re: Konto angeben bei Registrierung |
|
|
| jensf hat Folgendes geschrieben: |
Eine Möglichkeit zur Erhöhung der Sicherheit wäre es also, für den Empfang vom MTANs nur ein altes Handy zu verwenden, dass keine Apps kennt... |
Und nur mit alten SIMs funktioniert...
Oder die Bluetooth-Schwachstelle hat.
Aber ansonsten ist es so, wie Du schreibst.
Bei Smartphones kommt halt noch dazu, dass viele da drauf ihre e-Mail lesen. Und so ziemlich jede Bank bekommst Du davon überzeugt, Dir Dein Passwort zurück zu setzen und Dir ein neues per Mail zu schicken, im Zweifelsfall bestätigt durch eine mTAN...
Zum GSM-Spoofing: Du kannst häufig auch die SIM einfach austauschen. Das merkt der Nutzer zwar irgendwann, weil er dann aus dem Netz fliegt, aber der Schaden ist dann da.... |
|
| Nach oben |
|
 |
HansDambf

Anmeldedatum: 02.07.2012 Beiträge: 893
|
Verfasst am: 13.08.2013, 05:24 Titel: Re: Konto angeben bei Registrierung |
|
|
Ich glaube das ist einfacher, als ihr denkt. Ich hatte letzten einen Bericht gesehen (Galileo oder Abenteuer Leben täglich), in dem ein Laptop mit einem Trojaner infiziert wurde. Der Trojaner wurde bei der Verbindung des Smartphones mit dem Laptop zum aufladen/Backup automatisch auf das Handy gespielt. Danach hatte der Hacker vollen Zugriff auf beides. Er hat eine Überweisung abgefangen, ab da hatte er den vollen Zugriff auf Konto und empfangene mTans. Überweisungen wurden automatisch ausgeführt, mTans empfangen. Der Nutzer konnte es nicht feststellen, weil die mTans auf seinem Handy nie ankamen.
Leider finde ich das Video im Netz nicht. Ich fand's schon sehr interessant und erschreckend. Bin als Pendler aber trotzdem ein Fan von mTan. _________________ Geld verdienen im Internet - getestete Anbieter und Strategien: www.alltagstester24.de
Produkte und Dienstleistungen verständlich vorgestellt: www.OttoNormalKonsument.de |
|
| Nach oben |
|
 |
jensf
Anmeldedatum: 06.01.2012 Beiträge: 743 Wohnort: Karlsrube
|
Verfasst am: 13.08.2013, 08:52 Titel: Re: Konto angeben bei Registrierung |
|
|
| nobodyofconsequence hat Folgendes geschrieben: | | jensf hat Folgendes geschrieben: |
Eine Möglichkeit zur Erhöhung der Sicherheit wäre es also, für den Empfang vom MTANs nur ein altes Handy zu verwenden, dass keine Apps kennt... |
Und nur mit alten SIMs funktioniert...
|
Und? Auch die alten SIMs sind sicher, wenn kein einfach-DES verwendet wurde - und das wird in Deutschland schon lange nicht mehr verwendet...
Auch alte Handy arbeiten mit aktuellen SIM-Karten mit aktuellem Sicherheits-Standard.
Und Bluutooth kann man abstellen _________________
 |
|
| Nach oben |
|
 |
|
|
Du kannst keine Beiträge in dieses Forum schreiben. Du kannst auf Beiträge in diesem Forum nicht antworten. Du kannst deine Beiträge in diesem Forum nicht bearbeiten. Du kannst deine Beiträge in diesem Forum nicht löschen. Du kannst an Umfragen in diesem Forum nicht mitmachen.
|
Risikohinweis: Die Anlage in P2P Kredite kann zum Totalverlust führen!
phpBB SEO URLs V2
*Anzeige / Affiliate Link
Powered by phpBB © 2001, 2005 phpBB Group Deutsche Übersetzung von phpBB.de
 Vereitelte Spamregistrierungen: 214707
Impressum & Datenschutz
|