Säkertheten med Swedbank.

Vet inte om någon orkar läsa detta men jag tycker det är rätt intressant.
Jag tror inte Swedbank har tänkt till riktigt när dom satt upp denna tjänsten.

Som ni vet(förmodar jag) så har Swedbank en tjänst som heter ekort. Det simulerar ett elektroniskt visa kort. (Så man ska slippa lämna ut sitt riktiga kort nummer)

För att nyttja denna tjänst behöver man internetbank. För att logga in på internetbanken behöver du en dosa (personlig dosa). Väl inne på internetbanken kan du beställa just denna tjänsten, ekort. Efter att du har beställt den så får du skapa en personlog kod. Denna koden kan du logga in med på din Internetbank. Du anger bara ditt personnummer och din 6 siffriga kod.

När du loggar in med din personliga kod så kan du inte göra något speciellt, du ser bara en översikt över dina konton, och du kan flytta pengar mellan dom fram och tillbaka. Men du kan inte fytta vidare till någon annans konto, som sagt.

Med denna ekort tjänsten kan du skapa ett elektroniskt visakort på https://ekort.swedbank.se. Allt du behöver är ditt personnummer och personliga koden (6 siffrigt). Väl där inne kan du skapa ett ekort med önskad summa pengar.

Så helt plötsligt om någon kommer över din 6 siffriga kod (ej olika från gång till gång) så kan man flytta över pengar från dina konton, lägga dom på ett elektroniskt kort och sedan handla upp dom! Mycket klokt tänkt, swedbank.

Någon som tänkt på detta?

Måste man inte ha dosan också? Eller vara på en speficik dator?

Nej. Du behöver dosan för att aktivera tjänsten (en gång), men inte för att använda den senare.



PS. Jag använde tjänsten sista gången för ca 6 månader sedan. Det kan ha ändrats, även om jag inte tror det.

Det finns inte heller några begränsningar på antalet inloggningsförsök, allt för att göra det stor hålet e-kort ännu osäkrare.
Jag har i alla fall tagit bort e-kort länken till mitt kort.

Jag ska testa mejla Swedbank så får vi se vilket roligt svar de kommer med, om de svarar alls.

Ringde Swedbanks supporten i dag och fick prata med någon äldre tant som inte visste ett jota, så hon kopplade mig till en tekniker.

Denna göteborgare till tekniker var mycket trevlig och vi pratade säkert 10-15 minuter. Förklarade för han hur jag såg på saken och han sa: 'Jag förstår hur du menar, och jag håller med dig till 100% Det är helt rätt det du säger och jag vet inte vad jag ska svara, varför det är såhär. Det måste ha blivit ett alvarligt fel någonstans, för detta ska inte vara möjligt.'

'Jag kommer lämna detta vidare till en högre instans så får dom se över detta omgående.'

Men om han gör det är ju en annan sak. Kan ju inte direkt påstå att man känner sig trygg med ekort tjänsten aktiv...

Menar ni att den skulle vara sårbar för bruteforce? 6 siffror är ju ändå 1 miljon kombinationer... Men det kanske finns vissa kombinationer (typ 123456) som är mer vanliga än andra?

Han menar nog om någon kommer över just hans kod. Exempel polare stirrar över axeln typ.

Ett keylogger-program utgör nog ett betydligt större risk än bruteforce.

Många kunder har inte den säkerhet eller kunskap som krävs för att förhindra detta. Bankens kunder kan inte förväntas vara säkerhetsexperter och det är därför banken lagt krutet på utvecklingen av säkerhetsdosan (ganska säkert enligt egen åsikt). E-kortsystemet gjordes förmodligen av någon PRAO-elev, eller i bästa fall sommarjobbare.

Fel.

Det skapas ett tillfälligt kortnummer för varje transaktion du vill genomföra... dessa temporära numren är MasterCard-kompatibla... så din idé funkar inte...

Nu har du fel. Visst, ett kortnummer är temporärt, men du kan skapa xx antal ekort om du kommer över den personliga koden. Så du kan göra 20 kort med 2000kr på varje kort, t ex. Så det går.

Den "6:siffriga " koden ska om jag inte minns helt fel innehålla både siffror & bokstäver

Minst 2 vokstäver. Men vad spelar det för roll? Min poäng är att den fjuttiga koden är inte på långa vägar så säker som dosan är. Plus att den är den samma varje gång du ska logga in. Inte temporär som dosan. :S