De perfecte webbanking oplossing?

[Parasietje]

Naar aanleiding van nieuws: Virus ontfutselt geld van klanten ABN Amro - update, start ik hier een discussie. Het doel is om een perfecte webbanking-applicatie te ontwikkelen, die theoretisch (onder bepaalde voorwaarden) onkraakbaar is.

Mijn eerste voorstel is voor een stukje gebaseerd op Kerberos. Lees en huiver

• Iedere klant krijgt een USB-key en een stuk software om deze USB-key aan te spreken. In deze USB-key zit een RSA encoder, waar de private key 1 van de bank in is gestoken. Deze is voor elke klant anders.
• Op de USB-key zit ook een RSA decoder, waar de public key 2 van de bank in is gestoken.
• De USB-key bevat verder een display en een knopje 'Bevestigen'.
• Een transactie wordt als volgt gemaakt:
  • Bank stuurt de volledige transactie gecodeerd (key2) naar de client, samen met een willekeurige string.
  • De usb-key decodeert de transactie en toont deze op zijn display.
  • Indien de gebruiker de transactie aanvaardt (ie: drukt op 'Bevestigen'-knop) wordt de transactie + willekeurige string versleuteld mbv key1.
  • De bank decodeert de ontvangen boodschap en kijkt of deze hetzelfde is als de verstuurde boodschap.
  • Een man in the middle attack is onmogelijk. De verstuurde transactie van de bank kan niet gefaked worden. Het antwoord van de usb-key kan niet gefaked worden. Een replay attack is ook niet mogelijk.

De enige zwakheden in dit systeem zijn, voor zover ik kan zien

1. Portable drivers noodzakelijk
2. De 'Bevestigen'-knop kan hardwired worden. Dat wil ik echter een trojan nog wel eens zien doen ;-)
3. Er kan een man-in-the-middle attack gebeuren tussen de encoder-chip en de display. Dat is echter OOK onmogelijk voor trojans.
4. Dure USB-key

Het systeem is onkraakbaar onder volgende voorwaarden:

• De usb-key is zo ontworpen dat de keys softwarematig onmogelijk te ontfutselen zijn. (timing attack bijvoorbeeld)
• De gebruiker leest de transactie na voor hij/zij op 'bevestigen' drukt
• Black hats hebben geen fysieke toegang tot de usb-key, noch kunnen ze hem softwarematig herprogrammeren

Er zullen vast wel fouten in mijn redenering zitten, commentaar dus graag!

[Comgenie]

Ik dacht zelf meer aan een simpellere oplossing. Mensen gebruiken internet bankieren omdat het eenvoudig is. Niet omdat je er een compleet security system voor moet hebben.

Postbank is opzich qua inloggen enzo zeer eenvoudig. Dat is wel een slecht punt, maar qua transacties is het juist geweldig. Pincode uit je sms moeten halen, waarin precies staat hoeveel het 'totaalbedrag' is enzo. Zodat je het zelf kan controleren, en het gevoel hebt van: ok, het is goed. Het best zou zijn als je in postbank een lijstje meteen ziet met laatste zoveel logins. Zie je iets 'anders'. Verander meteen je wachtwoord.

[sanzut]

Comgenie schreef op dinsdag 14 augustus 2007 @ 19:15:
Verander meteen je wachtwoord.

TAN Codes is idd goed principe, maar ik vind een wachtwoord voor een online banking app toch beetje risico vol.

[hessel]

Niet alles gelezen... Maar gaan we het wiel nu op nieuw uitvinden. er zijn zat bestaande technieken die simpel in gebruik zijn. Men (klant) wil geen ingewikkelde dingen zo als een token/usb die je steeds moet mee slepen.

[Comgenie]

sanzut schreef op dinsdag 14 augustus 2007 @ 19:19:
[...]

TAN Codes is idd goed principe, maar ik vind een wachtwoord voor een online banking app toch beetje risico vol.

Doe een Tan code bij het inloggen erbij. Zet in sms'jes ook duidelijk neer waarvoor tancode was. om bijvoorbeeld in te loggen, of iets over te schrijven, wachtwoord veranderen, etc. Een wachtwoord is idd alleen een beetje risico.

Maar goed.. postbank , die moeten eerst de boel eens stabiel maken voordat ze ergens aan beginnen

[sanzut]

Comgenie schreef op dinsdag 14 augustus 2007 @ 19:25:
[...]
Maar goed.. postbank , die moeten eerst de boel eens stabiel maken voordat ze ergens aan beginnen

One thing at a time

[Boss]

Denk eraan dat de gekozen device ook als massa product gemaakt moet kunnen worden. Ik denk dat het geen optie is om per klant/gebruiker iets te moeten aanpassen aan het apparaat.

[dingstje]

Boss schreef op dinsdag 14 augustus 2007 @ 19:33:
Denk eraan dat de gekozen device ook als massa product gemaakt moet kunnen worden. Ik denk dat het geen optie is om per klant/gebruiker iets te moeten aanpassen aan het apparaat.

Serienummers worden gemakkelijk ingebakken... Je kan het ook omgekeerd doen: de gegevens van de klant aanpassen adhv wat staat op de pass die je de desbetreffende klant geeft.

Verder lijkt het mij een goed systeem. Beschermen voor blackhats is zelfs niet nodig, zolang de key softwarematig niet op te halen valt. Security by obscurity is broken by design.

[Noork]

Comgenie schreef op dinsdag 14 augustus 2007 @ 19:15:
Ik dacht zelf meer aan een simpellere oplossing. Mensen gebruiken internet bankieren omdat het eenvoudig is. Niet omdat je er een compleet security system voor moet hebben.

Idd gedoe met USB sticks wordt echt te gek. Dan gooi ik net zo lief een acceptgirootje bij de bank in de bus.

[downtime]

Parasietje schreef op dinsdag 14 augustus 2007 @ 19:08:
Naar aanleiding van nieuws: Virus ontfutselt geld van klanten ABN Amro - update, start ik hier een discussie. Het doel is om een perfecte webbanking-applicatie te ontwikkelen, die theoretisch (onder bepaalde voorwaarden) onkraakbaar is.

Je zoekt naar iets waar niemand in geinteresseerd zijn. Banken willen beveiliging die makkelijk is voor hun klanten en die niet teveel geld kost.
Het moet makkelijk zijn zodat klanten het ook echt gebruiken en niet voor elk wissewasje naar een bankkantoor lopen, want bankmedewerkers zijn duur. En de kosten van security mogen ook niet hoger zijn dan het bedrag wat ze anders door fraude zouden verliezen. Het gaat uiteindelijk om een kosten-baten analyse waarbij het vergoeden van fraude aan de slachtoffers vaak goedkoper uitpakt dan het voorkomen van fraude door waterdichte security.

[Glabbeek]

Een systeem met software op een USB stick lijkt mij niet de oplossing. Je beperkt je direct tot een x aantal operating systems, want er zijn er nogal wat in de markt. Ook al ondersteun je MS Windows, Linux en MAC-OS, altijd zullen er mensen zijn die andere systemen gebruiken.

Maar je zorgt nog voor een probleem. Het grote voordeel van Internet bankieren is dat het altijd en overal kan. Wanneer ik op vakantie ben kan ik in een Internetcafe zonder problemen bankieren. Wanneer daarvoor losse software nodig is, wordt dat al snel een ander verhaal: vaak zal de USB poort niet beschikbaar zijn of is het systeem dusdanig afgeschermd dat er geen applicaties gestart kunnen worden dan de applicaties die door de systeembeheerder toegankelijk zijn gemaakt.

[MisterBlue]

Zoals je in de vorige replies ziet, valt men niet zozeer over de veiligheid, maar over het gebruik ervan en andere zaken. Misschien handig om daarom eerst de randvoorwaarden (platform, gebruiksgemak, wel of geen software installeren, etc.) op een rijtje te zetten. Als we dat hebben kunnen we binnen deze voorwaarden de perfecte oplossing bedenken.

[Parasietje]

MisterBlue schreef op donderdag 16 augustus 2007 @ 16:49:
Zoals je in de vorige replies ziet, valt men niet zozeer over de veiligheid, maar over het gebruik ervan en andere zaken. Misschien handig om daarom eerst de randvoorwaarden (platform, gebruiksgemak, wel of geen software installeren, etc.) op een rijtje te zetten. Als we dat hebben kunnen we binnen deze voorwaarden de perfecte oplossing bedenken.

Heel erg constructief! Even samenvatten:

Ja, ik gebruik graag lijstjes

• De oplossing moet simpel zijn.
• De oplossing moet minder kosten dan het bedrag wat banken anders door fraude verliezen
• De oplossing moet op elke computer kunnen werken

Nu even reageren op iedereen in deze thread:

Ik dacht zelf meer aan een simpellere oplossing. Mensen gebruiken internet bankieren omdat het eenvoudig is. Niet omdat je er een compleet security system voor moet hebben.

Het is niet omdat de uitwerking ingewikkeld is, dat het voor de gebruiker ingewikkeld is. Het enige wat de gebruiker moet doen is een stukje software installeren, en af en toe op een 'OK' knopje drukken. Dat is stukken simpeler dan numerieke codes zitten overtikken.

Men (klant) wil geen ingewikkelde dingen zo als een token/usb die je steeds moet mee slepen.

De bestaande oplossingen moet je ook meeslepen. Die 'rekenmachine'-achtige dingen waar je een code moet ingeven die die dan versleutelt. Dat is bijna hetzelfde als dit, maar omslachtiger.

Ik denk dat het geen optie is om per klant/gebruiker iets te moeten aanpassen aan het apparaat.

Wat is een bankkaart dan? Dat is precies hetzelfde: een RSA encoder met een unieke key per klant.

Je zoekt naar iets waar niemand in geinteresseerd zijn. Banken willen beveiliging die makkelijk is voor hun klanten en die niet teveel geld kost.

Dit is natuurlijk een heel sterk punt. De ontwikkeling van bankkaarten heeft heel veel geld gekost. Hetzelfde geldt voor de elektronische identiteitskaarten die hier in Belgie zijn ingevoerd. Echter, een beetje elektrotechnisch ingenieur maakt dit in drie maand tijd. En je onderschat de positieve marketing van een bank die zegt: Ons systeem is theoretisch onkraakbaar!

Je beperkt je direct tot een x aantal operating systems, want er zijn er nogal wat in de markt.

Als straks de elektronische identiteitskaart ingevoerd wordt in online toepassingen, wordt het hetzelfde verhaaltje. Er zijn libraries voor windows, linux en MacOSX, maar daar houdt het op. Echter, de specificatie van de library kan makkelijk gepubliceerd worden zonder veiligheidsrisico. En dan zullen er drivers komen, kijk naar alle linux drivers!

Wanneer ik op vakantie ben kan ik in een Internetcafe zonder problemen bankieren.

Weet je wel hoe gevaarlijk dat is? Op vliegvelden zetten ze altijd in grote letters op publieke terminals: "HIER GEEN PERSOONLIJKE INFORMATIE BEWAREN!". Er moet maar 1 trojan op de internet-cafe-bakken ge-installeerd staan, en je bent gezien. Met deze oplossing zou je dit WEL kunnen doen zonder bang te hoeven zijn voor veiligheid. Als het tenminste gemeengoed wordt...

[gorgi_19]

Parasietje schreef op zaterdag 18 augustus 2007 @ 20:28:
Het is niet omdat de uitwerking ingewikkeld is, dat het voor de gebruiker ingewikkeld is. Het enige wat de gebruiker moet doen is een stukje software installeren, en af en toe op een 'OK' knopje drukken. Dat is stukken simpeler dan numerieke codes zitten overtikken.

Ik kan nu overal Internet Bankieren en heb geen speciale rechten nodig, maar ben alleen afhankelijk van een Internet verbinding. Ik kan zelfs met mijn mobieltje in principe internetten zonder installatie van software. Ook kan ik makkelijk, mocht ik ergens anders zijn en geld willen overmaken, dat doen zonder de software bij me te hebben.

De bestaande oplossingen moet je ook meeslepen. Die 'rekenmachine'-achtige dingen waar je een code moet ingeven die die dan versleutelt. Dat is bijna hetzelfde als dit, maar omslachtiger.

Leg eens uit? ABN Amro had eerst met HomeNet een apparaatje per gebruiker die uniek was, je kon niet een andere gebruiken als verificatie. Daar zijn ze vanaf gestapt; je hebt nu een apparaatje nodig die universeel bruikbaar is icm een pinpas. Een pinpas heb je altijd wel bij je, zo een apparaatje kan je ook lenen van vrienden, familie, collega's, etc. . Postbank werkt met een telefoon; deze heb je over het algemeen ook wel bij je tegenwoordig.

[maarud]

wat deze bank gebruikt is een java-app op hun site, als je wilt inloggen moet je op dit ding drukken, dan krijg je een code, die vul je in samen met je wachtwoord, en je bent binnen. Als je iets wilt betalen of overschrijven, moet je weer je wachtwoord invullen, voordat het daadwerkelijk gebeurt. Als je perongeluk op dat token-dingetje drukt, moet je bellen naar de bank aangezien het hele zootje dan niet meer klopt, of je schrijft snel de code op om hem later te gebruiken...

dit ding dus:

[Parasietje]

Wat een leuke vondst! Blijkbaar zijn er dus toch banken die in dezelfde richting hebben gedacht. Hier heb je wel nog steeds een man-in-the-middle attack, of een trojan op je computer die roet in het eten kan strooien.

Ik ga eens zoeken of het apparaatje niet via standaard USB-drivers icm java applets kan werken.