ABN AMRO e.dentifier authenticatie

[Tader]

Dit bericht op zich heeft niets met 'Non-Windows Operating Systems' te maken, maar omdat het in geen enkel ander forum lijkt te passen post ik hier omdat ik denk dat hier de meeste kans gemaakt wordt op een goed antwoord





[ Korte versie van mijn vraag ]

Hoe kan ik de e.dentifier van ABN AMRO gebruiken voor inloggen op mijn eigen website?





[ Langere versie van mijn vraag ]

Ik was op zoek naar een veilige manier van inloggen op een website waarmee een belangrijke database kan worden beheerd. Ik heb softwarematig een one-time-password systeem gebouwd dat werkt met tokens en md5 etc. via javascript, maar dat werkt niet overal en/of altijd (wap telefoon, lynx, etc...).



Ik ging eens kijken op de site van RSA naar hun SecureID's. Ziet er allemaal wel vet cool uit, maar kost vrij veel... $730 voor tien tokens en dan moet je ook nog de software kopen voor de controle aan de server kant... Daarom dacht ik dat het zelfde bereikt moest kunnen woorden met systemen die reeds in mijn bezit zijn... De e.dentifier leek mij een prima oplossing, ik moet alleen dan nog weten hoe het werkt....



Wat ik verwacht hoe het werkt -> Ik zou denken dat de e.dentifier slechts een 'terminal' is voor de chip op mijn bankpas. Ik verwacht dat in de chip een privatekey zit, beschermt door mijn pincode, waarmee de tokens die ik van de bank krijg bij het inloggen gesigneerd kunnen woorden. Die signature komt dan in de vorm van een aantal cijfers op het schermpje van de e.dentiefier te staan en kan door de bank worden gecontroleerd met behulp van mijn pas zijn publickey...



Ik zou graag willen weten of dit inderdaad zo werkt.



Als dit inderdaad zo werkt wil ik graag weten hoe ik aan mijn public key kan komen en hoe je de response van een e.dentifier kan controleren.



Als dit niet zo werkt zou ik graag willen weten hoe het wel werkt, en hoe ik de response van een e.dentifier kan controleren.





[ Groet ]

Dank voor het lezen van dit relaas en voor je eventuele reactie!



Thomas

[Verwijderd]

als je dit wist kan je de abn amro hacken dus euh..... FAT change

[Tader]

Als je dat weet kan je de abn amro cracken? Dat lijkt mij dan een slechte zaak! Ik hou niet van 'security thru obscurity' of hoe je dat ook mag spellen in normaal engels...



Ik ga er dus vanuit dat het met private en public keys werkt. Leg mij dan eens uit hoe je op die manier de abn amro kan cracken?

[Verwijderd]

Tader schreef op 07 oktober 2002 @ 16:04:
Wat ik verwacht hoe het werkt -> Ik zou denken dat de e.dentifier slechts een 'terminal' is voor de chip op mijn bankpas. Ik verwacht dat in de chip een privatekey zit, beschermt door mijn pincode, waarmee de tokens die ik van de bank krijg bij het inloggen gesigneerd kunnen woorden. Die signature komt dan in de vorm van een aantal cijfers op het schermpje van de e.dentiefier te staan en kan door de bank worden gecontroleerd met behulp van mijn pas zijn publickey...

Ik zou graag willen weten of dit inderdaad zo werkt.

Nee. Dat zou namelijk privatekeys onbeschermd achterlaten, immers, de private key zou makkelijk aan te spreken zijn buiten de beschermingschip om.

Het werkt geheel anders, jouw chip bevat een publieke ID die 'jij' bent, die wordt doorgestuurd naar database via netwerk (als je pint o.i.d.) samen met pincode, en als dit klopt dan geeft de automaat jou geld na afschrijven van dat saldo op je bankrekening. Jouw pinpas is dus absoluut niks anders dan een ID voor jou in de database. Je chipknip valt hier volledig buiten, da's een soort 'portomonnee' met geld die buiten de database in je pas 'zit'. Daarvoor heb je dan ook geen pincode nodig.

En over beveiliging, dat doe je met javascript? Ugh! Ik raad je een aantal boeken over PHP en SQL aan, en over serverside scripting in het algemeen. Security hoort per definitie serverside te zijn (de verdediger of ontvanger), niet clientside (de inlogger, verstuurder of aanvaller).

[Tader]

Verwijderd schreef op 07 oktober 2002 @ 16:22:
En over beveiliging, dat doe je met javascript? Ugh! Ik raad je een aantal boeken over PHP en SQL aan, en over serverside scripting in het algemeen. Security hoort per definitie serverside te zijn (de verdediger of ontvanger), niet clientside (de inlogger, verstuurder of aanvaller).

Nou ja, is erg veilig hoor... Je doet de md5sum van een wachtwoord+token naar de server sturen, een php script controleert of die md5sum klopt. Dat heeft wel als nadeel dat wachtwoord plaintext aanwezig is op de server. Dit kan voorkomen worden door otp te implementeren, maar dat heb ik nog niet gedaan


Terug over het e.dentifier gedoe... Ik bedoel dus niet het verkeer met de bank, maar alleen het gebeuren voor internet bankieren. Je hebt een apparaatje waar je je pas in steekt, je tikt je pincode, je tikt een token van de bank, je ziet een getal op je schermpje, tikt het over op de website, verstuurt formulier en voila je bent ingelogd. Dat kan niet als er alleen een 'id' in zit.