Hallo zusammen,
ich weiß, dass ich nicht auf fremden Rechnern online-banking machen oder mich in sonstige wichtige Seiten einloggen soll, weil ich dann ggf. ausgespäht werden könnte oder sonstige widrige Dinge passieren.
Aber wie sieht es jetzt aus, wenn ich mit meinem eigenen Laptop via Kabel irgendwoanders (Hotel, Freunde, Krankenhaus etc.)ins Internet gehe, kann da auch was passieren…? Muss man auf etwas achten?
Viele Grüße
B.
Aber wie sieht es jetzt aus, wenn ich mit meinem eigenen
Laptop via Kabel irgendwoanders (Hotel, Freunde, Krankenhaus
etc.)ins Internet gehe, kann da auch was passieren…? Muss
man auf etwas achten?
Du brauchst endweder nen Tunnel zu Deiner Bank oder mußt eine SSL, SSH, etc. Verschlüsselung sicherstellen.
Meine Bank wirbt gerade jetzt damit, dass sie ein neues SSL-Zertifikat nutzt. Damit wäre das dann doch in Orndung?
Meine Bank wirbt gerade jetzt damit, dass sie ein neues
SSL-Zertifikat nutzt. Damit wäre das dann doch in Orndung?
Im Prinzip ja. Das ist sehr schwierig anzugreifen, selbst wenn man im gleichen Subnetz ist wie Du.
Meine Bank wirbt gerade jetzt damit, dass sie ein neues
SSL-Zertifikat nutzt. Damit wäre das dann doch in Ordnung?
Kannst Du bei Deiner Bank nachfragen, ob das angezeigte, schicke, neue Zertifikat auch wirklich von Deiner Bank ist? Mit anderen Worten: Stimmt der angezeigt Fingerabdruck (SHA-1 Hash Wert) mit dem überein, den Dir ein Mitarbeiter der Bank beispielsweise per Telefon vorliest?
Gerade bei SSL Verbindungen wäre ich vorsichtig, da dort erstens viele Leute bei Zertifikatswarnung reflexartig auf „OK“ klicken (zu denen gehörst Du natürlich nicht) und zweitens seit dem MD5 Hack letzten Dezember selbst Zertifikate, bei denen der Browser nicht meckert, grundsätzlich auch gefälscht sein könnten. Immerhin geht es ja ums Banking.
Viel Glück bei dem Versuch, jemanden ans Telefon zu bekommen, der überhaupt weiß, wovon Du sprichst …
Gruß
Fritze
Kannst Du bei Deiner Bank nachfragen, ob das angezeigte,
schicke, neue Zertifikat auch wirklich von Deiner Bank ist?
Mit anderen Worten: Stimmt der angezeigt Fingerabdruck (SHA-1
Hash Wert) mit dem überein, den Dir ein Mitarbeiter der Bank
beispielsweise per Telefon vorliest?
Ach du liebe Güte, also angezeigt wurde das neue Zertifikat gar nicht, auf der Einstiegsseite war nur der Hinweis, dass man es nun nutzen würde. Und irgend ein Zeichen würde in der Adressleiste stehen.
Viel Glück bei dem Versuch, jemanden ans Telefon zu bekommen,
der überhaupt weiß, wovon Du sprichst …
Ich denke, ich maile die lieber mal an, dann können die sich vorher darüber klar werden, wer antworten kann.
Vielen Dank!
B.
Hallo,
Ich denke, ich maile die lieber mal an, dann können die sich
vorher darüber klar werden, wer antworten kann.
Das ist aber eher nicht so toll, das über Email zu machen. Via Internet nachfragen, ob die Internetverbindung sicher ist … 
Also mir wäre das Telefon lieber.
Gruß
Fritze
Das ist aber eher nicht so toll, das über Email zu machen. Via
Internet nachfragen, ob die Internetverbindung sicher ist …)
Hallo Fritze,
und ich habe sogar schon eine Antwort Unter anderem wird aufgeführt: Nutzung einer sicheren verschlüsselten Verbindung (SSL) beim Online-Zugriff auf das Konto.
Aber eigentlich lag mein Sicherheitsbedenken-Problem auch nicht unbedingt bei der Bank oder Zertifikaten sondern eher in der Frage, wenn ich quasi über „fremde“ Leitungen - also nicht von zu Hause aus - mit eigenem Laptop online gehe, ob dann was passieren kann.
Viele Grüße
B.
Aber eigentlich lag mein Sicherheitsbedenken-Problem auch
nicht unbedingt bei der Bank oder Zertifikaten sondern eher in
der Frage, wenn ich quasi über „fremde“ Leitungen - also nicht
von zu Hause aus - mit eigenem Laptop online gehe, ob dann
was passieren kann.
Also, es ist so…
Zunächst einmal hat Fritze völlig recht damit, daß das ganze Unternehmen mit der Authentizität der Zertifikates steht und fällt. Technisch gesehen baust Du eine Verbindung zu Deiner Bank auf. Um da mitzulesen, muß man es als Angreifer schaffen, Deinen Datenstom über den eigenen Rechner laufen zu lassen (Man in the Middle, nennt sich das). Das ist möglich aber in der Regel ist es einfacher, Deinen Rechner mit bösen Programmen zu infizieren und daräber Zugiff auf Daten oder Verbindungen zu bekommen. Aus einem fremden LAN / Subnetz sieht das schon anders aus. Vermutlich wird beispielsweise ein Hotel einen Router haben, der mit dem Internet verbunden ist und den Verkehr der einzelnen Rechner nach draußen routet. Diese muß für einen Man in the Middle Angriff allerdings nichts weiter unternehmen, als mitzuschreiben, was er so an IP-Paketen überträgt. Außerdem weißt Du nicht, wer im Nebenzimmer mit seinem Laptop sitzt und sich vielleicht als Hotspot ausgiebt oder ähnliche Schweinerein. Über derartige Angriffsmöglichkeiten, wäre es dann möglich, Deine Kommunikation mit der Bank mitzulesen.
Daher verschlüsselt man diese Kommunikation. Beide Partner (Du und die Bank) haben ein sogenanntes Schlüsselpaar, einen öffentlichen Schlüssel, und einen privaten. Mit dem öffentlichen kann man nur Verschlüsseln, mit dem privaten beides. Deine Bank stellt den öffentlichen Schlüssel zur Verfügung. Der muß nicht geheim sein, denn entschlüsseln kann man damit nichts. Du benutzt diesen Schlüssel, verschlüsselst damit Deine Nachricht und schickst sie der Bank. Die kann keiner mehr lesen, selbst wenn man den öffentlichen Schlüssel mitgelesen hat. Die Bank kann Deine Nachricht dann mit dem privaten Schlüssel, der nirgendwohin übertragen werden mußte entschlüsseln. Wenn die Bank Dir dann antworten will, macht sie das genauso wie Du. Sie nimmt Deinen öffentlichen Schlüssel, verschlüsselt damit und mit Deinem privaten Schlüssel, machst Du das ganze lesbar.
Das ist solange sicher, wie Du Dir sicher sein kannst, daß der öffentliche Schlüssel wirklich der von Deiner Bank ist. Und das besagt das Zertifikat.
Ich weiß, die Erklärung ist ein bißchen plump und vereinfacht, aber als Überblick hilft es vielleicht.
Na, also für mich als absolute Pappnase auf diesem Gebiet hört sich das alles andere als plump an Ich danke dir und Fritze jedenfalls für die doch sehr ausführlichen Infos!
Viele Grüße
B.
Hallo Fritze,
und ich habe sogar schon eine Antwort
aufgeführt: Nutzung einer sicheren verschlüsselten Verbindung
(SSL) beim Online-Zugriff auf das Konto.
Ja. Ganz toll. Und jetzt frage bitte nochmal nach, wie Du feststellen kannst, dass der zu der sicheren SSL Verbindung gehörende Schlüssel auch wirklich von Deiner Bank ist.
Da liegt ja das Problem. Du kannst die Details zum jeweils verwendeten Schlüssel sehen, wenn Du das kleine Schloss oder was auch immer von Deinem Browser angezeigt wird, anklickst.
Da werden auch die sog. „Fingerabdrücke“ angegeben. Diesen Wert musst Du jetzt mit einem Mitarbeiter der Bank am Telefon vergleichen. Du musst das nur einmal machen und Dir den Wert merken. Wenn der Wert sich nicht ändert, dann ist der Schlüssel korrekt und Du kannst ungestört online banken. Über alle Leitungen und Verbindungen, denn diese Verschlüsselung geht direkt von Deinem Rechner bis zum Rechner der Bank, egal ob bei Dir zu Hause oder im Hotel über WLAN.
Gruß
Fritze
Da werden auch die sog. „Fingerabdrücke“ angegeben. Diesen
Wert musst Du jetzt mit einem Mitarbeiter der Bank am Telefon
vergleichen. Du musst das nur einmal machen und Dir den Wert
merken. Wenn der Wert sich nicht ändert, dann ist der
Schlüssel korrekt und Du kannst ungestört online banken. Über
alle Leitungen und Verbindungen, denn diese Verschlüsselung
geht direkt von Deinem Rechner bis zum Rechner der Bank, egal
ob bei Dir zu Hause oder im Hotel über WLAN.
Hallo Fritze,
na, dann werde ich mich nächste Woche doch mal ans Telefon hängen… Mut macht mir ja deine Äußerung „du musst das nur einmal machen…“
Also vielen Dank und eine schöne Woche!
B.
Hallo,
na, dann werde ich mich nächste Woche doch mal ans Telefon
hängen… Mut macht mir ja deine Äußerung „du musst das nur
einmal machen…“
Viel Erfolg! Ich muss meine Aussage aber korrigieren: Du musst das nur einmal pro Zertifikat machen. D.h. spätestens, wenn das Zertifikat Deiner Bank abgelaufen ist und durch ein neues ersetzt wird, musst Du es noch einmal machen.
Und wenn Du mit mehreren Banken arbeitest, natürlich pro Bank einmal.
Gruß
Fritze