pääsee nettipankkiisi

Siltikin väittäisin sen olevan teoriassa täysin mahdollista. Käytännössä kuitenkin hieman hankalaa.

Voi kunpa olisikin pilaa.
Katso esim.:
http://www.digitoday.fi/showPage.php?page_id=14&news_id=29717

Digitoday kirjoitti:

Voi kunpa olisikin pilaa.
Katso esim.:
http://www.digitoday.fi/showPage.php?page_id=14&news_id=29717

heh heh. Aprillipilaahan tuokin juttu on.
Lueppa huomenna asiasta tarkempaa tietoa. -:)

on aprilliä kirjoitti:

heh heh. Aprillipilaahan tuokin juttu on.
Lueppa huomenna asiasta tarkempaa tietoa. -:)

, niin kumma, että kaikki menevät samaan halpaan:
http://www.itviikko.fi/

Heh, heh kirjoitti:

, niin kumma, että kaikki menevät samaan halpaan:
http://www.itviikko.fi/

Näissä jutuissa kaikki on selitetty liian teknisesti jotta se näyttäisi kovin vaikealta.

Helpoin tapa on lukea Windowsin näppäinpuskuria ja kerätä sieltä tunnukset ja salasanat talteen.

Netissä on kasapäin ohjelmia jotka pystyvät tähän.

Tonttu kirjoitti:

Näissä jutuissa kaikki on selitetty liian teknisesti jotta se näyttäisi kovin vaikealta.

Helpoin tapa on lukea Windowsin näppäinpuskuria ja kerätä sieltä tunnukset ja salasanat talteen.

Netissä on kasapäin ohjelmia jotka pystyvät tähän.

Tässä oli taas vuosisadan paljastus...

Muutenkin harmittaa toi, että "aloittelijakin voi kaapata yhteyden -- jos jos ja jos". Todellisuudessa kenelläkään ei ole tällaiseen taitoa. Aika ihmeellistä, että tuollainen "turvallisuusuhka" on ollut jo vuosia, mutta mitään ongelmia ei ole ollut.

Mutta toi näppäin juttu ei toimi, koska joka kerta kun menee nettipankkiin ja lopettaa nettipankissa laskujen maksun täytyy syöttää varmistukoodi. Nämä käyttökoodit muuttuvat/vanhenevat yhden käyttökerran jälkeen (näin muistelisin), joten ne kerätyt salasanat olisivat vanhoja.

Ja muutenkin mitä tällaisessa nettipankissa krakkeri tekisi? Maksaisi omat laskunsa? Siirtäisi rahat omalle tililleen? Ei ainakaan kuulostaisi kovin fiksulta... Aprillipilaa tai ei, maksimissaan puolitotuutta.

Kyy kirjoitti:

Tässä oli taas vuosisadan paljastus...

Muutenkin harmittaa toi, että "aloittelijakin voi kaapata yhteyden -- jos jos ja jos". Todellisuudessa kenelläkään ei ole tällaiseen taitoa. Aika ihmeellistä, että tuollainen "turvallisuusuhka" on ollut jo vuosia, mutta mitään ongelmia ei ole ollut.

Mutta toi näppäin juttu ei toimi, koska joka kerta kun menee nettipankkiin ja lopettaa nettipankissa laskujen maksun täytyy syöttää varmistukoodi. Nämä käyttökoodit muuttuvat/vanhenevat yhden käyttökerran jälkeen (näin muistelisin), joten ne kerätyt salasanat olisivat vanhoja.

Ja muutenkin mitä tällaisessa nettipankissa krakkeri tekisi? Maksaisi omat laskunsa? Siirtäisi rahat omalle tililleen? Ei ainakaan kuulostaisi kovin fiksulta... Aprillipilaa tai ei, maksimissaan puolitotuutta.

Seuraa pitkä pätkä paranoiaa:


"Todellisuudessa kenelläkään ei ole tällaiseen taitoa."

Sana "kenelläkään" on huono, koska todellisuudessa on varmasti tahoja, joilla on riittävästi taitoa. Hetken paranoidia ajattelua käyttäen keksii esimerkiksi vaikka valtion tiedusteluorganisaation tai rikollisjärjestön. Näille tarvittavan rahoituksen ja tietotaidon järjestäminen on tuskin ongelma.

"Aika ihmeellistä, että tuollainen "turvallisuusuhka" on ollut jo vuosia, mutta mitään ongelmia ei ole ollut."

Toisaalta..oletetaanpa, että jonkun käyttäjän verkkopankkitunnuksia on väärinkäytetty. Miksiköhän pankki ei haluaisi tämän asian tulevan julkisuuteen ? Aivan niin.

Rikolliset eivät myöskään viitsi ottaa huomattavaa riskiä yksityishenkilöiden takia, joilla mitä todennäköisimmin ei ole mitään riskiin nähden kannattavaa varastettavaa.



Kyllä, näppäinsnifferin käyttö on hyödytöntä, jos tunkeutuja yrittää käyttää kaapattuja tunnuksia jälkeenpäin. Hetken pohtimalla ja käyttämällä vilkasta mielikuvitusta voi keksiä mahdollisia tapoja päästä käsiksi toisen rahoihin.

Ensin pitää tietysti tehdä oletus, että tunkeutujalla on järjestelmään pääkäyttäjän oikeudet (vaikka käyttämällä jotain järjestelmän turvallisuusaukkoa hyväkseen). Toisin sanoen, hänellä on kaikki mahdollisuudet tehdä koneelle aivan mitä huvittaa ja muuttaa kaikkea koneessa sillä hetkellä olevaa tietoa (niin muistissa kuin levyilläkin olevaa) miten ja milloin vain huvittaa. Näillä oletuksilla likimain seuraavanlainen algoritmi saattaisi toimia:

Tunkeutuja kuuntelee koko ajan koneelle tulevaa ja sieltä ulos lähtevää verkkoliikennettä. Sillä ei ole mitään väliä, vaikka tieto liikkuu oman koneen ja pankin välillä verkossa salattuna, sillä salaus puretaan kuitenkin jossain vaiheessa ennen tiedon näyttämistä käyttäjälle selaimessa (muistattehan, että tunkeutuja pääsee näkemään salaamattomankin tiedon). Tarkkailemalla verkkoliikennettä nähdään milloin käyttäjä käy pankin sivuilla ja mitä tietoa pankki lähettää takaisin selaimelle.

Tunkeutuja odottaa, kunnes käyttäjä menee sille sivulle, mihin annetaan maksuun tarvittava hyväksymiskoodi. Sillä hetkellä, kun käyttäjä on kirjoittanut hyväksymiskoodin ja painanut sitä sivulla olevaa maksunappia, niin tunkeutuja pysäyttää tämän pankille päin lähtevän selaimen tekemän sivupyynnön siirron. Nyt tunkeutuja käyttää vaikka jotain taustalla olevaa ohjelmaa, joka osaa luoda täsmälleen samanlaisen sivupyynnön kuin käyttäjä teki syöttäessän uuden laskun tiedot, mutta täyttäen vastaavat kentät omilla tiedoillaan. Tämä tapahtuma ei näy mitenkään selaimelle tai käyttäjälle, koska tieto välittyy vain tunkeutujan ohjelman ja pankin välillä. Tässä vaiheessa pankki tietää vain, että uhrin koneelta on tullut pari laskua. Pankki ei pysty mitenkään päättelemään, tuliko kaikki maksettavat laskut selaimelta vai selainta matkivalta ohjelmalta.

Seuraavaksi tunkeutujan ohjelma taas sallii keskeytetyn maksujen kuittaussivun lähettämisen pankin koneelle. Tuloksena on siis yksi tietoisesti maksettu lasku sekä muita hänen tietämättään tekemiä maksuja. Jatkamalla verkkoliikenteen tarkkailua tunkeutuja voi varmistua maksun hyväksymisestä.

Käyttäjälle tuo uusien maksujen lisääminen on täysin läpinäkyvää. Parin uuden maksun lähettäminen pankille tuskin kestää pari sekuntia kauempaa, ja vaikka siinä kestäisikin kauemmin, niin käyttäjä pistää pienen viiveen vain normaalin verkkotahman piikkiin.

Tässä vaiheessa tunkeutuja onkin jo siirtänyt kaapatut rahat edelleen jonnekin, tai sitten käynyt nostamassa ne. Hän ei tietenkään siirrä rahoja alunperin kotimaiseen pankkiin omalle tililleen, vaan jonnekin lain ulottumattomiin, esim. vaikka tekemällä siirron toiselle puolelle maapalloa. Luonnollisesti tämäkin tili on onnistuttu avaamaan väärillä henkilötiedoilla. Käyttäjän huomatessa tiliotteesta hämärän siirron ja poliisin alkaessa selvitellessä asiaa on mennyt jo niin kauan aikaa, että tunkeutuja on jo aivan toisissa maisemissa ja peittänyt jälkensä riittävän hyvin.

Mik kirjoitti:

Seuraa pitkä pätkä paranoiaa:


"Todellisuudessa kenelläkään ei ole tällaiseen taitoa."

Sana "kenelläkään" on huono, koska todellisuudessa on varmasti tahoja, joilla on riittävästi taitoa. Hetken paranoidia ajattelua käyttäen keksii esimerkiksi vaikka valtion tiedusteluorganisaation tai rikollisjärjestön. Näille tarvittavan rahoituksen ja tietotaidon järjestäminen on tuskin ongelma.

"Aika ihmeellistä, että tuollainen "turvallisuusuhka" on ollut jo vuosia, mutta mitään ongelmia ei ole ollut."

Toisaalta..oletetaanpa, että jonkun käyttäjän verkkopankkitunnuksia on väärinkäytetty. Miksiköhän pankki ei haluaisi tämän asian tulevan julkisuuteen ? Aivan niin.

Rikolliset eivät myöskään viitsi ottaa huomattavaa riskiä yksityishenkilöiden takia, joilla mitä todennäköisimmin ei ole mitään riskiin nähden kannattavaa varastettavaa.



Kyllä, näppäinsnifferin käyttö on hyödytöntä, jos tunkeutuja yrittää käyttää kaapattuja tunnuksia jälkeenpäin. Hetken pohtimalla ja käyttämällä vilkasta mielikuvitusta voi keksiä mahdollisia tapoja päästä käsiksi toisen rahoihin.

Ensin pitää tietysti tehdä oletus, että tunkeutujalla on järjestelmään pääkäyttäjän oikeudet (vaikka käyttämällä jotain järjestelmän turvallisuusaukkoa hyväkseen). Toisin sanoen, hänellä on kaikki mahdollisuudet tehdä koneelle aivan mitä huvittaa ja muuttaa kaikkea koneessa sillä hetkellä olevaa tietoa (niin muistissa kuin levyilläkin olevaa) miten ja milloin vain huvittaa. Näillä oletuksilla likimain seuraavanlainen algoritmi saattaisi toimia:

Tunkeutuja kuuntelee koko ajan koneelle tulevaa ja sieltä ulos lähtevää verkkoliikennettä. Sillä ei ole mitään väliä, vaikka tieto liikkuu oman koneen ja pankin välillä verkossa salattuna, sillä salaus puretaan kuitenkin jossain vaiheessa ennen tiedon näyttämistä käyttäjälle selaimessa (muistattehan, että tunkeutuja pääsee näkemään salaamattomankin tiedon). Tarkkailemalla verkkoliikennettä nähdään milloin käyttäjä käy pankin sivuilla ja mitä tietoa pankki lähettää takaisin selaimelle.

Tunkeutuja odottaa, kunnes käyttäjä menee sille sivulle, mihin annetaan maksuun tarvittava hyväksymiskoodi. Sillä hetkellä, kun käyttäjä on kirjoittanut hyväksymiskoodin ja painanut sitä sivulla olevaa maksunappia, niin tunkeutuja pysäyttää tämän pankille päin lähtevän selaimen tekemän sivupyynnön siirron. Nyt tunkeutuja käyttää vaikka jotain taustalla olevaa ohjelmaa, joka osaa luoda täsmälleen samanlaisen sivupyynnön kuin käyttäjä teki syöttäessän uuden laskun tiedot, mutta täyttäen vastaavat kentät omilla tiedoillaan. Tämä tapahtuma ei näy mitenkään selaimelle tai käyttäjälle, koska tieto välittyy vain tunkeutujan ohjelman ja pankin välillä. Tässä vaiheessa pankki tietää vain, että uhrin koneelta on tullut pari laskua. Pankki ei pysty mitenkään päättelemään, tuliko kaikki maksettavat laskut selaimelta vai selainta matkivalta ohjelmalta.

Seuraavaksi tunkeutujan ohjelma taas sallii keskeytetyn maksujen kuittaussivun lähettämisen pankin koneelle. Tuloksena on siis yksi tietoisesti maksettu lasku sekä muita hänen tietämättään tekemiä maksuja. Jatkamalla verkkoliikenteen tarkkailua tunkeutuja voi varmistua maksun hyväksymisestä.

Käyttäjälle tuo uusien maksujen lisääminen on täysin läpinäkyvää. Parin uuden maksun lähettäminen pankille tuskin kestää pari sekuntia kauempaa, ja vaikka siinä kestäisikin kauemmin, niin käyttäjä pistää pienen viiveen vain normaalin verkkotahman piikkiin.

Tässä vaiheessa tunkeutuja onkin jo siirtänyt kaapatut rahat edelleen jonnekin, tai sitten käynyt nostamassa ne. Hän ei tietenkään siirrä rahoja alunperin kotimaiseen pankkiin omalle tililleen, vaan jonnekin lain ulottumattomiin, esim. vaikka tekemällä siirron toiselle puolelle maapalloa. Luonnollisesti tämäkin tili on onnistuttu avaamaan väärillä henkilötiedoilla. Käyttäjän huomatessa tiliotteesta hämärän siirron ja poliisin alkaessa selvitellessä asiaa on mennyt jo niin kauan aikaa, että tunkeutuja on jo aivan toisissa maisemissa ja peittänyt jälkensä riittävän hyvin.

Sisäpiirin tietona voin kertoa että on julkinen pankkisalaisuus että pankit pyrkivät kaikin keinoin hoitamaan ongelmat pankin sisäisenä asiana. Rikosilmoituksia ei tehdä ellei asia tule muuten julki.

Mik kirjoitti:

Seuraa pitkä pätkä paranoiaa:


"Todellisuudessa kenelläkään ei ole tällaiseen taitoa."

Sana "kenelläkään" on huono, koska todellisuudessa on varmasti tahoja, joilla on riittävästi taitoa. Hetken paranoidia ajattelua käyttäen keksii esimerkiksi vaikka valtion tiedusteluorganisaation tai rikollisjärjestön. Näille tarvittavan rahoituksen ja tietotaidon järjestäminen on tuskin ongelma.

"Aika ihmeellistä, että tuollainen "turvallisuusuhka" on ollut jo vuosia, mutta mitään ongelmia ei ole ollut."

Toisaalta..oletetaanpa, että jonkun käyttäjän verkkopankkitunnuksia on väärinkäytetty. Miksiköhän pankki ei haluaisi tämän asian tulevan julkisuuteen ? Aivan niin.

Rikolliset eivät myöskään viitsi ottaa huomattavaa riskiä yksityishenkilöiden takia, joilla mitä todennäköisimmin ei ole mitään riskiin nähden kannattavaa varastettavaa.



Kyllä, näppäinsnifferin käyttö on hyödytöntä, jos tunkeutuja yrittää käyttää kaapattuja tunnuksia jälkeenpäin. Hetken pohtimalla ja käyttämällä vilkasta mielikuvitusta voi keksiä mahdollisia tapoja päästä käsiksi toisen rahoihin.

Ensin pitää tietysti tehdä oletus, että tunkeutujalla on järjestelmään pääkäyttäjän oikeudet (vaikka käyttämällä jotain järjestelmän turvallisuusaukkoa hyväkseen). Toisin sanoen, hänellä on kaikki mahdollisuudet tehdä koneelle aivan mitä huvittaa ja muuttaa kaikkea koneessa sillä hetkellä olevaa tietoa (niin muistissa kuin levyilläkin olevaa) miten ja milloin vain huvittaa. Näillä oletuksilla likimain seuraavanlainen algoritmi saattaisi toimia:

Tunkeutuja kuuntelee koko ajan koneelle tulevaa ja sieltä ulos lähtevää verkkoliikennettä. Sillä ei ole mitään väliä, vaikka tieto liikkuu oman koneen ja pankin välillä verkossa salattuna, sillä salaus puretaan kuitenkin jossain vaiheessa ennen tiedon näyttämistä käyttäjälle selaimessa (muistattehan, että tunkeutuja pääsee näkemään salaamattomankin tiedon). Tarkkailemalla verkkoliikennettä nähdään milloin käyttäjä käy pankin sivuilla ja mitä tietoa pankki lähettää takaisin selaimelle.

Tunkeutuja odottaa, kunnes käyttäjä menee sille sivulle, mihin annetaan maksuun tarvittava hyväksymiskoodi. Sillä hetkellä, kun käyttäjä on kirjoittanut hyväksymiskoodin ja painanut sitä sivulla olevaa maksunappia, niin tunkeutuja pysäyttää tämän pankille päin lähtevän selaimen tekemän sivupyynnön siirron. Nyt tunkeutuja käyttää vaikka jotain taustalla olevaa ohjelmaa, joka osaa luoda täsmälleen samanlaisen sivupyynnön kuin käyttäjä teki syöttäessän uuden laskun tiedot, mutta täyttäen vastaavat kentät omilla tiedoillaan. Tämä tapahtuma ei näy mitenkään selaimelle tai käyttäjälle, koska tieto välittyy vain tunkeutujan ohjelman ja pankin välillä. Tässä vaiheessa pankki tietää vain, että uhrin koneelta on tullut pari laskua. Pankki ei pysty mitenkään päättelemään, tuliko kaikki maksettavat laskut selaimelta vai selainta matkivalta ohjelmalta.

Seuraavaksi tunkeutujan ohjelma taas sallii keskeytetyn maksujen kuittaussivun lähettämisen pankin koneelle. Tuloksena on siis yksi tietoisesti maksettu lasku sekä muita hänen tietämättään tekemiä maksuja. Jatkamalla verkkoliikenteen tarkkailua tunkeutuja voi varmistua maksun hyväksymisestä.

Käyttäjälle tuo uusien maksujen lisääminen on täysin läpinäkyvää. Parin uuden maksun lähettäminen pankille tuskin kestää pari sekuntia kauempaa, ja vaikka siinä kestäisikin kauemmin, niin käyttäjä pistää pienen viiveen vain normaalin verkkotahman piikkiin.

Tässä vaiheessa tunkeutuja onkin jo siirtänyt kaapatut rahat edelleen jonnekin, tai sitten käynyt nostamassa ne. Hän ei tietenkään siirrä rahoja alunperin kotimaiseen pankkiin omalle tililleen, vaan jonnekin lain ulottumattomiin, esim. vaikka tekemällä siirron toiselle puolelle maapalloa. Luonnollisesti tämäkin tili on onnistuttu avaamaan väärillä henkilötiedoilla. Käyttäjän huomatessa tiliotteesta hämärän siirron ja poliisin alkaessa selvitellessä asiaa on mennyt jo niin kauan aikaa, että tunkeutuja on jo aivan toisissa maisemissa ja peittänyt jälkensä riittävän hyvin.

Voisihan se noin käydä... Mutta ihmettelen, että miksei ole yhtään tällaista tapausta tullut julkisuuteen. Ottaen huomioon, että vastaavia keinoja hoitaa pankkipalveluja käytetään ympäri maailman.

Toki jos joku pääsisi murtautumaan tilille, niin pankki pyrkisi pitämään sen omana asianaan, mutta luonnollisesti jos (ja kun) asiakas sen huomaisi, hän voisi kertoa siitä kenelle vain (myös lehdille). Jos minun tililleni onnistuttaisiin murtautumaan, niin kyllä minä ainakin kertoisin kaikkiin medioihin.

Ja tavallinen ihminenhän sen ensimmäiseksi huomaisi. Ei pankki kiinnittäisi mitään huomiota siihen, että rahaa on jonnekin siirretty. Joten mistä mahtaa johtua, että missään ei ole ollut juttua tällaisesta murrosta?

Jos olet näin varma tästä helppoudesta, niin ehdottaisin ottamaan yhteyttä johonkin pankkiin. He varmastikin haluasivat kuulla tästä ja parantaa tietoturvaansa, koska pankithan nämä mahdolliset vanhingot maksavat! Voisit jopa saada jonkin näköisen palkkion.

Kyy kirjoitti:

Voisihan se noin käydä... Mutta ihmettelen, että miksei ole yhtään tällaista tapausta tullut julkisuuteen. Ottaen huomioon, että vastaavia keinoja hoitaa pankkipalveluja käytetään ympäri maailman.

Toki jos joku pääsisi murtautumaan tilille, niin pankki pyrkisi pitämään sen omana asianaan, mutta luonnollisesti jos (ja kun) asiakas sen huomaisi, hän voisi kertoa siitä kenelle vain (myös lehdille). Jos minun tililleni onnistuttaisiin murtautumaan, niin kyllä minä ainakin kertoisin kaikkiin medioihin.

Ja tavallinen ihminenhän sen ensimmäiseksi huomaisi. Ei pankki kiinnittäisi mitään huomiota siihen, että rahaa on jonnekin siirretty. Joten mistä mahtaa johtua, että missään ei ole ollut juttua tällaisesta murrosta?

Jos olet näin varma tästä helppoudesta, niin ehdottaisin ottamaan yhteyttä johonkin pankkiin. He varmastikin haluasivat kuulla tästä ja parantaa tietoturvaansa, koska pankithan nämä mahdolliset vanhingot maksavat! Voisit jopa saada jonkin näköisen palkkion.

En sanonut tämän kaiken olevan helppoa, vaan totesin sen olevan teoriassa mahdollista. Käytännössäkin se on mahdollista, jos hommaan laitetaan vain riittävästi resursseja (aikaa, tietotaitoa, rahaa jne.).

Minun ei kannata ottaa pankkiin yhteyttä, sillä kyllähän heidän pitää keksiä tämäntyyppisiä teorioita ihan itsekin. Jos käyttämäni pankki ei tajuaisi keksiä itse edes hypoteettista esimerkkiäni, niin vaihtaisin pankkia.

Ai joo, keksin toisenkin tavan huijata käyttäjää. Ohjataan käyttäjän verkkoliikenne tunkeutujan valepankkisivulle, ja kerätään sitä kautta tarvittava määrä käyttökelpoisia tunnuslukuja tai muuta käyttökelpoista tietoa. Käyttäjälle näytetään vaikka tekaistu virheilmoitus tilapäisestä häiriöstä palvelussa, joten tunkeutuja saisi helposti lisäaikaa omille hämäräpuuhilleen.

Yöhän menisikin kätevästi keksiessä vaihtoehtoisia tapoja, mutten nyt jaksa miettiä asiaa sen enempää.