Номер аутентификации транзакции - Transaction authentication number

А номер аутентификации транзакции (TAN) используется некоторыми онлайн банкинг услуги как форма одноразового использования одноразовые пароли (OTP) для авторизации финансовые операции. TAN - это второй уровень безопасности, выходящий за рамки традиционного пароля с одним паролем. аутентификация.

TAN обеспечивают дополнительную безопасность, потому что они действуют как форма двухфакторная аутентификация (2FA). Если физический документ или токен, содержащий TAN, будет украден, он будет бесполезен без пароля. И наоборот, если данные для входа получены, никакие транзакции не могут выполняться без действительного TAN.

Классический ТАН

TAN часто работают следующим образом:

  1. Банк создает для пользователя набор уникальных TAN. Как правило, в списке печатается 50 номеров TAN, что для обычного пользователя хватает на полгода; каждый TAN состоит из шести или восьми символов.
  2. Пользователь берет список в ближайшем отделении банка (предъявляя заграничный пасспорт, Удостоверение личности или аналогичный документ) или отправляется список TAN по почте.
  3. Пароль (PIN) высылается отдельно.
  4. Чтобы войти в свою учетную запись, пользователь должен ввести имя пользователя (часто номер учетной записи) и пароль (ШТЫРЬ ). Это может предоставить доступ к информации учетной записи, но возможность обработки транзакций отключена.
  5. Для выполнения транзакции пользователь вводит запрос и авторизует транзакцию, вводя неиспользованный TAN. Банк сверяет предоставленный TAN со списком номеров TAN, которые они выдали пользователю. Если это совпадение, транзакция обрабатывается. Если это не совпадение, транзакция отклоняется.
  6. Теперь TAN используется и не будет признаваться для дальнейших транзакций.
  7. Если список TAN скомпрометирован, пользователь может отменить его, уведомив банк.

Однако, поскольку любой TAN может использоваться для любой транзакции, TAN по-прежнему подвержены фишинговые атаки где жертву обманом заставляют предоставить пароль / PIN-код и один или несколько TAN. Кроме того, они не обеспечивают защиты от Атаки посредника (где злоумышленник перехватывает передачу TAN и использует его для поддельной транзакции), особенно когда клиентская система оказывается скомпрометированной какой-либо формой вредоносное ПО что позволяет злоумышленник, вероятность несанкционированной транзакции высока. Хотя оставшиеся TAN не компрометированы и могут использоваться безопасно, пользователям обычно рекомендуется как можно скорее предпринять соответствующие действия.

Индексированный TAN (iTAN)

Индексированные TAN снижают риск фишинга. Для авторизации транзакции пользователя просят не использовать произвольный TAN из списка, а ввести конкретный TAN, обозначенный порядковым номером (индексом). Поскольку индекс выбирается банком случайным образом, произвольный TAN, полученный злоумышленником, обычно бесполезен.

Тем не менее, iTAN по-прежнему подвержены Атаки посредника, включая фишинговые атаки, при которых злоумышленник заставляет пользователя войти в поддельную копию веб-сайта банка и атаки человек-в-браузере[1] которые позволяют злоумышленнику тайно обмениваться данными транзакции в фоновом режиме ПК, а также скрывать фактические транзакции, выполненные злоумышленником, в обзоре учетной записи онлайн.[2]

Таким образом, в 2012 г. Агентство Европейского Союза по сетевой и информационной безопасности рекомендовали всем банкам учитывать, что компьютерные системы своих пользователей заражены вредоносное ПО по умолчанию и использовать процессы безопасности, где пользователь может перекрестно проверять данные транзакции на предмет манипуляций, таких как, например, (при условии, что безопасность мобильного телефона поддерживается) mTAN или считыватели смарт-карт с собственным экраном, включая данные транзакции в процесс генерации TAN, предварительно отображая их для пользователя (chipTAN ).[3]

Индексированный TAN с CAPTCHA (iTANplus)

Перед входом в iTAN пользователю предоставляется CAPTCHA, который в фоновом режиме также показывает данные транзакции и данные, которые считаются неизвестными потенциальному злоумышленнику, например, дату рождения пользователя. Это сделано для того, чтобы злоумышленнику было сложно (но не невозможно) подделать CAPTCHA.

Этот вариант метода iTAN, используемый некоторыми немецкими банками, добавляет CAPTCHA для снижения риска атак типа "злоумышленник посередине".[4] Некоторые китайские банки также развернули метод TAN, аналогичный iTANplus. Недавнее исследование показывает, что эти схемы TAN на основе CAPTCHA не защищены от более сложных автоматических атак.[5]

Мобильный TAN (mTAN)

mTAN используются банками в Австрии, Болгарии, Чехии, Германии, Венгрии, Нидерландах, Польше, России, Сингапуре, Южной Африке, Испании, Швейцарии и в некоторых странах Новой Зеландии, Австралии и Украины. Когда пользователь инициирует транзакцию, банк генерирует TAN и отправляет его на мобильный телефон пользователя. SMS. SMS может также включать данные транзакции, позволяя пользователю проверить, что транзакция не была изменена при передаче в банк.

Однако безопасность этой схемы зависит от безопасности системы мобильного телефона. В Южной Африке, где TAN-коды с доставкой по SMS являются обычным явлением, появилась новая атака: мошенничество с заменой SIM-карты. Обычный вектор атаки - атакующий олицетворять потерпевший и получить замену сим-карта для телефона жертвы из оператор мобильной сети. Имя пользователя и пароль жертвы можно получить другими способами (например, кейлоггинг или же фишинг ). В промежутке между получением клонированной / замененной SIM-карты и замечанием жертвы, что ее телефон больше не работает, злоумышленник может переводить / извлекать средства жертвы со своих счетов.[6] В 2016 г. исследование было проведено на тему мошенничества с заменой SIM по социальный инженер, выявление слабых мест в выдаче переносимых номеров.

В 2014 г. слабость Система сигнализации № 7 используется для передачи SMS, что позволяет перехватывать сообщения. Это продемонстрировал Тобиас Энгель во время 31-го Конгресс Хаоса Коммуникации[7]. В начале 2017 года эта уязвимость успешно использовалась в Германии для перехвата СМС и мошеннического перенаправления денежных переводов.[8].

Также рост смартфоны привело к атакам вредоносного ПО, которые пытались одновременно заразить ПК и мобильный телефон, а также взломать схему mTAN.[9]

pushTAN

pushTAN - это приложение -основанная схема TAN немецкой банковской группой Sparkassen, устраняющая некоторые недостатки mTAN схема. Он исключает стоимость SMS-сообщений и не подвержен мошенничеству с SIM-картами, поскольку сообщения отправляются через специальное приложение для обмена текстовыми сообщениями на смартфон пользователя с использованием зашифрованного подключения к Интернету. Как и mTAN, схема позволяет пользователю перекрестно проверять детали транзакции на предмет скрытых манипуляций, выполняемых Трояны на ПК пользователя путем включения фактических деталей транзакции, полученных банком в сообщение pushTAN. Хотя это аналогично использованию mTAN со смартфоном, существует риск параллельного заражения ПК и смартфона вредоносным ПО. Чтобы снизить этот риск, приложение pushTAN перестает работать, если мобильное устройство укорененный или взломан.[10] В конце 2014 года Deutsche Kreditbank (DKB) также принял схему pushTAN.[11]

Генераторы TAN

Простые генераторы TAN

Риск компрометации всего списка TAN можно снизить, используя токены безопасности которые генерируют TAN на лету на основе секрета, известного банку и хранящегося в токене или смарт-карте, вставленной в токен.

Однако созданный TAN не привязан к деталям конкретной транзакции. Поскольку TAN действителен для любой транзакции, отправленной с ним, он не защищает от фишинг атаки, при которых TAN используется злоумышленником напрямую, или против Атаки посредника.

ЧипТАН / Sm @ RT-TAN / CardTAN

Генератор ChipTAN (оптическая версия) с привязанной банковской картой. Две белые стрелки отмечают границы штрих-кода на экране компьютера.

ChipTAN - это схема TAN, используемая многими немецкими и австрийскими банками.[12][13][14] Он известен как ChipTAN или Sm @ rt-TAN.[15] в Германии и как CardTAN в Австрии, тогда как cardTAN является технически независимым стандартом.[16]

Генератор ChipTAN не привязан к конкретной учетной записи; вместо этого пользователь должен вставить свои банковская карта во время использования. Созданный TAN зависит от банковской карты, а также от деталей текущей транзакции. Есть два варианта: В старом варианте детали транзакции (как минимум, сумма и номер счета) должны вводиться вручную. В современном варианте пользователь вводит транзакцию онлайн, затем генератор TAN считывает детали транзакции с помощью мерцающего штрих-код на экране компьютера (используя фотоприемники ). Затем он показывает детали транзакции на собственном экране пользователю для подтверждения перед генерацией TAN.

Поскольку это независимое оборудование, связанное только с простым каналом связи, генератор TAN не подвержен атакам со стороны компьютера пользователя. Даже если компьютер взломан Троян, или если атака "человек посередине" При возникновении такой ситуации, созданный TAN действителен только для транзакции, подтвержденной пользователем на экране генератора TAN, поэтому изменение транзакции задним числом приведет к тому, что TAN станет недействительным.

Дополнительным преимуществом этой схемы является то, что, поскольку генератор TAN является универсальным и требует вставки карты, его можно использовать с несколькими учетными записями в разных банках, и потеря генератора не представляет угрозы безопасности, поскольку хранятся важные для безопасности данные. на банковскую карту.

Хотя схема ChipTAN обеспечивает защиту от технических манипуляций, она по-прежнему уязвима для социальная инженерия. Злоумышленники пытались убедить самих пользователей разрешить перевод под предлогом, например, утверждая, что банку требуется «тестовый перевод» или что компания ложно перевела деньги на счет пользователя, и они должны «отправить их обратно».[1][17] Поэтому пользователи никогда не должны подтверждать банковские переводы, которые они инициировали не сами.

ChipTAN также используется для защиты пакетных переводов (Sammelüberweisungen). Однако этот метод предлагает значительно меньшую безопасность, чем метод для индивидуальных переводов. В случае пакетной передачи генератор TAN покажет только количество и общую сумму всех передач вместе - таким образом, для пакетной передачи существует небольшая защита от манипуляций со стороны трояна.[18] Об этой уязвимости сообщил RedTeam Pentesting в ноябре 2009 года.[19] В ответ, в качестве меры, некоторые банки изменили обработку пакетных переводов, так что пакетные переводы, содержащие только одну запись, рассматриваются как отдельные переводы.

Смотрите также

Рекомендации

  1. ^ а б Кандид Вюэст, группа реагирования Symantec Global Security Response Текущие достижения в области банковских троянов? В архиве 2014-04-25 в Wayback Machine iriss.ie, Ирландская служба отчетности и информационной безопасности, 2 декабря 2012 г. (PDF; 1,9 МБ)
  2. ^ Катюша: LKA zerschlägt Ring von Online-Betrügern WinFuture.de, 29 октября 2010 г.
  3. ^ Ограбления банков "High Roller" выявляют бреши в безопасности Агентство Европейского Союза по сетевой и информационной безопасности, 5 июля 2012 г.
  4. ^ heise онлайн (2007-10-26). "Verbessertes iTAN-Verfahren soll vor Manipulationen durch Trojaner schützen" (на немецком).
  5. ^ Ли, Шуцзюнь; Сайед Амьер Хайдер Шах; Мухаммад Асад Усман Хан; Сайед Али Хайям; Ахмад-Реза Садеги; Роланд Шмитц (2010). «Взлом CAPTCHA в электронном банке». Материалы 26-й Ежегодной конференции по приложениям компьютерной безопасности (ACSAC 2010). Нью-Йорк, Нью-Йорк, США: ACM. С. 171–180. Дои:10.1145/1920261.1920288.
  6. ^ Кошмар мошенничества с заменой SIM-карты жертвы iol.co.za, Independent Online, 12 января 2008 г.
  7. ^ «31C3: Mobilfunk-Protokoll SS7 offen wie ein Scheunentor» (на немецком). 2014-12-28.
  8. ^ Фабиан А. Шершель (2017-05-03). "Deutsche Bankkonten über UMTS-Sicherheitslücken ausgeräumt" (на немецком).
  9. ^ SMS-троянец Eurograbber похитил 36 миллионов евро из онлайн-банков techworld.com, 5 декабря 2012 г.
  10. ^ Интернет-банк с pushTAN - FAQ berliner-sparkasse.de, Berliner Sparkasse (AöR), проверено 27 августа 2014 г.
  11. ^ Informationen zu pushTAN dkb.de, Deutsche Kreditbank AG, последнее посещение - 30 марта 2015 г.
  12. ^ Почтовый банк chipTAN comfort официальная страница Postbank, проверено 10 апреля 2014 г.
  13. ^ chipTAN: Слушай, werden überflüssig официальная страница Sparkasse, проверено 10 апреля 2014 г.
  14. ^ Die cardTAN официальная страница Raiffeisen Bankengruppe Österreich, последнее посещение - 30 апреля 2014 г.
  15. ^ «См @ рт-ТАН». www.vr-banking-app.de (на немецком). Получено 2018-10-10.
  16. ^ Die neue cardTAN ebankingsicherheit.at, Gemalto N.V., проверено 22 октября 2014 г.
  17. ^ Tatanga Attack раскрывает слабые стороны chipTAN trusteer.com, 4 сентября 2012 г.
  18. ^ "chipTAN-Verfahren / Был ли wird im TAN-Generator angezeigt?" (PDF). Sparkasse Neckartal-Odenwald. июнь 2013. Получено 1 декабря 2014. SEPA-Sammelüberweisung, Inhalt: mehr als 1 Posten. Anzeige 1: Summe, Anzeige 2: Anzahl Posten
  19. ^ «Атаки человека посередине на систему онлайн-банкинга chipTAN comfort». RedTeam Pentesting GmbH. Получено 1 декабря 2014.