"Verified by Visa" - hvem hæfter?

Allan Olesen skrev: Man skal vist være bankmand for at tro, at det er sikkert...

JesperLund skrev: Cyberguyen skrev: Hvis du ikke har erfaring med at validere certifikatet kan du have en browser, som du kun benytter til online betalinger. Denne browser vil advare imod ugyldige certifikater, da den ikke vil være kompromiteret. For en indlejret https side? Se denne artikel. Bemærk titlen: "...how NOT to design..."

Jeg har læst det som du linker til, men det beskriver kun at kunden kontaktede sin bank fordi han var usikker på hvem som certifikatet tilhører. Men på selve certifikatet kan man jo læse hvem som det er udstedt til og af hvem. Så jeg kan virkelig ikke set det store problem.

For at skulle lave Phishing eller man in the middle angreb skal du få et CA firma til at udstede et certificat til dig. Det kan godt være at du kan få et quick certifikat, men du vil aldrig kunne modtage et hvor dit firmanavn står skrevet på uden at være fysisk valideret som firma.

En anden måde at snyde på er ved at bryde ind i computeren og få den til at truste et CA certifikat som de kriminelle så kan benytte til at udstede deres egne certifikater.
Denne metode er langt mere besværlig og nok ikke særligt benyttet imod andre browsere end Internet Explorer.

Allan Olesen skrev: Den personlige oplysning er simpel at give videre ved et Man in the Middle-angreb. Den falske VbVserver skal blot bruge mine indtastede kortoplysninger til at påbegynde en betaling hos en tilfældig butik, som bruger VbV. Så ser den falske VbV-server en ægte VbV-side, hvorfra den kan nappe min personlige oplysning.

Jeg indrømmer blankt at jeg ikke har voldsomt stor viden på dette område. Men som Cyberguruen er inde på, så kræver det vel at man målretter mod den enkelte bruger.

Cyberguyen skrev: Det er uhyre svært at lave et man in the middle angreb i praksis, da de næsten skal skræddersyes til modtageren. Der er simpelthen ikke penge nok i at gøre det med verified by visa funktionen.

Du får aldrig et højtlønnet job hos den organiserede kriminalitet.

Start med at læse her hvis du vil efteruddannes.

Det grundlæggende problem er at 3D Secure arbejder med en indlejret frame (iframe), hvilket gør at du ikke har mulighed for at validere SSL certifikatet.


Redigeret af JesperLund - 22-Januar-2011 kl. 23:01

Den personlige oplysning er simpel at give videre ved et Man in the Middle-angreb. Den falske VbVserver skal blot bruge mine indtastede kortoplysninger til at påbegynde en betaling hos en tilfældig butik, som bruger VbV. Så ser den falske VbV-server en ægte VbV-side, hvorfra den kan nappe min personlige oplysning.

Man skal vist være bankmand for at tro, at det er sikkert...

Vi er enige om, at det er en yderligere sikkerhed for butikkerne. Problemet er, at det også bliver udråbt til at være en yderligere sikkerhed for kortholderne. Det er ikke tilfældet, tværtimod.

For det første er nettet fyldt med fortællinger om folk, der har fået deres kortoplysninger og kode nappet på en falsk betalingsside med en falsk VbV-side og derefter naturligvis har fået kortet misbrugt. Så langt er historien ikke anderledes fra brug af kort på en falsk betalingsside UDEN VbV - her får man naturligvis også sine kortoplysninger snuppet og misbrugt.

Forskellen opstår først i det øjeblik, de går i banken og gør indsigelse og får at vide, at det da ikke kan passe. "Vi kan se, at VbV-koden har været anvendt, så naturligvis er det dig, der har betalt. For du har da vel ikke overladt koden til andre, vel? ... VEL?!?!"

For det andet kan det aldrig være til gavn for sikkerheden, at man vænner brugerne til at acceptere åbenlyse phishing-forsøg. Og hele VbV-proceduren er bygget op, så den til forveksling ligner et åbenlyst phishing-forsøg.

Det var især slemt i den oprindelige, danske udgave, hvor man fra betalingssiden blev ledt direkte til sin netbank, hvor det var meningen, at man skulle logge på. Det strider jo mod alt, hvad man har lært om at undgå phishing-forsøg. Man logger ikke på sin netbank ved at følge et link i en mail, og man logger ikke på sin netbank ved at følge et link eller en automatisk viderestilling fra en anden hjemmeside.