NemID trojaneren

I forbindelse med afsløringen af spionsoftwaren, der kan aflure dine login når du logger ind med din NemID, foreslår NETS, at der anvendes et plugin, som er udarbejdet af Finansrådet og CSIS, og som kan tjekke for denne trojaner, der ikke kan findes med traditionel antivirus programmel.

NemID trojaneren kommer ind på din computer fra en helt almindelig hjemmeside, der har fået installeret denne virus, legitimt eller ved hackning. Dette gør potentielt alle hjemmesider sårbare og dermed til mulige virusbringere, til brugere der ikke opdager de får installeret en parasit på sin computer.

Danske Bank har kunder, der har mistet kr. 700.000,- tilsammen den 10. februar. 2012 i et angreb mod kundernes bankkonti.

På de maskiner kunderne anvendte var der ifølge kilder installeret opdateret antivirus software, men ingen af disse programmer kunne identificere den trojaner, der åbnede for utilsigtet adgang til kundernes bankkonti, via login med NemID, som skulle være noget nær umulig at hacke sig igennem i følge udviklerne af systemet.

NemID er det sikkert?

Som udgangspunkt er det mere sikkert end traditionel homebanking, men systemet er ikke sikkert, når der anvendes java i programopbygningen, så er systemet ikke sikkert, uanset hvad den ene eller anden specialist kommer med af udtalelser, så vil der være sårbarheder, som giver mulighed for uautoriseret adgang fra tredjepart, og specielt hvis der tillades parallelle vinduer.

I de tilfælde der er rapporteret, er der foregået en handling parallelt samtidig med brugeren har anvendt netbanken, herved er der åbnet flere vinduer til samme konto samtidig – og kunden har selv indtastet sin sikkerhedskode via et nyt vindue, som efterfølgende giver hackeren mulighed for at lænse kontoen.

Nu anbefaler NETS så at downloade et program, som er udviklet ekspress af Finansrådet og CSIS. Programmet kan finde denne trojaner,  og programmet kan hentes hos CSIS, men er det så løsningen fremefter?

Kommer der en version2, 3, 4, 5 , 5 osv. Og kommer der opdateringer, som kan identificere denne type trojaner, eller er der bare tale om falsk trykhed hos forbrugerne?

Hvis der først skal downloades software til at identificere anden software uden for de traditionelle antivirus programmer, hvor ender det hele så henne? Hvor hentes disse programmer fra? Og er der så nogle imellem, der henter sådanne programmer fra tredjeparts websteder i god tro, hvor programmet annonceres og ligger til gratis download – og hvor de så får installeret nye trojanere i stedet for sikkerhed.

Det har taget mange år at udvikle NemID, her er ikke alle sikkerhedsmomenter taget med i ricikovurderingen af denne software og dens sikkerhed inden den er taget i brug, mange eksperter har- og påtaler til stadighed sårbarheder i systemet.

Det bliver spændende at følge fremover om der kommer stabile løsninger på problemet, men vi skal nok ikke forvente, at der er særlig stor åbenhed fra bankerne og NETS omkring disse tyverier, så længe tyverierne ligger indenfor en økonomisk ramme, som banker og formidlerne finder acceptabelt.