Fragen zum angeblichen sichersten Homebanking

[berlinerbaer]

HBCI gilt als das sicherste Verfahren,
inzwischen habe ich MONN€P€NNY auch zum Laufen gebracht. Sehr bequem, schnell, ok, die versteckten Dateien, die mich so störten, werden jetzt auf der Chipkarte gespeichert. So soll es lt. Bank auch richtig sein.

Das Programm wird nur als User gestartet, nie als Root. Auch klar. Aber der Schlüssel ist auf dem Kartenleser, sowas wie eine Smartcard, bloß kleiner. Das Programm mountet den Kartenleser und hält diesen Zustand solange aufrecht, wie man im Programm ist.

Ergo - der Kartenleser ist als User gemountet. Mir will nicht plausibel werden, warum ein angreifender Hacker nun nicht in der Lage sein soll, diesen Schlüssel abzugreifen
Die Schlüsseldatei ist doch durch nichts geschützt - noch schlimmer sieht das m.E. aus, wen man mittels Floppy arbeitet.

Wo also liegt denn jetzt die Sicherheit?

[finupsen]

naja , absulote sicherheit gibt es ja bekanntlich nicht. Aber HBCI ist wahrscheinlich sicherer
als HBCI+ bzw.PIN/TAN verfahren. Ich denke der key auf der karte ist asymetrisch und
man benötigt noch eine passphrase ... keine ahnung.
Aber natürlich besteht auch hier die möglichkeit mittels eines keyloggers diesen abzugreifen.
In jeden fall erfolgt die übertragung verschlüsselt (RSA ?), so das ein
Man-in-the-middle wenig möglichkeiten hat dort was abzugreifen. Bleibt also nur die
möglichkeit per trojaner zu sniffen. Und da linux ja nicht sonderlich anfällig ist was trojaner
betrifft hat sich das eigentlich auch erledigt

[duploian]

Hallo Peter,

in der Rege ist doch am Kartenlesegerät eine Tastatur. Die Eingabe des Pins läßt sich von Außen nicht abfangen oder manipulieren. Die Daten werden signiert (Schlüssel) übertragen und lassen sich somit überprüfen und genau zuordnen.

100% gibt es nicht!

Genau wie bei Pin/Tan liegt das Risiko noch immer bei Dir. Nur Du kennst das Passwort.

Zur Sicherheit der Schlüsselübertragung habe ich einen guten Beitrag gefunden [1]

Code: Alles auswählen

Schutz gegen Vertauschen des Schlüssels

Da das Internet in keiner Weise abhörsicher ist, geht man davon aus, dass die Daten auf dem Übertragungsweg abgehört oder verfälscht werden können. Insbesondere kann der öffentliche Schlüssel bei der Einreichung gegen einen gefälschten Schlüssel ausgetauscht werden, da Unbefugte Zugriff auf den Datenstrom haben. Man spricht in diesem Falle von einem "Man in the Middle Attack", also einem Angriff durch jemanden, der zwischen den beiden Computern die Datenleitung anzapft.

Damit der Schlüssel nicht durch Unbefugte, die die Ersteinrichtung des Programms belauschen, ausgetauscht werden kann, druckt MON€YP€NNY einen Brief (Ini-Brief), der die Identität des Schlüssels zweifelsfrei belegt, und den Sie am besten selbst bei Ihrer Bank abgeben. Dadurch werden "Man in the Middle" Angriffe unmöglich.

Erst wenn sich die Bank durch den Ini-Brief davon überzeugt hat, dass der richtige Schlüssel bei ihr angekommen ist, wird sie die HBCI Verbindung freischalten. Deshalb nützt das Austauschen des Schlüssels dem Angreifer nichts, weil es auf jeden Fall bemerkt wird und der Schlüssel in diesem Falle nicht freigeschaltet wird. Der Austausch des im HBCI Verfahren vorgesehenen Ini-Briefs ist zwar aufwändig, aber er gewährleistet zuverlässig die Sicherheit der Datenverbindung.

[1]http://www-in.fh-swf.de/Money-Penny/doc ... urity.html

[berlinerbaer]

Ach so,
das Spiel mit dem Begrüßungsbrief, das ist alles gelaufen, die Freischaltung nach vorheriger Überprüfung durch den Bankangestellten auch.
Dann ist ja da auch noch der Bankschlüssel, dessen Übereinstimmung man bestätigen muss, quasi die Sicherheit, dass man sich auf keiner gezinkten Seite in Russland befindet. Für mich war die Information, dass inzwischen das "Vorhängeschloss" in den falschen Bankseiten auch schon nachgeahmt wurde, der letzte Anstoß auf das Banking direkt über die WebSite der Banken zu verzichten.

Also brauchte ein Hacker nicht nur die Disketten- oder Smartcarddaten sondern auch noch sowas wie den Schlüssel zum entschlüsseln ? Der, den die Bank hat?

Der Kartenleser hängt bei mir übrigens am seriellen Port, das letzte Modell seiner Gattung, was die Commerzbank angeboten hat. Glücklicherweise, den meine USB-Ports sind alle überbelegt.

[RaBu55]

Im Grunde wäre hier zu erfragen ob und inwieweit die eingesetzte Signaturerstellungseinheit sowie die Signaturanwendungskomponenten den §§ 17 und 18 des Signaturgesetzes entsprechen. Sollte eine Erklärung i.S.v. § 17 Abs. 4 Sigg vorliegen, ist von sicheren Komponenten auszugehen.