Kurzbeschreibung Bild Marktanteil

Transkript

1 1 of :48 Eberhard Karls Universität Tübingen Wilhelm-Schickard-Institut für Informatik (WSI) Arbeitsbereich für Theoretische Informatik/Formale Sprachen Home Mitarbeiter Bernd Borchert Impressum Intern Bernd Borchert Online Banking Verfahren Trojaner-unsicher: Name? seit l./h.- tech? Kurzbeschreibung Bild Marktanteil Links TAN lowtech Der Kunde bekommt von der Bank eine Liste mit Zahlen (TANs) zugeschickt. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein und gibt zusaetzlich eine TAN an. Das wird zur Bank geschickt und ausgefuehrt. itan lowtech Der Kunde bekommt von der Bank eine Liste mit nummerierten Zahlen (itans) zugeschickt. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein und schickt es zur Bank. Die Bank schickt dem Kunden die ihr vorliegenden Ueberweisungsdaten an und fragt nach einer itan. Der Kunde tippt diese itan ein und schickt sie als Bestaetigung zur Bank. 50% Wikipedia HBCI-1 Ein HBCI-1 Leser ist ein per Kabel an den Bankkunden-Rechner angeschlossenes externes Geraet mit Scheckkarten-Leser. Beim Online Banking erzeugt das HBCI-1-Geraet zusammen mit der Scheckkarte die TAN's fuer Ueberweisungen, so dass bei diesem Verfahren keine Papier-TAN noetig ist. HBCI-2 Ein HBCI-2 Leser ist ein per Kabel an den Bankkunden-Rechner angeschlossenes externes Geraet mit Zifferntastatur und Scheckkarten-Leser. Beim Online Banking erzeugt der Leser zusammen mit der Scheckkarte die TAN's, so dass bei diesem Verfahren keine Papier-TAN noetig ist. Anders als beim HBCI-1 Verfahren kann die PIN abhoersicher im HBCI-2-Geraet eingegeben werden.

2 2 of :48 USB-Token ca Ein Sicherheits-USB-Stick ohne Display - im Prinzip das gleiche wie HBCI-1, nur ohne Scheckkartenleser. 2% Wikipedia Token, etan, Bankey Der Bankey ist im Prinzip eine elektronische TAN-Liste. Er hat eine genau gehende Uhr, die mit einer Uhr bei der Bank synchronisiert ist, so dass die auf Knopfdruck angezeigte TAN alle paar Sekunden eine andere ist. Der Bankey ist im angelsaechsichen Raum und auch in Asien das am meisten verbreitete Sicherheitsverfahren fuer Online Banking (mehr als 90% Marktanteil). 2% Wikipedia Smart-TAN ca Die Smart-TAN ist ebenso wie der Bankey im Prinzip eine elektronische TAN-Liste. Der Bankkunde muss die Scheckkarte einstecken und bekommt auf Knopfdruck eine neue TAN angezeigt, die er wie beim TAN Verfahren zur Bestaetigung einer Online Ueberweisung angibt. 2% Wikipedia Captcha-TAN auf Dauer ca lowtech So wie itan, aber bei einer Ueberweisung werden die der Bank vorliegenden Ueberweisungsdaten per Captcha angezeigt. 1% Wikipedia Fiducia Trojaner: Name? marktreif seit l./h.- tech? Kurzbeschreibung WYS ISWC Bild Marktanteil Links Secoder (HBCI-3) Ein Klasse-3 Leser ist ein per Kabel an den Rechner angeschlossenes externes Geraet mit Zifferntastatur, Display und Scheckkarten-Leser. Die Ueberweisungs-Daten werden auf dem Display des Klasse-3 Lesers dargestellt, zusammen mit einer TAN, die zur Bestaetigung am Rechner eingetippt und zur Bank geschickt wird.

3 3 of :48 Mobile TAN (mtan, SMS-TAN) ca Nachdem der Bankkunde eine Ueberweisung im Online-Formular ausgefuellt hat und per Internet zur Bank geschickt hat, bekommt er von der Bank per SMS die Ueberweisungsdaten und eine TAN geschickt, die er zur Bestaetigung am Rechner eintippt und zur Bank schickt. nein Postbank TAN-Generator (etan-plus) ca Ein TAN-Generator ist ein kleines Geraet mit Zifferntastatur und Display. Der Kunde gibt die Ziel-Kontonummer einer Ueberweisung per Tastatur auf dem TAN-Generator ein und bekommt auf dem Display eine TAN angezeigt, die er zur Bestaetigung der Ueberweisung auf dem Rechner eintippt und zur Bank schickt. Intern hat der TAN-Generator eine Uhr, die mit einer Uhr bei der Bank synchronisiert ist. Der Unterschied zwischen etan und TAN-Generator ist die Zifferntastatur: nur mit ihr kann die Trojaner-Sicherheit erreicht werden. ja, wg. dopp. Eing. 3% Wikipedia BW-Bank chip-tan, Smart-TAN-plus ca Ein chip-tan Geraet ist ein kleines Geraet mit Scheckkarten-Lesegeraet, Zifferntastatur und Display. Der Kunde gibt die Ueberweisungsdaten auf dem Rechner ein. Danach wird ihm ein Zifferncode angezeigt. Diesen Code tippt er zusammen mit der nochmals angegebenen Ziel-Kontonummer auf dem Geraet ein und bekommt danach auf dem Display eine TAN angezeigt, die er zur Bestaetigung der Ueberweisung auf dem Rechner eintippt. ja, wg. dopp. Eing. 5% Sparkassse (chip-tan) Volksbanken (Smart-TAN-plus) chiptan-comfort, Smart-TAN-optic 2008 Der Unterschied zur chip-tan besteht darin, dass die Ueberweisungsdaten noch einmal in des Geraet eingetippt werden muessen, sondern via Optik-Sensoren per Flickercode am Bildschirm eingelesen werden. nein 2% chip-tan-comfort: Sparkassse/ ReinerSCT Smart-TAN-optic: Volksbanken USB-Stick-TAN 2008 Der Bankkunde bekommt von der Bank einen USB Stick mit Display. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein und schickt es zur Bank. Die Bank schickt die Information via Rechner des Kunden an den angeschlossenen USB-Stick. Dort erscheinen die Ueberweisungsdaten, die der Kunde mit einer Taste am USB Stick bestaetigt. Die USB-Stick-TAN ist im Prinzip wie HBCI-3 ohne Tastatur. 0% Artikel (IBM) Internet-Ausweis 2008 Der Bankkunde bekommt ein Geraet mit Kamera und Display. Wenn er eine Online Ueberweisung bestaetigen will, haelt er das Geraet vor den Bildschirm, so dass die Kamera dort einen vom Bankserver geschickten Code lesen kann. Am Display werden ihm die tatsaechlich bei der Bank vorliegenden Ueberweisungsdaten angezeigt, plus eine TAN, die er zur Bestaetigung am Rechner eintippt. Gleichzeitig wird sein Fingerabdruck vom Geraet geprueft. nein 0% Zeitungsbericht Siemens Axsionics

4 4 of :48 Fotohandy-TAN 2008 Der Bankkunde tippt seine Ueberweisung in ein Online Formular ein und schickt es zur Bank. Die Bank schickt einen 2D-Code auf den Bildschirm, der vom Bankkunden mit dem Foto-Handy abfotographiert wird. Das Handy-Display zeigt die Ueberweisungs-Daten und ein vertauschtes Nummernfeld. Der Bankkunde bestaetigt die Ueberweisung durch Klicken seiner PIN. 0% Demo Cronto WYSIWYC NFC/Scheckkarte Foto-TAN 2008 So wie Fotohandy-TAN, aber in eigenem Geraet: mit Kamera, aber ohne Funk und ohne Tastatur. -- Demo WYSIWYC Schluesselkarte -- Die Bank schickt dem Kunden eine Karte mit Fotosensoren auf der Rueckseite, einem Display auf der Vorderseite und einer Recheneinheit, die auch einem geheimen Schluessel enthaelt. Fuer eine Ueberweisung legt der Bankkunde die Karte auf den Bildschirm. Er tippt die Ueberweisungsdaten ein, die auf dem Display der Karte angzeigt werden. Anschliessend wird auf der Karte eine TAN angezeigt, die der Bankkunde in den Rechner eingibt und zur Bank schickt. ja -- Patent Scheckkarten-TAN -- Der Bankkunde bekommt von der Bank eine Scheckkarte mit Display. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein und schickt es zur Bank. Die Bank schickt die Information via Rechner des Kunden an die Scheckkarte, die im Kartenleser steckt. Dort erscheinen die Ueberweisungsdaten und eine TAN, die der Bankkunde zur Bestaetigung der Ueberweisung am Rechner eintippt und an die Bank schickt. ja -- Patent Sichere Fenster -- Der Bankkunde bekommt ein Geraet, das zwischen Rechner und Bildschirm geschaltet wird. Das Geraet hat einen Schlitz fuer eine Smartcard. Der Benutzer geht auf die Webseite der Bank und gibt seine Kontonummer an. Die Bank schickt ihm eine kodiertes Bild auf den Bildschirm. Nur wenn er seine Scheckkarte in das Geraet steckt, wird dieses Bild (und die folgenden) dekodiert. Jetzt kann der Bankkunde durch Mausklicks auf Schaltflaechen mit vertauschten Ziffern seine PIN eingeben. Auf die gleiche Weise kann er Ueberweisungen mit seiner PIN bestaetigen. ja -- Kurzbeschreibung Visuelle TAN Der Kunde bekommt von der Bank einen Haftnotizblock mit Folien mit Teilgeheimnis-Bildern der Visuellen Kryptographie. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein und schickt es zur Bank. Die Bank schickt ein Teilgeheimnis-Bild auf den Bildschirm. Der Kunde legt die entsprechende Folie auf das Bild am Bildschirm. Er sieht die Ueberweisungs-Daten, die er mit Maus-Klicks bestaetigen kann. nein -- Kurzbeschreibung

5 5 of :48 Cardano-TAN Der Kunde bekommt von der Bank einen Haftnotizblock mit gelochten Karten. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein und schickt es zur Bank. Die Bank schickt ein Bild mit vielen Ziffern auf den Bildschirm. Der Kunde legt die entsprechende Lochkarte auf das Bild am Bildschirm. Er sieht in den Loechern die Ueberweisungs-Daten und eine TAN, die er zur Bestaetigung an den Bank-Server schickt. nein -- Demo indirekte itan > 99% Der Kunde bekommt von der Bank ein Blatt Papier mit nummerierten Leisten von Buchstaben jeweils zusammen mit einer Ziffernfolge. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein. Zur Bestaetigung legt er eine bestimmte Leiste mit Buchstaben unter die Kontonummer am Bildschirm. Er gibt den Bestaetigungscode ein, indem er nacheinander die Buchstaben-Codes fuer die in der Kontonumer auftretenden Ziffern der Ziffernfolge eingibt. Bild-TAN > 99% Der Kunde bekommt von der Bank ein vorgenknicktes Papier mit nummerierten Zeilen mit einer Doppel-Permutationen von Bildern und einer TAN. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein. Zur Bestaetigung legt er ein bestimmte Doppelpermutation unter die Zielkontonummer am Bildschirm. Wie beim iitan Verfahren gibt er die TAN indirekt, jedoch hier mit Mauslicks auf entsprechende buttons. Linien-TAN > 99% Der Kunde bekommt von der Bank eine Folie mit nummerierten Buendeln von Linien. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein. Zur Bestaetigung legt er ein bestimmtes Buendel mit Linien auf das Bild am Bildschirm. Er gibt seine PIN ein, indem er nacheinander fuer jede Ziffer - ausgehend von dieser Ziffer in den Ueberweisungsdaten - die entsprechende Linie nachgeht und dann die Schaltflaeche am anderen Ende der Linie aktiviert. Permutations-TAN > 99% Zum Konto-Benutzer wird zuerst ein vorgeknicktes Blatt Papier mit nummerierten Leisten von Ziffern und Positionsangaben darstellen, geschickt. Bei einer Ueberweisung zeigt der Server am Bildschirm des Konto-Benutzers eine Nummer und eine unbeschriftete Leiste mit Schaltflaechen an, in die der Konto-Benutzer durch Maus-Klicks die Kontonummer eingeben kann. Der Rest der Ueberweisung wird wie ueblich eingegeben und dann zur Bank geschickt.

6 6 of :48 Lookup-TAN > 99% Zum Konto-Benutzer werden zuerst eine oder mehrere Listen mit Ziffern und anderen Zeichen geschickt. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein. Fuer den Bestaetigungcode sucht er die Listen durch, und zwar gemaess Regeln, die seine Suche von den Ziffern der Zielkonto-Nummer anhaengig macht. Der so gefundene Bestaetigungscode wird am Bildschirm eingegeben. Die indirekte itan ist eine Variante der Lookup-TAN. ja -- paper (Solution #1) Patent 2005 Patent 2008 Bildpasswort-TAN > 99% Der Kunde bekommt von der Bank ein Bildpasswort und ein Blatt Papier mit nummerierten Leisten von Bildern und Ziffern. Fuer eine Ueberweisung tippt er die Ueberweisungs-Daten in ein Online Formular ein. Zur Bestaetigung legt er eine bestimmte Leiste mit Bildern und Buchstaben unter die Kontonummer am Bildschirm. Er gibt den Bestaetigungscode ein, indem er nacheinander die Ziffern anklickt, die oberhalb der Bilder seines Bildpassworts stehen. WYSIWYC heisst What-you-see-is-what-you-confirm: d.h. es gibt keinen zweiten Ueberpruefungsschritt fuer die Ueberweisungsdaten: das ist nur ein Usability-Vorteil, sondern auch ein Sicherheits-Vorteil, denn ein Angreifer koennte versuchen, die Unaufmerksamkeit des Bankkunden auszunutzen. Bei der mobile-tan ist z.b. prinzipiell unlich, WYSIWYC zu erreichen. Die Marktanteile beziehen sich auf den Anteil an den ca. 2 Milliarden Online-Ueberweisungen im Jahr in Deutschland. Die Pfeile darunter deuten den Trend des Marktanteils an. Die Zahlen stammen aus verschiedenen partiellen Quellen und sind nur sehr grob geschaetzt. Adresse dieser Seite (fuer Ausdrucke): Zurueck zur Hauptseite Trojaner-Sicherheit. Letzte Änderung: 20. Oct. 09 Bei Fragen und Anregungen an: Bernd Borchert