Viren bei Online-Banking!

Message

hansen · #1 Post by **hansen** » 09. Feb 2006 14:28

hallo,
ich habe einen normalen rechner mit windows xp den ich für alles benutze was so im internet anfällt, darunter fällt auch mal auf warez, emule... seiten zu stöbern.
habe aber nur die standard firewall die mit windows ausgeliefert wird aktiviert. einen virenscanner habe ich nicht installiert!

nun sagt mein vater er möcht online-banking machen und der pc soll frei von viren, trojaner und was es noch so giebt sein!!!

ok erste einfall einfach einen virenscanner über die festplatte jagen und vorher natürlich noch die neusten viren-signaturen downloaden.

oder

ich starte ubuntu als live cd, binde die festplatte garnicht erst ein.
dann richte ich schnell eine dsl-verbindung ein und kann mit firefox das online-banking sicher erledigen.

frage:
1.
wenn auf meine festplatte windows-viren oder auch trojaner sind, dann habe sie jetzt doch keinen wirkung mehr?

2.
muß ich die 20-30Mb ubuntu system-updates (die neben der uhr) auch downloaden befohr ich so was heikles wie online-banking mache?

besten dank
flo

#2 Post by **hjb** » 10. Feb 2006 13:13

Hi!

Online-Banking ist nicht mal die Spur von heikel - unter Linux jedenfalls. Du verbindest dich ja nur mit dem Server der Bank, bei dem du davon ausgehen kannst, daß er nichts Schlechtes tut.

Das Herunterladen von Updates ist natürlich problematisch, wenn man eine Live-CD hat, man kann sie ja nicht speichern. Besser wäre es, eine aktualisierte Live-CD zu besorgen, falls es eine gibt.

Ubuntu ist außerdem von Haus aus sicher, d.h. es sind keine Ports offen und ein Angreifer aus dem Internet hat prinzipiell keine Chance. Wenn man sich auf die Bank-Webseite beschränkt, sind Sicherheitsupdates eigentlich unnötig.

Gruß,
hjb

Marco Gerber · #3 Post by **Marco Gerber** » 15. Feb 2006 20:46

hjb wrote:Hi!

Online-Banking ist nicht mal die Spur von heikel - unter Linux jedenfalls. Du verbindest dich ja nur mit dem Server der Bank, bei dem du davon ausgehen kannst, daß er nichts Schlechtes tut.

Und dazwischen gibt es nichts? Rechner - Bank ?
So einfach ist das nicht. Gefaelschte Zertifikate sind nachwievor eine Moeglichkeit neben dem pharming, welches externe Moeglichkeiten (DNS) nutzt, um einen Angriff zu starten.

hjb wrote: Ubuntu ist außerdem von Haus aus sicher, d.h. es sind keine Ports offen und ein Angreifer aus dem Internet hat prinzipiell keine Chance.

Geht ins gleiche wie oben.

hjb wrote: Wenn man sich auf die Bank-Webseite beschränkt, sind Sicherheitsupdates eigentlich unnötig.

Ein Trugschluss. Ebenfalls wie oben, mit dem Nebeneffekt des Code injection in noch nicht komplett aufgebaute Verbindungen zwischen User und Bank.

Ein System ist immer nur so sicher, wie ein Angreifer dumm.
Deshalb solltest du deinen Vater so gut wie moeglich auf die Schwachstellen solcher Systeme (wie aufgezeigt) aufmerksam machen. Besonders was Unregelmaessigkeiten angeht, denn dadurch machen sich diese Angriffe bemerkbar.

greetz by
Marco Gerber

#4 Post by **klopskuchen** » 15. Feb 2006 22:02

Hallo Marco,

DNS-cache-poisoning, man-in-the-middle und gebrochene Kryptographie sind bei "mein warez-XP oder Live-Ubuntu" wohl zu viel des Guten.
Was nicht heißen soll deine Hinweise wären unnötig.

Schließlich werden Banken nicht müde die Sicherheit ihrer Services zu betonen.

Gruß, Klopskuchen

Marco Gerber · #5 Post by **Marco Gerber** » 15. Feb 2006 22:12

klopskuchen wrote:Hallo Marco,

DNS-cache-poisoning, man-in-the-middle und gebrochene Kryptographie sind bei "mein warez-XP oder Live-Ubuntu" wohl zu viel des Guten.

DNS-cache-poisoning und man-in-the-middle haben nichts mit dem eingesetzten Betriebssystem zu tun, als viel mehr mit der Umgebung selbst. Sowie bei man in the middle Angriffen auch etwas mit den Einstellungen des lokalen ARP Cache.
Es handelt sich dabei um protokollspezifische Moeglichkeiten, weshalb das eingesetzte Betriebssystem nur zweitrangig ist.

klopfskuchen wrote: Schließlich werden Banken nicht müde die Sicherheit ihrer Services zu betonen.

Das ist so. Aber auch Banken koennen wenig gegen Angriffe dieser Art tun.
Es ist erfreulich zu sehen wie sich die Sache entwickelt hat, aber dennoch darf man die existierenden Probleme nicht vernachlaessigen.

Nebenbei sind die meisten Banken auch sehr grosszuegig was Fehler durch Probleme der Sicherheit angeht. (muessen sie auch, denn es liegt einzig und alleine ja in ihrem Interesse ;})

greetz by
Marco

Marco Gerber · #6 Post by **Marco Gerber** » 15. Feb 2006 22:19

Da habe ich noch was. (schade kann ich nicht editieren -> ich sollte mich ordentlich anmelden hier ;})

klopskuchen wrote: Live-Ubuntu

Wenn man das Beispiel man in the middle durch ARP-Poisoning betrachetet, muss man sagen, dass Live Systeme die denkbar schlechtesten Voraussetzungen zum Schutz gegen solche Angriffe haben. Denn ihr ARP Cache ist dynamisch, und arbeiten mit DHCP und haben keine klaren Regeln auf dem System definiert (ACLs zum Beispiel).

Wie bereits gesagt, man muss einfach wachsam sein und die Umgebung nicht vernachlaessigen.

greetz by
Marco

#7 Post by **klopskuchen** » 15. Feb 2006 22:23

DNS-cache-poisoning und man-in-the-middle haben nichts mit dem eingesetzten Betriebssystem zu tun, als viel mehr mit der Umgebung selbst.

Nichts gegenteiliges behauptet. Das Nahebringen des Verständnisses dafür scheint mir auf Grund der Artikulation des OP schwierig.

Aber auch Banken koennen wenig gegen Angriffe dieser Art tun.

Das sehe ich anders. Viele Ansprechpartner für Online-Banking diverser Geldinstitute beraten dermaßen überheblich selbstverliebt, daß scharfe Kritiker durchaus mangelhafte bis fahrlässige Risikoaufklärung vorwerfen. (Ich habe Gespräche mit drei Ansprechpartnern drei verschiedener Institute geführt, ich bevorzuge noch immer Papier).

Nebenbei sind die meisten Banken auch sehr grosszuegig was Fehler durch Probleme der Sicherheit angeht.

Du meinst sicher nicht die beim Kunden liegende Beweislast bei Online-Transaktionen?

MfG, Klopskuchen

Marco Gerber · #8 Post by **Marco Gerber** » 15. Feb 2006 22:39

klopfskuchen wrote: Das sehe ich anders.

Ich sehe _das_ anders, denn wir sprechen hier beide vom gleichen ;}

klopfskuchen wrote: ich bevorzuge noch immer Papier).

Gesunde Paranoia ;} (ist auch meine Taktik)

klopfskuchen wrote: Du meinst sicher nicht die beim Kunden liegende Beweislast bei Online-Transaktionen?

Begriff "Beweislastumkehr beim Online Banking"

Aber dazu gibt es wohl noch zu wenig Faelle, als dass man die Versprechungen objektiv beurteilen kann.

greetz by
Marco Gerber

#9 Post by **klopskuchen** » 15. Feb 2006 23:24

Gesunde Paranoia ;}

Nö, nicht weil ich paranoid wäre. In erster Linie stört es mich, daß ich anstatt detaillierte Antworten auf präzise Fragen über Funktionen und Konzepte Marketinggequakke über mich ergehen lassen muß. Subjektiv beurteile ich das als nicht aufrichtig mir gegenüber. Ergo, "dann bleibt es eben". Oder wozu soll ich Mehrkosten in Kauf nehmen?
Und kein technisches Konzept konnte bisher die Unterschriftenprüfung im Zweifelsfall bei schriftlicher Transaktion ersetzen. Sicher ist nicht immer bequem aber bei weitem nicht so unbequem wie nach dem worst case.

MfG, Klopskuchen

Marco Gerber · #10 Post by **Marco Gerber** » 16. Feb 2006 0:18

full ack

[offtopic]
Ich denke da immer an meine Grossmutter, die ist in dieser Hinsicht vielen voraus

[/offtopic]

Ich glaube man kann hier ein kurzes Fazit aus unserer Diskussion ziehen:
Man darf dem Online Banking gegenueber nicht blind vertrauen, denn sowohl die Technik zwischen den Rechnern ist zu wenig vertrauenswuerdig, wie auch der Gesetzgeber (ich mag das Wort "Machtmonopolist" ;}) dazu zu viele Fragen im Zweifelsfalle offen laesst.
Das eingesetzte Betriebssystem hat dabei nur sekundaere Stellung, kann jedoch den Prozess hoechstens negativ beeinflussen (wie anhand der Live Systeme erlaeutert).

greetz by
Marco

brum · #11 Post by **brum** » 28. Feb 2006 19:44

wer mit windows, ohne schutz und vielleicht noch mit adminrechten im internet surft, sollte lieber zu fuss zur bank gehen ...

Pro-Linux

Viren bei Online-Banking!

Viren bei Online-Banking!

na ja