zurcksetzen von Firefox unter MAC OS 10.5.8

    Fox, kommt man so auf 12744 Beiträge? Ich nehme an, weissbauch1-1 wird mir das "r" verzeihen.

    Zitat von Sören Hentzschel


    aber ich will darauf hinaus, dass wir hier nicht zu stark verallgemeinern sollten, denn global betrachtet ist der Sicherheits-Standard bei Banken erschreckend schwach.

    Eben deshalb erwähnte ich das Thema, um nicht zu verallgemeinern. Was ohne Zweifel für das Shopping gilt, gilt eben nicht für das erwähnte Verfahren beim Online-Banking.
    Auch Poodle und Co. spielen in diesem Zusammenhang keine Rolle. Denn wenn jemand darüber die Bank angreift, hat das ja nichts mit dem Zustand des PC daheim zu tun. Damit könnte er mein Konto sogar dann plündern, wenn ich gar keinen Rechner besitze.

    Selbstverständlich hat das mit dem Zustand des PCs daheim zu tun - es macht einen Unterschied, ob das System anfällig gegen eine Sicherheitslücke ist oder nicht. Und Firefox 12 ist anfällig, neuere Firefox-Versionen (34 aufwärts) unterstützen SSL 3.0 überhaupt nicht mehr. Vielleicht ist dir nicht klar, was Poodle ist, aber Poodle erlaubt MITM über ein unsicheres Protokoll, welches ein Angreifer erzwingen kann, das hat also sogar sehr viel damit zu tun. Und das ist nur ein Beispiel, in den letzten Jahren gab es mehr als genug schwerwiegende Sicherheitslücken, zurückgezogene Zertifikate etc. Auch für Online-Bankung spielt das eine sehr große Rolle.

    Sören, ich glaube dir ist nicht klar, wie so ein TAN-Generator funktioniert. Diese Geräte sind personalisiert und berechnen die TAN völlig unabhängig vom benutzen Rechner. Das funktioniert wie bei einer Token Card: Die Bank schickt eine Challenge, der Generator errechnet die Antwort. Ein Angreifer kann sich auf meinen PC setzen oder auch Man-in-the-middle sein. Er kann nicht einmal die Challenge der Bank an mich korrekt simulieren.
    Die Challenge der Bank enthält die Informationen über den Betrag und das Konto, auf das überwiesen wird. Der Generator zeigt diese Daten zur Kontrolle auch an, völlig unabhängig vom PC. Wenn also jemand die daraus errechnete TAN mitlesen kann, hilft sie ihm nichts, weil sie für einen anderen Betrag oder ein anderes Zielkonto gar nicht gültig wäre.

    Es spielt daher bei diesem Verfahren überhaupt keine Rolle, in welchem Zustand mein Rechner ist. Der kann noch so verseucht sein.

    Fox, die Frage kann so ernstgemeint nicht gewesen sein, weil du die Antwort schließlich kennst. Für mich hatte sie daher rein provokativen Charakter. Was nun den nächstes Statement betrifft, with all due to respect, wie man im Englischen sagt, ich glaube nicht, dass ich mich gegenüber dir verstecken müsste.

    Einmal editiert, zuletzt von Anonymous (7. November 2014 um 12:55)

    Du bist die einzige Person, die in diesem Thread von einem TAN-Generator spricht. Damit kommen wir auf die Frage von Fox2Fox zurück. Ich habe zwei Konten, beide nutzen ein jeweils anderes Verfahren und ein TAN-Generator ist weder bei meiner einen noch bei meiner anderen Bank Bestandteil. Insofern brauchen wir hier nicht über TAN-Generatoren zu sprechen. Das Thema ist ein vollkommen anderes. Es ging hier um Sicherheitslücken und es steht ja nun vollkommen außer Frage, welche Relevanz die haben und dass das Bankseiten natürlich nicht ausschließt, da ist Sicherheit mindestens genauso wichtig wie sonst überall auch, wenn nicht wichtiger. Wenn du über Bankverfahren sprechen möchtest, eröffne bitte ein Thema im Smalltalk-Bereich, darum geht es hier nicht, das hilft dem Themenersteller nicht. Kurz: es ist Off-Topic.

    Sören, in diesem Forum wird das Online-Banking mit nicht aktuellen Systemen immer wieder als große Gefahr angeführt und zwar ganz pauschal. Auch von Dir. Diese Verallgemeinerung ist sachlich nicht richtig. Darauf wollte ich hinweisen.

    Ich finde es auch nicht richtig, dass du jetzt auf off-topic verweist, anstatt anzuerkennen, dass das von mir erwähnte Verfahren entgegen deiner Darstellung völlig unabhängig von Sicherheitslücken auf dem PC ist.
    Im Übrigen begann die Diskussion bereist off-topic zu gehen, als das Thema Sicherheitslücken zum ersten Mal erwähnt wurde. Und das kam nicht von mir. Wenn ihr also schon off-topic seid, wird es wohl erlaubt sein, auf offensichtliche sachliche Fehler hinweisen. Selbst, wenn sie von dir stammen.

    Wenn du selbst noch ein Verfahren ohne TAN-Generator benutzt, wäre mein erstgemeinter Rat, das rasch zu ändern. Ganz in eurem Sinne: Sicherheitsupdates sind wichtig. Dieses ist meiner Meinung nach sogar noch wichtiger als so manches andere Update.

    Zitat von Valerie

    Fox, die Frage kann so ernstgemeint nicht gewesen sein...

    Wenn ich dir mitteile, dass meine Frage ernst gemeint ist, dann ist sie ernst gemeint!

    Zitat

    ...weil du die Antwort schließlich kennst.

    Eine dumme und unverschämte Unterstellung!
    Wenn du etwas behauptest, dann musst du deine Behauptung begründen. Sonst niemand.

    Und wenn du schon Respekt ansprichst: Respekt besteht auch darin, nicht nur das eigene Geschriebene ernst zu nehmen, sondern auch das, was dir von anderen Mitgliedern mitgeteilt wird.

    Und provokativ finde ich dein Geschreibsel, aber das nicht erst seit heute!
    Und du entscheidest, ob du Meldewürdiges abgibst.

    Verstecken? Hast du ein Problem? Bei mir nennt sich das ignorieren per Liste.

    PS: zum Thema:
    Was glaubst du, auf welche Art und Weise Bankkonten leer geräumt werden? Und was sind die besten Bedingungen dafür?

    Zitat von Valerie

    Sören, in diesem Forum wird das Online-Banking mit nicht aktuellen Systemen immer wieder als große Gefahr angeführt und zwar ganz pauschal. Auch von Dir. Diese Verallgemeinerung ist sachlich nicht richtig. Darauf wollte ich hinweisen.

    Natürlich ist das eine Gefahr, oder glaubst du, Sicherheitslücken hätten keine Auswirkungen und wären vernachlässigbar? Und natürlich spielen Sicherheitslücken bei sensiblen Bereichen wie den Finanzen eine größere Rolle als bei der privaten Webseite des Nachbarn.

    Zitat von Valerie

    Ich finde es auch nicht richtig, dass du jetzt auf off-topic verweist, anstatt anzuerkennen, dass das von mir erwähnte Verfahren entgegen deiner Darstellung völlig unabhängig von Sicherheitslücken auf dem PC ist.

    Das Thema TAN-Generator hat nichts mit dem Thema zu tun, darum ging es hier nie.

    Zitat von Valerie

    Im Übrigen begann die Diskussion bereist off-topic zu gehen, als das Thema Sicherheitslücken zum ersten Mal erwähnt wurde. Und das kam nicht von mir. Wenn ihr also schon off-topic seid, wird es wohl erlaubt sein, auf offensichtliche sachliche Fehler hinweisen. Selbst, wenn sie von dir stammen.

    Der Themenersteller verwendet OS X 10.5 und Firefox 12, natürlich geht es hier um Sicherheitslücken. Das müssen wir in diesem Zusammenhang ansprechen. Aber nicht TAN-Generatoren.

    Zitat von Valerie

    Wenn du selbst noch ein Verfahren ohne TAN-Generator benutzt, wäre mein erstgemeinter Rat, das rasch zu ändern. Ganz in eurem Sinne: Sicherheitsupdates sind wichtig. Dieses ist meiner Meinung nach sogar noch wichtiger als so manches andere Update.

    Unsinn. TAN-Generator ist eines von mehreren Verfahren, es gibt auch noch andere Verfahren, die nicht minder sicher sind. Aber nochmal: Das Thema können wir im Smalltalk-Bereich erörtern, das hilft dem Themenersteller nicht. Die Diskussion über die Sicherheit seines Systems hingegen hilft ihm sehr.

    Der Umstand, mit einem nicht aktuellen System unterwegs zu sein und Banking zu betreiben -egal, auf welche Art- hat auch rechtliche Aspekte. Wenn es darum geht, wer für den entstandenen Schaden aufkommt, dann interessiert auch die Aktualität des Systems. Wenn es nicht aktuell ist, wird die Bank wohl kaum für den entstandenen Schaden aufkommen!

    Es ist letztendlich immer die Verantwortung desjenigen, der sich mit nicht aktuellem System umgibt.
    Wer sagt: Brauche ich nicht, will ich nicht, ist alles falsch und egal, ob aktuell oder nicht, derjenige wird den Schaden haben. Es geht um Aufklärung und zwar um die Aufklärung, die inhaltlich korrekt ist!
    Und es ist völlig daneben und grob fahrlässig, wenn @Valerie verbreitet, dass mit erwähntem System Banking nicht unsicher ist.

    Wer hat dir das eigentlich gezwitschert, Valerie? Die Quelle dazu hätte ich gerne mal gesehen!

    Speziell für Mac OS habe ich kein Beispiel
    Microsoft beendet Unterstützung für Windows XP [Blockierte Grafik: http://i39.tinypic.com/2hfuwkm.png]

    Kannst du auch selber mal recherchieren. Irgendwann triffst du mal auf haltbaren Widerspruch bezgl. deiner Aussagen.

    Ich will mal versuchen, etwas Schärfe herauszunehmen und auf die Sachebene zurückzukommen. Allein schon weissbauch1-1 zuliebe.

    Zitat von Fox2Fox


    Wenn du etwas behauptest, dann musst du deine Behauptung begründen.

    Meine Behauptung lautet: Die Aussage, dass Online-Banking mit einem veralteten System, wie dem vom weissbauch1-1, unsicherer sei, als mit einem aktuellen System, ist in dieser Pauschalität falsch.

    Sie ist deshalb falsch, weil zumindest dann, wenn man ein sicheres Verfahren verwendet, der eigene Rechner dabei überhaupt keine Rolle mehr spielt.
    Die technische Begründung habe ich oben bereits gegeben. Jeder kann nachlesen, wie dieses Verfahren funktioniert.

    Die sachlichen Gegenargumente, die ich hier lesen konnte, sind technisch nicht korrekt (siehe SSL, Poodle), weil beides keinen Einfluss auf das Verfahren hat.

    Technisch ist das Verfahren nach heutigem Stand sicher, egal in welchem Zustand sich der Rechner des Benutzers befindet. Wenn jemand Zweifel hat, möchte ich darum bitten, diese sachlich und explizit zu diesem Verfahren zu stellen. Von mir aus auch offline. Ich bin gern bereit diese so gut ich kann zu beantworten.

    Ich akzeptiere, dass für weissbauch1-1 ein Umstieg derzeit nicht möglich ist. Meine Hilfestellung ist daher der Rat, schnellstmöglich auf dieses Verfahren umzusteigen, sofern er es nicht schon verwendet.
    Insofern ist das auch kein Smalltalk sondern ein meiner Meinung nach wichtiger Hinweis. Damit ist ihm mehr geholfen, als mit Vorwürfen.

    Also ehrlich gesagt bist du diejenige Person, die hier pauschalisiert. Meine Aussage war ja explizit, eben nicht so zu pauschalisieren, wie du es tust. Du kannst vielleicht für deine Bank sprechen, aber nicht für alle Banken. Du kennst überhaupt nicht die Sicherheitsstandards der verwendeten Bank des Themenerstellers, insofern ist es relativ sinnfrei über mögliche Verfahren seiner Bank zu spekulieren. Es geht weder um TAN-Generatoren noch geht es um Poodle, letzteres war nur ein aktuelles, aber wahlloses Beispiel für eine sehr schwerwiegende Sicherheitslücke, die in neuen Firefox-Versionen kein Problem ist, aber in alten eben schon. Der Punkt, über den hier gesprochen wurde, war dass es Sicherheitslücken gibt und diese spielen grundsätzlich mal auf jeder betroffenen Webseite eine Rolle, davon sind Banken selbstverständlich nicht ausgenommen. Mal abgesehen davon, dass man unter Online-Banking nicht nur die Bank-Webseite selbst verstehen muss. Amazon Payments fragt z.B. nicht einmal nach der Prüfsumme der VISA-Karte, einfach nur Kreditkartennummer, Besitzer und Gültigkeitsdatum eingeben und es wird abgebucht. Keine SMS, kein TAN-Generator, nichts. Auch das kann man im Sprachgebrauch ja wohl als Online-Banking einzuordnen, denn wenn wir von Online-Banking sprechen, dann meinen wir in der Regel ja, dass wir jemandem Geld überweisen, also genau das, was wir mit Amazon Payments auch machen.

    Ich habe mir in meinem letzen Beitrag wirklich Mühe gegeben, ganz sachlich zu bleiben und meine Behauptung klar zu formulieren. Schade, dass du nun doch gleich in der ersten Antwort wieder ausweichst. Ich kann darin kein einiziges Sachargument erkennen, das meiner Aussage widersprechen würde.

    Ich habe auch nirgends pauschalisiert sondern das Gegenteil getan: Ich habe differenziert indem ich aus einer allgemeinen Aussage einen Fall herausgestellt habe, für den diese nicht zutrifft.

    Ich rate weiterhin jedem, aus dem oben aufgeführten Gründen dazu, wenn möglich auf das Generator-Verfahren umzusteigen. Auch wenn sein System top aktuell ist. Das beliebte mTAN-Verfahren bietet z.B. keinen Schutz vor unerkannten Trojanern und MITM, was erfolgreiche Angriffe ja auch gezeigt haben.

    Aber gut, ich mag mich nicht weiter im Kreis drehen. Ich überlasse das letzte Wort dir und stehe allen Interessierten gern offline oder in Smalltalk zur Verfügung.

    Zitat von Valerie

    Ich habe mir in meinem letzen Beitrag wirklich Mühe gegeben, ganz sachlich zu bleiben und meine Behauptung klar zu formulieren. Schade, dass du nun doch gleich in der ersten Antwort wieder ausweichst.

    Eine ausführliche Antwort zu geben ist ja wohl das Gegenteil von Ausweichen. Und das sagst ausgerechnet du, nachdem du auf meinen Beitrag kein bisschen eingegangen bist. Du machst es dir ein bisschen sehr einfach.

    Aber wenn du dir für diesen Beitrag wirklich Mühe geben musstest, dann will ich das mal anerkennen, belasse es dabei und unterdrücke mein Lachen an der Stelle, an der du meinst, die Dinge differenziert zu betrachten.

    Zitat von Sören Hentzschel


    und unterdrücke mein Lachen an der Stelle, an der du meinst, die Dinge differenziert zu betrachten.

    Ich will nicht darüber urteilen, ob du dich in dem Thema einfach technisch zu wenig auskennst oder du einfach nur Recht haben musst. Aber dass du so etwas nötig hast überrascht mich jetzt doch.

    Wenn du darüber nicht urteilen möchtest, dann beantworte ich dir die Fragen sehr gerne: Ich kenne mich mit dem Thema gut genug aus, bei dir habe ich Zweifel, ich muss nicht Recht haben und nötig hab ich schon gar nichts außer Essen, Trinken, Atmen und Schlafen. Zusatz-Antwort auf eine nicht gestellte Frage: Ich unterschreibe den von anderen anderswo geäußerten Verdacht, dass dies nicht dein erster Account hier ist. Aber es war klar, dass wenn gesagt wird, man würde nichts mehr im Thema schreiben, doch noch was kommt, das sind immer die ersten, die dann doch direkt auf den nächsten Beitrag wieder antworten. Im Übrigen kann spätestens dieser Teil der Unterhaltung nicht mehr als vertretbarer Off-Topic für das Thema gesehen werden, jetzt sind wir vollkommen vom Thema weg.

    TAN-Generator hin oder her ist völlig egal. Eine MITM,MIB oder Trojanerattacke wird durch ein unsicheres OS sehr begünstigt, wenn nicht gar provoziert (deshalb der Hinweis auf die Schadenshaftung). Meistens läuft das so: Du gehst auf die Seite der Bank und wirst auf eine gespiegelte oder gefakte Seite umgeleitet. Da gibst du deine Daten ein und die werden vom Hacker ausgelesen. Bei Chip-TAN z.b. kann der Hacker einen Barcode simulieren, den der TAN-Generator auch lesen kann. Dann steht da im Gerät eine ähnliche Bankverbindung wie die, an die die Transaktion gehen sollte.

    M.E. ist zw. ITAN und Chip-TAN Verfahren sicherheitsmäßig gar nicht so ein großer Unterschied. Es ist bei den genannten Angriffsmethoden völlig egal, da der Hacker die Daten vorher abgreift.

    Vllt. sollte man das Thema mal abtrennen und umbenennen.

    Gut, dann mache ich folgenden Vorschlag an Sören. Du trennst diesen Beitrag ab nach Smalltalk. Nur diesen und den vom Darklord. Von deinem Lachen über mich und der Unsachlichkeit sollen bitte alle in diesem Faden weiterhin lesen können.

    In dem neuen Faden diskutieren wir sachlich weiter und du zeigst auf, wie man auf einem löcherigen System das Generator-Verfahren knacken kann. Mit anderen Worten, wie man eine beliebige Sicherheitslücke auf dem Rechner des Nutzers dazu verwenden kann, dieses Verfahren zu brechen.
    Wohlgemerkt, wir reden von dem PC des Nutzers, nicht von einem Angriff auf den Server der Bank. Wir reden auch nicht davon, dass man sein System stets aktuell halten sollte. Darüber besteht kein Zweifel.
    Im Gegenzug zeige ich auf, welche Unsicherheiten es bei den anderen Verfahren gibt. Einverstanden?

    Zitat von Valerie

    Gut, dann mache ich folgenden Vorschlag an Sören. Du trennst diesen Beitrag ab nach Smalltalk. Nur diesen und den vom Darklord. Von deinem Lachen über mich und der Unsachlichkeit sollen bitte alle in diesem Faden weiterhin lesen können.

    Entweder ganz oder gar nicht. Du fängst von diesem Thema wesentlich früher an.

    Nein, damit bin ich nicht einverstanden. Meine frühere Beiträge waren durchaus als Hilfe für den TO gemeint. Du darfst aber gern ab einer beliebigen Stelle kopieren.

    Ich hätte noch einen weiteren Wunsch.

    Zitat von Sören Hentzschel


    Ich kenne mich mit dem Thema gut genug aus, bei dir habe ich Zweifel

    Deshalb möchte ich, dass dies zunächst auch eine Diskussion zwischen dir und mir bleibt. Natürlich soll ein jeder posten dürfen. Aber ich muss ehrlich zugeben, dass ich diesen Satz von dir schon persönlich nehme. Deshalb wäre es meiner Meinung nach auch an dir, zunächst aufzuzeigen, wie ein solcher Angriff gelingen könnte.

    P.S.: Eines noch. Fehler im Verfahren selbst, wie der Angriff auf das Sparkassen-Sammel-Überweisungs-Modell seien bitte ausgenommen. Dabei handelte es sich um einen Fehler in diesem Verfahren, nicht auf dem Rechner des Kunden.

    Einmal editiert, zuletzt von Anonymous (7. November 2014 um 18:05)