eBay- und PayPal-Sicherheitsschlüssel

[xxx]

Finde ich ganz interessant

http://pages.ebay.de/sicherheitsportal/sicherheitsschluessel.html

xxx

 

[think]

ja,klar typisch ebay: wer in unserem sowieso sicheren auktionshaus mehr sicherheit will muss halt blechen.

der algo wird sowieso bald ausgelesen sein und als keymaker.exe überall zum downloaden sein

andy

 

[Goonie]

Da hab ich neulich was kritisches zu gelesen, da gab es irgend einen Hack, lag aber am System.

Wer im Finanzbereich mit der DGAP zu tun hatte - die hat solche Tokens herausgegeben, mit denen man sich für Ad-hoc-Meldungen identifizieren konnte. War MEGA-unpraktisch.

G.

 

[stb]

Ich frage mich, wie die Synchronisation stattfindet. Challenge/Response wäre IMO einfacher und ähnlich sicher.

EDIT, weil zu laaaahm...

Original von goonie
Wer im Finanzbereich mit der DGAP zu tun hatte - die hat solche Tokens herausgegeben, mit denen man sich für Ad-hoc-Meldungen identifizieren konnte. War MEGA-unpraktisch.

Was sind denn Ad-hoc-Meldungen?

 

[think]

hi,
live-synchronisation wirds da wohl keine geben.wird wohl wie TAN system laufen.

andy

 

[ediona]

das ist ja mal sehr nett, das epay zugibt, dass ihr ganzes system unsicher ist
aber dann noch geld verlangen...

 

[stb]

synchronisation wirds da wohl keine geben.wird wohl wie TAN system laufen.

Du hast ja keine Liste. Deine "Liste" ist das Gerät selbst. Zumindest habe ich das so verstanden. Wenn alle 30 Sekunden (=Taktung) ein neuer Code erzeugt wird muss das auf beiden Seiten passieren.

ediona
das ist ja mal sehr nett, das epay zugibt, dass ihr ganzes system unsicher ist

LOL . Informiere dich mal, wie sehr sich Banken um Sicherheit von Geldkarten oder Online-Banking scheren. Da sträuben sich einem die Nackenhaare. Ich glaube das nennt sich im Fachjargon "rentable Sicherheit".

 

[groschen]

habe so ein änliches ding bei meinem Kumpel gesehen, arbeitet als Systemadministrator bei einer sehr großen Firma

 

[think]

ja,ein algo erzeugt den key im gerät und bei eingabe wird der key vom jeweiligen user zugeordneten algo decrypted.....denke ich.
nur müsste dann jeder schlüssel anders arbeiten.

 

[stb]

Original von think
ja,ein algo erzeugt den key im gerät und bei eingabe wird der key vom jeweiligen vom user zugeordneten algo decrypted.....denke ich.
nur müsste dann jeder schlüssel anders arbeiten.

Damit musst Du immer noch die Zuordnung auf der Gegenseite vornehmen. Oder ich stehe gerade auf dem Schlauch. Nehmen wir an, ich will mich einloggen.

1. Login-Daten eingeben
2. Temporären 30-Sekunden-Code erzeugen
3. Temporären Code eingeben

Ohne jetzt zu formal zu werden: Wenn die Zeit des Tokens nicht mit der Zeit des Paypal-Servers übereinstimmt gibts doch ein Problem, oder?

:?

 

[think]

ja,und online wird dann der dir zugeordnete algorhytmus prüfen ob der key von deinem schlüssel kommt.

 

[TP40Neuling]

Hi,
ich benutze solch ein Token für unser SSI Portal in der Firma in der Rufbereitschaft. Muss sagen, das Teil hat mich noch nie im Stich gelassen. Denke auch, dass es Zeit war bei Ibäh solche Sicherheitseinrichtungen einzusetzen. Die 4,95 sind für das Token, sonst fallen keine weitere Gebühren an oder habe ich da etwas überlesen?

Gruß
Rüdiger

 

[stb]

Und in Punkto Sicherheit bringt das Ganze in Bezug auf Phishing mal wieder gar nüscht. Da wären Chipkarten eindeutig der bessere Weg gewesen.

Original von think
ja,und online wird dann der dir zugeordnete algorhytmus prüfen ob der key von deinem schlüssel kommt.

Und dafür ist das Zeitinterval 30 Sekunden. Und das nur, wenn die Uhren absolut synchron laufen. Bei einer schlechten Route und dem "Eingabedelay" verschlechtert sich das Intervall noch weiter.

Original von TP40Neuling
ich benutze solch ein Token für unser SSI Portal in der Firma in der Rufbereitschaft.

Zeigt dir das Ding auch eine Nummer an die Du eingeben musst? Ich hätte bei so einer Anwendung eher auf ein Token mit RSA Zertifikat (oder ähnlich) getippt.

 

[TP40Neuling]

Ich habe einen Benutzernamen und eine vierstellige ID. Nach Drücken auf das Token erscheint eine 8 stellige Zahlenkombination, welche ich hinter die ID eingebe und schon bin ich eingeloggt. Für die Eingabe verbleiben 30 Sekunden, eine Zeitscheibe im Token zeigt die verbleibende Zeit an. Reicht massig, falls die Finger nicht so wollen dann hat man die Möglichkeit die Prozedur nochmals auszuführen, aber nicht mehr als dreimal. Nach dem dritten Mal ist man gesperrt (ist noch nicht passiert).

Gruß
Rüdiger

 

[Malloc]

Ich hab diesen eBay/Paypal-Token seit 6 Wochen, funktioniert einwandfrei.

 

[stevenlittlehookfield]

Scheint mir so ziemlich das gleich System zu sein, was mir meine Bank nun aufgeschwatzt hat.

Ein TAN Generator (SmartTAN). Ich will eine Überweisung durchführen und bräuchte normaler Weise einen TAN von einer Liste. Nun gibt mir das Bakprogramm aber zwei Codes, die ich bei eingesteckter EC Karte in meinen "TAN Token" eingebe und der errechnet daraus eine TAN. Die kann ich dann wiederum eingeben.

Das solle dann auch viel sicherer sein.

Ich denke, das ebay Ding funktioniert ähnlich. Benutzername / Passwort wie gehabt, Codenummer, Eingabe, Umrechnung, PIN, die dann Eingeben und ab zu ebay ...

 

[techno]

wie schön für Dich....

 

[jabonn]

So schön und lustig das ja mit den Keys etc sein mag - eBay sollte lieber den "Nigeria" Mist in Griff bekommen, oder diese ständigen Belästigungen von Hongkong elektro Importeuren etc... - das wäre eine Erleichterung und würde helfen... - nicht so etwas!

 

[think]

@jabonn,

das mit den phishing accounts ist imho schon ein problem.vermehrt bis schlimm aber in kategorien außerhalb pc-technik/internet/multimedia.
ich tummel mich viel in business/industrie/traktoren und schlepper und dort geht in letzter zeit echt der punk ab.
seitenweise gehackte accounts mit z.t. hochpreisigen traktoren und hochglanzbildern.
das ist in dieser kategorie bereits die tagesordnung und nervt extrem,schaue aber selten in andere sparten (ausser thinkpads) und kann da nix zu sagen.
Hier
auf anhieb gefundener fake.

andy

 

[jabonn]

business/industrie/traktoren und schlepper - da kann ich natürlich nichts zu sagen... - Ich denke sowieso, dass alles eine Sache der Vorbereitung ist. Ich habe für "Online-Geschäfte" extra ein Postbank Konto und eine PrePay "Kreditkarte" - wenn diese Details mal in falsche Hände gelangen sollten, dann wäre das auch egal... da ist außer für die entsprechenden Zahlungen nichts drauf - Kreditrahmen gibt es auch nicht - also Schaden gleich ?0

Darum - der ganze Wirbel und Aufwand mit phishing, Kreditkarten Details und email Adressen etc... - läßt mich alles kalt - wenn ich einen Missbrauch feststellen sollte, konnte kein Schaden eintreten und dieser ID-Zweig wird dann einfach gelöscht...