Hohe Sicherheit beim Online-Banking-Wo sind da noch Lücken?

Hallo,

in der Regel nutzte ich StarMoney 7.0 mit HBCI Chip und
Reiner cyberJack e-com (Klasse 3) Leser.
Damit gab es all die Jahre noch nie ein Sicherheitsproblem.

Als zweite Lösung bei einem Ausfall der Ersten und für Giropay habe ich die iTan Liste deaktiviert und mir einen ChipTan Generator zugelegt.(Reiner)
Dieser arbeitet im Portal,aber auch mit StarMoney mit Flickercode zur Kontrolle der versendeten Daten.(Kontonummer und Summe)

Bei Sammelüberweisungen wird hierbei jedoch nur der Gesamtbetrag und die Anzahl der Buchungen übermittelt.
(Keine Kontonummern)

Hierbei soll es möglich sein,dass bei "Man in the Middle" Angriffen eine nicht bemerkbare Manipulation der Zielkontonummern erfolgen kann.

Bei dieser Angriffsart wird meines Wissens nach der Rechner des Opfers im Bereich der Domain Name/IP Auflösung durch betrügerische Einträge in der Windows Hosts manipuliert.Dabei kommt es zu einem Umlenken von der Bankseite hin zu der Seite des Betrügers.(Immer vorausgesetzt die Sicherheitssoftware auf dem PC kann dies nicht verhindern)
Mit dem Betrüger wird dann eine Verbindung aufgebaut,die durchaus auch SSL gesichert sein kann.(Das hier verwendete Zertifikat müsste sich ja eindeutig von dem der Bank unterscheiden(Domain und SHA1 Print etc.)
Der Angreifer baut dann seinerseits eine Verbindung zur Bank des Opfers auf und leitet die Daten mit Hilfe von Scripten in Echtzeit und mit verfälschten Zielkontonummern weiter.

Soweit, so schlecht...

Liege ich richtig in der Annahme,dass eine vom Banking Nutzer einmal korrekt mit der Bank aufgebaute SSL Sitzung die durch gewissenhafte Zertifikatsprüfung einschließlich der SHA 1 Fingerprints abgesichert wurde,nicht mehr nachträglich durch einen "Man in the Middle" Angriff manipuliert werden kann?
SSL garantiert ja eigentlich die Identität des Remoteservers(Bank),Integrität(Unveränderbarkeit) und Verschlüsselung der Daten.
Die bei der Sammelüberweisung angesprochenen Risiken würden dann nur existieren wenn der Nutzer das Zertifikat nicht prüft!


Desweiteren würde mich die Frage interessieren, ob es bei Verwendung der aktuellen Browser auf den Bankportalen noch Probleme mit Cross-Site-Scripting oder dem Einfügen von betrügerischen Frames gibt?

kragenbär

Du vergleichst Äpfel mit Birnen.
Ein Trojaner greift nicht den Datenverkehr an sondern steigt vorher ein, wie Holger schon schrieb. Insofern ist die Frage nicht wirklich relevant.

Im anderen Thread haben wir es schon thematisiert. Die aktuell größtmögliche Sicherheit bieten transaktionsbezogene Sicherungsmedien wie chipTAN, smsTAN und das Secoderverfahren der Volksbanken.
Grund: Nach der Sendung des Auftrags an die Bank werden Empfängerkontonummer und Betrag an den Teilnehmer zurück gemeldet - derzeit bei Sammlern leider nur Summen wie schon von Dir richtig erkannt - und man kann selbst den Vorgang abbrechen, wenn etwas nicht stimmt oder verdächtig ist. Und rein theoretisch ist es dabei unerheblich, ob man es über den Browser nutzt oder über ein Anwendungsprogramm. Ist am Ende alles nur Software und angreifbar. Nur die eigene Aufmerksamkeit kann ein Trojaner nicht knacken. Von daher empfehle ich immer chipTAN, smsTAN und Secoder. Auf KEINEN FALL iTAN!

Hallo Kragenbär,

wie wir schon geschrieben haben, dein Angriffszenario 2) ist nicht praxisrelevant (würde mit den vom Michael genannten Verfahren aber auch abgesichert werden).

Viele Grüße

Holger

Ich bin jetzt kein IT-Experte, aber ich habe die MITM-Angriffe so verstanden, dass der Trojaner auf die bestehende Session Einfluss nimmt. Dann würde die Prüfung des Zertifikates ja keine Chance haben, den Betrug zu merken. Sondern nur die Anzeige der Auftragsdaten vor Eingabe der TAN lässt dies erkennen.

Um Michaels Aussage in andere Worte zu kleiden

Es gibt so viele Möglichkeiten den PC eines Anwenders zu manipulieren, dass der Schutz deutlich größer ist, wenn der Anwender die Manipulation erkennen kann und so die Freigabe eines entsprechend manipulierten Auftrag einfach unterlassen kann.

Viele Grüße

Holger

Hallo Kragenbär,

es gibt im Moment kein Druck auf HBCI, da hier meines Wissens noch keine Angriffe durchgeführt wurden. Wozu auch, es gibt ja noch genügend iTAN-Nutzer
Deshalb würde ich nicht in nächster Zeit davon ausgehen, dass die Secoderfunktion im HBCI-Bereich flächendeckend bei allen Banken Einzug hält.
Mit deinem e-com bist du aber recht gut ausgestattet, der könnte ja auch mit Secoderfunktion ausgestattet werden. Ob das in Zukunft immer so bleiben wird, kann dir allerdings nur Reiner SCT sagen.

Achwas, dafür ist es ja da, kein Problem

Gruß
Raimund

Hallo Holger,

im Gegenteil, darauf warten wir ja bereits seit Jahren. Im Gegensatz zu den unzähligen (und unsäglichen ) PIN/TAN-Verfahren ist das hier endlich mal eine sinnvolle Erweiterung. Wir persönlich haben diese Meldung mit Freude aufgenommen und das ist bei den Kollegen denke ich genauso.

Tschüss

Sebastian

Hallo zusammen,

als Mitarbeiter in der IT-Sicherheit einer Behörde kann ich nur folgende Tipps zum Thema Sicherheit geben:

- keine Administrationsrechte für Benutzer
- unnütze Programme und Dienste (Windows!) entfernen
- Patchstand aktuell, nicht nur Betriebssystem, sondern auch Einfallstore wie Acrobat Reader etc.
- Firewall aktivieren
- Mailanhänge im Whitelisting-Verfahren zulassen (d. h. nur bestimmte Inhalte dürfen überhaupt an einer Mail hängen)
- Prüfung auf Content-Spoofing durchführen (passt die Dateiendung zum Inhalt)

Die letzten beiden Punkte sind in Unternehmen leichter zu realisieren. Was es da für Tools für Privatanwender gibt, weiß ich im Moment nicht.

Um sichersten ist es sowieso, eine virtuelle Maschine aufzusetzen, darin nur die Banking-Software. Und beim nächsten Booten wird alles wieder auf 0 zurückgesetzt.

Ob das so realisierbar ist, hängt natürlich von dem Umfeld ab.