Erfolgreicher Angriff auf iTAN-Verfahren

Kaum haben die ersten Banken das iTAN-Verfahren für einen besseren Schutz vor Phishing-Attacken eingeführt, gibt es einen ersten erfolgreichen Angriff einer Arbeitsgruppe der Ruhr-Universität Bochum – allerdings nur unter Laborbedingungen. Bei indizierten TANs fragt die Bank statt nach einer beliebigen TAN auf der Liste nach einer bestimmten TAN, beispielsweise der dreiundzwanzigsten. Allerdings ist für den Kunden nicht vorhersehbar, welche iTAN abgefragt wird. Zudem ist eine iTAN immer an eine bestimmte Transaktion gebunden. Auch wenn die Verbindung unterbrochen wird, kann der Auftrag nur mit dieser TAN zu Ende geführt werden.

Dass das iTAN-Verfahren doch unsicherer ist als von den Banken behauptet, beschrieb erstmals im August das RedTeam der RWTH Aachen in einem Artikel. Dazu muss der Angreifer in der Lage sein, die Kommunikation zwischen seinem Opfer und der Bank über sich umzuleiten und mitzulesen. Entweder hat er dazu das System des Opfers mit einem Trojaner infiziert oder er hat das Opfer per Phishing beziehungsweise Pharming auf eine Webseite gelockt, die eine echte Bankseite vorgaukelt. Genau diesen Fall stellte nun die Arbeitsgruppe Identitätsschutz im Internet e.V. der Uni Bochum in der Praxis nach und programmierte dazu ein Skript.

Meldet sich das Opfer mit seiner PIN auf der vermeintlich echten Seite an, so verwendet das Skript diese zum Login – allerdings bei der echten Bank. Das Skript stößt nun eine Überweisung über 1 Euro an und erhält von der Bank die Nachfrage nach der TAN xyz. Diese Anfrage schickt das Skript nun weiter an das Opfer. In der Annahme, die Nachfrage sei für eine Sicherheitsüberprüfung erforderlich, tippt das Opfer die gewünschte iTAN ein, mit der das Skript die Überweisung abschließen kann.

Der Aufwand für die benutzte Proof-of-Concept-Implementierung lag nach Angaben der Arbeitsgruppe bei etwa einem Personentag. Daher sei damit zu rechnen, dass die Angriffe kurz- bis mittelfristig in der Praxis zum Einsatz kommen werden. Allerdings weisen die Forscher explizit darauf, dass sowohl TAN als auch iTAN-Verfahren bei korrekter Überprüfung der SSL-Verbindung sicher sind. Allerdings hätten bisherige Phishing-Angriffe gezeigt, dass die Betroffenen den Schutzmechanismus SSL schlichtweg ignorieren oder einfach nicht verstehen.

QUELLE

c't berichtet in der Montag, den 28. November, erscheinenden Ausgabe 25/05, dass sich das von der Postbank als besonders sicher angepriesene iTAN-Verfahren noch leichter aushebeln lässt als bisher angenommen. Bei indizierten TANs fragt die Bank statt nach einer beliebigen TAN auf der Liste nach einer bestimmten TAN, die immer an eine bestimmte Transaktion gebunden ist. Bislang ließ sich das Verfahren nur durch Trojaner und Man-in-the-Middle-Attacken unter Laborbedingungen austricksen.

Bei einem Test von heise Security gelang es jedoch, Überweisungen mit jeder beliebigen TAN einer Liste durchzuführen – obwohl das iTAN-Verfahren aktiviert war. Der Trick: Die Postbank bietet als Alternative zum Webzugang das Homebanking Computer Interface (HBCI) mit dem unsicheren PIN/TAN-Verfahren an – auch HBCI+ genannt –, das nach wie vor beliebige TANs akzeptiert. Möglich ist dies auch deshalb, weil die Postbank nach der Abschaltung des BTX-Zugangs sämtliche Konten für HBCI+ freigeschaltet hat. Den meisten Kunden dürfte allerdings nicht klar sein, dass ihr Konto auch über diese Hintertür angreifbar ist.

Durch die Schwachstelle bei der Postbank muss ein Phisher, der PIN und eine TAN ergattert hat, lediglich eine Finanzsoftware installieren und Kontakt mit dem HBCI-Server aufbauen, um damit das Konto leerzuräumen.

Die Postbank bestätigte das Problem gegenüber heise Security: "Für eine Übergangszeit werden indizierte TAN und mobile TAN noch nicht über die HBCI-Schnittstelle geprüft. Dies liegt im bankeneinheitlichen Standard HBCI 2.2 begründet, der diese Neuerungen noch nicht vorsehen konnte. Im Interesse der Kunden kam für die Postbank eine Abschaltung der HBCI-Schnittstelle nach Einführung der iTAN für die Übergangszeit nicht in Frage", erklärte der Pressesprecher der Postbank Jürgen Ebert.

Man sei bereits dabei, den HBCI-Nachfolgestandard FinTS 3.0 zu implementieren, der auch iTAN und mTAN unterstütze, im kommenden Frühjahr soll es soweit sein. Kunden, die den HBCI-Zugang nicht nutzen, sollten bis dahin über den Webzugang das HBCI-Überweisunglimit auf 0 Euro setzen. Im Dezember will die Bank dies automatisch für derartige Konten nachholen.

EDIT:

Update


Die Konten anderer Banken sind unter Umständen ebenfalls über HBCI mit PIN/TAN zugänglich, ohne dass der Kunde davon weiß. So schaltet etwa die Netbank automatisch den Zugang per HBCI frei, um Bankingsoftware zu unterstützen. Auch hier wird die iTAN nur für den Webzugang unterstützt, für Transaktionen mit der Finanzsoftware genügt eine beliebige TAN. Kunden sollten sich im Zweifel bei ihrer Bank erkundigen, ob ihr Konto schon für HBCI freigeschaltet wurde und gegebenenfalls ein Limit setzen. Solange Kunden ihre PIN und TAN nicht auf gefälschten Bank-Seiten eingeben besteht allerdings auch keine Möglichkeit, das Konto über HBCI+ leerzuräumen.



QUELLE

Zitat:

Original von dedie Solange Kunden ihre PIN und TAN nicht auf gefälschten Bank-Seiten eingeben besteht allerdings auch keine Möglichkeit, das Konto über HBCI+ leerzuräumen.

Dann ist auch das klassische PIN/TAN-Verfahren nicht unsicher.

Auf einem verseuchten Rechner nützt auch HBCI mit Kartenleser nichts mehr, wenn der Verschmutzer genügend Energie aufgebracht hatte, seinen Job gut zu machen.

MfG
Vimes