Eberhard Karls Universität Tübingen
Wilhelm-Schickard-Institut für Informatik (WSI)
Arbeitsbereich für Theoretische Informatik/Formale Sprachen
Impressum | Intern
Home | Mitarbeiter | Bernd Borchert

Bernd Borchert

Trojaner-sichere Online-Accounts

boese dreinschauender VirusTrojaner (eigentlich: Trojanische Pferde) sind Computer-Viren, die auf dem Rechner des Benutzers sitzen und dort abhoeren und/oder faelschen koennen. Einfaches Beispiel: es ist offenbar nicht schwer fuer einen Trojaner, das Passwort zu einem email-Account abzuhoeren: wenn der Benutzer es am Rechner eingibt, achtet der Virus ganz einfach darauf, welche Tasten gedrueckt werden, und schon kennt er das Passwort. Anderes Beispiel: beim Online-Banking mit dem iTAN Verfahren kann ein Trojaner eine Ueberweisung faelschen: aus 50 Euro an X werden dann durch einen sogenannten Man-in-the-Middle Angriff des Trojaners 5000 Euro an Y, und das, ohne dass der Bankkunde oder die Bank etwas davon merken (siehe naechster Abschnitt). Ein Verfahren heisst trojaner-sicher, wenn ein Trojaner es nicht schaffen kann, bestimmte Teile der Kommunikation abzuhoeren und/oder zu faelschen. Es werden trojaner-sichere Verfahren untersucht und entwickelt, speziell solche fuer Online Accounts (Bank, email, etc.)

Das iTAN Verfahren beim Online-Banking ist nicht trojaner-sicher

So funktioniert der Man-in-the-Middle Angriff eines Trojaners auf das iTAN-Verfahren (nach dem Motto "tarnen, abhoeren, faelschen, taeuschen"):

Der Bankkunde gibt eine Ueberweisung ein, sagen wir 50 Euro an X. Das Formular wird vom Bankkunden abgeschickt, doch noch bevor es verschluesselt wird (SSL) und durch das Internet an die Bank geschickt wird, faengt der Trojaner es ab und macht daraus eine Ueberweisung von 5000 Euro an Y. Dieser manipulierte Ueberweisungsauftrag wird verschluesselt und an die Bank geschickt. Die Bank empfaengt den Auftrag und schickt die Rueckfrage "Bitte bestaetigen Sie die Ueberweisung von 5000 Euro an Y mit der iTAN Nr. 37!" an den Bankkunden. Nachdem die Nachricht beim Kunden-Rechner angekommen ist und entschluesselt worden ist, aber noch bevor sie auf dem Bildschirm des Bankkunden angezeigt wird, faengt der Trojaner sie ab und zeigt dann dem Bankkunden am Bildschirm anstattdessen an "Bitte bestaetigen Sie die Ueberweisung von 50 Euro an X mit der iTAN Nr. 37!". Ahnungslos gibt der Kunde seine iTAN Nr. 37 ein. Der Trojaner gibt die iTAN an die Bank weiter. Die Bank ueberweist 5000 Euro an Y. Weder der Kunde noch die Bank haben etwas von dem Betrug bemerkt. Wenn der Trojaner gut geschrieben ist, prueft er vor dem Angriff, wieviel der Bankkunde maximal ueberweisen kann, und zeigt nach dem Angriff dem Bankkunden noch ein paar Tage lang in der Konto-Uebersicht Daten an, die so aussehen, als wenn 50 Euro an X ueberwiesen worden waeren.

Der Angriff ist auf diesen pdf-Folien als eine Art Daumenkino nochmal dargestellt. Hier ist ein Video von IBM, das den Angriff auf das iTAN Verfahren ebenfalls darstellt: http://video.golem.de/internet/1692/ibm-ztic.html

Gibt es solche hinterhaeltigen Computer-Viren ueberhaupt? koennen Hacker sowas hinkriegen? Antwort: Ja. Bislang gab zwar es kaum solche Faelle, aber hier ist ein kleiner Vorgeschmack darauf (von Anfang 2008): Silentbanker und Sinowal.

Ebenso unsicher wie das iTAN Verfahren gegenueber einem Trojaner-Angriff sind das TAN-Verfahren und die Verfahren HBCI-1 und HBCI-2. Sicher sind dagegen die Verfahren TAN-Generator, mobile TAN (mTAN), HBCI-3 (d.h. HBCI mit Display) und neue Verfahren wie z.B. Internetausweis oder visuelle TAN. Die folgende Tabelle fasst das zusammen, wobei neue - d.h. noch nicht von den Banken eingesetzte Verfahren - gekennzeichnet sind. Auf dieser Seite sind die Online-Banking Verfahren kurz beschrieben.



 Trojaner-unsicher Trojaner-sicher
low-tech
elektronisches
Geraet

Online Demonstrationen

Studien- und Diplomarbeiten

Aktuelle Berichte ueber das Thema aus den Medien

Papers/Vortraege/Statistiken/Broschueren

Patente

Links

Letzte Änderung: 4. Dec. ‘08 | Bei Fragen und Anregungen E-Mail an: Bernd Borchert
Home WSI Fachschaft Uni-Tübingen Tübingen Externe Links