SSL beveiligingsfoutmelding bij Mastercard SecureCode

[Opperpanter2]

Beste users,

Tijdens het doen van een creditcard transactie met mijn mastercard creditcard kwam ik langs het SecureCode verhaal. HEt SecureCode verhaal houdt in dat je een wachtwoord/pincode hebt voor online transacties. Dit maakt je kaart veiliger omdat er bij diefstal niet klakkeloos op internet mee kan worden geshopped.

Ik kreeg echter bijgaande 'fout'-melding van mijn browser:



Hoe zou ABN Amro moeten reageren volgens jullie? Ik vertel later hoe ze werkelijk hebben gereageerd.

Groet,

[temp00]

Ik begrijp jouw vraag/topic geloof ik niet helemaal.

De browser kan dus (tijdelijk) niet controleren of het certificaat nog geldig is. Misschien ligt het/de probleem/schuld niet direct bij ABN. Is het geen probleem van Chrome? Is het geen probleem van de certificaat-serviceprovider? Enz.

Misschien kan je iets duidelijker zijn wat je nu met dit topic wilt.

[CyBeR]

Die melding geeft aan dat je browser niet online kon controleren of het certificaat dat de server je stuurde niet toevallig ingetrokken was. Hij is dus in principe gewoon geldig.

Hoe ABN reageert is afhankelijk van of je een telefoonmiep aan de lijn had of een echte beveiligingsexpert.

[Alex)]

Enigszins offtopic, maar goed dat je zo alert bent op dit soort dingen. Nu is deze melding nog enigszins onschuldig, want het certificaat is in principe gewoon geldig, en de hostname klopt ook.

[Opperpanter2]

De vraag komt voort uit het feit dat ABN Amro heel laatdunkend reageerde op deze melding. Eerst begonnen ze uit te leggen wat de mastercard securecode was en waarom ik die in beeld kreeg. Daaruit bleek al dat ze het probleem niet begrepen en de SSL melding niet eens hadden opgemerkt.

Vervolgens kwamen ze niet verder dan "We weten zeker dat de securecode site veilig is, want die is ontwikkeld in samenwerking met ABN Amro". Wat natuurlijk een loze kreet is. Vooral als de browser aangeeft dat het certificaat niet kan worden gecontroleerd, en je dus niet weet of je wel op de echte securecode site zit.

Bij het indienen van dit 'probleem' gaf ik al aan dat het probleem waarschijnlijk niet bij ABN Amro zou liggen, maar eerder bij de securecode applicatie of misschien wel gewoon bij mijn browser. Toch leek het mij een interessant experiment om eens te kijken hoe er op gereageerd werd.

Na de loze melding van hierboven, uitgelegd wat de melding betekent en aangedrongen op een beter antwoord. De dame ging in conclaaf met de fraude afdeling en kwam een aantal minuten later erop terug met de volgende melding: "Zolang er een slotje in beeld staat is het veilig."

Zoals de meeste mensen zullen begrijpen is dit wederom een loze kreet. Een slotje zegt weinig over de authenticiteit van de bezochte site.

Op dit moment had ik er eigenlijk wel genoeg van, maar was wel een stuk wijzer over hoe de ABN Amro omgaat met veiligheid gerelateerde meldingen van klanten.

[Nvidiot]

Dat secure-code gedoe is uitermate vervelend, omdat het nogal makkelijk schijnt te zijn om de code te laten resetten EN je zelf aansprakelijk bent voor misbruik van de kaart indien de code gebruikt is... Ik heb juist een creditcard zodat ik eenvoudig foute betalingen kan terugboeken en het risico daarvan bij de bank ligt en niet bij mij!

Een paper over hoe brak dit systeem inelkaar zit: http://www.cl.cam.ac.uk/~rja14/Papers/fc10vbvsecurecode.pdf

[ Voor 14% gewijzigd door Nvidiot op 13-03-2010 22:35 ]

[Fietsbel]

ABN Amro en goede creditcard service bestaat niet helemaal, alle 4 de kaarten van het bedrijf waar ik werk hebben met regelmaat (random) problemen dat wij niet kunnen betalen. Neem je contact op met de helpdesk zeggen zij dat ze niks kunnen doen. Hebben met regelmaat nieuwe kaarten gehad en het probleem blijft. Echt een bank waar je niks aan hebt.

[Fairy]

Kijk ook even of de klok en datum van je pc precies goed staan. Ik heb hier ook een keer ellende mee gehad na een bios reset. Bleek de klok 10 jaar achter te lopen, en dan zijn de certificaten ineens in de 'toekomst'.

[Opperpanter2]

Nvidiot schreef op zaterdag 13 maart 2010 @ 22:34:
Dat secure-code gedoe is uitermate vervelend, omdat het nogal makkelijk schijnt te zijn om de code te laten resetten EN je zelf aansprakelijk bent voor misbruik van de kaart indien de code gebruikt is... Ik heb juist een creditcard zodat ik eenvoudig foute betalingen kan terugboeken en het risico daarvan bij de bank ligt en niet bij mij!

Een paper over hoe brak dit systeem inelkaar zit: http://www.cl.cam.ac.uk/~rja14/Papers/fc10vbvsecurecode.pdf

Interessant artikel. Jammer dat de regelgevers de techniek niet snappen en dit dus zomaar kan.

[CmdrKeen]

Ik heb dit probleem regelmatig met Chrome (dat hij niet kan checken of een certificaat is ingetrokken). Ga je kijken met andere browsers dan is het ineens wel goed. Ik denk dat het een probleem met Chrome is - ik krijg deze melding zelfs op Googles eigen sites. De info in de certificaten klopt dan wel maar hij kan niet controleren of het is ingetrokken...

[Anoniem: 289377]

Vorkbaard schreef op dinsdag 16 maart 2010 @ 11:44:
Ik heb dit probleem regelmatig met Chrome (dat hij niet kan checken of een certificaat is ingetrokken). Ga je kijken met andere browsers dan is het ineens wel goed. Ik denk dat het een probleem met Chrome is - ik krijg deze melding zelfs op Googles eigen sites. De info in de certificaten klopt dan wel maar hij kan niet controleren of het is ingetrokken...

Volgens mij is het niet het probleem van Chrome, maar is Chrome de enige browser die checkt of een certificaat is ingetrokken. Firefox/IE e.d. doen dit in zijn geheel niet nl.

[Alex)]

Internet Explorer doet dit ook... ik heb ook van IE die meldingen voorbij zien komen.

[alt-92]

Anoniem: 289377 schreef op dinsdag 16 maart 2010 @ 11:54:
[...]

Volgens mij is het niet het probleem van Chrome, maar is Chrome de enige browser die checkt of een certificaat is ingetrokken. Firefox/IE e.d. doen dit in zijn geheel niet nl.

Een CRL check (Certificate Revokation List) staat standaard AAN in IE8 hoor.



Ook FireFox doet aan CRL checks, maar gebruik daar default 'userfriendly' instellingen voor:


Via Validate krijg je dan deze:

[ Voor 24% gewijzigd door alt-92 op 17-03-2010 20:33 ]