Bank laat klanten via USB-stick internetbankieren
Een Amerikaanse bank wil klanten tegen fraude beschermen door ze via een USB-stick te laten internetbankieren. De East Carolina Bank biedt zakelijke klanten een oplossing van IronKey. Die draait vanaf een USB-stick, maar kan gewoon vanuit Windows worden gestart. Trusted Access moet bescherming tegen malware zoals ZeuS en SpyEye bieden door de input van de Windows keyboard driver via een virtueel besturingssysteem te beveiligen. Window's API's, applicaties of malware die de invoer proberen te onderscheppen, krijgen daardoor alleen versleutelde ciphertext te zien.
Voor consumenten zal het programma binnenkort als download worden aangeboden. Volgens de bank kan de software als een concurrentievoordeel worden gezien, waarbij het een betere bescherming biedt dan andere banken.
Trusted Access secures keyboard input from the Windows keyboard driver through to the virtual operating environment. Windows APIs, applications, or malware attempting intercept keyboard input will receive encrypted ciphertext.
Wat als de keyboard driver hacked is?
Helpdesk heeft u autorun aanstaan?
Trusted Access secures keyboard input from the Windows keyboard driver through to the virtual operating environment. Windows APIs, applications, or malware attempting intercept keyboard input will receive encrypted ciphertext.
Wat als de keyboard driver hacked is?
Inderdaad, ook oplossingen als deze houden ergens op. Als de gebruikte VM een schilletje rond de keyboard driver kan vormen, kennelijk zelfs zonder daar administrator-rechten voor nodig te hebben, dan kan een ander dat vermoedelijk ook. Het is meer een stap in een wapenwedloop dan een definitieve oplossing, lijkt me.
Ik geloof dat ik het idee van een random reader of digipass of hoe je ze noemen wilt, dat in het geheel niet verbonden is met de computer of een netwerk, eigenlijk nog het beste vind werken. Daarmee onderteken je weliswaar niet de volledige transactiedata, maar die dingen worden in ieder geval nergens mee besmet en ze zijn niet afhankelijk van het toetsenbord van een mogelijk besmette machine.
Alleen is het veel moeilijker te herleiden bij welk account/webside the onderschepte data behoord
Hmm, drivers zijn volgens mij sowieso een bij elkaar gehackt zooitje ;-)
Serieus, het punt daarbij is dat dit alleen interessant is als het een gerichte aanval betreft; er zijn ladingen drivers die je niet allemaal (kosteneffectief) kunt vervangen. Drivers moeten ook gesigned zijn trouwens, dus dat beperkt de aanvalskansen nog verder (hoewel dat omzeild kan worden; https://secure.security.nl/artikel/36976/Windows_7_rootkit_omzeilt_Microsoft_patch.html).
In theorie zou het inderdaad mogelijk moeten zijn om een driver te reverse-engeneeren, keylogger toe te voegen, te signen en dan op een slachtoffers computer te zetten... Maar dit zijn "gewone" bankklanten en daarvoor zie ik dit niet zo snel gebeuren.
Surfen doe je op een sandbox portable firefox
Nadeel is wel dat je voor de keyboard nog steeds afhankelijk bent en dus ook voor exploits die hier gebruik van maken.
Grootste nadeel is dat je dus niet any-time-any-where kan werken.
Er moet een programma gestart worden vanaf de Ironkey om hem te unlocken. Dus als guest user op een machine, zoals in een hotel op een hotelcomputer, of cybercafe gaat niet werken.
Daarbij zijn Ironkeys relatief duur. Duurder dan een token over een periode van zeg 3-5 jaar.
Daar zit ik op te wachten....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.