Live System für Online Banking und Surfen
Re: Live System für Online Banking und Surfen
Ich weiss nicht, was du mit Tails anfangen willst.
Einen besseren Schutz beim Homebanking bietet es jedenfalls nicht. Das Tor- Netzwerk anonymisiert dich, schützt aber nicht deine Daten. Das musst du schon selbst machen.
Ich bin der Meinung, das ein Browser grundsätzlich nicht sicher ist. Das belegen letztendlich die Sicherheitsupdates die in kurzen Zeitabständen kommen. Es ist einfach irre, solch ein Programm ausgerechnet für das Online Banking zu benutzen. Wer meint, dass er schlauer ist
als spezialisierte Hacker Banden soll es ruhig tun. Selbst Schuld, wenn es dann in die Hose (bzw. ans Konto) geht.
Man sollte dabei auch bedenken, das die Finanzindustrie und auch der Staat riesige Anstrengungen unternehmen, um das Volk zum bargeldlosen Zahlungsverkehr zu erziehen. Teils um bessere Kontrolle zu haben teils um zu rationalisieren. Da aber die meisten nicht bereit sind
auch nur einen Pfennig für ihren Schutz zu bezahlen wird einem vorgegaukelt den Browser oder gar das Smartphone für seine Geldgeschäfte zu nutzen weil es ja "sicher" ist. Ein bisschen Googelei hilft da weiter, die Illusion zu zerstören.
Ich für meinen Teil halte es mit dem Zitat aus Wiki:
https://de.wikipedia.org/wiki/Homebanki ... _Interface
Homebanking mit HBCI-Chipkarte und einem Chipkartenleser, der die PIN-Eingabe (Sicherheitsklasse 2 oder höher) unterstützt, bietet ein höheres Maß an Sicherheit. HBCI mit Chipkarte und Kartenleser nach Secoder-Standard gelten derzeit als das Nonplusultra an Sicherheit, wobei die jeweilige Bank sowie die Homebanking-Software die Secoder-Erweiterung für HBCI unterstützen müssen.[3] Erfolgreiche Angriffe auf diese Konfiguration sind unbekannt. Die nachfolgend genannten theoretischen Angriffsszenarien gelten nur für Kartenleser, die nicht dem Secoder-Standard entsprechen:
Ich wünsche weiterhin ein sorgloses Homebanking mit dem Browser
Einen besseren Schutz beim Homebanking bietet es jedenfalls nicht. Das Tor- Netzwerk anonymisiert dich, schützt aber nicht deine Daten. Das musst du schon selbst machen.
Ich bin der Meinung, das ein Browser grundsätzlich nicht sicher ist. Das belegen letztendlich die Sicherheitsupdates die in kurzen Zeitabständen kommen. Es ist einfach irre, solch ein Programm ausgerechnet für das Online Banking zu benutzen. Wer meint, dass er schlauer ist
als spezialisierte Hacker Banden soll es ruhig tun. Selbst Schuld, wenn es dann in die Hose (bzw. ans Konto) geht.
Man sollte dabei auch bedenken, das die Finanzindustrie und auch der Staat riesige Anstrengungen unternehmen, um das Volk zum bargeldlosen Zahlungsverkehr zu erziehen. Teils um bessere Kontrolle zu haben teils um zu rationalisieren. Da aber die meisten nicht bereit sind
auch nur einen Pfennig für ihren Schutz zu bezahlen wird einem vorgegaukelt den Browser oder gar das Smartphone für seine Geldgeschäfte zu nutzen weil es ja "sicher" ist. Ein bisschen Googelei hilft da weiter, die Illusion zu zerstören.
Ich für meinen Teil halte es mit dem Zitat aus Wiki:
https://de.wikipedia.org/wiki/Homebanki ... _Interface
Homebanking mit HBCI-Chipkarte und einem Chipkartenleser, der die PIN-Eingabe (Sicherheitsklasse 2 oder höher) unterstützt, bietet ein höheres Maß an Sicherheit. HBCI mit Chipkarte und Kartenleser nach Secoder-Standard gelten derzeit als das Nonplusultra an Sicherheit, wobei die jeweilige Bank sowie die Homebanking-Software die Secoder-Erweiterung für HBCI unterstützen müssen.[3] Erfolgreiche Angriffe auf diese Konfiguration sind unbekannt. Die nachfolgend genannten theoretischen Angriffsszenarien gelten nur für Kartenleser, die nicht dem Secoder-Standard entsprechen:
Ich wünsche weiterhin ein sorgloses Homebanking mit dem Browser
Re: Live System für Online Banking und Surfen
Hä?geier22 hat geschrieben:Das Tor- Netzwerk anonymisiert dich, schützt aber nicht deine Daten.
Aber soviel stimmt: Tails ist primär für Anonymisierung ausgelegt, was für Dich egal ist. Ein Nebeneffekt wäre nur, daß es ein dadurch auch eine etwas kleiner Angriffsfläche hat. Wurde auch schon gesagt.
Aber ich glaube, daß wir Dir momentan nur weiterhelfen könnten, wenn Du uns Dein Szenario genauer beschreibst, urkle. Lösungen hast Du jetzt einige gehört und wie Du zwischen Aufwand und Sicherheit abwägen willst, mußt Du selbst wissen.
Wenn Du, wie ich vermute, nur ein normaler Anwender mit einem durchschnittlich gefüllten Bankkonto und einigen wenigen Überweisungen pro Monat bist, der ein bißchen Angst vor Onlinebanking hat, dann reichen einfache Lösungen. Du willst dann nur die typischen Phishing-Versuche und Trojaner vermeiden.
1. Die meisten vermeidest Du bereits durch die Verwendung von Linux.
2. Die allerallerallermeisten vermeidest Du durch die Verwendung eines Systems, das nicht Dein normales Surf- und Arbeitssystem ist, z.b. von einer LiveDVD, auf einer anderen Partition oder Platte, oder in einer VM. Das wäre allesamt schon relativ sicher, denke ich, selbst falls nicht mehr ganz auf dem Stand ist - solange Du es nur dafür hochfährst und damit nur die Seite Deiner Bank ansurfst.
Klar gibt es Szenarien, wo das nicht reicht, und es gibt unglaubliches Pech, z.B. Ziel einer maßgeschneiderten Attacke zu werden, oder in der kurzen Onlinezeit Ziel einer besonders guten gerasterten Attacke auf Deinem Browser oder OS zu werden. Aber da Du nicht zu viel Aufwand treiben willst (VM schreckt Dich anscheinend schon ab), scheinen diese theoretischen Risiken bei Dir nicht ins Gewicht zu fallen.
Ich übrigens sichere mich dadurch teilweise ab, daß ich Online Banking nur von einem Konto mache, auf dem nie allzu viel drauf ist, und das auch relativ niedrige Limits für die Überweisung hat.
Re: Live System für Online Banking und Surfen
Dann werde ich einfach zur Bank gehen.
Die Frage war jedoch auf die Funktionsweise bezogen, also ob die Live-DVD beim Boot aktuelle Updates lädt.
Die Frage war jedoch auf die Funktionsweise bezogen, also ob die Live-DVD beim Boot aktuelle Updates lädt.
- Lord_Carlos
- Beiträge: 5578
- Registriert: 30.04.2006 17:58:52
- Lizenz eigener Beiträge: GNU Free Documentation License
- Wohnort: Dänemark
Re: Live System für Online Banking und Surfen
Wenn ich nochmal drueber nachdenke glaube ich das man mit einer Live CD relativ sicher ist.* Solange man mit der Live CD nur auf die Bankseite geht (Oder jedenfalls immer als erstes auf die Bank Seite geht).
Darf ich fragen warum du lieber zu Bank geht als es einfach ueber dein bereits installiertes Debian zu machen?
* Ja ja, fiese hacker koennen das SSL Certifikat bekommen haben und MITM machen. So unwahscheinlich das es am Thema vorbei geht.
Darf ich fragen warum du lieber zu Bank geht als es einfach ueber dein bereits installiertes Debian zu machen?
* Ja ja, fiese hacker koennen das SSL Certifikat bekommen haben und MITM machen. So unwahscheinlich das es am Thema vorbei geht.
Code: Alles auswählen
╔═╗┬ ┬┌─┐┌┬┐┌─┐┌┬┐╔╦╗
╚═╗└┬┘└─┐ │ ├┤ │││ ║║
╚═╝ ┴ └─┘ ┴ └─┘┴ ┴═╩╝ rockt das Forum!
Re: Live System für Online Banking und Surfen
Die Frage war wie ich den Weg zur Bank am Besten umgehen kann? Die Idee dafür war die Live DVD in aktueller Version einer Distribution.
Mehrheitlich wird davon abgeraten und zu einer VM oder ähnlich geraten. Wirklich "sicher" geht nur offline, aber wie sicher geht es online ohne Spezialistenkenntnisse?
Mehrheitlich wird davon abgeraten und zu einer VM oder ähnlich geraten. Wirklich "sicher" geht nur offline, aber wie sicher geht es online ohne Spezialistenkenntnisse?
- Lord_Carlos
- Beiträge: 5578
- Registriert: 30.04.2006 17:58:52
- Lizenz eigener Beiträge: GNU Free Documentation License
- Wohnort: Dänemark
Re: Live System für Online Banking und Surfen
Unter Linux? Da musst du dir ja schon ein Fremdes Programm irgenwie einfangen, so einfach ist das garnicht.urkle hat geschrieben: Wirklich "sicher" geht nur offline, aber wie sicher geht es online ohne Spezialistenkenntnisse?
* Auf dem Verwendeten Rechner keine angreifbaren Dienste laufen lassen die offen fuers internet sind. (Also z.B. ein Email server, ftp server.)
* Nicht "komische" emails oeffnen. (Absender unbekannt, bekannter Absender aber untypisches Verhalten/Formulierung "Haha, guck mal die lustigen Urlaubilder hier im Link! Einfach klicken!")
* Nicht willkürlich Sachen aus dem Internet runterladen und oeffnen. (Unter Windows z.B. cracks fuer Spiele, cd key Generatoren, "Tuner" software, unter linux .. kein plan, scripte?)
Zick zack ist dein Rechner relativ sicher. So sicher das es Millionen von anderen potentielle Opfer gibt die viel viel viel einfach Anzugreifen sind.
Wenn du eine LiveCD benutzt musst du noch nicht einmal die Sachen da oben beachten.
Ich sehe kein validen Grund warum die kein Online Banking auf dein Rechner verwenden solltest. Wenn du lieber zu Bank gehen willst steht dir das natuelich frei. Da kannst du ja auch ueberfallen werden
Code: Alles auswählen
╔═╗┬ ┬┌─┐┌┬┐┌─┐┌┬┐╔╦╗
╚═╗└┬┘└─┐ │ ├┤ │││ ║║
╚═╝ ┴ └─┘ ┴ └─┘┴ ┴═╩╝ rockt das Forum!
Re: Live System für Online Banking und Surfen
Vielleicht sollten wir mal umgekehrt fragen. Welches Internet-Banking-Verfahren bietet dir deine Bank überhaupt an? Moderne Verfahren sind selbst unter Windows sicher, sofern man die Verfahren korrekt anwendet.
Re: Live System für Online Banking und Surfen
http://www.focus.de/finanzen/banken/gef ... 79908.html:
Auszug:
Auszug:
Und davor kann man sich eben nicht schützen weder mit Linux noch mit irgendwas verschlüsseltem im Browser oder Tor. Meine paar Tausender möchte ich halt gerne selber verbraten. Und deshalb ist mir eine (einmalige) Investition das wert. Sicher ist das auch Gewohnheit da ich schon sehr früh - damals noch mit einer Firma -ausschließlich Online Banking gemacht habe und deshalb gewohnt bin die nach meinem Wissens optimalen Standards auch zu nutzen. : Siehe meinen letzten Beitrag.MAN-IN-THE-MIDDLE-ANGRIFF
Bei einem Man-in-the-Middle-Angriff schleicht sich der Betrüger unbemerkt in die Kommunikation zwischen zwei oder mehr
Partnern ein. Er begibt sich - daher auch der Name - in die Mitte und gibt sich gegenüber dem Sender als Empfänger und
dem Empfänger gegenüber als Sender aus. So kann er im besten Fall alle Informationen, die der Sender an den vermeintlichen
Empfänger schickt, einsehen und manipulieren, bevor er sie an den richtigen Empfänger weiterleitet.
Sogar eine verschlüsselte Verbindung schützt nicht immer vor Man-in-the-Middle-Angriffen. Wird die Identität der
Kommunikationspartner gefälscht oder nicht geprüft, könnte jeweils eine verschlüsselte Verbindung vom Sender
zum Angreifer und vom Angreifer zum Empfänger aufgebaut werden
DRIVE-BY-EXPLOITS
Bei sogenannten Drive-by-Exploits schummeln sich Schadprogramme beim bloßen Betrachten von manipulierten Websites quasi
im Vorbeigehen auf den Rechner. Sie nutzen Sicherheitslücken im Webbrowser oder dem Betriebssystem.
Das Computer Emergency Response Team der Bundesverwaltung (http://www.cert-bund.de) registriert regelmäßig
mehr als ein Dutzend in Deutschland gehostete Web-Präsenzen, die von Angreifern manipuliert wurden und zu
Drive-by-Exploits führen. Das Perfide: Auch beim Besuch von als vertrauenswürdig anzusehenden Web-Seiten besteht
die Gefahr einer Infektion des PCs - über speziell manipulierte Werbebanner. Dabei ist nicht einmal das Anklicken
der Werbefläche zur Aktivierung des schädlichen Codes erforderlich.
- Lord_Carlos
- Beiträge: 5578
- Registriert: 30.04.2006 17:58:52
- Lizenz eigener Beiträge: GNU Free Documentation License
- Wohnort: Dänemark
Re: Live System für Online Banking und Surfen
Ich halte beides fuer recht unwahrscheinlich.
Gibt es dazu zahlen?
Also angenommen man guckt sich das Zertifikat an wird MITM doch recht schwer.
Wie viele Exploits fuer Linux Desktops gibt es in der "Wildness"? Edit: Waere auch geloest durch eine Live CD.
auch egal.
Gibt es dazu zahlen?
Also angenommen man guckt sich das Zertifikat an wird MITM doch recht schwer.
Wie viele Exploits fuer Linux Desktops gibt es in der "Wildness"? Edit: Waere auch geloest durch eine Live CD.
auch egal.
Code: Alles auswählen
╔═╗┬ ┬┌─┐┌┬┐┌─┐┌┬┐╔╦╗
╚═╗└┬┘└─┐ │ ├┤ │││ ║║
╚═╝ ┴ └─┘ ┴ └─┘┴ ┴═╩╝ rockt das Forum!
Re: Live System für Online Banking und Surfen
Die Zahlen wird man auch nie bekommen, da das die ganze Strategie der Banken und des Staates über den Haufen werfen würde.
Ich hatte mal - in der Zeit als ich noch eine Firma hatte - ganz guten Kontakt zu einem Banker der etwas höher angesiedelt war.
Der sagte mir damals, wenn die Banken auch nur annähernd die Zahlen bekannt geben würden, die durch Manipulationen bei Bankgeschäften passieren, würde kaum noch jemand an einen Automaten gehen geschweige denn seine Geschäfte über das Internet machen. Ich glaube das heute noch mehr als damals.
Aber hier mal die neusten Meldungen:
Linux-Kernel: Mehrere Schwachstellen ermöglichen u.a. das Eskalieren von Privlegien
und hier:
https://www.cert-bund.de/overview/AdvisoryShort
und hier:
Drive-by-Exploits
und hier
Man in the middle
uuppss die letzten beiden Links funktionieren nicht Also den jeweiligen Suchbegriff eingeben ... sorry
Viel Spass beim lesen
Man darf eins immer nicht vergessen: Niemand weiß genau, wie lange Sicherheitslücken bestehen, und wenn sie entdeckt werden, und wie groß der Schaden ist, der bereits entstanden ist.
Ich hatte mal - in der Zeit als ich noch eine Firma hatte - ganz guten Kontakt zu einem Banker der etwas höher angesiedelt war.
Der sagte mir damals, wenn die Banken auch nur annähernd die Zahlen bekannt geben würden, die durch Manipulationen bei Bankgeschäften passieren, würde kaum noch jemand an einen Automaten gehen geschweige denn seine Geschäfte über das Internet machen. Ich glaube das heute noch mehr als damals.
Aber hier mal die neusten Meldungen:
Linux-Kernel: Mehrere Schwachstellen ermöglichen u.a. das Eskalieren von Privlegien
und hier:
https://www.cert-bund.de/overview/AdvisoryShort
und hier:
Drive-by-Exploits
und hier
Man in the middle
uuppss die letzten beiden Links funktionieren nicht Also den jeweiligen Suchbegriff eingeben ... sorry
Viel Spass beim lesen
Man darf eins immer nicht vergessen: Niemand weiß genau, wie lange Sicherheitslücken bestehen, und wenn sie entdeckt werden, und wie groß der Schaden ist, der bereits entstanden ist.
Zuletzt geändert von geier22 am 20.01.2016 07:42:04, insgesamt 1-mal geändert.
Re: Live System für Online Banking und Surfen
Es geht um die Zahlen speziell bei Linuxsystemen. Die werden die Banken nicht mal haben. Mich würde aber auch mal interessieren, wieviele Linuxsysteme so in freier Wildbahn überhaupt kompromittiert werden.
@ Urkle: Deine Frage bleibt vage, weil unklar ist, was Du mit "sicher" meinst, bzw. "wie sicher" und es unklar ist, was Deine Anforderungen klar sind. Absolut sicher gibt es nicht, außer Du gehst zum Schalter (wobei dann noch die Sache mit dem Überfallenwerden bleibt. Und mögliche Autounfälle. Und Meteoritenschauer.). Aber einige Risiken würde ich fast schon als theoretisch bezeichnen. Daher ist die Frage, was mehr oder weniger sicher ist, gegen welche Form der Attacke, und wie hoch die Sicherheit sein soll, v.a. im Verhältnis zum Aufwand. Und dazu wurde schon vieles gesagt. Wenn Du Deine Frage spezifizierst, können wir auch gern noch mehr helfen. Lord_Carlos' Frage zu beantworten wäre z.b. ein Anfang.
Und ich stimme ihm auch da zu: Schon mit Deinem normalen Linuxsystem und erst recht mit nicht ganz aktuellem LiveSystem bist Du schon sehr sicher unterwegs, sicherer als 99,7 % der anderen Onlinebanker. Wichtig wie gesagt, die genannten Vorsichtsmaßnahmen. Und entscheidend ist auch, wie ebenfalls bereits gesagt, welches Verfahren Deine Bank verwendet. (Ich traf kürzlich einen Bankmanager, der machte Überweisungen im sechsstelligen Bereich auf der Basis von unverschlüsselten Emails.)
Müßte ich schätzen, würde ich sagen, daß die Wahrhscheinlichkeit einer Kompromittierung Deines Kontos alleine durch die Verwendung von Linux, egal in welcher Form, auf ein Hundertstel oder Tausendstel sinkt. Und bei der gewissenhaften Befolgung der Sicherheitstips auf egal welchem System ungefähr das gleiche. Kombiniere die beiden und das ist schon recht solide. LiveSystem addiert dann nochmal eine Lage Sicherheit, bzw. verhindert automatisch einige Risiken, die man auch durch die Sicherheitstips minimieren kann.
(Ein zusätzlicher Tip noch: Mach Onlinebanking immer über ein Netzwerk, dem Du halbwegs vertrauen kannst. Und wenn wireless dann auch vielleicht nicht gerade im Hauptbahnhof)
Livesysteme spielen updates nicht beim Start automatisch ein, jedenfalls ist mir keines bekannt, das das tut. Aber das kannst Du selber ja tun, indem Du zwei Zeilen in das Terminal tippst. Die Frage ist dann eher, wie lange das Update dauert und ob es das wert ist. Wenn Dir dieses Level an Sicherheit wichtig ist (und ich bezweifle mal, daß Du das brauchst), dann geht das alles leichter in einer VM. Dazu muß man auch kein allzugroßer Experte sein.
@ Urkle: Deine Frage bleibt vage, weil unklar ist, was Du mit "sicher" meinst, bzw. "wie sicher" und es unklar ist, was Deine Anforderungen klar sind. Absolut sicher gibt es nicht, außer Du gehst zum Schalter (wobei dann noch die Sache mit dem Überfallenwerden bleibt. Und mögliche Autounfälle. Und Meteoritenschauer.). Aber einige Risiken würde ich fast schon als theoretisch bezeichnen. Daher ist die Frage, was mehr oder weniger sicher ist, gegen welche Form der Attacke, und wie hoch die Sicherheit sein soll, v.a. im Verhältnis zum Aufwand. Und dazu wurde schon vieles gesagt. Wenn Du Deine Frage spezifizierst, können wir auch gern noch mehr helfen. Lord_Carlos' Frage zu beantworten wäre z.b. ein Anfang.
Und ich stimme ihm auch da zu: Schon mit Deinem normalen Linuxsystem und erst recht mit nicht ganz aktuellem LiveSystem bist Du schon sehr sicher unterwegs, sicherer als 99,7 % der anderen Onlinebanker. Wichtig wie gesagt, die genannten Vorsichtsmaßnahmen. Und entscheidend ist auch, wie ebenfalls bereits gesagt, welches Verfahren Deine Bank verwendet. (Ich traf kürzlich einen Bankmanager, der machte Überweisungen im sechsstelligen Bereich auf der Basis von unverschlüsselten Emails.)
Müßte ich schätzen, würde ich sagen, daß die Wahrhscheinlichkeit einer Kompromittierung Deines Kontos alleine durch die Verwendung von Linux, egal in welcher Form, auf ein Hundertstel oder Tausendstel sinkt. Und bei der gewissenhaften Befolgung der Sicherheitstips auf egal welchem System ungefähr das gleiche. Kombiniere die beiden und das ist schon recht solide. LiveSystem addiert dann nochmal eine Lage Sicherheit, bzw. verhindert automatisch einige Risiken, die man auch durch die Sicherheitstips minimieren kann.
(Ein zusätzlicher Tip noch: Mach Onlinebanking immer über ein Netzwerk, dem Du halbwegs vertrauen kannst. Und wenn wireless dann auch vielleicht nicht gerade im Hauptbahnhof)
Livesysteme spielen updates nicht beim Start automatisch ein, jedenfalls ist mir keines bekannt, das das tut. Aber das kannst Du selber ja tun, indem Du zwei Zeilen in das Terminal tippst. Die Frage ist dann eher, wie lange das Update dauert und ob es das wert ist. Wenn Dir dieses Level an Sicherheit wichtig ist (und ich bezweifle mal, daß Du das brauchst), dann geht das alles leichter in einer VM. Dazu muß man auch kein allzugroßer Experte sein.
Re: Live System für Online Banking und Surfen
Es ist einfach haarsträubend wie die ewige Gebetsmühle Linux ist sicher immer wieder bemüht wird.
Linux ist höchstens deswegen sicher, weil ein verschwindend geringer Prozentsatz von Usern dieses Betriebssystem benutzt (11/ 2015 : Weltweit 2,48 %], und von Seiten krimineller Organisationen
(wahrscheinlich) wenig Interesse besteht, sich speziell auf Linux-Desktops zu konzentrieren. Auch für die Linux Gemeinde arbeiten keine Super Programmierer sondern ganz normale Menschen, die Fehler machen, und - da sie das oft auch noch unentgeltlich oder Nebenberuflich tun aus Zeitgründen wahrscheinlich weniger bereit sind Fehler sofort zu beseitigen.
Für die Schweiz habe ich für 2015 eine Interessante Statistik gefunden:
Der Anteil der Linux-Schwachstellen an allen entdeckten potenziellen Schwachstellen der Betriebssysteme beträgt 86 Prozent.
Gebt auf der Seite von cert einfach mal die Suchbegriffe firefox, linux, oder Debian ein und setzt euch damit auseinander.
Linux ist ein ganz normales Betriebssystem wie andere auch, das sollte man mal verinnerlichen. Allerdings (und das ist der Hauptgrund, warum ich es benutze) ohne
kommerzielles Interesse, seinen Kunden (=User) auszuspionieren. Das hat aber erst mal überhaupt nichts mit der Sicherheit des Betriebssystems zu tun. Auch Windows (Apple kenne ich nicht) kann man mit der Benutzerkontensteuerung so einstellen, dass
es sicher ist. Nur braucht man dafür entsprechendes Wissen, was wahrscheinlich 95% der Nutzer nicht haben. Bei Linux wird das Verhältnis umgekehrt sein.
Und nochmal @urkle:
Sicher kannst du ctbankix benutzen ich würde dir aber raten, dann das angebotene Finanzverwaltungsprogramm Hibiscus zu benutzen. Dann solltest du dir eine Bank suchen, die HBCI+ mit PIN/TAN/mTAN/SMS-TAN/ChipTAN anbietet. wobei ChipTAN das sicherste ist und bisher wohl noch nicht geknackt wurde. Bloß vom Browser würde ich die Finger lassen.
Linux ist höchstens deswegen sicher, weil ein verschwindend geringer Prozentsatz von Usern dieses Betriebssystem benutzt (11/ 2015 : Weltweit 2,48 %], und von Seiten krimineller Organisationen
(wahrscheinlich) wenig Interesse besteht, sich speziell auf Linux-Desktops zu konzentrieren. Auch für die Linux Gemeinde arbeiten keine Super Programmierer sondern ganz normale Menschen, die Fehler machen, und - da sie das oft auch noch unentgeltlich oder Nebenberuflich tun aus Zeitgründen wahrscheinlich weniger bereit sind Fehler sofort zu beseitigen.
Für die Schweiz habe ich für 2015 eine Interessante Statistik gefunden:
Der Anteil der Linux-Schwachstellen an allen entdeckten potenziellen Schwachstellen der Betriebssysteme beträgt 86 Prozent.
Gebt auf der Seite von cert einfach mal die Suchbegriffe firefox, linux, oder Debian ein und setzt euch damit auseinander.
Linux ist ein ganz normales Betriebssystem wie andere auch, das sollte man mal verinnerlichen. Allerdings (und das ist der Hauptgrund, warum ich es benutze) ohne
kommerzielles Interesse, seinen Kunden (=User) auszuspionieren. Das hat aber erst mal überhaupt nichts mit der Sicherheit des Betriebssystems zu tun. Auch Windows (Apple kenne ich nicht) kann man mit der Benutzerkontensteuerung so einstellen, dass
es sicher ist. Nur braucht man dafür entsprechendes Wissen, was wahrscheinlich 95% der Nutzer nicht haben. Bei Linux wird das Verhältnis umgekehrt sein.
Und nochmal @urkle:
Sicher kannst du ctbankix benutzen ich würde dir aber raten, dann das angebotene Finanzverwaltungsprogramm Hibiscus zu benutzen. Dann solltest du dir eine Bank suchen, die HBCI+ mit PIN/TAN/mTAN/SMS-TAN/ChipTAN anbietet. wobei ChipTAN das sicherste ist und bisher wohl noch nicht geknackt wurde. Bloß vom Browser würde ich die Finger lassen.
- Lord_Carlos
- Beiträge: 5578
- Registriert: 30.04.2006 17:58:52
- Lizenz eigener Beiträge: GNU Free Documentation License
- Wohnort: Dänemark
Re: Live System für Online Banking und Surfen
Ja, eben. Reicht doch. Lohnt sich halt nicht genau fuer diese Randgruppe extra trojaner zu schreiben.geier22 hat geschrieben: Linux ist höchstens deswegen sicher, weil ein verschwindend geringer Prozentsatz von Usern dieses Betriebssystem benutzt (11/ 2015 : Weltweit 2,48 %],
Keiner hier sagt das Linux als System sicherer ist, wir sagen nur es ist sehr sehr unwahrscheinlich sich mit linux einen kommerziellen Virus/Malware/Trojaner einzufangen der zugleich auch die Verbindung zu genau _deiner_ Bank manipulieren kann.
Ja, HBCI mag noch mehr Sicherheit geben.
______________________
Bei mir im Bekanntenkreis wird es gerade weniger und weniger mit Onlinebanking und Kreditkarte. Die steigen jetzt alle um auf MobilePay, sowohl im Privaten bereich als auch beim Einkauf. Muss man nichtmal Portmonee mit sich rumtragen :0 Ich habe mich noch nicht damit auseinander gesetzt wie das nun wieder funktioniert.
Code: Alles auswählen
╔═╗┬ ┬┌─┐┌┬┐┌─┐┌┬┐╔╦╗
╚═╗└┬┘└─┐ │ ├┤ │││ ║║
╚═╝ ┴ └─┘ ┴ └─┘┴ ┴═╩╝ rockt das Forum!
Re: Live System für Online Banking und Surfen
Was soll denn der Schmarrn?
Ich habe oben klar Sicherheit als Wahrscheinlichkeit einer Komprimittierung des Systems definiert. Und die sinkt durch den Einsatz von Linux in urkles mutmaßlichem Szenario. Sie sinkt nicht, wenn Du Linux auf dem Server hast, denn davon gehen Angreifer aus. Von systemdesignbedingte Sicherheit habe ich gar nicht geredet. Aber wenn wir das tun wollen, dann bitte präziser als über summarische Anzahlen von Bugs. (allein schon weil gefundene Bugs != vorhandene Bugs != ausgenutzte Bugs ist)
Ich habe oben klar Sicherheit als Wahrscheinlichkeit einer Komprimittierung des Systems definiert. Und die sinkt durch den Einsatz von Linux in urkles mutmaßlichem Szenario. Sie sinkt nicht, wenn Du Linux auf dem Server hast, denn davon gehen Angreifer aus. Von systemdesignbedingte Sicherheit habe ich gar nicht geredet. Aber wenn wir das tun wollen, dann bitte präziser als über summarische Anzahlen von Bugs. (allein schon weil gefundene Bugs != vorhandene Bugs != ausgenutzte Bugs ist)
Re: Live System für Online Banking und Surfen
also ich überweise seit Jahren irgendwelche Beiträge online, die längste Zeit mit iceweasel unter debian Mir ist bilslang noch kein Einziges Cent vom Konto abgekommen und mir ist auch nicht bewusst, dass ich unter debian einen Trojaner oder ähnliche Schadsoft untergejubelt wurde, obwohl ich mit dem Iceweasel auf verschiedenen Seiten gesurft bin und nebenbei meine Bankgeschäfte erledigt habe
Was ich nie gemacht habe?Nie Passwörter in Iceweasel gespeichert... Daher sehe ich debian und somit Linux als sicher, auch wenn es Sicherheitslücken entdeckt werden Es soll sich mal jemand unter Windows das Ganze mal jahrelang machen...
Selbst wenn die Linuxnutzer ~3% ausmachen, eben diese 3% sind 100%ig sicher als ein Windows, welches überall seine Löcher wie eine schweizer Käse hat und sie bis dato nicht stopfen kann -zu schließen- obwohl Billy Boy das Monopol und seine Super-Programmierer und alle Zeit der Welt hat, sein System sicherer zu machen und es nie passieren wird...
Soviel zum Thema
Was ich nie gemacht habe?Nie Passwörter in Iceweasel gespeichert... Daher sehe ich debian und somit Linux als sicher, auch wenn es Sicherheitslücken entdeckt werden Es soll sich mal jemand unter Windows das Ganze mal jahrelang machen...
Selbst wenn die Linuxnutzer ~3% ausmachen, eben diese 3% sind 100%ig sicher als ein Windows, welches überall seine Löcher wie eine schweizer Käse hat und sie bis dato nicht stopfen kann -zu schließen- obwohl Billy Boy das Monopol und seine Super-Programmierer und alle Zeit der Welt hat, sein System sicherer zu machen und es nie passieren wird...
Soviel zum Thema
/ASUS-F751S/ Intel Pentium N3710 @ 2.560Ghz
VGA compatible controller: Intel Corporation Atom/Celeron/Pentium Processor x5-E8000/J3xxx/N3xxx Integrated Graphics Controller (rev 35)
Linux/5.19.13-arch1-1 x86_64 GNU/Linux
WindowManager: BSPWM
VGA compatible controller: Intel Corporation Atom/Celeron/Pentium Processor x5-E8000/J3xxx/N3xxx Integrated Graphics Controller (rev 35)
Linux/5.19.13-arch1-1 x86_64 GNU/Linux
WindowManager: BSPWM
Re: Live System für Online Banking und Surfen
+1tHoRax hat geschrieben:also ich überweise seit Jahren irgendwelche Beiträge online, die längste Zeit mit iceweasel unter debian Mir ist bilslang noch kein Einziges Cent vom Konto abgekommen und mir ist auch nicht bewusst, dass ich unter debian einen Trojaner oder ähnliche Schadsoft untergejubelt wurde, obwohl ich mit dem Iceweasel auf verschiedenen Seiten gesurft bin und nebenbei meine Bankgeschäfte erledigt habe
Aber ich habe einen extra User dafür angelegt, mit dem ich wirklich nichts anderes mache als auf die Webseite der Bank zu gehen.
Re: Live System für Online Banking und Surfen
Wenn ich das also alles richtig verstehe, ist Linux deswegen sicher, weil es halt nur ein paar "Freaks" benutzen, um die es sich nicht lohnt zu kümmern.
Dem kann ich zustimmen.
Ich gebe aber trotzdem zu bedenken, das der Browser nicht darunter fällt. Ich meine damit nicht das einschmuggeln von
Schadsoftware in das Betriebssystem sondern Sicherheitslücken im Browser selbst. Und der Browser ist nun mal Massenware.
Vor den von mir genannten Angriffen kann man sich in einem Browser nicht schützen.
Ich habe mich für Banking mit einem Banking Programm mit HBCI nach Secoder-Standard entschieden, weil dies zur Zeit (seit mehreren Jahren) nicht angreifbar ist. Ausserdem bietet ein Programm den riesigen Vorteil, dass man seine Konten über Jahre hinweg elektronisch archiviert hat, und keine Kontoauszüge braucht.
Aber jeder wie er will
Dem kann ich zustimmen.
Ich gebe aber trotzdem zu bedenken, das der Browser nicht darunter fällt. Ich meine damit nicht das einschmuggeln von
Schadsoftware in das Betriebssystem sondern Sicherheitslücken im Browser selbst. Und der Browser ist nun mal Massenware.
Vor den von mir genannten Angriffen kann man sich in einem Browser nicht schützen.
Ich habe mich für Banking mit einem Banking Programm mit HBCI nach Secoder-Standard entschieden, weil dies zur Zeit (seit mehreren Jahren) nicht angreifbar ist. Ausserdem bietet ein Programm den riesigen Vorteil, dass man seine Konten über Jahre hinweg elektronisch archiviert hat, und keine Kontoauszüge braucht.
Aber jeder wie er will
Re: Live System für Online Banking und Surfen
Genauso ist es. Ich nutze seit Jahren Hibiscus mit HBCI-Karte und Cyberjack Klasse 3 Leser.geier22 hat geschrieben:Ich habe mich für Banking mit einem Banking Programm mit HBCI nach Secoder-Standard entschieden, weil dies zur Zeit (seit mehreren Jahren) nicht angreifbar ist. Ausserdem bietet ein Programm den riesigen Vorteil, dass man seine Konten über Jahre hinweg elektronisch archiviert hat, und keine Kontoauszüge braucht.
Ich habe immer ein ungutes Gefühl bei Browser-Banking, trotz Linux, und schon gar nicht mit irgendwelchem Tan-Zeug oder Flicker-Codes.
Also @urkle, @geier22 und ich haben Deine Frage nach größtmöglicher Sicherheit gerade beantwortet.
Jetzt bist Du dran...
Re: Live System für Online Banking und Surfen
Was spricht gegen flicker code und separaten TAN Genarator?
Nur so am Rande: als "Grundsatz"-Diskussion kann man das eigentlich nicht mehr bezeichnen.
Grüße, Günther
Nur so am Rande: als "Grundsatz"-Diskussion kann man das eigentlich nicht mehr bezeichnen.
Grüße, Günther
Re: Live System für Online Banking und Surfen
Online Banking via HBCI/ FinTS ist nur in Verbindung mit einer separaten Software möglich.
Das sicherste Verfahren ist dabei ein Chipkartenleser nach Secoder 2 Standard . Der Vorteil ist, dass die Transaktionsdaten auf dem Lesegerät angezeigt werden und mit dem nicht auslesbaren Code (man kann die Chipkarte nur noch klauen) nach PIN-Eingabe verschlüsselt werden. Also würde selbst eine Manipulation des Banking- Programms auffallen (Man in the Middle).
Im Browser sind Manipulationsmöglichkeiten aber gegeben. HBCI ist mit einem Browser nicht möglich.
Wer sich ein bisschen einlesen will:
http://www.heise.de/ct/artikel/Zahl-ode ... 91676.html
Aufstellung von gängigen Verfahren:
http://www-ti.informatik.uni-tuebingen. ... king.shtml
Das sicherste Verfahren ist dabei ein Chipkartenleser nach Secoder 2 Standard . Der Vorteil ist, dass die Transaktionsdaten auf dem Lesegerät angezeigt werden und mit dem nicht auslesbaren Code (man kann die Chipkarte nur noch klauen) nach PIN-Eingabe verschlüsselt werden. Also würde selbst eine Manipulation des Banking- Programms auffallen (Man in the Middle).
Im Zusammenhang mit einer Banking- Software und einem vernünftig abgesicherten Betriebssystem würde ich dieses Verfahren ebenfalls als relativ sicher bezeichnen.guennid hat geschrieben:Was spricht gegen flicker code und separaten TAN Genarator?
Im Browser sind Manipulationsmöglichkeiten aber gegeben. HBCI ist mit einem Browser nicht möglich.
Wer sich ein bisschen einlesen will:
http://www.heise.de/ct/artikel/Zahl-ode ... 91676.html
Aufstellung von gängigen Verfahren:
http://www-ti.informatik.uni-tuebingen. ... king.shtml
Re: Live System für Online Banking und Surfen
Nichts, da es sich um eine "transaktionsbezogene und zeitlich befristet gültige TAN" handelt. Es wird die IBAN und der Betrag gewählt, der im Leser vom Kunden bestätigt wird. Natürlich müssen IBAN und Betrag auch dem Kundenwunsch entsprechen bevor die TAN im Browser eingeben wird. Wenn nicht muss man die Aktion abbrechen und kann gleich seinen Rechner neu installieren. Sehr gute Malwareerkennungssoftware ... besser als jeder Virenscanner.Was spricht gegen flicker code und separaten TAN Genarator?
Re: Live System für Online Banking und Surfen
Zum sicheren Surfen habe ich Linux auf einem per Hardware schreibgeschützten SATA-DOM SSD installiert.
Im PC-System können mehrere dieser Module, je nach Aufgabe, über deren Spannungsversorgung aktiviert werden.
Ein SW basiertes unmount ist nicht notwendig, wenn die Bausteine abgeschaltet sind.
Die Bootzeit und der Updatekomfort entsprechen dann einer SSD und die Manipulationssicherheit ist mit einer DVD vergleichbar.
Was haltet ihr von dieser HW-Variante?
Im PC-System können mehrere dieser Module, je nach Aufgabe, über deren Spannungsversorgung aktiviert werden.
Ein SW basiertes unmount ist nicht notwendig, wenn die Bausteine abgeschaltet sind.
Die Bootzeit und der Updatekomfort entsprechen dann einer SSD und die Manipulationssicherheit ist mit einer DVD vergleichbar.
Was haltet ihr von dieser HW-Variante?
Re: Live System für Online Banking und Surfen
Startest du die Module dann via BIOs?vkl hat geschrieben: Was haltet ihr von dieser HW-Variante?
Man sollte aber verinnerlichen, dass die einzig weitgehend manipulations- sichere Übermittlungs Methode ein Verfahren ist, bei dem
der TAN in zwei voneinander getrennten Systemen erzeugt wird. In Systemen der Klasse 3 wird zusätzlich die Kontonummer und der Betrag angezeigt, bevor der Schlüssel nach einer Pin-Eingabe auf der Tastatur des TAN- Generators generiert wird. Dadurch wird sichergestellt, dass auch hier keine Manipulation stattfinden kann.
Soweit ich weiss, bieten z.Z. nur Chip-TAN und Flicker-TAN und Foto-TAN - Verfahren solche Geräte an.
Gegen eine theoretische Manipulation hilft auch kein Schreibschutz, da der Angriff über eine Schwachstelle im Browser selbst stattfindet.Siehe hier . Und Irgendwo hat der Browser ja seinen Cache hin getan. Im Schreibschutzfall im RAM.
Re: Live System für Online Banking und Surfen
Was meinst Du mit
Ein SATA-DOM wird wie jede SSD, USB-Stick oder DVD- vom BIOS gestartet.
Der Vorschlag zum Systemaufbau mit einem Write-Protected DOM betrifft mehr den Start des Threads, über das bisher unkomfortable Softwareupdate von einem Live-Systemen.
Mit den Angriffen auf den Kommunikationskanal stimme ich Dir vollkommen zu, da hilft auch kein schreibgeschütztes System.
Auch Live-Systeme die von DVD gestartet werden bieten da keinen Schutz, wenn sich temporär etwas ins RAM/Cache geschummelt hat.
Mit dem Hardwareschreibschutz der DOM-Bausteine wird, wie mit einem Live-System, eine permanente Manipulation der Systemsoftware bzw. das Einnisten von Schadsoftware verhindert, auch wenn ROOT-Rechte erzwungen wurden. Keylogger, Cookies etc. sind nach dem nächsten Kaltstart verschwunden...
Ein System-Update ist nun wesentlich Nutzerfreundlicher - System herunterfahren - Schreibschutzschalter umlegen- System starten und nun nur das Update einspielen- Neustart des Systems wieder mit HW-Schreibschutz. Das wars.
?geier22 hat geschrieben:Startest du die Module dann via BIOs?
Ein SATA-DOM wird wie jede SSD, USB-Stick oder DVD- vom BIOS gestartet.
Der Vorschlag zum Systemaufbau mit einem Write-Protected DOM betrifft mehr den Start des Threads, über das bisher unkomfortable Softwareupdate von einem Live-Systemen.
Mit den Angriffen auf den Kommunikationskanal stimme ich Dir vollkommen zu, da hilft auch kein schreibgeschütztes System.
Auch Live-Systeme die von DVD gestartet werden bieten da keinen Schutz, wenn sich temporär etwas ins RAM/Cache geschummelt hat.
Mit dem Hardwareschreibschutz der DOM-Bausteine wird, wie mit einem Live-System, eine permanente Manipulation der Systemsoftware bzw. das Einnisten von Schadsoftware verhindert, auch wenn ROOT-Rechte erzwungen wurden. Keylogger, Cookies etc. sind nach dem nächsten Kaltstart verschwunden...
Ein System-Update ist nun wesentlich Nutzerfreundlicher - System herunterfahren - Schreibschutzschalter umlegen- System starten und nun nur das Update einspielen- Neustart des Systems wieder mit HW-Schreibschutz. Das wars.
Re: Live System für Online Banking und Surfen
Das wäre mit einem Laptop dann nur mit USB Stick mit Schreibschutzschalter möglich?vkl hat geschrieben:Was meinst Du mit?geier22 hat geschrieben:Startest du die Module dann via BIOs?
Ein SATA-DOM wird wie jede SSD, USB-Stick oder DVD- vom BIOS gestartet.
Der Vorschlag zum Systemaufbau mit einem Write-Protected DOM betrifft mehr den Start des Threads, über das bisher unkomfortable Softwareupdate von einem Live-Systemen.