[es] - Keyloger i Internet bankarstvo

mmix
Miljan Mitrović
Chief Software Architect
Financial Intelligence Software Ltd.
Passau, Deutschland

SuperModerator
Član broj: 17944
Poruke: 6050

+4631 Profil

Re: Keyloger i Internet bankarstvo

^{15.08.2010. u 18:13 - pre 178 meseci}

A inside job?

Daj da potpisem sebi jedan cert pre nego odem iz firme, mzoda zatreba

Sloba je za 12 godina promenio antropološki kod srpskog naroda. On je od jednog
naroda koji je bio veseo, pomalo površan, od jednog naroda koji je bio znatiželjan, koji
je voleo da vidi, da putuje, da upozna,
od naroda koji je bio kosmopolitski napravio narod koji je namršten, mrzovoljan,
sumnjicav, zaplašen, narod koji se stalno nešto žali, kome je stalno neko kriv - Z.Đinđić

Odgovor na temu

Goran Rakić
Beograd

Član broj: 999
Poruke: 3766

Sajt: blog.goranrakic.com

+125 Profil

Re: Keyloger i Internet bankarstvo

^{15.08.2010. u 19:03 - pre 178 meseci}

Hajde da pretpostavimo da su interne procedure ipak razumne i da je PKI dobro podešen. Postoje serijski brojevi izdatih sertifikata, procedura koja prati izdavanje, softverske prepreke da se generisani privatni ključ kopira itd... Na kraju, zašto bih verovao da je inside job u Peximu ili Halcomu teže izvesti nego u Thawteu ili Verisignu?

BTW, je li ti to nešto iz iskustva govoriš? ;)

http://sr.libreoffice.org — slobodan kancelarijski paket, obrada teksta, tablice,
prezentacije, legalno bez troškova licenciranja

Odgovor na temu

mmix
Miljan Mitrović
Chief Software Architect
Financial Intelligence Software Ltd.
Passau, Deutschland

SuperModerator
Član broj: 17944
Poruke: 6050

+4631 Profil

Re: Keyloger i Internet bankarstvo

^{15.08.2010. u 20:36 - pre 178 meseci}

Taman posla, nemam ni jedan razlog da sumnjam da je njihova CA procedura ista slabija nego sto je bila kad sam odlazio, a ni tad u pocecima svega nije mogao da se odradi inside job.

Ali posmatras iz pogresnog ugla, pitanje koje bi trebalo da postavis je zasto bih ja verovao jednom Peximu ili Halcomu? Nisu deo windows root-a (kojem recimo ja verujem jer sam prisustvovao audit procesu), nisu ovlasceni CA-ovi po zakonima republike srbije. To sto ja znam da Pexim ima stroge interne propise ne znaci tebi nista (ili ne bi trebalo da ti znaci), isto tako ja nemam pojma o Halcomu ni o njihovim procesima cak ni o tome da li njihove interne procedure odgovaraju onome sto su sami dobrovoljno napisali u CPSu, niko to nije auditovao, niko overio, sve sto ti kao krajnji korisnik imas je obecanje entiteta koje ti uslugu daje (ma uzmi brate, legit je, kuma mi). Takav problem nemas sa Thawteom i Verisignom, a da se ne lazemo cena tih certova (cak i EV SSLa) su smesne za jednu bankarsku instituciju, nema ni jednog valjanog razloga drzati eksterne CA.

Odgovor na temu

dragancesu
subotica

Član broj: 38340
Poruke: 2201
195.78.86.*

+73 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 07:56 - pre 178 meseci}

Ok, lepo pises i slazem se ali postoji i druga strana price

Banke moraju da koriste sertifikovan softver i usluge, prema tome taj pexim i halcom, kako god da rade, su obezbedili to sto se trazi inace niko ne bi radio s njima. Posto i nase banke teze da budu kao svetske, onda moraju da koriste standardna proverena resenja. I verovatno je lakse kad ima firma koja pruza ti uslugu nego da se razvija u samoj banci. (Da se razumemo, ne kazem da ne bi moglo ali postoji neki trend da to mora da se prepusti firmi koja to radi) Ovo za korisnika ima lepu stranu da sa jednom karticom moze da radi sa vise banaka bez problema.

Nedavno je bila tema da je pronadjen sigurnosni propust na bankomatima. I onda ljudi pisu ja bi ovako, ja bi onako,... A situacija je jednostavnija, onaj koji je proizveo bankomat ima sertifikat od sistema za koji ce se koristiti, recimo VISA, sto znaci da je za bankomat izdato nekoliko potvrda da ce da radi kako se zahteva.

Pomozite Micro$oftu u borbi protiv piraterije, poklonite prijatelju Linux

Odgovor na temu

mmix
Miljan Mitrović
Chief Software Architect
Financial Intelligence Software Ltd.
Passau, Deutschland

SuperModerator
Član broj: 17944
Poruke: 6050

+4631 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 08:51 - pre 178 meseci}

Banke ne moraju da koriste nista, sto se tice moranja mogu i da vode knjige papirom, olovkom i opciono mehanickim kalkulatorom; naravno ne bi daleko dogurale radeci tako pa koriste softver. Nikakva sertifikacija tu ne postoji, sasvim sigurno nijedno parce softvera koje sam ja pisao za banke nije proslo bilo sertifikaciju a dnevno prolaze milioni dolara kroz njih (ako izuzemo "to the best of our abilities" pranje ruku zvano RSA web security check), niti je takva sertifikacija neophodna niti moguca jer se za skoro svaku banku uvek radi customizacija softvera i prilagodjavanje poslovnim procesima klijenta. Zato ugovori o kupovini recimo core banking softvera imaju anekse od po 1000 strana sa operativnim zahtevima i radi se dobar QA (da ne ulazim u to da li se to kod nas radi). Ucestvovao sam i u promeni core banking sistema u velikoj bermudskoj banci (prelazak sa nekog IBM mainframe sistema) i ceo taj proces je trajao skoro godinu i po dana sa preko 50 ljudi ukljuceniuh u QA i preko 20 developera koji su retrofitovali eksterne sisteme na novi core, gde je istestirano svako crevce u najmanje detalje. Ko tu realno moze da dodje sa strane i da ti sertifikuje to a da ne prelaze?

Ti verujes bankama zato sto jednostavno verujes bankama (ako im verujes) i time snosis rizik odabira banke. Uvek bilo, uvek bice.

Odgovor na temu

Dejan Lozanovic
Dejan Lozanovic
Beograd

Član broj: 691
Poruke: 2325
*.dynamic.isp.telekom.rs.

Jabber: null@elitesecurity.org
Sajt: speedy-order.com

+75 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 11:32 - pre 178 meseci}

A sto ne bi instalirao neku virtuelnu masinu, tipa VMware ili virtual box, pa tu instalirao klot windows bez icega sem programa za banku, i time se resio muka.

http://speedy-order.com

Odgovor na temu

mmix
Miljan Mitrović
Chief Software Architect
Financial Intelligence Software Ltd.
Passau, Deutschland

SuperModerator
Član broj: 17944
Poruke: 6050

+4631 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 11:48 - pre 178 meseci}

Keylogger je i dalje na host masini, pre nego keystroke stigne u virtuelnu masinu mora da prodje kroz host.

Odgovor na temu

component

Član broj: 182885
Poruke: 1250

+455 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 12:02 - pre 178 meseci}

Citat:

Dejan Lozanovic: A sto ne bi instalirao neku virtuelnu masinu, tipa VMware ili virtual box, pa tu instalirao klot windows bez icega sem programa za banku, i time se resio muka.

Moja banka je na žalost Inesa i ne podržavaju ništa osim Windowsa i IE i gore navedeni način je kako radim elektronsko bankarstvo...

Citat:

mmix: Keylogger je i dalje na host masini, pre nego keystroke stigne u virtuelnu masinu mora da prodje kroz host.

... uz napomenu da mi je host Linux i mislim da nemam keylogger-a pošto sam sve instalirao iz proverenih repo-a.

Odgovor na temu

dragancesu
subotica

Član broj: 38340
Poruke: 2201
195.78.86.*

+73 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 13:32 - pre 178 meseci}

Lepo receno

Citat:

Ti verujes bankama zato sto jednostavno verujes bankama (ako im verujes) i time snosis rizik odabira banke. Uvek bilo, uvek bice.

Samo danas su banke neizbezne i bez njih ne moze.

Opet malo sirimo temu, ali izgleda mora. Banka moze da ima i koristi softver koji god hoce, samo da zadovolji zakonske propise i to je to. Ali danas nijedna banka nije izolovana nego se mora povezati da drugim sistemima i onda prakticno ti drugi traze i postavljaju svoje uslove. Platni promet je nesto u sto su ukljucene sve banke, zna se ko to drzi. VISA, MASTER i slicni sistemi se zna ciji su, oni imaju svoje uslove. Koliko je meni poznato i sistem ebankinga je na drugom sistemu pa se korisnici prijavljuju tamo, a s druge strane su povezani sa bankama. Prakticno ebank korisnik se prijavljuje na neki drugi sistem, a ne na banku direktno. Banke u principu imaju zatvoren sitem, sto ne znaci nemaju vezu ni sa kim.

Pomozite Micro$oftu u borbi protiv piraterije, poklonite prijatelju Linux

Odgovor na temu

mmix
Miljan Mitrović
Chief Software Architect
Financial Intelligence Software Ltd.
Passau, Deutschland

SuperModerator
Član broj: 17944
Poruke: 6050

+4631 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 14:12 - pre 178 meseci}

Pa opet izvlacis neke zakljucke na osnovu onoga kako Pexim radi kroz 24x7, nije uopste neuobicajeno da banka drzi ebank softver na svojim serverima u DMZu. Isto tako eksterni sistemi za komunikaciju takodje nisu standardizovani (osim ako ne racunamo onaj prastari EDI) i u opticaju je gomila protokola i formata, prica se uglavnom svodi na to da onaj ko pruza uslugu (npr kliring centar) odredi format i protokol i dostavi ti dokumentaciju po kojoj radis implementaciju. Nista od toga nije standard i imas bukvalno svacega, od ftpovanja CSV fajlova (ovako smo npr slali DeltaAirlines spisak za airmiles), preko emailovanje EDI fajlova (interni kliring sa susednom bankom) pa sve do web servisa (za bulk payment zahteve velikih klijenata). Banke se jednostavno vode nekim drugim stvarima u svom odlucivanju i standardizuju se neke druge stvari (interni procesi rada, IT governance, itd) i svi vendori ukljucujuci i Peksim moraju dobro da zalegnu da prodaju svoj proizvod.

Ako je linuks nedostupan na sistemu to je cisto zato sto je steering committee za izbor resenja ili neki drugi decision maker verovatno zakljucio da to predstavlja zanemarljiv deo njihovih klijenata, ne verujem da je u pitanju globalna zavera protiv linuxa, da se kojim slucajem broj korisnika popne na bar 10% obratili bi paznju. Tako smo svojevremeno morali da testiramo i modifikujemo web deo ebanka kad je firefox presao 10%.

Odgovor na temu

Dejan Lozanovic
Dejan Lozanovic
Beograd

Član broj: 691
Poruke: 2325
*.dynamic.isp.telekom.rs.

Jabber: null@elitesecurity.org
Sajt: speedy-order.com

+75 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 16:12 - pre 178 meseci}

Citat:

componentMoja banka je na žalost Inesa i ne podržavaju ništa osim Windowsa i IE i gore navedeni način je kako radim elektronsko bankarstvo....

Instaliras virtual-box ( program koji emulira ceo racunar) unutar virtual box-a instaliras novi windows, taj windows unutar virtual box-a koristis iskljucivo samo za bankarstvo. Znaci taj windows ti je cist komplet od virusa i koje cega.

Drugi savet , predji u unicredit banku, imaju potpuno nezavisan sistem, dobijes token generator, koji ti svaki put generise novu sifru. Radi sa svim mogucim web browserima,

http://speedy-order.com

Odgovor na temu

Milos911
Serbia

Član broj: 219127
Poruke: 1230
*.mbb.telenor.rs.

+303 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 17:23 - pre 178 meseci}

Instaliras virtual-box, unutar njega instaliras windows, pa u tom windowsu opet instaliras virtual box i u njemu windows. Dupla zastita :D
A sad ozbiljno:

Citat:

mmix: Keylogger je i dalje na host masini, pre nego keystroke stigne u virtuelnu masinu mora da prodje kroz host.

Moze da koristi virtual keyboard u virtuelnoj masini.

Odgovor na temu

Srđan Pavlović
Specijalna Edukacija i Rehabilitacija MNRO
Vojvodina, Bačka Palanka

Član broj: 139340
Poruke: 5571
*.static.isp.telekom.rs.

Sajt: www.oligofrenolog.com

+382 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 17:35 - pre 178 meseci}

Hehe.. a moz' i da kupi volan i napise svoj custom driver za unosenje teksta volanom.... why not simple :)

oligofrenolog

Odgovor na temu

mmix
Miljan Mitrović
Chief Software Architect
Financial Intelligence Software Ltd.
Passau, Deutschland

SuperModerator
Član broj: 17944
Poruke: 6050

+4631 Profil

Re: Keyloger i Internet bankarstvo

^{16.08.2010. u 19:36 - pre 178 meseci}

Nisam siguran da bi to bilo resenje problema (mislim volan

) ali virtual keyboard u virtelnoj masini dedicated za ebanking, to je vec ok. Hmm, dobra ideja.

Odgovor na temu

cyBerManIA
I ovo T ono
Space

Član broj: 25195
Poruke: 698
...148.91.adsl.dyn.beotel.net.

Sajt: www.facebook.com/cyberman..

+263 Profil

Re: Keyloger i Internet bankarstvo

^{17.08.2010. u 15:44 - pre 178 meseci}

Koliko sam video, niko nije spomenuo Erste banku.
Njihov ebanking radi na principu user + pass + TAN tablica sa kljucevima.

Citat:

Od potrebnih programa za pristup Internetu preporucuje se MS Internet Explorer (verzija 6.0.xxxx) ili novije verzije
Mozilla FireFox-a ili Opere.

To je sto se tice upotrebe kod fizickih lica.
Kod pravnih lica se koristi Halcom resenje.

LOL

Odgovor na temu

sphere
System Administrator
Beograd

Član broj: 240005
Poruke: 66
*.dynamic.sbb.rs.

+7 Profil

Re: Keyloger i Internet bankarstvo

^{17.08.2010. u 17:13 - pre 178 meseci}

Da su moje pare u pitanju, ne bih trepnu odmah bih obrisao disk.. Bez premisljanja. Ne razumem samo(kao sto ste sami naveli,imate dosta godina iskustva u surfovanju i jos programer) kako mozete samo i da pomislite da instalirate e-banking na racunaru za koji ZNATE da ima problem sa virusom? Ok.. nikada do sada niste imali problema ni sa jednim od racunara, ali zasto BAS SAD postavljete pitanje da li je bezbedno na takav racunar instalirati e-banking?? Sve je drukcije cim su pare u pitanju

Imate npr keyloger Ardamax.. prilicno jednostavan i dosta pristupacan program.. Belezi SVE. Od logovanja tastera,pravljenja SS-ova, a novije verzije cak ceprkaju i registry.
Cemu toliko premisljanje :-/

Sto se tice anti-virus programa... ukusi su razliciti.. Kada samo pogledate da npr nod32 business izdanje mozete da kupite za 10,000din(sa 5 licenci) zasto bih rizikovao...

U principu, to su vase pare na racunu tako da je na vama sta cete uraditi.. Posto,sami kazete,imate iskustva sa racunarima odgovor vam se sam namece. I veci deo ljudi koji su postovali ovde su vam rekli skoro isto.. Reinstall

Pozdrav

Odgovor na temu

snake_master
Čačak

Član broj: 18087
Poruke: 402
*.ptt.rs.

Sajt: Trenutno nemam:)

+2 Profil

Re: Keyloger i Internet bankarstvo

^{19.08.2010. u 09:46 - pre 178 meseci}

Zanimljiva tema, o svemu moze da se procita :)

Ono sto mene interesuje kao krajnjeg korisnika, kakav stepen zastite npr ima Intesa kada kao sto je neko naveo:
- ukoliko ti keyloger sazna username i pass moze da ti ceo dan kupuje i prodaje stranu valutu dok ne potrosi ceo iznos na kursnim razlikama.
- drugo, moze prebaciti novac na Internet visa karticu i ukoliko je zapamtio i broj kartice prilikom neke od predhodnih kupovina na netu moze da potrosi opet ceo iznos racuna.
- Ista stvar i ukoliko imate neki iznos na deviznom racunu kojem je takodje moguce pristupiti putem e-bankinga.

Iz ove perspektive ceo sistem mi deluje mnogo glupo i prosto, da se onaj CD sa security key koristi samo prilikom placanja, kada postoji mnogo nacina za zloupotrebu novca koji ne zahtevaju koriscenje security key-a...

Mislim da Unicredit daju token kao sto neko rece, pa mi to deluje dosta sigurnije...

Odgovor na temu