Re: was sagt ihr dazu? - hw token proxy
- From: Juergen Ilse <ilse@xxxxxxxxxxxxxxxxxxxx>
- Date: 18 Dec 2008 18:54:22 GMT
Hallo,
Jan Schejbal <jan.schejbal_news@xxxxxx> wrote:
IMHO schöner Ansatz, AAAAAAABER - so wie ich es verstanden hab macht
der User onlinebanking, indem er seinen Rechner nutzt, die Anfragen an
das Gerät schickt und dieses "signiert" sie indem es sie über eine mit
einem enthaltenen Client-Zertifikat gesicherte SSL-Verbindung schickt.
Der Key kann natürlich nicht geklaut werden, d.h. Angreifer können
nicht von ihrem Rechner aus onlinebanking machen.
Was aber hindert den Angreifer daran, einen Trojaner zu schreiben, der
die Daten vor dem Versenden an das Sicherheitsmodul verändert? Der
Nutzer loggt sich ganz normal ein, macht eine Überweisung, und zwischen
Benutzeroberfläche und Modul wird der Empfänger der Überweisung
geändert und der Betrag "optimiert".
Gegen dieses Szenario wuerde ein Klasse3 Smartcardreader, ein vom PC aus
nicht auslesbarer privater Schluessel auf der Smartcard (der zum signieren
der Uebeweisung verwendet werden muss), die "sichere PIN-Eingabe" am Smart-
cardreader samt Anzeige der zu signierenden Daten *vor* der PIN-Eingabe
auf dem Display des Klasse3-Readers helfen (ja, AFAIK gibt es durchaus
solche Systeme, aber ein Klasse3 Reader ist i.d.R. doch deutlich teurer
als ein Klasse2 Reader ohne ein solches Display und die Banken verlangen
fuer Online-Banking per Smartcard nur einen Klasse2 Reader ...).
Oder war das jetzt flacsh zusammengefasst?
Tschuess,
Juergen Ilse (juergen@xxxxxxxxxxxxxxxxxxxx)
--
Ein Domainname (auch wenn er Teil einer Mailadresse ist) ist nur ein Name,
nicht mehr und nicht weniger ...
.
- References:
- was sagt ihr dazu? - hw token proxy
- From: mak
- Re: was sagt ihr dazu? - hw token proxy
- From: Jan Schejbal
- was sagt ihr dazu? - hw token proxy
- Prev by Date: Re: was sagt ihr dazu? - hw token proxy
- Next by Date: Re: was sagt ihr dazu? - hw token proxy
- Previous by thread: Re: was sagt ihr dazu? - hw token proxy
- Next by thread: Re: was sagt ihr dazu? - hw token proxy
- Index(es):
Relevant Pages
|
