Nordbanken varnar...

#0 Men engångskoderna är inte genererade efter personnummer vad jag vet... Utan baserat på att man aktiverar kortet med första kod så vet systemet om vilket kodkort man har. 

Tror det funkar så.

#0: Jag håller med. Det kan räcka att ta över den pågående sessionen för att tömma konton. Då spelar det ingen roll om det är engångskoder, Digipass eller något annat.

Vänliga hälsningar

Niklas

-------------
Gillar du nya uppfinningar, upptäckter, idéer, tjänster och produkter?
Gå med i gruppen PreTrend.
-------------

Stry! Det enda en hacker behöver veta är vilka parametrar som används för att logga in och dessa parametrars inbördes förhållande. Samtidigt är det som Nicklas säger att det finns fler sätt som är enklare, dvs ta över sessionen så vissa trojaner är styrande..

Läbbigt, jag fattar inte varför man inte kan göra systemen säkra mot intrång. 

Någon som vet om Nordea ersatte kunden?

Oskar 

P.N det finns inga inbördes förhållanden mellan engångskoder och andra parameter. Därmed omöjligt att räkna ut några förhållanden. Skickar du ut pengar utanför banken måste du kvittera med engångskod. Koden kan bara användas en gång så man har ingen nytta av koden även om man skulle se det med hjälp av trojaner.

Mvh kari

Måste säga att jag gillar de här engångskoderna hos Nordea. De är största anledningen till att jag inte byter bank. Ett litet kort i plånboken som alltid fungerar överallt.

Vägrar att släpa runt på en elektronisk dosa som jag med största sannolikhet antingen tappat bort eller lyckats ha sönder just när jag behöver den som mest...

För att inte tala om att installera något certifikat i en viss dator och sedan vara beroende av att just denna Windowsmaskin fungerar varje gång jag behöver nå min bank, huvaligen!

Finns det någon annan bank som har ett vettigt, portabelt och idiotsäkert system?
(idiotsäkert = så enkelt och tillförlitligt att även en idiot klarar av att använda det)

Nja det där tror jag nog är en sanning med modifikation. Det måste finnas en koppling mellan ett kontonr och en kod för att koden överhuvudtaget skall göra någon nytta. Jag kan inte säga att jag känner till hur alla typer av säkerhetssystem fungerar, men om inte ovanstående gäller är det en brist i logiken givet att inte skrapkoderna är förutbestämda i en särskild ordning. Men det skulle bli väldiga problem om någon skojfrisk person får för sig att skrapa en eller flera koder varför oordning uppstår. Dock är jag osäker på hur det funkerar med skrapkoder i praktiken.

Vid användning av digipass är det helt klart så att det föreligger ett samband mellan personnummer, två nycklar och antagligen även digipassets egen kod. Vet man de tre första parametrarna och kan upprepa studien för kontroll är det inga problem att låta en dator räkna fram korrekt nyckel.

Enda sammanband som finns med mina engångskoder och kontot finns i bankens dator. För att kunna se sammanbandet mellan koder och kontot så måste hackaren gå in i bankens dator. Så att mera logig finns inte. Därmed är det kanske det säkraste systemet som fiins.

Mvh kari

Antag att du skall logga in på banken via internet..

Nu vet jag inte hur det fungerar med nordbanken, men man måste väl rimligen ange något kontonummer eller personnummer för att kunna logga in. För att logga in skall engångskoden anges.  Alltså måste det finnas ett logiskt samband mellan kod och kontonr/personnr. Det gäller alltså att räkna ut det logiska sambandet oavsett i vilken dator det befinner sig.

I RSA krypteringens ungdom användes 128 bitars kryptering. På den tiden skulle en P200 Mhz dator behövt drygt 2000 år på sig för att hitta rätt nyckel, men man instiftade ett pris till den som först lyckats knäcka krypteringen till ett meddelande och det tog ett halvår innan det var knäckt. För att ge en bild av krypteringens styrka motsvarade antalet potentiella nycklar ett antal som översteg samtliga atomer på jorden.

Helt klart kan man inte säga att det är omöjligt att knäcka koden, men fortfarande kan man med en trojan ta över sessionen, vilket är betydligt enklare och resultatet detsamma. 

#10 Det behöver inte finnas ett direkt logiskt samband. Koderna kan ju vara slumpade. Det viktiga är ju att Nordea vet vilka slumpade tal det finns på ditt kort.

Tror på karis version.

Fast det går säkert att räkna ut vilken slumpmetod och vilket frö som använts men knappast utifrån några få koder...

#3 Tror du har fel där.

#6 Precis

#7 Gillar dem också, förutom att det känns lite töntigt att sitta och skrapa fram koder. Flashigare och så med en dosa, om den funkar dvs.

#9, 10 Engångs-koden och person-nr har inget samband i klientdatorn. Bankens server vet vilket kodkort som är låst/kopplat till ett specifikt person-nr. Så en trojan som tar över klient-session kan inte göra överföringar, för det skall inte gå att generera engångskoder då de ej är skapade utefter något speciellt person-nr (de är slumpade). Ett kort med engångs koder kan aktiveras av vilken användare som helst, bara servern vet första koden så fattar den vilket kort du har.

Så har jag förståt att det funkar. 

#11 Ja de torde vara slumpade. Och det är svårt att se någon systematik i en slumpning ;))))

Inlägget är redigerat av författaren.

Jag tillåter mig att tvivla på systemets totala säkerhet, men som jag nämnde tidigare är jag inte bekant med Norbankens upplägg och då är det svårt att vara tvärsäker.

Men vad gäller FSB och SEB är jag dock tvärsäker.. 

#13 Totlat säkert är det ej, går väl att hacka servern. Men den är nog svår.... men ej omöjlig. 

#14 bl a. Slumpade? Nja troligtvis inte. Detta eftersom datorgenererade slumtalserier trots allt inte är rent slumpmässigt utvalda, utan bygger på en sk slumptalsgenerator som innehåller en oerhört lång, men dock finitiv, serie tal. I "vardagliga" göromål kommer denna serie att uppfattas som helt slumpartad, men när det kommer till krypteringsäkerhet räcker det oftast inte till.

Utan att exakt veta hur dessa engångskoder skapas, är min gissning att de skapas utifrån sk envägsfunktioner. Definitionen av en envägsfunktion är att den är icke-reversibel kontra en tvägsfunktion som är reversibel (ett enkelt exempel på en envägsunktion kan vara att blanda blå och röd färg för att få lila, det är lätt och snabbt gjort, men när det kommer till att separera dessa för att återfå de ursprungliga färgeran är det lite svårare).

Min gissning är alltså att alla engångskoder på ett kort är uträknade genom olika envägsfunktioner. Genom att änvända det första talet på kortet vet datorn vilka envägsfunktioner som använts och kan därför veta vilka koder som finns på resten av kortet. Det gör att det spelar ingen roll i vilken ordning kortets tal används, däremot kan man inte använda samma kod 2 gånger, då datorn eliminerar de använda talen från sion sifferserie. När talen skapas används kontonummer (eller personnummer) som en av parametrarna för att skapa sifferserierna, därmed blir varje kort med engångskoder unikt kopplat till just den kunden.

Det är på detta som det assymetriska kryptosystemet RSA bygger (kallas även för kryptering med öppen nyckel).

Men, detta är bara min tro på det hela, och u.t är absolut inte någon expert på vare sig kryptering eller datorer, så man får väl ta min gissning utifrån de parametrarna :-)

mvh/Snoff

#15 Tack för infon, jo du har rätt ang. slumpningen... men man kan ju använda en mer avancerad slumpning?

Förstår att servern förstår vilket kort det är när den får första koden inmatad. Men själva slumpningen måste väl inte ha något mer person-konto nr. att göra? Jag kan ju använda ditt kort första gången och du mitt.

Då gäller det att knäcka serverns slumpning och få fram första koden på kortet för att generera resten? Detta för att hacka systemet. 

#15

Det finns sätt att generera äkta slumptalsserier. En algoritm som baseras på något som är slumartat exempelvis bakgrundsstålingen, kan skapa äkta slumptal. 

Sedan är det nog som du säger att det är modulära beräkningar som ligger i grunden, kanske tillsammmans med äkta slumptalsserier.

AktieTrader

#16

Hmm, inte säker på att jag är med på hur Du menar. För om vi skulle kunna byta kort så skulle DU ju kunna logga in på vem som helst konto genom ett eget kort, bara Du prickar in skarven mellan kortbyten för det kontot.

#17

Du har helt rätt gällande slumptalsgenerator via t ex bakgrundstrålning. Men jag har för mig att det inte är helt praktiskt att förse "vanliga" datorer med denna typ av funktion, utan att de slupmtalsgeneratorer som de flesta datorer jobbar med kommer från en dylik generator, men är endast en oerhörd lång serie av tal skapad och importerad via en dylikt generator. 

Ja, jag skulle tro att det är modulära beräkningar som används. De flesta dosor används väl på så sätt att banken skickar ett eller två 4siffriga tal till Dig som Du matar in i din dosa tillsammans med med en av Dig vald 4 siffrig kombination. Du svarar sedan bankens server med det tal som blir resultatet av en enägsfunktion inne i din dosa. Banken känner inte till Din hemlig nyckel, men genom att den vet vilken envägsfunktion just Din nosa är programerad med kan den räkna ut vilket resultatet skall bli och jämföra den med det som Du matar in till servern.

/Snoff

#18 Nej, måste logga in med gamla kortet och väl innen knappa in en kod från nya kortet, då kopplas det nya till dig. Uttryckte mig lite klumpigt kanske.

Men korten i sig är inte special genererade efter nåra parametrar så som pers-nr/konto-nr för just dig.

#20

Aha, OK, då förstår jag. Jag får väl skffa nåt konto med engångkoder så att vet lite mer nästa gång.... :-)

/Snoff