Welches Online-Banking ist sicher?

Transkript

1 Welches Online-Banking ist sicher? Ein Überblick und Handlungsempfehlungen Stand:

2 Dürfen wir uns vorstellen? In aller Kürze: Wer wir sind und was wir tun

3 Wer ist Antago? Wir sind kein......systemhaus Wir haben kein Interesse daran, Ihnen Sicherheitslösungen (Firewalls, Virenscanner,...) zu verkaufen....reseller/integrator Wir sind unabhängig von Herstellern....fremdfinanziertes Unternehmen Wir sind unabhängig von Geldgebern....Tochterunternehmen Wir sind an keinen Konzern gebunden

4 Was bietet Ihnen Antago? Die Antago GmbH ist ein europaweit tätiges Unternehmen im Bereich der IT- und Informationssicherheit. Wir sorgen für die strukturierte, bedarfsorientierte Absicherung von Informationen. Unabhängig, kompetent und fair bieten wir Ihnen: Security Scans von Systemen, Netzen und Applikationen Kompetente Sicherheitsuntersuchungen inkl. Risikoanalyse und Maßnahmenkatalog Informationssicherheitsmanagmentsysteme (ISMS) Analyse und Erarbeitung bedarfsorientierter Sicherheitskonzepte (auch gem. IT-Grundschutz / ISO 27001) IT-Forensic Gerichtsfeste Beweissicherung und Untersuchungen von IT-Sicherheitsvorfällen. Security Awareness Sensibilität im Unternehmen schaffen die Sicherheitslücke Nr. 1 adressieren. Livehackings und Schulungen Know-How aus erster Hand

5 Einleitung Was erwartet Sie?

6 Was erwartet Sie? Sie erfahren die folgenden Dinge über Online-Banking Grundlagen Die Ziele des Angreifers Angriffe gegen Online-Banking Forderung an Online-Banking So viel Schutz muss immer sein! Online-Banking: Funktionsweise und Sicherheit von PIN und (i)tan Alternative 1: HBCI mit Kartenleser Alternative 2: SMS-TAN, mobiletan, mtan Alternative 3: chiptan, optischestan, smarttan plus Es gibt natürlich weitere Verfahren, mit denen Online-Banking abgesichert werden kann. Diese werden hier jedoch (noch) nicht besprochen, weil sie nur vergleichsweise selten eingesetzt werden

7 Ein paar offene Worte Dieses Papier bietet Ihnen eine Hilfestellung und wurde von uns mit großer Sorgfalt erarbeitet. Dennoch gilt: Dieses Papier ist kein Ersatz für den gesunden Menschenverstand. Dieses Papier kann Fehler enthalten. Bitte kontaktieren Sie uns, wenn Sie einen Fehler entdecken. Dieses Papier kann unvollständig sein. Bitte kontaktieren Sie uns, wenn ein wichtiges Thema fehlt. Dieses Papier veraltet. Schauen Sie öfter auf unserer Webseite vorbei. Wir übernehmen keine Gewährleistung für die in diesem Papier aufgeführten Empfehlungen und Softwareprodukte

8 Die Ziele des Angreifers Warum wird Online-Banking angegriffen?

9 Warum wird Online-Banking angegriffen? Beim Online-Banking geht es um viel, viel Geld. Dieses Verfahren wird von Millionen Benutzern verwendet und es werden Abermillionen kritischer Daten Tag für Tag ausgetauscht. Deshalb sehen Kriminelle hier die Möglichkeit, viel Geld zu verdienen. Betrüger sind deshalb sehr kreativ und nehmen auch hohe Aufwände bzw. Investitionen in Kauf, um Online-Banking anzugreifen. Die Angreifer führen breit gefächerte Angriffe durch, um möglichst viele Opfer zu betrügen die Angreifer werden auch an Ihre Türe klopfen!

10 Wann hat ein Angreifer gewonnen? Die Angriffe gegen Online-Banking lassen sich in zwei Kategorien unterteilen: Informationsdiebstahl Der Angreifer klaut Informationen, um anschließend im Namen des legitimen Benutzers betrügerische Bankgeschäfte durchzuführen. Transaktionsmanipulation Der Angreifer schiebt dem Benutzer betrügerische Transaktionen unter, die dieser (unwissentlich) legitimiert.

11 Angriffe gegen Online-Banking Ein kleines Bestiarium

12 Phishing: Erschleichen von Zugangsdaten Phising ist ein Kunstwort aus Password und Fishing und bedeutet in etwa: Passwörter fischen. Unter Phishing versteht man den Versuch, durch Täuschung an vertrauliche Daten des Opfers zu gelangen. Dazu schreibt der Angreifer dem Opfer Nachrichten, um es zur Herausgabe von Daten zu bewegen. Dies kann via Webseiten, , SMS oder mit Hilfe eines Zusammenspiels verschiedener Techniken geschehen. Typisch ist dabei die Nachahmung des Designs einer vertrauenswürdigen Stelle bzw. Nachricht

13 Hier eine (alte aber typische) Phishing-Mail

14 ...und die dazugehörige Webseite

15 Phishing via Schadsoftware Das Täuschen der Benutzer funktioniert umso besser, je sicherer sich das Opfer fühlt. Deshalb sind die Angreifer dazu über gegangen, Phishing mit Hilfe von Schadsoftware zu betreiben. Die Schadsoftware wird aktiv, wenn sich der Benutzer auf der Webseite der Bank eingeloggt hat, gaukelt ihm eine wichtige Meldung vor und versucht so, ihn zu täuschen. Auf der nächsten Seite sehen den Screenshot eines infizierten Rechners - nach dem Einloggen in das Online-Banking blendet die Schadsoftware ein Fenster ein, in das der Benutzer seine gesamte TAN-Liste eingeben soll

16 Schadsoftware betreibt Phishing im Browser

17 Schadsoftware Neben den Phishing haben die Angreifer z.t. sehr komplexe! Schadsoftware entwickelt, die verschiedene Arten von OnlineBanking-Verfahren angreifen kann. Es ist mittlerweile eine ganze Familie dieser Schädlinge bekannt (z.b. die Win32.Banker-Familie). Die Schadsoftware arbeitet auf dem Rechner des Opfers und kann deshalb sehr effektiv Informationsdiebstahl und Transaktionsmanipulation durchführen! Sie kann z.b. Tastatureingaben belauschen (Keylogger), die Bildschirmausgaben protokollieren oder beliebig ändern, die Kommunikation zwischen Kunde und Bank umleiten, unterbrechen oder manipulieren und vieles, vieles mehr

18 Forderungen an Online-Banking Das muss Online-Banking heute leisten!

19 Unsere Forderungen an sicheres Online-Banking! Authentizität der Geschäftspartner Der Kunde muss ganz sicher sein, dass er wirklich mit seiner Bank spricht - sonst landet er z.b. auf der Webseite des Angreifers! Transparenz der Transaktion Der Kunde muss fälschungssicher sehen können, welche Transaktion er gerade legitimiert - sonst kann ihm der Angreifer eine falsche Transaktion unterschieben! Integrität der Transaktion Die Transaktion muss so bei der Bank ankommen, wie der Kunde sie weggeschickt hat sonst kann der Angreifer sie auf dem Weg zur Bank fälschen! Robustheit gegen Schadsoftware All das muss selbst dann gewährleistet sein, wenn der Computer des Kunden komplett unter der Kontrolle des Angreifers steht. Benutzerfreundlich...und alles muss bitte völlig narrensicher und vor allem ganz einfach zu bedienen sein!

20 So viel Schutz muss immer sein! Egal welches Online Banking Sie nutzen legen Sie ein sicheres Fundament!

21 Schützen Sie Ihre Zugangsdaten! Online-Banking ist wie jede Geldangelegenheit! - etwas sehr persönliches. Egal ob PIN, TAN, Handy oder Chipkarte: Gehen Sie unbedingt verantwortungsvoll und vorsichtig mit all Ihren Zugangsdaten um! Geben Sie sie niemals aus der Hand bzw. am Telefon, in Briefen, im persönlichen Gespräch oder im bei anderer Gelegenheit an Dritte weiter egal wie gut das Argument Ihres Gegenüber ist oder mit wem auch immer Sie glauben, zu reden! Niemand, wirklich absolut niemand hat ein berechtigtes Interesse an Ihren Zugangsdaten. Nicht der nette Bankangestellte und auch nicht der Polizist oder Kundenberater. Absolut niemand! Schreiben Sie die PIN und TAN für Ihr Online-Banking nicht auf. Speichern Sie sie auch nicht auf Ihrem Computer oder Ihrem Smartphone ab. Der Kopf ist der einzig sichere Aufbewahrungsort.

22 Sichern Sie Ihren Computer angemessen ab! Im Straßenverkehr sind Sicherheitsmaßnahmen wie Sicherheitsgurt, ABS und Co. eine Selbstverständlichkeit. Was im Straßenverkehr gilt, gilt auch für Ihren Computer. Die wichtigsten Sicherheitsmaßnahmen lauten hier: Regelmäßige Backups durchführen! Automatische Windows-Updates einschalten! Regelmäßige Aktualisierung von sonstiger Software (z.b. des Adobe Acrobat Readers) durchführen! Anti-Virus installieren, aktuell halten und permanent im Hintergrund mitlaufen lassen! Lokale Firewall einschalten bzw. installieren! Gute Passwörter wählen!... Wer mehr wissen möchte, schaut in den Vortrag So viel Schutz muss sein! (auf unserer Webseite erhältlich).

23 Browser nicht vergessen! Wenn Sie Ihren Browser für das Online-Banking verwenden, so sichern Sie ihn ausreichend ab! Die Browser-Sicherheit kann hier nicht erschöpfend behandelt werden. Deshalb hier nur einige kurze Hinweise: Verwendet Sie einen aktuellen Browser, der über sämtliche Updates verfügt. Installieren Sie zusäzliche Add-Ons für den Firefox-Browser, wie z.b. NoScript, um Ihre Sicherheit weiter zu erhöhen. Löschen Sie nach dem Online-Banking den lokalen Cache des Browsers (geht bei Firefox z.b. beim Beenden auch automatisch).

24 Wichtig: Informiert und kritisch sein! Die überwiegende Mehrzahl der Angriffe gegen Online-Banking basiert darauf, den Benutzer hinters Licht zu führen. Bitte beherzigen Sie die folgenden Ratschläge: Wissen ist Macht! Informieren Sie sich über die Mechanismen des Online-Bankings. Wissen gibt Sicherheit! Lernen Sie, wie Online-Banking durchgeführt wird, damit sie richtige Meldungen von betrügerischen sicher und einfach unterscheiden können. Fragen kostet nichts! Im Zweifelsfall greifen Sie zum Telefon und fragen Sie bei Ihrem Geldinstitut nach.

25 Online-Banking mit PIN und (i)tan Überholt, veraltet, unsicher: Weg damit!

26 Wie funktionierts? Das Online-Banking via PIN und TAN bzw. itan wird über den Browser abgewickelt. Der Kunde loggt sich mit seiner PIN (PIN = Persönliche Identifikationsnummer) auf der Webseite der Bank ein und legitimiert jede finanzielle Transaktion mit einer TAN (TAN = Transaktionsnummer), die danach ungültig ist (Einmal-Gebrauch). Die Bank übersendet dem Kunden dazu eine PIN und eine Liste von TANs bzw. von nummerierten TANs (itan = indizierte TAN). Beim TAN-Verfahren kann der Kunde eine beliebige TAN eingeben, während beim itan-verfahren die TANs nummeriert sind und die Bank die Eingabe einer spezifischen TAN fordert.

27 PIN und (i)tan ist unsicher! Das Online-Banking via PIN und (i)tan ist unsicher. Warum? Problem Informationsdiebstahl Gibt der Kunde nicht acht, so kann er auf gefälschten Webseiten landen und dem Angreifer unwissentlich PIN und TANs übergeben. Mit diesen Informationen kann ein Angreifer sich bei der Bank als legitimer Kunde ausgeben und das Konto seines Opfers plündern. Das itan-verfahren erschwert diesen Angriff, macht ihn aber nicht unmöglich. Da die Bank die Eingabe einer spezifischen TAN fordert muss ein Angreifer die gesamten (noch gültigen) TANs eines Opfers kennen, um mit Sicherheit eine Transaktion durchführen zu können. Problem Transaktionsmanipulation Wenn Schadsoftware auf dem Computer des Kunden installiert ist, kann sie Transaktionsdaten auf dem Weg zur Bank fälschen. Der Benutzer legitimiert dann unwissentlich die gefälschte Transaktion durch die Eingabe einer (i)tan.

28 Was sollte man tun? Vergessen Sie PIN und (i)tan! Nutzen Sie ein anderes Verfahren (viele Banken haben PIN und &(i)tan zum Glück schon abgeschaltet). Wenn dies nicht möglich ist: Begrenzen Sie bei Ihrer Bank das Limit für Online-Überweisungen pro Tag und Woche. Lassen Sie sich von Ihrer Bank eine Haftungsübernahme bestätigen: Die Bank soll für alle eventuellen Schäden haften. Kontrollieren Sie Ihre Kontoauszüge zeitnah. Besser: Verlassen Sie Ihre rückständige Bank und wechseln Sie zu einem modernen Geldinstitut!

29 Alternative 1: HBCI mit Kartenleser Elektronisches Fort: Hier sind sie gut aufgehoben!

30 Was ist HBCI? HBCI steht für Home Banking Computer Interface. Es ist ein offener Standard für Homebanking, der verschiedene Online-Banking Verfahren unterstützt (unter anderem auch PIN und TAN!). HBCI mit PIN und TAN lassen wir hier außen vor. Hier gelten genau die gleichen Einschränkungen wie bei PIN und TAN ohne HBCI. Nicht verwenden! Ebenfalls außen vor: HBCI mit Schlüssel auf Diskette. Nur auf einem besonders gesicherten PC verwenden! Aktuelles HBCI arbeitet mit Kartenleser und Chipkarte.

31 HBCI mit Chipkarte: Wie funktionierts? HBCI arbeitet mit einem Kartenleser und einer Chipkarte. Der Kunde übergibt die Transaktion der Chipkarte, die von ihm die Eingabe einer PIN verlangt. Nach drei falschen Eingaben der PIN sperrt sich die Chipkarte. Bei Eingabe der richtigen PIN wird die Transaktion von der Chipkarte so verschlüsselt, dass sie nur noch von der Bank entschlüsselt werden kann. Die verschlüsselte Transaktion wird an die Bank gesandt, die sie entschlüsselt und verarbeitet. Liebe Experten: Ich weiß - diese Darstellung ist stark vereinfacht. Nicht böse sein!

32 Welche Vorteile bringt HBCI mit Chipkarte? Absicherung gegen Informationsdiebstahl: Es werden keine TANs mehr verwendet - die Transaktion wird von der Chipkarte verschlüsselt. Es muss aber sicher gestellt sein, dass die PIN der Karte geheim bleibt (die richtige PIN bringt die Karte ja dazu, Überweisungen zu legitimieren). Absicherung gegen Transaktionsmanipulation: Die Transaktion kann nicht mehr unbemerkt manipuliert werden, nachdem sie von der Chipkarte verschlüsselt wurde. Es muss aber sicher gestellt sein, dass die Chipkarte die richtige Transaktion erhält. Wann hat der Angreifer gewonnen? Ein Angreifer muss die PIN zkennen und zugleich Zugriff auf den die Chipkarte besitzen, um illegale Transaktionen durchführen zu können oder er muss in der Lage sein, dem legitimen Benutzer eine gefälschte Transaktion unter zuschieben, die dieser mit Chipkarte (unwissentlich) legitimiert.

33 HBCI mit Klasse-1-Kartenleser: Igitt! Wie sicher HBCI mit Chipkarte ist, hängt stark vom Kartenleser ab, der eingesetzt wird Absolut unsicher: Dummer Chipkartenleser (Klasse-1-Kartenleser)! Eine Schadsoftware kann die PIN des Benutzers ausspähen (die Eingabe der PIN erfolgt ja über die Tastatur des Rechners!) und dann der Chipkarte dann beliebige Transaktionen unterschieben. Igitt!

34 HBCI mit Klasse-2-Kartenleser: gut, nicht optimal Klasse-2-Kartenleser besitzen eine eigene Tastatur. Eingaben auf dieser Tastatur werden nur vom Kartenleser verarbeitet - es besteht keine Möglichkeit, die Tastatureingaben vom angeschlossenen Computer aus mitzulesen. So kann Schadsoftware auf dem Computer des Benutzers nicht die PINausspähen. Ein letztes (kleines) Schlupfloch bleibt aber: Eine Schadsoftware kann die originale Transaktion abfangen, bevor die das Lesegerät erreicht und gegen eine illegale Transaktion ersetzen. Das Problem bei Klasse-2-Kartenlesern: Der Benutzer sieht bei diesem Kartenleser nicht, welche Transaktion er legitimiert...

35 HBCI mit Klasse-3-Kartenleser: klasse! Kartenleser der Klasse 3 zeichnen sich dadurch aus, dass sie eine autonome Tastatur und ein autonomes Display besitzen. Das Display wird unabhängig vom PC betrieben und zeigt z.b. an, welche Transaktion der Benutzer durch die Eingabe seiner PIN legitimiert. Wichtig: Die Online-Banking-Software muss Klasse-3-Geräte voll unterstützen und die Features des Geräts auch nutzen!

36 Welche Nachteile hat HBCI mit Kartenleser? Der Kartenleser kostet Geld. Der Benutzer muss den Chipkartenleser und ggf. spezielle Software mit sich führen, um Online-Banking nutzen zu können Versuchen Sie mal im Urlaub einen Kartenleser im Internetcafe vor Ort zum Laufen zu bekommen...

37 Alternative 2: SMS-TAN, mobiletan, mtan Die TAN kommt via SMS zu Ihnen

38 Was ist's und wie funktionierts? Das Online-Banking via SMS-TAN (auch mobiletan oder mtan genannt) wird über den Browser abgewickelt. Nachdem der Kunde eine Transaktion abgeschickt hat, übermittelt ihm die Bank innerhalb weniger Sekunden eine TAN per SMS auf sein Handy (daher auch der Name). In der SMS wird nicht nur die TAN übertragen, sondern auch die Transaktion noch einmal zusammengefasst: Ihre TAN für die Überweisung von EUR 35,95 an das Konto lautet: CF44GB Die TAN ist ausschließlich für diese spezielle Transaktion gültig und verfällt nach wenigen Minuten.

39 Welche Vorteile bringt's? Absicherung gegen Informationsdiebstahl: Die TAN wird für jede Transaktion individuell erstellt und auf einem sicheren Kanal übertragen (Mobilfunknetz) Schadsoftware kann die TAN nicht manipulieren oder missbrauchen. Absicherung gegen Transaktionsmanipulation: Die Transaktion kann nicht unbemerkt manipuliert werden, da die wichtigsten Transaktionsdaten noch einmal in der (sicher übertragenen) SMS enthalten sind. Um Geld zu stehlen muss also ein Angreifer die PIN für das Online-Banking kennen und darüber hinaus im Besitz des (betriebsbereiten) Handy's des Kunden sein. Beides in Kombination ist sehr unwahrscheinlich (der Verlust des Handy's wird meistens schneller als den Verlust der Geldbörse bemerkt...). Last but not least: Der Benutzer bleibt mobil. Es wird keine zusätzliche Hardware, keine spezielle Software oder gar TAN-Listen benötigt.

40 Wie sicher ist's? Aktuell zählt SMS-TAN zu den sehr sicheren Verfahren. Das Verfahren ist aber gebrochen, wenn es dem Angreifer gelingt......das Handy des Benutzers unter seine Kontrolle zu bringen...die Übertragung von SMS im Mobilfunknetz zu stören und/oder zu manipulieren...in die Infrastruktur des Mobilfunkbetreibers einzubrechen oder...den Benutzer zu täuschen Seit Ende 2010 hat die dunkle Seite damit begonnen, SMS-TAN zu attackieren. Dabei steht vor allem das Endgerät im Fokus der Angreifer.

41 Im Fokus der Angreifer: das mobile Gerät! Aktuell sind die ersten Exemplare einer Schadsoftware unterwegs (Zeus mobile und spyeye), die den Benutzer von SMS-TAN dazu auffordert, auf seinem Handy eine zusätzliche Sicherheitssoftware zu installieren. Dabei handelt es sich natürlich um Schadsoftware, die die SMS-TANs auf dem mobilen Endgerät manipuliert. Aktuell werden Geräte mit dem Betriebssystem Symbian (Nokia), Android und Windows Mobile attackiert. Fazit: Schützen Sie Ihr mobiles Endgerät, wenn Sie damit Online-Banking betreiben dies gilt vor allem für Smartphones! Achten Sie darauf, welche Software Sie dort installieren! Informieren Sie sich über die Sicherheit Ihres Gerätes.

42 Alternative 3: chiptan, optischestan, smarttan plus Verschlüsselte TAN als Morsecode

43 Was ist's und wie funktionierts? Der Kunde nutzt das Online-Banking mit seinem Browser. Zusätzlich wird ein Lesegerät benötigt, in das der Kunde seine Chipkarte steckt. Der Kunde schickt eine Transaktion an seine Bank. Die Bank verschlüsselt die Transaktion und die entsprechende TAN und sendet beides per Morsecode (blinkende Felder auf der Webseite) an das Lesegerät. Das Lesegerät empfängt die verschlüsselte Nachricht der Bank mit Hilfe eines optischen Sensors und entschlüsselt sie mit Hilfe der Chipkarte. Nach der erfolgreichen Entschlüsselung zeigt das Lesegerät Transaktion und TAN an: Betrag: EUR 35,95 - Konto TAN CF44GB.

44 Welche Vorteile bringt's? Absicherung gegen Informationsdiebstahl: Die TAN wird für jede Transaktion individuell erstellt und verschlüsselt zum Lesegerät übertragen Schadsoftware kann die TAN nicht manipulieren oder missbrauchen. Absicherung gegen Transaktionsmanipulation: Die Transaktion kann nicht unbemerkt manipuliert werden, da die wichtigsten Daten noch einmal in der (verschlüsselten) Nachricht enthalten sind. Um Geld zu stehlen muss also ein Angreifer die PIN für das OnlineBanking kennen und darüber hinaus im Besitz der Chipkarte und ggf. des Lesegerätes sein.

45 Wie sicher ist's? chiptan / optischestan / smarttan plus ist ein sehr sicheres Verfahren. Es sind keine Angriffe gegen die Prinzipien des Verfahrens bekannt Technik und Prinzip ist sehr sicher! In der Vergangenheit wurden nur einzelne Implementationen angegriffen und diese Angriffe fanden quasi unter Laborbedingungen statt. Es bleibt aber eine Schwachstelle: der Mensch...

46 Attacken gegen smarttan Bei smarttan stellt aktuell der Benutzer die einzige Schwachstelle dar. Wie wird der Benutzer angegriffen? Eine Schadsoftware manipuliert die Überweisung und versucht gleichzeitig, die Manipulation als legitimen Vorgang zu tarnen: Nachdem sie die Überweisung verfälscht hat, bettet sie die blinkenden Felder in eine eigene Webseite ein und fordert den Benutzer auf, die übertragene TAN einzugeben, obwohl sie nicht die gewünschten Überweisungsdaten enthält. Auf der nächsten Seite sehen den Screenshot eines infizierten Rechners die Schadsoftware hat die Transaktion manipuliert (nun EUR 3889,00 für das Konto ) und tarnt die Manipulation als angebliche Synchronisation des TANGenerators. Der Betrag und die Kontonummer werden dabei als Prüfzahl und Ausgangscode bezeichnet.

47 Schadsoftware versucht den Benutzer zu betrügen

48 Fazit Welches Verfahren ist nun sicher?

49 Welche Verfahren sind empfehlenswert? Die hier vorgestellten Alternativen zu PIN und (i)tan sind sehr sicher: HBCI mit einem voll unterstützten Klasse-3-Kartenleser smarttan plus / optischestan / chiptan smstan / mobile TAN / mtan Diese Verfahren sind ausgereift. Sie ermöglichen sehr sicheres Online-Banking. Bei diesen Verfahren gilt: der Mensch ist die Schwachstelle! Die Angreifer wissen dies und versuchen, dies auszunutzen. Informieren Sie sich, geben Sie Ihren gesunden Menschenverstand nicht an der Garderobe ab und führen Sie die grundlegenden Sicherheitsmaßnahmen durch dann können Sie beruhigt Online-Banking nutzen.

50 Eigenwerbung: So kontaktieren Sie uns Antago: Replacing Luck

51 Unsere Kontaktdaten wir freuen uns auf Sie! Sie haben Fragen? Sie benötigen weitere Informationen oder ein unverbindliches Angebot? Wir freuen uns auf Sie! Antago GmbH Robert Bosch Straße 7 D Darmstadt Internet: Phone: Fax: sicherheit[at]antago.info

52