Zitat geschrieben von Raimund Sichmann
Es ist imo schon ein wesentlicher Unterschied, ob man mit 100 Sachen bewusst unangeschnallt in einer Luxuslimo auf der Autobahn unterwegs ist oder eben mit 200 km/h, unangeschnallt, ohne Bremsen, ohne Airbag und ohne Schutzengel durch die Innenstadt braust!
Das der eine oder andere ein Spitzenfahrer ist, der auch Ausnahmesitutationen meistert, ändert nichts an der Tatsache, dass es nun mal wesentliche Sicherheits-Unterschiede gibt.
Woran hinkt mein Bild?
Es hinkt darin, dass im Endeffekt nicht das gleiche bei rauskommt... Ist eine Lücke erfolgreich ausgenutzt kommt immer das gleich Ergebnis raus.
Ist zwar makaber, aber nen anderes Beispiel fällt mir gerade nicht ein.
Jemand schluckt ne Überdosis Schlaftabletten, geht zu einer Eisenbahnbrücke, an der er sich erhängen will und das zur Sicherheit kurz bevor der Zug kommt... Ob es nun die Tabletten, der Zug oder das Seil war ist doch egal, jedes für sich hätte zum gleichen Ergebnis geführt.
Zitat
Naja, aber wie gesagt: In der Regel greife ich das System an der schwächsten Stelle an und das ist normalerweise der Benutzer.
Das würde ich so pauschal nicht sagen, denn die schwächste Stelle ist nicht immer die mit den meisten Erfolgsaussichten und so kann es auch durchaus sein, dass der Kriminelle nach dem Macimalprinzip vorgeht... Warum werden Banken überfallen, wo eine einzelne Person abends doch viel einfacher auszunehmen ist,
Zitat
Und eine nur genau 5-stellige PIN
Und bei HBCI Chipkarte ist es auch nur eine 5 stellige numerische, also noch viel weniger Möglichkeiten. Bei Diskette sind es glaub ich 8 mit Sonderzeichen, aber auch egal weil Tastatureingabe und so ist es auch wieder egal ob nun 5 oder 8 Stellen... Allerdings darf man nicht nur die PIN an sich betrachten, sondern auch die Sperrmechanismen im Hintergrund und das relativiert das ganze wieder.
Zitat
Mal ehrlich: Wer sowas macht, dem kann auch die beste Verschlüsselung egal sein. Aber solange die Banken auf ihr PIN/TAN-Verfahren beharren, werden die Kunden dazu verleitet derartige Features zu nutzen... und warum dann ein Programm wie MoneyPenny benutzen, dass derartige Vorteile nicht bietet?
Kommt darauf an wie man die Zielgruppe definiert, warum sollte es keine sicherheitsbewußten PIN/TAN-Anwender geben, den bei entsprechender Handhabung ist es genauso sicher wie HBCI-Chipkarte/Diskette. Dann kommt weiter dazu, dass PIN/TAN nicht gleich PIN/TAN ist, zumindestens in naher Zukunft.
Zitat
Das Entscheidende ist ja nicht die Anzahl der Angriffsmöglichkeiten, sondern das damit verbundene Risiko.
Was bringt dem Angreifer denn die PIN einer HBCI-Diskette oder Karte?
Viele legen die EU ja auch schon auf die Festplatte, weil Diskette zu lästig oder auch kein Laufwerk vorhanden ist, habe ich die PIN kann ich dann Aufträge senden oder wenn wirklich eine Diskette genutzt wird, warte ich bis diese eingelegt ist. Die PIN wird über die Tastatur eingegeben, also auch einfach abzufangen.
Zitat
Die Karte und das Sicherheits"getue" um die Pin brauche ich meinen Kunden nicht mehr erklären, da kommen dann Kommentare wie: "Kenn ich ja von der ec-Karte" "ist doch klar", etc. und ich hab kein Problem damit, wenn die Chipkarte auf dem Schreibtisch liegen bleibt, im Gegensatz zum TAN-Bogen unter der Schreibtischunterlage.
Wie viele lassen dann ihre Chipkarte die ganze Zeit im Leser und nehmen sie nie raus? Wie oft steht die PIN auf der Karte? Wie hoch ist wohl der Anteil der Kartenleser Klasse 2, die auch als Klasse 2 Leser betrieben werden und wie viele Kunden würden bei einer gefakten PIN-Eingabe-Aufforderung nicht die PIN eingeben, auch über die Tastatur wenn es gerade über den Kartenleser nicht funktioniert oder sogar dort steht, dass man über die Tastatur eingeben soll? Dazu bietet dann auch noch der Treiber des Kartenlesers Angriffsfläche, wo es ja gerade mal 2-3 verbreitete Hersteller gibt.
Vielleicht alles etwas negativ, aber bei PIN/TAN geht man bei Phishing ja auch von dem dümmsten DAU aus.
Selbst wenn egal bei welchen Verfahren was passieren sollte, ist ja eigentlich noch nix passiert, ist doch alles Zahlungsverkehr und nachvollziehbar, daher wird es auch nie großflächig erfolgreich sein können. Der Aufwand entspricht dann nicht dem Erfolg und wie man sieht, haben "schlaue" Cyberkriminelle das auch schon erkannt...
http://www.heise.de/security/news/meldung/57633
)