---

Er det en forsinket første april?

Ifølge http://politiken.dk/erhverv/article282923.ece vil Nordea bruge en
stensikker metode. De sender nu en SMS hvis der sker mistænktsomme
kontooverførelser via netbank.

Desværre kan den samme netbank også bruges til at ændre mobil nummeret!!

---

On Sat, 14 Apr 2007 14:10:21 +0200, "Christian E. Lysel"
<christian@examples.net> wrote:

>Ifølge http://politiken.dk/erhverv/article282923.ece vil Nordea bruge en
>stensikker metode. De sender nu en SMS hvis der sker mistænktsomme
>kontooverførelser via netbank.
>
>Desværre kan den samme netbank også bruges til at ændre mobil nummeret!!

Ud fra Politikens artikel fremgår det ikke, om de har hensigtsmæssige
sikkerhedsmekanismer i den retning, fx notifikation til gammelt nummer
om mobilnummer-skift, eller en ventetid på brug af nyt nummer, netop i
den situation.

Der plejer sjældent at være plads til teknikaliteter i nyheder i de
almindelige aviser, så der er nok ikke plads til at konkludere noget,
blot ud fra det. Det udelukker selvfølgelig ikke at deres system har
den uhensigtsmæssighed.

Men på den anden side... det er vel lige så let at sende sin undren i
retning af Nordea som det er at sende sin undren i retning af usenet?

--
- Peter Brodersen
Kendt fra Internet

---

On Sat, 2007-04-14 at 17:08 +0200, Peter Brodersen wrote:
> Ud fra Politikens artikel fremgår det ikke, om de har hensigtsmæssige
> sikkerhedsmekanismer i den retning, fx notifikation til gammelt nummer
> om mobilnummer-skift, eller en ventetid på brug af nyt nummer, netop i
> den situation.

Desværre er det ikke tilfældet.

> Men på den anden side... det er vel lige så let at sende sin undren i
> retning af Nordea som det er at sende sin undren i retning af usenet?

Jeg gætter på de er klar over det....ellers er der noget helt galt.

---

On Sat, 2007-04-14 at 20:36 +0200, Janus wrote:
> Af ren interesse for sagen;
> Kunne du beskrive et scenarie hvor en almindelig netbank-bruger, for at
> kunne logge sikkert ind, i stedet for en underskriftkode, kunne svare
> bekræftende på f.eks . en sms, efter indtastning af eget valgt password?

Du logger på som normalt, og når du godkender transaktioner, får du en
SMS med oplysninger om transaktionen du skal godkende og data du skal
indtaste i netbank.

> Eller er løsningen med 2.kilde-respons (eget opfundet ord) et blålys ala
> sikkerheds polemik vdr. bank-nøglefil på en usb-stick?

Ikke i forhold til en trojansk hest der henter nøglefilen og sniffer
passwordet.

Et angreb på fx SMS, vil kræve en ændring af telefon nummeret eller et
angreb på det mobile netværk eller en troj på en mobil telefonen
(hvilket dog bliver nemmere og nemmere, jo mere advanceret folks mobiler
bliver).


Det der blot var problemmet med Nordea er at der er trivielt at skifte
nummeret på ens mobiltelefon, før man fortager overførelsen. Derefter
kan man rette nummeret tilbage, så brugeren ikke opdager noget.
(Evt. konto overvågning skal dog genindtastes).