Online Banking und Linux von CD?

[MinionMaster]

Hallo liebe CB-Gemeinde,

guten morgen ersteinmal!
Ich habe mich vor geraumer Zeit dazu entschlossen OnlineBanking zu nutzen. Es handelt sich hierbei um die Berliner Volksbank die über eine Inet-Seite geht (also kein Programm) und iTan sowie Pin eingabe benutzt.

Ich möchte mich natürlich größtmöglich absichern, um meine sensiblen Daten zu schützen. Folgendes habe ich mir überlegt:

In der letzten Computerbild Ausgabe 19/09 gab es eine "Sicher-Surfen-CD". Das ist ein von CD bootbares Linux-System (welcher Kernel ist mir zurzeit nicht bekannt) mit vorinstallierntem Firefox, Schreibprogrammen etc. . Meine Überlegung ist nun, das ich meine Bankgeschäfte darüber erledige, da mir bekannt ist das Linux um einiges sicherer sei als Windows.

Fragen:

Wie sicher ist diese vorgehensweise, vorallem weil in dem Linuxsystem kein Antivirenprogramm installiert ist.Der einzige Schutz besteht in der FIrewall des WlanRouters!?!

Geht das überhaupt, also unterstützt das HTML-Onlinebanking auch Linux?Ist das überhaupt relevant?

Habt ihr, wenn dies nicht funktioniert noch einen anderen brauchbaren Tip?

Vielen dank im Voraus. Eine schönen letzten Arbeitstag vorm WOchenende

Mfg MP

 

[ghostbird20]

Da das Online Banking über Taneingaben geht würde ich mir da nicht so große sorgen machen es sei den die Haben deine Tanliste.

 

[r34ln00b]

Der größte Vorteil solch einer Linux-Online-Banking-CD oder -DVD ist, dass zum einen immer ein sauberes System gestartet wird. Zudem, da Viren, Trojaner etc. meist für Windows programmiert werden, können die meisten Angriffe von vornherein umgangen werden.
Bei einem normalen installierten System kann man sich eigentlich fast nie ausnahmslos sicher sein, dass das System vollkommen sicher ist.
Trotzdem würde ich weiterhin auf die Adressleiste achten, bzgl. Phising-Attacken oder allg. aufpassen. Schaden kann es schließlich nicht.

Ob HTML mit Linux funktioniert? Sicherlich! HTML ist ein Standard, welcher unabhängig entwickelt wurde und welchen Jeder in sein Programm einbetten kann. Heutzutage stecken hinter einem Online-Auftritt noch viel mehr Applikationen als nur das HTML. PHP, Datenbanken, JavaScript, etc. und das nicht selten gefahren auf Linux-Servern.

 

[MinionMaster]

Naja ich bin ein vorsichtiger Mensch, vorallem nachdem ja soviel in letzter Zeit passiert ist (Msn,Yahoo Datenklau, das Ministerium warnt etc.)
Mir ist klar das der Mensch ein großer Faktor ist, und ich bin auch jmd. der wenigstens ein wenig sich gedanken macht was ich im Inet so treibe. Trotzdem würde ich die Linux Variante besser finden, wenn sie denn so funktioniert bzw. so sicher ist wie von mir gedacht?

Danke aber schoneinmal

@ r34lnOOb Danke. Auf die Phising sachen etc. werd ich schon acht geben, und mit dem was du über das vermeindlich "saubere" System geschrieben hast, genauso denke ich nämlich auch!
Was hälst du von der Idee allgemein?Besser als unter Win oder gleich/schlechter? Vorallem das kein Virenschutzprogramm dort läuft ist ein Knackpunkt der mich noch nicht überzeugt hat.

 

[thes33k]

Hallo liebe CB-Gemeinde,

guten morgen ersteinmal!

moin,

Ich habe mich vor geraumer Zeit dazu entschlossen OnlineBanking zu nutzen. Es handelt sich hierbei um die Berliner Volksbank die über eine Inet-Seite geht (also kein Programm) und iTan sowie Pin eingabe benutzt.

Ich möchte mich natürlich größtmöglich absichern, um meine sensiblen Daten zu schützen. Folgendes habe ich mir überlegt:

In der letzten Computerbild Ausgabe 19/09 gab es eine "Sicher-Surfen-CD". Das ist ein von CD bootbares Linux-System (welcher Kernel ist mir zurzeit nicht bekannt) mit vorinstallierntem Firefox, Schreibprogrammen etc. . Meine Überlegung ist nun, das ich meine Bankgeschäfte darüber erledige, da mir bekannt ist das Linux um einiges sicherer sei als Windows.

gute idee, aber hör auf computerbild zu lesen

Fragen:

Wie sicher ist diese vorgehensweise, vorallem weil in dem Linuxsystem kein Antivirenprogramm installiert ist.Der einzige Schutz besteht in der FIrewall des WlanRouters!?!

unter linux gibt es kaum viren. meinem erkenntnisstand nach gibt es genau zwei und beide sind nur proof-of-concept. d.h. sie zeigen, dass unter linux viren möglich sind. beide sind aber nicht großartig im umlauf oder bei aktuellen kernels verwendbar. du kannst natürlich auch unter linux auf phising reinfallen oder andere webtechnologien, die deine passwörter auslesen. aufgrund des tan systems ist das jedoch wenig effektiv.

Geht das überhaupt, also unterstützt das HTML-Onlinebanking auch Linux?Ist das überhaupt relevant?

ist irrelevant. online banking über ne website ist nichts anderes als ne normale website. html ist es reichlich egal, ob es in linux/windows/sonstwas ausgeführt wird. ich bezweifle, dass das onlinebanking irgendwelche standards nutzt, die nicht unter linux verfügbar sind (z.B. apple quicktime [wobei ich nicht sicher bin, obs das nicht gibt ]).

Habt ihr, wenn dies nicht funktioniert noch einen anderen brauchbaren Tip?

Vielen dank im Voraus. Eine schönen letzten Arbeitstag vorm WOchenende

Mfg MP

du könntest auch einfach eine ubuntu live edition nehmen. dazu brauchst du dir von www.ubuntu.com nur die jeweilige image ziehen und auf eine dvd brennen. ubuntu installiert sich nicht sofort, sondern startet zu erst von der cd komplett (inklusive firefox).
bitte schön.

 

[[Stephan]]

[...]weil Cyberkriminelle inzwischen auch das iTAN-Verfahren beim Online-Banking aushebeln könnten[...]

Auszug aus einer Heise-Meldung.

Demnach bringt es imho herzlich wenig, eine Live-CD zu verwenden, wenn das Portal ansich angreifbar ist.

Quelle: Heise-Artikel

 

[smuper]

Wenn das Live Linux einen Internetzugang aufbauen kann (unterstützter LAN/WLAN Chip) dann ist das die sicherste Methode um mit dem iTan Verfahren umzugehen.

Zu der Grundsicherheit eines Linux Systems kommt hinzu, dass das LIVE-System bei jedem Boot Vorgang neu von CD geladen wird und so voherige Veränderungen bzw. Sicherheitsrisiken unwirksam werden.

 

[r34ln00b]

Naja, das mag schon sein.
Aber die Wahrscheinlichkeit, dass man sich einen Virus o.Ä. einfängt welcher Auswirkungen auf Online-Banking haben kann, ist mit einem LiveCD-System geringer.
Dass Jemand durch einen gezielten Sicherheitsmechanismen ausheben kann, ist unvermeidbar, jedoch meist unabhängig von Betriebssystem.

 

[MinionMaster]

@thes33k

Danke für die sehr ausführliche Antwort. Das mit dem vorgeschlagenen Ubuntu werde ich mir mal anschauen. Es scheint aufjedenfall ein sicheres Verfahren zu sein als mit Win zu arbeiten.

gute idee, aber hör auf computerbild zu lesen

Habe die CD nur von einem überzeugten ComputerBild leser empfohlen bekommen und mir daraufhin gebrannt

@Stephan

Danke für die Aktuelle News. Sehr interessant. Sicher gibt es beim Onlinebanking nicht 100%ige Sicherheit und das das auch viel mit den Betreibern selbst zusammenhängt ist mir auch klar. Ich werde das im auge behalten!

@smupper & r34ln00b Ja smupper, man kann über vorhandene Wlan-Netzwerke sich ins Inet eiwählen! Ok dann werde ich über die Live CD meine Geschäfte erledigen, die Resonanz fällt ja eher positiv aus.


Ps.: Puh ich kann ganicht so schnell tippen wie hier beiträge kommen xD

Vielen dank an alle Beteiligten wenn noch jmd was beizusteuern hat immer her damit

 

[smuper]

Demnach bringt es imho herzlich wenig, eine Live-CD zu verwenden, wenn das Portal ansich angreifbar ist.

Dann zeig doch mal bitte woher du weißt, dass das Portal angreifbar wäre. Mir ist beim iTan Verfahren nicht bekannt, dass das Portal angreifbar wäre. Es wird eine Man-in-the-middle* Attacke gefahren, diese ist aber nur durch ein falsches Portal (der User gibt die falsche Adresse ein) oder durch ein kompromittiertes System möglich. Das Zweite schließt das Linux System aus!




*Man-in-the-middle http://www.computerwelt.at/detailArticle.asp?a=102843&n=4

 

[[Stephan]]

Du scheinst sehr gut informiert zu sein. Sicher kann man durch den Einsatz einer Live-CD das Risiko minimieren bzw das Risiko ausschliessen, mit einem infizierten System Onlinebanking zu betreiben.

Wie das iTan-Verfahren nun aufgrund aktueller Möglichkeiten ausgehebelt wird, entzieht sich meiner Kenntnis. Ich halte es aber für sehr unwahrscheinlich, dass es ausschliesslich durch gefakte Webseiten (oder ein infiziertes System) passieren kann. Dann hätten wir einen klassischen Phishing-Fall und kein ausgehebeltes iTan-Verfahren.

 

[WingX]

Wie wäre es denn mit einer Homebanking Software? Das HBCI Interface, was viele Banken anbieten, ist sehr sicher. Durch das iTan Verfahren umso mehr. Dadurch wird Phishing und Man-in-the-Middle auch ausgeschlossen. Noch sicherer wird das Ganze dann durch Authentifizierung mittels Kartenleser usw.
Falls die Bank kein HBCI anbietet, nutzt die Software natürlich auch nur die Webseite der bank, um die Aktionen durchzuführen.

 

[smuper]

Die ersten Abschnitte beschreibt die möglichen Methoden ziemlich genau:

http://www.heise.de/newsticker/meld...keine-Huerde-mehr-fuer-Kriminelle-219497.html

Wer aktuelles zu dem Thema lesen möchte, dem kann ich nur das aktuelle ct Sicherheitsheft empfehlen.

Die darin enthaltene DVD hat auch ein BankingLinux drauf.

Wie wäre es denn mit einer Homebanking Software? Das HBCI Interface, was viele Banken anbieten, ist sehr sicher.

Durch eine Homebanking Software alleine hast du keinen Sicherheitzugewinn. Erst bei Nutzung von HBCI inkl. Chipkartenleser (mit eigener Tastatur!) hast du einen echten und guten Sicherheitsgewinn.

Das iTan Verfahren bleibt bei der Homebanking Software genauso angreifbar wie ohne.

 

[Boogeyman]

Was hälst du von der Idee allgemein?Besser als unter Win oder gleich/schlechter? Vorallem das kein Virenschutzprogramm dort läuft ist ein Knackpunkt der mich noch nicht überzeugt hat.

Immer diese Windows User, die glauben, man wäre erst durch einen Virenscanner sicher.
Ein System kann auch ohne Virenscanner sicher sein, das beweisen viele User unter Windows bzw. auch bei diversen Linux Distributionen wird generell kein Live Virenscanner verwendet.

Dies geht folgendermaßen bei Linux Distributionen:

• Das System wird automatisch über die Paketverwaltung aktuell gehalten, dadurch werden auch alle Programme immer in der aktuellsten Version genutzt (Sicherheitslücken werden somit zeitnah geschlossen) und die Software kommt immer aus einer vertrauenswürdigen Quelle. Erschwerend kommt noch hinzu, das 99,9% aller Viren unter einer Linux Distribution nicht lauffähig sind.
• Die strikte Trennung von Root und Benutzer. Jeder Linux User arbeitet generell nur als Benutzer, so hat Malware schon mal keine Möglichkeit sich zu Installieren. Ähnlich macht es unter Vista/Windows7 die Benutzerkontensteuerung.

Auch könnte man unter Windows so ein System betreiben und man wäre auch ohne Virenscanner sehr sicher.

Da dein Linux Live System von CD/DVD startet, hat das System keine Schreibrechte auf die DVD, da die DVD finalisiert gebrannt worden ist. Eindringende Malware könnte also dein System überhaupt nicht manipulieren. Es gibt auch vom BSI eine SecuritySurfCD, die ist so ähnlich wie die Bankix CD von der Ct.

Als Lesestoff empfehle ich das Sonderheft c't kompakt Security dort gibt es auch diverse Artikel zu diesem Thema.

Durch eine Homebanking Software alleine hast du keinen Sicherheitzugewinn.

Das ist so nicht ganz richtig, da die Banking Software automatisch das Zertifikat der verbundenen Bank überprüft und bei falschem die Verbindung abbricht. Auch ist das Homebanking via Software nicht für Cross-Site Scripting anfällig. Sonst wäre unter Windows eine Banking Software mit HBCI Kartenleser Klasse 3 zu empfehlen. Dies ist die zur Zeit sicherste Methode Homebanking zu betreiben. Die Hausbank muss aber HBCI unterstützen.

[Online Banking] Browser vs. Software

Hier ein paar Tipps zum Online Banking vom Bundesamt für Sicherheit in der Informationstechnik:
Online-Banking - Schutzmaßnahmen

 

[walker1973]

Da dein Linux Live System von CD/DVD startet, hat das System keine Schreibrechte auf die DVD, da die DVD finalisiert gebrannt worden ist. Eindringende Malware könnte also dein System überhaupt nicht manipulieren. [/QUOTE]

Das ist aber so nicht richtig es gibt auch Viren die im RAM Aktiv sind und so Sachen bzw Infos abgreifen (aber um sich so etwas mit ner Live CD einzufangen müsste man vorher auf einer Seite mit Schadcode landen).

Alles in Allem ist das Online Banking mit einer Live CD vorzuziehen da es Sicherer ist.

 

[Boogeyman]

@walker1973
Quelle bitte!

Das Betriebssystem überwacht, wer was wo schreiben darf, auch im Ram. Da man das Betriebssystem aber nicht manipulieren kann (kein Schreibzugriff), sagt hier das OS is nich, um es mal mit einfachen Worten zu sagen.

 

[walker1973]

Ist schon etwas her auf die Schnelle finde ich die Aktuellen Sachen nicht aber das gibt es ja schon nen paar Jahre länger das läuft unter der Rubrik:

Bootviren , Masterbootviren , http://www.rus.uni-stuttgart.de/dienste/antivirus/info/vireninfo.html

Residente Viren , Bootsektor-Viren , Hybrid-Viren http://www.waltertietz.nedam.de/cv-arten.htm

Wobei Hybrid-Viren die Gefährlichsten sind.

Hybrid-Viren infizieren Bootsektoren und ausführbare Dateien. Der Virus verankert sich im Arbeitsspeicher und übernimmt die Kontrolle über das infizierte System. Sobald der Anwender ein infiziertes Programm aufruft, befällt der Hybrid-Virus den Bootsektor und setzt sich im Arbeitsspeicher fest. Da der Virus dadurch zweigleisig fährt, verseucht er das Computersystem sehr effektiv. Zum Glück sind diese Viren schwer zu programmieren, so dass nicht allzu viele von ihnen im Umlauf sind. Dennoch sind die wenigen im Umlauf befindlichen Hybrid-Viren für viele Infektionen verantwortlich, was auf ihre Gefährlichkeit hindeutet.

Es gibt schon erste Fälle so genannte Exploit Codes wo Schadcode über das Aufrufen einer Webseite ausgeführt wird dann im RAM sitzt infos ausliest sendet und Dateien Infiziert das ganze wird oftmals wenn ein Virenkiller das erkennt als so genannte MYSQL Injection oder XML Exploit (XML BOMB) angezeigt (hatte ich selber schon mal mit Kaspersky gehabt nur das Aufrufen der Seite genügt schon) wie gesagt da könnte Kontrolle über den Rechner übernommen werden Cookis auslesen oder der Cache des Browsers (wegen Passwörter).

Deswegen bei Firefox zb Privaten Modus nutzen wo der Cache und Cookis gelöscht werden beim Beenden des Browsers beim IE nennt sich das InPrivate Browsing deswegen haben die das ja eingeführt weil solche Fälle gabs ja alles schon.

 

[Sensei21]

*) aktuellste[n] Version
-> wenn diese die Distribution auch anbietet aktuelles Beispiel Clamav und Ubuntu 8.04 LTS

*) immer aus einer vertrauenswürdigen Quelle
wenn man nur die Repositories bzw. Quellen der Distro nutzt im Prinzip ja

wie bereits erwähnt:
die Sicherheit steht und fällt mit dem Benutzer bzw. der Erfahrung des Benutzers

Da dein Linux Live System von CD/DVD startet, hat das System keine Schreibrechte auf die DVD, da die DVD finalisiert gebrannt worden ist. Eindringende Malware könnte also dein System überhaupt nicht manipulieren.

nope:

die meisten LiveCDs verwenden ein komprimiertes Image (squashfs), das nicht beschreibbar ist jedoch im Verbindung mit UnionFS oder AUFS, das bearbeitet werden kann und dadurch Änderungen im System ermöglicht, indem diese im Ram gehalten oder auf einem USB-Wechselspeicher festgehalten werden

Im Prinzip ist das bei Linux so, dass "Malware" nur das machen kann, was du ihm erlaubst:

* root-account: im GAU kann das ding das ganze System schrotten

* user-account: deine Daten sind weg


Empfehlung fürs Banking:

*) linux liveCD system - so aktuell wie möglich (kann auch gerade erst rausgekommen sein, je aktueller desto besser und weniger Sicherheitslücken)

evtl. Sicherheitsupdates einspielen soweit ein gravierendes Problem bekannt ist

*) Unterstützung für Flash, Java und Firefox sollten vorhanden sein

*) Firefox einmal "auf Sicherheit trimmen" und dann die Konfigurationsdatei und Add-Ons bei jeder "Session" neu laden
-> fehlende Infos hierzu werden nachgereicht

Addons bzw. Einstellungen sind:
* heise.de: Richtig verschlüsseln mit Firefox 3
* Perspectives (Addon für Firefox)
* Flashblock (wenn die Banking-Seite Flash nicht unbedingt benötigt, die Funktionen, die auf andere Seiten verlinken abschalten - jedoch mit Vorsicht zu genießen evtl. funktioniert das Online-Banking nicht mehr richtig)
* NoScript (VORSICHT, nur anwenden bzw. Skripte blocken, wenn z.B. klar ist, dass von einer anderen unsicheren Seite Skripten bzw. Sachen eingebunden werden, die unsicher sind und nicht auf die Banking-Seite hingehören - andernfalls: Skripte grundsätzlich während des Bankings erlauben sonst könnte es ein böses Erwachen geben )
* Privaten/Incognito Modus in Firefox nutzen

mehr fällt mir momentan nicht ein, da ich gerade keinen Zugriff auf mein Linux-System hab

und jetzt:

viel Spaß & immer schön Augen auf

 

[Boogeyman]

die meisten LiveCDs verwenden ein komprimiertes Image (squashfs), das nicht beschreibbar ist jedoch im Verbindung mit UnionFS oder AUFS, das bearbeitet werden kann und dadurch Änderungen im System ermöglicht, indem diese im Ram gehalten oder auf einem USB-Wechselspeicher festgehalten werden

Wir sprechen hier nicht von irgendwelchen Live CD/DVD`s, sondern von Live CD/DVD`s die speziell auf das Homebanking zugeschnitten sind. Wie z.B. die Bankix CD der Zeitschrift Ct. Sollte das ev. auch dort möglich sein, lasse ich mich gerne belehren.
Auch glaube ich kaum, das Malware sich UnionFS zu nutze machen könnte und damit das System zu verändern. Auch müsste da die Malware erst mal Root Rechte erlangen können, oder? Da gewinnst du eher fünfmal im Lotto hintereinander, als das passieren würde.

@walker1973

Deine zwei aufgezählten Beispiele treffen für System zu, die von einem beschreibbaren Medium starten (Festplatte). Bei einer Live DVD kann keine Master Boot Record modifiziert/verändert werden.
http://de.wikipedia.org/wiki/Bootkit

 

[Sensei21]

http://www.heise.de/ct/projekte/Sicheres-Online-Banking-mit-Bankix-284099.html

das geht zu 99,9 % wenn das auch nicht aufs/unionfs ist, dafür wohl aber ramfs oder was ähnliches ...

ich hab jetzt keine zeit das auszuprobieren, da ich arbeite weiters hab ich schon mein eigenes (gehärtetes linux-system )

unter

Änderungen im System

verstehe ich übrigens auch einstellungen des firefox etc. und diese werden explizit im verlinkten text erwähnt ...


wieauchimmer das geht zuweit offtopic

danke jedenfalls für den verweis,

wenn ich mal sicheres onlinebanking empfehlen muss werde ich mit der bankix tun


edit:

jetzt nachdem ich die "Sicher Surfen CD" gesehen (Screenshots) hab, kann ich sie

*) nur empfehlen: von der Bedienung ist sie wirklich Windows sehr nachempfunden und (vermutlich ?) sicher, andererseits wenn das "Bundesamt für Sicherheit in der Informationstechnik (BSI)" die Hände im Spiel gehabt hat, bleibt bei mir ein flaues Gefühl in der Magengegend

*) nicht empfehlen: wenn JRE, Flash etc. nicht inkludiert ist geht bei manchen Banken das Online-Banking nicht (stellt zwar eine potentielle Sicherheitslücke dar, aber wenn es ohne das nicht geht - pech gehabt ! ). Weiters ist das Scrollen mit dem Firefox ein Albtraum (muss nicht so sein unter Linux),