Live System für Online Banking und Surfen

[thoerb]

also ich überweise seit Jahren irgendwelche Beiträge online, die längste Zeit mit iceweasel unter debian Mir ist bilslang noch kein Einziges Cent vom Konto abgekommen und mir ist auch nicht bewusst, dass ich unter debian einen Trojaner oder ähnliche Schadsoft untergejubelt wurde, obwohl ich mit dem Iceweasel auf verschiedenen Seiten gesurft bin und nebenbei meine Bankgeschäfte erledigt habe

+1

Aber ich habe einen extra User dafür angelegt, mit dem ich wirklich nichts anderes mache als auf die Webseite der Bank zu gehen.

[geier22]

Wenn ich das also alles richtig verstehe, ist Linux deswegen sicher, weil es halt nur ein paar "Freaks" benutzen, um die es sich nicht lohnt zu kümmern.
Dem kann ich zustimmen.
Ich gebe aber trotzdem zu bedenken, das der Browser nicht darunter fällt. Ich meine damit nicht das einschmuggeln von
Schadsoftware in das Betriebssystem sondern Sicherheitslücken im Browser selbst. Und der Browser ist nun mal Massenware.
Vor den von mir genannten Angriffen kann man sich in einem Browser nicht schützen.

Ich habe mich für Banking mit einem Banking Programm mit HBCI nach Secoder-Standard entschieden, weil dies zur Zeit (seit mehreren Jahren) nicht angreifbar ist. Ausserdem bietet ein Programm den riesigen Vorteil, dass man seine Konten über Jahre hinweg elektronisch archiviert hat, und keine Kontoauszüge braucht.

Aber jeder wie er will

[KP97]

Ich habe mich für Banking mit einem Banking Programm mit HBCI nach Secoder-Standard entschieden, weil dies zur Zeit (seit mehreren Jahren) nicht angreifbar ist. Ausserdem bietet ein Programm den riesigen Vorteil, dass man seine Konten über Jahre hinweg elektronisch archiviert hat, und keine Kontoauszüge braucht.

Genauso ist es. Ich nutze seit Jahren Hibiscus mit HBCI-Karte und Cyberjack Klasse 3 Leser.
Ich habe immer ein ungutes Gefühl bei Browser-Banking, trotz Linux, und schon gar nicht mit irgendwelchem Tan-Zeug oder Flicker-Codes.

Also @urkle, @geier22 und ich haben Deine Frage nach größtmöglicher Sicherheit gerade beantwortet.
Jetzt bist Du dran...

[guennid]

Was spricht gegen flicker code und separaten TAN Genarator?

Nur so am Rande: als "Grundsatz"-Diskussion kann man das eigentlich nicht mehr bezeichnen.

Grüße, Günther

[geier22]

Online Banking via HBCI/ FinTS ist nur in Verbindung mit einer separaten Software möglich.
Das sicherste Verfahren ist dabei ein Chipkartenleser nach Secoder 2 Standard . Der Vorteil ist, dass die Transaktionsdaten auf dem Lesegerät angezeigt werden und mit dem nicht auslesbaren Code (man kann die Chipkarte nur noch klauen) nach PIN-Eingabe verschlüsselt werden. Also würde selbst eine Manipulation des Banking- Programms auffallen (Man in the Middle).

Was spricht gegen flicker code und separaten TAN Genarator?

Im Zusammenhang mit einer Banking- Software und einem vernünftig abgesicherten Betriebssystem würde ich dieses Verfahren ebenfalls als relativ sicher bezeichnen.
Im Browser sind Manipulationsmöglichkeiten aber gegeben. HBCI ist mit einem Browser nicht möglich.

Wer sich ein bisschen einlesen will:
http://www.heise.de/ct/artikel/Zahl-ode ... 91676.html
Aufstellung von gängigen Verfahren:
http://www-ti.informatik.uni-tuebingen. ... king.shtml

[uname]

Was spricht gegen flicker code und separaten TAN Genarator?

Nichts, da es sich um eine "transaktionsbezogene und zeitlich befristet gültige TAN" handelt. Es wird die IBAN und der Betrag gewählt, der im Leser vom Kunden bestätigt wird. Natürlich müssen IBAN und Betrag auch dem Kundenwunsch entsprechen bevor die TAN im Browser eingeben wird. Wenn nicht muss man die Aktion abbrechen und kann gleich seinen Rechner neu installieren. Sehr gute Malwareerkennungssoftware ... besser als jeder Virenscanner.

[vkl]

Zum sicheren Surfen habe ich Linux auf einem per Hardware schreibgeschützten SATA-DOM SSD installiert.
Im PC-System können mehrere dieser Module, je nach Aufgabe, über deren Spannungsversorgung aktiviert werden.
Ein SW basiertes unmount ist nicht notwendig, wenn die Bausteine abgeschaltet sind.
Die Bootzeit und der Updatekomfort entsprechen dann einer SSD und die Manipulationssicherheit ist mit einer DVD vergleichbar.

Was haltet ihr von dieser HW-Variante?

[geier22]

Was haltet ihr von dieser HW-Variante?

Startest du die Module dann via BIOs?
Man sollte aber verinnerlichen, dass die einzig weitgehend manipulations- sichere Übermittlungs Methode ein Verfahren ist, bei dem
der TAN in zwei voneinander getrennten Systemen erzeugt wird. In Systemen der Klasse 3 wird zusätzlich die Kontonummer und der Betrag angezeigt, bevor der Schlüssel nach einer Pin-Eingabe auf der Tastatur des TAN- Generators generiert wird. Dadurch wird sichergestellt, dass auch hier keine Manipulation stattfinden kann.

Soweit ich weiss, bieten z.Z. nur Chip-TAN und Flicker-TAN und Foto-TAN - Verfahren solche Geräte an.

Gegen eine theoretische Manipulation hilft auch kein Schreibschutz, da der Angriff über eine Schwachstelle im Browser selbst stattfindet.Siehe hier . Und Irgendwo hat der Browser ja seinen Cache hin getan. Im Schreibschutzfall im RAM.

[vkl]

Was meinst Du mit

Startest du die Module dann via BIOs?

?
Ein SATA-DOM wird wie jede SSD, USB-Stick oder DVD- vom BIOS gestartet.

Der Vorschlag zum Systemaufbau mit einem Write-Protected DOM betrifft mehr den Start des Threads, über das bisher unkomfortable Softwareupdate von einem Live-Systemen.

Mit den Angriffen auf den Kommunikationskanal stimme ich Dir vollkommen zu, da hilft auch kein schreibgeschütztes System.
Auch Live-Systeme die von DVD gestartet werden bieten da keinen Schutz, wenn sich temporär etwas ins RAM/Cache geschummelt hat.

Mit dem Hardwareschreibschutz der DOM-Bausteine wird, wie mit einem Live-System, eine permanente Manipulation der Systemsoftware bzw. das Einnisten von Schadsoftware verhindert, auch wenn ROOT-Rechte erzwungen wurden. Keylogger, Cookies etc. sind nach dem nächsten Kaltstart verschwunden...
Ein System-Update ist nun wesentlich Nutzerfreundlicher - System herunterfahren - Schreibschutzschalter umlegen- System starten und nun nur das Update einspielen- Neustart des Systems wieder mit HW-Schreibschutz. Das wars.

[urkle]

Was meinst Du mit

Startest du die Module dann via BIOs?

?
Ein SATA-DOM wird wie jede SSD, USB-Stick oder DVD- vom BIOS gestartet.

Der Vorschlag zum Systemaufbau mit einem Write-Protected DOM betrifft mehr den Start des Threads, über das bisher unkomfortable Softwareupdate von einem Live-Systemen.

Das wäre mit einem Laptop dann nur mit USB Stick mit Schreibschutzschalter möglich?

[vkl]

Das wäre mit einem Laptop dann nur mit USB Stick mit Schreibschutzschalter möglich?

Es gibt mSATA-Module mit Write-Protect Schalter. Die können auch über ein 2.5" Adapter im Wechselschacht montiert werden.
Ist die mSATA-SSD fest eingebaut bzw. ist der WP-Schalter nicht erreichbar, kann er auch mit einem Reedschalter https://de.wikipedia.org/wiki/Reedschalter und Verlängerung ersetzt werden.
Der Reedschalter ist dann irgendwo passend innerhalb und am Gehäuse anzubringen. Die Schreibfreigabe erfolgt später mit externem Magnet.
Mit einem Reedkontakt ist keine Bohrung für einen zus. Schalter notwendig - keine Beschädigung des Gehäuses.
Gerade, wenn der Reise-Laptop durch eine Flughafenkontrolle muss, ist ein weiterer, modelluntypischer Schalter am Gehäuse sehr kontraproduktiv.

Von der Bauform her sollte sich auch ein SATA-DOM, als Ersatz für eine SSD, im Laptop unterbringen lassen. Einen Adapter habe ich noch nicht gefunden.

[geier22]

Das Missverständnis kam durch dies Formulierung zustande:

Im PC-System können mehrere dieser Module, je nach Aufgabe, über deren Spannungsversorgung aktiviert werden.
Ein SW basiertes unmount ist nicht notwendig, wenn die Bausteine abgeschaltet sind.

ich hab selbst ein ORICO HD-PW4101. Mit dem kann ich - je nach bedarf einzelne HDD's bzw SSD's beim Booten zuschalten bzw. per BIOs auch von denen starten. Ansonsten sind sie abgeschaltet.

Einen Blick für die Browser Verfechter sollte aber noch das Tool firejail (Homepage) zusammen mit den firetools wert sein. Ohne Probleme zumindest für Testing zu installieren und funktioniert hervorragend. Würde mich mal interessieren, was dazu zu sagen ist

[vkl]

ich hab selbst ein ORICO HD-PW4101.

Danke für den Tipp zu HDD Power Switch Selektoren. Diese Module hatte ich bisher übersehen bzw. nach einem Selbstbau keinen Bedarf mehr, nach etwas Fertigem
zu suchen. Die sind sogar als Slotblende erhältlich. - Sehr Anwenderfreundlich.
Sind nur wenige Anwender/Anwendungen zu trennen, dann habe ich für einen Power-Switch-Selektor nun eine Verwendung.

Ich setze meistens einen SATA-Wechselrahmen ein. Anwendungen und besonders die Accounts werden über separate Festplatten physisch sauber voneinander getrennt. Es ist dann immer nur eine Wechselfestplatte aktiv.
Die den einzelnen Anwendern fest zugeordneten Festplatten verursachen zwar Mehrkosten, aber das ist immer noch günstiger, als für jeden Anwender/Anwendung einen eigenen PC bereitzustellen. Mit einem SATA-Wechselrahmen, gegenüber externen Wechselmedien (USB), bleibt auch die Performance erhalten.
Muliboot wäre eine Option. Der Installations- und Wartungsaufwand von Multiboot ist mir nun zu aufwendig. Eine defekte oder verseuchte HD blockiert dann zudem wieder alle Anwender.

Der PC mit Wechselrahmen hat sich bisher bei uns sehr gut bewährt.
Fängt sich die Game-Wechselplatte irgend eine unzulässige Minecraft-Mod ein, dann muss ich mir um die ausgelagerte Banking-HD keine Sorgen machen. Nach dem Austausch kann ich sofort damit weiter arbeiten. Gegenüber der Konfiguration "Eine Systemsoftware für Alles/Alle", gibt es nun weniger Zeitdruck, eine Schadsoftware zu entfernen und auch der
Verantwortliche ist schneller (für Nachschulungsmaßnahmen) identifiziert.

[urkle]

Danke euch

[urkle]

Habe mir die Vorschläge und Lösungsansätze von euch nun nochmal durch den Kopf gehen lassen und möchte mal nachfragen welche Variante ihr bevorzügen würdet.

Die schon angesprochende Methode mit einem Live System auf DVD oder einem installierten Debian auf SSD, von dort dann Online Banking in einer virtuellen Maschine laufen würde?

Was seht ihr als Möglichkeit so viel Sicherheit wie möglich zu erhalten?
Aus meiner Sicht ist es die Variante von DVD in den RAM booten. Was meint ihr?

[thoerb]

http://debianforum.de/forum/viewtopic.p ... 8#p1085445

[urkle]

Dann also keine Live CD für das Online Banking.

Wie schätzt ihr allerdings die Sicherheit einer abgeschlossenen CD oder DVD ein gegenüber Trojanern und anderen Schadprogrammen, die sich so nicht permanent einnisten können?

[TomL]

Dann also keine Live CD für das Online Banking.

Wie schätzt ihr allerdings die Sicherheit einer abgeschlossenen CD oder DVD ein gegenüber Trojanern und anderen Schadprogrammen, die sich so nicht permanent einnisten können?

Mir ist echt nicht klar, warum du das komplette Thema noch mal hervorkramst. Deine Frage, die du mittlerweile mehrfach wiederholt hast, ist ebenfalls mehrfach beantwortet worden. Dabei ist das eigentlich recht einfach mit folgender Erkenntnis zu lösen: Schadprogramme nisten sich nicht wegen des verwendeten Betriebssystems ein, sondern wegen fahrlässigen Userverhalten.

Richte eine 5-GB-Debian-VM ein, die bis auf das Betriebssystem-Nötigste keinerlei Programme enthält. Dazu Palemoon als Browser und UBlock Origin mit genereller Sperre (rigoros für alles) nach der Devise "Es ist grundsätzlich ALLES verboten, was nicht ausdrücklich erlaubt ist! " Damit ist ein normales Surfen fast nicht mehr möglich, weil eben alles blockiert wird. Dann erlaubst du (sofern notwendig) nur die Skripte deiner Bank. Fertig! Diese kleine VM wird für nichts anderes genutzt, außer fürs Online-Banking. Wenn du noch höhere Sicherheit willst, bleibt nur der Besuch am Bankschalter. Die einzige Unsicherheit in diesem Modell bist nur du selber, wenn du in dieser VM mit irgendwelchen grob fahrlässigigen Aktionen die Sicherheit untergräbst.

Ich denke, zu dem Thema wurde dir wirklich schon jede denkbar vernünftige Antwort gegeben.

[urkle]

Danke ich bin leider nicht sehr erfahren. Wahrscheinlich wird der Bankschalter die beste Wahl sein.

Würdest du zum reinen Browsen auch eine Debian Installation empfehlen, wahlweise mit einer VM in der dann ebenso gebrowst wird?

[TomL]

Würdest du zum reinen Browsen auch eine Debian Installation empfehlen,

Ich empfehle genau das (und keine Variation davon), was ich im Vorposting beschrieben habe....

... wahlweise mit einer VM in der dann ebenso gebrowst wird?

... und wo ich genau das als grob fahrlässiges User-Verhalten bezeichnet habe, wodurch der User selber faktisch die Sicherheit untergräbt.... eben weil der Scriptblocker dazu deutlich kastriert werden muss.

Ich habe zusätzlich eine VM für "unseriöses" Surfen, eine weitere, speziell (und ausschließlich) um Google-Dienste nutzen zu können. Das normale alltägliche "saubere" Surfen (z.B. dieses Forum) mache ich ausschließlich mit einem quasi rechtelosen User mit eigenem Profil auf meinem Rechner, ohne jeglichen Datenzugriff. Mein echtes eigenes Palemoon-Profil wird fast gar nicht genutzt. Ich habe in allen Instanzen und auf allen Maschinen nur noch Debian Jessie installiert.

[urkle]

Ich habe wohl fälschlicherweise angenommen mit einer Live CD oder DVD wengier Angriffsfläche zu bieten, dass man so jedoch keine Updates hat bis zum nächsten Release war mir nicht gleich bewusst.

Ich werde also von der Idee abrücken eine Live CD zu verwenden und alles einzeln per VM steuern?

[urkle]

Könnt ihr einem Linuxneuling die grundlegenden Unterschiede erklären die eine VM sicherer machen als eine Instanz per Live DVD?

Ich habe den Thread jetzt nochmal durchkämmt, es hat aber leider noch nicht Klick gemacht.

[TomL]

Könnt ihr einem Linuxneuling die grundlegenden Unterschiede erklären die eine VM sicherer machen als eine Instanz per Live DVD?

Ich habe den Thread jetzt nochmal durchkämmt, es hat aber leider noch nicht Klick gemacht.

Eine VM kann aktuell gehalten werden, die Live-CD (praktikabel) eher nicht. Die Sicherheit ansonsten resultiert bei beiden daraus, dass sie isoliert vom normalen Surfen sind und nicht durch leichtsinnigen täglichen Gebrauch kompromittiert werden können.

[urkle]

Danke dir vielmals.
Dass die Live DVD nicht praktikabel aktuell gehalten werde kann sehe ich ein. Ist die Sicherheit in beiden Fällen gleich "hoch" oder "niedrig" oder bietet beides keinen praktikablen Angriffspunkt von außen?

[TomL]

Dass die Live DVD nicht praktikabel aktuell gehalten werde kann sehe ich ein. Ist die Sicherheit in beiden Fällen gleich "hoch" oder "niedrig" oder bietet beides keinen praktikablen Angriffspunkt von außen?

Wenn Du das von zuhause aus hinter einem Router machst, ist es meines Erachtens einigermaßen egal, welches Betriebssystem du verwendest .... wenn in deinem Router keine Ports und Weiterleitungen freigegeben sind, kommt von aussen sowieso keiner mal eben auf die Schnelle rein. Aber auch darauf wurde hier schon hingewiesen. Das Risiko sitzt immer "innen", und zwar an der Tastatur. Und wenn Du die VM isoliert für nichts anderes verwendest, denke ich, dass die Risiken tatsächlich nur noch theoretisch sind. Du als Anwender, Dein Surfverhalten und wie Du mit der VM und dem Onlinebanking umgehst, das ist das größte Risiko und nicht eine VM oder Live-CD.... und um das zu minimieren ist der beste Weg, sich Wissen anzueignen.

Dieses wirklich banale Thema beschäftigt dich nun seit bald 5 Monaten... für mich völlig unbegreiflich, weil Onlinebanking wirklich nur banaler Kram ist.... etwas, was ich seit 25 Jahren als absolut sicher erlebe.... solange man nicht selber vorsätzlich oder aus Dummheit alle Ratschläge missachtet oder grob fahrlässig handelt.