Viren, Spyware, Datenschutz 11.217 Themen, 94.227 Beiträge

News: Viren, Spyware, Datenschutz

Erneut gehackt: das pushTan-Verfahren bei der Sparkasse

Olaf19 / 59 Antworten / Flachansicht Nickles

Am Rande der 32C3 in Hamburg hat Vincent Haupert von der Uni Erlangen berichtet, wie es ihm innerhalb weniger Monate zum zweiten Mal gelungen ist, das pushTan-Verfahren der Sparkasse zu hacken – und wie simpel dies laut seiner Schilderung gewesen sein soll.

Natürlich wird die Sparkasse ihrerseits nachlegen und ein Update bringen, um die Sicherheitslücke zu schließen, doch am Ende, so Haupert, wird die Sparkasse das Katz-und-Maus-Spiel immer verlieren: der Fehler liegt im Gesamtkonzept. Online-Banking-App und TAN-Generation auf dem gleichen Gerät, das wird immer anfällig bleiben.

Die Zeit beschäftigt sich mit diesem Thema in einem ausführlichen Artikel.

Quelle: www.zeit.de

Olaf19 meint: Sich per SMS eine TAN aufs Smartphone schicken zu lassen, mag ja noch angehen – eine TAN ist eh nur ein "Wegwerfartikel", der in Sekundenschnelle verbraucht ist und danach nie wieder genutzt werden kann.

Aber das eigentliche Online-Banking auf eben diesem Gerät ausführen? – never ever.

Hinweis: Vielen Dank an Olaf19 für das Verfassen der News. Diese News stammt von einem Nickles.de-Teilnehmer. Die Nickles.de Redaktion übernimmt keine Verantwortung für den Inhalt und die Richtigkeit dieser News.

Bei Nickles.de kann übrigens jeder mitmachen und News schreiben. Dazu wird einfach in einem Forum ein neues Thema begonnen und im Editor die Option "News" gewählt.

"Das sind Leute, die von Tuten und Ahnung keine Blasen haben" (ein Reporter auf die Frage nach der politischen Bildung des typischen Anhangs von Donald Trump)
bei Antwort benachrichtigen
Olaf19 shrek3 „Am Anfang war es ja noch egal, welche der 100 TANs man verwendete - da hatte der Kunde freie Hand. Einzige Bedingung: Er ...“
Optionen
Am Anfang war es ja noch egal, welche der 100 TANs man verwendete - da hatte der Kunde freie Hand. Einzige Bedingung: Er konnte eine bereits verwendete TAN nicht nochmals nutzen.

Ja, so war das, als ich AFAIR 2004 mit dem Online-Banking angefangen habe. Wollte ich vorher nicht haben... wenige Jahre später bekam ich eine neue TAN-Liste zugesandt, eben wegen der Einführung von iTAN mit den durchnummerierten TANs.

Diese Neuerung fand ich schon sinnvoll, denke aber, dass es die Sicherheit eher marginal verbessert hat.

Das mTAN-Verfahren ist schon DAU-sicherer.

Witzig, das hatte ich genau umgekehrt erwartet. Meine primitive Rechnung war: iTAN = Liste auf Papier = offline, unvernetzt = sicher. Dagegen: mTAN = Smartphone = Datenspioniergerät mit digitalem Streichelzoo [(c)2015-16 by fakiauso] = unsicher.

z.B. ein Krimineller die Logindaten zum SIM-Kartenanbieter hat und dort eine neue SIM-Karte unter der selben Mobilfunknummer anfordert
Aber auch das geht nur, wenn er eine andere Versandadresse für die Zustellung der Ersatz-SIM-Karte angeben kann.

Gruselige Vorstellung, nicht nur wegen Online-Bankings, dass Vodafone & Konsorten einem wildfremden Menschen eine neue SIM auf meinen Namen plus Rufnummer einfach mal so zusenden – und ich erfahre davon noch nicht einmal etwas...

CU
Olaf

"Das sind Leute, die von Tuten und Ahnung keine Blasen haben" (ein Reporter auf die Frage nach der politischen Bildung des typischen Anhangs von Donald Trump)
bei Antwort benachrichtigen