Paypal krijgt 'Security Key'-beveiliging

In de komende maanden zal Ebay de Paypal-gebruikers een vijf dollar kostende 'calculator' aanbieden om zo de betaalsite beter te kunnen beveiligen.

De security key zal om de dertig seconden een numerieke code genereren die men, samen met het normale wachtwoord, zal moeten invoeren om te kunnen inloggen op de Paypal-site. Deze extra beveiliging moet het moeilijker maken om de Paypal-webstek na te bouwen om accountgegevens van onoplettende gebruikers te bemachtigen. Gebruikersgegevens die via een dergelijke frauduleuze site bemachtigd worden, zijn namelijk onbruikbaar zolang de criminelen niet over de dynamische numerieke code beschikken. De Paypal Security Key wordt momenteel door werknemers van het bedrijf getest en zal binnenkort ook getest kunnen worden door gebruikers in Amerika, Duitsland en Australië. Het is de bedoeling dat later dit jaar alle Paypal-gebruikers van het systeem gebruik kunnen maken. Particulieren zullen vijf dollar voor het apparaat moeten neertellen, terwijl de bezitters van een zakelijke account het toestelletje gratis in ontvangst zullen kunnen nemen. Het apparaat is gebaseerd op VeriSigns 'One-Time Password Token'.

Reacties (85)

Waarom niet via SMS? Het systeem van de Postbank werkt zoveel beter dan zo'n los apparaat...

Telefoon heb ik tenminste altijd bij me. Plus ze hoeven niet de hele logistiek van het versturen van een fysiek apparaat te regelen..

Omdat je moet mobiele telefoons ook iets kan doen.
Niet veilig dus.

Token is wel veilig omdat, zoals boven al aangegeven wordt, de token op jouw naam staat.
Je kunt niet met een ander token onder jouw login naam inloggen.

Wij werken hier op werk met RSA tokens, en dat werkt op dezelfde manier.

Je hebt fysiek toegang tot het apparaat nodig. Of dat nu een telefoon is of een sleutelhanger. Voor interne beveiliging in een bedrijf lijkt het me een prima manier, maar voor het beveiligen van transacties is het SMS systeem gewoon veel gebruiksvriendelijker.

Ehm ja... niet dus Tenzij je een hack hebt gevonden op het mobiele netwerk en je een wereldprimeur hebt is dat niet mogelijk

SMS is net zo veilig als een token.

Je hebt gebruikersnaam+wachtwoord nodig. Als je die hebt kun je financiele gegevens bekijken, niet zo boeiend. (Gebruikersnaam is net zoals het ww óók hoofdletter gevoelig en als je het 3x verkeerd doet, dan wordt het geblokkeerd en krijgt de eigenaar vd rekening een brief.)

Je hebt je telefoon nodig om geld over te maken, maar dan moet ook wel eerst het gebruikersnaam+wachtwoord hebben.

Als je én je mobiele telefoon én je gebruikersgegevens aan dezelfde persoon kwijtraakt dan vraag je erom bestolen te worden.

Dat postbank systeem is wat mij betreft veilig hoor. Je hebt een login + wachtwoord nodig + de tancode/mobiel. Dat lijkt me een stuk veiliger dan een pasje met 4 cijfers waarmee iedereen pint en daar klagen mensen toch ook niet over.

Ja, maar ook onveiliger dus.
Als je vanaf een website SMS'en kunt sturen, waarom zou je ze dan ook niet op zo'n zelfde manier kunnen ontvangen?

Ik ben niet bezig met mobiele meuk, dus ik bedenk het ter plekke.
Versturen vanaf een website bestaat overigens wel echt.

SMS is net zo veilig als een token.

SMS is zeker niet zo veilig als een token. SMS berichten zijn namelijk gewoon door de telecommaatschapij te lezen in de SMS broker.

Daarbij gaat het er juist om dat een mobile telefoon een device is waar de bank (of in dit geval paypal) geen enkele controle over heeft. Dit houd in dat dit uit beveiliginsoogpunt per definitie een onveilig device is.

Daarbij dien je bij bv het ABN Amro systeem ook nog eens op de device in te loggen middels een pin code.

Ik hoef denk ik niet te vertellen dat veel mensen hun telefoon niet met een pin hebben beveiligd, deze pin uit te lezen is uit de telefoon zelf met de juiste tools en veel mensen telefoons uitlenen, laten slingeren etc.

@freshy98:
Prepaid mobiel aan PC en voila.
Dan moet je wel het telefoonnummer van een bepaald pesoon weten.

Het is wel handiger maar bijvoorbeeld op vakantie krijg ik geen SMSje. dit ook omdat niet alle providers in alle landen zomaar met dit soor smsjes lijken te kunnen werken.
terwijl ik paypal dus vaak wel vannaf mijn vakantie adress gebruik.

Je kan voordat je het land uitgaat een vooraadje tancodes aanvragen.

Waarom zou je op vakantie geen SMS'je krijgen Tenzij je een wel hele gare provider hebt (ik ken er geen die zo gaar zijn eerlijk gezegd, niet in nederland).

Verschil in het buitenland is alleen dat je het SMS'je waarschijnlijk zelf moet betalen.

"niet in nederland"

Meestal is bij een vakantie in het buitenland ook een andere partij betrokken

ik zit bij KPN, en krijg zowel bij onze oosterburen als in de US geen smsje van de postbank

Dan heeft de Postbank daar opzettelijk voor gekozen (de SMS'jes worden aangeprezen als gratis, en dat zijn ze in het buitenland niet).

Het zou eenvoudig een toggle kunnen zijn of je SMS'jes in het buitenland wilt ontvangen.

En Nederlandse providers sluiten overeenkomsten met buitenlandse providers voor het voortzetten van hun service in dat land. Over het algemeen geldt dat, tenzij je misschien in een of ander 3de wereld land zit, het met die buitenlandse providers ook wel goed zit dan.

Bij de Postbank heb je de mogelijkheid om meerdere tan codes per sms te ontvangen, zodat je die mee op vakantie kan nemen. Volgens mij kan je in 1 sms 5 tan codes ontvangen, die je dan wel eerst op moet maken voordat je nieuwe tan codes krijgt.

Ik zit ook bij KPN en krijg in Duitsland wel gewoon SMS van de Postbank.
Ik heb hier in het buitenland nog nooit problemen mee gehad en ik ben toch al regelmatig in vage oostbloklanden geweest waar ik even mijn bankzaken moest regelen.

Lijkt meer op een probleem tussen jouw aansluiting en KPN dan een Postbankprobleem. Postbank stuurt toch naar de nederlandse centrale, is aan KPN om dat dan door te sturen.

Weer ff ontopic
Ik vind het systeem van een sms een zeer goed werkend oplossing hoor. Beter dan zo'n apparaatje dat je overal mee naar toe moet slepen.
Zoals hierboven ook al werd gezegd als je je telefoon en je logingegevens allebei kwijt raakt dan vraag je erom.

Allemaal leuk en wel, maar als je dan leest hoe moeilijk ze soms doen om je geld te kunnen afhalen en op een bankrekening zetten... Overgens is paypal ook eigenaar van je geld dat op je account staat dacht ik...

http://it.slashdot.org/article.pl?sid=07/01/10/2325244

Inderdaad ik vind het een beetje vreemd. Het is dat ebay paypal zo ingelijfd heeft en alles verder uitsluit bv googles betalings systeem. Paypal is een leuk systeem maar zolang men zo'n service erop nahoudt maken ze geen grote vrienden.

Ach, voor mij is het simpel. paypal acountje aanmaken en gewoon via creditcard betalen. doet paypal moeilijk dan haal ik mijn geld via de CC maatschappij gewoon terug

Mijn account is laatst gehacked waardoor er vage transacties heen en weer gingen.
Gelukkig niet met mijn bank rekening, maar dan nog.
Is nu al een maand bezig.

Ik ga zeker wel zo'n token nemen.

En geld opnemen van je paypal rekening naar je eigen rekening valt best wel mee. Stelt niks voor.

Ben ik blij dat ik een zakelijk account bij Paypal heb!
Ik doe wekelijks betalingen via Paypal, en ik vind het een mooie verbetering. Ik krijg regelmatig spoof mailtjes binnen met dat iemand mijn gegevens wilt proberen te bemachtigen. Gelukkig ben ik een van de weinige gebruikers die meteen door heeft dat het om spoof mailtjes gaat. Nu zijn ook de onoplettenden beschermd.
Ik verwacht alleen dat een hoop mensen weer zullen gaan klagen dat ze weer 5 euro voor iets dat ze onnodig vinden moeten betalen.

Er is geen bedrijf die jou om je toegangcodes vraagt dus mensen die dit soort mailtjes wel "trouw" beantwoorden zijn simpel gezegd gewoon dom.

De extra beveiliging is dat als de user/password gegevens van een klant bemachtigd zijn, bv door phising, er nog een level van beveiliging.
In dat opzicht zijn het SMSje van de postbank en de token net zo veilig. Want in beide gevallen zal de boef ook nog een persoon gebonden apparaat bemachtigen.
Omgekeerd werkt het ook, met een token of mobiel alleen is het niet mogelijk een rekening te plunderen daar de login/password gegevens ontbreken.

Dit is toch zo'n ding wat ook door bijvoorbeeld rabobank en ABN word gebruikt bij internet bankieren maar dan zonder gebruik van een pasje.

Alles wat extra veiligheid toevoegd aan online betalen juig ik toe.

Als ik het zo lees is het niet verplicht om er gebruik van te maken, dit vind ik op zich ook een goed punt aangezien dan mensen niet worden gedwongen om 5 euro neer te leggen indien ze geen intresse in de dienst hebben.

nu maar hopen dat de levertijd op die dingen niet erg hoog is voor de mensen die dit wel willen gebruiken.

Dit is toch zo'n ding wat ook door bijvoorbeeld rabobank en ABN word gebruikt bij internet bankieren maar dan zonder gebruik van een pasje.

Nee, dat zijn min of meer normale challenge response systemen. Het apparaat waar we het hier over hebben is eigenlijk gewoon een RSA defender. Het aparaat word geinitialiseerd met een SEED waardoor de codes op het apparaat synchroon gaan lopen met de generator op de server die de verificatie uitvoert (simpel uitgelegd).

Meer info: http://www.oxid.it/ca_um/...urid_token_calculator.htm

Dat zijn zeker niet min of meer normale challenge response systemen. In die kastjes van de bank loopt namelijk ook een klokje mee waardoor de codes synchroon lopen met een generator bij de bank.

Daardoor kan je ook nu een inlogcode uit bv. je random reader toveren, die het over 'n kwartiertje (of korter) niet meer zal doen.

Dat zijn zeker niet min of meer normale challenge response systemen. In die kastjes van de bank loopt namelijk ook een klokje mee waardoor de codes synchroon lopen met een generator bij de bank.

Het is inderdaad een soort time triggered challenge response.

Dat zijn zeker niet min of meer normale challenge response systemen. In die kastjes van de bank loopt namelijk ook een klokje mee waardoor de codes synchroon lopen met een generator bij de bank.

Daardoor kan je ook nu een inlogcode uit bv. je random reader toveren, die het over 'n kwartiertje (of korter) niet meer zal doen.

Dat de code niet meer geaccepteerd wordt gebeurd geheel server side. In de random reader/e-dentifier zit geen interne klok. Probeer maar eens een willekeurige code vaker in te voeren: altijd de zelfde responce.

Er hoeft ook geen klok in te zitten omdat je er je pas en je pin voor nodig hebt en op basis daarvan de code gegenereerd word. Daarom kun je ook met verschillende pasjes de reader gebruiken. Een gesynchroniseerd apparaat is alleen nodig als deze zonder input telkens een andere code genereerd.

@AniMatrix
In die van ABN-Amro zit geen menu knop om de tijd op te vragen.
Die werkt op basis van je bankrekeningnummer, pasnummer en de door de abn-site gepresenteerde challenge. Na in plaatsen van je pas in de calculator, het openen van de chip op je pas met je pincode en het invoeren van de chalenge op de calculator verschijnt de resonse die op de abn-site moet worden ingevoerd.
Het is echter wel juist dat de challenge die de abn-site aanbied een beperkte tijd geldig is.

@Mecallie:
Jawel hoor, die zit er wel degelijk in!

Stop je pasje erin, druk 5 keer op Menu, dan ben je bij het informatiemenu, druk op OK. En kijk.

Ik juich dit NIET toe, simpelweg omdat het WEER een extra apparaat is, extra veel werk om even snel in te loggen (en die site is al zo langzaam)... Vergelijk de Postbank: online inloggen met standaard wachtwoord is supersnel. Het enige waar je meer codes voor nodig hebt, is geld verzenden. SNS/Rabo zijn allemaal erg veel werk met codes intikken op een klein onhandig apparaatje. Daarbij heb ik die apparaatjes nooit bij me, en is het dus onbruikbaar als ik ergens anders ben.

Vergelijk de Postbank: online inloggen met standaard wachtwoord is supersnel. Het enige waar je meer codes voor nodig hebt, is geld verzenden.

Dat klopt echter zijn de beveiliginsexperts het er over eens dat het systeem van de Postbank ook het minst veilig is van dit soort systemen. Het postbank systeem heeft afaik al meerdere malen onder vuur van discussie gelegen. De lijst met codes is namelijk of op voorhand al bekend (tan code lijst) of de code word verstuurd naar een per definitie onveilig apparaat waar de bank geen enkele controle over heeft: de mobiele telefoon.

Vergeet ook niet dat het de keuze van de paypal gebruiker is of deze gebruik wenst te maken van deze extra mate van veiligheid. Het gebruik (of de aanschaf) is niet verplicht maar een extra dienst.

Dat klopt ook weer, alleen hebben ze het dan over de papieren versie van mijn postbank.nl. Dat is dat blad met die 100codes die je vroeger moest mee nemen.

Nu heb je alleen je mobieltje nodig! En dat werkt wel super gemakkelijk moet ik zeggen! En het 'voelt' niet onveilig voor mij.

of de code word verstuurd naar een per definitie onveilig apparaat waar de bank geen enkele controle over heeft: de mobiele telefoon.

Nee dat gaat niet alleen over de TAN lijst zoals je kunt lezen in mijn eerdere post (wat overigens nog eens word verduidelijkt in laters posts in deze thread).

Het gaat er niet om of het veilig voelt....
Het gaat er om of het ook veilig is!

Een mobieltje is dat per definitie NIET.

Waarom niet? Bij Postbank met tancode op mobiel moet de hacker je username weten, je wachtwoord en je mobiel in bezit hebben (en eventueel daar het wachtwoord van hebben).

Dat betekent zo ongeveer dat je een persoon moet dwingen al deze gegevens af te geven. Maar als er fysieke dwang is, is geen enkel systeem veilig. Die code apparaatjes kan je immers ook gewoon jatten, net als een mobiel.

Via internet, met fishing sites en dergelijke, ben je veilig met Postbank voor zover ik kan overzien.

Dan zou DigiD dus ook helemaal onveilig zijn, met gebruikersnaam+wachtwoord en SMS code. En DigiD is dit jaar verplicht voor elektronische belastingaangifte..

DigiD is per definitie onveilig, tenminste de implementatie die men vorig jaar hanteerde... Ik verwacht dat het dit jaar niet beter zal gaan en we dus weer een onveilige versie krijgen.

Hint:
Wat zegt DigiD over het wachtwoord? Nooit aan anderen geven dan op de DigiD site.
Waar moet je bij de Belastingdienst je wachtwoord invoeren? Juist in een programma van de Belastingdienst.
En wie zegt dat dit programma je wachtwoord niet ergens anders naartoe stuurt? Niemand.

Als je DigiD hierover belt geven ze dit ook toe.
Workaround die je krijgt: Tik het wachtwoord in in het programma van de Belastingdienst en wijzig direct daarna je wachtwoord in een ander wachtwoord via de DigiD website.

Los van bovenstaande zijn er nog tal van zaken op te merken aan de onveiligheid van DigiD, maar als de overheid er geen geld in stop wordt het gewoon niet veilig.

Met DigiD kun je nog steeds iemands account 'blokkeren' door een nieuwe aan te vragen. Moet je wel het sofinummer weten.

Ik vind het juist wel fijn dat er een beetje extraveiligheid bijzit. Paypal is nou niet echt heel goed beveiligd (iemand die een keylogger installeert is zo binnen).

Verder is het natuurlijk zo dat het systeem van de postbank echt niet waterdicht is, als je een beetje moeite doet is dat allemaal wel te achterhalen.

Keylogger is niet eens nodig, daar heb ik m'n cookies voor! Zit je achter mijn PC achter mijn account, dan kan je zo betalen met Paypal. Onveilig? Neehoor! Want de kans dat je m'n creditcard uit m'n portemonnee kan pakken is groter dan de kans dat je achter mijn PC terechtkomt...

@RemcoDelft:
Hoevaak lees je anders niet over een bug die 't mogelijk maakt dat je PC wordt overgenomen op afstand? Fysiek is 't misschien moeilijk je PC te gebruiken, maar op afstand: dat weet je nooit 100% zeker.
Cookies zijn ondingen.

juist en met welke site waren ook al weer de meeste veiligheidsproblemen?

Ik prefereer veiligheid boven de moeilijkheid om in te loggen zeker als het mijn bank betreft, maar jij kan daar natuurlijk anders over denken...

*edit* bah te laat

*edit2* w00ps idd

Je bedoelt veiligheid boven gemak Nu heb je juist veiligheid EN moeilijkheid

Ik heb nog nooit een probleem gehad met het apparaatje van de rabobank. Het werkt erg snel en pretiig, en vooral erg veilig. Daarnaast is het aparaatje niet gebruiker gebonden. ALs ik bij mijn broertje thuis ben, dan kan ik mijn pas gewoon in zijn apparaat drukken, en als ik bij de bank ben kan ik mijn pas in de bij een terminal liggende reader drukken.

Nu gaat dit niet op voor het hier voor paypal voorgestelde systeem, maar om nu te zeggen dat ik het erg vervelend zal gaan vinden? Ik denk dat dit, mede doordat mensen gewoon geen wachtwoorden kunnen verzinnen en er ook neit mee om kunnen gaan, de enige manier is om toch een vorm van veiligheid te kunnen bieden.

Hierover zeuren is eigenlijk vergelijkbaar met het zeuren bij de supermarkt dat je je bankpas mee moet nemen omdat je graag je boodschappen wilt pinnen.

Ik heb een extra random reader op mijn werk liggen. dit ding is echt de h**r van de afdeling geworden. mag ik hem even lenen.

Waar staat dan dat het verplicht is?

Een beetje vreemd vind ik het wel.

Ten eerste worden nu alle browsers voorzien van phishing tools, waardoor het nog maar nauwelijks mogelijk is om die frauduleuze sites op te zetten;
Ten tweede heeft Paypal al jaar en dag beweerd dat hun site super veilig is en je nergens bang voor hoeft te zijn (hetgeen dus blijkbaar niet het geval is).

Gezien het geld dat eBay maakt aan alle transacties die uitgevoerd worden, zou het beter zijn dat ze niet alleen de zakelijke gebruikers het ding gratis verstrekken, maar ook de particulieren die behoorlijk wat omzet voor regenereren. Dat zou kunnen door het in eerste instantyie tegen € 5,= aan te bieden en na een bepaalde omzet krijg je dat dan weer terug.

Als je eigen site compleet waterdicht is zegt dat 0,0 over de mogelijkheden tot phising.
Verder zijn er zat mensen die nog gebruik maken van ie6, of een andere browser zonder phising tools. Daarnaast zijn de tools ook niet perfect.

Particulieren zullen vijf dollar voor het apparaat moeten neertellen, terwijl de bezitters van een zakelijke account het toestelletje gratis in ontvangst zullen kunnen nemen.

Vind dan niemand hier dit 'raar' ? Of misschien anders gezegd...een beetje 'oneerlijk' ?
Zakelijk, waar het grote geld zit..krijgt het gratis!
Waar ook met groter geld betaald wordt en beveiliging dus essentieler is...daar wil men geen geld van plukken bij Paypal...nee we sturen het apparaatje gratis naar ze op..terwijl je ze er best voor kan laten betalen..imo.

En de particulier, de eenmanszaak die via eBay opereert en een leuk zakcentje probeerd bij te verdienen (en uitgeeft!) die mag..als hij een apparaatje wil om de summiere bedraagjes die hij/zij overmaakt (en soms best groter misschien..) beter te beveiligen..dan moet deze particulier er 5 dollar voor betalen.

Ik bedoel, ik snap best dat je de kosten van de hardware, ontwikkeling en distributie etc eruit wil halen.
Maar waarom vraag je dan niet wat geld aan de zakelijke markt? 5 dollar is ook de kosten niet opzich, daar niet van (hoewel het misschien zal gaan om 5 dollar in amerika en hier voor ontvangst ervan in europa misschien uiteindelijk best meer betaald moet worden..?!). Maar goed, ik vind het wel wat vreemd..

(En ja ik heb gezien dat het niet verplicht is)

Als iemand mij kan uitleggen wat de motivatie erachter is, graag..

Mensen die PayPal zakelijk gebruiken betalen hiervoor. Hetzij via een marge op de aan hun gedane betalingen, hetzij via een maandelijks bedrag (Ken de exacte specs niet).

Particulieren kunnen geheel gratis gebruik maken van paypal, zelfs bij c2c transacties. Geef jij mij $10 via paypal dan krijg ik ook $10 van paypal.

Ben zelf ook Paypal gebruiker. Maar ontvang niet zo vaak betalingen (koop meer dan verkoop)..maar is het niet zo dat er nog steeds fee wordt geheven ?

Vorige keer dat ik geld ontving (half jaar geleden, uit UK) werd er nog fee overgeheven iig.


Was even de betaling voor de zakelijke account vergeten inderdaad..thanks guys (Y)

Misschien omdat je voor het zakelijke account al moet betalen Zijn dus altijd serieuze gebruikers.

Elke dwaas kan een normaal account openen zonder hem misschien ooit te gebruiken. Als naar al die mensen dus een gratis apparaat gestuurd moet worden zonder dat PayPal er ooit iets voor terugkrijgt.. Tja dan had ik dat ook niet gedaan als bedrijf zijnde.

Waarom niet een systeem waarbij je een speciale gepersonaliseerd raster van x bij y tekens kan uitprinten.
Vervolgens vraagt de site bij het inloggen om een set coordinaten die je vervolgens alleen vanaf je papiertje kunt invoeren.

Soort van TAN codes, maar dan versleuteld.
Enige wat je dan bij je moet hebben om in te loggen is zo een papiertje, en dat kun je makkelijk zelf uitdraaien.

dat zijn allemaal weer extra dingen die je kwijt kan raken, en bovendien extra handelingen voordat je bij je geld kan.

Ik wil geld opnemen, dus moet ik een printer hebben . . beetje waardeloos

Maar als die criminelen ook zo'n key hebben dan?
Ik begreep dat alle codes gelijk lopen met een bepaalde server.
Dus dan is zo'n key eigelijk niets waard omdat het niet persoonsgebonden is. Iedereen kan zo even een Pay-pal maken en zo'n apparaatje bemachtigen. Lekkere beveiliging.

Ik ben er toch meer voor om iets met een encryptie te doen en dus een soort interactie met een bepaalde code.

In grote getallen zo'n beveiliging opleveren, daar zie ik niet zoveel in.

De apparaatjes zijn wel persoonlijk, of in ieder geval 'random'. Aan jouw account wordt een type code gekoppeld van het apparaat dat je toegezonden wordt.

Anders is het inderdaad nogal nutteloos ja

Dus als je apparaatje gejat wordt ben je alsnog de lul.

Blokkeren en nieuw apparaatje aanvragen. Doe je met je pinpas immers ook.

Ik ben er toch meer voor om iets met een encryptie te doen en dus een soort interactie met een bepaalde code.

Dat is precies wat er hier gebeurt. De code op het device loopt synchroon met de code op een server bij paypal. Je geeft deze code op als extra verificatie via een beveiligde gecodeerde verbinding (SSL).

Werkt dat dan niet als een keygenerator? Paypal geeft, voor jouw sessie, een key. Samen met de tijd, wordt dit gegenereerd tot de inlogcode. Een ander, met dus een andere 'request' key zal een andere inlogcode hebben. Terwijl ze toch synchroon lopen

Ik begreep dat alle codes gelijk lopen met een bepaalde server.
Dus dan is zo'n key eigelijk niets waard omdat het niet persoonsgebonden is.

De code's lopen gelijk met een counterpart op de server. Echter heeft elk apparaatje zijn eigen code en die server houdt (kort gezegd) van elk token de code bij (en bij wie welke code hoort).

De codes zijn dus wel degelijk persoonsgebonden.