Wo ist mein Geld? Identitätsmissbrauch im Online-Banking. Christoph Sorge Universität des Saarlandes juris-stiftungsprofessur für Rechtsinformatik

Transkript

1 Wo ist mein Geld? Identitätsmissbrauch im Online-Banking Christoph Sorge Universität des Saarlandes juris-stiftungsprofessur für Rechtsinformatik

2 C. Sorge 2 Überblick Rechner des Kunden Server der Bank Kunde Bildquellen:

3 Angriffe auf System des Kunden Ziel von Angriffen: Schadsoftware (Malware) auf Systemen der Kunden installieren Variante 1: Kunde installiert Schadsoftware selbst C. Sorge 3

4 C. Sorge 4 Beispiel Variante 1

5 Angriffe auf System des Kunden Ziel von Angriffen: Schadsoftware (Malware) auf Systemen der Kunden installieren Variante 1: Kunde installiert Schadsoftware selbst Variante 2: Ausnutzung von Sicherheitslücken Sicherheitslücken im Browser Beispiel Internet Explorer: 2014 laut Microsoft bislang zwei Remote Code Execution -Sicherheitslücken C. Sorge 5

6 Nur ein Microsoft-Problem? Quelle: C. Sorge 6

7 C. Sorge 7 Folgen von Sicherheitslücken im Browser Sicherheitslücken im Browser Konkrete Ausnutzung je nach Art der Sicherheitslücke verschieden Aber: Oft Ausnutzung schon durch Besuch einer infizierten Website Partieller Schutz: Meiden unseriöser Websites Reicht das aus? Beispiele: April 2013: Auslieferung manipulierter Werbebanner über zahlreiche vielbesuchte Websites (u.a. spiegel.de) Mai 2014: BSI warnt vor Bekanntwerden von FTP- Zugangsdaten (oft genutzt, um Inhalte auf Websites zu übertragen)

8 Sicherheitslücken im Browser: Was tun? Einzige Gegenmaßnahme: Updates Problem: Zero-day Exploits Sicherheitslücken werden vor Erscheinen eines Updates (Patches) ausgenutzt Kommt bei Internet Explorer und Firefox gelegentlich vor Sicherheitslücken nicht nur im Browser selbst Browser-Plugins (Flash, ) Dateibetrachter (PDF Reader, ) Betriebssystem C. Sorge 8

9 Folgen eines kompromittierten Systems In der Regel vollständige Kontrolle über System des Opfers möglich Veränderung dargestellter Inhalte Manipulation der Kommunikation Veränderung eingegebener Daten oder Versenden beliebiger anderer Daten, z.b. Ersetzen von Betrag und Zielkontonummer (Zugriff auf s etc.) Kompromittierung (nur) des Browsers ggf. mit anderen (weniger) Folgen C. Sorge 9

10 Antivirus-Software Partieller Schutz durch Antivirus-Software Probleme Unvollständige Erkennung Schnelle Verbreitung von Schadsoftware (oft schneller als Updates in der Antivirus-Software) Sicherheitslücken z.t. vor Kenntnisnahme durch Antivirus-Software C. Sorge 10

11 C. Sorge 11 Man-in-the-middle-Angriffe Konzept Angreifer in der Kommunikation zwischen Client und Server Mitlesen und ggf. verändertes Weiterleiten von Nachrichten Bei gesicherter Verbindung (HTTPS) durch Zertifikatswarnung erkennbar Momentan nicht gängig, kann sich aber ändern

12 C. Sorge 12 Cross-Site Scripting und Cross-Site Request Forgery Variante b Variante a Server übernimmt Inhalte anderer Nutzer (Variante a) oder dem Nutzer untergeschobene Inhalte ohne hinreichende Prüfung Inhalte scheinbar aus vertrauenswürdiger Quelle Server führt untergeschobene Anweisungen aus Schwachstellen bei Banken 2007 und 2010 entdeckt Wenig praxisrelevant für Online Banking

13 Einzelne Verfahren Transaktionsnummern (TAN) Nur einmal gültige Nummern zu Authentifizierung und Autorisierung bei Transaktionen Keine Bindung an konkrete Transaktion Angreifer, der Transaktionen unterdrücken kann, kann TAN zu späterem Zeitpunkt für andere Transaktionen verwenden Phishing einfach, beliebige Verwendung abgefangener TAN C. Sorge 13

14 itan itan: Nur bestimmte (indizierte) TAN pro Transaktion gültig Sicherheit im Prinzip wie bei TAN-Verfahren Aber: Angreifer benötigt bestimmte TAN Neue Art des Phishing: Mehrere TAN auf einmal abfragen hohe Chance, passende TAN zu erhalten Kein Schutz gegen Schadsoftware oder Man-in-the-middle- Angriffe (nur erhöhter Aufwand für den Angreifer) C. Sorge 14

15 mtan Mobile TAN: Übermittlung einer TAN per SMS direkt bei Eingabe der Überweisung Im Idealfall mit Angabe des Empfänger-Kontos und des Betrags Sicherheit basiert auf Aufbau zweiten, unabhängigen Kommunikationswegs Vorteil: keine unbemerkten Transaktionen Bindung an konkrete Transaktion Verhindern aller bisher dargestellten Angriffe bei Überprüfung des Empfänger- Kontos durch den Nutzer C. Sorge 15

16 mtan - Angriffe Schadsoftware auf Smartphone Beispiel: Trojanisches Pferd Faketoken, aktuell verstärkt im Umlauf Variante 1: Smartphone wird für Online-Banking und SMS-Empfang genutzt kein unabhängiger Kanal Schadsoftware auf Smartphone reicht für Angreifer aus Bildquelle: C. Sorge 16

17 mtan - Angriffe Variante 2: Schadsoftware auf Smartphone und Rechner ggf. Infektion des Smartphones nach Phishing über Rechner Kenntnis der Mobilfunknummer über Rechner Variante 2a: Mobilfunk- Vertragsdaten auf Rechner und Ausnutzung, um z.b. neue SIM-Karte an Angreifer schicken zu lassen Bildquelle: C. Sorge 17

18 Chip-TAN Generierung transaktionsabhängiger TAN durch Smartcard (meist Bankkarte) und Chip-TAN-Generator Transaktionsdaten sollen in TAN einfließen Abtippen oder optische Übertragung von Bank-Website (dann: Überprüfung auf Übereinstimmung mit eingegebenen Daten) Vorteil: Installation von Schadsoftware auf Chip-TAN-Generator oder Smartcard sehr schwierig, bisherige Sicherheitslücken eher unbedeutend Momentan empfehlenswertestes Verfahren Anschaffungskosten TAN-Generator ~10 Euro C. Sorge 18

19 C. Sorge 19 Ratschläge Adresse des Online-Banking als Bookmark speichern Nur über Bookmark aufrufen Zertifikat der Bank überprüfen Nie die PIN oder TAN auf anderen Websites eingeben, per Mail verschicken, telefonisch preisgeben, Problematisch: Online-Bezahlverfahren, die solche oder ähnliche Aktionen verlangen Bei mtan: Rechner für Banking und Telefon für SMS-Empfang möglichst separat halten Möglichst chiptan-verfahren verwenden Updates für Betriebssystem, Anwendungen und ggf. Antiviren- Software zeitnah einspielen