Hva er egentlig sikrest av BankID og innlogging med mobil?

[ilpostino]

Jeg kom over et ganske interesant spørsmål her for ikke så lenge siden. når en logger inn i nettbanken må en bruke en kodebrikke som et sendt fra banken. når en logger inn på MinSide på norge.no får en tilsendt en engangskode til mobiltelefonen og denne koden fungerer tilsvarende som kodebrikken fra banken. spørsmålet er da: hvilken av disse løsningene er sikrest? jeg regner med at begge har den samme krypteringen i bunn. det er jo for eksempel mulig å overvåke mobilnettet men dette blir jo litt verre når en bruker en kodegenerator en sitter med i lankene.

[Flimzes]

For minside så trenger du

personnummer

Personlig kode

mobiltelefonen

 

For nordea innlogging trenger du

Personnummer

Personlig kode

Kodegeneratoren

Pinkode for generatoren

 

Så om du har lås på telefonen med kode så er det vel mye av det samme.

[iChristian]

Med andre banker, som Storebrand og DNB så trenger du ikke den siste pinkoden du nevner der. Men ved SB1 så trenger du pin-kode.

[Flimzes]

Den største forskjellen ligger jo i at telefonen er langt mer utsatt og personlig enn kodegeneratoren. Om du finner en kodegenerator har du ikke nubbesjans å finne hvem som eier den, om du finner en mobiltelefon så er det lett å finne eier.

 

Personnummer er vel dog fortsatt noenlunde skjult, så det forutsetter at du kjenner personen likevel.

[J@9]

Hos SpareBank1 så må man sette bank kortet inn i kodebrikka, så her kan man bruke hvilken som helst kodebrikke.

Så det man trenger er:

Person nr.

Personlig kode og engangs kode fra kodebrikka via bank kortet.

 

Mener å ha hørt at man kan bruke mobilen her også.. men da måtte man vel ha noe pin koder for å få aktivert denne tjenesten.. og det har ikke jeg.

[Thorsen]

Med andre banker, som Storebrand og DNB så trenger du ikke den siste pinkoden du nevner der. Men ved SB1 så trenger du pin-kode.

 

Jeg har DNB og bruker selv såkalt kodekalkulator, altså brikke med pinkode som må tastes først. Men jeg vet at andre som har DNB har brikker uten pinkode. Mulig de opererer med to forskjellige system.

[iChristian]

Det er antagelig datoen for når de fikk kodebrikken sin som avgjør det. Antar jeg, men det er ren gjetning.

[BuffyAnneSummers]

Jeg bruker DnbNor, taster bare inn personnummer, personlig kode og så kode fra kodebrikken.

Enkelt og greit, og hvis jeg bruker typens androidmobil som husker personnummeret mitt så taster jeg bare inn passord og kode.

[Zoxc]

Vis du oppgir din BankID på andre nettsider en banken din så vil BankID være klart usikrest.

[Flimzes]

Nå vet jeg ikke om visa sitt betalingsystem har endret seg kraftig de siste ukene, men man oppgir da vitterlig ikke bankid til andre enn visa eller banken?

[guttorm]

BankID blir brukt av mange forskjellige for identifikasjon. Feks Min side, fonds forvaltere, Norsk tipping osv.

[ilpostino]

Verified by Visa og Mastercard Securecode er vel i praksis en tillegsfunksjon som gjør netthanding sikrere.

[Gebby]

https://www.altinn.no/no/Portalhjelp/Innlogging-og-rapportering/Valg-av-innloggingsmetode-2/

 

Jeg skjønte ikke helt hvorfor spillerkort er godkjent som sikkerhetsnivå 4, men det meste er forklart ganske greit her.

[Zoxc]

Jeg har aldri blitt redirigert til min bank sin nettside når jeg har kjøpt noe ved brukt av BankID.

[bOMS]

Jeg har aldri blitt redirigert til min bank sin nettside når jeg har kjøpt noe ved brukt av BankID.

 

Nei, men du blir redirigert til en bankID side som tar seg av og håndterer bekreftelsen på at du er riktig person gjennom kode+personlig passord.

[w00pla]

De som ikke har bankID blir bare kjørt gjennom prosessen, mens for de av oss som har bankID (stort sett hele Norge elns.) blir vi redirigert til BBS (Bankenes BetalingsSentral) som håndterer transaksjonen på vegne av alle norske banker. BBS står forøvrig bak BankAxept og BankID.

 

Sparebank1 holder for øyeblikket på å teste ut noe som de kaller MobilBankID. Dette systemet kobles mot simkortet ditt, men om det krever noen form for autentisering i tillegg til den personlig koden i nettbanken vet jeg ikke.

 

Det viktigste blant alle disse systemene er nok å ha en sikker personlig kode. Selv bruker jeg en relativt lang passfrase. Antallet tegn gjør at den er forholdsvis umulig å brute-force uansett datakraft tilgjengelig. Har man kortere passord (8-12 tegn) så kan disse brute-forces på rimelig kort tid om man leier inn datakraft for å crunche slike. Enda verre er det jo om man bruker samme passord på nettbanken som man bruker andre steder. Mange er jo veldig ukritiske til hvor de benytter de samme passordene og blir ofte ofre for phishing, eller tilfeller hvor nettsider med dårlig sikkerhet blir cracket og passord stjålet.

 

Men begge systemer svikter uansett om man har litt personalia og brukerens passord + kort eller mobil.

 

----

F-secure har en artikkel om sikker lagring av passord for systemutviklere

http://www.f-secure.com/weblog/archives/00002095.html

 

Forøvrig en annen og spennende innfallsvinkel på å lagre sikre passord, her et system som skal sikre at det er mennesker som interagerer med innloggingen ved hjelp av "captcha's". Faktisk så er tanken at passordet skal være todelt, slik at captchaen utgjør en del av passordet. http://eprint.iacr.org/2011/172.pdf

[Mechablast]

Hos SpareBank1 så må man sette bank kortet inn i kodebrikka, så her kan man bruke hvilken som helst kodebrikke.

Så det man trenger er:

Person nr.

Personlig kode og engangs kode fra kodebrikka via bank kortet.

 

Mener å ha hørt at man kan bruke mobilen her også.. men da måtte man vel ha noe pin koder for å få aktivert denne tjenesten.. og det har ikke jeg.

 

Bruker en 4 sifret pinkode på mobilen for å få koder til innlogging i banken, veldig kjekt å ha om en er på farten og ikke har kortleseren med seg overalt, den tåler ikke å ligge i lommen, slutter å virke etter en stund.

Endret 28. april 2011 av arjato

[Zoxc]

Å bli redirigert til en annen siden enn bankens er bare idioti, men mindre din bank har klart og tydelig informert om dette...

[srbz]

Sikkerhetsnivåer

 

Sikkerhetsnivå 4 - Innlogging med smartkort fra Buypass eller virksomhetssertifikat

 

Logger du inn med et Buypass smartkort eller virksomhetssertifikat får du tilgang på det høyeste sikkerhetsnivået i Altinn. Dette sikkerhetsnivået er nødvendig blant annet for å signere gjeldsbrev hos Lånekassen og sende inn bostyrers innberetning.

Jeg har da signert plenty gjeldsbrev hos Lånekassen, og har aldri hatt noe Buypass?

[iChristian]

Men har du signert det via altinn?