Sicherheitsaudits Banking Software

Gibt es eigentlich Sicherheitsaudits von Banking Software

Und falls gibt es welche die Public sind.

Oder irgendwelche Leute, die evtl. mal ein Reverse Engineering machen von einer Banking Software.

Weiss darüber jemand was.

beste grüsse

was bringt eine sichere Software, wenn der User (bzw. manche Banken) auf Komfort setzt?
... oder der User generell das Problem ist, weil er Daten in den Browser oä. eingibt. (entweder aus Geiz für eine Software oder phishing usw. und umgeleitet wird)

das Thema hattest du doch auch bereits hier ähnlich angesprochen: forum/topic.php?p=164658#real164658 bzw. ff
wo bspw. das "Unterschrift auf papiergebundenen Aufträgen" als eines der weiteren Probleme angesprochen wurde.

jeweils Diskussionen mit dem gleichen/ähnlichen Inhalt zu starten, bringt nichts
zumal das Thema schon x-mal durchgenudelt wurde
es kommt nicht nur auf einen Punkt (hier Software) an, sondern grundsätzlich sind es viele (!).

Das sind aber Extrembeispiele für richtig schlechte Audits, auch wenn ich solche Audits grundsätzlich eher schwierig finde. Aber wenn die nur über die Länge und die Qualität eine Passwortes reden, würde es mich interessieren auf welcher Basis die dann Sicherheitsexperten sind....
Aber wer Lücken finden will, wird diese finden. Da sollte man sich keiner Illusion hingeben. Die Frage ist halt immer wie Praxisrelevant sind diese.
Vor Jahren gab es mal einen Artikel in der ct zum Thema Sicherheit von Signaturkarten. Forschern war es gelungen mit einem Röntgengerät, die geheimen privaten Schlüssel zu ermitteln und meinten, wenn die Röntgengeräte in die Hosentasche passen, sind die Signaturkarten nicht mehr sicher.......

Es ist allerdings in der Tat so, dass es einen Markt für solche Zertifizierungen gibt, in dem sich gut Geld verdienen lässt. Sowohl für das durchführende Unternehmen als auch den Auftraggeber, da er danach ein schönes buntes Siegel auf seinen Produktkarton machen kann.

Das ist genau so ein Test, der mir bekannt vorkommt. Prinzipiell wird nur nachgesehen ob die Daten überhaupt verschlüsselt sind. Das haben Sie natürlich auch bei uns gemacht. Was aber nicht kam:

* Gezielte Untersuchungen zur verwendeten Verschlüsselungsimplementierung.

* Gezielte Fragen nach bekannten Sicherheitslücken und entsprechenden Angriffen.

* Gezielte Analyse des Zufallsgenerators für die Schlüsselerzeugung.

* Einblick in den Quellcode für die verschlüsselte Speicherung.

Also nichts, was irgendwie in die Tiefe geht. Durchgefallen wäre man bei diesem Test nur, wenn die Daten tatsächlich im Klartext gespeichert wären.