2022-11-13, 12:50
  #25
Medlem
falconer8s avatar
Citat:
Ursprungligen postat av awoke11
Om du skrev in allt korrekt dvs datum, kortinnehavarens namn, kortnummer men inte CVV så är det rätt svårt, det är 1000 olika kombinationer som måste testas och sen behövs ju nästan alltid mobilt bankid vid bekräftelse. Nej det är ingen fara.



Ja så är det säkert. Sidan var säkert äkta. Även om någon försökte spara uppgifterna så räcker det inte
Citera
2022-11-13, 13:06
  #26
Medlem
Avalanchekings avatar
Citat:
Ursprungligen postat av falconer8
En person jag känner ville prompt att jag skulle logga in på en Outlook- mail som vi båda har tillgång till. Där ville hon att jag skulle beställa en matkasse " gratis" från ett av de företagen som ägnar sig åt sådant.


Det var inte gratis, utan man skulle fylla i olika betalningsalternativ. Jag skrev det till henne och hon svarade att jag var tvungen att fylla i kortuppgifter och sen klicka mig vidare


Då förstod jag till 100% att personen försökte blåsa mig. Därför raderade jag alla uppgifter innan jag loggade ut. Jag fyllde aldrig i några kortuppgifter och klickade vidare. Raderade även mitt namn och adress och dylikt.


Mina frågor är: Om mina kortuppgifter var ifyllda i några sekunder, men sen raderades är det någon fara då? Jag fyllde INTE i någon cvc- kod överhuvudtaget! Den har fanskapet inte tillgång till. Men som sagt, mina kortuppgifter kan ha varit ifyllda i några sekunder. Kan hon haft en medbrottsling som har snappat upp mina uppgifter?



Mig veterligen så går det bara att vara inloggad en person i taget på Outlook. På den andra sidan, den jag var på vet jag inte. Kan någon ha snappat upp kortuppgifterna? Är de närmast värdelösa utan cvc- kod?


Det går att "capture" uppgiferna om de är ifylla men inte dina kortuppgifter förutsatt att sidan hade ett HTTPS. Såg du det? Eller var det http? Om det var http går det även att capture dessa uppgifter. Det är lätt att göra.
Citera
2022-11-13, 13:51
  #27
Medlem
falconer8s avatar
Citat:
Ursprungligen postat av Avalancheking
Det går att "capture" uppgiferna om de är ifylla men inte dina kortuppgifter förutsatt att sidan hade ett HTTPS. Såg du det? Eller var det http? Om det var http går det även att capture dessa uppgifter. Det är lätt att göra.



Nej det tänkte jag inte på. Så det vet jag inte om det var. Men de har fortfarande inte mitt cvc? Och jag verifierade mig inte med bankID.
Citera
2022-11-13, 13:55
  #28
Medlem
che3s avatar
Citat:
Ursprungligen postat av falconer8
Nej det tänkte jag inte på. Så det vet jag inte om det var. Men de har fortfarande inte mitt cvc? Och jag verifierade mig inte med bankID.
Ta nu och byt lösenord på mailkontot så att bara du kan logga in
Citera
2022-11-13, 14:01
  #29
Medlem
falconer8s avatar
Citat:
Ursprungligen postat av che3
Ta nu och byt lösenord på mailkontot så att bara du kan logga in



Tack. Jag ska göra det. 👍
Citera
2022-11-13, 14:03
  #30
Medlem
Avalanchekings avatar
Citat:
Ursprungligen postat av falconer8
Nej det tänkte jag inte på. Så det vet jag inte om det var. Men de har fortfarande inte mitt cvc? Och jag verifierade mig inte med bankID.


Nej, då går det inte oavsett. Ditt bankid är irrelevant om kortet skimmas (https://www.mediesprak.fi/skimma-ski...-smygavlasning ). Men i regel kan du tänka såhär.

1: Handla aldrig från sidor som inleds med http://, utan endast från sidor som inleds med https://. Följer du den regeln kan du aldrig bli lurad på en sida/skimmad. Däremot kan ju såklart bolaget vägra skicka din produkt eller liknande, men dina kortuppgifter kan de aldrig ta eftersom anslutningsprotokollet är krypterat.
2: Använd regler i din mejl som automatiskt raderar spam.3: Använd extra säkerhet vid köp som t.ex att du får fylla i pinkod eller bankid efter du har handlat. Du brukar kunan göra detta inne på din internetbank. Beroende på vilken bank du använder, finns denna information på olika ställen men är ganska lått att hitta.
__________________
Senast redigerad av Avalancheking 2022-11-13 kl. 14:22.
Citera
2022-11-13, 14:15
  #31
Medlem
falconer8s avatar
Citat:
Ursprungligen postat av Avalancheking
Nej, då går det inte oavsett. Ditt bankid är irrelevant om kortet skimmas (https://www.mediesprak.fi/skimma-ski...-smygavlasning ). Men i regel kan du tänka såhär.

1: Handla aldrig från sidor som inte inleds med http://, utan endast sidor som inleds med https://. Följer du den regeln kan du aldrig bli lurad på en sida/skimmad. Däremot kan ju såklart bolaget vägra skicka din produkt eller liknande, men dina kortuppgifter kan de aldrig ta efter anslutningsprotokollet är krypterat.
2: Använd regler i din mejl som automatiskt raderar spam.3: Använd extra säkerhet vid köp som t.ex att du får fylla i pinkod eller bankid efter du har handlat. Du brukar kunan göra detta inne på din internetbank. Beroende på vilken bank du använder, finns denna information på olika ställen men är ganska lått att hitta.



Jag förstår. Skimmad har jag blivit en gång för många år sedan. Jag vill minnas att jag fick tillbaka det mesta av pengarna från min bank.
Citera
2022-11-13, 15:51
  #32
Medlem
Citat:
Ursprungligen postat av Avalancheking
Det går att "capture" uppgiferna om de är ifylla men inte dina kortuppgifter förutsatt att sidan hade ett HTTPS. Såg du det? Eller var det http? Om det var http går det även att capture dessa uppgifter. Det är lätt att göra.
Hemsidan i sig kan spara ner precis allt du skriver in på den oavsett on du trycker "skicka" eller inte. Skulle säga att den typen av bedrägeri är betydligt vanligare än att sniffa anslutningar med http när man är hemma.
Citera
2022-11-13, 16:11
  #33
Medlem
Avalanchekings avatar
Citat:
Ursprungligen postat av GleefulGoshawk61
Hemsidan i sig kan spara ner precis allt du skriver in på den oavsett on du trycker "skicka" eller inte. Skulle säga att den typen av bedrägeri är betydligt vanligare än att sniffa anslutningar med http när man är hemma.


Inte kortuppgifter. Ett SSL-certifikat används som ett lösenordsskydd. Innehavaren av sidan kan inte sniffa dessa uppgifter. Denna frågan är komplex. Äger du en bank och därmed har byggt en egen betalningsmodul kopplad direkt till banken så går det. Men det ser jag som enda chansen.
__________________
Senast redigerad av Avalancheking 2022-11-13 kl. 16:21.
Citera
2022-11-13, 16:42
  #34
Moderator
BlueSwedes avatar
Citat:
Ursprungligen postat av Mynicname
Som jag förstår det så är det krav på tvåfaktorsautentisering vid användning av kreditkort. När man handlar på en webshop så måste man alltid godkända betalningen genom att logga in på nätbanken via BankId.

Likaså är det i butik att det inte längre räcker med att skriva under inköpet utan man måste betala via en onlinemaskin som läser chippet/blippa och bekräfta med sin kod.

Skulle därför påstå att det är tämligen riskfritt att dela med sig av kortuppgifter och csv-kod. Men jag kan ju ha fel så det är väl lika bra att fortsätta att vara försiktig.
Nej, så är det inte, men man skulle önska att det var så.

Om inte din kortutgivare stödjer verfiering via BankId, då gör man ofta "fallback" till att genomföra affären utan verifiering. Några, däribland Klarna ger möjlighet att konfiguera bort den möjligheten.
Citera
2022-11-13, 20:25
  #35
Medlem
Citat:
Ursprungligen postat av Avalancheking
Inte kortuppgifter. Ett SSL-certifikat används som ett lösenordsskydd. Innehavaren av sidan kan inte sniffa dessa uppgifter. Denna frågan är komplex. Äger du en bank och därmed har byggt en egen betalningsmodul kopplad direkt till banken så går det. Men det ser jag som enda chansen.
Skojar du nu? Klart en hemsida kan läsa av det du skrivit in i fälten på sidan. Vet du hur JavaScript funkar alls?
Citera
2022-11-13, 21:03
  #36
Bannlyst
Citat:
Ursprungligen postat av Avalancheking
Inte kortuppgifter. Ett SSL-certifikat används som ett lösenordsskydd. Innehavaren av sidan kan inte sniffa dessa uppgifter.

För att staten ska utfärda ett pass behövs giltig dokumentation.

På samma sätt kräver en utfärdare giltig dokumentation av den som ansöker om ett SSL-certifikat innan certifikatet utfärdas.

Att helt förlita sig på "https" men inte förstå dess mening skyddar egentligen ingenting om man inte vet hur man kan verifiera detta.

Kod:
openssl s_client -connect flashback.org:443
CONNECTED(00000003)
depth=2 C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Root Certificate Authority - G2
verify return:1

Är godaddy en bra aktör? Nej. Kan man förlita sig på att "https" alltid är bra? Nej. Kan http vara mer legit en https? Absolut. Då vi är på flashback så tog jag det som exempel. Vem avgör egentligen vad som sätter standarden menar jag på vad som är seriöst eller inte seriöst. Pass går att fejka det betyder nog att även ssl certifikat kan ....

Jag verifierar nu certifikatet:

Citat:
openssl s_client -connect flashback.org:443 -servername godaddy.com:443
CONNECTED(00000003)
depth=2 C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Root Certificate Authority - G2
verify return:1
depth=1 C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = http://certs.godaddy.com/repository/, CN = Go Daddy Secure Certificate Authority - G2
verify return:1
depth=0 CN = *.flashback.org
verify return:1
---
Certificate chain
0 s:CN = *.flashback.org
i:C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = http://certs.godaddy.com/repository/, CN = Go Daddy Secure Certificate Authority - G2
1 s:C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = http://certs.godaddy.com/repository/, CN = Go Daddy Secure Certificate Authority - G2
i:C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Root Certificate Authority - G2
2 s:C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Root Certificate Authority - G2
i:C = US, O = "The Go Daddy Group, Inc.", OU = Go Daddy Class 2 Certification Authority
3 s:C = US, O = "The Go Daddy Group, Inc.", OU = Go Daddy Class 2 Certification Authority
i:C = US, O = "The Go Daddy Group, Inc.", OU = Go Daddy Class 2 Certification Authority
---
Server certificate
-----BEGIN CERTIFICATE-----
MIIHlDCCBnygAwIBAgIJAPXbif/Nm+D4MA0GCSqGSIb3DQEBCwUAMIG0MQswCQYD
VQQGEwJVUzEQMA4GA1UECBMHQXJpem9uYTETMBEGA1UEBxMKU2 NvdHRzZGFsZTEa
MBgGA1UEChMRR29EYWRkeS5jb20sIEluYy4xLTArBgNVBAsTJG h0dHA6Ly9jZXJ0
cy5nb2RhZGR5LmNvbS9yZXBvc2l0b3J5LzEzMDEGA1UEAxMqR2 8gRGFkZHkgU2Vj
dXJlIENlcnRpZmljYXRlIEF1dGhvcml0eSAtIEcyMB4XDTIyMD cyODA3MTEzNVoX
DTIzMDgyOTA3MTEzNVowGjEYMBYGA1UEAwwPKi5mbGFzaGJhY2 sub3JnMIICIjAN
BgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAxtDrjYaJRvn4L2 ako7UIuewtfW7A
Em8ny5veWgEyZ6dUEihqXrGQEqhtCAuOP60LLJwbzao1xWfYbi mAAYYFvVh2HUna
krdmsCNlMEv4+t+wZ2R59e7k31IrQ+gqophQX3b2FkwcnsDRUK lHlwWG2bx/J/4+
m26d3aD6wDzehWVBqW3CCOy4CAKmWCCv8w5jP5/TEPgDHtBz0ZsSa8QWu77xam8Y
Rj5/HtLj4MUtzB144STN4zDDgu1xoRLmiDJnF6Ci4UneqGtdg6Kpwe 8l5AWpM751
MhbdomjrK+li4n66jzHuwtdB4FS8PYhIsoKPWwxIMTOwlJ5VYa jdFp7cO5BFjg81
1W250nGLynjnKZOltTiG9YgyrrHG7wJl2iXAbBp/dLBppTPZEu8rnkZIOuY0q3eR
/XaGYQ8M6EQjTj6vCA5fgLnNnF59kGejyUSUrDaHWHIa3gRX046 8dS+6HZvKD5GD
+9dEgeA6xFYfilGWLdgi77V0OinebjEcEXH9lnIDUe7fcqptpQ 2SJOCjDqnlFS9U
PoGg2HFtZESJwt8ZCG8x7YKGEJtgO7pi2LWzu8oQP6lUZMLs4Z 3c5SJOfZADGYxN
5+jFA7PftzMGnSXBWu0Jf+/NUzUzfw8/CoftsTMFIhqPf5sOgHEAyXWufOVI9lqO
xh6DwnUXD0SxbAUCAwEAAaOCA0AwggM8MAwGA1UdEwEB/wQCMAAwHQYDVR0lBBYw
FAYIKwYBBQUHAwEGCCsGAQUFBwMCMA4GA1UdDwEB/wQEAwIFoDA4BgNVHR8EMTAv
MC2gK6AphidodHRwOi8vY3JsLmdvZGFkZHkuY29tL2dkaWcycz EtNDMyNy5jcmww
XQYDVR0gBFYwVDBIBgtghkgBhv1tAQcXATA5MDcGCCsGAQUFBw IBFitodHRwOi8v
Y2VydGlmaWNhdGVzLmdvZGFkZHkuY29tL3JlcG9zaXRvcnkvMA gGBmeBDAECATB2
BggrBgEFBQcBAQRqMGgwJAYIKwYBBQUHMAGGGGh0dHA6Ly9vY3 NwLmdvZGFkZHku
Y29tLzBABggrBgEFBQcwAoY0aHR0cDovL2NlcnRpZmljYXRlcy 5nb2RhZGR5LmNv
bS9yZXBvc2l0b3J5L2dkaWcyLmNydDAfBgNVHSMEGDAWgBRAwr 0njsw0gzCiM9f7
bLPwtCyAzjApBgNVHREEIjAggg8qLmZsYXNoYmFjay5vcmeCDW ZsYXNoYmFjay5v
cmcwHQYDVR0OBBYEFKlFRf7e9e1hfztiyKeMEfSfijlpMIIBfw YKKwYBBAHWeQIE
AgSCAW8EggFrAWkAdQDoPtDaPvUGNTLnVyi8iWvJA9PL0RFr7O tp4Xd9bQa9bgAA
AYJDpYk6AAAEAwBGMEQCIB0HkexPYTro9m852GvbAR+VGWctVO MJgijQvpsa6Jl7
AiAXrvyTeV8kjHKn9uys0/Xi2RKQgZcdPDngQRlUFIhvQQB3ADXPGRu/sWxXvw+t
TG1Cy7u2JyAmUeo/4SrvqAPDO9ZMAAABgkOliuEAAAQDAEgwRgIhANjDBVeMOUFs
vLCIwPPntUkeK0B0MwnPkvcYbcrcVu7sAiEA7aHSC9j8T8aWXv Ta630VR8YB74rS
abbKkaIaiLoJA5cAdwB6MoxU2LcttiDqOOBSHumEFnAyE4VNO9 IrwTpXo1LrUgAA
AYJDpYtpAAAEAwBIMEYCIQDVE5SqnA/rdbbqQDAqBLqqEPCIvZycd6+zn0aTraw/
JwIhAMGAwLXuNxljEPIBz9sa08k6i0HuVLmRB2tE4wMDJuHlMA 0GCSqGSIb3DQEB
CwUAA4IBAQAa64owE5KX3rbdpfSw1HIYUeAQjd6Z9b+faE9u17 IJJ+RkSZP7rgky
PxWq7weAcJgIv2CJCS1mjKu0ttgBid2SRMsXIIgVpnv7YRJpM0 +rZLQqcic9rqRa
jVnGcgJgJDbG91s4FnyB9VqYjoNPPignfVKYwgN2zDZu+cp3qr TijKhshghC64fw
RoGDoScSgBw4sKSXOZVgWw9DRqCefkkxfLmoWmSQC/36h8zlVBlBssL/lZPAvXti
Zi6gT/+5/UfWkcIcxBXfYdXKK3rwo/Pwb42lnILLmdjQgwK5BBeFBeb5PBCQrAQN
OuwoQHny8ug7a+yoN5aFm1FjGoMgwZIs
-----END CERTIFICATE-----
subject=CN = *.flashback.org

issuer=C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = http://certs.godaddy.com/repository/, CN = Go Daddy Secure Certificate Authority - G2

---
No client certificate CA names sent
Peer signing digest: SHA256
Peer signature type: RSA-PSS
Server Temp Key: ECDH, P-521, 521 bits
---
SSL handshake has read 6386 bytes and written 815 bytes
Verification: OK
---
New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
Server public key is 4096 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
Early data was not sent
Verify return code: 0 (ok)
---
---
Post-Handshake New Session Ticket arrived:
SSL-Session:
Protocol : TLSv1.3
Cipher : TLS_AES_256_GCM_SHA384
Session-ID: 2F5323F567F6DD37CF9FABDA2EF6274AFDC2420B4F77AC30B6 B861A1D94E7D51
Session-ID-ctx:
Resumption PSK: 4406768084BF586E3855A7E6DAF61BD9DAA8C6256375535EEC 544ECC32588C60D30CA5A4D4EE094DFC49D82FA9A6D468
PSK identity: None
PSK identity hint: None
SRP username: None
TLS session ticket lifetime hint: 900 (seconds)
TLS session ticket:
0000 - 8b 31 37 64 44 42 71 6c-ce 27 61 9b 5e 69 df a2 .17dDBql.'a.^i..
0010 - ed 5c 75 fe d4 c9 31 b4-d3 a5 2a 24 4c e5 85 36 .\u...1...*$L..6
0020 - 59 61 de 97 c4 9f ce 9d-ea 3f 86 7f 6b 62 11 46 Ya.......?..kb.F
0030 - 64 b8 6f 7f 97 51 b6 24-64 16 07 db 65 d3 8d 55 d.o..Q.$d...e..U
0040 - 66 15 c7 df 7e 2f 62 26-39 4b a0 88 e0 62 7d d7 f...~/b&9K...b}.
0050 - a3 77 c5 dd e8 95 c3 b6-23 20 8b 64 b6 52 68 f6 .w......# .d.Rh.
0060 - bf 3b b9 35 61 16 cc 6a-b9 83 cc 3f 9c 84 2e 95 .;.5a..j...?....
0070 - e6 6d 81 6b 99 ba 29 ea-d6 c0 57 90 cc a1 57 7b .m.k..)...W...W{
0080 - 94 a3 f4 9a bc c0 06 c3-ca 3d 16 95 88 fc fb 56 .........=.....V
0090 - 58 18 ae e9 b9 47 e8 03-6b ee fb 7b f9 10 26 8c X....G..k..{..&.
00a0 - f8 d3 e0 b0 20 67 a1 21-2b 2a 70 18 01 90 0b 25 .... g.!+*p....%
00b0 - b8 0a f3 1c 22 ea eb 51-76 23 6a 63 4e 2c 1d ba ...."..Qv#jcN,..
00c0 - 21 18 8d 47 cb 6c cb 37-77 49 49 3c f0 ae 8d a7 !..G.l.7wII<....
00d0 - 5a 68 11 03 ff 44 d6 87-7d a8 d6 69 f3 66 96 c1 Zh...D..}..i.f..
00e0 - 92 ce 92 b0 92 ab 72 d3-f8 d5 77 6c 4e a2 06 91 ......r...wlN...

Start Time: 1668370732
Timeout : 7200 (sec)
Verify return code: 0 (ok)
Extended master secret: no
Max Early Data: 0
---
read R BLOCK
---
Post-Handshake New Session Ticket arrived:
SSL-Session:
Protocol : TLSv1.3
Cipher : TLS_AES_256_GCM_SHA384
Session-ID: B9B420B8B4AD0FFDFD4CEA91412D3635C70076446DBCB0F4CE 46EFAD5BEBD59C
Session-ID-ctx:
Resumption PSK: 15D1D870DCD0474926B814F223F3375A7FC41174A38CA1D2CC DFCF5F9C5462361C2CC5F605403CB1339D3619ACEEAC25
PSK identity: None
PSK identity hint: None
SRP username: None
TLS session ticket lifetime hint: 900 (seconds)
TLS session ticket:
0000 - 8b 31 37 64 44 42 71 6c-ce 27 61 9b 5e 69 df a2 .17dDBql.'a.^i..
0010 - 42 bf c4 b4 ac d2 06 4d-dd 9c 95 8c c1 7b 67 a4 B......M.....{g.
0020 - 39 a5 02 0d 0e 47 8a 2c-05 e4 43 1e 78 53 eb f6 9....G.,..C.xS..
0030 - 28 4e e1 e5 b6 c1 16 5d-8b a0 c2 90 47 4e df ba (N.....]....GN..
0040 - 4c e7 28 c2 da c4 61 5d-a8 67 bd 33 3f b1 55 99 L.(...a].g.3?.U.
0050 - 65 56 3f 3c da e2 86 2e-c0 b4 c8 a4 b1 7b 15 5c eV?<.........{.\
0060 - 85 a3 36 e2 27 65 ff 07-b5 6d 34 67 21 29 a8 7d ..6.'e...m4g!).}
0070 - 26 af e8 dd b8 7c 94 fc-04 77 e1 17 bb 73 a5 86 &....|...w...s..

Start Time: 1668370732
Timeout : 7200 (sec)
Verify return code: 0 (ok)
Extended master secret: no
Max Early Data: 0
---
read R BLOCK
closed

Verifikation: OK. Så om nu detta hade varit en bank istället så hade det alltså varit verifierat och klart så att nu kan man betala och man kan vara någorlunda "säker" på att det inte är ett bedrägeri försök? Är det så du menar med htps vs http? Jag ser ofta användare skriva på detta viset om http/https eller så skrivs det att man skall kolla efter en nyckel i webläsarens url fält eller att sidan är under just "https" men jag tänkte fråga nu när jag fick chansen om det är så det menas efter vad som sägs? Man kan ju undra varför dom har tagit bort https://www från url fältet i webläsaren tänker jag isåfall.
__________________
Senast redigerad av iFun 2022-11-13 kl. 21:48.
Citera

Skapa ett konto eller logga in för att kommentera

Du måste vara medlem för att kunna kommentera

Skapa ett konto

Det är enkelt att registrera ett nytt konto

Bli medlem

Logga in

Har du redan ett konto? Logga in här

Logga in