Bra BankID løsning

[vidor]

Når de faset ut BankID på mobil ba jeg DnB (via Sbanken kundeservice) om å sende meg kodebrikke så jeg slapp app. De ville jo at jeg skulle bruke app, men de sendte meg kodebrikke.

[mobile999]

vidor skrev (5 minutter siden):

 

Jeg regner ikke med at kodebrikka fungerer uten bankidpassord.

[vidor]

Det er riktig. Sikkerheten samsvarer sånn sett med noe man vet (som er passordet) og noe man har (som er kodegeneratoren)

[zanta]

BankID på mobil har dårlig sikkerhet, kun en kode på mobilen for å logge inn. Mange har samme kode her som overalt ellers, så det er ganske lett å gjette hva koden er, og enkelt å komme inn i andres nettbank etc. BankID på mobil vil slutte å virke når ditt "BankID på mobil"-sertifikat utløper eller dersom du bytter SIM.

BankID bruker 2-faktor innlogging, som forutsetter "noe du har" og "noe du vet". "Noe du har" er enten kodebrikke eller app, "noe du vet" er passordet ditt.

For innlogginger som ikke krever høy sikkerhet kan man ofte logge inn uten passordet: Man får opp et ord på siden der man skal logge inn, og BankID-appen viser 3 ord. Man trykker på det samme ordet i BankID-appen som vises der man logger inn, og kommer inn uten passord.

Det finnes 3 BankID-apper: Den som SpB1 bruker, den som Nordea bruker og den som alle andre banker bruker.

Jeg har brukt den vanlige BankID-appen på iPhone siden starten, og dagens versjon fungerer alltid: Man får et varsel på skjermen, trykker og holder på varslet og velger "Ja, det er meg". Dersom telefonen er låst da varslet kommer må man bekrefte med TouchID eller FaceID (avhengig av iPhone-modell). Så må man bruke "noe du vet", som er passordet.

Jeg har brukt BankID-appen på Android siden starten, og her har jeg noe dårligere erfaring, det er mer ustabilt, litt tilfeldig om varslet forblir synlig eller ikke. Dette avhenger sikkert av Androidversjon og -skall fra produsent.

[vidor]

Det var vel i utgangspunktet tenkt at BankID på mobil var en B-løsning som ikke skulle brukes til de mest sensitive sikkerhetssituasjonene, men det virker som den ble tatt inn mer i varmen etter hvert.

Inntil man valgte å fase den ut.

Sikkerhetsmessig synes jeg ikke det er trygt å bare ha systemet på mobil heller med det som finnes av hackervertøy.

Jeg foretrekker BankID-brikken fordi den er rimelig grei sikkerhetsmessig. Den er faktisk programmert sånn at når den mister strømmen så mister den også nøkkelen som koden genereres ut fra og du trenger en ny. Ingen vits å prøve og bytte batteri (fungerer kun om brikken har fungerende batteri og har en ok strømforsyning koblet til mens du gjør det)

Endret 2. desember 2023 av vidor

[Investigator224]

vidor skrev (På 2.12.2023 den 17.37):

Sikkerhetsmessig synes jeg ikke det er trygt å bare ha systemet på mobil heller med det som finnes av hackervertøy.

Jeg foretrekker BankID-brikken fordi den er rimelig grei sikkerhetsmessig. Den er faktisk programmert sånn at når den mister strømmen så mister den også nøkkelen som koden genereres ut fra og du trenger en ny. Ingen vits å prøve og bytte batteri (fungerer kun om brikken har fungerende batteri og har en ok strømforsyning koblet til mens du gjør det)

Jeg kjenner IT folk som har jobbet mot dette.  Bank ID brikke er det som skaffer dem mest jobb. Mest kunder blir svindlet med bankid brikke.

For deres del, så er bankid app det som gir minst jobb og hodebry.

Når det er sagt, så syns jeg det er ekkelt å skulle stole på duopolet apple og google til vitale samfunnstjenester.

[Chr1stian]

Man kommer seg ikke unna å ha gode (helst unike) passord på tjenester i 2023. Derfor bør man uansett bruke en Password Manager App, som er laget for å håndtere nettopp passord på en god måte. Disse lar seg som regel åpne og fylle ut passord ved hjelp av biometri eller ansiktsgjenkjenning. Da blir det utrolig enkelt å logge inn med den gode nye BankID appen, og samtidig mye sikrere enn den gamle løsningen som benyttet SMS (regnet som ekstremt usikret). I tillegg trenger du bare huske på det éne passordet du bruker for denne appen, og kan glemme alle andre som du har lagret/generert i appen for andre tjenester.

Anbefaler app 1Password eller Bitwarden. Alternativt går det vel nå også ganske fint med Apple Keychain eller Google Password Manager.

 

[oddeh]

zanta skrev (På 2.12.2023 den 9:57 AM):

BankID på mobil har dårlig sikkerhet, kun en kode på mobilen for å logge inn. Mange har samme kode her som overalt ellers, så det er ganske lett å gjette hva koden er, og enkelt å komme inn i andres nettbank etc. BankID på mobil vil slutte å virke når ditt "BankID på mobil"-sertifikat utløper eller dersom du bytter SIM.

BankID bruker 2-faktor innlogging, som forutsetter "noe du har" og "noe du vet". "Noe du har" er enten kodebrikke eller app, "noe du vet" er passordet ditt.

"BankID på mobil" er/var også tofaktor.

[zanta]

oddeh skrev (1 time siden):

"BankID på mobil" er/var også tofaktor.

Hvordan var/er den 2-faktor? Du trenger kun PIN på mobilen, så er du innlogget.

[oddeh]

zanta skrev (2 minutter siden):

Hvordan var/er den 2-faktor? Du trenger kun PIN på mobilen, så er du innlogget.

Det stemmer absolutt ikke.

[vidor]

3 hours ago, Investigator224 said:

Jeg kjenner IT folk som har jobbet mot dette.  Bank ID brikke er det som skaffer dem mest jobb. Mest kunder blir svindlet med bankid brikke.

Det tror jeg henger sammen med mengden slike brikker som folk har, og spesielt eldre som svindlerne går etter.

Teknohackere klarer enklere å remote svindle folk via en telefon, men dette er nok fåtallet av svindlere. Det er nok definitivt mest av lowtech svindlere som bedriver social engineering.

[Investigator224]

vidor skrev (7 timer siden):

Det tror jeg henger sammen med mengden slike brikker som folk har, og spesielt eldre som svindlerne går etter.

Teknohackere klarer enklere å remote svindle folk via en telefon, men dette er nok fåtallet av svindlere. Det er nok definitivt mest av lowtech svindlere som bedriver social engineering.

Den mest typiske bank-id svindelen er å bli oppringt, sendt til en "bank" side. Så blir du bedt om å taste inn bank-ID, som er veldig treg. På dette punktet er svindlerne på den riktige siden.  Deretter "feiler" bank-ID siden, slik at du må taste inn bank-ID igjen.  Dette fører til at svinderne bruker bank-IDn til å bekrefte at du skal tømme kontoene dine.

Sånn Ca.

Dette funker bare med en bank-ID brikke. 

[zanta]

oddeh skrev (9 timer siden):

Det stemmer absolutt ikke.

Kan du beskrive hvordan BankID på mobil er 2-faktor? Jeg har det ikke selv lenger, etter at jeg byttet mobiloperatør og fikk ny SIM.

[sk0yern]

zanta skrev (9 timer siden):

Hvordan var/er den 2-faktor? Du trenger kun PIN på mobilen, så er du innlogget.

Du trenger jo mobilen, eller SIM-kortet for å være mer presis.

[oddeh]

zanta skrev (2 timer siden):

Kan du beskrive hvordan BankID på mobil er 2-faktor? Jeg har det ikke selv lenger, etter at jeg byttet mobiloperatør og fikk ny SIM.

Som nevt er SIM-kortet det du har og PIN-koden det du vet.

[arne22]

Jeg fikk også denne meldingen fra DNB og var nær ved "å gå fem på".

Det er jo snakk om to forskjellige teknologier, som begge fungerer ved hjelp av mobilteknologi, og som løser den samme oppgaven, forholdvis likt. (Sett fra brukersted.)

Men de to teknolgiene fungerer en del forskjellig rent teknisk. Her er det snakk om en "gammel" og en "ny" teknologitype, og to forskjellige tekniske løsninger som begge gir "BankID ved hjelp av mobiltelefon". "BankID på mobiltelefon" er vel den gamle teknolgiløsningen som går ut, og "BankID ved hjelp av app på mobiltelefon" er den nyere teknologiløsningen som videreføres.

Synes ikke at DNB kommuniserte dette særlig godt nei.

[Fustasjeopphengsforkobling]

Investigator224 skrev (15 timer siden):

Jeg kjenner IT folk som har jobbet mot dette.  Bank ID brikke er det som skaffer dem mest jobb. Mest kunder blir svindlet med bankid brikke.

For deres del, så er bankid app det som gir minst jobb og hodebry.

Når det er sagt, så syns jeg det er ekkelt å skulle stole på duopolet apple og google til vitale samfunnstjenester.

Hva gjør at Bank id brikke gir mer jobb? Svindel? Hvordan da? Såklart hvis man gir fra seg/blir lurt fra seg koden så er det et problem, men det burde man være på vakt for. Sikkert en del eldre som sliter litt mer der.

Jeg kommer aldri til å bruke annet enn kodebrikke. En app kan hackes. Biometriske data leverer jeg ikke fra meg til private selskaper. Kodebrikke har ingen av de risikomomentene. Så da gjelder det bare å ikke la seg lure av svindlere. Null problem for min del.

[torbjornen]

Fustasjeopphengsforkobling skrev (25 minutter siden):

Hva gjør at Bank id brikke gir mer jobb? Svindel? Hvordan da? Såklart hvis man gir fra seg/blir lurt fra seg koden så er det et problem, men det burde man være på vakt for. Sikkert en del eldre som sliter litt mer der.

Jeg kommer aldri til å bruke annet enn kodebrikke. En app kan hackes. Biometriske data leverer jeg ikke fra meg til private selskaper. Kodebrikke har ingen av de risikomomentene. Så da gjelder det bare å ikke la seg lure av svindlere. Null problem for min del.

For din eigen del er nok brikka det tryggaste. Men for samfunnet i heilheit er app det som gjev færrast svindeltilfelle å handtere for banken.

For min eigen del brukar eg BankID app utan biometri, dermed slepp eg å gje frå meg biometriske data til nokon.

Endret 4. desember 2023 av torbjornen

[minim]

Chr1stian skrev (15 timer siden):

Man kommer seg ikke unna å ha gode (helst unike) passord på tjenester i 2023. Derfor bør man uansett bruke en Password Manager App, som er laget for å håndtere nettopp passord på en god måte. Disse lar seg som regel åpne og fylle ut passord ved hjelp av biometri eller ansiktsgjenkjenning. Da blir det utrolig enkelt å logge inn med den gode nye BankID appen, og samtidig mye sikrere enn den gamle løsningen som benyttet SMS (regnet som ekstremt usikret). I tillegg trenger du bare huske på det éne passordet du bruker for denne appen, og kan glemme alle andre som du har lagret/generert i appen for andre tjenester.

Anbefaler app 1Password eller Bitwarden. Alternativt går det vel nå også ganske fint med Apple Keychain eller Google Password Manager.

 

Men mange ganger bruker jeg bankid på min jobb pc hvor jeg ikke har installert passord manager privat (vil ikke legge mine private inn i jobben sin løsning). Da ender jeg nå med å måtte manuelt åpne pw manager på mobilen og finne frem passordet ved å søke det opp. En snakker om å fort bruke 4-5 ganger tiden av gammel løsning pr. Innlogging. Utrolig at folk finner seg i denne "oppgraderingen" 

[Chr1stian]

1 hour ago, minim said:

Men mange ganger bruker jeg bankid på min jobb pc hvor jeg ikke har installert passord manager privat (vil ikke legge mine private inn i jobben sin løsning). Da ender jeg nå med å måtte manuelt åpne pw manager på mobilen og finne frem passordet ved å søke det opp. En snakker om å fort bruke 4-5 ganger tiden av gammel løsning pr. Innlogging. Utrolig at folk finner seg i denne "oppgraderingen" 

Så du vil ikke ha privat password manager på jobb-pcen, men du synes det går helt fint å logge inn i din private nettbank på jobb-pcen? For meg er det litt vanskelig å forstå, men you do you. Folk må finne seg i endringen, og det er på tide ettersom SMS ikke er trygt i det hele tatt.