vielleicht sollten wir uns mal darauf einigen, worüber wir
reden. Ich reden vom ChipTAN Verfahren, wie es bei Sparkassen,
Volksbanken und der Postbank im Einsatz ist. Bei diesem
Verfahren ist der TAN Generator vollkommen austauschbar, da
alle Kryptooperationen vom Chip der EC-Karte vorgenommen
werden. Zumindest mit einem Sparkassen Generator habe ich das
auch schon ausprobiert und es funktioniert sowohl ein
Generator mit mehreren Konten, als auch ein Konto mit mehreren
Generatoren.
Genau den meine ich, meine Sparkasse hätte das auch gerne, das ich den nehme. Deshalb hatte ich ein sehr ausführliches und detailliertes Gespräch mit einem Mitarbeiter aus deren Support Abteilung, das zwar meine Bedenken hätte ausräumen sollen, aber mich am Ende nur bestärkt hat das auch diese Produkt Sicherheitslücken hat.
Dazu solltest Du wissen, das ich einige Jahre Softwareentwicklung gemacht habe und auch Hardwaretreiber anpassen oder neu schreiben kann. Weiterhin, das ich in einem großen Unternehmen für die Sicherheit der Server und Arbeitsplatzrechner zuständig war. Die Virenscanner waren also in meiner Verantwortung und ich habe mehrmals im Monat mit der Hotline des Produktes telefoniert, da wir dank unser guten WAN-Verbindung ständig im Kontakt mit Asien und den Staaten verbunden waren. Sprich, ich hatte immer die aktuellsten Viren, oft lange bevor diese in der Bildzeitung breit getreten wurden.
Bei Verlust eines authorisierten Lesegerätes ist also auch
gleich der gültige Token mit weg.Bei ChipTAN ist der Verlust des Lesergerätes unproblematisch.
Stimmt nicht ganz, das neue Gerät muss erst wieder
authentifiziert werden, so lange ist das ursprüngliche Gerät
ein Sicherheitsrisiko.Wie gesagt, für das Verfahren der oben genannten Banken ist
das so nicht korrekt. Hier liegt die geheime Information des
Kunden im nicht auslesbaren Speicher der EC Karte.
Die Karte wird auch ausgelesen, das ist richtig aber auch im Speicher des Lesegerätes werden Informationen abgelegt.
Für Phishing mag das gelten, Schadsoftware vom eigenen
Computer abzuhalten ist da nicht ganz so einfach. Ich habe
sowohl vom Studium, als auch beruflich denke ich einen recht
guten Background was IT-Sicherheit betrifft und ich würde es
nicht ausschließen, dass ich mir irgendwann Schadsoftware auf
dem PC einfange. Da reicht es ja vollkommen aus mal ein Update
nicht gemacht zu haben.
Wenn man heute Online Banking anbieten möchte, dann muss die
TAN Generierung auf einem externen Gerät stattfinden, welches
nicht kompromitiert werden kann. Auf einen nicht
kompromitierten PC beim Anwender zu hoffen ist schlichtweg
naiv. Genau aus diesem Grund ist der Weg hin zu ChipTAN
richtig.
Es gibt genügen Möglichkeiten sich das Meiste vom Hals zu halten. Sicherlich gebe ich Dir Recht, das es nicht immer möglich ist sich gegen jeden Mist zu schützen, aber im Nachhinein Betrachtet ist es meistens die eigene Dummheit die den Programmen Zutritt verschafft hat. Ich schließe mich da nicht aus.
Wer seinem Virenscanner vertraut, muss sich nicht wundern, wenn er Schadsoftware auf dem Rechner hat.
Zum Testen von Programmen haben sich virtuelle Umgebungen schon oft bezahlt gemacht, besonders auf den Seiten, die alle kennen, auf die niemand zugreift und wo Programm gefunden werden, die es gar nicht gibt und keiner auf seinem Rechner benutzt, also Freeware.
Schon einmal etwas von einem Device Driver gehört?
Es ist ein leichtes einen Treiber in in die Netzwerkverbindung
mit einzuhängen, das ist nicht viel anders als bei einem
Keylogger.Und was soll der dann machen, wenn die ganze Tan Erzeugung auf
meiner EC Karte stattfindet und die TAN nur für die von mir
gewünschte Überweisung gültig ist? Skizzier mir doch bitte mal
einen Angriff auf ChipTan, der so funktionieren soll (immer
vorausgesetzt der Anwender wendet das Verfahren korrekt an und
kontrolliert Betrag und Kontonummer auf dem Display des Tan
Generators).
Das wäre super, das passiert aber leider nicht. Ideal wäre eigentlich ein Mikroprozessor, welcher auf einer Chipkarte werkelt und die Daten verschlüsselt mit einer langsamen Datenanbindung weiterleitet.
Das Ding muss lahm sein, damit entsprechende Angriffsversuche durch schnell aufeinander folgende Abfragen im Sande verlaufen und das Entschlüsseln entsprechend erschwert.
Es muss ja überhaupt keine TAN erzeugt werden. Die bisher möglichen Signaturen mit eine Schlüssellänge von 2048bit sind noch ausreichend sicher. Gerade wenn die Datenübertragung über eine langsame Datenverbindung erfolgt.
eren?
Solange der Anwender in der SMS kontrolliert, ob die
Empfängerkontonummer und der Betrag korrekt ist, kann er dem
Schadprogramm die TAN gerne mitteilen. Kontrolliert er dies
nicht, ist er selber schuld. Das Problem bei mTan ist bloß,
dass das Handy im Gegensatz zu der EC-Karte und dem TAN
Generator eben heutzutage nicht mehr als vertrauenswürdig
eingestuft werden kann.
Im Prinzip ja. leider ist es schon zu spät, es gibt bereits ein Schadprogramm, welches sich in die smsTAN auf Mobilfunkgeräten ausnutzt. Und es hat früher schon bei den normalen TANs genügend Probleme in der Richtung gegeben. Im Grunde genommen ist das ganze Verfahren mit Sicherheitslücken behaftet.
Man hat, mal wieder, die Gelegenheit versäumt etwas Vernünftiges und zukunftssicheres auf die Beine zustellen. Kurz um es ist eigentlich eine Billiglösung, die dem Kunden aufgeschwatzt wird, bei der eine hohe Sicherheit nur zweitrangig ist. Wie üblich steht der Profit an der ersten Stelle.
Gruß
rantanplan