Klara sig utan Bank-ID

Läs inlägget du citerade långsamt. Har fetmarkerat den relevanta biten nedan.

Det är alltså inte något som ser ut som en legitim sida. Det är den faktiska legitima sidan som kommer direkt från banken utan modifikation, varken före, under eller efter inloggningsförsöket.

Läs mina tidigare inlägg.

Ja, men vi har redan gått igenom i tråden att varken detta eller MITM är effektivt. Jag vet inte varför det ska gissas heller, slumpmässiga försök kan jag förstå (om det hade gått att kapa på det sättet), men personnummer kan du hämta hem, och du kan härleda till vilken bank som är mest trolig utan större problem. Edit: Birthday attack har med kryptografi att göra, så det är du som är ansvarig för det sidospåret.

Att kalla det klassiska säkerhetshålet i Mobilt BankID för MITM är inte riktigt korrekt heller eftersom det implicerar att trafiken går via en utomstående part. Tekniskt sett är det en utomstående part inblandad men det är bara i tid som jag skulle kalla det för att de står mellan dig och banken, ingen av datapaketen från din telefon går till attackkoden eller vice versa. Inte riktigt säker på hur det skulle bli två separata former av attacker heller, kan du förtydliga vad du menar med "varken detta eller MITM"?

Personnummer är triviala att slumpgenerera, visst kan du hämta en lista över giltiga personnummer men den är relativt stor jämfört med koden som slumpgenererar personnummer. Båda metoderna fungerar givetvis och ger liknande resultat. Att härleda vilken/vilka banker som är aktuella kanske kan öka listans värde på svarta marknaden, men eftersom det är en automatiserad attack vi pratar om här måste det vara värt tiden tiden för bedragaren att skriva kod för det.

Men om det går så lätt att arbeta sig fram till vilken bank det rör sig om är det väl inte ett särskilt starkt argument för att ha Mobilt BankID heller, eller missar jag något?

MITM syftar på nätfiske, oavsett om det är genom attack på datorn eller genom att lura användaren att gå in på en förfalskad sida. Det är nog ett effektivt sätt att komma in, men det kan bli svårt att få ut några pengar. Vad du menar är klassiskt vet jag inte, att försöka pricka när folk försöker logga in är inte effektivt.

MITM står för Man In The Middle och betyder kortfattat att du emulerar båda parterna gentemot varandra för att antingen kunna ta del av eller modifiera innehållet i kommunikationen. Jag ser inte hur den definitionen är applicerbar i sammanhanget, men som sagt kan det ju liknas vid en form av MITM med lös tolkning.

Jag är dock inte riktigt på det klara vad de två olika attackerna du pratar om är? Den som jag har pratat om är den som gjorde att du kunde lyckas ta över ett inloggningsförsök genom att vänta på att en inloggning kommer flygande till BankIDs servrar, vilken du hoppades på att fånga upp genom att skicka din inloggningsförfrågan efter den från legitima sidan men före godkännandet i appen. Detektering av försök till dubbelinloggning stoppar den naiva implementationen men det är ingen silverkula precis.

Är det kanske så att du med MITM istället menar den som @lappen81 länkade till tidigare i tråden? (Upprepad nedan.) Hade faktiskt inte hört om den tidigare så är inte så hemma på detaljerna där, men det låter mer likt MITM än metoden som jag har försökt förklara.

Ok, tack för info. Dock kunde man önska att BankID appen skiljer på autentisering och signering, nu står det väl bara "Jag legitimerar mig". Sen SKA man självklart titta på vart man legitimerar sig, men som mycket av tråden handlar om skulle nog lite extra tydlighet inte vara av ondo.

Nej. Och innan du talar om för mig att jag har fel kan du ta med i beräkningen att jag just testade på 2 olika banker och ett försäkringsbolag. Det enda som står är "Jag legitimerar mig".

Jag har då inte diskuterat MITM i tråden, jag har dock försökt förklara för dig att attacken jag pratar på inte bygger på MITM och bett om förtydligande på varför du tror att det skulle vara MITM.

Citerade fel inlägg, här är inlägget jag tänkte på och det var från @evil penguin :

Stopp och belägg, jag har inte pratat om 2FA över SMS och i synnerlighet inte hur den står sig relativt Mobilt BankID! Börjar bli lite trött på hur du försöker sätta ord i munnen på mig, vänligen sluta med det.

Skickades från m.sweclockers.com

Skyddet mot dubbelinloggning stoppar den naiva implementationen ja, men jag ser det inte som tillräckligt förtroendegivande för att börja använda Mobilt BankID. Inlägget nedan tyder på att det fortfarande finns problem med att se vad som efterfrågar inloggning:

Jo fast nu pratar du om rena bedrägerier där det behövs direkt interaktion mellan dig och bedragaren. Jag pratar om (automatiserade) attacker mot hur systemet är upplagt.

Låter vettigt.

Självklart, på samma sätt som t.ex. en Keylogger som tar sin in på din dator börjar med att slänga upp en popup för att tala om att den är där. Man måste hålla isär breda attacker (typ ringa runt på måfå och försöka få folk att identifiera sig via BankID) och riktade attacker, som kanske handlar om att lura någon enstaka person men där utfallet är klart större. I det senare fallet är det långt ifrån säkert att det skulle bli offentligt genom att nån gråter ut hos Aftonbladet.

Nej, han har fel. Det står alltid för vem man identifierar sig. Och gör man något annat än att identifiera sig så står det det också, som att godkänna en transaktion eller skriva under ett dokument.

Dock finns det en brist som är att man inte nödvändigtvis identifierar sig för den tjänst som man använder, när man använder swish exempelvis så står det att man identifierar sig på sin bank. Vilket man ju i praktiken gör, men det kunde vara tydligare.

Men jag ser inte hur automatiserade attacker skulle kunna fungera alls så som det fungerar. Om du startar en inloggning mot mitt personnummer och lyckas timea det så det sker när jag försöker logga in så säger bankid ifrån. Varken du eller jag blir inloggad och jag får ett felmeddelande. Enda sättet du skulle kunna bli inloggad som mig är ifall jag har bankid öppet utan något loginförsök och sen godkänner din inloggning utan att jag har initierat den. Men så dum kan man ju inte vara.

Känns som att denna bedrägerimetod bör vara lika enkel med en dosa.

Dock ger ju en dosa by default mer befogenheter än bankid (iaf med min bank)

Så jag förstår inte riktigt vad som är alternativet om man inte anser bankid vara tillräckligt säker. Är det att inte använda internetbanken alls?

Skickades från m.sweclockers.com

Fast vad ska du då använda? Några banker kör certifikat som alternativ förvisso.

Om du inte kör internetbanken så är enda rimliga chansen att betala räkningar brevgiro. Brevgiro är självklart inte säkrare.

Så det enda alternativet är att betala räkningar på plats hos banken, om man vill ha högre säkerhet än bankid?

Skickades från m.sweclockers.com

Precis. Frågan är väl varför du anser att bankid inte är tillräckligt säkert. Följer man de ganska enkla och uppenbara säkerhetsföreskrifterna så är risken i princip obefintlig. Alltså: Använd inte bankid på uppmaning av någon annan om du inte är säker på vem det är. Svårare än så är det inte.

Fast ska du betala 100 kr per räkning eller vad de som har personlig service på kontor tar? Ingen använder det alternativet längre, och det är ju bara att fixa ett falsk ID-kort (eller riktigt under falska premisser) för att ta sig förbi säkerheten där.

Precis, lurar man någon att knappa in saker dom inte borde på sin dosa, BankID på kort eller BankID på annan enhet gör inte så stor skillnad annat än att dosan precis som du säger ger ännu högre behörighet. Men samtliga ger normalt nog höga behörigheter för att det ska bli jobbigt.

Fast normalt så funkar det ju inte riktigt så, folk är inte så korkade som man kan tro (fast ibland är dom det iof ). Pitchen brukar ju ofta vara något i stil med att det är fel på systemet och man ska bortse från vad som står där, ihop med något som gör det väldigt bråttom att agera ("nån kommer sno dina pengar annars") ihop med slipade snackpellar utan skrupler. Samt att det är många som man försöker lura, men rätt få man lyckas lura.

Att så många i denna tråd anser sig immuna mot att bli lurade bådar inte gott för mängden bedrägerier i framtiden.

För att förtydliga, klart du kan gå med en hög kontanter till tobaksaffären som är ombud för Kassagirot och betala 59 kr per räkning om du så vill. Eller t.o.m. de 100 kr per räkning (plus/bankgirobetalning) som min bank tar, och aldrig ha kontanter. Som en vardagstjänst blir det däremot orimligt ganska snabbt, du kan såklart ge autogiromedgivande på papper fortfarande, men det fungerar inte längre överallt och att betala 100 kr per räkning man normalt har på e-faktura eller betalar manuellt i internetbanken blir snabbt en smärtsam kostnad.

@improwise: Fast att bli lurad är att bli lurad, de finns de som tycker att det är bankens fel för att de trott på någon snyfthistoria som bedragaren hittat på och skickat pengar till folk helt på egen hand, eller tror det är Polisens jobb att driva in pengar från denna bedragare.