---

Hejsa,

Vi har gentagende gange diskuteret sikkerheden i den
den Digitale Signatur.

Så vidt jeg kan gennemskue består sikkerheden i at man på sin lokale
PC har en privat nøgle og i sit hovede en pin-kode.

Er der noget der forhindrer en vandal i at installere en keylogger
på min PC, score min pin-kode, for så at maile NemKonto, i mit navn,
og få dem til at sende fremtidige betalinger fra det offentlige til
en skummel konto i Palombia?

Jeg fornemmer at man vil stå dårligere når man påstår at en email
signertet med ens digitale signatur er et falsum, end hvis der var
tale om et almindeligt papirbrev.

Kommentarer?


/Morten - Som synes JyskeBanks engangsnøgler på papir er
totalt smarte.

---

Morten Guldager <Morten.Guldager@gmail.com> wrote:

> Hejsa,
>
> Vi har gentagende gange diskuteret sikkerheden i den
> den Digitale Signatur.
>
> Så vidt jeg kan gennemskue består sikkerheden i at man på sin lokale
> PC har en privat nøgle og i sit hovede en pin-kode.
>
> Er der noget der forhindrer en vandal i at installere en keylogger
> på min PC, score min pin-kode, for så at maile NemKonto, i mit navn,
> og få dem til at sende fremtidige betalinger fra det offentlige til
> en skummel konto i Palombia?

Jeg har min på en bæbar

> Jeg fornemmer at man vil stå dårligere når man påstår at en email
> signertet med ens digitale signatur er et falsum, end hvis der var
> tale om et almindeligt papirbrev.
>
> Kommentarer?
>
>
> /Morten - Som synes JyskeBanks engangsnøgler på papir er
> totalt smarte.

Hvor opbevarer du papiret med engangsnøglerne?

---

2005-11-03 Axel Hammerschmidt wrote
> Morten Guldager <Morten.Guldager@gmail.com> wrote:
>
>> Vi har gentagende gange diskuteret sikkerheden i den
>> den Digitale Signatur.
>>
>> Så vidt jeg kan gennemskue består sikkerheden i at man på sin lokale
>> PC har en privat nøgle og i sit hovede en pin-kode.
>>
>> Er der noget der forhindrer en vandal i at installere en keylogger
>> på min PC, score min pin-kode, for så at maile NemKonto, i mit navn,
>> og få dem til at sende fremtidige betalinger fra det offentlige til
>> en skummel konto i Palombia?
>
> Jeg har min på en bæbar

En memorystick? Eller?

Før eller siden har du vel nøglen på en maskine som samtidig er,
eller senere kommer på nettet. Er du ikke sårbar der?

>> /Morten - Som synes JyskeBanks engangsnøgler på papir er
>> totalt smarte.
>
> Hvor opbevarer du papiret med engangsnøglerne?

I min tegnebog. De kan kun bruges sammen med min pin-kode.
Altså skal man både rulle mig på gaden OG score min pin-kode
for at kunne bruge det til noget. Kineseren med keyloggeren
på min maskine har svært ved at få fat i min kodebog.


/Morten

---

Morten Guldager <Morten.Guldager@gmail.com> wrote:

> 2005-11-03 Axel Hammerschmidt wrote
>
> > Morten Guldager <Morten.Guldager@gmail.com> wrote:

<snip>

> >> Er der noget der forhindrer en vandal i at installere en keylogger
> >> på min PC, score min pin-kode, for så at maile NemKonto, i mit navn,
> >> og få dem til at sende fremtidige betalinger fra det offentlige til
> >> en skummel konto i Palombia?
> >
> > Jeg har min på en bæbar
>
> En memorystick? Eller?
>
> Før eller siden har du vel nøglen på en maskine som samtidig er,
> eller senere kommer på nettet. Er du ikke sårbar der?

Jo! På en bærbar computer. Den bærbare computer kommer ofte på nettet.
Og jeg bruger osse mit DS derfra.

> >> /Morten - Som synes JyskeBanks engangsnøgler på papir er
> >> totalt smarte.
> >
> > Hvor opbevarer du papiret med engangsnøglerne?
>
> I min tegnebog. De kan kun bruges sammen med min pin-kode.
> Altså skal man både rulle mig på gaden OG score min pin-kode
> for at kunne bruge det til noget. Kineseren med keyloggeren
> på min maskine har svært ved at få fat i min kodebog.

(Det er ikke så meget kineseren der bekymrer mig, men hvad hvis jeg
glemmer min bærbar i en Taxa? Satte mig engang ind i en Taxa ved
Hovedbanegården hvor der lå en 80286 Compaq bæbar på bagsædet.
Ejermanden var lige stået ud, og chaufføren nåede at præje ham).

Har du ikke skrevet din pin-kode ned et sted? Huskede du at skylle
papiret du modtog ud i toilettet?

Hvor mange pin-koder har du ellers?

---

2005-11-03 Axel Hammerschmidt wrote
>
> Har du ikke skrevet din pin-kode ned et sted?

Jo, men de er krypteret med en algoritme, og nøgle, kun jeg kender.

Eksempel:
Min pinkode er 7341, altså laver jeg en rundstok der er
præcis 734 mm lang og skriver jyskebank-1 på den.
Den lægger jeg så i bunken med andre rundstokke.

Skulle jeg en dag komme til at lave en den om til et økseskaft, og jeg
har glemt min pinkode, så må jeg rekvirere en ny.

En anden kode er måske gemt i et syltetøjsglas med ærter og teksten
statoil*3, hvilket vil betyde tæl og gang med 3.

> Huskede du at skylle papiret du modtog ud i toilettet?

Niks, den blev brændt i et askebære.

> Hvor mange pin-koder har du ellers?

En lille håndfuld.


/Morten

---

Morten Guldager <Morten.Guldager@gmail.com> wrote:

> 2005-11-03 Axel Hammerschmidt wrote
> >
> > Har du ikke skrevet din pin-kode ned et sted?
>
> Jo, men de er krypteret med en algoritme, og nøgle, kun jeg kender.
>
> Eksempel:
> Min pinkode er 7341, altså laver jeg en rundstok der er
> præcis 734 mm lang og skriver jyskebank-1 på den.
> Den lægger jeg så i bunken med andre rundstokke.
>
> Skulle jeg en dag komme til at lave en den om til et økseskaft, og jeg
> har glemt min pinkode, så må jeg rekvirere en ny.
>
> En anden kode er måske gemt i et syltetøjsglas med ærter og teksten
> statoil*3, hvilket vil betyde tæl og gang med 3.

Det er svært, men jeg prøver. Jeg gik forbi Computer City ved Nordhavn
Station i København, tidligere i denne uge. Der lå nogle finger-aftryk
plader der kunne forbindes til usb-porten. De koster i øjebliket ca
400,- kr.

---

Den Thu, 3 Nov 2005 22:31:36 +0100 skrev Axel Hammerschmidt:
> Morten Guldager <Morten.Guldager@gmail.com> wrote:
>
>> 2005-11-03 Axel Hammerschmidt wrote
>> >
>> > Har du ikke skrevet din pin-kode ned et sted?
>>
>> Jo, men de er krypteret med en algoritme, og nøgle, kun jeg kender.
>>
>> Eksempel:
>> Min pinkode er 7341, altså laver jeg en rundstok der er
>> præcis 734 mm lang og skriver jyskebank-1 på den.
>> Den lægger jeg så i bunken med andre rundstokke.
>>
>> Skulle jeg en dag komme til at lave en den om til et økseskaft, og jeg
>> har glemt min pinkode, så må jeg rekvirere en ny.
>>
>> En anden kode er måske gemt i et syltetøjsglas med ærter og teksten
>> statoil*3, hvilket vil betyde tæl og gang med 3.
>
> Det er svært, men jeg prøver. Jeg gik forbi Computer City ved Nordhavn
> Station i København, tidligere i denne uge. Der lå nogle finger-aftryk
> plader der kunne forbindes til usb-porten. De koster i øjebliket ca
> 400,- kr.

En pose råvarer til falske fingeraftryk (aka. vingummibamser) koster
under en tier.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> wrote:

> Den Thu, 3 Nov 2005 22:31:36 +0100 skrev Axel Hammerschmidt:
> > Morten Guldager <Morten.Guldager@gmail.com> wrote:
> >
> >> 2005-11-03 Axel Hammerschmidt wrote
> >> >
> >> > Har du ikke skrevet din pin-kode ned et sted?
> >>
> >> Jo, men de er krypteret med en algoritme, og nøgle, kun jeg kender.
> >>
> >> Eksempel:
> >> Min pinkode er 7341, altså laver jeg en rundstok der er
> >> præcis 734 mm lang og skriver jyskebank-1 på den.
> >> Den lægger jeg så i bunken med andre rundstokke.
> >>
> >> Skulle jeg en dag komme til at lave en den om til et økseskaft, og jeg
> >> har glemt min pinkode, så må jeg rekvirere en ny.
> >>
> >> En anden kode er måske gemt i et syltetøjsglas med ærter og teksten
> >> statoil*3, hvilket vil betyde tæl og gang med 3.
> >
> > Det er svært, men jeg prøver. Jeg gik forbi Computer City ved Nordhavn
> > Station i København, tidligere i denne uge. Der lå nogle finger-aftryk
> > plader der kunne forbindes til usb-porten. De koster i øjebliket ca
> > 400,- kr.
>
> En pose råvarer til falske fingeraftryk (aka. vingummibamser) koster
> under en tier.

Det er et spørgsmål om opløsningen. Men så kunne angriberen nøjes med at
skærer din finger af. Eller bare forfalske din undeskrift.

---

Axel Hammerschmidt wrote:
> Det er et spørgsmål om opløsningen. Men så kunne angriberen nøjes med at

Det argument har jeg ikke hørt før. Kan du uddybe det?

Er det scanneren eller kopien, eller er vi nu "blot" i et opløsnings-kapløb?

---

Christian E. Lysel <sunsite.dk@spindelnet.dk> wrote:

> Axel Hammerschmidt wrote:
>
> > Det er et spørgsmål om opløsningen. Men så kunne angriberen nøjes med at
>
> Det argument har jeg ikke hørt før. Kan du uddybe det?
>
> Er det scanneren eller kopien, eller er vi nu "blot" i et opløsnings-kapløb?

Vingummibamser:

http://www.vitani.dk/dk/support/faq/biometri_faq.htm

---

Den Fri, 4 Nov 2005 22:08:58 +0100 skrev Axel Hammerschmidt:
> Christian E. Lysel <sunsite.dk@spindelnet.dk> wrote:
>
>> Axel Hammerschmidt wrote:
>>
>> > Det er et spørgsmål om opløsningen. Men så kunne angriberen nøjes med at
>>
>> Det argument har jeg ikke hørt før. Kan du uddybe det?
>>
>> Er det scanneren eller kopien, eller er vi nu "blot" i et opløsnings-kapløb?
>
> Vingummibamser:
>
> http://www.vitani.dk/dk/support/faq/biometri_faq.htm

Hvorfor kommer jeg til at tænke på Gigasoft når jeg læser den
faq?

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Axel Hammerschmidt wrote:
> Vingummibamser:
>
> http://www.vitani.dk/dk/support/faq/biometri_faq.htm

Er det ikke useriøst at skrive:

..."Kan man bruge en falsk finger, hugge en finger af, eller bruge et
glasøje?

Nej - man kan IKKE bruge hverken vingummibamser, falske fingre, døde
fingre eller glasøjne til de produkter vi sælger"....

Uden at fortælle hvad de ligger i ordet "falske fingre"?

Deres udsagn passer fx ikke hvis den falske finger er kapacitativ.

Se evt. CT, http://www.heise.de/ct/english/02/11/114/
citat ..."Even simple breathing will do the trick of outwitting a
capacitive fingerprint scanner"... Hvilket sjovt nok er det modsatte
vitani påstår!


Der findes mennesker der lever af at lave "test organer" til diverse
medicinsk udstyr, fx røntgen, MR-, CT-scanner.

---

Christian E. Lysel <sunsite.dk@spindelnet.dk> wrote:

> Axel Hammerschmidt wrote:
>
> > Vingummibamser:
> >
> > http://www.vitani.dk/dk/support/faq/biometri_faq.htm
>
> Er det ikke useriøst at skrive:
>
> ..."Kan man bruge en falsk finger, hugge en finger af, eller bruge et
> glasøje?
>
> Nej - man kan IKKE bruge hverken vingummibamser, falske fingre, døde
> fingre eller glasøjne til de produkter vi sælger"....
>
> Uden at fortælle hvad de ligger i ordet "falske fingre"?

Det er vel ikke useriøst, når produktet bliver kritiseret på samme
facon. Se bare i denne tråd.

> Deres udsagn passer fx ikke hvis den falske finger er kapacitativ.
>
> Se evt. CT, http://www.heise.de/ct/english/02/11/114/
> citat ..."Even simple breathing will do the trick of outwitting a
> capacitive fingerprint scanner"... Hvilket sjovt nok er det modsatte
> vitani påstår!

Uanset hvor påskønnelsesværdie sådanne forbruger kritiske undersøgelser
er (og de fører i de fleste tilfælde til forbedringer) så fremkommer
undersøgelsesresultaterne altid, også her under specielle forhold.

C't skriver et sted, at producenten forsvarede sit produkt med, at det
var et prototype, de havde testet. Det rejser bladet selv tvivl om. Men
som jeg skriver et sted, så er det vel et spørgsmål om at opnå et højre
scanneopløsning.

> Der findes mennesker der lever af at lave "test organer" til diverse
> medicinsk udstyr, fx røntgen, MR-, CT-scanner.

Så er ophavet som regel osse død.

---

Axel Hammerschmidt wrote:
>>Uden at fortælle hvad de ligger i ordet "falske fingre"?
> Det er vel ikke useriøst, når produktet bliver kritiseret på samme
> facon. Se bare i denne tråd.

At påstår det ikke kan lade sig gøre finder jeg meget useriøst.

Det er den forkerte holdning at have til problemstillingen.

Det minder meget om de "sikkerheds" firmaer der mener deres
kildetekst er uden fejl.

Det trigger voldsomt mine snakeoil lamper.

>>Deres udsagn passer fx ikke hvis den falske finger er kapacitativ.
>>
>>Se evt. CT, http://www.heise.de/ct/english/02/11/114/
>>citat ..."Even simple breathing will do the trick of outwitting a
>>capacitive fingerprint scanner"... Hvilket sjovt nok er det modsatte
>>vitani påstår!
>
>
> Uanset hvor påskønnelsesværdie sådanne forbruger kritiske undersøgelser
> er (og de fører i de fleste tilfælde til forbedringer) så fremkommer
> undersøgelsesresultaterne altid, også her under specielle forhold.

Det ændre ikke ved at udsagnet ikke passer fx hvis den falske finger er
kapacitativ.

> C't skriver et sted, at producenten forsvarede sit produkt med, at det
> var et prototype, de havde testet. Det rejser bladet selv tvivl om. Men
> som jeg skriver et sted, så er det vel et spørgsmål om at opnå et højre
> scanneopløsning.

Dit argument holder hvis den falsk finger er af lavere opløsningen end
scanneren, hvilket ikke er tilfælde i C't artikel.


Det lyder for mig som et opløsnings-kapløb.

>>Der findes mennesker der lever af at lave "test organer" til diverse
>>medicinsk udstyr, fx røntgen, MR-, CT-scanner.
> Så er ophavet som regel osse død.

Nej. Han bruger ikke dødt organisk materiale, han bruger matriale der
købes i almindelige forretninger.

---

Christian E. Lysel <sunsite.dk@spindelnet.dk> wrote:

> Axel Hammerschmidt wrote:
> >
> >>Uden at fortælle hvad de ligger i ordet "falske fingre"?
> >
> > Det er vel ikke useriøst, når produktet bliver kritiseret på samme
> > facon. Se bare i denne tråd.
>
> At påstår det ikke kan lade sig gøre finder jeg meget useriøst.
>
> Det er den forkerte holdning at have til problemstillingen.
>
> Det minder meget om de "sikkerheds" firmaer der mener deres
> kildetekst er uden fejl.

De skriver ikke, at det ikke kan lade sig gøre, men at det ikke kan lade
sig gøre med deres produkt. Det er da nok noget de kender til.

Og sikkerhedsfirmaer der påstår deres kildetekst er uden fejl. Dine
erindringer herom forstår jeg ærlig talt ikke. Gør de det? Og hvem tror
dem? Og hvad betyder det i øvrigt i denne sammenhæng?

<snip>

> > Uanset hvor påskønnelsesværdie sådanne forbruger kritiske undersøgelser
> > er (og de fører i de fleste tilfælde til forbedringer) så fremkommer
> > undersøgelsesresultaterne altid, også her under specielle forhold.
>
> Det ændre ikke ved at udsagnet ikke passer fx hvis den falske finger er
> kapacitativ.

Med den nuværende opløsning. Der er også andre ideelle parametre; f. eks
heller ingen udtværing.

> > C't skriver et sted, at producenten forsvarede sit produkt med, at det
> > var et prototype, de havde testet. Det rejser bladet selv tvivl om. Men
> > som jeg skriver et sted, så er det vel et spørgsmål om at opnå et højre
> > scanneopløsning.
>
> Dit argument holder hvis den falsk finger er af lavere opløsningen end
> scanneren, hvilket ikke er tilfælde i C't artikel.
>
> Det lyder for mig som et opløsnings-kapløb.

Og på et tidspunkt stiger prisen på "gummibamserne" derfor så meget, at
det ikke længere kan betale sig. Det bliver billigere at røve en bank.

> >>Der findes mennesker der lever af at lave "test organer" til diverse
> >>medicinsk udstyr, fx røntgen, MR-, CT-scanner.
> >
> > Så er ophavet som regel osse død.
>
> Nej. Han bruger ikke dødt organisk materiale, han bruger matriale der
> købes i almindelige forretninger.

Ok, men disse er som sagt udformet til andre formål. Ellers har
politiets fingeraftryksteknikerer, og anklagemyndigheden et problem.

---

Axel Hammerschmidt wrote:
> De skriver ikke, at det ikke kan lade sig gøre, men at det ikke kan lade
> sig gøre med deres produkt. Det er da nok noget de kender til.

Hvad er forskellen?

> Og sikkerhedsfirmaer der påstår deres kildetekst er uden fejl. Dine
> erindringer herom forstår jeg ærlig talt ikke. Gør de det? Og hvem tror

Jeg har ikke set ét produkt uden fejl. Alligevel findes der masser
af firmaet der påstår det modsatte. I daglig tale i denne gruppe
går disse produkter under betegnelsen snakeoil.

Generelt kan jeg anbefalde:

http://www.interhack.net/people/cmcurtin/snake-oil-faq.html

http://www.schneier.com/crypto-gram-9902.html#snakeoil

http://www.snakeoil.dk/

> dem? Og hvad betyder det i øvrigt i denne sammenhæng?

Sammenhængen er at argumentationens formen imellem de firmaer er
den samme. Eller sagt på en anden måde, der er ingen argumentation,
udover "sådan er det bare, stol på os".

>>Det ændre ikke ved at udsagnet ikke passer fx hvis den falske finger er
>>kapacitativ.

> Med den nuværende opløsning. Der er også andre ideelle parametre; f. eks

Hvad er den nuværende opløsning på en falsk finger og på en scanner?

Er skidt der ødeligger fingerens kapacitative egenskab "tilladt"? Der
påstårs at beskidte finger godt kan anvendes.

> heller ingen udtværing.

Den må du gerne uddybe, er udtværingen ikke identisk...jeg tænker nok på
"udfladningen" af finger overfladen.

>>Det lyder for mig som et opløsnings-kapløb.
> Og på et tidspunkt stiger prisen på "gummibamserne" derfor så meget, at
> det ikke længere kan betale sig. Det bliver billigere at røve en bank.

Eller også stiger prisen på en scanner så meget at ingen gider
producere/købe den!

Er sikkerheden i teknologien så afhængig af hvilken pris der stiger
først til et niveau hvor ingen vil bruge penge på et forsvar eller angreb?

Eller kan man lave en kapacitativ finger, der skifter mønster, så den
kan genbruges?

>>Nej. Han bruger ikke dødt organisk materiale, han bruger matriale der
>>købes i almindelige forretninger.

> Ok, men disse er som sagt udformet til andre formål. Ellers har

Er det ikke blot et spørgelsmål om at tage fat i personen og betale
ham for opgaven?

> politiets fingeraftryksteknikerer, og anklagemyndigheden et problem.

Ja, de har et problem...her er det blot mere simpelt at placere et
bevis. Fx ham du vil anklage giver du et glas, derefter placeres glas'et
på gerningsstedet. Find selv på flere idéer.

---

Christian E. Lysel <sunsite.dk@spindelnet.dk> wrote:

> Axel Hammerschmidt wrote:
>
> > De skriver ikke, at det ikke kan lade sig gøre, men at det ikke kan lade
> > sig gøre med deres produkt. Det er da nok noget de kender til.
>
> Hvad er forskellen?
>
> > Og sikkerhedsfirmaer der påstår deres kildetekst er uden fejl. Dine
> > erindringer herom forstår jeg ærlig talt ikke. Gør de det? Og hvem tror
>
> Jeg har ikke set ét produkt uden fejl. Alligevel findes der masser
> af firmaet der påstår det modsatte. I daglig tale i denne gruppe
> går disse produkter under betegnelsen snakeoil.

<snip>

> > dem? Og hvad betyder det i øvrigt i denne sammenhæng?
>
> Sammenhængen er at argumentationens formen imellem de firmaer er
> den samme. Eller sagt på en anden måde, der er ingen argumentation,
> udover "sådan er det bare, stol på os".
>
> >>Det ændre ikke ved at udsagnet ikke passer fx hvis den falske finger er
> >>kapacitativ.
>
> > Med den nuværende opløsning. Der er også andre ideelle parametre; f. eks
>
> Hvad er den nuværende opløsning på en falsk finger og på en scanner?
>
> Er skidt der ødeligger fingerens kapacitative egenskab "tilladt"? Der
> påstårs at beskidte finger godt kan anvendes.
>
> > heller ingen udtværing.
>
> Den må du gerne uddybe, er udtværingen ikke identisk...jeg tænker nok på
> "udfladningen" af finger overfladen.

Er ja. Men hvad mener du, når du skriver ovenfor: hvis den falske finger
er kapacitativ? Det er denne type scanner, der er kapacitativ. Eller er
der noget her jeg ikke har forstået?

---

Axel Hammerschmidt wrote:
> Er ja. Men hvad mener du, når du skriver ovenfor: hvis den falske finger
> er kapacitativ? Det er denne type scanner, der er kapacitativ. Eller er
> der noget her jeg ikke har forstået?

En falsk finger med en kapacitativ egenskab vil kunne efterligne de
egenskaber en kapacitativ scanner ser ved den originale finger.

Det ser jeg ikke som andet end et opløsningskapløb.


At man bagefter stiller en række eksempler der blot giver flere
angrebsvinkler, gør det ikke bedre:

1) Udtværing

2) "skidt", da det ingen betydning har for den kapacitative scanner.
Er det ikke meget afhængigt af skidtet?


Endvidere er jeg interesseret i at vide noget om opløsningen, da jeg kan
forstå det er et meget centralt element i sikkerheden.

Hvad er den nuværende opløsning på en scanner?

Hvad er den nuværende opløsning på en falsk finger?

Hvad er produktions omkostningerne, er det fx nok at beklæde en
vingummi bamse med et materiale der giver den kapacitative egenskab
man den manger, eller er problemstillingen mere kompleks?

---

In article <436c9598$0$1821$edfadb0f@dread11.news.tele.dk>, Christian E. Lysel wrote:
> Axel Hammerschmidt wrote:
>> Vingummibamser:
>>
>> http://www.vitani.dk/dk/support/faq/biometri_faq.htm
>
> Er det ikke useriøst at skrive:
>
> ..."Kan man bruge en falsk finger, hugge en finger af, eller bruge et
> glasøje?
>
> Nej - man kan IKKE bruge hverken vingummibamser, falske fingre, døde
> fingre eller glasøjne til de produkter vi sælger"....
>
> Uden at fortælle hvad de ligger i ordet "falske fingre"?
>
> Deres udsagn passer fx ikke hvis den falske finger er kapacitativ.
>
> Se evt. CT, http://www.heise.de/ct/english/02/11/114/
> citat ..."Even simple breathing will do the trick of outwitting a
> capacitive fingerprint scanner"... Hvilket sjovt nok er det modsatte
> vitani påstår!

Ja, det eneste rigtige er at bruge øjet, kombineret med en varmeprofil,
og eventuelt en 3. faktor. Der er ingen biometriske kendetegn der
kan stå alene, ikke engang DNA analyse, da man skal være sikker på
det kommer fra personen, og ikke en gummemembran ovenpå. Et fuld elektro-
magnetisk body scan vil muligvis være tilstrækkeligt.

---

Jeg finder diskutionen fuldstændig overflødig - INTET software produkt
med et user/pass uden en supplerende "fysisk godkendelse" - det være sig
alt fra en lap papir med koder til en SMS på mobil'en - Er sikker når
det kommer til keyloggere og deslige.

Den Digitale Signatur (tm) er efter min mening 'sikker nok' - Og ja der
vil komme nogle dumme sager med folk der ikke fatter at beskytte deres
PC/MAC og der igennem ufriviligt kommer til at dele deres digitale
signatur med andre... Men folk skal nok lære det.. Og nu fanger de
fleste AV programmer også en lang række keyloggere - og den med virus'en
er folk ved at have fattet.

Næste problem er phishing...

Men igen det hele handler i mine øjne om bruger (borger) opdragelse :)

--
Mail mig på uffe <elefantnæseA> skelmose <prik> dk

---

Morten Guldager wrote:
> Er der noget der forhindrer en vandal i at installere en keylogger
> på min PC, score min pin-kode, for så at maile NemKonto, i mit navn,
> og få dem til at sende fremtidige betalinger fra det offentlige til
> en skummel konto i Palombia?

Jeg kender intet system der beskytter imod at det bliver brugt forkert.
Hvis brugeren ikke forstår vigtigheden af korrekt brug, eller hvis
vedkommende bliver tvunget til at gøre dumme ting, har du sådan circa
tabt helt fra starten af.

> Jeg fornemmer at man vil stå dårligere når man påstår at en email
> signertet med ens digitale signatur er et falsum, end hvis der var
> tale om et almindeligt papirbrev.

I hvilken situation? Jeg vil tro at politiet kan fremtrylle resourcerne
til at efterforske sådan en sag.

> /Morten - Som synes JyskeBanks engangsnøgler på papir er
> totalt smarte.

Engangsnøgler kan også misbruges på utallige måder hvis brugeren ikke
tænker sig om. Se også:

   http://snakeoil.dk/kommentarer/0402

--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.mongers.org

OSS/FAQ for dk.edb.sikkerhed: http://sikkerhed-faq.dk

---

In article <slrndmkkis.aru.Morten.Guldager@linuxine.mogul.dk>, Morten Guldager wrote:
> Hejsa,
>
> Vi har gentagende gange diskuteret sikkerheden i den
> den Digitale Signatur.
>
> Så vidt jeg kan gennemskue består sikkerheden i at man på sin lokale
> PC har en privat nøgle og i sit hovede en pin-kode.
>
> Er der noget der forhindrer en vandal i at installere en keylogger
> på min PC, score min pin-kode, for så at maile NemKonto, i mit navn,
> og få dem til at sende fremtidige betalinger fra det offentlige til
> en skummel konto i Palombia?

Nej. Jeg mener ikke den er sikker nok som den normalt bruges.
Enhver der har adgang til maskinen kan lave sin egen kopi.

Når vi anvender den på arbejde, så sker det via en Aladdin eToken.
Når vi får certifikatet fra TDC, så installerer vi den direkte på eToken
hvorfra den ikke kan hentes ud igen. Der er så en plug-in til IE som
ved brug af signaturen laver kald til eToken som signerer og returnerer
signaturen. Så signaturen kommer aldrig ind på PC'en.

Andre løsninger er skrabekort (Nordea Sverige) med enganskodeord.
Det var dog også udsat for fishing angreb, da koderne skal buges i række-
følge.

Jyske banks er let at kopiere, men er bedre mod fishing da de bruges i
ivlkårlig rækkefølge. Så selvom du opgiver to kodeord til en 3die part,
så kan han ikke bruge dem.

Danske Bank har den bedste løsning af bankerne, hvis man ønsker bedre
sikkerhed en en signaturfil. Man kan nemlig få et tokencard. Når man
logger på indtastes 8 cifret kode der er genereret til lejligheden.
Hver transaktion giver en 6 cifret challenge der indtastes på
tokenkortet, og man får et 6-cifret respons der indtastes som svar.
Dette er deres "Macintosh" løsning som også kører under Windows og
de fleste unix varianter.

> Jeg fornemmer at man vil stå dårligere når man påstår at en email
> signertet med ens digitale signatur er et falsum, end hvis der var
> tale om et almindeligt papirbrev.
>
> Kommentarer?

Korrekt. Sikkerheden omkring digital signatur er ikke acceptabel.
Der har lige været noget skriveri de sidste 14 dage i medierne efter
Kruse security skrev om hvordan han fik adgang til alle danske patient-
data ved at "hacke" en lægePC.

Helge Sander siger at signaturen er sikker nok når man holder sin maskine
sikker nok. Desværre betyder det for 98% af befolkningen, at de ikke må
sætte den på Internet.

> /Morten - Som synes JyskeBanks engangsnøgler på papir er
> totalt smarte.

OK, men ikke perfekt. Postbudet kan kopiere den.

---

2005-11-03 Povl H. Pedersen wrote
> In article <slrndmkkis.aru.Morten.Guldager@linuxine.mogul.dk>, Morten Guldager wrote:
>
>> /Morten - Som synes JyskeBanks engangsnøgler på papir er
>> totalt smarte.
>
> OK, men ikke perfekt. Postbudet kan kopiere den.

Jo, men det er ikke nok, han skal også bruge min pin-kode.

Det vil kræve en del at få koordineret at fiske både min
pin-kode og et gyldigt nøglekort.


/Morten

---

Morten Guldager wrote:
> Det vil kræve en del at få koordineret at fiske både min
> pin-kode og et gyldigt nøglekort.

Det behøves ikke. Man installerer blot en trojan horse (skrevet til
formålet) på din PC så næste gang du forsøger at lave en bank
transaktion, er det i virkeligheden den kriminelle der kontrollerer
hvilken transaktion der bliver gennemført med din signatur.

Hvis man ikke kan stole på den PC brugeren benytter *har* man tabt. Det
bekymrer mig dybt, at man tror diverse teknologier kan kompensere for
brugerens uvidenhed.

--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.mongers.org

OSS/FAQ for dk.edb.sikkerhed: http://sikkerhed-faq.dk

---

2005-11-03 Alex Holst wrote
> Morten Guldager wrote:
>> Det vil kræve en del at få koordineret at fiske både min
>> pin-kode og et gyldigt nøglekort.
>
> Det behøves ikke. Man installerer blot en trojan horse (skrevet til
> formålet) på din PC så næste gang du forsøger at lave en bank
> transaktion, er det i virkeligheden den kriminelle der kontrollerer
> hvilken transaktion der bliver gennemført med din signatur.

Enig, men man kan ikke lave _flere_ transaktioner end jeg fodrer
programmet med nøgler.

Med systemer hvor brugeren kun skal huske en enkelt pin-kode
og nøglen ligger i PC'en, man en overtaget PC jo udføre lige så
mange transaktioner som vandalen ønsker.

Derfor påstår jeg at Jyskebanks system er _mere_ sikkert end
de systemer der baserer sig på en nøgle der ligger på harddisken.

Jeg tror heller ikke at systemet er 100% sikkert.

> Hvis man ikke kan stole på den PC brugeren benytter *har* man tabt. Det
> bekymrer mig dybt, at man tror diverse teknologier kan kompensere for
> brugerens uvidenhed.

Men med moderne softwares kompleksitet er det altså svært,
selv for erfarne PC-brugere, at sikre sig 100% imod vandalisme
på deres egen PC.



/Morten

---

In article <436a7e38$0$2107$edfadb0f@dtext02.news.tele.dk>, Alex Holst wrote:
> Morten Guldager wrote:
>> Det vil kræve en del at få koordineret at fiske både min
>> pin-kode og et gyldigt nøglekort.
>
> Det behøves ikke. Man installerer blot en trojan horse (skrevet til
> formålet) på din PC så næste gang du forsøger at lave en bank
> transaktion, er det i virkeligheden den kriminelle der kontrollerer
> hvilken transaktion der bliver gennemført med din signatur.
>
> Hvis man ikke kan stole på den PC brugeren benytter *har* man tabt. Det
> bekymrer mig dybt, at man tror diverse teknologier kan kompensere for
> brugerens uvidenhed.

Hvis man som Danske Bank bruger challenge/respons, så er det rimeligt
sikkert, men som du selv siger, en man-in-the-middle evt på PC'en kan
jo rette i udgående requests + det der vises til dig. Og erstatte
kontonummeret. Der vil sandsynligvis kunne laves 1-2 transaktioner inden
jeg opdagede det.

Jeg mener dog, at dette er langt bedre sikkerhed end en løs fil der kan
kopieres, og et simpelt password.

---

"Povl H. Pedersen" <povlhp@acomputer.home.terminal.dk> writes:

>Jeg mener dog, at dette er langt bedre sikkerhed end en løs fil der kan
>kopieres, og et simpelt password.

Det er stadig ren symptombehandling.

"Root cause" er stadig, at brugeren ikke aner, hvad der foregår
på hans egen pc. At han taber penge, kan meget vel være meget
ligegyldigt i forhold til, at han bliver anholdt og sigtet for
terrorvirksomhed eller lignende.

Uanset hvordan man fikser brugerens bankkommunikation, har han
stadig tabt.

Mvh.
   Klaus.

---

Povl H. Pedersen wrote:
> Korrekt. Sikkerheden omkring digital signatur er ikke acceptabel.
> Der har lige været noget skriveri de sidste 14 dage i medierne efter
> Kruse security skrev om hvordan han fik adgang til alle danske patient-
> data ved at "hacke" en lægePC.

Ja, det var da en fantastisk afsløring. Det var der aldrig nogen der
havde tænkt på før. Kan du komme i tanke om et valideringssystem der
ikke taber totalt når brugerens PC er under en angribers kontrol?

--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.mongers.org

OSS/FAQ for dk.edb.sikkerhed: http://sikkerhed-faq.dk

---

On Thu, 03 Nov 2005 22:19:28 +0100, Alex Holst <a@mongers.org> wrote:

>Ja, det var da en fantastisk afsløring. Det var der aldrig nogen der
>havde tænkt på før. Kan du komme i tanke om et valideringssystem der
>ikke taber totalt når brugerens PC er under en angribers kontrol?

Det kunne være praktisk, hvis den challenge, man skulle godkende med
sit token card, i et eller andet omfang var signeret af banken,
staten, etc. og inkluderede en del af den omfattede handling (fx
beløb, modtagerkonto, m.m. som salt), så man ikke risikerede at
godkende noget andet end hvad man umiddelbart troede - hvilket kan
være en risiko ved engangskodeord.

--
- Peter Brodersen

---

Peter Brodersen wrote:
>
> On Thu, 03 Nov 2005 22:19:28 +0100, Alex Holst <a@mongers.org> wrote:
>
> >Ja, det var da en fantastisk afsløring. Det var der aldrig nogen der
> >havde tænkt på før. Kan du komme i tanke om et valideringssystem der
> >ikke taber totalt når brugerens PC er under en angribers kontrol?
>
> Det kunne være praktisk, hvis den challenge, man skulle godkende med
> sit token card, i et eller andet omfang var signeret af banken,
> staten, etc.

Jeg kan ikke se hvad det skulle hjælpe. Angriberen sender jo
en modificeret transaktion til banken, som banken så sender
en challenge tilbage på. Den eneste måde det kunne hjælpe var,
hvis challengen på en eller anden måde gav mening for
brugeren, så brugeren kunne se på challengen alene, at der var
noget galt. Altså hvis f.eks. challengen indeholdt oplysninger
om beløb, modtager mm.

--
Kasper Dupont
Note to self: Don't try to allocate
256000 pages with GFP_KERNEL on x86.

---

On Fri, 04 Nov 2005 15:24:44 +0100, Kasper Dupont
<kasperd@daimi.au.dk> wrote:

>Jeg kan ikke se hvad det skulle hjælpe. Angriberen sender jo
>en modificeret transaktion til banken, som banken så sender
>en challenge tilbage på. Den eneste måde det kunne hjælpe var,
>hvis challengen på en eller anden måde gav mening for
>brugeren, så brugeren kunne se på challengen alene, at der var
>noget galt. Altså hvis f.eks. challengen indeholdt oplysninger
>om beløb, modtager mm.

Det var lidt sidstnævnte, der var tanken. Omvendt set gider man måske
ikke at taste en ++mange-cifret kode ind i sit card for hver enkelt
transaktion.

Det er så måske bare et spørgsmål om at lette overførsel afp
informationer fra computeren til sit card. Om man selv taster den
måske falske challenge ind eller om den på anden måde kan overføres er
næppe det vigtige her. Forudsat at kortet ikke kan modtage mere eller
andet input end hvad man selv kan taste på kortet.

--
- Peter Brodersen

---

Peter Brodersen wrote:
>
> Om man selv taster den
> måske falske challenge ind eller om den på anden måde kan overføres er
> næppe det vigtige her. Forudsat at kortet ikke kan modtage mere eller
> andet input end hvad man selv kan taste på kortet.

Du har ret, det er ikke vigitgt, hvordan den overføres.
Det vigtige er, at brugeren verficerer korrektheden af
oplysningerne før kortet besvarer challengen. Det kunne
f.eks. ske ved at udstyre kortet med et display.

--
Kasper Dupont
Note to self: Don't try to allocate
256000 pages with GFP_KERNEL on x86.

---

Povl H. Pedersen wrote:
[cut - en gennemgang af forskellige bank løsninger]
> Danske Bank har den bedste løsning af bankerne, hvis man ønsker bedre
> sikkerhed en en signaturfil. Man kan nemlig få et tokencard. Når man
> logger på indtastes 8 cifret kode der er genereret til lejligheden.
> Hver transaktion giver en 6 cifret challenge der indtastes på
> tokenkortet, og man får et 6-cifret respons der indtastes som svar.
> Dette er deres "Macintosh" løsning som også kører under Windows og
> de fleste unix varianter.

Det vil stadigvæk være muligt at fremstille et angreb banken ikke kan
stille noget op imod.

Prøv at studere de mulige angrebsvinkler på presentationslaget i en bank
applikation. Hvor svært er det at ligne en bank applikation, der udfører
de opgaver du beskriver?

Det gør ikke et komprimiteret system mere sikkert!

Problemmet med angrebet på presentationslaget er den ikke kræver
administrator rettigheder eller software fejl....det gør derimod trådens
oprindelig angrebsvinkel (en keyboard sniffer).

I den oprindelig angrebsvinkel vil der ikke eksistere noget problem,
hvis brugeren ikke kørte som administrator. (Men det er nok ikke
interessant at fortælle befolkningen).

> Helge Sander siger at signaturen er sikker nok når man holder sin maskine
> sikker nok. Desværre betyder det for 98% af befolkningen, at de ikke må
> sætte den på Internet.

Sådan forholder det sig jo.

Men hvad i sikker-nu kampanen ville forhindre folk i at blive udnyttet
af disse angreb? Jeg forstår ikke hvorfor medierne ikke finder den
historie mere interessant!

Tag for eksempel:
http://it-borgerportalen.dk/portal/page?_pageid=34,941573&_dad=portal&_schema=PORTAL

...at sikre dig, at forbindelen til webstedet er krypteret. Seriøse
websteder, der indeholder fortrolige oplysninger, har en lukket hængelås
nederst i browseren. Dobbeltklik på denne og se, hvem der ejer websiden...

Et angreb på presentationslaget vil selv tegne hængelåsen, som man
derefter kan dobbeltklikke på.

---

On 03 Nov 2005 20:41:51 GMT, "Povl H. Pedersen"
<povlhp@acomputer.home.terminal.dk> wrote:

>Dette er deres "Macintosh" løsning som også kører under Windows og
>de fleste unix varianter.

... og hvad der ellers kører java.
--
- Peter Brodersen

---

Morten Guldager wrote:
> Vi har gentagende gange diskuteret sikkerheden i den
> den Digitale Signatur.
>
> Så vidt jeg kan gennemskue består sikkerheden i at man på sin lokale
> PC har en privat nøgle og i sit hovede en pin-kode.

Hvilken sikkerhed? Imod hvilken trussel?

Den digitale signatur bygger jo på generelle standarder... RSA, x509 o.s.v.
Sikkerheden i dem bygger på alm. cryptologi.

Men der er jo talrige andre måder en borger kan få sin digitale signatur
misbrugt. Specielt hvis vedkommende bruger den forkert.

> Er der noget der forhindrer en vandal i at installere en keylogger
> på min PC, score min pin-kode, for så at maile NemKonto, i mit navn,
> og få dem til at sende fremtidige betalinger fra det offentlige til
> en skummel konto i Palombia?

nej - kun din (og din software-leverandørs) evne til at holde vandaler
fra din PC.

> Jeg fornemmer at man vil stå dårligere når man påstår at en email
> signertet med ens digitale signatur er et falsum, end hvis der var
> tale om et almindeligt papirbrev.
>
> Kommentarer?

Selvom pressen nok ville elske at svælge i misbrugs-scenarier under
overskrifter om at den "digitale signatur er usikker", så var de
problemer jo udemærket kendt da signaturen blev vedtaget. Man har jo
eksplicit valgt at basere systemet på at folk selv havde ansvaret for
deres private nøgle på deres PC, så man ikke skulle opbygge en hel
infrastruktur med f.eks. smartcards først.

Men iøvrigt, så kan der vel ikke være noget ivejen for at du selv
genererer din nøgler på et smartcard og får den offentlige nøgle
certificeret hos TDC, hvis du ønsker det.

Peter