smsTAN Quatsch?

B

blobbo

0
Servus. So wie ich das verstanden hab, war ja der Nachteil der Tanliste mit Nummern, dass ein Trojaner (gab/gibt es ja wohl auch schon) sich quasi in den Brower klinkt und dann wenn sich jemand einloggt er Banknummer und PIN abfängt. Jetzt loggt er sich damit selber ein und startet eine Überweisung bis zur TAN-Eingabe. Wenn nun der Benutzer selber an dem Punkt angekommen ist tauscht er die Nummer die Abgefragt wird (z.B. "geben sie TAN Nr. 31 ein") durch die von seiner Überweisung aus. Der Benutzer gibt nun diese ein und erhält einen Fehler, der Trojaner macht aber schön seine Überweisung und fertig.

So und das soll ja afaik nun mit smsTAN nicht mehr funktionieren.

Jetzt hab ich mir aber gerade vollgendes überlegt:
Der Benutzer loggt sich wieder ein wie gehabt und der Trojaner hat Nummer und PIN und loggt sich auch ein und startet eine Überweisung. Jetzt kommt er zum smsTAN-Feld. Der Trojaner muss jetzt hier verhindern, dass der Benutzer die Anfrage absendet, wie auch immer, es muss aber so aussehen alsob es geklappt hätte. Dann schickt der Trojaner selber die Anfrage ab und wartet. Der Benutzer kriegt dann die sms und gibt die (falsche) TAN ein, die der Trojaner braucht und somit auch hat.

Also irgendwie sehr ich da eigentlich kein Unterschied zu der TAN-Liste (obwohl ich auch gerade selber umstellen hab lassen ;) )

Also wo soll da der Sicherheitsvorteil sein!? (Bequemlichkeit ist klar ;))
 
http://de.wikipedia.org/wiki/Transaktionsnummer

Der SMS-Versand der TAN macht mTAN wesentlich sicherer als iTAN oder einfache TAN-Verfahren. Dadurch, dass die Gültigkeitsdauer der TAN begrenzt ist und zusätzlich noch Teile der Ziel-Kontonummer der Überweisung sowie des Überweisungsbetrages in der SMS stehen und die TAN nur dafür gültig ist, wird eine Umleitung auf ein anderes Konto durch einen Man-In-The-Middle-Angriff auf die Homebanking-Webseiten verhindert. Auch das Phishing nach TANs ist bei mTAN nutzlos. Der TÜV Rheinland bescheinigt dem mTAN-System der Postbank AG eine ?wirksame Absicherung der von außen zugänglichen technischen Systeme gegen unbefugte Nutzung?.[4] Mitte 2007 erhielt auch das mTAN-System der Fiducia IT AG (IT-Dienstleister der Volks- und Raiffeisenbanken) diese TÜV-Zertifizierung
Zum Vergrößern anklicken....
 
Also zum alten Tan-Verfahren ist es schon ein Vorteil, da ja eine bestimmte Tan verlangt wird und nicht irgendeine auf der Liste, aber zum iTan (was du beschrieben hast) dürfte es eigentlich keinen Vorteil bringen.
Die zugesendete Tan ist zwar nur ein paar Minuten gültig, aber die iTan scheint auch ( für eine gewisse Zeit zumindest) an eine Transaktion gebunden zu sein ist mir mal aufgefallen. Damit muss ein Trojaner in beiden Fällen sowas wie einen MITM Angriff machen und die entsprechenden Anfragen und Ergebnisse abfangen und abändern. Damit dürften beide Verfahren etwa gleich (un)sicher sein.

Wenn man wirklich sicher Onlinebanking machen möchte, bleibt eigentlich nur HBCI. Wenn das nicht geht, dann könnte man zumindest mal ein von CD bootbares OS benutzen. Da gibt es auch eines vom BSI extra fürs Onlinebanking.
 
Original von end4win
http://de.wikipedia.org/wiki/Transaktionsnummer

Der SMS-Versand der TAN macht mTAN wesentlich sicherer als iTAN oder einfache TAN-Verfahren. Dadurch, dass die Gültigkeitsdauer der TAN begrenzt ist und zusätzlich noch Teile der Ziel-Kontonummer der Überweisung sowie des Überweisungsbetrages in der SMS stehen und die TAN nur dafür gültig ist, wird eine Umleitung auf ein anderes Konto durch einen Man-In-The-Middle-Angriff auf die Homebanking-Webseiten verhindert. Auch das Phishing nach TANs ist bei mTAN nutzlos.
Zum Vergrößern anklicken....
Zum Vergrößern anklicken....

Also solange nur Teile des Zielkontos in der SMS stehen, ist eine Fälschung noch immer möglich, es braucht halt nur mehr Konten. Und auch der Betrag ist keine Sicherung, da man dann halt nicht mehr einen selbst bestimmten Betrag von Konto klaut sondern halt genau diesen.
 
Ich hab die sms leider schon gelöscht aber ich könnte auch nicht mehr sagen ob da tatsächlich die Kontunummer oder der Betrag stand weil ich gleich nach der TAN geguckt hab und dann ab auf löschen :)
Das war zwar mein Fehler aber ich glaub das machen viele so ;)
Na ok, das ist dann irgendwie schon ein kleiner Vorteil mit dem Daten anzeigen aber dann bin ich tatsächlich etwas enttäuscht von smsTAN. Hab das neulich noch anderen als viel sicherer beschrieben ohne vorher drüber nachzudenken :rolleyes:
Danke euch :)
 
Die meisten heutigen TAN-Verfahren basieren darauf, dass die TAN abhaengig vom Empfaengerkonto generiert wird. Dazu wird eine Code- und ein Daten-Feld neben anderen Daten (wie der aktuellen Uhrzeit um die Verfallszeit festzulegen usw.) in die Generierung einbezogen. Der Code liegt dabei auch der Bank vor und entspricht etwa der Verlaufsnummer aus frueheren TAN-Verfahren, die auf TAN-Listen basierten, ist aber nicht fortlaufend sondern in zufaelliger Reihenfolge und damit nicht erratbar oder berechenbar. Das Datenfeld besteht im Normalfall aus den letzten Ziffern des Empfaengerkontos. Die TAN kann somit nur in einem bestimmten Zeitraum genutzt werden und zusaetzlich funktionieren nur Ueberweisungen auf ein Konto mit den gleichen Endnummern. Die Wahrscheinlichkeit, dass ein Angreifer ein passendes Zielkonto hat bzw. ein passendes ermittelt bevor die TAN verfallen ist, ist verschwindend gering.

Da dies bei smsTAN auch angewendet wird, duerfte es damit sicherer sein als eine TAN-Liste. Im Prinzip ist eine smsTAN nichts anderes als eine sm@rt-TAN, die via SMS uebermittelt wird, anstatt dem Kunden einen Generator in die Hand zu geben.

Ich wuerde empfehlen eine Bank zu suchen, die sm@rt-TAN-plus einsetzt, wenn man viel Zahlungsverkehr ueber das Internet regelt. Damit ist die TAN-Nummer nicht nur vom Empfaengerkonto und der Zeit abhaengig, sondern auch noch von einem geheimen Schluessel, der auf deiner Geldkarte ist. sm@rt-TAN-plus nutzt einen TAN-Generator, der neben die Konto-Informationen auch noch einen geheimen Key einbezieht, der auf dem Chip deiner Geldkarte (EC, Maestro) abgelegt ist. Du verifizierst damit also jede Ueberweisung mit deiner Karte, wie man es auch bei einem Automaten in der Bank tut.
 
mh aber das mit der Kontonummer in der TAN bringt doch wieder gar kein Vorteil. ?(
Der Trojaner startet ja seine eigene Überweisung an sein Konto und der Benutzer startet seine Überweisung an sein Konto. Da der Benutzer ja dann einfach die sms der Überweisung des Trojaners bekommt ist ja total egal auf was für ein Konto der Benutzer eigentlich überweisen wollte...

[Edit]
und zusaetzlich funktionieren nur Ueberweisungen auf ein Konto mit den gleichen Endnummern. Die Wahrscheinlichkeit, dass ein Angreifer ein passendes Zielkonto hat bzw. ein passendes ermittelt bevor die TAN verfallen ist, ist verschwindend gering.
Zum Vergrößern anklicken....
Das versteh ich irgendwie gar nicht... die TAN wird ja für eine bestimmte Überweisung erst generiert und abgeschickt. Angenommen ein Angreifer hat nun sofort ein passendes Konto, was soll er denn dann machen? ?( Wo ist überhaupt der Sinn dabei, die Zielkontonummer in die TAN zu basteln?
 
Nicht zwingend. Die Trojaner bauen alle darauf auf, dass min. eine Ueberweisung fehl schlaegt bzw. unterbrochen wird, entweder die des Users oder die des Trojaners. Im Normalfall natuerlich die des Users. ;) Ist das Empfaengerkonto in die TAN einbezogen, kann dem User direkt mitgeteilt werden, dass diese TAN nicht fuer diese Transaktion gueltig ist, sondern fuer ein anderes Empfaengerkonto generiert wurde, und nicht nur das uebliche "TAN nicht mehr gueltig", was viele Ursachen haben konnte. Dem User ist damit klar, dass er gerade eine TAN bekommen hat, die offenbar nicht auf Basis der Daten generiert wurde, die er eingegeben hat, und er kann entsprechend darauf reagieren, z.B. bei seiner Bank nachfragen, die ihm dann sagen kann, dass zu dieser Zeit eine andere Ueberweisung getaetigt wurde, die er dann umgehend zuruecknehmen kann. Die Reaktionszeit des Users wird damit verringert und die Fehlerursache fuer eine ungueltige TAN ist schneller geklaert. Bei einem anstaendigen Online-Banking wird uebrigens der Inhalt des empfangenen Datenfelds nochmal explizit angezeigt, damit der User dies mit der eingegebenen Konto-Nummer abgleichen und ggf. die Ueberweisung abbrechen kann. Der User bekommt hier also auch mehr Kontrolle ueber die TAN selbst.

Angenommen ein Angreifer hat nun sofort ein passendes Konto, was soll er denn dann machen?
Zum Vergrößern anklicken....
Haette der Angreifer ein passendes Konto, koennte er die Ueberweisung des Users einfach abfangen und nicht ausfuehren lassen und die TAN dann fuer eine eigene Ueberweisung nutzen, so wie man es frueher bei jeder Listen-Nummer konnte.

Also... Prinzip TAN-Liste: Der User gibt eine TAN von einer Liste ein. Ein Trojaner faengt die TAN ab und unterbricht die vom User ausgefuehrte Ueberweisung, damit die TAN nicht verbraucht wird. Daraufhin kann der Angreifer die TAN fuer eine eigene Ueberweisung nutzen.

Prinzip sm@rtTAN/smsTAN: Eine TAN wird abhaengig vom Empfaengerkonto und der aktuellen Uhrzeit generiert. Damit kann ihr eine bestimmte Verfallszeit zugeordnet werden, die wenige Minuten oder Stunden umfassen kann. Vorteil gegenueber der TAN-Liste, die zumeist fuer einen Monat oder mehr gueltig ist, duerfte auf der Hand liegen. Die Zeit, in der der Angreifer reagieren muss, wird drastisch verkuerzt. Ausserdem wird in die generierte TAN der letzte Teil des Empfaengerkontos einbezogen, so dass die TAN nur fuer eine Transaktion nutzbar ist, die auf ein "aehnliches" Konto (also mit gleichen Endziffern) geht. Sie kann damit nicht mehr fuer jede beliebige Transaktion genutzt werden, wie es bei TAN-Listen der Fall war.
 
Ich bin davon ausgegangen, dass der Tojaner eh den Browser soweit manipuliert, dass bei der TAN Eingabe nicht die Bankfehlermeldung kommt sondern eine beliebige. z.B. "Der Server ist überlastet, probieren sie es später erneut" X)
Und bei der TAN-Erzeugung dachte ich, dass das so funktioniert: Ich geb die Bankdaten des Empfängers und den Betrag ein. Jetzt klicke ich auf weiter und nehme smsTAN. Das System generiert nun eine TAN und speichert diese bei sich zwischen aber streng verknüpft mit nur einer Überweisung. Also z.B. speichert es die ID meiner Überweisung und die TAN. Dann schickt es die TAN an micht per sms.
Wenn ich die TAN nun eingebe vergleicht das System die Eingabe zu meiner Überweisung mit der TAN die es gespeichert hat.
Irre ich mich hier? Weil so könnte man die TAN ja nicht für eine andere Überweisung benutzen und mir ist auch nicht klar warum man das anders machen sollte als von mir beschrieben...

danke!
 
Wenn du die smsTAN anforderst, wird das Formular bzw. der Formular-Inhalt ja schon an die Bank geschickt. Der Angreifer muesste also schon zu diesem Zeitpunkt falsche Daten uebermitteln, was sich dann im Formular widerspiegeln wuerde.
 
Naja, mit ein bisschen Data-Splicing (Das, was der Browser anzeigt != Das, was der Browser abschickt/empfängt) ist auch das möglich.
 
Original von +++ATH0
Naja, mit ein bisschen Data-Splicing (Das, was der Browser anzeigt != Das, was der Browser abschickt/empfängt) ist auch das möglich.
Zum Vergrößern anklicken....

Es gibt natuerlich immer Wege, aber Data-Splicing zu automatisieren ist nicht ganz so einfach wie das Anzeigen einer simplen Fehlermeldung.
 
Original von +++ATH0
Naja, mit ein bisschen Data-Splicing (Das, was der Browser anzeigt != Das, was der Browser abschickt/empfängt) ist auch das möglich.
Zum Vergrößern anklicken....

Es bliebe aber immernoch die falsche Kontonummer in der SMS, und wenn die TAN an genau eine Transaktion gekoppelt ist(mit Uhrzeit, Betrag, Empfänger,..), dann könnte ein aufmerksamer Nutzer die Attacke durchaus bemerken. Das setzt natürlich voraus, dass die vollständige Kontonummer in der SMS stünde.
 
Jo. Was werden denn bei bekannten Banken in der SMS für Informationen zurückgesendet außer der TAN?
Das wäre sicherlich eine sehr sinnvolle Methode um Authentizität zu gewährleisten.
 
also um ein derartiges verfahren zu sichern ist notwendig, dass der benutzer einen schlüsselteil besitzt, der für ihn individuell ist und nur ihm bekannt und nur duch ihn zugreifbar. dies ist nur durch ein token in einem eigenständigen gerät möglich.
diese tokens werden in einem angeommenerweise sicheren zustand, inittialisiert durch einen salt parameter von der bank, der das token in einen entropen schlüssel für zukünftige aktionen versetzt.
das die prüfsumme der überweisungsdaten in der sms z.b. enthalten ist reicht nicht solange der benutzer nicht den klartext der überweisung überprüfen kann. auch wenn er es kann ist dies nicht die beste wahl, denn es gibt genügend leute, die nicht darauf achten würden, die daten reiflich zu überprüfen, da bin ich mir sicher. falls jemand schon smstan nutzt: von welchem absender stammen denn die sms ? wie überprüft man denn die gültigkeit der sms-absender ? mit eine bischen kindergartewissen kann man sms beliebiger absender verschicken ? es muss doch eine art öffnetlicher schlüssel vorhanden sein um die echtheit einer smsnachricht zu überprüfen, bitte sagt mir nicht, dass es nicht so ist ...
 
falls jemand schon smstan nutzt: von welchem absender stammen denn die sms ? wie überprüft man denn die gültigkeit der sms-absender ? mit eine bischen kindergartewissen kann man sms beliebiger absender verschicken ? es muss doch eine art öffnetlicher schlüssel vorhanden sein um die echtheit einer smsnachricht zu überprüfen, bitte sagt mir nicht, dass es nicht so ist ...
Zum Vergrößern anklicken....
Also irgendeine besondere Absender-Authentifizierung gibt es zumindest bei der VR-Bank nicht, aber das halte ich auch nicht für sonderlich schlimm, da andere Absender ohnehin keine gültigen TANs generieren könnten. Könnten sie dies, so bräuchte die Malware auch gar keine SMS zu fälschen und das ganze wäre hinfällig.
 
Es ist vielleicht derzeit noch recht weit hergeholt, aber gerade Smartphones verbreiten sich ja immer mehr. Es gibt genug Leute (mich eingeschlossen), die dieses regelmäßig mit dem PC synchronisieren.
Stellt man sich nun einen zweischichtigen Trojaner vor, einer auf dem PC und dann noch einer auf dem Telefon, dann würde der Angriff theoretisch wieder funktionieren können. Trivial wäre das zwar definitiv nicht, aber ich bin mir recht sicher, dass es nicht unmöglich ist.

Persönlich würde ich aber wie gesagt auf HBCI setzen.
 
Es kristallisiert sich hier ganz langsam (oder auch ganz schnell für Abiturienten :p ) heraus, dass HBCI das einzig - auch theoretisch - sichere System ist.
Denn man kann sicher nich per USB den HBCI Leser mit einer neuen Firmware versehen...
 
Naja...du kannst allerdings bei HBCI (im Standard-Fall) nicht prüfen, welche Daten deine Bank-Software an den Kartenleser geschickt hat. Du kannst nur sicherstellen, dass genau diese Daten dann unverändert bei der Bank ankommen.

Wenn die Banksoftware durch einen Trojaner Kompromittiert ist, kannst du auch hier einem Betrug ausgesetzt sein.

Dafür wurde jetzt allerdings der Nachfolge-Standard Secoder verabschiedet, der die Anzeige der zentralen Transaktions-Daten im Display des Kartenlesers vorschreibt (ist bei HBCI schon moeglich, aber nicht vorgeschrieben...wird somit bei vielen Kartenlesern nicht angezeigt)
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben