[Rabo internetbankieren] Waarom telkens code invoeren? *

[spaceboy]

Er zit me iets dwars. Ik bankier via internet met de Rabobank. Dan heb je zo'n "RANDOM READER".

WAT zit mij dwars? Als je inlogt moet je dat pasje erin doen, je pincode intypen en je krijgt een code terug. Samen met je rekeningnummer is deze code nodig om je rekeninginfo te bekijken. So far so good, het zou vreemd zijn als je bij je buurman z'n gegevens kon bekijken.

Dan ga je geld overmaken. Je wilt je opdrachten versturen en wat schetst mijn verbazing? Je moet WEER die random reader gebruiken. Volgens mij had ik mij al bekend gemaakt bij de website en mag je er vanuit gaan dat ik nog steeds dezelfde ben (zet desnoods de sessie-tijd om 1 minuut als je bang bent dat iemand in het internetcafe mijn plek heeft ingenomen).

Maar goed, ik ben de beroerdste niet, stel ik vind het prima en ga nog 'n m'n pincode intypen op die RANDOM READER. Dan ben je er nog niet!! Neeee! Stel je voor! Dan moet je nog een extra controle-code intypen. Het nut van deze laatste check ontgaat mij wer-ke-lijk compleet! STEL er is een kwaadwillend persoon zover gekomen dat hij die extra controle moet invoeren, dan denk hij echt niet opeens "ho shit, dat nummer OVERTYPEN van het scherm, DAT durf ik niet". Of vergeet ik iets? Wat zijn dat voor klunzen bij de Rabobank?

(een ander probleem waar ik aan voorbij ga is dat onder WinXP de rekeningnummer-info niet wordt altijd wordt bewaard voor bij het inloggen, maar dat zie ik nu even door de vingers)

Iemand een idee waarom ik mij voor nix druk maak?

[Guardian Angel]

10x een code invoeren dan 1x lijkt mij persoonlijk heel wat veiliger. Als dat je stoort, jammer dan denk ik.

De 'klunzen' van de RABO-bank hebben, denk ik, hetzelfde idee gehad. Omdat ook ik een kluns ben vindt ik hun idee uiteraard fantastisch.

[Anoniem: 35417]

Ik denk dat je blij moet zijn dat er zoveel aandacht wordt besteed aan beveiliging. Als er eens €5000 via telebankieren van je gejat wordt piep je wel anders denk ik.

En over die laatste check kan ik het volgende zeggen: deze is er om geautomatiseerde scripts tegen te gaan. Wordt lang niet alleen bij Rabobank gebruikt

[Anoniem: 55140]

Titelfix.

Hoewel ik betwijfel of dit topic wat wordt, laat ik hem voor nu even leven.

edit:
Enhanced titelfix: tele --> internet

[ Voor 22% gewijzigd door Anoniem: 55140 op 25-02-2004 20:01 ]

[tstrik]

Trouwens je haalt twee dingen door elkaar, telebankieren en internetbankieren.
Wie is hier nu de grootste kluns?

[spaceboy]

GuardianAngel schreef op 25 februari 2004 @ 19:55:
10x een code invoeren dan 1x lijkt mij persoonlijk heel wat veiliger. Als dat je stoort, jammer dan denk ik.

De 'klunzen' van de RABO-bank hebben, denk ik, hetzelfde idee gehad. Omdat ook ik een kluns ben vindt ik hun idee uiteraard fantastisch.

Oke, maar simpel gezegd: het heeft toch gewoon werkelijk geen ene fuck nut om een nummer over te typen van je scherm? Als iemand mijn RANDOM READER en PASJE en PINCODE heeft gejat (ik ga even uit van worst case) dan helpt zo'n extra controle-code echt helemaal geen reet. Als het 0.000000000002% zou helpen zou ik volmondig ja-stemmen, maar het HEEFT GEWOON GEEN NUT.

En dat "klunzen" is gebaseerd om het feit dat ik al gecommuniceerd heb met de Rabo over dat probleem met het niet onthouden van rekeningnummers. Dat ligt eraan dat de cookies niet bewaard blijven "als de frontpage veranderd". Die lui WETEN gewoon waar het probleem ligt. Je maakt mij niet wijs dat als je een VMBO'er uit de eerste klas plukt die maximaal 1x een CU2-pagina voor z'n Br33zah-zusje in elkaar heeft gedraaid dit niet binnen een week heeft opgelost. Maar deze duurbetaalde heren laten dit probleem al maanden (!) zitten.

[spaceboy]

tstrik schreef op 25 februari 2004 @ 19:58:
Trouwens je haalt twee dingen door elkaar, telebankieren en internetbankieren.
Wie is hier nu de grootste kluns?

IK vind het telebankieren (op afstand). Dat de Rabobank zo duf is om dit als twee verschillende zaken te zien vind ik niet interessant. Maar goed, zo je wilt: ik heb het over internetbankieren.

[spaceboy]

Anoniem: 35417 schreef op 25 februari 2004 @ 19:56:
En over die laatste check kan ik het volgende zeggen: deze is er om geautomatiseerde scripts tegen te gaan. Wordt lang niet alleen bij Rabobank gebruikt

Kun je dat 's uitleggen? Ben wel benieuwd naar de extra beveiligingsfunctie die die extra code dan heeft tegen "geautomatiseerde scripts". Het antwoord (de confirmatie code) die je moet geven is namelijk een bepaald aantal karakters, of bedoel je niet een brute-force attack?

[Anoniem: 55140]

spaceboy:
Gebruik de edit-knop aub, je zit hier nu lang genoeg om van het bestaan ervan af te weten.

[Wilke]

De ABN Amro bank doet precies hetzelfde, en met goede reden.

Omdat het HTTP-protocol stateless is, is het vrij gemakkelijk om een "sessie" over te nemen (man in the middle attack). Als bv. mijn huisgenoot, of iemand bij een ISP, of waar dan ook in het traject tussen mij en de bank mijn verkeer kan sniffen, is het nog net niet triviaal voor diegene om gewoon pakketjes te sturen met mijn session-ID etc. en zo te 'faken' dat ik een betalingsopdracht verstuur. Zodra ik ingelogd ben en iemand mijn session-ID heeft, ben ik dan in feite verloren (ok, misschien moet je nog wat dingen doen met IP's faken e.d. - maar dat is allemaal bekende technologie en je hoeft echt niet briljant te zijn om dat te kunnen).

Daarom wordt dus *elke* keer op het moment dat jij een belangrijke pagina (zoals een overboeking) submit zo'n code gevraagd en meegestuurd met het request waarbij de feitelijke actie uitgevoerd wordt. Een veilig alternatief is er domweg niet, of je moet aan hele andere dingen dan HTTP gaan denken (maar dan kun je het geen 'internet bankieren' meer noemen, aangezien de meeste mensen daarbij denken aan een webinterface, al hoeft dat strikt genomen natuurlijk helemaal niet).


No offense, maar voordat je zo vol overtuiging zelfs de Rabo-bank gaat 'uitschelden' omdat ze hebben geprobeerd dit te voorkomen, zou ik proberen te begrijpen waarom het gaat

De Postbank doet dit trouwens ook, weliswaar met een ander systeem. Op het moment dat je iets overboekt wordt de TAN-code meegestuurd. Als je het ooit gebruikt hebt zal het je opvallen dat ook daar de code opgestuurd wordt met dezelfde request als waarin de gegevens (rekeningnummer, bedrag etc.) staan.

[Anoniem: 17731]

rabobank had toch zo'n prijs gewonnen ofzo? ze waren de op 1 na beste bank qua Internet bankieren in Europa na een Skandinavische bank. Dus het zal best wel goed zijn. Ik gebruik het zelf ook naar volle tevredenheid. Ik heb er geen moeite mee om 2 a 3 keer een code in te voeren. kost me 10 seconden en als dat de beveiliging omhoog schroeft heb ik er zeker geen moeite mee. Ik neem aan dat die laatste "check" code bedoeld is voor hackers e.d.? je moet die code in je random reader invoeren, een hacker heeft als het goed is niet JOUW random reader. Ik denk dat het hem daar in zit of denk ik nu te simpel.

[spaceboy]

Wilke schreef op 25 februari 2004 @ 20:40:
..uitleg...

Ah, dat verklaart een hoop. Misschien ben ik dan inderdaad wel iets te snel met m'n conclusies.

Stateless of niet, ik blijf de extra controle-check vreemd vinden. Als je die namelijk weg zou halen zou je als hacker (of je nou als man-in-the-middle een attack uitvoert of niet) volgens mij nog net zoveel kans hebben om het 8-cijferige getal te gokken als zonder die extra controle (dus alleen met je RANDOM READER en pincode).

Anyway, bedankt voor de uitleg, in het vervolg ga ik iets minder pissig die code 3x intypen.

[_JGC_]

8 cijferig getal gokken heeft niet zoveel zin. Dat merkt degene die internetbankieren gebruikt, aangezien ie er dan uitgegooid zal worden en zn account geblokkeerd zal worden.

Heb ik destijds ook gehad, was iets mis met mn digipass gebeuren. Ik 4x proberen, account geblokkeerd. Bank bellen, opgelost, weer 4x proberen, weer geblokkeerd. Weer bellen, kreeg ik die random reader.

Het ding mag dan wel irritant zijn, maar het ding is veel makkelijker dan dat oude systeem met de digipass: je hoeft nu alleen je banknummer en PIN te onthouden, toen moest je ook je gebruikersnummer en een 5-cijferige PIN onthouden, en moest je hetzelfde typritueel doen bij elke betaling die jij in je topicstart beschrijft.

[DutchCommando]

spaceboy schreef op 25 februari 2004 @ 21:48:
[...]
Anyway, bedankt voor de uitleg, in het vervolg ga ik iets minder pissig die code 3x intypen.

3x? 2x is voldoende lijkt mij:

- Inloggen
Betalingen stacken en dan
- Verzenden

[SysRq]

spaceboy schreef op 25 februari 2004 @ 21:48:
[...]
Stateless of niet, ik blijf de extra controle-check vreemd vinden. Als je die namelijk weg zou halen zou je als hacker (of je nou als man-in-the-middle een attack uitvoert of niet) volgens mij nog net zoveel kans hebben om het 8-cijferige getal te gokken als zonder die extra controle (dus alleen met je RANDOM READER en pincode).

Volgens mij zie je nog wat over het hoofd: als je namelijk het controlegetal verkeerd invoert (wat dus gebeurt als je het getal probeert te raden"), moet je direct een (langer) 2de controlegetal invoerreen. Dus 2x controle. (Probeer het maar eens: een verkeerd getal ingeven)

[Wilke]

spaceboy schreef op 25 februari 2004 @ 21:48:
Als je die [extra check] namelijk weg zou halen zou je als hacker (of je nou als man-in-the-middle een attack uitvoert of niet) volgens mij nog net zoveel kans hebben om het 8-cijferige getal te gokken als zonder die extra controle (dus alleen met je RANDOM READER en pincode).

Nou: de kans dat je een 8-cijferig getal goed gokt (vooral omdat je maar 4 pogingen hebt) is erg, heel erg klein. 1 op 100 miljoen om precies te zijn (of 1 op 25 miljoen als je de 4 pogingen meetelt). Volgens mij kun je dan beter aan de staatsloterij gaan meedoen

Zonder die extra controle is de kans dat het lukt gelijk aan 1 (het lukt dus altijd), tenminste als je al zover bent dat je iemand z'n sessie kunt overnemen. Zoals gezegd is dat theoretisch gezien echt niet moeilijk, en als het theoretisch mogelijk is kun je er gewoon op wachten tot iemand het ook gaat proberen.

Anyway, bedankt voor de uitleg, in het vervolg ga ik iets minder pissig die code 3x intypen.

Okee, geen probleem

Banken zijn meestal nog niet zo dom als ze er uit zien als het om geld gaat hoor

[Anoniem: 91561]

Dit is heel normaal hoor spaceboy. Banken zijn van nature liever voorzichtig dan gemakzuchtig. En gelukkig maar want zij moeten over mijn centjes waken.

De achterliggende gedachten zijn als volgt:

1e keer inloggen: Jij vult m.b.v. je randomreader en bankpas en pinkode in op de RABO site. Ook dit gaat met een encryptie gepaard.

Nu kan je alleen nog informatie ophalen van jouw rekening account(s). Verder kan je er niet zoveel meer mee doen.

Mocht om wat voor reden dan ook de informatie uitwisseling tussen jouw en de bank ook bij anderen bekend is, kunnen ze er niets mee. Hooguit balen dat je zoveel geld op je rekening hebt staan

Ga je daadwerkelijke transakties uitvoeren, zit er nog een beveiliging ingebouwd. Nu een stuk lastiger te kraken. Wederom met je bankpas, pincode en randomreader. Maar nu komt er een vergelikbare code uit bij de bank. Die heeft nl een code gegenereerd die jij moet intoetsen, waarna de bank kontroleerd of het dezelfde code is. Pas daarna kan je daadwerkelijk transakties doen met je eigen bank account.

Ik begrijp nu even niet waarom je tegen deze gang van zaken bent. Je kan toch logisch nadenkend, begrijpen dat als banken hun hele rekeningenbestand online zetten op het internet, dat zij dat zo veilig mogelijk willen doen tegenover zoveel mogelijk gebruikersgemak?

Ik maak al vele jaren gebruik van rabo internet bankieren en tot grote tevredenheid kan ik je vertellen. Er komen zelfs steeds nieuwe services bij.

Desondanks denk dat je wel een primeur heb met je topic. Volgens mij heb ik nog nooit iemand horen klagen dat een internet beveiliging bij banken TE is....

(ja das een grapje natuurlijk)

[spaceboy]

SysRq schreef op 26 februari 2004 @ 13:26:
[...]


Volgens mij zie je nog wat over het hoofd: als je namelijk het controlegetal verkeerd invoert (wat dus gebeurt als je het getal probeert te raden"), moet je direct een (langer) 2de controlegetal invoerreen. Dus 2x controle. (Probeer het maar eens: een verkeerd getal ingeven)

Aaahaa! Kijk, dat is ook nieuwe informatie, langzaam maar zeker begint het sense te maken.