Android

Duitse politie: Twee-factorenauthenticatie Falende

POLITIEWERK AAN DE GRENS MET BELGIË - Drugs, Vreemdeling en Meer

POLITIEWERK AAN DE GRENS MET BELGIË - Drugs, Vreemdeling en Meer
Anonim

Een twee-factorenauthenticatie systeem dat veel wordt gebruikt in Duitsland, stopt cybercriminelen niet met het aftappen van bankrekeningen, zei een Duitse topambtenaar dinsdag.

Vanaf vorig jaar gebruikte ongeveer 95 procent van de Duitse klanten voor internetbankieren "iTan" -codes, willekeurige geheime nummers die worden gevraagd van een bankklant tijdens een online transactie, zei Mirko Manske, hoofdinspecteur van de recherche van de Duitse federale politie van politie.

De iTan-code wordt naast de aanmeldingsgegevens van de klant gebruikt als extra authenticatiemaatregel. De iTan-code kan slechts één keer worden gebruikt en is bedoeld om online bankieren-aanvallen te dwarsbomen waarbij een aanvaller alle andere klantinformatie heeft.

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

Maar "het doet niet werk, "zei Manske tijdens een presentatie op het E-crime Congress in Londen. "We verliezen nog steeds geld."

Het probleem is dat hackers manieren hebben bedacht om transacties in realtime uit te voeren, gebruik te maken van de iTan-code en de beveiligingscontrole in feite onbruikbaar te maken.

De stijl van aanvallen wordt de mens genoemd in het midden, waar een aanvaller gegevens kan wijzigen die worden uitgewisseld tussen de gehackte pc en een bankserver. Een andere versie wordt man genoemd in de browser, waar een Trojaans paardenprogramma de transactie wijzigt. Manske, wiens presentatie gedeeltelijk werd gecensureerd omdat het gevoelige informatie bevatte, toonde twee scenario's waarin iTan-codes worden gebruikt tijdens geldoverdrachten.

In een van de scenario's krijgt het slachtoffer een bevestiging dat ze € 500 ($ 677) sturen. In feite heeft een hacker de informatie aangepast en 5.000 euro overgeheveld naar een andere account, zei Manske.

CAPTCHA's worden vaak gebruikt om te proberen en stoppen met geautomatiseerde bots om te registreren, bijvoorbeeld te veel e-mailaccounts, aangezien computers niet zo goed zijn in mensen bij het ontwarren van warboels van personages. In het geval van de bank werd de CAPTCHA gebruikt om een ​​ander niveau van transactie verificatie te bieden.

In een ander verrassend voorbeeld van innovatie op het gebied van cybercriminaliteit, hebben Manske gezegd dat de aanvallers een speciale component ontwikkelden die een perfecte kopie van de CAPTCHA kon maken voor gebruik voor een man-in-the-middle-aanval. Die kopie zou worden weergegeven samen met schijnbaar correcte transactiedetails tijdens een aanval.

"Er zijn een aantal zeer getalenteerde programmeurs die er zijn," zei Manske.