- Norske nettbanker gjør forbryteroppgaven for enkel

Pettersen har gått gjennom prosedyrene som norske banker benytter i sine Internett-baserte tjenester. Ingen av dem nytter kryptering slik Pettersen mener de burde for å framstå som rimelig sikre overfor sine kunder. Han understreker at hans bemerkninger gjelder bare krypteringsforbindelsen, ikke det omkringliggende sikkerhetssystemet med passord, kodeord og så videre.

Når du velger "nettbank" på nettstedet til en bank, starter en prosess der banken identifiserer seg, og din klientmaskin og bankens tjener blir enige om hvordan sambandet skal krypteres for å hindre uvedkommende tilgang til følsomme data som kontonummer, passord og koder. Sertifikatet som banken oversender, inneholder en offentlig krypteringsnøkkel. Klientens nettleser bruker denne nøkkelen til å oversende et tilfeldig tall som så brukes på begge sider til å generere den hemmelige nøkkelen for å kryptere alle videre meldinger mellom klient og tjener (bank).

Ordningen innebærer med andre ord to krypteringsnøkler: Bankens offentlige nøkkel og nøkkelen for selve sambandet.

En offentlig nøkkel inngår i en ressurskrevende ordning kalt asymmetrisk kryptering, der alle kan kryptere meldinger til nøkkelens eier, men der bare eieren kan dekryptere. Norske nettbankers offentlige nøkkel er typisk på 512 biter. Den private (eller hemmelige, eller symmetriske) nøkkelen som genereres for å kryptere kundenes transaksjoner, er typisk på 40 biter.

Lengden på nøklene er avgjørende for hvor store anstrengelser som må til for å knekke krypteringen. Pettersen mener begge nøklene er for korte.

- I slutten av august greide en gruppe nederlandske forskere å beregne den hemmelige private nøkkelen for en 512 biters offentlig nøkkel. Det krevde betydelige dataressurser, og tok seks uker. Poenget er at når dette arbeidet først er gjort, kan man utgi seg for å være banken, og nytte ulike metoder for å tømme konti og overføre penger.

(Dette er omtalt i digi.nos artikkel "Kryptokode for finanstransaksjoner knekket i Nederland" - se peker nedenfor.)

Følgelig mener Pettersen at banker som holder seg til en 512 biters offentlig nøkkel i sitt sertifikat, enten bør gå over til en 1024 biters nøkkel, eller bytte 512 biters nøkkelen minst én gang i måneden. Selv med dagens raske utvikling, vil en 1024 biters nøkkel kunne betraktes som sikker også om flere år.

40 biters nøkkelen for selve sambandet anser Pettersen som helt utilstrekkelig. Det begrenser tallet på mulige nøkler til bare 1000 milliarder.

- For 250.000 dollar fikk Electronic Frontier Foundation framstilt kretskort som kan plasseres i vanlige PC-er og bryte en 56 biters nøkkel på maksimalt tre dager. De antar at nye enheter vil koste 50.000 dollar. 40 biters nøkler knekkes på minutter. Med litt flere ressurser, for eksempel med sterkere maskiner enn PC-er, er det ikke vanskelig å forestille seg kretser som bryter 40 biters nøkkelen i sanntid, slik at transaksjonene kan avlyttes mens de pågår. Med brutt asymmetrisk nøkkel vil transaksjonene også kunne endres mens de pågår.

Pettersen mener norske nettbanker minst må opp i 128 biters kryptering av transaksjoner for å framstå som rimelige sikre. Ellers blir vernet mot ressurssterke internasjonale ligaer for svakt.

Artikkelen fortsetter etter annonsen

annonsørinnhold

Slik slår banken ned stadig nye svindelforsøk

- Det snakkes mye om at amerikanske eksportbestemmelser begrenser tilgangen til kryptering. Men bestemmelsene inneholder unntak for tjenester innen bank og finans. Derfor kan man ikke skylde på amerikanerne i dette tilfellet, understreker Pettersen.

Tabellen nedenfor viser nøkkellengden som benyttes i norske nettbanker i dag. Et poeng her er at kombinasjonen 40 biters privat nøkkel og 1024 biters offentlig nøkkel nytter 512 biters kryptering for utveksling av hemmelig informasjon, slik at 1024/40 ikke framstår som så veldig mye sikrere enn 512/40.

Pettersen nevner til slutt at Operas egen nettleser støtter 128 biters kryptering og 1024 biters asymmetriske nøkler.