»Først og fremmest vil jeg understrege, at NemID aldrig har været kompromitteret. Desuden vil jeg gerne pointere, at NemID nøglekort, som langt størstedelen af brugerne anvender, ikke længere er afhængig af Java, men JavaScript. NemID-nøglefil er dog stadig afhængig af Java, og de brugere anbefaler vi altid at opdatere til den seneste version af Java,« svarer kontorchef i Digitaliseringsstyrelsen Cecile Christensen.

http://www.version2.dk/artikel/undersoeg...aal-154032


Er det ikke en and? Jeg synes jeg har læst herinde om en eller flere der har været på nemID?

Jeg ved ikke om nogen her inde, reelt set har være der inde.
Det kan være, det kan lade sig gøre. Det kræver dog at hackeren sidder på fingerspidserne når det sker.

Tricket siges at være følgende:
Hackeren har lavet en "phishing side", rippet fra bankens hjemmeside, som virker som en "proxy" mellem hackeren og kunden.
Kunden tramper så sine oplysninger ind i på denne side. Altså brugerid/cpr og kode, som hackeren så får.
Hackeren skynder sig så at trampe de samme oplysninger ind på bankens rigtige side. Han får så nummeret på koden fra nøglekortet fra bankens rigtige side, han skal bruge, som han sender til ofret via phishing siden.
Ofret tramper så koden fra kortet ind på siden, som hackeren så får, og kan trampe ind på bankens rigtige side.

Meget spændende. Men om nogen reelt set har været der inde, ved jeg ikke. Nogle har sikkert nået en del af vejen.. Who knows.

(20-06-2015, 04:21)iTick Skrev: Jeg ved ikke om nogen her inde, reelt set har være der inde.
Det kan være, det kan lade sig gøre. Det kræver dog at hackeren sidder på fingerspidserne når det sker.

Tricket siges at være følgende:
Hackeren har lavet en "phishing side", rippet fra bankens hjemmeside, som virker som en "proxy" mellem hackeren og kunden.
Kunden tramper så sine oplysninger ind i på denne side. Altså brugerid/cpr og kode, som hackeren så får.
Hackeren skynder sig så at trampe de samme oplysninger ind på bankens rigtige side. Han får så nummeret på koden fra nøglekortet fra bankens rigtige side, han skal bruge, som han sender til ofret via phishing siden.
Ofret tramper så koden fra kortet ind på siden, som hackeren så får, og kan trampe ind på bankens rigtige side.

Meget spændende. Men om nogen reelt set har været der inde, ved jeg ikke. Nogle har sikkert nået en del af vejen.. Who knows.

Det lyder meget intra, men han skal da fandme være hurtig? Hvis han skal nå at se hvilken kode der skal intastes

Jeg ved ikke hvor hurtigt det timer ud. Men så længe han styrer phishing siden, burde han have tid nok.
Han sender nummeret på koden til ofret, og ofret sender koden tilbage til ham. Han tramper det bare ind.
Men.. Det må siges at være en ulempe, han skal sidde og være klar til, en hopper i fælden. :)

Det er sådan jeg har hørt, folk er kommet hele vejen. Men om det bare er pral, ved jeg ikke. :)

(20-06-2015, 14:40)iTick Skrev: Jeg ved ikke hvor hurtigt det timer ud. Men så længe han styrer phishing siden, burde han have tid nok.
Han sender nummeret på koden til ofret, og ofret sender koden tilbage til ham. Han tramper det bare ind.
Men.. Det må siges at være en ulempe, han skal sidde og være klar til, en hopper i fælden. :)

Det er sådan jeg har hørt, folk er kommet hele vejen. Men om det bare er pral, ved jeg ikke. :)

Der har været noget fusk med apps der slår op i dit nøglekort for dig, hvor nøglekortet bare sendes til udvikleren. Så kan man ofte bilde folk ind at de også lige skal angive deres brugernavn og kodeord. Der skal nok være nogen der er så naive.

(20-06-2015, 16:41)Doctor Blue Skrev: Der har været noget fusk med apps der slår op i dit nøglekort for dig, hvor nøglekortet bare sendes til udvikleren. Så kan man ofte bilde folk ind at de også lige skal angive deres brugernavn og kodeord. Der skal nok være nogen der er så naive.

Der er slet ingen tvivl om, nogle ville gøre det.
Bare det at folk har scannet deres nøglekort ind og uploaded det til en webside, viser hvor meget folk tror på. :(
For mig er det lige så fjollet, som folk der tror på, de har vundet en milliard i noget lotto de aldrig har spillet, og de bare lige skal sende penge den anden vej først.
Der er nok ikke nogen her inde, der falder for det. :D

(20-06-2015, 18:25)iTick Skrev: Der er slet ingen tvivl om, nogle ville gøre det.
Bare det at folk har scannet deres nøglekort ind og uploaded det til en webside, viser hvor meget folk tror på. :(
For mig er det lige så fjollet, som folk der tror på, de har vundet en milliard i noget lotto de aldrig har spillet, og de bare lige skal sende penge den anden vej først.
Der er nok ikke nogen her inde, der falder for det. :D

Ellers må de lige sige til så jeg kan smide dem ud ;)
Jeg er ret sikker på at have hørt en nyhed om det specifikke nummer før.

(20-06-2015, 22:27)Doctor Blue Skrev: Ellers må de lige sige til så jeg kan smide dem ud ;)
Jeg er ret sikker på at have hørt en nyhed om det specifikke nummer før.

Hehe. Deal. :)

(20-06-2015, 04:21)iTick Skrev: Jeg ved ikke om nogen her inde, reelt set har være der inde.
Det kan være, det kan lade sig gøre. Det kræver dog at hackeren sidder på fingerspidserne når det sker.

Tricket siges at være følgende:
Hackeren har lavet en "phishing side", rippet fra bankens hjemmeside, som virker som en "proxy" mellem hackeren og kunden.
Kunden tramper så sine oplysninger ind i på denne side. Altså brugerid/cpr og kode, som hackeren så får.
Hackeren skynder sig så at trampe de samme oplysninger ind på bankens rigtige side. Han får så nummeret på koden fra nøglekortet fra bankens rigtige side, han skal bruge, som han sender til ofret via phishing siden.
Ofret tramper så koden fra kortet ind på siden, som hackeren så får, og kan trampe ind på bankens rigtige side.

Meget spændende. Men om nogen reelt set har været der inde, ved jeg ikke. Nogle har sikkert nået en del af vejen.. Who knows.

Jeg lavede engang en side for en kunde, hvor en bot indtastede samme info hos banken, som blev indtastet på phising siden. Derefter tog den et screenshot hos banken, og "læste" det der stod, og fyrede så det tilbage på phising siden.

(23-06-2015, 18:13)Malmoc Skrev: Jeg lavede engang en side for en kunde, hvor en bot indtastede samme info hos banken, som blev indtastet på phising siden. Derefter tog den et screenshot hos banken, og "læste" det der stod, og fyrede så det tilbage på phising siden.

Ok. Det lyder meget tilsvarende.
Det burde jo også kunne lade sig gøre. :)