|
|
 | ATP folkebørs og digital signatur
Fra : Firstname Lastname |
Dato : 04-01-05 12:47 |
|
Hejsa
Er det ikke betænkeligt den måde ATPs folkebørs bruger TDC's digitale
signatur?
Gå til http://folkeborsen.atp.dk -> Gå til personlig konto -> Log ind med
digital signatur for at se hvordan de gør.
Man skal min udlevere signatur og password til ATP's applet. I mine øjne er
det meget betænkeligt at vænne brugere til at udlevere signatur og
passwords til tilfældige firmaer. Bare tænk på hvad der sker hvis ATP
bliver hacket, så kan hackeren få fat i brugernes signatur hvilket er pænt
uheldigt [1].
Har I nogen kommentarer? Jeg overveje at brokke mig til nogen, men hvem?
TDC? ATP? Ministeriet? Computerworld?
[1] Ved normal brug af TDC's https signatur bliver signaturen eller password
aldrig sendt til serveren. Man sandsynligør blot overfor serveren at man
har signaturen.
| |
 Kasper Dupont (04-01-2005)
| Kommentar
Fra : Kasper Dupont |
Dato : 04-01-05 13:25 |
|
Firstname Lastname wrote:
>
> Man skal min udlevere signatur og password til ATP's applet. I mine øjne er
> det meget betænkeligt at vænne brugere til at udlevere signatur og
> passwords til tilfældige firmaer.
Det er selvfølgelig ret uheldigt at ATP vælger at lave sådan en
løsning. Nu burde udfaldet så være, at brugerne konstaterer, at
der er noget galt, og unlader at bruge systemet. Og i så fald
vil ATP ret hurtigt indse, at de må lave deres system om.
Men selvfølgelig er ting ikke altid som de burde være, og det
gør sig også gældende her. Og jeg spørger nu, hvor gik det galt.
Jeg mener fejlen ligger hos de brugere, der fuldstændigt
ukritisk udleverer deres hemmelige nøgle.
> Har I nogen kommentarer? Jeg overveje at brokke mig til nogen, men hvem?
> TDC? ATP? Ministeriet? Computerworld?
Inden man brokker sig skal man gøre sig klart, hvad man vil
brokke sig over. Jeg vil ikke primært brokke mig over ATP, men
derimod over manglende uddannelse af brugerne. Hvem har
ansvaret for at lære brugerne, hvordan de skal omgås den
digitale signatur?
--
Kasper Dupont
| |
Kent Friis (04-01-2005)
| Kommentar
Fra : Kent Friis |
Dato : 04-01-05 13:50 |
|
Den Tue, 04 Jan 2005 13:25:07 +0100 skrev Kasper Dupont:
> Firstname Lastname wrote:
>
>> Har I nogen kommentarer? Jeg overveje at brokke mig til nogen, men hvem?
>> TDC? ATP? Ministeriet? Computerworld?
>
> Inden man brokker sig skal man gøre sig klart, hvad man vil
> brokke sig over. Jeg vil ikke primært brokke mig over ATP, men
> derimod over manglende uddannelse af brugerne. Hvem har
> ansvaret for at lære brugerne, hvordan de skal omgås den
> digitale signatur?
Hvad med en henvendelse til TDC? Hvis de vil have at sikkerheden omkring
signaturen skal tages alvorligt, må de gøre noget ved sagen.
Havde det været PBS og dankort systemet, hvor et firma krævede både
pin-koden og en kopi af magnetstrimlen, ville der meget hurtigt blive
gjort noget ved sagen.
Mvh
Kent
--
Help test this great MMORPG game - http://www.eternal-lands.com/
| |
Christian E. Lysel (05-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 05-01-05 10:12 |
|
Kasper Dupont wrote:
> Inden man brokker sig skal man gøre sig klart, hvad man vil
> brokke sig over. Jeg vil ikke primært brokke mig over ATP, men
> derimod over manglende uddannelse af brugerne. Hvem har
> ansvaret for at lære brugerne, hvordan de skal omgås den
> digitale signatur?
Bør man endvidere ikke også gøre klart hvordan systemmet virker.
Hele denne tråd handler om at ATP får PIN koden og certifikatet, men gør
de det?
| |
 Klaus Larsen (05-01-2005)
| Kommentar
Fra : Klaus Larsen |
Dato : 05-01-05 10:27 |
|
>
> Hele denne tråd handler om at ATP får PIN koden og certifikatet, men gør
> de det?
>
Aha vi er ovre i noget helt nyt -> webphishing. Således må dette være
det mest storstilede og revolutionerende angreb på vores pengepunge 
Gad vide om programmørflokken bag ATP allerede sidder i sydamerika og at
det er derfor deres site kører så sløvt og går ned.
Spøg til side. Såfremt ATP rent faktisk får PIN koden og certifikatet må
det jo betragtes som en færdigsyet opskrift til lettere tvivlsomme
eksistenser.
Vh
Klaus
| |
Christian E. Lysel (05-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 05-01-05 10:52 |
|
Klaus Larsen wrote:
> Spøg til side. Såfremt ATP rent faktisk får PIN koden og certifikatet må
> det jo betragtes som en færdigsyet opskrift til lettere tvivlsomme
> eksistenser.
Jeg ser det som at ATP har lavet en JAVA applet (eller to) der håntere
klient
certifikatet på brugerens lokale maskine. Så jeg ser ikke nogen forskel
på denne løsning og andre....udover man skal køre deres software.
Hvis jeg ville klage, ville jeg nok i første omgang spørge ATP hvordan
løsningen er skruet sammen, og selv kikke deres løsning mere grundigt
igennem.
Dog vil man kunne klage over underskriften på appletten er udløbet.
| |
Klaus Larsen (05-01-2005)
| Kommentar
Fra : Klaus Larsen |
Dato : 05-01-05 11:23 |
|
Christian E. Lysel wrote:
> Klaus Larsen wrote:
>
>> Spøg til side. Såfremt ATP rent faktisk får PIN koden og certifikatet
>> må det jo betragtes som en færdigsyet opskrift til lettere tvivlsomme
>> eksistenser.
>
>
> Jeg ser det som at ATP har lavet en JAVA applet (eller to) der håntere
> klient
> certifikatet på brugerens lokale maskine. Så jeg ser ikke nogen forskel
> på denne løsning og andre....udover man skal køre deres software.
>
> Hvis jeg ville klage, ville jeg nok i første omgang spørge ATP hvordan
> løsningen er skruet sammen, og selv kikke deres løsning mere grundigt
> igennem.
>
> Dog vil man kunne klage over underskriften på appletten er udløbet.
Har det nogen praktisk betydning og er det ikke mere kosmetisk? Selve
certificatet har flg validity:
[From: Thu Aug 01 02:00:00 CEST 1996,
To: Fri Jan 01 00:59:59 CET 2021]
| |
Christian E. Lysel (05-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 05-01-05 18:46 |
|
Klaus Larsen wrote:
> Har det nogen praktisk betydning og er det ikke mere kosmetisk? Selve
> certificatet har flg validity:
>
> [From: Thu Aug 01 02:00:00 CEST 1996,
> To: Fri Jan 01 00:59:59 CET 2021]
Jeg så 2 applets igår, et som ovenstående og et som var udløbet.
| |
Kasper Dupont (05-01-2005)
| Kommentar
Fra : Kasper Dupont |
Dato : 05-01-05 11:39 |
|
"Christian E. Lysel" wrote:
>
> Jeg ser det som at ATP har lavet en JAVA applet (eller to) der håntere
> klient
> certifikatet på brugerens lokale maskine. Så jeg ser ikke nogen forskel
> på denne løsning og andre....udover man skal køre deres software.
Det mener jeg så gør en stor forskel. Fungerede det som
det burde, så har man et stykke software liggende på sin
computer til opgaven. Og det kommer fra en leverandør man
selv har valgt. Dette ene stykke software kan så lave
alle de signaturer man har brug for. Uanset hvem den skal
sendes til.
Hvis alle brugte ATP måden, så ville man modtage et nyt
stykke software hver gang der skulle laves en signatur.
Og man er nødt til at stole på alle disse stykker
software. Hvis bare man en gang har givet sin nøgle til
et korrupt stykke software er den kompromiteret.
Selvfølgelig kunne man i teorien undersøge bytekoden i
appleten. Men det er der altså ingen, der gør hver gang
de skal lave en signatur. Og hvis man ikke ved hvad
koden gør, så gør det ingen forskel om den kører på
klienten eller serveren.
Hvis du stoler på den kode ATP har lavet (og det er du
nødt til, hvis du vil bruge deres applet), så kunne du
lige så godt bare sende certifikatet til kode på deres
server.
--
Kasper Dupont
| |
Christian E. Lysel (05-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 05-01-05 18:55 |
|
Kasper Dupont wrote:
>>Jeg ser det som at ATP har lavet en JAVA applet (eller to) der håntere
>>klient
>>certifikatet på brugerens lokale maskine. Så jeg ser ikke nogen forskel
>>på denne løsning og andre....udover man skal køre deres software.
>
> Det mener jeg så gør en stor forskel. Fungerede det som
> det burde, så har man et stykke software liggende på sin
> computer til opgaven. Og det kommer fra en leverandør man
> selv har valgt. Dette ene stykke software kan så lave
> alle de signaturer man har brug for. Uanset hvem den skal
> sendes til.
Jeg skrev "....udover man skal køre deres software"
| |
Firstname Lastname (05-01-2005)
| Kommentar
Fra : Firstname Lastname |
Dato : 05-01-05 11:43 |
|
Christian E. Lysel wrote:
> Klaus Larsen wrote:
>> Spøg til side. Såfremt ATP rent faktisk får PIN koden og certifikatet må
>> det jo betragtes som en færdigsyet opskrift til lettere tvivlsomme
>> eksistenser.
> Jeg ser det som at ATP har lavet en JAVA applet (eller to) der håntere
> klient
> certifikatet på brugerens lokale maskine. Så jeg ser ikke nogen forskel
> på denne løsning og andre....udover man skal køre deres software.
Problemet er at ATPs folkebørs vænner folk til at det er OK at aflevere
nøgle og password til en applet.
Det er uheldigt af flere grunde:
* Det er en godbid for folk der vil lave phishing. Hvis folk tror det er OK
at aflevere nøgle til password til en applet så er de mere tilbøjelige til
at falde for phishing.
* Hvis ATPs folkebørs bliver hacket så kan hackerne få fat i folks nøgler og
passwords.
En stor fordel ved digital signatur er jo netop at folk der laver phising,
hackede websites eller tvivlsomme system administratorer ikke kan få fat i
nøgle og password. Nøgle og password forlader aldrig klientens PC uanset
hvor meget websitet forsøger at få fat i det. (Jeg ser bort fra fejl i
browsere...)
Og som TDC skriver i deres FAQ skal du behandle nøgle og password som
pinkoden til dit dankort. Hvis nogen spørger dig vil du så taste pinkoden
til dit dankort ind i en applet? Nej vel?
> Hvis jeg ville klage, ville jeg nok i første omgang spørge ATP hvordan
> løsningen er skruet sammen, og selv kikke deres løsning mere grundigt
> igennem.
| |
Christian E. Lysel (05-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 05-01-05 19:04 |
|
Firstname Lastname wrote:
>>Jeg ser det som at ATP har lavet en JAVA applet (eller to) der håntere
>>klient
>>certifikatet på brugerens lokale maskine. Så jeg ser ikke nogen forskel
>>på denne løsning og andre....udover man skal køre deres software.
>
> Problemet er at ATPs folkebørs vænner folk til at det er OK at aflevere
> nøgle og password til en applet.
Enig. Skrev også "....udover man skal køre deres software."
> Det er uheldigt af flere grunde:
> * Det er en godbid for folk der vil lave phishing. Hvis folk tror det er OK
> at aflevere nøgle til password til en applet så er de mere tilbøjelige til
> at falde for phishing.
Enig. Tror dog ikke folk er klar over forskellen.
> * Hvis ATPs folkebørs bliver hacket så kan hackerne få fat i folks nøgler og
> passwords.
Hvordan?
Adgangskoden er triviel at få adgang til, men hvordan vil du fiske
nøglen som er beskyttet af adgangskoden og som er beskyttet af operativ
systemmet, uden at benytte huller i browseren.
Vil angriberen rette i applet'en og få den signeret igen, således den
godt kan få adgang til nøgle beholderen?
> En stor fordel ved digital signatur er jo netop at folk der laver phising,
> hackede websites eller tvivlsomme system administratorer ikke kan få fat i
> nøgle og password. Nøgle og password forlader aldrig klientens PC uanset
> hvor meget websitet forsøger at få fat i det. (Jeg ser bort fra fejl i
> browsere...)
websitet laver en grænseflade det ligner det som brugeren kenderen.
Dette giver i første omgang selvfølgelig "kun" adgang til adgangskoden.
> Og som TDC skriver i deres FAQ skal du behandle nøgle og password som
> pinkoden til dit dankort. Hvis nogen spørger dig vil du så taste pinkoden
> til dit dankort ind i en applet? Nej vel?
Hvis jeg ikke kan se forskel, Ja. På samme måde som jeg ej noget imod at
taste den på et keyboard monteret på dankort terminalen som jeg ikke kan
se forskel på.
| |
Michael Knudsen (05-01-2005)
| Kommentar
Fra : Michael Knudsen |
Dato : 05-01-05 22:50 |
|
On 2005-01-05, Christian E. Lysel <news.sunsite.dk@spindelnet.dk> wrote:
> Vil angriberen rette i applet'en og få den signeret igen, således den
> godt kan få adgang til nøgle beholderen?
De fleste brugere forstaar nok ikke advarslen om, at appletten ikke er
signeret. De observerer nok blot, at det ikke virker, hvis de trykker
`nej', og saa proever de forfra med `ja'.
Det er fuldstaendig ligesom med personlige firewalls, naar ``internettet
ikke virker''.
--
Rumour is information distilled so finely that it can filter through
anything.
-- (Terry Pratchett, Feet of Clay)
| |
Martin Kofoed (07-01-2005)
| Kommentar
Fra : Martin Kofoed |
Dato : 07-01-05 20:05 |
|
On Wednesday 05 January 2005 19:03, Christian E. Lysel wrote:
>> * Hvis ATPs folkebørs bliver hacket så kan hackerne få fat i folks nøgler
>> og passwords.
> Hvordan?
Tjah, hvis en eventuel hacker "ejer" serveren længe nok, kan de dekompilere
applet'en og bede den om at åbne en socket til serveren, over hvilken de så
kan transportere selve nøglefilen. Vupti.
De kan dog sikkert ikke selv signere den, så man får en usigneret applet i
hovedet (og dermed en advarsel af browseren). Så scam'et vil nok hurtigt
blive opdaget. Men alligevel. Det virker ikke på overfladen som verdens
smarteste løsning. Gad vide hvad der var til hinder for at gøre præcis som
på toldskat.dk eller andre sites, som anvender DS?
Er der nogen, der ved, hvem ATP har haft ind over for at hjælpe med
folkebørsen?
--
Martin Kofoed
| |
Christian E. Lysel (07-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 07-01-05 20:13 |
|
Martin Kofoed wrote:
> De kan dog sikkert ikke selv signere den, så man får en usigneret applet i
> hovedet (og dermed en advarsel af browseren). Så scam'et vil nok hurtigt
Problemmet er blot at man fik en advarelse da den ene underskrift var
udløbet :)
| |
Troels Arvin (04-01-2005)
| Kommentar
Fra : Troels Arvin |
Dato : 04-01-05 13:50 |
|
On Tue, 04 Jan 2005 12:46:52 +0100, Firstname Lastname wrote:
> Man skal min udlevere signatur og password til ATP's applet.
Jeg når slet ikke dertil. Jeg får at vide, at applettens signatur er
udløbet, og accepterer den derfor ikke. Er jeg den eneste, der får at
vide, at applettens signatur er ugyldig?
--
Greetings from Troels Arvin, Copenhagen, Denmark
| |
Asbjorn Hojmark (04-01-2005)
| Kommentar
Fra : Asbjorn Hojmark |
Dato : 04-01-05 15:51 |
|
On Tue, 04 Jan 2005 13:50:17 +0100, Troels Arvin <troels@arvin.dk>
wrote:
> Jeg når slet ikke dertil. Jeg får at vide, at applettens signatur er
> udløbet, og accepterer den derfor ikke. Er jeg den eneste, der får at
> vide, at applettens signatur er ugyldig?
Nej, du er ikke den eneste. Først hentes en applet signeret valid fra
02dec04 til 03dec06. Derefter hentes en anden applet signeret valid
fra 07apr03 til 18mar04.
Suk.
-A
| |
Stig Johansen (04-01-2005)
| Kommentar
Fra : Stig Johansen |
Dato : 04-01-05 16:54 |
|
Asbjorn Hojmark wrote:
> Nej, du er ikke den eneste. Først hentes en applet signeret valid fra
> 02dec04 til 03dec06. Derefter hentes en anden applet signeret valid
> fra 07apr03 til 18mar04.
>
> Suk.
Ja, suk, en Lotus Notes løsning til sølle 190 mill.
Der er ikke en sk*d, der virker i min Konqueror, men prøv at checke
URL'erne.
Det ser ud som siden er et sammensurium af Notes på atp.dk, og diverse .NET
undersider på morningstar.dk.
--
Med venlig hilsen
Stig Johansen
| |
Morten Dahl (04-01-2005)
| Kommentar
Fra : Morten Dahl |
Dato : 04-01-05 14:02 |
|
Af ren nysgerrighed, tror I saa at de har gjort det for at man kan
benytte deres system uden at skulle installere sit certifikat i
browseren? Maa indroemme at jeg ikke ved det store om hvordan man
benytter TDC's signatur, men hvad jeg lige hurtigt kunne finde, saa skal
det installeres..
| |
Klaus Alexander Seis~ (04-01-2005)
| Kommentar
Fra : Klaus Alexander Seis~ |
Dato : 04-01-05 14:23 |
|
Firstname Lastname skrev:
> Er det ikke betænkeligt den måde ATPs folkebørs bruger TDC's
> digitale signatur?
Jo.
> Gå til http://folkeborsen.atp.dk -> Gå til personlig konto ->
> Log ind med digital signatur for at se hvordan de gør.
Det er ikke det eneste. Forsøger man at logge på med digital signatur
med FireFox på Linux, får man at vide at man skal bruge Windows for at
kunne logge ind.  ATP svarer at de kun understøtter MSIE og at det
er FireFox-folkene der skal ændre deres browser. Nisser!
Mvh,
--
Klaus Alexander Seistrup
SubZeroNet, Copenhagen, Denmark
| |
Jakob Staerk (10-01-2005)
| Kommentar
Fra : Jakob Staerk |
Dato : 10-01-05 18:54 |
|
"Klaus Alexander Seistrup" <klaus@seistrup.dk> wrote in message
news:slrnctl64t.384.klaus@localhost.szn.dk...
>
> Det er ikke det eneste. Forsøger man at logge på med digital signatur
> med FireFox på Linux, får man at vide at man skal bruge Windows for at
> kunne logge ind. ATP svarer at de kun understøtter MSIE og at det
> er FireFox-folkene der skal ændre deres browser. Nisser!
>
Jeg skrev til ATP og beklagede mig folkebørsen kun understøtter Windows - og
når nu både min netbank og eboks understøtter linux, firefox og digital
signatur, mente jeg ikke at det kunne være af sikkerhedsmæssige grunde.
Idag kom svaret:
<------- mail fra atp start ------>
ATP, Kongens Vænge 8, 3400 Hillerød
Tlf. 70 11 12 13, Fax 48 20 48 00 www.atp.dk
Mandag den 10-01-2005
Tak for din henvendelse.
Som udgangspunkt skal der benyttes Internet Explorer 6.0, Windows
styresystem
og Digital Signatur fra TDC.
Da der er en række sikkerhedskrav der skal opfyldes, har man valgt disse
løsninger
da disse opfylder de krav der er udstukket.
Er man interesseret i at handle på Folkebørsen, skal man derfor benytte
sig af
papirvalg, som foregår 2 gange årligt. Materiale herom kan rekvireres ved
henvendelse.
Der er p.t. ingen planer om ændring af versionsudgaverne.
Venlig hilsen
ATP
<------- mail fra atp slut ------>
Så dem der anvender linux kan skam benytte papirvalg - tillad mig at citere
Klaus Alexander Seistrup
"Nisser" citat slut
/Jakob Stærk
| |
Klaus Alexander Seis~ (10-01-2005)
| Kommentar
Fra : Klaus Alexander Seis~ |
Dato : 10-01-05 19:17 |
|
Jakob Staerk skrev:
> Så dem der anvender linux kan skam benytte papirvalg
Og så endda hele to gange årligt!
Nisser×2!
--
Klaus Alexander Seistrup
SubZeroNet, Copenhagen, Denmark
| |
Kasper Dupont (10-01-2005)
| Kommentar
Fra : Kasper Dupont |
Dato : 10-01-05 23:20 |
|
Jakob Staerk wrote:
>
> Som udgangspunkt skal der benyttes Internet Explorer 6.0, Windows
> styresystem
> og Digital Signatur fra TDC.
> Da der er en række sikkerhedskrav der skal opfyldes, har man valgt disse
> løsninger
> da disse opfylder de krav der er udstukket.
Jeg vil betragte ovenstående som det rene vås (indtil
det modsatte bliver bevist, hvilket jeg finder stærkt
usandsynligt).
Hvad er det for sikkerhedskrav han snakker om? Med
mindre der står i kravene, at der skal anvendes en
bestemt proprietær løsning, tror jeg ikke på, at det
er nødvendigt med IE. Og et krav om at et bestemt
navngivent produkt skal anvendes vil jeg ikke kalde
et sikkerhedskrav (Jeg ville være tilbøjelig til at
kalde det svineri, men den diskussion hører nok ikke
hjemme her i gruppen).
I øvrigt kommer det meget bag på mig, hvis den
implementerede løsning lever op til deres sikkerhedskrav.
Hvis det kan tolereres, at brugernes hemlige nøgle
kan kompromiteres, er kravene for slappe. Et system,
hvor brugerne er nødt til at stole på en tredjeparts
signatur på softwaren uden mulighed for selv at
verificiere den er ganske enkelt ikke acceptabelt.
--
Kasper Dupont
| |
reg (10-01-2005)
| Kommentar
Fra : reg |
Dato : 10-01-05 23:32 |
|
ATP....
Vores fire kundeværdier
Kompetent
Enkel
Imødekommende
Ansvarlig
| |
Asbjorn Hojmark (04-01-2005)
| Kommentar
Fra : Asbjorn Hojmark |
Dato : 04-01-05 15:51 |
|
On Tue, 04 Jan 2005 12:46:52 +0100, Firstname Lastname
<name@company.com> wrote:
> Er det ikke betænkeligt den måde ATPs folkebørs bruger TDC's digitale
> signatur?
Jo.
Jeg brugte mit Net-ID til at logge på i stedet. (Der authentificerer
man sig over for banken (som man plejer med netbank), og de fortæller
så ATP, hvem man er).
-A
| |
Mads (04-01-2005)
| Kommentar
Fra : Mads |
Dato : 04-01-05 18:11 |
|
"Asbjorn Hojmark" <Asbjorn@Hojmark.ORG> wrote in message
news:ddalt05l13jfdif86f583gldlifa51lbe4@news.sunsite.dk...
> On Tue, 04 Jan 2005 12:46:52 +0100, Firstname Lastname
> <name@company.com> wrote:
>
>> Er det ikke betænkeligt den måde ATPs folkebørs bruger TDC's digitale
>> signatur?
>
> Jo.
>
> Jeg brugte mit Net-ID til at logge på i stedet. (Der authentificerer
> man sig over for banken (som man plejer med netbank), og de fortæller
> så ATP, hvem man er).
>
Og Net-ID er bedre fordi at....???
Hilsen
Mads
| |
Kent Friis (04-01-2005)
| Kommentar
Fra : Kent Friis |
Dato : 04-01-05 18:14 |
|
Den Tue, 4 Jan 2005 18:10:32 +0100 skrev Mads:
> "Asbjorn Hojmark" <Asbjorn@Hojmark.ORG> wrote in message
> news:ddalt05l13jfdif86f583gldlifa51lbe4@news.sunsite.dk...
>> On Tue, 04 Jan 2005 12:46:52 +0100, Firstname Lastname
>> <name@company.com> wrote:
>>
>>> Er det ikke betænkeligt den måde ATPs folkebørs bruger TDC's digitale
>>> signatur?
>>
>> Jo.
>>
>> Jeg brugte mit Net-ID til at logge på i stedet. (Der authentificerer
>> man sig over for banken (som man plejer med netbank), og de fortæller
>> så ATP, hvem man er).
>>
>
> Og Net-ID er bedre fordi at....???
Banker tager sikkerhed alvorligt?
Mvh
Kent
--
Help test this great MMORPG game - http://www.eternal-lands.com/
| |
Mads (04-01-2005)
| Kommentar
Fra : Mads |
Dato : 04-01-05 20:09 |
|
"Kent Friis" <nospam@nospam.invalid> wrote in message
news:41dacecc$0$51247$14726298@news.sunsite.dk...
> Den Tue, 4 Jan 2005 18:10:32 +0100 skrev Mads:
>> Og Net-ID er bedre fordi at....???
>
> Banker tager sikkerhed alvorligt?
>
Jeg må indrømme jeg har svært ved at stole på enhver lukket propæritær
løsning.
PS. Hvilke sikkerhedsproblemer hentyder du til med OCES nøglen?
Hilsen
Mads
| |
Asbjorn Hojmark (04-01-2005)
| Kommentar
Fra : Asbjorn Hojmark |
Dato : 04-01-05 22:37 |
|
On Tue, 4 Jan 2005 18:10:32 +0100, "Mads" <mads@iname.com> wrote:
>> Jeg brugte mit Net-ID til at logge på i stedet. (Der authentificerer
>> man sig over for banken (som man plejer med netbank), og de fortæller
>> så ATP, hvem man er).
> Og Net-ID er bedre fordi at....???
Ovenstående var ikke en generel 'statement' om, at Net-ID (altid) er
bedre end en OCES-løsning, blot at det er implementeret rigtigt her.
-A
| |
Klaus Larsen (05-01-2005)
| Kommentar
Fra : Klaus Larsen |
Dato : 05-01-05 06:31 |
|
>
> Ovenstående var ikke en generel 'statement' om, at Net-ID (altid) er
> bedre end en OCES-løsning, blot at det er implementeret rigtigt her.
>
> -A
Jeg forstår ikke helt. Er der en svaghed ved den måde den digitale
signatur anvendes? Jeg er faktisk med i en projektgruppe, der netop
overvejer at benytte den digitale signatur og det ville da være rart
hvis eventuelle svagheder kom frem i lyset frem for at blive antydet.
Vh
Klaus
| |
Kasper Dupont (05-01-2005)
| Kommentar
Fra : Kasper Dupont |
Dato : 05-01-05 08:24 |
|
Klaus Larsen wrote:
>
> Er der en svaghed ved den måde den digitale
> signatur anvendes?
Der er en svaghed i den måde ATP anvender den på.
Det er en svaghed, som brugeren burde opdage og
unlade at bruge sin signatur der. Men ikke alle
brugere forstår sikkerhedsproblematikken godt nok.
Bruger du din signatur på ATP eller et andet site
implementeret på lignende måde kan den blive
kompromiteret.
Det der bekymrer mig mest er, at man sikkert kunne
have sat et site op på den måde og franare brugere
deres nøgle. Brugerne tænker sikkert, at signaturen
er så sikker, at de ikke løber nogen risiko.
--
Kasper Dupont
| |
Firstname Lastname (05-01-2005)
| Kommentar
Fra : Firstname Lastname |
Dato : 05-01-05 09:46 |
|
Klaus Larsen wrote:
> Jeg forstår ikke helt. Er der en svaghed ved den måde den digitale
> signatur anvendes? Jeg er faktisk med i en projektgruppe, der netop
> overvejer at benytte den digitale signatur og det ville da være rart
> hvis eventuelle svagheder kom frem i lyset frem for at blive antydet.
På ATP's folkebørs skal man udlevere nøgle og kode til ATP. Det er i direkte
modstrid med hvad TDC skriver i deres FAQ:
http://privat.tdc.dk/artikel.php?dogtag=tdc_p_digi_pers_faq#ol_j
Citat: "Det er utrolig vigtigt, at Digital Signatur anvendes med samme
påpasselighed, som når man f.eks. anvender sit dankort. Dette indebærer,
at den personlige nøgle ikke udleveres til andre, og at man ikke
fortæller andre sin kode."
Så ATP's folkebørs har implementeret brugen af signaturen på en meget
uheldig måde.
| |
Christian E. Lysel (05-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 05-01-05 10:10 |
|
Firstname Lastname wrote:
> På ATP's folkebørs skal man udlevere nøgle og kode til ATP. Det er i direkte
Hvem siger det?
> Så ATP's folkebørs har implementeret brugen af signaturen på en meget
> uheldig måde.
Hvorfor?
| |
Kasper Dupont (05-01-2005)
| Kommentar
Fra : Kasper Dupont |
Dato : 05-01-05 11:44 |
|
"Christian E. Lysel" wrote:
>
> Firstname Lastname wrote:
> > På ATP's folkebørs skal man udlevere nøgle og kode til ATP. Det er i direkte
>
> Hvem siger det?
Du udleverer nøglen til et stykke kode som ATP
kontrollerer. Det er i mine øjne det samme som
at udlevere det til ATP. De kan gøre med nøglen
hvad de vil. Det er muligt, at ATP ikke misbruger
nøglen. Det gælder uanset hvordan du udleverer
din nøgle, modtageren kan altid lade være med at
misbruge den. Men det ændrer jo ikke på, at du
har udleveret den.
--
Kasper Dupont
| |
Christian E. Lysel (05-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 05-01-05 19:57 |
|
Kasper Dupont wrote:
> "Christian E. Lysel" wrote:
>>Firstname Lastname wrote:
>>>På ATP's folkebørs skal man udlevere nøgle og kode til ATP. Det er i direkte
>>Hvem siger det?
>
> Du udleverer nøglen til et stykke kode som ATP
> kontrollerer. Det er i mine øjne det samme som
"udlevere", er du sikker på at applet direkte tilgår nøglen eller om de
blot kalder et systemkald til nøgle beholderen?
> at udlevere det til ATP. De kan gøre med nøglen
> hvad de vil. Det er muligt, at ATP ikke misbruger
> nøglen. Det gælder uanset hvordan du udleverer
> din nøgle, modtageren kan altid lade være med at
> misbruge den. Men det ændrer jo ikke på, at du
> har udleveret den.
Jeg ved ikke om det er udleveret eller ej.
Jeg ved de kræver Microsofts JAVA for at have support for MSCAPI applets.
| |
Michael Knudsen (05-01-2005)
| Kommentar
Fra : Michael Knudsen |
Dato : 05-01-05 22:48 |
|
On 2005-01-05, Christian E. Lysel <news.sunsite.dk@spindelnet.dk> wrote:
>> Du udleverer nøglen til et stykke kode som ATP
>> kontrollerer. Det er i mine øjne det samme som
>
> "udlevere", er du sikker på at applet direkte tilgår nøglen eller om de
> blot kalder et systemkald til nøgle beholderen?
Det burde man reelt ikke kunne fra en applet, mener jeg. Du skriver, at
de kraever et eller andet fra Microsoft, og i saa fald kan det godt ske,
at de ikke tilgaar direkte.
Der findes disassemblers/decompilers til Java, og de virker faktisk
nogenlunde. Maaske nogen kunne proeve at undersoege, hvad der reelt
sker? (Jeg er undskyldt af eksamenstid.)
--
Rumour is information distilled so finely that it can filter through
anything.
-- (Terry Pratchett, Feet of Clay)
| |
Banditten (06-01-2005)
| Kommentar
Fra : Banditten |
Dato : 06-01-05 09:42 |
|
"Michael Knudsen" <e@miracle.mongers.org> skrev i en meddelelse
news:slrnctoo4j.kv.e@miracle.mongers.org...
>
> Der findes disassemblers/decompilers til Java, og de virker faktisk
> nogenlunde. Maaske nogen kunne proeve at undersoege, hvad der reelt
> sker? (Jeg er undskyldt af eksamenstid.)
Har heller ikke selv tid at kigge på det, men her kommer en opskrift på
"how-to-do":
Følgende decompiler Jad "the fast Java Decompiler" (Jad home page:
http://www.kpdus.com/jad.html) er et godt bud på et værktøj.
Surf et smut forbi ATP og begynd initier et login med digitalsignatur. Når
der promptes for installation af appletterne ... smut til "Temporary
Internet Files" lokaliser filerne cbt-utility-inst.cap, cbt-utility-exam.cap
og cbt_atp_3_1_4_full.cap som reelt udgør referencen til den fil som
"advarslen" peger på under "C:\Docu... \lokale indstillnger\temp\jvmXXX.tmp"
Have fun ..
For lige at følge tråden op omkring til hvem og hvor en eventuelt klage
bør/kan rettet, så er Datatilsynet måske det rette sted.
Godt nok er data som hentens hos ATP ikke personfølsomme, men hvis
behandlingen af certifikatets PID gemmes sammen med et afgivet password og
siden opbevares sammen med CPR nummeret, så er der et alvorligt problem.
/Banditten
| |
Asbjorn Hojmark (05-01-2005)
| Kommentar
Fra : Asbjorn Hojmark |
Dato : 05-01-05 10:02 |
|
On Tue, 04 Jan 2005 12:46:52 +0100, Firstname Lastname
<name@company.com> wrote:
> Man skal min udlevere signatur og password til ATP's applet.
> I mine øjne er det meget betænkeligt at vænne brugere til at
> udlevere signatur og passwords til tilfældige firmaer.
Det ser ud til at være 'working as designed'.
http://www.digitalsignatur.dk/visArtikel.asp?artikelID=610
-A
| |
Kasper Dupont (05-01-2005)
| Kommentar
Fra : Kasper Dupont |
Dato : 05-01-05 11:48 |
|
Asbjorn Hojmark wrote:
>
> On Tue, 04 Jan 2005 12:46:52 +0100, Firstname Lastname
> <name@company.com> wrote:
>
> > Man skal min udlevere signatur og password til ATP's applet.
> > I mine øjne er det meget betænkeligt at vænne brugere til at
> > udlevere signatur og passwords til tilfældige firmaer.
>
> Det ser ud til at være 'working as designed'.
> http://www.digitalsignatur.dk/visArtikel.asp?artikelID=610
Jeg kan ikke få øje på nogen sammenhæng mellem
den side og ATPs applet.
--
Kasper Dupont
| |
Asbjorn Hojmark (05-01-2005)
| Kommentar
Fra : Asbjorn Hojmark |
Dato : 05-01-05 13:34 |
|
On Wed, 05 Jan 2005 11:48:11 +0100, Kasper Dupont
<kasperd@daimi.au.dk> wrote:
>> Det ser ud til at være 'working as designed'.
>> http://www.digitalsignatur.dk/visArtikel.asp?artikelID=610
> Jeg kan ikke få øje på nogen sammenhæng mellem den side og
> ATPs applet.
Næh, det var ikke så klart... Jeg forsøgte at sige noget i stil med,
at TDC sådan selv selv forbereder brugerne på, at de skal opgive et
password, når de bruger certifikatet.
-A
| |
Kasper Dupont (05-01-2005)
| Kommentar
Fra : Kasper Dupont |
Dato : 05-01-05 15:32 |
|
Asbjorn Hojmark wrote:
>
> Næh, det var ikke så klart... Jeg forsøgte at sige noget i stil med,
> at TDC sådan selv selv forbereder brugerne på, at de skal opgive et
> password, når de bruger certifikatet.
Det er klart. Forskellen er så, at man burde kun indtaste sit
password i det dertil beregnede program. I ATP tilfældet
indtastes passwordet i stedet i en applet, og samtidig giver
man den også sin nøglefil.
Brugerne kan måske have svært ved at se hvilket program der
får deres indtastede password. Men forhåbentlig opdager de,
at appleten beder om nøglefilen.
--
Kasper Dupont
| |
Christian E. Lysel (05-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 05-01-05 10:23 |
|
Firstname Lastname wrote:
> Bare tænk på hvad der sker hvis ATP
> bliver hacket, så kan hackeren få fat i brugernes signatur hvilket er pænt
> uheldigt [1].
Bare tænk på hvad der sker hvis en angriber efterligner den almindelige
grænseflade, du er vant til at se.
Angriberen kan endvidere også efterligne hængelåsen der fortæller om
serverens SSL certifikat.
> [1] Ved normal brug af TDC's https signatur bliver signaturen eller password
> aldrig sendt til serveren. Man sandsynligør blot overfor serveren at man
> har signaturen.
Bliver det sendt til serveren i dette tilfælde?
| |
Firstname Lastname (05-01-2005)
| Kommentar
Fra : Firstname Lastname |
Dato : 05-01-05 12:30 |
|
Christian E. Lysel wrote:
> Firstname Lastname wrote:
>> Bare tænk på hvad der sker hvis ATP
>> bliver hacket, så kan hackeren få fat i brugernes signatur hvilket er
>> pænt uheldigt [1].
> Bare tænk på hvad der sker hvis en angriber efterligner den almindelige
> grænseflade, du er vant til at se.
> Angriberen kan endvidere også efterligne hængelåsen der fortæller om
> serverens SSL certifikat.
Med mindre der er fejl i min browser så kan et ondsindet site ikke få fat i
min nøgle. Hvis jeg vil sikre mig mod det kan jeg købe en etoken hos TDC.
| |
Kent Friis (05-01-2005)
| Kommentar
Fra : Kent Friis |
Dato : 05-01-05 12:48 |
|
Den Wed, 05 Jan 2005 12:30:18 +0100 skrev Firstname Lastname:
> Christian E. Lysel wrote:
>
>> Firstname Lastname wrote:
>>> Bare tænk på hvad der sker hvis ATP
>>> bliver hacket, så kan hackeren få fat i brugernes signatur hvilket er
>>> pænt uheldigt [1].
>> Bare tænk på hvad der sker hvis en angriber efterligner den almindelige
>> grænseflade, du er vant til at se.
>> Angriberen kan endvidere også efterligne hængelåsen der fortæller om
>> serverens SSL certifikat.
> Med mindre der er fejl i min browser så kan et ondsindet site ikke få fat i
> min nøgle. Hvis jeg vil sikre mig mod det kan jeg købe en etoken hos TDC.
Hvordan ved du / din maskine om ATP er ondsindet?
Mvh
Kent
--
Help test this great MMORPG game - http://www.eternal-lands.com/
| |
Christian E. Lysel (05-01-2005)
| Kommentar
Fra : Christian E. Lysel |
Dato : 05-01-05 18:44 |
|
Firstname Lastname wrote:
> Med mindre der er fejl i min browser så kan et ondsindet site ikke få fat i
Lav en side der minder og opfører sig som et ikke onsindet site.
Lav en popup, der ligner windows grænseflade til certifikat beholderen.
Du kan lave alt i grænsefladen.
> min nøgle. Hvis jeg vil sikre mig mod det kan jeg købe en etoken hos TDC.
Hvilke angreb forhindre et etoken imod et angreb på det øverste lag
(grænsefladen)?
| |
Povl H. Pedersen (05-01-2005)
| Kommentar
Fra : Povl H. Pedersen |
Dato : 05-01-05 22:38 |
|
In article <41dc2758$0$298$edfadb0f@dread11.news.tele.dk>, Christian E. Lysel wrote:
> Hvilke angreb forhindre et etoken imod et angreb på det øverste lag
> (grænsefladen)?
Den beskytter ikke mod man-in-the-middle. Den beskytter alene dit
certifikat, således at hackeren/crackeren/fiskeren ikke kan hente
det fra din maskine og bruge det frit.
--
Povl H. Pedersen - NoSpam@my.terminal.dk (yes - it works)
Fastnet - IP telefoni: 5 kr/md Se http://www.musimi.dk
| |
Povl H. Pedersen (05-01-2005)
| Kommentar
Fra : Povl H. Pedersen |
Dato : 05-01-05 22:25 |
|
In article <crdvks$66f$1@news.net.uni-c.dk>, Firstname Lastname wrote:
> Hejsa
>
> Er det ikke betænkeligt den måde ATPs folkebørs bruger TDC's digitale
> signatur?
> Gå til http://folkeborsen.atp.dk -> Gå til personlig konto -> Log ind med
> digital signatur for at se hvordan de gør.
>
> Man skal min udlevere signatur og password til ATP's applet. I mine øjne er
> det meget betænkeligt at vænne brugere til at udlevere signatur og
> passwords til tilfældige firmaer. Bare tænk på hvad der sker hvis ATP
> bliver hacket, så kan hackeren få fat i brugernes signatur hvilket er pænt
> uheldigt [1].
Digital signatur i form af en fil på computeren holder ikke, og
jeg bruger ikke noget sådant. Til Danske banks netbank bruger jeg
deres "Macintosh" løsning, også i IE. Den bruger nemlig et ActivCard
med engangspassword + Challenge/response. Den er der desværre ikke support
for i integrationen til bankerne.
> Har I nogen kommentarer? Jeg overveje at brokke mig til nogen, men hvem?
> TDC? ATP? Ministeriet? Computerworld?
Hvis du skal bruge certifikater, så placer dem på en Aladdin eToken eller
et tilsvarende produkt. Her kan programmer ikke læse dem, men kan sende
ting ud til den som skal signeres / krypteres.
> [1] Ved normal brug af TDC's https signatur bliver signaturen eller password
> aldrig sendt til serveren. Man sandsynligør blot overfor serveren at man
> har signaturen.
Men der er stadig en risiko da filen liggerr på maskinen, og jeg anser
det for utilstrækkelig sikkerhed til at omgås penge. Der er en grund til,
at der er en migrering på vej væk fra den alm. digitale signatur i udlandet
over mod tokens og OTP.
--
Povl H. Pedersen - NoSpam@my.terminal.dk (yes - it works)
Fastnet - IP telefoni: 5 kr/md Se http://www.musimi.dk
| |
|
|