IBM beschermt bank en klant met innovatieve USB stick

Als de browser en de usb stick beide met de bank kunnen communiceren is het goed. Maar waarschijnlijk zul je nog een plugin moeten gebruiken.

Wel grappig dit systeem, omdat ik precies zo'n systeem paar weken geleden had bedacht. Dit echt de enige manier is om veilig op een computer te kunnen bankieren.

Wel belangrijk dat het apparaat zelf natuurlijk niet te kraken/flashen is. Het mooi is dat het apparaat zo weinig doet dat dat wel moet lukken. (Als je fysieke toegang tot het systeem hebt dan kun je het natuurlijk altijd kraken).

Dit systeem word alleen niet ingevoerd als de kosten hoger zijn dan het geld wat ze nu verliezen aan verkeerde transacties. Volgens mij is de beveiliging die de meeste nederlandse banken namelijk wel afdoende.

Zoals ook uit het filmpje opgemaakt kan worden, wordt er vanuit het device een directe verbinding gemaakt met de server van de bank.

Denk dat het principe ongeveer gelijk is aan het principe van de zogenaamde Mobikey

Data van de gebruiker wordt geverifieerd op een verificatie-server en na akkoord wordt er een VPN verbinding opgezet met de bank. Hierbij is een man-in-the-middle attack niet mogelijk.

Ben benieuwd of het inderdaad zo veilig is, als dat de makers aangeven.

Spoofing heeft in ieder geval geen nut, omdat de daadwerkelijke transactie zichtbaar gemaakt wordt in het schermpje. Vraag mij alleen af hoelang het display van het apparaatje blijft werken.

Er schijnt een onderzoek geweest te zijn waarvan ik dus op het internet niets heb kunnen vinden, waardoor sommige instellingen het niet toestaan dat netwerkprinters, aangesloten op het bedrijfsnetwerk, eveneens via usb worden aangesloten op een 'normale' internetcomputer.

Men schijnt uitgevonden te hebben dat het mogelijk moet zijn om de printer te gebruiken als een doorgeefluik vwb data tussen netwerkinterface en usb-port.

Als dit daadwerkelijk mogelijk is, dan is, lijkt mij, de stap naar een usb-man-in-the-middle natuurlijk snel gemaakt.

Is er iemand in dit forum die weet waar info vwb het netwerkinterface <-> usb fenomeen op het net gevonden kan worden?

@sjonnie48; Dat maakt niet uit; er staat geen persoonlijke info op. Het is net zoiets een losse kaartlezer die de saldo van je chipknip uitleest.

Ben benieuwd of in dit mechanisme zwakheden/gaten worden gevonden. Het principe is wel ideaal en wenselijk om zo spoedig mogelijk ingevoerd te worden.

Dat vroeg ik mezelf ook af. Het lijkt erop alsof er een aparte SSL verbinding wordt opgebouwd met de bank, waarvan de sleutels publiek/private alleen bij de bank/usb-stick bekend zijn. Zie ook [url]http://www.zurich.ibm.com/ztic/[/url]

Je kan er van uit gaan dat de verbinding tussen de stick en de server gewoon veilig opgezet kan worden. Dat gedeelte met virussen enzo dat moet je gewoon zien als standaard internet, dus dat gaat wel goed.
Helaas heeft de stick geen veilige verbinding met de gebruiker, en kan de man-in-the-browser dus iets heel anders tonen op het scherm dan wat naar de stick gestuurd wordt.
Het is dus niet veel anders gesteld met de beveiliging als nu met internetbankieren, alleen hoef je nu niet goed op te letten op je scherm, alleen maar op het groene knopje op je usb stick te drukken.
Pas als die usb stick gaat voorlezen waarvoor je op het groene knopje drukt, of dat op een andere wijze duidelijk maakt (bedenk dat een USB mp3 speler met OLED display heel goedkoop is, en genoeg knopjes heeft, en dus beter geschikt is om dat te doen) dan mag men pas over een vooruitgang spreken.
Hmmm, toch eens kijken of er al een USB mp3 speler met display gehackt is. Ow wacht, gewoon een ipod met linux ofzo. Beetje duur, maar wel een mooie proof-of-concept, en ideaal om mijn ssh keys te bewaren ;-).

Op de een of andere manier communiceert het toetsenbord met de USB stick. Die data kan niet encrypted zijn, en zo ja, dan kan men de USB stack backdooren.

Ik denk dat we hier te maken hebben met een smartcard op USB stick. Met TAN code principe zou het beter zijn. Bovendien mogen mensen zo'n USB stick niet laten slingeren. En dat gaat wel gebeuren... het is ook lastiger te verstoppen dan je pinpas...

Je begrijpt inderdaad iets niet.

www.totse.com/e...guid179191.html
www.motron.com/...DataLogger.html
www.isaac.cs.be...ac/gsm-faq.html

Plof...

Veiliger kan niet.
Je live cd zal toch een verbinding via het grote boze internet moeten opbouwen. Voor zover ik het bericht begrijp zorgt deze stick voor de veiligheid van die verbinding.