Bankieren met Win 7 ?

[metal650]

Hi iedereen,

Uit noodzaak draait mijn desktop nog op windows7 waar ik ook mijn internetbankieren mee doe.

Ik weet het, gevaarlijk, win7 wordt niet meer bijgewerkt.

AVG Internetsecurity en AVG Tuneup zijn wel geinstalleerd.

Ik heb nu ook een VPN .

Kan ik met die zaken nog een tijdje verder of is dit te gevaarlijk om gehacked te worden?

Alvast dank
...

Relevante software en hardware die ik gebruik
...

Wat ik al gevonden of geprobeerd heb
...

[MAX3400]

Gewoon niet doen. Tientallen redenen voor te vinden/bedenken. Ook een VPN is "nep veiligheid" voor x aantal zaken.

[Dracula]

Tsja het is maar hoeveel risico je wil lopen. Ik zou eventueel een linux live cd oid gebruiken en daar de browser van gebruiken om te bankieren of gewoon met je telefoon of als je het hebt een tablet.

[F_J_K]

Zoals al gezegd: nee. Niet doen. Punt.

En een VPN verergert het alleen maar. Structureel vanaf thuis-IP ziet de bank het tenminste nog als volgende week iemand in India een afschrijving doet. AVG Tuneup doet op z'n best niets voor de veiligheid en verergert het anders. (Door uitschakelen van wel relevante zaken).

Ga inderdaad voor Linux. Kost niets. Als je Win7 om andere redenen zonder internetverbinding nodig hebt, koop een USB stick voor live Linux. Stop met betalen voor de VPN en je kunt een lekker snelle kopen.

[Tens]

metal650 schreef op zondag 13 februari 2022 @ 11:26:
Hi iedereen,

Uit noodzaak draait mijn desktop nog op windows7

Wat is die noodzaak, is er bv geen dual boot mogelijkheid?

[CodeCaster]

Je wordt niet zomaar gehackt. Je kan met een vers geïnstalleerde Windows 7, achter een NAT-router (dus geen inkomend verkeer van buitenaf) met firewall (geen binnenkomend verkeer vanaf je eigen netwerk), met up-to-date browser prima internetbankieren.

Het probleem begint bij al het overige wat je nog met die pc doet. Ga je naar andere sites, installeer je andere software, heb je een rogue camera of koelkast, dan kan je pc makkelijker aangevallen worden dan met een modern OS.

[jurroen]

Omwille van je vraag en hetgeen van je aangeeft ga ik er vanuit dat je geen diepgaande technische kennis hebt. Wat is die "noodzaak" om op Windows 7 te blijven? Dat doet vermoeden dat je met die computer ook hele andere dingen doet dan online bankieren. Alleen al daarom is het hard af te raden.

Ook geef je aan dat je een VPN dienst gebruikt. Een VPN dienst voegt qua beveiliging helemaal niets toe. Sterker nog, het kan een bedreiging zijn voor de veiligheid - bijvoorbeeld omdat het de technische mogelijkheid heeft om die NAT-laag op je modem/router ongedaan te maken (en je computer direct te exposen).

Een van de mogelijke oplossingen: mobiel bankieren. Als je device hebt wat nog ondersteund is en niet bloot staat aan risico's, is het een stuk veiliger dan bankieren op je Windows 7 machine. Verder heeft een mobiele app voordelen die bankieren vanuit een browser sowieso niet heeft, zoals certificate-pinning.

En last but not least: als er nu iets gebeurd en je rekening wordt leeggetrokken is er geen bank die het gaat vergoeden. "Eigen schuld, dikke bult - we maken aan elke klant duidelijk dat ze zelf verantwoordelijk zijn voor de basale beveiliging van hun computer. Windows 7 valt daar niet onder."

[Jester-NL]

Wat @CodeCaster zegt klopt (in wezen) wel.
Probleem is, op het moment dat er iets fout gaat met je internetbankieren, de bank je zal wijzen op je eigen verantwoordelijkheid.

Verder ligt het aan je bank wat ze voor eisen stellen. Ik zie op de site van de Rabobank dat Windows 10 verplicht is. ING en ABNAMRO wijzen naar de meest recente browsers. Er zal dus een moment komen als Google en Mozilla stoppen met Win7 ondersteunen dat je een probleem krijgt.

[jurroen]

Jester-NL schreef op zondag 13 februari 2022 @ 13:10:
Wat @CodeCaster zegt klopt (in wezen) wel.
Probleem is, op het moment dat er iets fout gaat met je internetbankieren, de bank je zal wijzen op je eigen verantwoordelijkheid.

Verder ligt het aan je bank wat ze voor eisen stellen. Ik zie op de site van de Rabobank dat Windows 10 verplicht is. ING en ABNAMRO wijzen naar de meest recente browsers. Er zal dus een moment komen als Google en Mozilla stoppen met Win7 ondersteunen dat je een probleem krijgt.

Wat @CodeCaster aangeeft is, met alle respect, wat te kort door de bocht. Het is duidelijk dat TS ook andere dingen op de computer doet, gezien er een "noodzaak" is om op Windows 7 te blijven. Bovendien kan het zomaar zijn dat er dankzij de VPN dienst dus geen sprake meer is van een NAT-laag, maar dat het direct exposed is - maar dat is afhankelijk van de bewuste VPN dienst.

[Thralas]

jurroen schreef op zondag 13 februari 2022 @ 13:38:
Bovendien kan het zomaar zijn dat er dankzij de VPN dienst dus geen sprake meer is van een NAT-laag, maar dat het direct exposed is - maar dat is afhankelijk van de bewuste VPN dienst.

Verder uitstekende uiteenzetting hoor in je eerdere post, maar dit neigt wel een beetje naar FUD.

Er is een boel te zeggen over de onzinnigheid van commerciële VPN-aanbieders onder het mom van 'privacy' maar de kans dat ze je PC direct aan anderen blootstellen is realistisch gezien niet zo heel groot.

Publiek routeerbare IP-adressen uitdelen doet niemand zonder dat je daar flink extra voor betaalt (en het druist een beetje in tegen het businessmodel). Daarnaast mag je (inmiddels) wel verwachten dat alle 'grote' providers begrijpen dat je clients ook van elkaar moet isoleren.

[jurroen]

Thralas schreef op zondag 13 februari 2022 @ 13:52:
[...]
Publiek routeerbare IP-adressen uitdelen doet niemand zonder dat je daar flink extra voor betaalt (en het druist een beetje in tegen het businessmodel). Daarnaast mag je (inmiddels) wel verwachten dat alle 'grote' providers begrijpen dat je clients ook van elkaar moet isoleren.

Verwachtingen/aannames zijn het grote probleem in deze industrie (dus die van VPN-diensten) - het feit blijft dat er geen manier is om het zeker te weten. Plus, daarbij komt dat een VPN een veel hoger bedreigingsniveau en -risico heeft dan een los IPtje van een Nederlandse ISP.

Bovendien zijn veel aanbieders (bewust) in vage jurisdicties gesitueerd. Dat is natuurlijk logisch gezien het businessmodel, maar daardoor hoeven ze ook niet aan de eisen en wetgevingen te voldoen die we in NL en de EU hebben, zoals bijvoorbeeld de GDPR. En als het misgaat kun je ze daardoor ook lastiger of helemaal niet aansprakelijk stellen.

In mijn ogen hebben VPN-diensten maar twee use-cases. Omzeiling van georestricties en een stukje anonimiteit/pseudonimiteit door die 'obfuscation' (als ze werken met behoorlijk wat users achter 1 publiek IP). Beiden voegen niets toe aan deze situatie

Verder ben ik het met je eens. De kans is (heel?) klein dat ze het zomaar exposen of UPnP aan hebben staan - en wellicht is het een (onbedoelt) stukje FUD.

[CodeCaster]

jurroen schreef op zondag 13 februari 2022 @ 13:38:
[...]


Wat @CodeCaster aangeeft is, met alle respect, wat te kort door de bocht. Het is duidelijk dat TS ook andere dingen op de computer doet, gezien er een "noodzaak" is om op Windows 7 te blijven. Bovendien kan het zomaar zijn dat er dankzij de VPN dienst dus geen sprake meer is van een NAT-laag, maar dat het direct exposed is - maar dat is afhankelijk van de bewuste VPN dienst.

Hoezo kort door de bocht? Mensen moeten eens ophouden met bangmakerij en dingen niet begrijpen noch uitleggen maar beschouwen als voodoo (oftewel: FUD).

Een PC die achter NAT hangt, wordt niet zomaar "gehackt". Al draait er Windows 98 op. Er zal netwerkverkeer moeten binnenkomen dat gebruik maakt van exploits, of er moet software op draaien die mogelijk schadelijke instructies naar binnen haalt.

En dán kan een up-to-date OS beveiliging bieden, door middel van sandboxing, ASLR, heuristics en weet ik wat nog meer.

Zelfs al wordt de pc in kwestie gebruikt voor andere dingen (waar ik in mijn post ook expliciet voor waarschuw). Dan kun je een oude Office-versie draaien, en bestanden met macrovirussen of EXIF-exploits binnengengelen én uitvoeren. Als je zo met externe data omgaat, krijg je een modern OS ook wel besmet.

[jurroen]

CodeCaster schreef op zondag 13 februari 2022 @ 14:05:
[...]

Hoezo kort door de bocht? Mensen moeten eens ophouden met bangmakerij en dingen niet begrijpen noch uitleggen maar beschouwen als voodoo (oftewel: FUD).

Een PC die achter NAT hangt, wordt niet zomaar "gehackt". Al draait er Windows 98 op. Er zal netwerkverkeer moeten binnenkomen dat gebruik maakt van exploits, of er moet software op draaien die mogelijk schadelijke instructies naar binnen haalt.

En dán kan een up-to-date OS beveiliging bieden, door middel van sandboxing, ASLR, heuristics en weet ik wat nog meer.

Zelfs al wordt de pc in kwestie gebruikt voor andere dingen (waar ik in mijn post ook expliciet voor waarschuw). Dan kun je een oude Office-versie draaien, en bestanden met macrovirussen of EXIF-exploits binnengengelen én uitvoeren. Als je zo met externe data omgaat, krijg je een modern OS ook wel besmet.

Met alle respect: kort door de bocht omdat er al een bredere context beschikbaar is. TS geeft aan dat er een noodzaak is om op Windows 7 te blijven; die noodzaak vind zijn oorsprong natuurlijk niet bij het online bankieren

Dat netwerkverkeer kan ook komen van bezochte websites. Zo hebben Marktplaats en Nu.nl een tijd geleden kortstondig malware geserveerd door 'slechte advertenties'. Een modern, up-to-date OS heeft daar bescherming voor, zoals je zelf ook al aangeeft. En bovendien zijn de 'exploit mitigations', sandboxing etc op Windows 10 vele malen geavanceerder dan op Windows 7 het geval is

Mijn bedoeling is niet om bang te maken - maar wel om aan te geven dat er zeker een risico speelt. In mijn ogen downplay je dat ietwat.

[CH4OS]

@CodeCaster Het is wel behoorlijk naïef om te denken dat "omdat je achter een NAT zit", de kans klein(er) is dat je gehackt wordt of malware binnen krijgt (een dergelijke uitspraak is echt security through obscurity en zeker geen best practice). Laat staan dat het voldoende veilig is.

Het houdt die malware onder die leuke afbeelding uit dat ene mailtje van die vriend(in) of familielid echt niet tegen om zich ook naar jouw mailbox te laten sturen. Klik je vervolgens op de afbeelding om het filmpje te zien, kan je dus al de haasje zijn. Anno 2022 is men wel wat slimmer geworden, als het gaat om verspreiding van malware. Daar beschermt een NAT niet tegen, zelfs niet "voldoende", gewoon niet zelfs.

[CodeCaster]

CH4OS schreef op zondag 13 februari 2022 @ 14:23:
@CodeCaster Het is wel behoorlijk naïef om te denken dat "omdat je achter een NAT zit", de kans klein(er) is dat je gehackt wordt of malware binnen krijgt (een dergelijke uitspraak is echt security through obscurity en zeker geen best practice). Laat staan dat het voldoende veilig is.

Het houdt die malware onder die leuke afbeelding uit dat ene mailtje van die vriend(in) of familielid echt niet tegen om zich ook naar jouw mailbox te laten sturen. Klik je vervolgens op de afbeelding om het filmpje te zien, kan je dus al de haasje zijn. Anno 2022 is men wel wat slimmer geworden, als het gaat om verspreiding van malware. Daar beschermt een NAT niet tegen, zelfs niet "voldoende", gewoon niet zelfs.

Dat zeg ik ook niet. Ik wéét dat malware van allerlei sites kan komen. Ik zeg enkel dat het runnen van een outdated OS alleen niet zorgt voor het "gehackt worden", en dat juist antwoorden zoals "gewoon niet doen" niet verhelderend zijn voor hoe mensen naar beveiliging kijken.

Het aanklikken van obscure links is een probleem op alle platforms, en is een gebruikersprobleem. Natuurlijk zegt TS direct dat hij zijn PC ook voor andere zaken gebruikt, en juist dat zorgt voor het risico. Dat geef ik ook direct aan in mijn eerste post.

[MAX3400]

CodeCaster schreef op zondag 13 februari 2022 @ 14:51:
[...]

Het aanklikken van obscure links is een probleem op alle platforms, en is een gebruikersprobleem.

Klaar dus: nieuws: Onderzoeker vindt opnieuw xss-kwetsbaarheden bij drie Nederlandse banken

Oftewel, zolang je blijft aanraden "het is allemaal niet zo erg" terwijl het al jaren overduidelijk overal kan voorkomen door allerlei factoren: bad move.

Maak dan "het grote met onveilige OS'en wel op internet" topic en ga daar mensen helpen.

[CodeCaster]

MAX3400 schreef op zondag 13 februari 2022 @ 14:58:
[...]

Klaar dus: nieuws: Onderzoeker vindt opnieuw xss-kwetsbaarheden bij drie Nederlandse banken

Oftewel, zolang je blijft aanraden "het is allemaal niet zo erg" terwijl het al jaren overduidelijk overal kan voorkomen door allerlei factoren: bad move.

Maak dan "het grote met onveilige OS'en wel op internet" topic en ga daar mensen helpen.

Sorry, maar XSS heeft totaal niets met je OS te maken.

Men heeft kwetsbaarheden in sites gevonden, waardoor men links naar die sites konden prepareren waardoor het gevaarlijk wordt om die link aan te klikken, omdat er door de aanvaller gemaakte content geladen kan worden. Hierdoor kunnen bijvoorbeeld inloggegevens worden onderschept. Dat werkt op Windows 98, op Linux, op macOS en op Windows 11.

Extreem slecht voorbeeld dus, en je ad hominem voegt ook niets toe aan jouw punt, noch doet het afbreuk aan iets dat ik hier heb beweerd.

Mijn punt is juist dat men niet zo bang moet doen rondom beveiliging, omdat het daardoor voor niet-experts niet duidelijk wordt wat het probleem nou eigenlijk is. Dus: leg uit waar het gevaar in zit, of zeg niks.

Nogmaals: ik zeg niet dat het allemaal niet zo erg is. Ik zeg alleen dat een outdated OS gebruiken maar een deel van het risico is, en dat het risico dat men loopt afhankelijk is van andere factoren, onder andere wat er nog meer met de machine gedaan wordt.

Het beste antwoord is al gegeven: gebruik een Linux-Live-stick. En update die regelmatig.

[ Voor 11% gewijzigd door CodeCaster op 13-02-2022 15:09 ]

[CH4OS]

CodeCaster schreef op zondag 13 februari 2022 @ 14:51:
Dat zeg ik ook niet. Ik wéét dat malware van allerlei sites kan komen. Ik zeg enkel dat het runnen van een outdated OS alleen niet zorgt voor het "gehackt worden", en dat juist antwoorden zoals "gewoon niet doen" niet verhelderend zijn voor hoe mensen naar beveiliging kijken.

Het is alsof je van oude sloten gaat verwachten dat ze het eeuwige leven hebben. Natuurlijk, als je ervan uitgaat dat je iedereen kan vertrouwen, kunnen dergelijke sloten best werken. Maar in een omgeving zo groot als de wereld, zou ik mijn voordeur niet vertrouwen met verouderde sloten.

Het aanklikken van obscure links is een probleem op alle platforms, en is een gebruikersprobleem. Natuurlijk zegt TS direct dat hij zijn PC ook voor andere zaken gebruikt, en juist dat zorgt voor het risico. Dat geef ik ook direct aan in mijn eerste post.

Wat het onderliggende probleem is, maakt ervoor natuurlijk niet uit. Een NAT houdt dat soort fouten/stupidity nu eenmaal niet buiten de deur.

[CH4OS]

CodeCaster schreef op zondag 13 februari 2022 @ 15:07:
Sorry, maar XSS heeft totaal niets met je OS te maken.

En dus is XSS in de basis gevaarlijker, waar je nog vatbaarder voor bent met een verouderd (en zeker als het niet meer ondersteund is) OS.

Men heeft kwetsbaarheden in sites gevonden, waardoor men links naar die sites konden prepareren waardoor het gevaarlijk wordt om die link aan te klikken, omdat er door de aanvaller gemaakte content geladen kan worden. Hierdoor kunnen bijvoorbeeld inloggegevens worden onderschept. Dat werkt op Windows 98, op Linux, op macOS en op Windows 11.

XSS is wat anders dan een lek in een site dat misbruikt wordt. Denk bijvoorbeeld ook aan een script van een derde partij, waar dus een lek in gevonden is en dat actief misbruikt wordt door een vierde partij. En natuurlijk, daar kan elke client de dupe van zijn, maar feit is gewoon dat je met een verouderd systeem er vatbaarder voor bent dan voor moderne systemen.

Mijn punt is juist dat men niet zo bang moet doen rondom beveiliging, omdat het daardoor voor niet-experts niet duidelijk wordt wat het probleem nou eigenlijk is. Dus: leg uit waar het gevaar in zit, of zeg niks.

Het heeft niets met bang doen te maken. Goede beveiliging is niet moeilijk, het kost weinig geld of moeite, dus waarom zou je dan de moeite niet nemen om het goed te doen? Dat is het punt meer.

Nogmaals: ik zeg niet dat het allemaal niet zo erg is. Ik zeg alleen dat een outdated OS gebruiken maar een deel van het risico is, en dat het risico dat men loopt afhankelijk is van andere factoren, onder andere wat er nog meer met de machine gedaan wordt.

Een verouderd OS is als een groot raam in een huis dat wagenwijd open staat. Je kan dan wel het raam in de gaten houden, maar vroeg of laat zul je toch verzwakken en zal toch iets binnensluipen. Terwijl voorkomen zo gemakkelijk is.

Het beste antwoord is al gegeven: gebruik een Linux-Live-stick. En update die regelmatig.

Ik zou het omdraaien. Installeer Linux op de desktop als een licentie voor Windows 10/11 een probleem is en installeer Windows 7 in een VM en gebruik Windows 7 uitsluitend wanneer dat nodig is.

[jurroen]

CodeCaster schreef op zondag 13 februari 2022 @ 15:07:
[...]

Nogmaals: ik zeg niet dat het allemaal niet zo erg is. Ik zeg alleen dat een outdated OS gebruiken maar een deel van het risico is, en dat het risico dat men loopt afhankelijk is van andere factoren, onder andere wat er nog meer met de machine gedaan wordt.

Een ietwat overdreven vergelijking: je kunt ook een kluis neerzetten op drijfzand. Het OS is een fundamenteel deel van de verdediging. Zeker niet het enige deel (dat beweert niemand in dit topic). Maar dat maakt het niet okay om te zeggen dat het potentieel kan (onder bepaalde voorwaarden) - zeker als de banken aangeven dat het niet "mag".

Het beste antwoord is al gegeven: gebruik een Linux-Live-stick. En update die regelmatig.

Het is niet reëel om dit te verwachten, zeker niet als er in principe eenvoudigere oplossingen zijn, zoals mobiel bankieren. En een toevoeging: Linux is zeker niet inherent veiliger dan Windows.

[CodeCaster]

Ik weet niet wat ik beter kan doen om mezelf duidelijker te maken.

jurroen schreef op zondag 13 februari 2022 @ 15:52:
Een ietwat overdreven vergelijking: je kunt ook een kluis neerzetten op drijfzand. Het OS is een fundamenteel deel van de verdediging. Zeker niet het enige deel (dat beweert niemand in dit topic). Maar dat maakt het niet okay om te zeggen dat het potentieel kan (onder bepaalde voorwaarden) - zeker als de banken aangeven dat het niet "mag".

CH4OS schreef op zondag 13 februari 2022 @ 15:42:
Het is alsof je van oude sloten gaat verwachten dat ze het eeuwige leven hebben. Natuurlijk, als je ervan uitgaat dat je iedereen kan vertrouwen, kunnen dergelijke sloten best werken. Maar in een omgeving zo groot als de wereld, zou ik mijn voordeur niet vertrouwen met verouderde sloten.

Ik zeg expliciet niet tegen TS dat het potentieel wel kan, maar juist dat een machine niet in isolatie draait en dus dat er andere factoren (software, hardware, gebruiker) zijn die het geheel onveilig(er) maken.

Dus inderdaad, hét antwoord hier is "met een moderner OS dat wél up-to-date wordt gehouden, ben je veiliger" (omdat zelfs als de machine geïsoleerd binnen het thuisnetwerk draait, een stuk software als de browser instructies kan lekken naar het OS en het daarmee kan aanvallen). Dat heb ik in geen van mijn posts ontkend, dus dat hoeft niet nogmaals met steeds slechter wordende vergelijkingen zoals ramen, sloten en kluizen tegen mij herhaald te worden. Waaom dat veiliger is, heb ik ook al aangehaald: isolatie, virtualisatie, obfuscatie. Dingen die in Windows 10 en 11 beter zijn geregeld dan in hun voorgangers.

Ik benadruk juist de noodzaak van het duidelijk uitleggen van de potentiële problemen, zodat zowel TS als latere lezers begrijpen wat er misgaat. Niet het voodoo, FUD, handwavy "Het is veiliger. Punt.". We zitten hier op een discussieforum, niet op een helpdesk. TS begint over "gehackt worden", waardoor je al enige indicatie moet hebben van het publiek waarmee je te doen hebt.

CH4OS schreef op zondag 13 februari 2022 @ 15:50:
En dus is XSS in de basis gevaarlijker, waar je nog vatbaarder voor bent met een verouderd (en zeker als het niet meer ondersteund is) OS.
[...]
XSS is wat anders dan een lek in een site dat misbruikt wordt. Denk bijvoorbeeld ook aan een script van een derde partij, waar dus een lek in gevonden is en dat actief misbruikt wordt door een vierde partij. En natuurlijk, daar kan elke client de dupe van zijn, maar feit is gewoon dat je met een verouderd systeem er vatbaarder voor bent dan voor moderne systemen.

Nogmaals, je OS heeft niets met XSS te maken. Een XSS-vulnerability (kan prima "lek" genoemd worden) zorgt ervoor dat een malafide actor ("hacker") een link kan prepareren naar een legitieme site, waar vervolgens het script van de hacker uitgevoerd wordt in de browser van de nietsvermoedende bezoeker.

Dit script wordt ongeacht je OS uitgevoerd door de browser. Als het script puur JavaScript is en geen payload downloadt via een browser- of plugin-exploit, dan zal het gevolg op alle OS'en en alle browsers hetzelfde zijn: zo kunnen bijvoorbeeld cookies/storage/tokens worden onderschept zodat de hacker kan inloggen als ware hij de gebruiker, kan een onterechte betalingspagina worden getoond of kan het inlogformulier worden afgeluisterd.

Om vatbaar te zijn voor zo'n XSS-aanval, moet je eerst een pagina bezoeken (ofwel door de geprepareerde link aan te klikken, dan wel een op die site aangemaakte pagina met een geprepareerde comment te bezoeken). Geen enkel OS biedt geen bescherming tegen scripts die zich niet op het OS, maar op die specifieke site richten. Je bent niet vatbaarder voor dergelijke aanvallen met een ouder OS.

Third-party-scripts (zoals scripts die advertenties serveren) die op de servers van de advertentieboer worden vervangen door de versies van de hackers en daarmee óók vrij spel krijgen in de browser van de gebruiker, komen met exact dezelfde risico's als via XSS geladen scripts. Scripts zijn scripts.

Wel zijn er diverse tags, headers en andere voorzieningen die de effectiviteit van dergelijke scripts proberen te beperken, door bijvoorbeeld aan te geven vanaf welke domeinen er scripts uitgevoerd mogen worden (zie Content Security Policy).

Als een malafide script wél een payload downloadt en uitvoert, bijvoorbeeld door een zeroday in de browser, dan kan de payload via de browser of diens componenten (plugins, mediaviewers) het OS gaan aanvallen om zichzelf daarin te nestelen. En inderdaad, hier hebben jullie helemaal gelijk in: oudere OS'en zijn hier door eerdergenoemde redenen vatbaarder voor.

tl;dr: mijn punt blijft: geen bangmakerij doen richting TS, niets versimpelen ("niet doen", "nepveiligheid"), maar uitleggen wat er mis kan gaan, zodat die een weloverwogen beslissing kan maken.

Ik zou het omdraaien. Installeer Linux op de desktop als een licentie voor Windows 10/11 een probleem is en installeer Windows 7 in een VM en gebruik Windows 7 uitsluitend wanneer dat nodig is.

Legio redenen waarom je bepaalde soft- en/of hardware juist direct fysiek op de PC wil hebben en niet via een VM. Al is het maar treinbaan- of printersoftware die het gevirtualiseerd niet zo goed doet.

Dan moet men die PC gewoon exclusief daarvoor gebruiken, en voor het mailen/internetten/documentverwerken een ander OS booten.

[CH4OS]

CodeCaster schreef op zondag 13 februari 2022 @ 19:48:
Ik benadruk juist de noodzaak van het duidelijk uitleggen van de potentiële problemen, zodat zowel TS als latere lezers begrijpen wat er misgaat. Niet het voodoo, FUD, handwavy "Het is veiliger. Punt.". We zitten hier op een discussieforum, niet op een helpdesk. TS begint over "gehackt worden", waardoor je al enige indicatie moet hebben van het publiek waarmee je te doen hebt.

Tja, als de voorbeelden / onderbouwingen in jouw redenatie steeds slechter worden, terwijl je wel de noodzaak ziet van up-to-date zijn (en blijven), hoe kan je dan zeggen dat je met een verouderd OS achter een NAT prima kan internetbankieren? Sorry, maar of ik begrijp niet wat je zeggen wilt, of je legt iets simpels best raar uit.

Nogmaals, je OS heeft niets met XSS te maken. Een XSS-vulnerability (kan prima "lek" genoemd worden) zorgt ervoor dat een malafide actor ("hacker") een link kan prepareren naar een legitieme site, waar vervolgens het script van de hacker uitgevoerd wordt in de browser van de nietsvermoedende bezoeker.

Je kan prima OS specifieke XSS toepassen, waarmee een onbeveiligd OS wel degelijk wel de sjaak is. Maar goed, XSS in het algemeen is gevaarlijker dan een verouderd OS. Een verouderd OS is dan weer wel vatbaarder voor hacks die via een XSS binnen kan komen, dat is alles wat @MAX3400 en ik zeggen. Dan kun je volhouden dat het niet met OS te maken heeft, maar dat zeggen we dan ook niet. Wij spraken puur over vatbaarheid voor zaken. Ik kan wel weer met een analogie aankomen, maar die wordt standaard al door jou als "slecht" bestempeld, dus ik laat het er maar bij.

Dit script wordt ongeacht je OS uitgevoerd door de browser. Als het script puur JavaScript is en geen payload downloadt via een browser- of plugin-exploit, dan zal het gevolg op alle OS'en en alle browsers hetzelfde zijn: zo kunnen bijvoorbeeld cookies/storage/tokens worden onderschept zodat de hacker kan inloggen als ware hij de gebruiker, kan een onterechte betalingspagina worden getoond of kan het inlogformulier worden afgeluisterd.

Het punt is dus, dat een verouderd OS dat geen updates meer krijgt, het lek zal behouden, waar een courant OS dat nog wel updates krijgt, mogelijk een patch krijgt om een en ander te mitigeren. Welke van de twee PC's heb je dan liever?

Om vatbaar te zijn voor zo'n XSS-aanval, moet je eerst een pagina bezoeken (ofwel door de geprepareerde link aan te klikken, dan wel een op die site aangemaakte pagina met een geprepareerde comment te bezoeken). Geen enkel OS biedt geen bescherming tegen scripts die zich niet op het OS, maar op die specifieke site richten. Je bent niet vatbaarder voor dergelijke aanvallen met een ouder OS.

Zie hierboven. Een verouderd OS krijgt geen updates meer, een courante wel. Dat is het hele punt dat wij maken. Overigens, je kan wel degelijk XSS hebben dat getarget is op een OS: zie deze bug melding als voorbeeld.

Third-party-scripts (zoals scripts die advertenties serveren) die op de servers van de advertentieboer worden vervangen door de versies van de hackers en daarmee óók vrij spel krijgen in de browser van de gebruiker, komen met exact dezelfde risico's als via XSS geladen scripts. Scripts zijn scripts.

Tja, wat het is maakt niet uit, het is gewoon iets dat je ten alle tijden wilt voorkomen / waar je niet vatbaar voor wilt zijn. Een verouderd OS is nu eenmaal vatbaarder dan een courant OS... Hoewel XSS dus niet met een OS te maken heeft, kan je je op OS niveau wel degelijk wapenen tegen XSS. En zoals @MAX3400 heeft laten zien, kan je wel degelijk XSS gebruiken om op OS niveau rottigheid uit te halen (en juist dat kan je met een courant OS voorkomen!)

tl;dr: mijn punt blijft: geen bangmakerij doen richting TS, niets versimpelen ("niet doen", "nepveiligheid"), maar uitleggen wat er mis kan gaan, zodat die een weloverwogen beslissing kan maken.

Het is geen bangmakerij, maar allicht betere info dan "Je kan met jouw verouderde OS achter een NAT zitten, dan ben je prima beveiligd tegen grapjes". Want ook dat is net zo goed heel slecht advies.

Legio redenen waarom je bepaalde soft- en/of hardware juist direct fysiek op de PC wil hebben en niet via een VM. Al is het maar treinbaan- of printersoftware die het gevirtualiseerd niet zo goed doet.

Ik heb ze werkelijk waar nog nooit gezien. Ik geloof dus niet dat zulke situaties er daadwerkelijk niet zijn.

Dan moet men die PC gewoon exclusief daarvoor gebruiken, en voor het mailen/internetten/documentverwerken een ander OS booten.

Dat men dergelijke situaties heeft, is vaak vooral omdat men niet wilt investeren in een degelijke upgrade voor het probleem. Meestal is dat met iets van een dongle, terwijl de fabrikant intussen allang en breed betere oplossingen heeft. Alleen de wil om te investeren ontbreekt, want het aloude dogma "het werkt toch!?" komt dan weer om de hoek kijken.

Als een bedrijf ergens niet in wilt investeren om bepaalde zaken op te lossen, dan is voor mij wat dat betreft ook echt de kous af. Ik heb geen zin om andermans aanstaande probleem (omdat het vroeg of laat daadwerkelijk fout gaat) in de lucht te houden. Voorkomen is beter dan genezen, heeft men mij altijd geleerd, zeker met dat soort gevoelige zaken is dat juist heel belangrijk.

[ Voor 5% gewijzigd door CH4OS op 13-02-2022 20:18 ]

[MAX3400]

CodeCaster schreef op zondag 13 februari 2022 @ 19:48:
...We zitten hier op een discussieforum, niet op een helpdesk. TS begint over "gehackt worden", waardoor je al enige indicatie moet hebben van het publiek waarmee je te doen hebt.

We zitten hier wel degelijk halve dagen op een helpdesk (gezien de vraagstelling van sommige mensen alsmede de eigen non-existente inzet om een topicstart kader te geven).

En zoals je zelf zegt "dan weet je al wat voor publiek je van doen hebt". Hoe goed & positief je het ook probeert te brengen; @metal650 bewaart bookmarks zelfs op een USB stick "want veiliger" maar snapt niet hoe je ze dan in Incognito-modus moet openen. Dan ga je dit soort topics / discussies met (uiteindelijk) diepgaande informatie en zaken over "wat is vulnerable" dus nooooit helder krijgen.

Bot gezegd en me er terdege van bewust: het is een helpdesk-vraag dus subtiel afwimpelen met "niet doen" is voor alle betrokkenen beter.

[BytePhantomX]

Heel veel technische reacties, maar vooral niet doen, omdat je mogelijk je geld niet terug krijgt na een hack.

[MAX3400]

BytePhantomX schreef op maandag 14 februari 2022 @ 11:13:
Heel veel technische reacties, maar vooral niet doen, omdat je mogelijk je geld niet terug krijgt na een hack.

Nu ja, dat bedoel ik dus; een goede topicstart had bevat "Ik heb al gebeld met mijn bank en die zeiden dat ik met Windows 7 blablabla". Of desnoods gebeld met de eigen verzekering (want je kan tegenwoordig al bij 2 pakken melk een cyber-verzekering afsluiten). Etc.

[metal650]

Dank voor de vele reacties waar ik wel iets aan heb.
Ondertussen al hulp gekregen.
Jammer echter dat er een paar zijn die mijn vraag in het belachelijke trekken.
Andere zelfs af te raden erop te reageren.
Heel laag vind ik dit !
Moet je hier werkelijk een techneut zijn om een vraag te stellen?

[ Voor 12% gewijzigd door metal650 op 20-02-2022 19:36 ]

[Brahiewahiewa]

metal650 schreef op zondag 20 februari 2022 @ 19:33:
...Moet je hier werkelijk een techneut zijn om een vraag te stellen?...

Ja.

Zoals in dit topic al eerder opgemerkt: tweakers is geen helpdesk. Het is een discussie platform van techneuten. De huidige eigenaar heeft geprobeerd het platform te profileren als een verzameling van 100.000 handige neefjes die staan te popelen van verlangen om Jan en Alleman met computer problemen te helpen. Maar dat bleek niet haalbaar. Die pogingen zijn nu ook gestopt

[sypie]

Brahiewahiewa schreef op maandag 21 februari 2022 @ 08:03:
Ja.

Niet mee eens. Je hoeft geen techneut te zijn om hier je vraag te mogen stellen, genoeg mensen die hun topic al beginnen met iets als "Sorry voor mijn vraag maar ik heb er echt geen verstand van.".

Het belangrijkste is dat je laat zien wat je zelf al hebt gezocht en gevonden, dat je niet even snel hier je vraag neerplempt en wacht op antwoord. Sommige dingen kun je met alle zoekmachines prima vinden. In dit geval zou dat zijn "Windows 7 internetbankieren". Het resultaat wat ik kreeg vertelt eigenlijk al genoeg, hoewel Libelle.nl nou niet de eerste site zou zijn die ik op hun blauwe ogen zou geloven. Het is in ieder geval een begin van je zoektocht naar het antwoord op deze vraag.

"

[Brahiewahiewa]

sypie schreef op maandag 21 februari 2022 @ 08:21:
[...]

Niet mee eens. Je hoeft geen techneut te zijn om hier je vraag te mogen stellen, genoeg mensen die hun topic al beginnen met iets als "Sorry voor mijn vraag maar ik heb er echt geen verstand van."...

Dat is alleen maar omdat tweakers niet controleert of je wel techneut genoeg bent.
En dan krijg je van de nietsvermoedende vraagsteller dus dit soort reacties

metal650 schreef op zondag 20 februari 2022 @ 19:33:
... Heel laag vind ik dit ! ...

Nee, is niet laag. Er spelen gewoon veel te veel factoren mee die de vraagsteller allemaal niet begrijpt. Daarom heeft het geen zin om alles uit te gaan leggen. Sommige tweakers kunnen dat vriendelijk formuleren, anderen (waaronder ik) hebben daar wat meer moeite mee.
Mensen die tweakers als helpdesk willen gebruiken doen dat op eigen risico. De antwoorden die je krijgt zijn niet vriendelijk, niet politiek correct, niet respectvol en in veel gevallen ook niet juist. Bovendien is het doel ook niet om een antwoord op de vraag te formuleren, maar om over de vraag te discussiëren

[laurens0619]

@metal650
Deze vraag is lastig te beantwoorden. Ja, windows 7 is onveiliger want er komen minder patches voor uit maar tegelijk ben je met windows 10 nu ook niet opeens veilig.

Als je geen ervaren/deskundige gebied bent op cyber en je wilt toch veilig internet bankieren dan raad ik eigenlijk aan om alleen internet te bankieren via de app op een up to date iOS device. Als je goed oplet dat je binnen de app blijft (En niet via browser op nep login) dan denk ik dat dit relatief de veiligste manier is

[Fox3214]

Als je niet anders kan.

Gooi er een proxy tussen. Zorg dat je PC niet te benaderen is vanaf buiten (zet alle NAT functionaliteiten uit).
Als dringend advies geef ik je om te stoppen met het draaien van Windows 7. Het risico is het gewoon niet waard op het moment dat er wel een inbreuk is op je systeem.

[DJMaze]

Brahiewahiewa schreef op maandag 21 februari 2022 @ 08:47:
De antwoorden die je krijgt zijn niet vriendelijk, niet politiek correct, niet respectvol en in veel gevallen ook niet juist.

offtopic:
Zou dat komen omdat men de zoek functie van deze website en Google niet kan vinden?
De vraag en het antwoord zijn namelijk al N tot de macht X gegeven.

Zodra ik een topic als dit zie, weet ik voor 90% al wat de antwoorden zullen zijn

[bonzz.netninja]

laurens0619 schreef op maandag 21 februari 2022 @ 09:42:
@metal650
Deze vraag is lastig te beantwoorden. Ja, windows 7 is onveiliger want er komen mindergeen patches voor uit maar tegelijk ben je met windows 10 nu ook niet opeens veilig.

Als je geen ervaren/deskundige gebied bent op cyber en je wilt toch veilig internet bankieren dan raad ik eigenlijk aan om alleen internet te bankieren via de app op een up to date iOS device. Als je goed oplet dat je binnen de app blijft (En niet via browser op nep login) dan denk ik dat dit relatief de veiligste manier is

windows 7 is eol in jan. 2020. Daar komt helemaal niks meer voor uit. Dat gebruiken voor belangrijke zaken, online, is gewoon domniet verstandig.

[laurens0619]

bonzz.netninja schreef op maandag 21 februari 2022 @ 16:49:
[...]

windows 7 is eol in jan. 2020. Daar komt helemaal niks meer voor uit. Dat gebruiken voor belangrijke zaken, online, is gewoon domniet verstandig.

Ja eens maar dat was mijn punt niet
Als je de aanvallen op internet bankieren gaat ontleden dan speelt een outdated os een kleinere rol dan je misschien zou denken. Daarmee zeg ik niet dat je een outdated moet gebruiken (dat moet je niet) maar dat je tegelijk ook niet moet denken dat je ok zit met puur een supported os

[Thralas]

laurens0619 schreef op maandag 21 februari 2022 @ 22:48:
Als je de aanvallen op internet bankieren gaat ontleden dan speelt een outdated os een kleinere rol dan je misschien zou denken.

En als je het in historisch perspectief plaatst is dat nog véél duidelijker.

Tien jaar geleden liep je een reëel risico om besmet te raken met banking malware als je tegen een exploit kit aanliep. Die werden zelfs via ads op sites als nu.nl of telegraaf.nl geserveerd, dus hadden een enorme reikwijdte. De exploit kits gebruikten daarnaast regelmatig zero days in flash / adobe reader / browsers.

In 2022 zijn enerzijds alle problematische plugins allang uit de browser gebonjourd (flash/reader) en is de focus van crimewaregroepen (die de exploitskits uitbaatten) verschoven naar het afpersen van bedrijven (niet consumenten) met ransomware ipv. banking malware. Je zult goed moeten zoeken naar een exploit kit. Ik vond dit, maar dat is (anders dan vroeger) totaal geen bedreiging voor een up-to-date browser.

Als je in ogenschouw neemt hoe de fraude tegenwoordig wél veelvuldig plaatsvindt (social engineering en/of phishing) dan is het OS meestal irrelevant. Rest nog een hele kleine kans op banking malware via iets als warez: Windows 10 zal op sommige details iets robuuster zijn dan Windows 7, maar ook dat is zoeken in de marge en al snel onderschikt aan het werkelijke probleem: dubbelklikken op executables uit dubieuze bron. In 90% van de gevallen werkt dat net zo goed op Windows 10, maar gezien de marginale rol is dat niet relevant.

Lang verhaal kort: de kans dat je up-to-date browser geëxploit wordt is verwaarloosbaar, ongeacht het OS. En dat is bovendien niet meer hoe bankfraude tegenwoordig werkt. Daarmee is de discussie of Windows 7 nu ook praktisch 'oveiliger' is om te internetbankieren ook simpel te beantwoorden: nee, dat is het niet. Iedereen die iets anders claimt zit er naast of weet de daadwerkelijke risico's niet op waarde te schatten.

Het is wel zaak om een browser te gebruiken die updates ontvangt: Chrome of Firefox.

De beste reden om tóch Windows 10 te gebruiken die ik heb gelezen in dit topic is het argument ten aanzien van fraudevergoedingen: banken vergoeden (als je mazzel hebt) ook fraude die deels leunt op phishing, dan helpt het niet als je een stok aanreikt (ook al is deze praktisch niet snel relevant).

En dat doet niets af aan het feit dat je - waar mogelijk - altijd beter een OS kunt gebruiken waarvoor je updates ontvangt.

---

Overigens, ook relevant voor het scenario: bij een bank als ING kun je volgens mij uberhaupt geen overboekingen via de website meer doen zonder dat je óók op de app moet bevestigen wat er staat te gebeuren.

Natuurlijk is dat ook niet feilloos: maar als je toch social engineering nodig hebt om die bevestiging erdoor te krijgen dan kun je net zo goed de banking malware overslaan en het puur met social engineering doen: zie hoe succesvol fraude via WhatsApp is.

Als niemand meer in WhatsApp-fraude zou trappen maar in ruil daarvoor wel verplicht moest bankieren via Windows 7 waren we stukken beter af

[ Voor 12% gewijzigd door Thralas op 22-02-2022 09:30 ]

[laurens0619]

@Thralas hear hear!

Ik noem dit "compliance security" vs "it security". Veel bedrijven hanteren een compliance driven aanpak om security te managen omdat de inhoud onbekend is. Ik zeg niet dat compliance niet belangrijk is maar het is soms wel jammer om te zien hoe security afdelingen razend druk zijn met 1001 onderwerpen en ondertussen de reguliere aanvallen alsnog doorgaan. Veelal omdat er inhoudelijk niet gekeken wordt naar de technieken die gebruikt worden en het "high level"/compliance driven opgelost wordt.

Je haalt een goed punt aan qua schadevergoeding: Een bank kan ook op een compliant manier kijken. Als je als gebruiker outdated os gebruikt dan mag je zelf opdraaien voor de kosten. Goed om hier dus ook rekening mee te houden

Om even terug naar de windows 7 vs 10 discussie te gaan:
Als we de dreiging scopen in de subcategorie banking malware:
Een up to date browser en een effectieve endpoint beveiliging (die niet zomaar door malware uit te zetten is! bv defender met anti tamper protection en/of niet onder admin werken) is qua banking belangrijk.
Alleen helemaal met @Thralas, het zijn andere methodieken (phishing. nep banking pages) die gebruikt worden.

[ Voor 10% gewijzigd door laurens0619 op 22-02-2022 10:42 ]