neues TAN-Verfahren: Display-TAN

Die Handhabung ist halt eine andere

Und in einer TS Umgebung geht das allemal besser als Chip/Sm@rtTAN.

Und wieder eine Option von "freien privaten" Banken sich abzusondern/abzugrenzen. Kann auch ganz praktisch sein... - aus Bankensicht halt...

Od

Push-TAN ist unsicher, weil ein Smartphone-Trojaner das Credential klauen kann (und das Passwort noch dazu), und beides per Internet an seinen Master schickt, der dann alles hat, was er fuer eine beliebige Ueberweisung braucht.



doch. Transkation wird angezeigt.

Danke fuers Reinstellen, anyway.

Bernd Borchert
www.display-tan.com

Hallo Bernd,
herzlich willkommen bei uns.
Ehrlich gesagt, habe ich deine Seite nur überflogen, insbesondere die Transaktionsdarstellungen. Das hätte ich sehen müssen, sorry.

Kann man also die display-TAN mit dem Sm@rtTAN-Verfahren/Chip-TAN - in Kombi mit Handy und Bluetooth-Leser - vergleichen, ohne dass man dazu einen lästigen Leser benötigt?

Gruß
Raimund

Smartphones grundsätzlich als unsicheres Gerät zu verkaufen und gleichzeitig eine Anwendung vorzustellen welche nur per App funktioniert, ist aber schon etwas gewagt.

Ja das Credential ist in diesem Fall auf der Karte und nicht auf dem Smartphone. Trotzdem geht da ohne App gar nichts und man muss darauf vertrauen, dass der komplette Übertragungsweg zwischen PC - Smartphone und Karte auch gesichert ist. Ich sehe einfach keinen Vorteil gegenüber einen TAN Generator. Auch dem extra Komfort kann ich nichts abgewinnen, ich benötigt hier ja nur anstelle des TAN Generators dann noch ein Smarthphone. Also letzen Endes genauso viele Geräte wie vorher. Zumindest wenn ich auf den PC arbeite.

Es entfällt also nur das nervige Einlesen des Flicker-Codes und benutzt dafür die komfortable Kamera. Wobei das auch relativ ist, bis ich die Handy App gestartet, mein Passwort eingegeben und an den Bildschirm gehalten habe, bin ich mit den TAN Generator auch schon fertig. Es übernimmt aber gleichzeitig auch die Nachteile des TAN Generators. Nämlich das dieses durchklicken der Daten irgendwann zur Routine wird und der Nutzer keinen Abgleich mehr vornimmt. Gerade die IBAN ist da für viele Nutzer immer noch zu lang und unverständlich. Und bevor ein Angreifer anfängt irgendwelche Push-TAN Apps zu hacken welche sowohl Jailbreak- wie auch Malware Erkennung haben, nutzt der auch genau das aus. Es ist viel einfacher den Nutzer zu täuschen, beispielsweise durch angebliche Fehlbuchungen auf dem Konto als eine komplette App auseinanderzunehmen.

Desweiteren sind die Kosten natürlich eine Milchmädchenrechnung. Hier wird ein Preis von 10 Euro für die Karte genannt und mit einen TAN Generator verglichen. Blöderweise werden EC Karten nur viel häufiger ausgetauscht. Sei es wegen Verlust/Diebstahl, der Magnetstreifen nicht mehr funktioniert oder weil einfach alle 4 Jahre sowieso die Karten ausgetauscht werden. Wir reden hier bei einer Massenaustattung der Karten von Mehrkosten in Millionenhöhe die man alleine dann beim regulären Kartenaustausch jedesmal hat. Und der Tatsache das man den Kunden dann noch beibringen muss das seine Ersatzkarte nicht mehr 10, sondern 20 Euro kostet. Das kommt in Zeiten wo gerade in der Bankenbranche an jeder Ecke gespart werden muss, nicht wirklich gut an. Vor allem weil der Sicherheitsgewinn gegenüber chipTAN gleich 0 ist. Es bringt also nicht mehr Sicherheit, es verursacht mehr Kosten und über den Komfortaspekt lässt sich streiten.

In sofern bezweifle ich ganz stark, dass wir dieses Verfahren hier im Produktiveinsatz sehen werden. Es ist eine nette Idee, aber nicht wirklich praxisnah.

No. Der Übertragungsweg kann ruhig abgehört und/oder manipuliert werden, es spielt keine Rolle. Eine vom Bankserver vergebene Nonce sichert gegen alle Funkangriffe ab.
Problem sind nur die Angriffe, die (A) auf die Unaufmerksamkeit des Bankkunden setzen ("Durchklicken ohne zu prüfen") oder (B) die Social Engineering Angriffe "Dies ist ein Gewinnspiel", "Dies ist eine Testüberweisung" etc. Diese beiden Angriffstypen sind aber genau die, die auch auf die anderen sicheren TAN-Verfahren wie ChipTAN oder BestSign(USB) möglich sind. Insofern ist Display-TAN genauso sicher wie ChipTAN. Das war ja auch Dein Resumee.

Du hast recht: die Bank müsste bei Display-TAN den im Vergleich teuren TAN-Generator jedesmal mit-ersetzen, wenn "nur" die Scheckkarte kaputt/verloren/geklaut ist. Dafür erspart sie sich aber die Personal- und Porto-Kosten für den Ersatz der TAN-Generatoren (die übrigens auch nicht ewig halten). Das müsste sich ungefähr die Waage halten.

Bei gleicher Sicherheit und gleichen Kosten wie Chip-TAN bleibt der Komfort als Argument: kein Flackercode, und beim Mobile Banking (Smarpthone, Tablet, und Laptop mit Bluetooth) hat man "True Mobility": man braucht man nichts, was man nicht sowieso dabei hat: das mobile Gerät und die Scheckkarte.

Danke für die Kritik. Ich nehme das mal als Sparring für die kommenden Gespräche bei Banken.

Bernd Borchert

Zur Sicherheit von App-basierten TAN-Verfahren (PushTAN, BestSignMobil, PhotoTAN Mobil, etc.): Ein guter Trojaner hackt natürlich nicht die App, sondern das Betriebssystem (OS): das OS ist der master und die Bank-App ist nur der slave. Das heisst: es können vom Trojaner nicht nur alle Daten/Credentials der Bank-App gelesen werden, sondern solche oberflächlichen Schutzmaßnahmen der App wie z.B. die Abfrage, ob das OS gerootet ist, werden natürlich vom Trojaner ad absurdum geführt, indem er der App vorgaukelt, dass das OS gar nicht gerootet ist.

aktuelle Trojaner brauchen schon lange keine Adminrechte mehr.

Nein warum? Den Generator kann der Nutzer auch seinen Bekannten verschenken ohne das eine Betrugsgefahr vorliegt. Damit kann niemand was anfangen und wenn er diesen verliert, muss er ihn halt neu kaufen. Die ganze Sicherheit liegt doch auf der EC-Karte, in sofern gibt es auch beim Verfahren mit den TAN Generator nur ein Gegenstand der relevant ist und das bleibt die Karte. Wenn man so argumentiert, hat der Nutzer bei der Display TAN auch zwei Geräte die er verlieren kann. Ohne Handy bringt ihn das Verfahren nämlich auch nichts. Das muss die Bank den Kunden aber genauso wenig ersetzen wie den Generator.



Gut dann sind wir mal ganz extrem: Alles was in irgendeiner Form über eine Datenverbindung verfügt und mit Software bespielt werden kann, kann auch im Umkehrschluss gehackt werden richtig? Selbst HBCI Kartenleser wurden schon mit gefälschter Software geflasht und damit manipuliert. Also können wir beim Display TAN Verfahren genauso behaupten das die App das Sicherheitsrisiko bleibt. Denn die läuft auf dem Handy und das kann manipuliert werden. Und selbst die Karte hat eine Datenverbindung per Funk. Noch eine potenzielle Sicherheitsgefahr. Da kannst du dann auch nur behaupten eine von der Bank vergebene Nonce sichert das ab. Das muss man erstmal glauben, ist aber letzen Endes auch kein besseres Argument als wenn die Sparkasse sagt ihre Push-App wird durch den Bankhost vor Manipulationen geschützt.

Ein TAN Generator dagegen ist nicht manipulierbar. Er kann nirgendwo angeschlossen werden und hat keinerlei echte Datenverbindung in Form von Bluetooth, NFC oder Direktanschluss an den Rechner. Und das kann man sogar einen Laien als Sicherheitsmerkmal so verkaufen das er es versteht. Das die App beim Display TAN Verfahren sicher ist und die ganze Kommunikation nicht ausgelesen werden kann, muss man aber auch einfach nur so hinnehmnen. Ist nicht anders als beim Push-TAN Verfahren auch wenn mir der Unterschied natürlich klar ist. Dem Otto-Normal-User aber nicht. Den überzeugt man dadurch das er den Generator in die Hand nimmt und sieht das die einzige Kommunikationsschnittstelle die Optik vorne am Gerät ist. Bluetooth in einer EC-Karte weckt dagegen genauso wenig Vertrauen wie NFC-Technik. Letzteres ist den Kunden schon schwer klarzumachen, wenn man jetzt noch sagt, HEY...das Ding kann NFC, Bluetooth und nächste Woche bauen wir da noch nen GPS-Sender ein, kommt das nicht wirklich toll an.

/edit:

Eine Sache viel mir noch ein, wieso sollte sich eine Bank darauf einlassen in Zukunft die Rohlinge der Karten von einem spziellen asiatischen Anbieter zu beziehen? Was ist wenn der zu spät oder gar nicht mehr liefert? Dann darf man sich mit einem Unternehmen in Asien bez. Vertragsvereinbarungen bei Lieferungen auseinandersetzen? Wäre mal interessant was die BAFIN davon hält, dass man sich quasi komplett von einer Firma mit Sitz in Taiwan abhängig macht. Das stellt ein unkalkulierbares Risiko da.

den Satz meine ich, so für sich allein genommen. Denn dies ist leider noch ein verbreiteter Irrtum, dass man ohne Adminrechte sicher im Web unterwegs sei - ich unterstelle dir jetzt nicht, dass du das glaubst, ich wollte nur darauf hinweisen. Aber es ist nun mal so, dass die Betrüger einfach den aktuell leichteren Weg gehen.

Zu der Sicherheitsfrage bei Smartphones bin ich mir da nicht so sicher. E. Kaspersky selbst hat ja wohl mal irgendwo gesagt, Android sei das neue WIndows 98 und bezog sich damit auf die Updatepolitik der Hersteller.

Für Banken dürfte dies ein nicht zu kalkulierendes Risiko sein, sie haben kein Einfluss auf Handysteme und haften im Schadensfall, sofern die Kunden nicht grob fahrlässig handelten. Das dürfte bei Schadsoftware kompliziert sein.
Bei Sm@rtTAN/Chip-TAN und auch Display-TAN haben die Banken die Kontrolle über die Sicherheitstechnik wieder zurück, allerdings ist das separate Gerät nicht immer ein Quell der Freude (nicht funktionierender Flickercode, Batteriewechsel, alles unerwünschte Probleme), deshalb halte ich Display-TAN für interessant.

@Bernd: Wenn du mit Banken sprichst: Es gibt viele Banken, die mobileTAN/SMS-TAN parallel zu chipbasierenden TAN anbieten, für die der Austausch der gesamten Kartenausstattung damit kaum in Frage kommt. Es wäre interessant zu wissen, wie eine Kosten-Kalkulation als separate Karte aussieht.

Gruß
Raimund

Noch zu den Argumenten gegen Display-TAN von B.N.

- Zur "Lästigkeit" der Chip-TAN Geräte aus Banksicht
Wenn das ChipTAN Gerät weg/kaputt ist, würde ich davon ausgehen, dass der Bankkunde erstmal seine Bank anruft, - auch deshalb, weil er wahrscheinlich davon ausgeht, dass die Bank ihm das Gerät ersetzt. Bitte mal überschlagen, was diese Anrufe in ihrer Masse an "Prozesskosten" für die Bank erzeugen! (auch wenn nur die Auskunft gegeben wird: bitte im Mediamarkt ein neues Gerät kaufen!)

- Zur Sicherheit von Display-TAN gegen Trojaner und Funkangriffe
Das Smartphone mit der App kann total verseucht sein und es können beliebig starke Funksender den Funkverkehr zur Karte hin und zurück abhören und manipulieren: Solange der Benutzer die angezeigten Daten auf dem Display prüft, kann nichts passieren. Es ist also genauso sicher wie Chip-TAN.
Es ist allerdings richtig, dass das auf den ersten Blick nicht klar ist. Das muss man erstmal den Banken und ggfs. den Bankkunden klarmachen. Mit Dir habe ich da ja auch ein Problem ...
Die Unsicherheit ist nur Anschein, in Wirklichkeit ist Display-TAN sicher. (Bei PushTAN etc. ist es umgekehrt ... )

- Zum Hersteller aus Taiwan
Die Lieferung von nur einem Hersteller ist natürlich immer problematisch, egal ob der aus Taiwan kommt oder aus München.
Wenn der Hersteller ausfällt, dann gibt es mehrere Möglichkeiten:
(A) der Konkurrent aus der Schweiz könnte einspringen - natürlich wirds dann teurer - standortbedingt. Die Schnittstellen der Karte und der TAN-Algorithmus sind offen bzw. sogar ein Standard (OCRA)
(B) Die Bank könnte anstatt einer Karte einen "dicken" TAN-Generator einsetzen - da gibts genug Lieferanten.
(C) Man könnte das Verfahren wieder einstellen. Ein fall-back TAN-Verfahren der Bank wird immer noch da sein, weil Display-TAN nie 100% abdeckend sein wird (weil nicht alle Kunden ein passendes Smartphone haben werden). Übrigens ein weiterer Nachteil von Display-TAN (den Du noch nicht gefunden hattest).

- an Raimund: Display-TAN als Extra-Karte: da entstehen dann wieder die "Prozesskosten" mit der Verwaltung der Extra-Karten, also Reklamationsannahme etc. Auch die Sichehrheit lässt ein Stück nach, denn dem Kunden könnte der Diebstahl des TAN-Generators nicht auffallen oder er könnte es ignorieren.

B.N., was motiviert Dich, so vehement die Gegenargumente gegen Display-TAN zu finden? (Ich finds ja gar nicht schlecht - das ist eine Art Vorbereitung auf die Gespräche bei Banken)

Bernd Borchert

Es ist eine zusätzliche Sicherheit, dass ist klar. Natürlich bringt auch so etwas keine 100% Sicherheit, aber es ist ein riesiges Einfallstor das lässt sich nicht bestreiten. Exploits in Betriebssystemen welche Adminrechte umgehen, kann der Hersteller immerhin noch fixen. Einen Nutzer der keine Ahnung von der Materie hat aber permanente Adminrechte zu geben, ist aber ein ständiges Sicherheitsrisiko. Und das tun die Smarthphones nunmal nicht. Und dort funktioniert das auch sehr gut. Bzw. bei Apple natürlich noch deutlich besser als bei Android weil da ohne Jailbreak überhaupt nichts geht. Ein absoluter DAU, muss sich aber bei iOS schon sehr anstrengen um die Sicherheitsmaßnahmen zu umgehen.



Das ist weiterhin der größte Schwachpunkt an Android. Hat aber weniger was mit der Sicherheitsfreigabe zu tun, sondern das die Hersteller der Telefone selber entscheiden können wann und ob sie überhaupt aktualisieren. Das ist ein riesiger Fehler in der Android Politik von Google, dem stimme ich auf jeden Fall zu. Deshalb fährt man mit einem original Google Smarthphone auch noch am besten, da bekommt genauso wie bei Apple über ein paar Jahre zumindest seine Updates auf jeden Fall geliefert.



Die meisten Banken ersetzen den Schaden sowieso anstandslos, egal wie fahrlässig der Kunde war. Das ist sogar mittlerweile ein Marketing Instrument. Und für den Kunden ist das die beste Sicherheit die er haben kann, nämlich das er genau weiß, dass die Bank den Schaden ohne wenn und aber übernimmt. Deshalb geht es den Banken auch nicht darum bei einem solchen Verfahren nicht in der Haftung zu stehen, sondern darum das möglichst keine Schäden auftauchen. Und man kann als Bank auch kein Interesse daran haben die Kunden aufgrund von Schäden aus dem Online-Kanal zu vergraulen. Das ist bei den Kreditkartenfirmen nicht anders. Die wissen auch das die Karten unsicher sind, der Punkt ist aber, würde bei einem Schaden der Nutzer haften, könnten die auf ihr komplettes Geschäftsmodell verzichten. Niemand würde dem dann mehr trauen. Und das wollen die Banken natürlich beim Banking auch vermeiden. Okay, bis auf ein paar Dorfbanken vielleicht welche tatsächlich noch knallhart den Kunden den Schaden übernehmen lassen. Das ist aber keine sehr kluge Entscheidung.

Und deshalb spielt es eigentlich nur eine Rolle ob bei einem Verfahren Schadensfälle auftreten oder nicht. Und nicht darum was rein von der Technik her als sicherer betrachtet wird. Wenn bei einem TAN Generator Schäden entstehen weil die Nutzer die Daten nicht kontrollieren, ist das für Bank ein größeres Problem als eine Smartphone App die in der Theorie zwar hackbar ist, aber aufgrund der Darstellung der Überweisungsdaten viel besser beim Endnutzer funktioniert. Und ich kann mir schon sehr gut vorstellen, dass die Nutzer bei dieser Push-TAN App eher auf die Empfängerdaten achten als auf dieses Minidisplay des TAN Generators. Und das macht dieses Display TAN Verfahren eben auch nicht besser. Es hat quasi sogar exakt denselben Schwachpunkt. Wäre mal interessant zu wissen welche Erfahrungen die Sparkasse da gemacht hat im direkten Vergleich zum TAN Generator/SMS TAN.