Hvem kan beskrive og evaluere relevante teknologier

Hejsa.

Jeg synes bestemt man kunne gøre 2fa en løsning på Bedreid.

Det hedder Authy og er en super løsning som gør at hver login forsøg skal godkendes på telefonen, før godkendt login.

Hvis der er virus på selve telefonen (alle platforme) vil Authy ikke starte, da der er indbygget antivirus i.

Der er et hav af 2fa muligheder på nettet.

Mvh

Thomas

Mobil telefoner, eller bekræftigelse via mobil telefoner er ikke en god løsning, jeg kan konstruere en virus/trojan, som kan koordinere din computer med din mobil telefon, og derved kan jeg opsnappe godkendelsen på den mobil telefon, og bekræfte den, så min computer virus får kontrol af dit system.  Den slags "sikkerhed" er bare "Security by obscurity", og kan hackes - relativt nemt.

Men det er faktisk muligt at lave et system der er tæt på 100% immun over for malware, viruser, man-in-the-middle angreb, m.v.    I hvertilfald løsninger der gør det enormt svært at pille ved løsningerne.

Mobil telefoner er ikke den idelle løsning, fordi de ikke har "secure memory", og derved en hver form for nøgle du gemmer på dem, kan læses af malware.   Man kan få et kompromi som er et SD kort med en crypto chip på, men den har den fejl, at malware kan bruge den, også selvom de ikke kan stjæle den private nøgle.   Der bør være en fysisk funktion (som en knap), der bekræfter om den må signere eller ej.

Det optimale vil være at bruge crypto-terminaler, der findes en del af dem på markedet allerede, disse har en lille skærm, hvor på du kan se hvad du rent faktik undersirver, eller hvad du validere.

Problemet med mange sikkerheds løsninger er at man reelt underskriver noget man ikke kan være sikker på er hvad man tror det er, altså man kan ikke validere hvad man skriver under på.. 

Feks tager vi et standard trojan angreb, så injecter man det som angriberen vil havde signeret, og viser dig et andet view (noget du gerne vil signere), derved vil brugeren blive snydt til at validere noget som de reelt ikke ønsker at underskrive..

NemID er dårlig fordi, man kan intercepte kommunikationen på linjen, narre brugeren til at indsætte deres 6 cifret kode, og så få DanID til at signere requesten, mens man sender en fejl kode til brugeren.  Det var en metode jeg beskrev, som en mulig angrebsvinkel, allerede før NemID blev taget i brug, bare ud fra beskrivelsen af systemet - NemID kunne næsten ikke havde været designet værrer.

Den bedre måde er at bruge noget hardware - helst med secure-key storage (Mobil telefon med SD kryto module er et godt bud, men den mangler stadigvæk den fysiske sikkerhed).    Så lad os assume du har et secured SD kort til den mobil telefon, og du ønsker maksimal sikkerhed.

Processen for at lave en transaktion kunne være (der er flere måder at gøre det på).  Jeg tager eksemplet på en bank transaktion, men det virker i alle situationer.   Jeg tager udgangs punkt i at det er nemmere at sætte transaktioner op på en PC/tablet, og mobil telefonen har en crypto enhed.  Men modellen vil også fungere (mindre optimalt), som en app på telefonen.

0. Du sætter SD krypto kortet i mobilen (da du ikke kan kontrollere den, er det nødvendigt den ikke er generelt på plads i telefonen, da trojaner kan misbruge, en ikke fysisk sikret device).

1. Du logger ind i din web-bank (på din PC/Tablet), med et simple password.

2. Du sætter op den transaktion som du ønsker at foretage dig.

3. Banken præsentere en QR kode, der indeholder din transkation.

4. Du scanner QR koden med din mobil telefon.

5. Mobil telefonen viser indeholde af QR koden -> altså hvor mange penge, fra hvilken konto, til hvilken konto, bankens navn, m.v.   Så du kan visuelt bekræfte at det er den rigtige transaktion du signere.

6. Du aktivere SD kortet i din telefon, og underskriver transaktionen.

7. Din mobil telefon sender transaktionen til banken.. 

8. Banken modtager din signatur på transaktionen, og udfører den.

9. Din Web-bank viser at transaktionen er bekræftet.

QR koderne er en simple måde at overføre en transaktion mellem computer, tablet, mobil telefon, kasse apparat, eller lign.  Mens der ingen fysisk forbindelse er mellem din scanner, og en muligvis inficeret computer, hvor ved infektionen ikke direkte kan sprede sig til din krypto terminal.

Problemet er bare (med at bruge mobil telefoner), at de også er sårbare over for malware, og derved kan en hacker inficere din telefon og din PC, og kan koordinere angrebet på dit system - det er langt sværere, men det kan gøres.   (det er her den fysiske sikring kommer ind, at du har en skærm du kan stole på, og en fysisk knap der siger, signere).

Det er derfor jeg advokere at vi skal havde krypto-terminaler, systemer hvor på du ikke kan installere software, eller elementer der er isoleret fra at kunne blive inficeret, og misbrugt.

Den idelle hardware konfiguration er en selvstændig skærm der styre af krypto terminalen, og en fysisk knappe, der gør at det kun er en fysisk person der kan trigger krypto terminalen til at fungere.   På en computer ville jeg forslå en blue-tooth/usb enhed, med selvstændig skærm, som er koplet ved at man kan overfør det der skal signeres, og data element kan bekræftes på den selvstændige skærm.

Man kan gøre det samme på en mobil telefon, men da skærmen er software kontrolleret, kan man ikke stole på hvad man ser, og man ville havde brug for at kunne trykke på en knap, hvorved kun krypto enheden kan kontrollere skærmen.

Det kunne bruges ja.