Permalänk
Medlem

Det man måste ha i åtanke är historiken kring BankID, eller snarare elegitimation, och hur svårt det faktiskt var att få det att fungera i början. Jag har själv suttit i telefon med gråtande kunder som inte kunnat ta ut sina pengar och liknande. Inte för att jag arbetade med kundtjänst utan för att ingen annan hade lyckats få det att fungera, inklusive kundtjänst och systemutvecklare hos utgivarna. I synnerhet Nordeas kortläsare med Alzheimers var en mardröm, fick tom bistå konkurrerande företag med hjälp hur man skulle få det att fungera (server side) då Nordeas egen IT avdelning/utvecklingsavdelning inte visste hur man skulle göra. Trots detta fanns det tillfällen där jag själv inte lyckades få det att fungera på min egen maskin, så mycket strul var det.

Mobilt BankID har gjort underverk för spridningen av BankID och mängden problem hos kunderna har minskat dramatiskt trots att användningen av BankID ökat lavinartat. Ja, det finns absolut saker som kunde gjorts bättre redan från början, men jag känner inte till någon produkt/tjänst som inte det gäller för. Problemet med BankID kanske snarare är det omvända, att det fungerat så pass bra att folk utgått ifrån att dom inte behöver tänka själva längre (eller av olika skäl inte kan göra det) och då blir man lätt ett byte för bedragare. Man bör även komma ihåg att många av dessa bedragare är jäkligt skickliga på det dom gör. Vågar lova att alla vi i denna tråd skulle kunna bli lurade om en nog slipad bedragare hade oss i siktet och förutsättningarna var dom "rätta".

I slutändan handlar det, som ofta, om enkelhet mot säkerhet. Dvs precis samma sak som för kreditkort, där man för länge sedan släppt kravet på att det fysiska kreditkortet ska finnas tillgängligt vid transaktionen, trots att man varit väl medveten om att bedrägeririsken därmed ökat.

Permalänk
Medlem

Det finns ju människor som blivit lurade via sin bankdosa, har man brister i den kognitiva funktionen ska man nog varken ha dosa eller bank-id.
Tyvärr kräver ju vissa tjänster bank-id vilket kan ställa till det. Tex när svärfar hade fått nytt bankkort och behövde uppdatera detta på Hallon.

Är man lättlurad och vimsig så strunta i både dosor och bank-id. Ex om man brukar köpa dyra dammsugare eller brandsläckare via dörrförsäljare eller tackar ja till erbjudanden via telefonförsäljare för att sedan upptäcka att det var "för bra för att vara sant".

Permalänk
Hedersmedlem
Skrivet av Petterk:

@Söderbäck: Bankdosor fungerar generellt olika vid inloggning och vid verifiering numera. Hos min bank är verifieringen av betalningen summan av överföringen, vilket brukar försiggås av massor nollor...

Visst är det så. Går väl visserligen att runda genom att skriva in ojämnt belopp med ören. Alltså 137 877,98 kr kommer täcka alla 8 fält i rutan på bankdosan (iaf på den jag har). Går alltså att få fram en siffra som inte ser ut som ett transaktionsbelopp utan är mer lik ett verifieringsnummer.
Eller beloppet 37 877,98 som ser ut som kommer bli 03787798 i rutan och det är inte helt säkert att man reagerar på det där.
Den indikationen har sina brister helt enkelt och där är mobilt bankID bra mycket tydligare för där står det att det är en transaktion som ska godkännas.
I en perfekt värld är alla informerade om systemtänket och brister i alla verifieringssystem. Flera i tråden har en del koll och det stärker skyddet för oss. Det är helt klart bra att ha den grundkollen!
Men ja, många är inte så insatta i brister/risker kring de olika alternativen. Tänkvärt är väl att ett helt gäng kunder gick i pension innan internet slog igenom exempelvis ;).

Visa signatur

🎮 → Node 304 • Ryzen 5 2600 + Nh-D14 • Gainward RTX 2070 • 32GB DDR4 • MSI B450I Gaming Plus AC
🖥️ → Acer Nitro XV273K Pbmiipphzx • 🥽 → VR: Samsung HMD Odyssey+
🎧 → Steelseries arctic 7 2019
🖱️ → Logitech g603 | ⌨️ → Logitech MX Keys
💻 → Lenovo Yoga slim 7 pro 14" Oled

Permalänk
Medlem

Måste vara jobbigt vara så nojjig över allt sådan här.
Orolig att kylskåpet spionerar på en, att toaborsten lyssnar av dig, att folk skall hacka sig in i din dator för du inte kör Linux etc.

Va fan, lev livet, var glad och sluta oroa dig. Bank-ID is tha shit!

Visa signatur

Intel NUC :(

Permalänk
Medlem
Skrivet av Akerhage:

Måste vara jobbigt vara så nojjig över allt sådan här.
Orolig att kylskåpet spionerar på en, att toaborsten lyssnar av dig, att folk skall hacka sig in i din dator för du inte kör Linux etc.

Va fan, lev livet, var glad och sluta oroa dig. Bank-ID is tha shit!

This content has been approved by the Chinese government

Permalänk
Medlem
Skrivet av videopac:

Man behöver inte vara ensam för att vara paranoid!

Som tidigare nämnts i tråden, starta Bankid innan inloggning/signeringsförsök så är det lugnt. Och ringer någon som påstår sig vara från din bank och ber dig logga in på ditt konto med Bankid så fundera lite på varför det skulle vara en bra idé.

Fast nu är jag ju också mindre känslig för grupptryck inom säkerhetslösningar också. Till exempel har jag tejpat över fingeravtrycksläsaren med alutape eftersom jag läste drivrutinens källkod innan jag köpte telefonen. Ytterligare en sak som har fått mig att bli kallad paranoid, så vid detta laget är det mer av en bekräftelse på att grupptryck är ett verkligt problem.

Men tillbaka till ämnet; om någon ringer och säger att de är från banken, och att jag behöver logga in omedelbart, säger jag åt dem att dra åt skogen. Banken har redan tillgång till alla transaktioner enligt lag gentemot skatteverket och tekniska problem har de garanterat testkonton för.

Att ha en säkerhetsmodell centrerad omkring att vinna ett "race condition" är ett så katastrofalt principfel att jag ifrågasätter bankernas kompetens. Med ett lagom stort botnät och många slumpade försök på ett bra valt spann av personnummer är sannolikheten att du träffar en inloggning hos någon relativt hög. För en närmare förklaring på varför, se https://en.wikipedia.org/wiki/Birthday_attack#Understanding_t...

Skickades från m.sweclockers.com

Visa signatur

Mjölnir: Ryzen 9 3900X | X570-I | Ballistix Sport 32GB | Powercolor RX 5500XT 4GB ITX | Kolink Sattelite
Server: Ryzen 5 1400 | X470-F | Ballistix Sport 24GB | ASUS HD 7790 2GB | Sapphire RX 470 8GB ME | NZXT Switch 810

Permalänk
Medlem
Skrivet av Djhg2000:

Fast nu är jag ju också mindre känslig för grupptryck inom säkerhetslösningar också. Till exempel har jag tejpat över fingeravtrycksläsaren med alutape eftersom jag läste drivrutinens källkod innan jag köpte telefonen. Ytterligare en sak som har fått mig att bli kallad paranoid, så vid detta laget är det mer av en bekräftelse på att grupptryck är ett verkligt problem.

Men tillbaka till ämnet; om någon ringer och säger att de är från banken, och att jag behöver logga in omedelbart, säger jag åt dem att dra åt skogen. Banken har redan tillgång till alla transaktioner enligt lag gentemot skatteverket och tekniska problem har de garanterat testkonton för.

Att ha en säkerhetsmodell centrerad omkring att vinna ett "race condition" är ett så katastrofalt principfel att jag ifrågasätter bankernas kompetens. Med ett lagom stort botnät och många slumpade försök på ett bra valt spann av personnummer är sannolikheten att du träffar en inloggning hos någon relativt hög. För en närmare förklaring på varför, se https://en.wikipedia.org/wiki/Birthday_attack#Understanding_t...

Skickades från m.sweclockers.com

Och vad vinner man på att tejpa över fingeravtrycksläsaren jämfört med att bara inte använda den?

Permalänk
Hedersmedlem
Skrivet av Söderbäck:

Jag skulle nog inte riktigt säga att det är ett säkerhetshål riktigt.
På samma sätt kan en bankdosa nämligen godkänna någon annans inloggningssession.

Attacken i fråga bygger ju på att man ska få kontoinnehavaren att gå med på att använda sin verifieringsutrustning för att själv göra verifieringen och den delen är inte bunden till just hur bankID är byggt utan det handlar om att som bedragare inge förtroendet via Telefon när man ringer upp så att offret går med på det här.

Den extra dimensionen som mobilt bankID tillför här är bara att det står i bankIDappen att det är din bank som faktiskt skickat förfrågan om verifiering att du är du. Men denna förfrågan kommer då från kundinloggningsportalen istället för bankens serviceline. Så det är korrekt att "banken" frågar efter verifiering men det är alltså fel del av banken som frågar och det kan invagga en i falsk trygghet.

Denna del har man inte på en bankdosa. Men alltså första steget att tro att det är banken som ringer istället för en bedragare så att man går med på att verifiera sig (oavsett verifieringstyp) är svagheten och den är man lika utsatt för oavsett inloggningsmetod.

Värt att tillägga är att om man nu blir invaggad i denna falska trygghet och man kommer till steg två (andra verifieringen) så är mobilt bankID mycket säkrare! Bankdosan kommer nämligen inte upplysa om att det handlar om en transaktion i andra steget. Det kommer däremot bankIDt tala om för dig. Så i andra steget får man som användare iaf en chans att se att det handlar om transaktionsförsök.
Den sista delen är tänkvärd i sammanhanget tycker jag för här får man faktiskt extra skydd i form av relevant information om vad som är på väg att hända.

Är lite småstressad och har månne slarvläst, men Handelsbanken kräver sedan några veckor att man skannar en QR-kod på den enheten som ska loggas in på (som PC när man använder mobilt bankid), finns en speciell knapp i BankID-appen man trycker på för skanningen (QR-kod först och sedan kod/fingeravtryck). Alltså kan man iaf med HB inte längre logga in på två olika ställen, måste vara samma fysiska plats.

Visa signatur

W10, Intel 5820K, Asus X99-S, Crucial DDR4 2133MHz 32GB, Sapphire 290X Tri-X, Intel 730 SSD, WD Black+Green+HGST, Silverstone FT02, Corsair AX1200, Corsair K90, Logitech MX518, Eizo 2736w, Eaton 5115 UPS. Pixel 7 pro

Permalänk
Medlem

@Djhg2000: Personnummer behöver man inte gissa, men givetvis finns det bruteforceskydd så de inte kan sitta och gissa bland miljarder möjliga kombinationer gång på gång. Har du inte hittat en sårbarhet i krypton så måste du sen sitta och gissa miljarder med gånger igen för att få transaktionen godkänd.

Permalänk
Medlem
Skrivet av Youma:

@Findecanor: Swedbank kräver bank-id för kort

Igen, är det någon skillnad i säkerhet mellan mobilt bank id och i dator?

Det rätta svaret är nej. Du kommer säkerligen kunna få några utvecklare att bråka om huruvida mobilt är säkrare än datorn pga. olika typer av angrepp (datorn kan tas över på fler sätt än mobilen etc), men i praktiken kan du vara säker på att bank-ID, oavsett mobilt eller på fil, är otroligt jävla säkert. 90% av alla fall där man blivit kapad handlar om att personen blivit lurad till att själv använda sitt ID. Resterande 10% handlar om bedragare som lyckats begära ut ett bank-ID i ditt namn, och det kan de göra oavsett om du själv har den eller inte vilket gör det fallet helt irrelevant till denna diskussion.

Visa signatur

| Corsair Crystal 460X | Z390-F | 9700K | ROG Ryujn 360mm | RTX 3080Ti | ROG Thor 850W | Vengeance Pro 3200mhz 16cl 16GB (2x8) | 970 Pro 2TB + 2xWD Black 4TB | ROG SWIFT PG279Q | Arctis 7 Pro Wireless | ROG Scope Deluxe red silent | ROG Chakram |

Permalänk
Medlem
Skrivet av improwise:

This content has been approved by the Chinese government

Ja, för att PRISM och Echelon genomfördes av kineserna. Amerikanerna är våra vänner och kineserna våra fiender

Visa signatur

| Corsair Crystal 460X | Z390-F | 9700K | ROG Ryujn 360mm | RTX 3080Ti | ROG Thor 850W | Vengeance Pro 3200mhz 16cl 16GB (2x8) | 970 Pro 2TB + 2xWD Black 4TB | ROG SWIFT PG279Q | Arctis 7 Pro Wireless | ROG Scope Deluxe red silent | ROG Chakram |

Permalänk
Medlem
Skrivet av Findecanor:

Tack. Senast jag kollade där så hittade jag inte den information jag letade efter. Men jag ska ladda ner de senaste versionerna av dokumenten och läsa dem.
Vad jag var ute efter var om företag som är kunder hos BankID kan ha fått ytterligare dokument.
Och förstås: om det gjorts någon ordentlig utredning och rapport efter bedrägerierna som man kan läsa.

Nej, det finns egentligen ingen ytterligare dokumentation man får (som är relevant i detta sammanhang). Dock börjar det numera blir rätt vanligt att man inte går direkt mot BankID eller någon av storbankerna utan använder en tredjepartstjänst via API och isf tillkommer så klart en del dokumentation för det. Att själv snurra upp egen programvara för BankID, typ Nexus, är ett satans jobb, i synnerhet på Windows (var dock några år sedan jag gjorde just det momentet själv så det kan ha blivit bättre).

Här finns den tekniska beskrivningen av BankID för intresserade:

https://www.bankid.com/assets/bankid/rp/bankid-relying-party-...

(Storbankerna har rimligtvis tillgång även till intern dokumentation för BankID iom att dom gemensamt äger företaget som utvecklar och driver tjänsten, men det är inget som är tillgängligt för RPs och bra är väl det).

Permalänk
Medlem
Skrivet av Findecanor:

Frågan är inte om "social engineering" hade använts, utan om det hade varit "social engineering" och ett tekniskt säkerhetsproblem.

Man skulle också kunna säga att "phishing" är social engineering. Men det betyder inte att det inte hade varit tekniska brister som hade gjort phishing möjligt, eller att det inte var tekniska lösningar som behövdes för att komma till bukt med problemet.
Phishing utnyttjade flera säkerhetsbrister på en gång: och som vart och ett hade påtalats många gånger av säkerhetsforskare utan att något egentligen hänt i industrin.

Fast med tanke på att detta redan var ett existerande problem i de tidigare implementationerna av autentiserings-plattformar, så kan man ju inte döma ut BankID som "osäker" enkom på den grunden.

I ditt första inlägg så menar du att den gamla bankdosan är "säker" för att den baseras på challenge-response, men menar nu att BankID är osäkert för att den challenge som man signerar kan vara skickad av en bedragare (alltså precis som tidigare).

Visst finns det sätt att göra autentisering med hjälp av BankId ännu säkrare, men baserat på allmänt känd information så kan man inte klassa den som osäker.

Permalänk
Medlem

@MultiMan: Det är ett steg, de började visst 4 feb. Har pratats om det ett tag, men de verkar först ut. Det är väl däremot sårbart för MITM-attacker fortfarande, när du loggar in på telefonen/samma enhet så kommer det givetvis inte upp någon QR-kod heller. Så vitt jag vet krävs ingen QR-kod för att genomföra transaktioner heller.

Permalänk
Medlem
Skrivet av Mithras:

Ja, för att PRISM och Echelon genomfördes av kineserna. Amerikanerna är våra vänner och kineserna våra fiender

Ja, alla dessa frihetskämpar på NSA som bara jobbar för världens bästa

Permalänk
Medlem
Skrivet av MultiMan:

Är lite småstressad och har månne slarvläst, men Handelsbanken kräver sedan några veckor att man skannar en QR-kod på den enheten som ska loggas in på (som PC när man använder mobilt bankid), finns en speciell knapp i BankID-appen man trycker på för skanningen (QR-kod först och sedan kod/fingeravtryck). Alltså kan man iaf med HB inte längre logga in på två olika ställen, måste vara samma fysiska plats.

Nja, det är inte riktigt sant men däremot måste man ha tillgång till "skärmbilden" som har QR koden vilket gör det väsentligt svårare för en bedragare på annat fysiskt ställe att komma över koden. Finns en anledning att det finns en timeout på 30 sekunder för genererade QR koder

Permalänk
Hedersmedlem
Skrivet av Petterk:

@MultiMan: Det är ett steg, de började visst 4 feb. Har pratats om det ett tag, men de verkar först ut. Det är väl däremot sårbart för MITM-attacker fortfarande, när du loggar in på telefonen/samma enhet så kommer det givetvis inte upp någon QR-kod heller. Så vitt jag vet krävs ingen QR-kod för att genomföra transaktioner heller.

Jag trodde det största problemet varit att någon ringt upp och fått den andre att identifiera sig med sin BankID samtidigt som uppringaren då loggat in. Det går alltså inte längre med HB eftersom QR-koden måste läsas av först på den datorn som ska få åtkomst till bankens tjänster.

Visa signatur

W10, Intel 5820K, Asus X99-S, Crucial DDR4 2133MHz 32GB, Sapphire 290X Tri-X, Intel 730 SSD, WD Black+Green+HGST, Silverstone FT02, Corsair AX1200, Corsair K90, Logitech MX518, Eizo 2736w, Eaton 5115 UPS. Pixel 7 pro

Permalänk
Medlem
Skrivet av MultiMan:

Jag trodde det största problemet varit att någon ringt upp och fått den andre att identifiera sig med sin BankID samtidigt som uppringaren då loggat in. Det går alltså inte längre med HB eftersom QR-koden måste läsas av först på den datorn som ska få åtkomst till bankens tjänster.

Du måste godkänna en andra gång (då står det inte längre legitimering), annars kan du inte göra några överföringar till bedragarnas konton.

MITM, att du råkar komma in på en kapad sida på något sätt löser inte en QR-kod var mer det jag sa i svaret dock.

Skrivet av MultiMan:

På vilket sätt är det inte sant? Med HB kräver iaf BankID-appen att platsidentifiering är aktiverad, annars tar det stopp redan där.

Handelsbanken vet inte var datorn du/bedragaren försöker logga in med befinner sig, de litar på QR-koden.

Permalänk
Hedersmedlem
Skrivet av improwise:

Nja, det är inte riktigt sant men däremot måste man ha tillgång till "skärmbilden" som har QR koden vilket gör det väsentligt svårare för en bedragare på annat fysiskt ställe att komma över koden. Finns en anledning att det finns en timeout på 30 sekunder för genererade QR koder

På vilket sätt är det inte sant? Med HB kräver iaf BankID-appen att platsidentifiering är aktiverad, annars tar det stopp redan där.

Visa signatur

W10, Intel 5820K, Asus X99-S, Crucial DDR4 2133MHz 32GB, Sapphire 290X Tri-X, Intel 730 SSD, WD Black+Green+HGST, Silverstone FT02, Corsair AX1200, Corsair K90, Logitech MX518, Eizo 2736w, Eaton 5115 UPS. Pixel 7 pro

Permalänk
Medlem
Skrivet av improwise:

Och vad vinner man på att tejpa över fingeravtrycksläsaren jämfört med att bara inte använda den?

Integrerat med knappen för att väcka telefonen, trivialt att gissa när man ska låtsaskalibrera den för att få ut ett fingeravtryck.

Skrivet av Petterk:

@Djhg2000: Personnummer behöver man inte gissa, men givetvis finns det bruteforceskydd så de inte kan sitta och gissa bland miljarder möjliga kombinationer gång på gång. Har du inte hittat en sårbarhet i krypton så måste du sen sitta och gissa miljarder med gånger igen för att få transaktionen godkänd.

Jo, personnummer behöver du gissa för att hitta någon som för tillfället försöker logga in med Mobilt BankID. Skydd mot brute force är inte effektiva mot botnät och en stor mängd användare eftersom det inte finns någon synlig koppling mellan de attackerande noderna. På liten skala är det en nod som gör några enstaka försök mot några enstaka personnummer, och med lite lurig logik kan du få det att se ut som typografiska fel (typ skiljer ett par siffror som ligger bredvid varandra på tangentbordet eller omkastad ordning). På en stor skala kan det röra sig om tusentals noder som försöker med tiotusentals personnummer utspritt över några tillfällen varje dag då det är mycket trafik till servrarna.

Lycka till med att stoppa den attacken utan att vara väl förberedd.

Visa signatur

Mjölnir: Ryzen 9 3900X | X570-I | Ballistix Sport 32GB | Powercolor RX 5500XT 4GB ITX | Kolink Sattelite
Server: Ryzen 5 1400 | X470-F | Ballistix Sport 24GB | ASUS HD 7790 2GB | Sapphire RX 470 8GB ME | NZXT Switch 810

Permalänk
Medlem

@Djhg2000: Fortfarande, hur ska du lyckas lista ut kryptot två gånger för samma personnummer?

Permalänk
Inaktiv
Skrivet av improwise:

Man ska nog snarare säga att det inte finns några kända fall där BankID blivit knäckt, många tvärsäkra uttalanden om säkerhet som visat sig felaktiga i efterhand

Det hade blivit väldigt stora nyheter om det hade blivit knäckt.

För övrigt är inte bankdosa säkrare än mobilt bank-id. Samma lika skulle jag säga.

Permalänk
Hedersmedlem
Skrivet av MultiMan:

Är lite småstressad och har månne slarvläst, men Handelsbanken kräver sedan några veckor att man skannar en QR-kod på den enheten som ska loggas in på (som PC när man använder mobilt bankid), finns en speciell knapp i BankID-appen man trycker på för skanningen (QR-kod först och sedan kod/fingeravtryck). Alltså kan man iaf med HB inte längre logga in på två olika ställen, måste vara samma fysiska plats.

Aha! Ja en QRkod på datorskärmen som man måste använda tillsammans med mobilen som en del av verifieringen för att säkerställa att allt är på samma plats förstärker skyddet för den här typen av attacker. Helt klart! Och bra grej!

Om ens bank har infört liknande system så ser jag inte någon nackdel med mobilt bankID jämfört med bankdosa på det området heller. Bara styrkor verkar det som.

Visa signatur

🎮 → Node 304 • Ryzen 5 2600 + Nh-D14 • Gainward RTX 2070 • 32GB DDR4 • MSI B450I Gaming Plus AC
🖥️ → Acer Nitro XV273K Pbmiipphzx • 🥽 → VR: Samsung HMD Odyssey+
🎧 → Steelseries arctic 7 2019
🖱️ → Logitech g603 | ⌨️ → Logitech MX Keys
💻 → Lenovo Yoga slim 7 pro 14" Oled

Permalänk
Medlem
Skrivet av MultiMan:

På vilket sätt är det inte sant? Med HB kräver iaf BankID-appen att platsidentifiering är aktiverad, annars tar det stopp redan där.

Jag har för mig att det är frivilligt att dela med sig av platsinfo för BankID, iaf var det det senaste gången jag kollade upp det men det var säkert ett år sen. Bankerna har själva haft krav i sina inloggningar som inte varit generella BankID krav dock.

Permalänk
Medlem
Skrivet av MultiMan:

Jag trodde det största problemet varit att någon ringt upp och fått den andre att identifiera sig med sin BankID samtidigt som uppringaren då loggat in. Det går alltså inte längre med HB eftersom QR-koden måste läsas av först på den datorn som ska få åtkomst till bankens tjänster.

Att läsa av en QR kod på datorn går nu inte alls iom att dom sällan har några kameror, det används vad jag vet enbart när man har BankID på en annan enhet (dvs normalfallet att man kör webbläsaren på datorn och BankID på telefonen).

Permalänk
Medlem
Skrivet av Djhg2000:

Integrerat med knappen för att väcka telefonen, trivialt att gissa när man ska låtsaskalibrera den för att få ut ett fingeravtryck.

Men ändå valde du just den mobilen? Och hur kom du över koden för att som du skrev ha gått igenom koden för deras drivrutin/firmware?

Permalänk
Medlem
Skrivet av anon42512:

Det hade blivit väldigt stora nyheter om det hade blivit knäckt.

För övrigt är inte bankdosa säkrare än mobilt bank-id. Samma lika skulle jag säga.

Nej, det skulle bli stora nyheter om det blivit knäckt och man upptäckt att så skett. Om du var kriminell och hade kommit på ett sätt att sno pengar så skulle du förmodligen inte kontakta Aftonbladet om det för då skulle möjligheten försvinna, utan det skulle först vara när någon upptäckte det som så skulle ske. Eller snarare, de flesta upptäckta säkerhetsproblem blir aldrig offentliga, iaf blev dom det inte tidigare. Men nu har väl en del lagar ändrats som tvingar fram det. I detta fall gissar jag dock att det snarare är så att BankID inte blivit knäckt.

Permalänk
Medlem
Skrivet av Söderbäck:

Aha! Ja en QRkod på datorskärmen som man måste använda tillsammans med mobilen som en del av verifieringen för att säkerställa att allt är på samma plats förstärker skyddet för den här typen av attacker. Helt klart! Och bra grej!

Om ens bank har infört liknande system så ser jag inte någon nackdel med mobilt bankID jämfört med bankdosa på det området heller. Bara styrkor verkar det som.

Ja, QR koder är en bra lösning på ett problem som blivit större och större. Fram till dess att någon smart bedragare kommer på ett nytt sätt att komma runt det. Och så lär det hålla på

Permalänk
Medlem

Eventuell foliehattsvarning på hela min post, men jag ringde för att säga upp mitt bensinkort i veckan. Tjejen i telefonen ber om mitt personnummer, knappar lite och sen vill hon att jag ska öppna min BankID app och logga in. Vart då? Nej, bara logga in. Jaha, så jag ska logga in någonstans där en annan person startat sessionen? Ja precis, det är så BankID fungerar klämmer hon ur sig med sin bästa "din dumma gamla gubbe, bara gör som jag säger"-röst.

Jo men det känns ju rätt tryggt, verkligen. Ge en främling ditt personnummer och logga sedan in. Vad har banken för rutiner för att hindra att detta slår fel? Inga, gissar jag på.

Hon fick skicka hem ett avslut på hederligt gammalt papper. Om jag inte får säga upp det från deras "Mina sidor" där jag faktiskt redan har legitimerat mig så vetifan vad hon tror...

Visa signatur

Ryzen 5800X3D, Msi B450 Tomahawk, RX 7800XT, 32 Gb Corsair Vengeance Pro, vattenkylning.

Permalänk
Medlem
Skrivet av Aldric T:

Eventuell foliehattsvarning på hela min post, men jag ringde för att säga upp mitt bensinkort i veckan. Tjejen i telefonen ber om mitt personnummer, knappar lite och sen vill hon att jag ska öppna min BankID app och logga in. Vart då? Nej, bara logga in. Jaha, så jag ska logga in någonstans där en annan person startat sessionen? Ja precis, det är så BankID fungerar klämmer hon ur sig med sin bästa "din dumma gamla gubbe, bara gör som jag säger"-röst.

Jo men det känns ju rätt tryggt, verkligen. Ge en främling ditt personnummer och logga sedan in. Vad har banken för rutiner för att hindra att detta slår fel? Inga, gissar jag på.

Hon fick skicka hem ett avslut på hederligt gammalt papper. Om jag inte får säga upp det från deras "Mina sidor" där jag faktiskt redan har legitimerat mig så vetifan vad hon tror...

Det är en autentising som görs, inte en signering. Dvs dom vill veta vem dom pratar med. Så vida det inte handlade om att du ska signera själva uppsägningen men det brukar snarare spelas in då via telefon. Om inte så försigås det normalt ändå av en autentisering då dom kanske behöver lämna ut personliga uppgifter innan uppsägningen kan ske osv. Bara att bekräfta att du har ett bensinkort där till någon okänd som ringer in är förmodligen ett brott enligt banksekretess (om dom nu är bank men många är det numera) och GDPR.

Ditt personnummer har dom nog redan om du är kund