Kobil Sicherheitstag 2013 Authentisierung im e-banking

Transkript

1 Kobil Sicherheitstag 2013 Authentisierung im e-banking Neue Bedrohungen Neue Herausforderungen Möglichkeiten und Grenzen für mobiles E-Banking

2 Cnlab AG Engineering-Firma, Sitz Rapperswil (SG) Schwerpunkte IT-Sicherheit Netzwerk-Performance Software-Entwicklung 2

3 TA online vom

4 Verkauf Smart Phones weltweit (Quelle 4

5 Mobile-spezifische Bedrohungen Unberechtigter Zugang zu Geräten 5

6 Und weitere mobile-spezifische Bedrohungen (2) Geräte ohne PIN: - Rooting bzw. JaliBreaking in einigen Minuten iphone bis Vsn 4, ipad1 mit PIN - Zusätzlich einige Minuten zur Bestimmung des PIN Daten im Gerät Neuere ios-geräte mit PIN - Aufwand für PIN-Bestimmung unbekannt Android-Geräte mit PIN - Aufwand für PIN-Bestimmung unbekannt 6

7 Und weitere mobile-spezifische Bedrohungen (3) Big Brother schaut über die Schulter 7

8 Und weitere mobile-spezifische Bedrohungen (4) Zugang über unsichere WLANs Die ideale Voraussetzung für Man-in-the-middle-Angriffe 8

9 Wie steht s mit Viren und Trojanern? ios Ein bekanntes Virus für Jailbreaked Geräte Android Diverse Malware meist über unsichere Stores Prognose: zunehmend. 9

10 Technik im mobilen Gerät 10

11 Transaktion Login + Lesezugang Streichliste / Matrixkarte mtan (SMS) Challenge-Response Token PhotoTAN / Flicker Dynamisches Passwort Zertifikat (auf Smartcard) + gehärteter Browser Zertifikat (auf Smartcard) + C/R Token Zertifikat (auf Smartcard) + C/R Token + gehärteter Browser Kobil AST 1 Gerät Kobil AST 2 Geräte midentity midentity visual Was können die bekannten Produkte Diebstahl Credentials Phishing passiv Man-in-the-middle Trojaner Session hijack Session riding Man-in-the-middle Trojaner 11

12 Transaktion Login + Lesezugang Streichliste / Matrixkarte mtan (SMS) Challenge-Response Token PhotoTAN / Flicker Dynamisches Passwort Zertifikat (auf Smartcard) + gehärteter Browser Zertifikat (auf Smartcard) + C/R Token Zertifikat (auf Smartcard) + C/R Token + gehärteter Browser Kobil AST 1 Gerät Kobil AST 2 Geräte Was funktioniert bei mobilen Geräten Diebstahl Credentials Phishing passiv Man-in-the-middle Trojaner Session hijack Session riding Man-in-the-middle Trojaner 12

13 Sicherheits- Anforderungen Use Cases im ebanking Man stellt sich heute die Frage, ob sich eine teure Sicherheitslösung lohnt für die seltenen Extremfälle. 1. Reduzierte Funktionalität auf dem Smart-Phone a. Read-Only-Zugang einige Buchungen, b. Ditto alle Buchungen c. Zahlungen erfassen (nicht auslösen) d. Konto-Überträge e. Börsentransaktionen, Konto-Überträge f. Zahlungsvorlagen und Yellowbill/EBPP g. White-Listing-Zahlungen h. Zahlung auf Fremdkonten mit Limiten (Prepaid) 2. Volles ebanking Wo ist die Passwort- Grenze? 13

14 2. Stufe MB: 2 Geräte 1. Stufe MB: 1 Gerät Die neue Idee: Einfaches Login, dafür Transaktionsbestätigung Bankkunde Bank Authentisierung des Kunden z.b. durch Login Kontoübersicht + plausible Transaktionen Login Kontodaten plausible Transaktionen Zusätzliche Autorisierung z.b. durch mtan Transaktion alle Transaktionen + wichtige Änderungen Transaktionsautorisierung 14

15 Zusammenfassung Behörden und Organisationen für Rettung und Sicherheit - Mobilität ist ein Fakt und nimmt weiter zu (Smart-Phone, Tablet, Banken, Industrie, BORS). - Moderne mobile Geräte sind weniger sicher als traditionelle Notebooks (Integration ist schwieriger, Zugriff ist leichter, Plattformen haben Mängel). - Smart-Phone- und Tablet-eBanking ist weniger sicher als PCbasiertes ebanking (Token fehlen noch). - ebanking wird vermehrt zweistufig gebaut. 15

16 Danke Diese Präsentation im Internet unter: Übersicht über die üblichen Authentisierungsverfahren: Paul Schöbi