Tak tu již máme novou vymoženost - pharming

21.3.2008 09:33 | Přečteno: 2393× | poslední úprava: 21.3.2008 10:33

Klienti českých bank mají o důvod víc bát se o své úspory. Internetoví podvodníci totiž od středy zkouší svůj nový trik - pharming. Zaznamenali jsme již první neúspěšný případ, říká Klára Gajdušková, tisková mluvčí České spořitelny.

Tak tohle je novinka, na kterou již i člověk znalý finty jako phishing může naletět. Jak jsem porozuměl, podmínkou k úspěšnému vybrání konta nezvaným hostem je stažení trojského koně.

Přesto je obrana možná: Podvodník totiž vyžaduje bezpečnostní kód, aby mohl změnit telefonní číslo a následně potvrzovat transakce ze svého telefonu. Toto alespoň Česká spořitelna nevyžaduje, jen při prvním přihlášení. Další obranou je - což jistě potěší všechny uživatele tohoto serveru - používání operačního systému, který činnosti trojského koně znemožňuje.

Každopádně tyto aktivity na internetu by měly každého uživatele varovat. Dnes již velká část populace má nějaký ten účet spravovaný přes internet. A ne všichni jsou erudovaní počítačoví odborníci. Bude existovat cesta, jak banky umožní svým klientům ochránit jejich životní úspory? Nezbydou jen všem technicky "pokrokově" smýšlejícím lidem nakonec jen oči pro pláč? Jestliže do teďka člověk by mohl přijít o úspory svou vlastní hloupostí (odpovídání na podvodný e-mail), doufejme, že nenastane situace, kdy by i člověk se zdravým rozumem nakonec utřel nos ..

       

Komentáře

[OndraZX]

Ja CS preji, at jim hackeri vyberou vsechny ucty. Bohuzel nase firma pouziva aplikaci Business 24 a to co CS predvadi s aplikacemi pro pristup k bance se neda nazvat jinak nez naprosta "amaterina" a "garazovina". Snad se pak v CS chytnou za nos a konecne poskytnou klientum bezpecne a funkcni aplikace.

Sve penize bych CS nikdy nesveril - CS pouziva docela dost firem, protoze CS dava docela vyhodne uvery, ktere ale vaze s podminkou pouzivat jejich ucty. Jinak by jim uz davno vsichni rozumni klienti utekli.

[Bluebear]

Ja CS preji, at jim hackeri vyberou vsechny ucty.

Tím bys uškodil jenom velkému množství jejich klientů, tedy lidí, kteří za nic nemohou. Management banky by to přežil ve zdraví a při penězích, maximálně by změnil banku.

[Luk]

Pharming není nic nového. Jen ho zatím nikdo příliš nezkoušel tady u nás. Ještě co se týká ochrany systémem - určitě se dříve či později objeví DNS pharming (zasypávání stroje podvrženými DNS odpověďmi), který lze provést proti libovolnému OS. A když si uživatel nezkontroluje certifikát a pouze ho odklikne, nebo se ani nepřesvědčí, že se používá SSL, podobně jako u klasického man-in-the-middle útoku mu nebude pomoci. Proti DNS pharmingu existuje efektivní ochrana - DNSSEC - ale zatím je v plenkách.

[Dalibor Smolík]

Ano, budeme si muset zvyknout, že soustředěné útoky podvodníků můžeme očekávat i v českých končinách, nejen v anglicky mluvících zemích. O DNSSEC jsem již slyšel, doufejme, že se tento projekt dotáhne do konce ..
Já používám Citibank s kalkulačkou, což je zatím relativně bezpečný způsob komunikace, ale i na to se určitě časem najde finta.

[Luk]

Já používám Citibank s kalkulačkou, což je zatím relativně bezpečný způsob komunikace, ale i na to se určitě časem najde finta.

Nevím, jak pracuje kalkulačka Citibank, ale pokud generuje jednorázové heslo na základě něčeho, co se tam zadá, a dalších dat uložených natvrdo v té kalkulačce (může to fungovat třeba na principu RSA - jedno prvočíslo je uloženo v kalkulačce a druhé generuje server, obě jsou dostatečně velká vzhledem k současným možnostem prolomení hrubou silou), pak není příliš pravděpodobné, že by to někdo prolomil. Tedy kromě případu naklonování té kalkulačky (útočník by ji musel mít fyzicky k dispozici) nebo cracknutí serveru banky.

[Dalibor Smolík]

nebo cracknutí serveru banky.
Jo, tohle jsem měl na mysli (zcizení a naklonování kalkulačky může uživatel ovlivnit, cracknutí serveru ne)

[David Jaša]

Vychází z toho jedna věc: každá aktivní operace musí vyžadovat ověření jiným nezávislým kanálem - kalkulačkou, telefonem apod. To pokud vím ČS stále nezavedla a proto její bankovnictví nemůžu považovat za bezpečné...

[Martin Beránek]

kazdou aktivni operaci u CS potvrzuji telefonem (prevody, inkasa, trvale prikazy)

[Dalibor Smolík]

Tohle v podstatě by mělo stačit.

[Vašek Lorenc]

Sám účet u ČS nemám, ale pokud je mi známo, tak se bez nutnosti autorizačního kódu dá změnit přednastavený účet v systému (takové to "mamka", "dealer" a podobně, tedy zavedení nějaké zkratky k často používaným číslům účtů). Tedy, pokud si někdo nedá pozor, stejně může převádět peníze na úplně cizí účet.

[Ondrej 'SanTiago' Zajicek]

To pokud vím ČS stále nezavedla

To CS zavedla, povazuju to za nehoraznou buzeraci a uvazuju o zmene banky. Overovani telefonem (pres SMS) je stejne takova pochybna metoda. Kdovi, zda je vubec aspon trochu zabezpecena.

[kavol]

To pokud vím ČS stále nezavedla

To CS zavedla, povazuju to za nehoraznou buzeraci a uvazuju o zmene banky.

přesně tak, bohužel nenašel jsem, kam utéci

[Kvakor]

Pharming není nic nového. Jen ho zatím nikdo příliš nezkoušel tady u nás. Ještě co se týká ochrany systémem - určitě se dříve či později objeví DNS pharming (zasypávání stroje podvrženými DNS odpověďmi) ... Proti DNS pharmingu existuje efektivní ochrana - DNSSEC - ale zatím je v plenkách.

Je tu jeste moznost mit vlastni lokalni DNS server nastavny do paranoidniho rezimu (treba pdnsd to umi), ktery omezuje DNS cache poisoning za cenu mirneho zhorseni vykonnosti (nepouzivaji se rekurzivni dotazy).

Bohuzel proti bombardovani falesnymi DNS odpovedmi to funguje jen castecne, protoze pokud se utocnik trefi do otevreneho portu, ma vyhrano. Na to by musel byt nastaveny firewall, ktery by pustil UDP pakety pro DNS jen ze stroju, se kterymy bylo komunikovano (opet je nutne nepouzivat rekurzivni dotazy).

Bohuzel, pokud vim, tak zadny z bezne dostupnych bezpecnostnich baliku tohle nedela, takze utocnici maji zatim navrch.

[menphis]

Nevim zda je to 100%, ale proti podvrzeni DNS zaznamu by mel castecne fungovat "fraud protection" ( tak se to aspon jmenuje v Opere, ve Firefoxu je to "Kontrola dotazem na server"...). Kdy prohlizes pri vstupu na stranku "overi jeji pravost" pomoci dotazu na Google nebo blacklistu.

[Käyttäjä 11133]

Což je limitováno rychlostí promítnutí změn u googlu, nebo na blacklistu...

[multi]

Nejzabajnejsi je, ze v kazde bance vam budou tvrdit, ze to maji narozdil od ostanich bank bezpecne.

A u KB, vam klidne reknou, ze zavislos toho jejich systemu na MS windous IE a activeX nijak nesnizovalo bezpecnost.

[rADOn]

V komercce mi nekolikrat s kamennou tvari rekli ze IE a ActiveX vyzaduji _kvuli_ bezpecnosti.

Ja si z toho beru ze "bezpecnost" pouzivaji jen jako vymluvu. Z toho vyplyva ze zadnemu tvrzeni daneho ustavu o bezpecnosti nemuzu verit. A z toho zase vyplyva ze jim nemuzu sverit penize.

Jedine co KB slouzi ke cti je ze aspon nemlzili a rovnou rekli ze "v kratkodobem ani strednedobem vyhledu" neplanuji dat to do poradku.

[Bluebear]

V komercce mi nekolikrat s kamennou tvari rekli ze IE a ActiveX vyzaduji _kvuli_ bezpecnosti.

Obávám se, že pracovník, který to řekl, o problematice nevěděl vůbec nic a jen papouškoval větu, kterou se naučil nazpaměť z nějakého interního dokumentu. Proto mu také asi nedělalo problémy udržet kamennou tvář.

[springer]

jen houst a vetsi kapky. Konecne snad dostanou lidi rozum a vrati se k normalnimu clientovi a prestanou pouzivat ten 'browser' nesmysl. Weizenbaum mel pravdu. Je to srot.

My mame ve firme na kriticke aplikace jeden w2k v rohu, tam nikdo mesmi nic delat, pres VNC se dela banka a jinak vubec nic. A to protoze banky nic jineho nenabizeji a clovek bohuzel nemuze kvuli kazdymu platebnimu prikazu jet pres mesto.

[Max]

Mnozí o mne tvrdí, že jsem dosti paranoidní ohledně osobních údajů apod., ale s tvrzením, jak jsou banky strašně málo bezpečné a jak to mají na houby udělané bych zas tak moc nesouhlasil. Teoreticky je možné vždy všechno, vždy je někde nějaká skulinka, která je ovšem většinou podmíněna dalšími věcmi.
Bezpečnost bych dělil na dvě části. Bezpečnost na straně banky a bezpečnost na straně klienta.
Bezpečnost ze strany banky je jasná a myslím si, že většina bank je na tom velmi dobře. Používají šifrování, certifikáty, automatické opdpojení po timeoutu a mnoho dalších věcí.
Otázkou ovšem je, zda se mají banky starat i o bezpečnost na straně klienta, jako třeba napadnutí trojanu, hloupost uživatele a další věci.
Zamyslete se, máte zabezpečeného klienta (firewall, antivir, instalujete si do PC věci, o kterých víte, že jsou bezpečné). Jak poté někomu vybrat účet? Bezpečnost je strašná právě na straně klienta, za což banka nemůže, ale většinou do toho chtějí zasahovat, ať třeba potvrzováním transakce smskou, či využití generátoru apod.
Podle mne je dobře, že se banky starají i o bezpečnost klienta, který by si jí měl zajistit sám. Mějme ale na paměti, že né všichny by bez možnosti volby chtěli používat různé obtěžující bezpečnostní prvky, ať už třeba kvůli tomu, že ví, co je to bezečnost a umí si jí zajistit sami, nebo jen kvůli adrenalinu :)
Já jsem třeba s CS spokojen. Bezpečnost mi přijde na dobré úrovni a hlavně na takové, která mne nikterak neomezuje, nebo neobtěžuje a tím ani nezdržuje, takže by mne např. u CityBanky ten jejich generátor docela štval.
Zdar Max