Sikkerheten i norske nettbanker slaktes

[OHJohansen]

Hele åtte av ti nettbanker var for dårlig sikret mot dataangrep og utro tjenere, hevder ny undersøkelse.

 

Sikkerheten i norske nettbanker slaktes

[Leftie]

De "ønsker ikke å skade rennomé"? Hvis enkle fakta kan skade en banks rennomé, er det kanskje fordi bankens rennomé er bygd på falsk informasjon?

 

For meg er det absolutt relevant hva slags kompetanse min bank har når det gjelder IT-sikkerhet, så hvorfor skal ikke dette være åpen informasjon? "Security by obscurity is no security at all."

[elf_man]

Skjønner ikke heller hvorfor dette skal være hemmelig. Det er ingen selvfølge at de bankene det gjelder følger dette opp. For meg fremstår dette nesten som utpressing..

[DanteUseless]

Ser for meg at Encripto har inngått avtaler med de enkelte bedrifter de kjørte tester mot dem, og tipper det var noen klausuler der som hindret dem i å "drite" ut noen

Og om noen ønsker å overleve som bedrift så lønner det seg nok å følge spillereglene.

[elf_man]

Ser for meg at Encripto har inngått avtaler med de enkelte bedrifter de kjørte tester mot dem, og tipper det var noen klausuler der som hindret dem i å "drite" ut noen

Og om noen ønsker å overleve som bedrift så lønner det seg nok å følge spillereglene.

 

Ikke enig, de understreker at dette er 'offentlige data', så for meg fremstår dette noe de har testet på egenhånd. Igjen, står ikke nok i artikkelen til å konkludere med noe som helst

[FrihetensRegn]

Hva slags sensitiv informasjon kan uønskede personer skaffe seg? PIN koder?

 

Må de bryte krypteringen for å greie det, eller omgår de den simpelthen?

[0stepop]

Da jeg fant en svakhet i BankID, fant jeg ingen direkte måte å kontakte BankID på. Heller ikke banken min kunne forklare hvordan man kom i kontakt med dem. Jeg måtte til slutt henvende meg til Datatilsynet. Datatilsynet tok min sak videre, og opplevde at de var de eneste som forstod og klarte å ta meg alvorlig.

 

Problemet ble fikset etter en uke, og all kommunikasjon foregikk med min kontakt i Datatilsynet som mellommann. Jeg regnet med at BankID var glade for oppdagelsen, men nei. De sendte et brev til meg en måned etterpå, hvor de skrev at det er fyfy å lete etter feil i tjenester deres, og at de ville sette opp et møte med meg i Oslo. Jeg takket nei, fordi datoen kolliderte med sommerferien min. Spurte dem om de kunne gi meg en ny dato senere, men hørte aldri noe mere fra dem.

 

En slik opplevelse motiverer ikke akkurat til å opplyse om feil. Litt takknemlig kunne de da ha vært.

[FrihetensRegn]

@0stepop: Det er da ikke så vanskelig:

 

https://www.bankid.no/Om-oss/Kontakt-oss/

 

https://www.bankid.no/Om-oss/BankID-Norge/

[mhsalangli]

"min" nettbank støtter ikke java 7, så da må jeg både ha versjon 7 og en eldre versjon i 6-serien

[Cocunnutttas121]

vet at DNB bestod, men er usikker på den andre som bestod??

[DanteUseless]

Ser for meg at Encripto har inngått avtaler med de enkelte bedrifter de kjørte tester mot dem, og tipper det var noen klausuler der som hindret dem i å "drite" ut noen

Og om noen ønsker å overleve som bedrift så lønner det seg nok å følge spillereglene.

 

Ikke enig, de understreker at dette er 'offentlige data', så for meg fremstår dette noe de har testet på egenhånd. Igjen, står ikke nok i artikkelen til å konkludere med noe som helst

 

Var litt kjapp å myse igjennom artikkelen, og ser nå at PDF'en i TU's artikkel ( http://www.tu.no/multimedia/archive/00181/2011_Sikkerhet_nors_181480a.pdf ) ikke heller sier så fryktelig mye rundt dette..

Men jeg står fortsatt fast på at det ville være lite smart for en bedrift å gå ut med slik info før det har gått "anstendig" med tid og gitt bankene mulighet til å tweake oppsettet sitt. De har nå skapt blest om rapporten sin og kanskje legger noen merke til dem

[Xvani]

Om det er BEAST som er hovedproblemet er ikke dette et så stort hull som hw og kanskje Encripto skal ha det til.

 

Det skal veldig mye til for å få til dette.

 

BEAST-angrep er relativt nytt (Sept. 2011) og er allerede patchet av Java (som er typisk måte å kjøre scriptet på) og de fleste mest brukte nettlesere.

 

 

Orginalbloggen om BEAST:

http://vnhacker.blogspot.com/2011/09/beast.html

 

God forklaring og hvordan Opera håndtere problemet:

http://my.opera.com/securitygroup/blog/2011/09/28/the-beast-ssl-tls-issue

[mistercartman]

Er ikke beast bare en teoretisk mulighet til å lytte på en dialog? Altså ikke så veldig spennende for en kriminell. Og resultatene i testen kan man vel finne ut av ved å kjøre nettbankens lenke inn i en SSL tester.

[0stepop]

@0stepop: Det er da ikke så vanskelig:

 

https://www.bankid.no/Om-oss/Kontakt-oss/

 

https://www.bankid.no/Om-oss/BankID-Norge/

 

Jeg oppdaget feilen i april 2009. Disse sidene er skapt i september 2009...

[BlueBench]

Synes man bør få med i artikkelen at hvermannsen kan lage en lettleselig rapport over sin bank med tjenester som SSL Server Test.

 

Ikke fullt så viktig som i forhold til hvordan det står til med bankene våre selvsagt, men Diskusjon.no burde kanskje se nærmere på implementeringen sin.

Endret 5. februar 2013 av BlueBench