Forsker: Vi har kun set begyndelsen på NemID-phishing

Jo flere websites der får login med NemID, desto lettere bliver det at snyde naive sjæle.

Flere end 3,3 millioner danskere har NemID. Med deres papkort ved hånden har de mulighed for at logge på mere end 225 websites og 110 netbanker. Og antallet af sites, der bruger NemID som loginmekanisme, ventes at stige i takt med, at Nets DanID får solgt løsningen til stadig flere virksomheder og websites.

Det har længe været set om en styrke i den danske digitaliseringsstrategi, at den offentlige og private sektor har kunnet samles om en fælles login-mekanisme. Men efter det første vellykkede phishingangreb, hvor otte Nordea-kunder fik franarret NemID-koder og stjålet penge i netbanken, viser det sig, at der bestemt også er ulemper ved at samle alle æg i én kurv.

Læs også: NemID phishet – 8 bankkunder frastjålet penge i netbank

For når danskerne er blevet vænnet til at bruge NemID på alt lige fra a-kassen 3F over datingsitet hot.dk til feriekonto.dk, så bliver det fremover langt lettere for it-kriminelle at lægge falske NemID-logins på en lang række websteder, hvor brugeren ikke er lige så agtpågivende over for fup og svindel, som når han logger på sin netbank. Og med NemID-oplysninger høstet fra et typosquattet website som for eksempel dating.dk kan de kriminelle let logge sig på brugerens netbank og lænse kontoen.

Klik på den interaktive grafik og se, hvordan den kriminelle fik fat i bankkundens informationer og nøglen fra NemID.

Mens brugerens agtpågivenhed falder i takt med udbredelsen af NemID, stiger interessen fra hackerne.

»Det [udbredelsen af NemID til mange sites, red.] betyder, at risikoen for misbrug stiger. Vi så det samme med Windows Live og med Googles single sign-on-løsning« siger it-sikkerhedsforsker Joe Kiniry fra IT-Universitetet til Version2.

Læs også: Her er bagmanden: Sådan snød Arthur Williams NemID og stjal fra Nordea-kunder

Han peger på, at problematikken bestemt ikke er ny:

»Der findes rigtig mange naive mennesker derude på nettet. Og egentlig er problemet jo lidt det samme, som når vi ser, at folk i årevis har brugt det samme, dårlige password i netbanken som på alle andre sites. Nu er der så bare et papkort ind imellem,« siger Joe Kiniry til Version2.

Hvad vil være de langsigtede konsekvenser af, at phishing bliver stadig lettere i takt med, at NemID udbredes?

»Pessimisten i mig siger, at der ikke kommer nogen konsekvenser. Når det er regeringen og de store banker, der står bag, må vi gå ud fra, at sikkerhedsniveauet er en økonomisk afvejning. Så de accepterer risikoen helt bevidst,« siger Joe Kiniry.

Formanden for Råd for IT- og Persondatasikkerhed, Ingrid Colding-Jørgensen, ser den nye phishing-bølge af folks NemID som et stort problem, om end det ikke er nyt:

»Det er jo ikke NemID som sådan, der er usikker, men folk der prøver at snyde. Og min klare holdning er, at sådan er det bare. Det er en kæmpe risiko,« siger Ingrid Colding-Jørgensen til Version2.

Men er hele konceptet så ikke fejldesignet?

»Det mener jeg ikke. Det er op til folk selv, om de vil anvende NemID som logon til golfklubben.«

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (58)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Ole Østergaard

...er jo at hvis en skurk franarrer mig en papkort-kode fra NemID, så kan skurken én gang logge på min netbank og lave ballade. Og angrebet er nødt til at ske "live", hvilket indebærer at skurken har begrænset tid til at bruge koden.

Det er jo helt anderledes end hvis nogen fx franarrer mig min adgangskode til min Google-konto. Så kan vedkommende logge ind flere gange og lave ballade over lang tid (indtil jeg skifter adgangskode, selvfølgelig).

  • 4
  • 0
Anonym

»Det mener jeg ikke. Det er op til folk selv, om de vil anvende NemID som logon til golfklubben.«

Det er ikke op til folk selv. Hvis golfklubben kun tilbyde login med nemid, er det meget nemt. Der er kun nemid at bruge så. Så det der med at folk selv må bestemme tror jeg ikke på.

Selvfølgelig kan golfklubben vælge ikke at bruge nemid, men når alle de andre golfklubber eller noget andet, som den samligner sig med, bruger det, så skal det bruges. Evt, når der bliver vedtaget en ny terror lov der gør at alle danske brugere af hjemmeside skal kunne identificeres.... (Hvis du er fra justitsministeriets arbejdsgruppe, så glem dette forslag)

  • 9
  • 1
Peter Mogensen

Der er så meget ved NemID, der var frivilligt engang (før det blev aktuelt i praksis), så mon ikke vi snart ser Dansk Golf Union kræve at man bruger NemID til bane-reservation?

Men hva... det er jo også frivilligt om man vil spille golf, ... navngive sit bart eller arbejde i det offentlige mv.

  • 7
  • 0
Niels Didriksen

Anti-Mitm var vel en af NemID-kartellets eneste ikke direkte løgnagtige sikkerhedsmæssige salgsargumenter for inførslen af NemID. Et argument som for allerede et år siden blev tilbagevist af flere kompetente fagfolk her på debatten.

Et andet var den med den unikke indentifikation af brugerne, hvilket blev gennemhullet noget så eftertrykkeligt, da en gymnasie-studerende fik adgang til en tilfældig anden kundes bankkonto pga. en sjuskefejl hos en bank-elev

Det tredje var, at det var så sikkert at man lave sine bank-forretninger på ferien fra en offentlig pc i Thailand, hvilket NemID-kartellet efter tvangs-inførslen skyndte sig at eliminere, med et krav om at brugeren er ansvarlig for at der ikke er malware på den maskine man anvender.

Et fjerde var availability. Et argument som ikke har set dagens lys, siden systemet blev taget i drift, og NemID konstant har ligget langt under SLA. Mon ikke det med tiden og med mere og mere tydelighed vil vise sig, at centraliseret nedbrud er langt mere kostbart end, hvis de enkelte brugere har problemer af og til.

Et femte var java-argumentet. Det var simpelthen ikke sikkert nok uden en AllAccessAllowed java applet i brugernes hjem. Men flere browserfabrikanter overvejer idag helt at droppe java-distribution pga sikkerhedshuller i browserplugin'en. Og alle der har været i udlandet ved at de fleste offentlige pc'er er locked down javamæssigt, så man ikke engang kan få read-only adgang til sin bank når man er afsted.

Alle sikkerhedsargumenter, som allerede var blevet draget i tvivl eller skudt ned inden drift, af fagfolk her på debatten. Og det eneste der står tilbage er en nation af folk med håret i postkassen og en banksektor med en fantastisk penge/snage-maskine, hvis fejl alle som en hviler på kunderne.

Og så har vi ikke engang kigget på alle de ikke-sikkerheds-relaterede løfter og argumenter. Det mest himmelråbende er påstanden om frivillighed. Mage til arrogance. Jeg har aldrig oplevet noget mindre frivilligt udover skat og død. Men heldigvis lover NemID jo i deres reklamer at hjælpe dig med både skat og at dø.

Det er op til folk selv, om de vil anvende NemID som logon til golfklubben.

Det er sgu da også kun lige til golfklubben har fået besøg af en NemID sælger er hoppet på limpinden og skiftet deres login ud med NemID. For ideen er jo netop "Et login til det hele". Og præcis golf-klub-kommentaren er jo rammende. Hvis formanden for IT-sikkerhedsrådet ikke engang tror på at vores unified login til det hele er sikkert nok til at logge ind i den lokale golf-klub, så har Houston et alvorligt problem.

Og til dem Der synes NemID bare er den dejlig lækker muffin, så husk lige på, at det havde været mulig at lave en ægte PKI under motorhjælmen og et bruger-interface der ligner NemID præcis som vi har det idag.

Havde viljen været der, kunne man have taget TDC's ganske udemærkede oces-løsning og puttet papkort ovenpå og givet brugerne deres egen private nøgle. Eller i det mindste ladet det være FRIVILLIGT om brugerne under ansvar ville stå for deres egen nøgle.

Obama har lavet en plan for et system kaldet "National Strategy for Trusted Identities in Cyberspace (NSTIC)", der i formål ligner NemID's. Forskellen er dog klar. Præcist som kritikere af NemID har foreslået, ønskes det at "Det vil være frivilligt som forbruger at anvende disse ID-teknologier". En anden forskel er at der skal være konkurrence på delkomponenterne, da "Obama-administrationen håber, at det vil opstå flere forskellige teknologier til troværdig identifikation" En tredje forskel er åbenheden da; "Virksomheder, forbrugerorganisationer, privacy-fortalere og andre interesserede vil blive inviteret til [seminarer om projektet]" http://www.computerworld.dk/art/115642?cid=4&q=obama&sm=search&a=cid&i=4...

Alle disse ting har NemID kartellet elimineret (afledte nøgler?), løjet om(kvalificeret digital signatur?) og udviklet udenom meget målbevidst. Hvorfor det? Jeg har ingen anelse om det, set fra politisk hold. Måske for at have muligheden for en hals at kvæle hvis^H^H^H^H lortet for alvor bryder sammen, istedet for at stå med en Amanda/IC4 sorteper. For bankerne er det vel muligheden for at rejse trold-boder op og kræve penge, hvor det ikke er muligt på naturlig vis med et rigtigt designet system, såsom: -beløb pr. anvendelse (er det ikke en krone). Det koster ikke hverken mig eller TDC en øre når jeg anvender min ægte OCES signatur. -Ekstra dummebøder, som ved CRL-lookup og lignende. -Kontrol/overvågning. Forestiller mig de tænker som enkelte politikere; Det er ikke noget vi bruger til noget, men det er et rart værktøj at have i skuffen

Så... kære Morten Østergård og rød blok. Hvad med at bruge jeres nyligt vundne status som regering til at vende denne katastrofale dødssejler, og træde ind i morgendagens digitale danmark som helte istedet for, at lade kursen stå på isbjerg med kikkerten for det blinde øje.

  • 49
  • 1
Rasmus Rask

Ville egentlig bare tilmelde mig e-mailbeskeder ved nye kommentarer, men da det tilsyneladende(?) stadigvæk ikke kan lade sig gøre, uden samtidig at skrive et par bevingede ord, vil jeg da rose Niels for hans fine indlæg.

Interessant betragtninger!

  • 2
  • 0
Thue Kristensen

Jeg mener stadig, at alle sider som bruger NemID skulle redirecte til https://nemid.nu , hvor man indtastede sit password. De kunne så skrive øverst på papkortet "må kun indtastes på https://nemid.nu". På samme måde som OpenID ( http://openid.net/get-an-openid/start-using-your-openid/ ), som jo prøver at løse samme problem.

Som det er nu, så aner jeg jo ikke om en NemID-form som jeg ser faktisk sender mine data det rigtige sted hen.

1) Hvis jeg taster mit password på min golfklubs hjemmeside, så kunne min golfklub i teorien lave MitM-angreb, og fx tømme min bankkonto.

2) Hvis der er et sikkerhedshul hvor man kan injecte javascript, som det på netsikker.nu ( http://www.version2.dk/artikel/pinligt-sikkerhedshul-rammer-statens-nets... ), så kan en angriber lave MitM mod NemID. Lad mig for resten lige citere myndighederne om det sikkerhedshul, fra nederst i version2-artiklen:

»Det er selvfølgelig ærgerligt, men det er vigtigt at pointere, at det er meget svært at sikre hjemmesider 100 procent mod den slags, og så er der som sagt tale om et mindre problem, som vi omgående har taget os af,« siger kontorchefen.

3) Endelig så kan en angriber jo bare lave deres egen hjemmeside via typo-squatting eller lignende. Siden det er meningen at NemID skal bruges overalt, så kan det være meget svært for slutbrugen at vide om en side er reel. Det var det angreb vi så i sidste uge. Her vil jeg også lige nævne at banken SEB's NemID-login foregår på siden https://taz.vv.sebank.se/cgi-bin/pts3/sec/wcp_extra/index_dk.asp . Hvorfra man bliver sendt fra en ikke-krypteret, og derfor MitM-angribelig side...! Det er jo svært ud fra adressen at vide om det er den rigtige side (certificatet hjælper, men har DanID instrueret brugerne i hvilke certificater er acceptable?).

  • 5
  • 1
Svante Jørgensen

Så vidt jeg kan se er det korrekt at realtime man-in-the-middle angreb ikke kan undgås med NemIDs løsning. Men hvilken løsning vil så kunne undgå det? Hvis brugeren logger ind på et kompromitteret website, så er det vel lige meget hvilke oplysninger brugeren skal bruge opgive, privat nøgle eller ej. Websitet vil altid bare kunne relay'e udfordringerne til brugeren og derefter overtage og misbruge den session.

  • 0
  • 0
Jesper Lund

I stedet for ryger tele til gammelkommunisten Ole Sohn - så skal vi jo nok forvente mere overvågning.

Teleovervågning er retspolitik (Justitsministeriet), så lige præcis for dette spørgsmål tror jeg ikke at resort skiftet gør nogen forskel.

Men når IT rykker til Finansministeriet, kommer vi formentlig til at se mere tvangsdigitalisering, mere NemID og, afledt heraf, langt mere NemID phishing.

  • 1
  • 0
Niels Dybdahl

Så vidt jeg kan se er det korrekt at realtime man-in-the-middle angreb ikke kan undgås med NemIDs løsning. Men hvilken løsning vil så kunne undgå det?

Det kan en løsning hvor der er en krypteringsnøgle hos brugeren, som ikke kan stjæles. Den gamle løsning havde en krypteringsnøgle hos brugeren, men den kunne alt for nemt stjæles. Så en sikker løsning mod MitM kræver at man har en hardwaredims, som har ens krypteringsnøgle indbygget. Denne hardwaredims bruger man til at godkende med. Der skal altså være en lille skærm så man kan se hvad man godkender og en eller to trykknapper på og det må ikke være muligt at kunne tilgå krypteringsnøglen på nogen anden måde. Denne løsning er selvfølgelig meget dyrere end alle andre løsninger, så foreløbig bliver den nok ikke til noget.

  • 3
  • 0
Klaus Slott
  • 2
  • 0
Anders Hessellund Jensen

chipTAN løsningen er meget sikker mod MITM, men den er da også helt vildt besværlig at bruge. Givet at nøglekortet netop fik meget kritik for at være for besværligt, så tror jeg ikke det vil blive godt modtaget i befolkningen at lave en løsning som er endnu mere besværlig.

  • 1
  • 0
Niels Dybdahl
  • 0
  • 0
tue kyndal

@Niels Didriksen Helt fantastisk endeligt se hele idiotien i en sammenhæng de fleste forstår. Måske dette kan få vennerne og kæresten og alle andre jeg kender til at forså hvad jeg har forsøgt at forklare hele tiden.

Og hvem er den demente idiot som har vote -1. Er personen uden af stand til at forstå virkelighedens realiteter! Måske er det DANID's blinde udviklere som med hovedet i huldet har votet med rø***!!

NEMID er det værste tiltag for digitaliseringen af Danmark nogen sinde. Så vidt jeg har forstået det, så har en "ægte" PKI struktur været en krav i udbuddet fra starten af, men den "lille" ændring af PKI som DANID har lavet er accepteret og blevet slået hen som ligegyldig.

Hvorfor er der ingen som holder DANID op på de krav der er stillet fra starten.

Skal vi ikke starte en gruppe som med fælles kraft kan få en advokat på sagen og få afgjort i retten, om deres løsning overhovedet er lovlig, og opfylder de krav der er er stillet fra starten af.

Jeg donere gerne 1000 kr på stedet hvis nogen vil være med til at redde Danmark fra NEMID's fremtidige uhyrligheder!

  • 4
  • 0
Klaus Slott

chipTAN løsningen er meget sikker mod MITM, men den er da også helt vildt besværlig at bruge

Bøvlet ja, men synes du NemID er nem at anvende?. For f.eks. svagtseende, tror jeg faktisk denne er nemmere en de papkort løsningen. Den kunne jo også laves i en løsning med chip indbygget, så er den bare ikke så fleksibel.

Udført rigtigt (jeg kender ikke princippet bag chipTAN), adresserer den jo flere af problemerne med den nuværende NemID - glimrende beskrevet af Niels herover. Den kan produceres af flere leverandører, du kan benytte forskellige kort til forskellige formål, transaktionen foregår mellem de 2 parter, osv.

Sikkerhed er besværligt, og når vi er helt der ude, hvor en hacker kan bortskøde min ejendom til den lokale HA klub, blot ved at udskifte indholdet på min PCskærm mens jeg tror jeg logger ind i golfklubben. Så ville jeg gerne trykke et par taster på en plastikdims.

  • 0
  • 0
tue kyndal

http://www.digitalsignatur.dk/visArtikel.asp?artikelID=1065

SE HVAD DANID SKRIVER OM NEMID:

Sikkerhedskonceptet vedrørende NemID

NemID baseret på PKI

NemID baserer sig på en teknologi kaldet Public Key Infrastructure (PKI). Det indebærer, at brugeren får udstedt en digital signatur, der består af et certifikat med en offentlig nøgle og en privat nøgle. Certifikatet udstedes af et CA (en betroet tredjepart), og den private nøgle, der kan lagres på mange forskellige medier og måder, genereres og anvendes under brugerens kontrol, f.eks. ved afgivelse af en personlig adgangskode.

Det skriver de sku...Deres totale arrogance råber jo til himlen !!

Enten har en en privat nøgle eller ej.. og nej..den kan ikke lagres på mange forskelle måder af hvem som helst...kun en...ham som ejer den SLUT!

NEMID ER IKKE EN DIGITAL SIGNATUR

Den lever ikke op til it og telestyrelsen OCES-certifikatpolitikker!

Hvorfor skal vi finde os I at DANID har tørret hele Danmark, med en løsning skræddersyet til at malke os for gebyrer!!!

Hvorfor er der ingen journalister som tager dette op og kulegravet hel forløbet. Det er da for længst på tide at der bliver skrået ind til benet, så vi kan få tæmmet det bæst til DANID, inden vi vikler os ind en National digital katastrofe!

En alternativ beskrivelse af NEMID kunne være:

NEMID - WARNING THERE BE DRAGONS INSIDE!

  • 6
  • 1
tue kyndal

It og telestyrelsen offentliggør på:

https://www.signatursekretariatet.dk/certifikatpolitikker.html

deres OCES-personcertifikatpolitik version 4.0

Her skrives følgende om Privat den nøgle:

Privat nøgle (”Private key”): Certifikatindehavers nøgle til brug for afgivelse af en digital signatur eller til dekryptering. Den private nøgle er personlig og holdes hemmelig af certifikatindehaver.

Hvordan kan DANID's NEMID leve op til dette krav i dens nuværende form?

Lever DANID's overhovedet op til de kravende stillet af it og telestyrelsen for en digital signatur?

Jeg fatter simpelthen ikke hvordan det er kommet så vidt med NEMID's ufuldstændige sikkerhed.

Jeg har naturligvis ikke accepteret at anvende NEMID til offentlig login. Hvad bankerne tvinger mig til er en ting de selv må rode med (og tydeligt vist betale for), men de skal holde sig fra at nedgradere min private sikkerhed med hensyn til min digitale signatur.

Lever DANID op til de krav som blev stillet af it og telestyrelsen til en fælles ny digital signatur til det offentlige i det oprindelig udbud? Hvis ikke SKAL DE STILLES TIL REGNSKAB!

Jeg mener det ikke, og jeg vil meget gerne have det undersøgt.

Gerne af kompetente Journalister, Advokater, Specialister og Domsmænd.

Hvem er klar til at kaste "bogen" efter DANID...og få dette afgjort en gang for alle, så Danmark kan komme videre.....Fru. Helle Thorning Smith?

Tue

  • 5
  • 0
Joseph Kiniry

To the reader and, in particular, @tue kyndal and @Niels Didriksen, I made several of these points when being interviewed for this article. I completely agree that the security architecture, industrial apparatus, and nationwide deployment of NemID must be critically analyzed by competent, independent, third parties with no vested interest in the system.

Unfortunately, it looks like this has not happened, and probably will not happen, until either a white hat hacker group or my team here at ITU focuses on the system for the public good.

Given my initial analysis of NemID in the months after I arrived in Denmark last year, I see enough that makes my mouth water, so I plan on making some time in 2012 for exactly this operation. Anyone with the appropriate skills who wishes to help out is welcome to contact me.

Joe Kiniry

  • 3
  • 0
Rene Lauridsen

jeg overvejede et system fra giritech for et par år siden (som viste sig lige dyrt nok for mig) det går i alt sin enkelthed ud på man har en usb dongle der allerede er verificeret hos modtageren. når man så sætter donglen i pc'en så popper der et login vindue op hvor man kan indtaste username + password og tilgå en forud programmeret destination. i mit tilfælde var det en terminal server, men det kunne lige så godt have været en bank. når man er færdig er der ingen spor på pc'en efter endt dongle brug, så man kan i teorien lave sine bank transaktioner hos faster rosa's 60 års fødselsdag og selvom hun skulle have en keylogger installeret ville hun ikke kunne bruge username + password til noget uden hardwaredelen (usb donglen.

jeg vil gerne høre om nogen ser nogen svagheder ved den ide ?

  • 0
  • 0
Niels Dybdahl

jeg overvejede et system fra giritech for et par år siden ... så popper der et login vindue op hvor man kan indtaste username + password ... jeg vil gerne høre om nogen ser nogen svagheder ved den ide ?

Hvis login vinduet popper op på PCens skærm, så er det muligt for malware at lave sit eget login vindue, så man tror at man godkender et andet login eller transaktion end det som man faktisk godkender. Det er igen en variation over "Man in the middle". Login vinduet og godkendelsesknappen skal befinde sig på en dims, hvor der ikke kan kommme malware ind på, for at systemet er sikkert, så hvis det befinder sig på USB-donglen, så tror jeg at systemet er ok.

  • 0
  • 0
Jens Larsen

"chipTAN løsningen er meget sikker mod MITM"

Nogen der kan uddype dette? Kræver det ikke bare at eventuelle gerningsmænd sender de blinkende firkanter som de modtager over til brugeren?

Eneste måde jeg kan se det er mere sikkert på, er at det kan drille med at lave en implementering der kan læse firkanterne, og sende præcis det samme over til offeret.

Ellers kan jeg ikke se det som mere sikkert.

  • 0
  • 0
Niels Dybdahl

Nogen der kan uddype dette? Kræver det ikke bare at eventuelle gerningsmænd sender de blinkende firkanter som de modtager over til brugeren?

De blinkende firkanter indeholder krypteret information om hvad man godkender og denne information bliver vist på skærmen på platikdimsen. Så en MitM kan selvfølgelig sende informationen videre om at han er ved at sende ens formue til Bermuda, men så står det altså også i klartekst på skærmen når man godkender uanset om man tror at man er ved at logge ind i golfklubbens hjemmeside.

  • 0
  • 0
Henrik Madsen

Det er givet at ChipTAN løsningen er mere bøvlet end papkortet.

Jeg siger ikke engang at alle skal tvinges til at benytte ChipTAN løsningen men DanID burde da som et minimum tilbyde deres kunder sådan en alternativ løsning hvor sikkerheden er iorden.

Jeg mener bestemt at have læst at DanID netop lovede en løsning mod betaling hvor kunden fik en dongle eller lign. hvor en del af ens nøgle var genereret af kunden og lå på denne dongle.

På den måde ville man være sikker på at DanID ikke kunne tilgå ens informationer.

Har så skrevet til DanID for at spørge efter denne løsning men fik det svar at ingen hos supporten anede hvad jeg talte om.

  • 0
  • 0
Niels Dybdahl

Der har før været nævnt at banker kunne udsende en email inden selve pengeoverførslen udføres, så man har tid til at opdage hvis man har været udsat for et MitM angreb. Jeg spurgte min bank (Finansbanken) om de havde sådan en mulighed og det har de faktisk. Desværre kan man slå emailudsendelsen fra uden at man får emailbesked om det, hvilket gør det ret ubrugeligt i praksis. Jeg er også spændt på om de virkelig sender emailen så snart der bliver bedt om en transaktion eller først når transaktionen gennemføres. Men de skal ikke lave meget om før de har noget der virker.

  • 1
  • 0
Henrik Madsen

Angående email transaktion..

Jeg har Nordea og før de fik SlemID havde jeg selvfølgelig netbank adgang.

Da jeg flyttede til banken lavede de et lån til at betale lånet i min gamle bank og da jeg så skulle flytte de ~300.000 som en overførsel fra nordea til den gamle bank for at betale lånet hos dem ud så fik jeg en SMS hvor der stod at jeg var ved at overføre et stort beløb og hvis jeg var enig i det så skulle jeg besvare SMS'en med JA så vidt jeg husker.

De kunne vel ret beset bare sætte den grænse ned til 500 Kr. Jeg ville ihvertfald ikke have noget imod at skulle svare på en SMS for at flytte penge som alternativ til dette møj SlemID.

  • 2
  • 0
Michael Nielsen

@Niels, Hvis jeg ville hacke dig, kan jeg sandysnligvis også interagere med din email - den er langt mindre sikker end NemID er, så du vinder meget minimalt ved at tilføje en SMS eller en Email som bekræftigelse, desuden gøre du processen langt mere besværlig end nødvendigt er.

Med en hardware terminal er det nærmest latterligt nemt at lave bank transaktioner på en sikker måde..

@Joseph Kiniry re: On a critical analysis of NemID

I have already run a presentation (for www.klid.dk) of a critical analysis of NemID's defenses against standard attack patterns, and the results are really scary.

How do I contact you, as you are most welcome to my notes, input, and even debate if you wish :-).

  • 0
  • 0
Klaus Slott

@ Henrik

På den måde ville man være sikker på at DanID ikke kunne tilgå ens informationer.

Hvordan vil du kunne være sikker på det? Så længe du kun kan købe dimsen af NemID og at alle transaktioner skal via NemID server, så kan du ikke være sikker på andet end; - at NemID tjener penge på hver eneste transaktion, - at vi har bygget hele DK's infrastruktur med Single point of faliure, osv. osv. Igen, læs Niels første indlæg herover eller alle de andre beskrivelser af NemID indbyggede svagheder og monopolisering her på Version2.

Jeg medgiver at den viste tyske chipTAN ikke er praktisk at have i tegnebogen, men det er da den eneste ulempe.

Hvis en dims i den stil bliver standard (måske endda fælleseuropæisk standard), kombineret med at hardwaredesignet må kopieres licensfrit, så går der næppe længe inden nogen har markedsført superlille smart dims i kreditkort størrelse. Andre måske en stor læsevenlig model til ældre. En tredie en med blindedisplay .. Husk at hardcore dekrypteringen ligger i chipkortet du sætter på.

Fordelen er at flere forskellige kan producere den, at den kan bruges med forskellige uafhængige chipkort, at koden brændt ind i maven på den så den er næsten hackersikker, at transaktionen foregår mellem 2 parter - uden NemID er indblandet.

Jeg er sikker på at betjeningen med lidt modning af produktet kan gøre acceptabel. En dims i kreditkort størrelse, med display og én knap:

  • svag sikkerhed (login i golfklubben): tryk en gang på knappen og hold dimsen mod skærmen og tast de 4 cifre ind for login.

  • lidt større sikkerhed (læse din sundhedsjournal): klik sygesikringskortet på bagsiden og derefter som ovenfor.

  • større sikkerhed (bank): klik din bankkort på, indlæs transaktionen fra skærmen, verificer ved at bladre ordren igennem på dimsens display. Indtast derefter koden fra dims for at sætte i gang.

Kun fantasien sætter grænser, god weekend.

PS: Hvordan kan det være at de Danske banker reelt kan holde andre europæiske banker ude ved disse systemer, uden at blive dømt af EU for konkurrenceforvridende aftaler.

  • 2
  • 0
Niels Dybdahl

Hvis jeg ville hacke dig, kan jeg sandysnligvis også interagere med din email

Et rent MitM angreb giver dig ikke adgang til min email. Hvis du inficerer min PC, så kan du godt få adgang til min privatemail, men hvis jeg får banken til at sende bekræftelsen til min arbejdsemail, som jeg modtager på min mobil, så har du ikke en chance.

du vinder meget minimalt ved at tilføje en SMS eller en Email som bekræftigelse, desuden gøre du processen langt mere besværlig end nødvendigt er.

For mig bliver det ikke mere besværligt. Jeg vil jo ikke indtaste koder fra emailen, jeg vil bare have at vide hvad der er blevet bedt om at bliver overført. Hvis jeg bliver phishet kl 18 og så får en email om at min konto er ved at blive tømt, så har jeg stadig nogle timer til at alarmere banken inden de rent faktisk foretager transaktionen.

  • 1
  • 0
Niels Dybdahl

PS: Hvordan kan det være at de Danske banker reelt kan holde andre europæiske banker ude ved disse systemer, uden at blive dømt af EU for konkurrenceforvridende aftaler.

De bruger nok samme system som de bruger til at forhindre danskere i at få EC-kort. EC-kortet svarer i Tyskland næsten til Dankortet i Danmark. Der er rigtig mange steder i Tyskland hvor man kun kan betale med EC-kort og ikke med andre betalingskort. Men det kort må vi danskere ikke få, selvom det kunne være meget praktisk ved rejser i Tyskland.

  • 0
  • 0
Michael Nielsen

Hvis man gjorde det rigtig, med en skærm og en knap, er der ingen grund til at man skal taste noget, eller processen skal være kompliceret.

Man kontakte feks golfklubben, golfklubben sender dig en krypteret besked - underskrevet af golfklubbens' privat nøgle som indeholder beskeden "log in til golf klubben + noget internt data, feks medlems nummer", du læser beskeden, og trykker på sign, hvor ved din hardware dims underskriver transaktionen, og du sender den til golf klubben, nu ved klubben at kun du har hardware dimsen, og du sidder ved computeren.

Der efter kan klubben vælge at bede dig om en access kode, hvis man vil være sikker på du også er den person som er medlem.. (Det kunne også ordnes ved en pinkode på hardware dimsen).

Med andre ord login er 100% automatisk, du skal bare læse beskeden som din hardware dims viser, og trykke godkend eller afvis..

Fordi hardware dimsen modtager forspørgselen krypteret (med en nøgle der kan valideres - der er nogle teknikker der skal overholdes, men dette er princippet), så ved dimsen hvor beskeden er kommet fra. Den kan endda bede om at få en validering på forspørgseln ved at bede en 3. part (aka CA) validere at det er underskrevet af en valid bruger... Derefter underskriver din hardware dims forspørgslen og sender den tilbage... (modparten gør nu det samme for at validere dig).

Kommunikationen mellem banken og din hardware dims er "tamper proof", dvs man-in-the-middle kan ikke indjecte noget, uden du er bevist om det er gjordt..

Tager vi denne phising episode, ville de følgende ske..

Du sender en forspørgsel til banken, hackeren laver den om, og får et certifikat fra banken der siger "overfør 10 000 til en bank i monarko"..

Din hardware dims beeper, og der står en besked "over før 10 000 dkk til konto bla. bla. monarko.." - "underskrive j/n"..

Du læser beskeden, og siger nej...

hackeren har fået 0dkk ud af det..

er du så dum du ikke læser beskeden, så fortjener du at tabe pengene, fordi du har haft ALLE muligheder for at afvise transaktionen før den blev fuldført.

Ved NemID sker transaktionen mellem banken og hackeren, og du får kun at se hvad hackeren vil havde du ser, og du kan ikke forsvare dig.

Dette er forskellen mellem ægte sikkerhed, og pseudo sikkerhed.. ægte sikkerhed giver dig kontrollen, og viden om hvem du snakker med..

Pseudo sikkerhed er at der er nogen der siger du snakker med nogen, som er den du mener du snakker med.... Spørgsmålet er om den nogen er den som du tror du stoler på eller er det en anden..

Hvis du ikke kan svare u-afviseligt på hvem alle parterne er i en transaktion du er i, så er der ingen sikkerhed.

Så Brugsscenariet med en hardware terminal, og ordenligt designet system, er.

  1. Tilslut terminalen til computeren/smartphone (evt biometrisk login/pin kode på dimsen)..
  2. Gå til banken via en webbrowser/applet.
  3. Tryk på login på websiden.
  4. Din dims beeper og viser teksten "login til bank - afsender valideret j/n"
  5. Du trykker på ja (eller nej hvis du vil afvise).
  6. Du sætter op din overførsel som du er vant til - girokort, m.v.
  7. trykker send.
  8. Din dims beeper og viser en tekst "Transaktion betaling af giro kort xxxxx med xx.xxxdkk - afsender valideret - sign j/n"
  9. Du trykker Ja for at udføre, eller nej for at afbryde.

Ikke noget med at lede efter koder... Svagt seende får en der læser teksten højt for dem, eller kan få en med braielle.

Hvis der var en hacker på banden ville, 4 og 8 være

transaktion afvist, afsender ikke valideret...

Du kan ingen gang prøve på at gennemfører - systemet beskytter DIG.

  • 0
  • 0
Niels Dybdahl

  1. Tilslut terminalen til computeren/smartphone (evt biometrisk login/pin kode på dimsen)..

Normalt kan en almindelig webside ikke tilgå hardware. En signeret Java-applet kan dog godt, så med Java kan det nok godt lade sig gøre. Dog er det ikke alle platforme som understøtter Java-appletter, så på nogle platforme vil man løbe ind i problemer. Hvis man låner en PC i et hotel er det heller ikke altid at USB-porten er tilgængelig. Nogle systemer (mobiltelefoner) kan heller ikke køre USB som host.

Med chipTAN har de valgt at bruge en optisk forbindelse fra skærmen til chipTAN og en manuel forbindelse (indtastning af talkode) til forbindelsen den anden vej hvilket er noget mere bøvlet end den skitserede løsning, men til gengæld virker den overalt.

Men man kunne vel forestille sig en dims som både har USB og optisk forbindelse.

  • 0
  • 0
Michael Nielsen

Et rent MitM angreb giver dig ikke adgang til min email. Hvis du inficerer min PC, så kan du godt få adgang til min privatemail, men hvis jeg får banken til at sende bekræftelsen til min arbejdsemail, som jeg modtager på min mobil, så har du ikke en chance.

Ok så du har beskyttet dig selv, men hvad med dem der kun har en email addresse.

Ikke er særlige kompetente på nettet.

M.v.

Man kan lave mange tænkte løsninger, som løser problemet i EN specifik situation..

Men det efterlader en stor mængde af folk uden beskyttelse, som ikke har den nødvendige viden.

  • 0
  • 0
Niels Dybdahl

Ok så du har beskyttet dig selv, men hvad med dem der kun har en email addresse. Ikke er særlige kompetente på nettet.

Phishere som kun anvender phishing via email vil normalt prøve at angribe et stort antal personer samtidigt. Chancen for at en af dem ville opdage det ville være ret stor og banken ville hurtigt kunne spærre samtlige lignende transaktioner. Så systemet ville også kunne hjælpe mindre kyndige. Så det ville reducere problemet til folk som anvender inficerede PCere, hvor phisherne kan angribe få personer af gangen.

  • 1
  • 0
Michael Nielsen

Rigtigt, men det kræver at du er på en maskine hvor du kan få hardware kontakt med verifikations enheden. Der skal findes drivere til enhver platform osv.

Den har jeg også tænkt over.

Man kan undgå drivere, ved simplehen lave det som en USB flash-disk, hvor du skriver til nogle filer (unix approachen), når du skriver til disse filer, fanger enheden at du ønsker at fortaget dig noget kryptografisk, og læser ind instruktionerne..

Derved har du ikke problemer med drivere, men du skal bare kunne skrive til enheden,, Derved en javaapplet (som desværre skal være signet), kan du styre enheden. Driveren du skal bruge, kan nu leve direkte i java appletten, og kræver kun at den få stien til hardwaren udleveret.

Derved er du operativsystem uafhængig, uden at skulle udvikle drivere til alle platforme, så længe du kan koble enheden ind som en shared disk. Mobil telefoner er lidt mere vansklige, men kunne løses ved at lave en bluetooth share hvor igen du bare skriver til en fil.

Det kan gøres meget nemt, og portablet, hvis man ønsker det.. Men desværre har alle indtil videre gået device driver vejen, hvor de kun kan bruges med de få systemer hvor producenten har skrevet drivere til.. Men det kan gøres helt uden.

  • 0
  • 0
Michael Nielsen
  • 0
  • 0
Klaus Slott

Den har jeg også tænkt over.

:-) OK, jeg er så ikke begejstret for at java skal være nødvendigt.

Men uanset hvordan data kommer over i dimsen, så er vi enige om at det vigtige er at det væsentlige i transaktionen præsenteres på et display udenfor PC'en. Og at godkendelseskoden også udstedes ved at trykke/fingerscanne/whatever på en dims udenfor PC'en.

Og der har NemID kun interesse for at nå hen, hvis de får monopol på både at sælge dimsen og bagefter være dem der verificerer dimsens svar.

Det er det virkelige problem.

  • 0
  • 0
Michael Nielsen

Tja, Java plugins har problemer med deres sandbox design. Man kan forbedre det ved at skrive en java applikation, men misbrugscenarier er de samme - man kan dog gøre java helt 100% sikker ved at placere dem i en virtualiseret box.

Men Java er det eneste system som virkeligt er cross-platform... Silverlight er begrænset crossplatform. ActiveX er det overhovedet ikke. C/C++ er også bundet til platformen.

Så hvis vi vil bruge fleksibilitet, hvor vi kan bruge det på android,linux, mac, windows, sun-solaris, m.v. Så er java den eneste reelle økonomiske løsning.

Skal vi udvilke specifikke applikationer for hver platform, så ved vi godt det bliver windows only. Og support på smartphones m.v. kommer en gang i det 2100 århundrede..

  • 0
  • 0
Michael Nielsen

Jeg er meget uenig og synes det er en langt værre løsning end en chipTAN lignende løsning. Men lad os ikke diskutere det her, for det bringer fokus væk fra problemerne med NemID.

ChipTan løser ikke problemer for ordblinde/talblinde folk, fordi man skal overføre nummere... Deres grundtanke er dog ikke helt forkert, men jeg syntes det er gjordt langt mere klodset end nødvendigt. Der udover er der spørgsmålet om skærmopløsning har en effekt på overførselen, m.v.

Jeg er heller ikke glad ved java, men det giver nogle muligheder for at hjælpe folk med divs. handicap..

Men med det sagt så er den ca 2-3 orders of magnitude (eller 100-1000 gange for ikke matematikere) mere sikker end NemID løsningen!

Så meget for Danmark at være forgangsland lol.

  • 0
  • 0
kim Pedersen

Som jeg ser det er det bare at have 2 tråde at kommunikere ud på .

Hvorfor alverden ikke bare godkende via en sms kode , hvori der står hvad man er ved at fortage sig . ligesom Henrik Madsen nævner . Dermed har man splittet kommunikationen til 2 veje.

Ja, jeg er klar over hvis ens tlf er hacket og den er den primære tråd hvor man laver din bankordre , så har man ikke 2 tråde . men det er klart at hvis man når et niveau hvor det får så meget kontrol over den device du bruger til at kommunikere med banken og du kun har et device , så er du på spanden.

  • 1
  • 0
Michael Nielsen

Ja det kan godt være du ikke "Gider" en modul til din computer eller lign - men din model hedder den bare mobil telefon.

Det er ikke sikkerhed det du forslår - den model du snakker om er "security by obscurity" altså så længe folk ikke har fundet fidusen, så virker det. Men der er ingen reel sikkerhed i at sende en SMS, email, eller lign.

Men bemærk hvis man standardiserede på en løsning med cryto tokens, kunne man uden videre bygge sådan et modul in i mobil telefoner, således du kunne bruge dem som fens chipTan - da kameraet på telefonen kunne bruges til at aflæse kommunikationen. Samt man kan koble en telefon til en computer.

Så en mobil telefon kan fungere som et crypto token, men det kræver de skal laves lidt om. Da du ikke har noget i mod at bruge en mobil telefon, må det være optimalt for dig.

Men SMS løsningen vil ikke være sikker.

  • 1
  • 1
kim Pedersen

hej Michael , lidt nysgerrig , hvordan vil du få knække systemet , hvor jeg bruger pc'en til at kommunikere med og Mobil til at godkende.

du kan ikke se nummeret i din bank , så din mulige middleman kan ikke finde dit nummer uden at slå dig op , han kan ikke ændre dit mobil setup i banken uden du får en besked på gammel nummer og skal godkende den vej.

Når banken sms med dig via mobil , bruger de en phrase som kun du kender , så selvom de gætter dit mobilnummer, kan du se om sms kommer fra bank eller ikke. Det giver dig stadig frihed uden at skulle stikke tingester i din pc , som du naturligvis ikke har på dig , når du lige fra arbejde skal på banken eller fra Ipad'en etc.

  • 1
  • 1
Maxx Frøstrup

Han venter med at gennemføre transaktionen til han har slået dig op. Leveringstiden på SMS'er er ikke altid under 30 sekunder, og der findes stadig steder i landet hvor mobil telefoni simpelthen ikke virker.

Og med tid nok, fingrene i din netbank (med navn, adresse, CPR-nummer, ect ect.) og dine credientials tager det ikke mange sekunder at lave nogle telefon nummer opslag på dig så du kan findes i GSMnetværket. Når du så er fundet, gennemføres transaktionen, SMS'en opfanges og en modificeret udgave videresendes til dig for verification.

Sikker SMS findes ikke.

Personligt er jeg også lidt spændt på hvornår jeg ikke kan tilgå min skattemappe, og hvornår jeg får adgang igen. For jeg aflevere IKKE min private OCES nøgle til DanID, så hellere undvære.

Jeg gad dog godt høre lidt mere om hvordan med driverløs USB kommunikation, da jeg selv helst vil have en USB enhed. Specielt da jeg ikke mener man bør bruge en device som ikke som minimum har plads til et USB interface som fortrolig dokument behandler. Det kunne sikkert også lade sig gøre med trådløs kommunikation, men jeg er en simpel mand, jeg kan godt lide at have tingene i hånden...

  • 1
  • 0
Henrik Madsen

Det var også præcist min tanke.

Så længe man ikke kan lave en permanent afmelding af OCES delen så kan alle og enhver hacker jo vælge at aktivere det ..

Var der derimod en mulighed for en gang for alle at nuke sin OCES del så ville vi være tilbage ved at NemID blot var en ny netbank adgang men så længe man ikke kan beskytte sig mod at en tyveknægt stjæler ens nøglekort og bruger det til at aktivere OCES delen så er det værdiløst for mig.

Henrik Madsen

  • 0
  • 0
Kenn Nielsen

Når nu en MTM fyr har opsnappet dit nummer og brugt dette til at aktivere din OCES. Hvordan vil du så senere bevise at det ikke var dig selv, der aktiverede din OCES til at godkende overdragelen af dit hus til den pæne mand fra Letland...

Præcis !

Og du skal kun vente at nets modarbejder dine bestræbelser på at bevise det ikke var dig.

-For ellers skulle de jo indrømme at det ikke er sikkert, og kejseren står nøgen.

K

  • 1
  • 1
Maxx Frøstrup

Ja, jeg ved godt jeg ikke er helt sikker. Jeg KAN dog ikke undvære min netbank, har prøvet, men jeg har simpelthen ikke råd. Hvilket leder mig til min beskyttelse mod MTM tossen fra Letland. Eftersom jeg ikke ejer et hus, kan han ikke overdrage noget skøde. Hvis han så gerne vil overtage noget, har jeg nogle lån jeg kunne undvære...

Oveni hatten har jeg lagt mærke til jeg stadig får besked når noget bliver tinglyst, og det kan jeg stadig se med mit private OCES certificat. Men ja det udløber snart. Mener det hed Maj 2012.

Nu har vi fået ny regering, bliver spændende at se hvad de finder ud af, kontrakten skulle vist snart genforhandles.

Vi får se.

  • 0
  • 0
Michael Nielsen

Havde man gjordt det rigtig fra starten, ville alle de nedbrud vi har oplevet ikke været sket, fordi et er et offline system.

Man kunne ikke phishe systemet.

Om det er ChipTan (des mere jeg har læst om det, des mere kan jeg lide løsningen, dog med den mende den ikke er handicap venlig), eller en krypto terminal, så ville vi havde haft en rigtig løsning, og vi ville være forgangsland.

Nu er vi bare endnu en efternøler, overhalet af Tyskland - igen igen.

  • 0
  • 0
Log ind eller Opret konto for at kommentere