gibt es ein "Transaction signing" Feature bei PostFinance E-Finance?

Hi

Obwohl der Kassensturz-Beitrag sehr populistisch war, würde ich gerne meine Transaktionen bei PostFinance via einem Out-of-band Medium bestätigen.

Bietet PostFinance sowas an und ich habe es nicht gesehen?

«Kassensturz» hat die in der Schweiz weitverbreitetsten E-Banking-Systeme getestet: Wie benutzerfreundlich sind diese und vor allem wie sicher? Das Test-Ergebnis ist brisant: Den Hackern ist es gelungen, in drei von fünf Konten einzudringen.

Quelle: Geld - Kassensturz - SF1

Wundert mich gar nicht - Du kannst jeden Tag über Hackerangriffe mit Datenklau lesen. Leider haben die Hacker bei den Jugenlichen noch einen Hero Status.

Leider haben die Hacker bei den Jugenlichen noch einen Hero Status.

sagt wer?

Das kannst in Foren nachlesen, wenn ein Hacker das Sicherheitssystem einer Spielekonsole geknackt hat oder z.B. als Sony gehackt wurde.

DRM umgehen finde ich absolut legitim.

Und zur Sicherheit: Einfach so kommt ein Trojaner nicht auf die Kiste. Da hat Microsoft auch Hausaufgaben gemacht

Ob das legitim ist, scheint mir aber fragwürdig. Du schädigst damit auch die Legalen Käufer eines Produktes.

Ich habe mir den Beitrag nochmals angesehen und muss auch sagen, die Sicherheitslücke sass vor dem Monitor.

DRM ist zuerst einfach eine Methode legale Kunden zu verarschen.

Und wie gesagt. Microsoft hat Hausaufgaben gemacht. Windows 7 ist in Sachen Sicherheit nicht schlecht, ja selbst als OS. Man muss halt einfach diese UAC Meldungen nicht abschalten. Lieber einmal mehr auf Yes klicken als eine böse Überraschung erleben. Ich denk mal das Risiko, dass ich beim Geldbezug am Bankomat ein Messer and der Kehle habe, ist höher. Und wenns mal knallt, sind die Banken wohl kulant.

Und ja. Ich hacke auch. Aber nur wenn der Kunde einen Vertrag unterschreibt und es mir somit erlaubt. Bin ich jetzt böse? 🙂

Hier handelt es sich definitiv um PEBKAC...

Hi
Obwohl der Kassensturz-Beitrag sehr populistisch war, würde ich gerne meine Transaktionen bei PostFinance via einem Out-of-band Medium bestätigen.

Bietet PostFinance sowas an und ich habe es nicht gesehen?

Nein, Postfinance bietet keine Transaktionssignierung, auch nicht optional.

Der Kassensturz Bericht hat nichts Falsches gesagt und war im Grundsatz korrekt. Allerdings ist die Aussage, Transaktionssignierung sei sicher, auch faslch, denn auch diese lässt sich austricksen (ausser, es wird wirklich ein sicherer Rückkanal genutzt, was eventuell beim UBS Stick der Fall ist, nicht aber beim UBS Login Token alleine, und auch SMS sind seit Zeus-in-the-mobile nivht sicher). Und Transaktionssignierung nur mit einer Codeliste, wie es der Bericht als Option andeutete, ist ein Witz - das war der einzige wirkliche Fehler im Bericht. Trotzdem, ich denke/hoffe, auch die CH Banken werden bald auf Transaktionssignierung umschalten.

Was der Bericht unterschlug: je sicherer das System ist, desto schwerer hat es der Kunde, bei einem Missbrauch sein Geld zurückzubekommen, denn es geht immer mehr Verantwortung zum Kunden über. Eigentlich paradox, wenn der Kunde dafür sogar noch bezahlen muss, wie beim UBS Stick.

Mein Tipp: Fürs E-Banking von einer Linux CD booten, dann hast du fast sicher keinen Trojaner im System. Dafür gibt es sogar spezielle CDs (z.B. Bankix vom ct Magazin). Die CD sollte man aber von einem sauberen System aus brennen (oder eben eine Vorgefertigte benutzen), allerdings kenne ich noch keinen Trojaner, der sich in ein CD Image reinkopiert - was aber technisch möglich wäre. Wenn's schneller gehen soll, von einem Stick aus booten, aber mit Schreibschutz (Trekstor hat glaube ich noch solche). Eigener PC geht natürlich auch, aber wer kann sich das schon leisten... Das Ganze geht natürlich auf Kosten des Komforts.

Wie erwartet verursachte der Kassensturz Bericht aber kaum ein Echo - den meisten Leuten ist die Thematik leider so lang wie breit.

Hier handelt es sich definitiv um PEBKAC...

Eigentlich hast du recht "Problem exists between keyboard and chair", aber...

Und zur Sicherheit: Einfach so kommt ein Trojaner nicht auf die Kiste. Da hat Microsoft auch Hausaufgaben gemacht

Microsoft hat sich sehr stark verbessert beim Thema Sicherheit (früher war das Thema Security von M$ ein Running Gag), aber viele andere Hersteller im Windows-Umfeld leider nicht. Als Negativbeispiel fällt mir Adobe ein. Zudem wird es nie eine 100% Sicherheit geben.

Ein Trojaner kommt aber relativ locker auf das System.

Ein Trojaner fängt man sich in der heutigen Zeit durch Browsen im WWW ein. Das Versenden von Anhängen (wie in den 90er) wird immer seltener (da Cloud-Provider wie Google das Filtern).

Ein Drive-by-Download bezeichnet das unbewusste (engl. Drive-by: im Vorbeifahren) und unbeabsichtigte Herunterladen (Download) von Software auf den Rechner eines Benutzers. Unter anderem wird damit das unerwünschte Herunterladen von Schadsoftware allein durch das Anschauen einer dafür präparierten Webseite bezeichnet.[1][2] Dabei werden Sicherheitslücken eines Browsers ausgenutzt, denn definitionsgemäß ist mit HTML-Inhalten und Browser-Skriptsprachen ein Zugriff außerhalb der Browser-Umgebung nicht möglich.[3]

Quelle: https://secure.wikimedia.org/wikipedia/de/wiki/Drive-by-Download

Ich persönlich vertrete die Meinung, dass auch ein Microsoft-Spezialist mit langjähriger Erfahrung sich einen Trojaner beim Surfen holen kann (Stichwort Zero-day attack). Wenn er geziehlt attackiert wird, wird auch beim ihm der "böse Junge" einen Weg finden (sogar ohne Zero-Day Exploit). Wenn ein Spezialist seine Windows-Security nicht im Griff hat... wie soll das ein End-User schaffen?

Daher empfehle ich in meinem Freundeskreis UNIX basierte Systeme (Mac OS X, FreeBSD, Linux,...). Die sind im Moment deutlich sicherer und transparenter.

Wie erwartet verursachte der Kassensturz Bericht aber kaum ein Echo - den meisten Leuten ist die Thematik leider so lang wie breit.

Wie kommst du zu dieser Aussage? Arbeitest du bei der PostFinance? Ich könnte mir schon vorstellen, dass dieser Kassensturz-Beitrag einen Denkanstoss bei den Leuten gab.