Undersøkelse slakter sikkerheten i norske nettbanker
– Sårbarhetene burde vært rettet for lenge siden, sier sikkerhetsekspert.
Det Ålesund-baserte IT-sikkerhetsselskapet Encripto legger mandag fram en rapport om sikkerheten i ti norske nettbanker. Konklusjonen er nedslående:
· Bare to av de undersøkte nettbankene implementerte krypteringsprotokollene TLS (transport layer security) og forløperen SSL (secure sockets layer) på en tilfredsstillende måte. Resten får stryk.
· 7 av 10 var sårbare for såkalte BEAST-angrep (Browser Exploit Against SSL/TLS), som i teorien gjør det mulig for uvedkommende å avlytte dataforbindelsen mellom kundens nettleser og bankens servere.
· Flere av bankene godtok usikre reforhandlinger av krypterte forbindelser, noe som åpner for både «mannen i midten»-angrep og tjenestenektangrep mot bankens servere.
· I tillegg benytter to av bankene 1024-biters RSA-nøkler, som standardorganet NIST (US National Institute of Standards and Technology) sluttet å stole på i 2010.
- Nettbankene er utdatert
- SSL/TSL-implementasjonen i flere norske nettbanker er utdatert. De har sårbarheter som burde vært rettet for lenge siden, sier Encripto-gründer og sikkerhetsekspert Juan Güelfo til digi.no.
Nettbankene som er undersøkt er BN Bank, DNB, Fokus Bank, Landkreditt Bank, Nordea, Sparebank1, Sparebank1 Møre, Sparebank1 Vest, Storebrand og YA Bank.
Güelfo vil ikke avsløre hvem av dem som scorer best eller dårligst.
- Vi ønsker ikke å peke på navn, eller avsløre hvilken bank som har best eller dårligst sikkerhet. Vi ønsker at bankene tar dette mer seriøst, og at de oppdaterer seg når det dukker opp nye sårbarheter, fortsetter dataingeniøren.
- Kundene er trygge
Ingen av bankene digi.no har pratet med avfeier funnene i rapporten, men nettbankene understreker likevel at kundene er helt trygge.
- Vi har aldri opplevd noe vellykket angrep mot norske nettbanker som utnytter noen av forholdene som tas opp i denne rapporten, sier Knut Kvalheim som leder Bankenes Standardiseringskontor (BSK) til digi.no.
Last ned rapporten i sin helhet på digi.no.
