*** Seuraava viesti on lähetetty Nordealle ja samantien pariin muuhunkin paikkaan. Tehkäät omat johtopäätöksenne asiasta ja lähettäkää palautetta Nordealle ko. asiasta jos huvittaa. ***
Käytätte edelleenkin 512bit RSA:ta nettipankkinne SSL-salauksessa. Miksi ette voi uskoa että se ei ole turvallista. Teidän tulisi siirtyä käyttämään vähintään 1024bit, mieluiten 2048bit RSA-avainta nettipankissanne. Varayhteytenne sentään käyttää edes 1024bit RSA-avainta. Olen asiasta keskustellut vastaavienne kanssa jo yli kaksi vuotta sitten, jolloin minulle vakuutettiin että asia on hoidossa ja tilanne tullaan korjaamaan. Mitään ei ole tapahtunut. Ettekkö ymmärrä asian vakavuutta vai eikö teitä yksinkertaisesti kiinnosta pätkääkään?
Onko niin että Nordealle ei asiakkaiden yksityisyys ja turvallisuus merkitse yhtään mitään, ainakaan niin kauan kuin yhtään todistettavaa murtoa ei ole tapahtunut? Oletteko tietoisia että mm. kansainvälinen rikollisuus sekä ulkomaiset tiedustelupalvelut tarkkailevat mielellään rahaliikennettä? Te teette sen luvattoman helpoksi.
Miksi muuten yhä lähetätte tunnukset tavallisen kirjepostin mukana asiakkaallenne ettekä esim. kirjattuna kirjeena tai anna mahdollisuutta hakea ko. tunnuksia konttoreistanne?
Tuossa muutama linkki, toivon että viimeinkin ymmärtäisitte asian vakavuuden:
http://www.eweek.com/article/0,3658,s=712&a=24663,00.asp
http://online.securityfocus.com/archive/1/263924
http://slashdot.org/article.pl?sid=02/02/26/179206&mode=thread&tid=93
http://www.securitynewsportal.com/cgi-bin/cgi-script/csNews/csNews.cgi?database=JanK.db&command=viewone&id=74&op=t
Terveisin,
Markus Jansson
Käytätte edelleenkin 512bit RSA:ta nettipankkinne SSL-salauksessa. Miksi ette voi uskoa että se ei ole turvallista. Teidän tulisi siirtyä käyttämään vähintään 1024bit, mieluiten 2048bit RSA-avainta nettipankissanne. Varayhteytenne sentään käyttää edes 1024bit RSA-avainta. Olen asiasta keskustellut vastaavienne kanssa jo yli kaksi vuotta sitten, jolloin minulle vakuutettiin että asia on hoidossa ja tilanne tullaan korjaamaan. Mitään ei ole tapahtunut. Ettekkö ymmärrä asian vakavuutta vai eikö teitä yksinkertaisesti kiinnosta pätkääkään?
Onko niin että Nordealle ei asiakkaiden yksityisyys ja turvallisuus merkitse yhtään mitään, ainakaan niin kauan kuin yhtään todistettavaa murtoa ei ole tapahtunut? Oletteko tietoisia että mm. kansainvälinen rikollisuus sekä ulkomaiset tiedustelupalvelut tarkkailevat mielellään rahaliikennettä? Te teette sen luvattoman helpoksi.
Miksi muuten yhä lähetätte tunnukset tavallisen kirjepostin mukana asiakkaallenne ettekä esim. kirjattuna kirjeena tai anna mahdollisuutta hakea ko. tunnuksia konttoreistanne?
Tuossa muutama linkki, toivon että viimeinkin ymmärtäisitte asian vakavuuden:
http://www.eweek.com/article/0,3658,s=712&a=24663,00.asp
http://online.securityfocus.com/archive/1/263924
http://slashdot.org/article.pl?sid=02/02/26/179206&mode=thread&tid=93
http://www.securitynewsportal.com/cgi-bin/cgi-script/csNews/csNews.cgi?database=JanK.db&command=viewone&id=74&op=t
Terveisin,
Markus Jansson
Vastaukset 7
Vanhimmat
Solon nettipankki on ihan turvallinen, vaikka se käyttääkin 512bittistä salausta. oletko myös tietoinen että 1024bittinen salaus on myös mahdollista purkaa.
Ensinnäkin jos joku pääsee haistelemaan solo-yhteyden dataa, hän ei siitä juuri mitään irti saa koska yhteysavain/salasana vaihtuu jokaisella kerralla. Tämä haistelija ei siis pääse sisään, hän voi vain saada tietoonsa mitä laskuja maksetaan ja millekkin tilille jne.
Lisäksi vielä vahvistusavaimet, no niitä on tietty määrä ja nekin vaihtuvat aina kun saadaan uusi yhteysavain lista.
Ja vielä viimeiseksi, vaikka henkilö pääsisikin käsiksi henkilön tiliin mitä hän voisi tehdä? siirtää rahat omalle tililleen ja jäädä kiinni?
No tietysti jonkin toisen tilille rahat voisi siirtää, mutta jos näin pääsisi tapahtumaan pankki varmasti peruu siirrot.
Ei se ihan helppoa ole, enemmin pelkäisin sitä että jokin kuuntelee puhepankkipalvelu soittoja kuin internetissä pankki asioimista.
Kaikista toimista jota nettipankissa tehdään jää logi, ip-osoitteiden avulla saadaan aika hyvin ilkeämieliset kaverit kiinni.
Muistuttaisin vielä että kaikki cryptattu tieto joka halutaan jossain vaiheessa purkaa on aina mahdollista saada purettua, keinolla jos toisella. Senhän kertoo jo järkikin.
Entäs muiden pankkejen järjestelmät?
bulletproof my ass... =)
- "Solon nettipankki on ihan turvallinen, vaikka se käyttääkin 512bittistä salausta. oletko myös tietoinen että 1024bittinen salaus on myös mahdollista purkaa."
1024bit RSA:ta ei ole vielä onnistuttu siviilipuolella murtamaan. On esitetty että sen murtaminen tämän uuden mullistavan systeemin avulla olisi todella helppoa mutta sitä ei ole vielä tehty. Sen sijaan 512bit avain on helposti murrettavissa. Muutamassa viikossa se murrettiin viimeksi pienellä kasalla tietokoneita.
- "Ensinnäkin jos joku pääsee haistelemaan solo-yhteyden dataa, hän ei siitä juuri mitään irti saa koska yhteysavain/salasana vaihtuu jokaisella kerralla. Tämä haistelija ei siis pääse sisään, hän voi vain saada tietoonsa mitä laskuja maksetaan ja millekkin tilille jne."
VÄÄRIN.
Jos ja kun ko. sivun RSA on murrettu, murtaja saa tietoonsa KAIKEN liikenteen ja voi tehdä sillä melkein mitä vain. Kun otat yhteyden, hän voi avata sen, kaapata avaimesi ja sulkea yhteytesi tai ohjata sen jonnekin muualle. Sitten hän voi käyttää antamaasi tunnuslukua (joka ei pankille saakka ehtinyt) ihan mihin lystää.
Yhteysavain eli RC4 salausavain vaihtuu joka kerta mutta se salataan tuolla 512bit RSA:lla ja jos se on murrettu...no niin.
- "Lisäksi vielä vahvistusavaimet, no niitä on tietty määrä ja nekin vaihtuvat aina kun saadaan uusi yhteysavain lista."
So? Jos voi purkaa viestinnän niin noita voi kaapata ihan niin monta kuin haluaa uhriltaan. Tai kaapata ne juuri kun olet lähettänyt sen sinne (eli napata se avain ja sulkea sinun yhteytesi).
- "Ja vielä viimeiseksi, vaikka henkilö pääsisikin käsiksi henkilön tiliin mitä hän voisi tehdä? siirtää rahat omalle tililleen ja jäädä kiinni?"
Vakoilla rahaliikennettä, siirtää rahat veroparatiisiin, kiristää uhria tiedoilla jne. Erityisesti ulkomaiset tiedustelupalvelut ovat erittäin halukkaita seuraamaan rahaliikennettä vaikka eivät siihen pyrkisikään muuttamaan mitään.
- "Ei se ihan helppoa ole, enemmin pelkäisin sitä että jokin kuuntelee puhepankkipalvelu soittoja kuin internetissä pankki asioimista."
Totta. Mutta nettipankkipalvelua voi kuunnella vaikka toiselta puolen maapalloa. Puhelinpankkia ei oikein voi.
- "Kaikista toimista jota nettipankissa tehdään jää logi, ip-osoitteiden avulla saadaan aika hyvin ilkeämieliset kaverit kiinni."
Niin jos murtautuu sisään. Jos vain tyytyy urkkimaan tietoja niin sitten ei. Ja IP ei kerro mitään, sen voi peittää hyvin ja helposti. Lisäksi muistuttaisin että pankit eivät taannoin tapahtuneessa pankkikorttihuijauksessa (se missä konnat lisäsivät lukulaitteet pankkiautomaattiin ja kaappasivat pankkikortin tiedot ja tunnusluvun) tehneet mitään ennen kuin uhreja oli kymmenia ja taas kymmeniä. Sitä ennen pankki vain väitti että asiakkaat olivat käyttäneet huolimattomasti pankkikorttiaan.
- "Muistuttaisin vielä että kaikki cryptattu tieto joka halutaan jossain vaiheessa purkaa on aina mahdollista saada purettua, keinolla jos toisella. Senhän kertoo jo järkikin."
Ei kaikki. One-Time-Pad on ehdottoman varma salaus jota ei ole mahdollista purkaa mitenkään koskaan. Mutta pointtina onkin, että tehdään se murtaminen todella vaikeaksi. 512bit RSA ei ole sitä. 1024bit ehkä on ja 2048bit on. Miksi ei valita turvallista vaihtoehtoa kun sellainen on olemassa vaan valitaan selvästi epäturvallinen?!?
- "Entäs muiden pankkejen järjestelmät?
bulletproof my ass... =) "
Aukkoja varmasti niissäkin. Tosin ei noin typeriä ja ilmeisiä kuin Solossa.
Ja sinäkö odottelisit "muutaman viikon" koneesi äärellä ja ihmettelisit miksi pankin serveri ei vastaa sillä aikaa kun murtautuja murskaisi lukuja selvittääkseen yhden vaivaisen tunnusluvun.
Luulisi että tuossa ajassa tulisi mieleen esimerkiksi kokeilla uudelleen kirjautumista yms. tai yhteydenottoa pankkiin.
Varoisin pikemminkin esimerkiksi sitä, että joku asentaa käyttämälleni tietokoneelle näppäimistön kuunteluohjelman joka lähettää kirjoittamani tunnusluvun välittömästi murtautujalle, joka näin ollen ehtii jotain tehdäkin.
Koko Nordean järjestelmä on epäturvallinen. Minulta _katosi_ tililtäni useampi tonni - sain ne takaisin vasta valitusten, jotka maksoivat enempi kuin itse kadonnut määrä, jälkeen. Olivat vielä hyvin tarpeellinen raha joita ilman menetin mm. asuntoni ja työpaikkani. Ei liittynyt nettipankkiin.
En ihmettele yhtään. Nordealla on linja, jonka mukaan mihinkään ei laiteta "turhaan" rahaa. Henkilökunnan määrää ja sen palkkoja pyritään koko ajan pienentämään. Nykyinen henkilöstön määrä ei pysty tekemään kaikkia töitään niin kuin lainsäädäntö ja hyvä pankkitapa edellyttäisi.
Siitä huolimatta henkilöstöä vähennetään koko ajan.
Ohjelmistoissa ja koko pankin toiminnassa on paljon muitakin todella suuria epäkohtia ja aukkoja. Johto tietää sen - tai ainakin sen kuuluisi tietää. Ja onneksi RATA tai lehdistö ei niistä vielä tiedä.
Mihinkään ei siis investoida tai puutteita ei korjata. Se kun vähentää voittojen määrää. Nyt, kun päätökset tehdään Ruotsissa ja Tanskassa - ei pelkkiin Suomen ongelmiin puututa lainkaan. Sitten joskus, jos konserni saa uuden yhteisen atk-ohjelmiston koko pohjolaan - ja kun samalla Suomen atk-toiminto ajetaan alas, silloin ehkä korjataan nämä virheet - ei kuitenkaan aiemmin.
Joku viisas on nimittäin laskenut, että menköön perseeleen vain Suomessa, laitetaan kuitenkin koko konsernin pohjoismainen systeemi ensin kuntoon. Pelkkään Suomen toimintoon ei kannata investoida mitään. Se kun vähentää konsernin tulosta - eikä silloin olisi jakaa niin suuria osinkoja suurimmille osakkeen omistajille (kuten Ruotsin valtiolle).
Jos rahaa halutaan säästää eli ei maksaa sertifikaatin allekirjoittajalle isommasta avaimesta niin se onnistuu erinomaisesti...tätäkään eivät Nordean "tietoturva-asiantuntijat" (minä pidän heitä lähinnä ylipalkattuina pelleinä kun noin perusasioita eivät tajua vaikka rautalangasta vääntää) tajua.
Nordea voisi ITSE tehdä vaikka 2048bit RSA avaimen ja antaa sen avaimen sormenjäljen asiakkaille Nordean konttorissa. Tällöin vertaamalla saadun avaimen sormenjälkeä siihen Nordean tiskiltä saatuun jokainen voisi varmistaa että kyseessä on oikea avain eikä Nordean tarvitsisi maksaa penniäkään kolmannelle osapuolelle.
Puhumattakaan että tuo menettely olisi paljon turvallisempi kuin että luottaa sertifikaatin allekirjoittajatahoon...se allekirjoittajatahohan voi allekirjoittaa teoriassa vaikka kenen avaimen ja sitten tämä "ketä tahansa" voi vaihtaa sen Nordean avaimeen (no okei, tämä on teoreettinen juttu mutta kuitenkin) ja koska internet selaimet eivät varoita koska allekirjoitus on OK (koska on luotettavan sertifikaatinantajan)...ihmiset menevät halpaan!!!
Luin joku aika sitten että Tietoenator on uusimassa koko Nordean Pohjoismaisen nettipankkihomman ja se kestää kolmisen vuotta. Luulisi että seuraavassa projektissa Solon turvallisuus uusitaan tarpeeksi hyvin.