Fyrir ekki svo löngu síðan tóku íslensku bankarnir upp á því að krefjast þess að fólk noti fýsíska auðkennislykla til þess að fá gefið upp númer til þess að geta skráð sig inn í netbankaþjónustu.
Þetta er ótrúlega pirrandi og heimskulegt. Helvítis lyklarnir týnast, skemmast o.s.frv., og þá þarf maður að sækja um nýjan, og síðan þarf maður að ferðast um með þetta á sér ef maður vill geta skráð sig inn í netbanka á tölvu utan heimilisins, sem eykur líkurnar á ofantöldum óhöppum.
En hverjir eru svokallaðir kostir þessara auðkennislykla? Þeir eru ekki margir, að mínu mati. Hér áður þurfti maður einungis að slá inn lykilorð og notendanafn til þess að skrá sig inn. Til þess að framkvæma færslu þurfti þar að auki að slá inn 4 tölustafa PIN kóða. Þetta þýðir að til þess að einhver þrjótur geti komist inn netbanka annars manns og gert einhvern skaða, þarf eftirfarandi að eiga sér stað:
- Þrjótur kemst einhvern veginn yfir notendanafn og lykilorð fórnarlambsins
- Þrjótur kemst einhvern veginn yfir 4 stafa PIN kóða fórnarlambsins
IP tala þrjótsins er skráð hjá bönkunum. Einungis er hægt að flytja pening milli íslenskra reikninga gegnum netbankann. Þetta þýðir að það er hægt að rekja peningafærsluna, og mögulega manneskjuna sem framkvæmdi hana.
Það er býsna erfitt að komast yfir lykilorð, notendanafn og PIN númer einhvers. Ef þú kemst yfir allt þetta, á annað borð, þá þykir mér afskaplega líklegt að þú getir komist í fýsískan auðkennislykil viðkomandi aðila. Ef fólk er virkilega svo heimskt eða trúgjarnt að það lætur út úr sér ofantalda hluti, þá á það skilið að láta ræna sig. Ömurlegt að láta restina af þjóðinni líða fyrir það...
(Sveinbjörn)
Add Comment |
RSS Feed
Já, það væri hægt að sniffa tölu, en málið er að talan breytist stöðugt og það þyrfti þá að finna út eftir hvaða algóritma talan er búin til.
Virkjun þessa lykils fór þannig fram, minnir mig, að maður sló inn raðnúmerið aftan á lyklinum og síðan þrjú númer sem lykillinn bjó til.
Þetta er eitthvað semi-random dót, sýnist mér, þessi þrjú númer og raðnúmerið gera bankanum kleyft að binda þinn tiltekna öryggislykil (eða öryggislykil e-s hæfilega stórs hluta af þýðinu) við login nafnið. Bankinn getur þá búið til lista yfir þær tölur sem lykillinn er líklegur til að búa til. Síðan hlýtur þetta að virka þannig að hver tala sé bara notuð einu sinni, er það ekki? En þetta hlýtur eiginlega að þýða að lykillinn hafi mjög takmarkaðan líftíma. Hvað skyldi hver lykill endast í mörg login? Hvernig skyldi maður komast að því þegar lykillinn manns "rennur út"? Skyldi bankinn fyrirvaralaust ákveða að hætta að hleypa manni inn - svona svipað og þegar öryggislyklarnir voru innleiddir?
Prófaði einhver, þegar hann virkjaði lykilinn, að gefa upp þrjú númer sem ekki voru í röð? Eða með eyðum inn á milli?
Hvað með svipaða fimleika við login? Að gefa annað hvort upp sama númerið tvisvar í röð (sem ég efast um að virki) eða hlaupa yfir eitt númer eða fleiri (sem mér finnst að hljóti að virka, þó ekki væri nema frá notendaverndarsjónarmiðum...)
En að nota tölur frá lyklinum í login en prófa að gefa þær upp í öfugri röð?
(ég er í vinnunni og ekki með lykilinn með mér - ég hef engan áhuga á að íþyngja lyklakippunni minni enn frekar en orðið er.)
Ég er sammála, mér finnast þessir lyklar gjörsamlega óþolandi. Nú á þetta að verða óþarft þegar kort með örgjörva komast í almenna notkun (frá og með næsta ári, minnir mig?) - getur einhver frætt mig á því hvernig það á að virka? Hverju breytir það?
Bæðevei - Þegar maður sækir um aðgang að einkabankanum er maður látinn skrifa undir esk. samning, ef ég man rétt... Finnst engum öðrum það neitt skrýtið að bankanum skuli heimilt að breyta allt í einu einhliða samningsskilmálunum um notkun einkabankans?
Það er bara hægt að nota hverja tölu einu sinni, segja bankarnir. Annars veit ég lítið um hvernig þetta virkar.
Semi-random getur þetta varla verið; annars myndi netbankinn ekki vita hvaða tala nákvæmlega kemur næst (sem hann veit - prófaðu að slá inn vitlausa tölu tvisvar í röð, þá þarftu að setja tvær nýjar tölur inn).
En jú; mér finnst mjög skrítið að bankinn geti breytt einhliða svona samningum. Ég hef fengið upp í mínum heimabanka að samningur breytist, en ég þarf þá líka að samþykkja hann aftur. Ég fékk ekkert um þetta dæmi.
Skemmtilegt að þú skulir níðast á símainterfeisum, þar sem þú getur opnað netbanka Glitnis án auðkennislykils þökk sé farsímavöfrun. Án þeirra hefði http://m.glitnir.is">http://m.glitnir.isaldrei verið gerð ;)
Ég vil meina að innleiðing þessara lykla hafi gert mér mikinn óleik. Ég festi minn á lyklakippuna mína, sem gerir það að verkum að ég er sjaldnast með hann við hendina þegar ég er í tölvunni.
Þar af leiðandi hefur heimsóknum mínum í heimabankann snarfækkað, yfirsýnin yfir fjármálin horfin og staðan eftir því.
0
▽
Ég man ekki betur en að minn netbanki leyfi transactions milli landa?
Þú lítur samt framhjá því þegar um er að ræða forrit sem er búið að setja inn á tölvurnar sem síðan hlera samskiptin milli browsersins og notandans, þá geta þessi forrit nað PIN-númerum og lykilorðum við eina millifærslu.
Svo er þessi auðkenninslykill tímabundin lausn að mér skilst. Crypto-lausn (hey, marketing!) er væntanleg (innan kannski 5-10 ára, ef maður miðar við innleiðingu örgjörva á kort).