DKB Sammelthread

[Tord]

ANZEIGE

Auf diese so genannten „fremden Apps“ vertraut die gesamte IT Sicherheitsbranche.

Klar, absolut. Nun aber die Masterfrage: Wer zahlt bzw. trägt den Schaden, wenn du z. B. eine unseriöse 2FA-App nutzt und dein Account bei Facebook, Google, Wasauchimmer kompromittiert wird?

 

[ro2020]

Seriöse Banking Apps?

Weiterleitungshinweis

34C3 - Die fabelhafte Welt des Mobilebankings

https://media.ccc.de/v/34c3-8805-die_fabelhafte_welt_des_mobilebankingsBisher wurden Angriffe gegen App-basierte TAN-Verfahren und Mobilebanking von betroffe...

youtu.be

Aber ja, natürlich verstehe ich deine Argumente, dass am Ende ein komplexes, proprietären Verfahren mit Snail-Mail die Wahl der Bank sein kann, um sich zu schützen. Kundenfreundlich ist das nicht. Aber solange es ein zweites gültiges Verfahren ((Chip TAN) gibt, ist es aus meiner Sicht ok.

 

[netzfaul]

Tan2go auf neuem iPhone. Link in SMS öffnet sich im Browser mit Fehlermeldung, App sei nicht da. Zig mal neu installiert und neu gestartet.

Es ist so grottig, dass es nicht mal einen Fallback gibt, die challenge anderweitig in die App zu bekommen.

 

[Frank N. Stein]

Seriöse Banking Apps?

Weiterleitungshinweis

34C3 - Die fabelhafte Welt des Mobilebankings

https://media.ccc.de/v/34c3-8805-die_fabelhafte_welt_des_mobilebankingsBisher wurden Angriffe gegen App-basierte TAN-Verfahren und Mobilebanking von betroffe...

youtu.be

Aber ja, natürlich verstehe ich deine Argumente, dass am Ende ein komplexes, proprietären Verfahren mit Snail-Mail die Wahl der Bank sein kann, um sich zu schützen. Kundenfreundlich ist das nicht. Aber solange es ein zweites gültiges Verfahren ((Chip TAN) gibt, ist es aus meiner Sicht ok.

Warum ein 4 Jahre alter WELT-Beitrag heute noch zielführend bzw. informativ sein soll, erschliesst sich mir nicht.
Auch/selbst die Banken-Apps haben sich seitdem sicherheitstechnisch weiterentwickelt.

 

[mattes77]

Warum ein 4 Jahre alter WELT-Beitrag heute noch zielführend bzw. informativ sein soll, erschliesst sich mir nicht.
Auch/selbst die Banken-Apps haben sich seitdem sicherheitstechnisch weiterentwickelt.

Es geht nicht um das Alter des Beitrages. Am grundsätzlichen Sicherheitsproblem der Apps und des ganzen App Tan Verfahrens hat sich absolut gar nichts geändert. Das scheint aber ja fast niemanden zu stören, wie deine Reaktion auf den Beitrag von ro2020 zeigt!

Beitrag automatisch zusammengeführt: 10.08.2021

Auf diese so genannten „fremden Apps“ vertraut die gesamte IT Sicherheitsbranche.

Leider!!!1

 

[Frank N. Stein]

Es geht nicht um das Alter des Beitrages. Am grundsätzlichen Sicherheitsproblem der Apps und des ganzen App Tan Verfahrens hat sich absolut gar nichts geändert. Das scheint aber ja fast niemanden zu stören, wie deine Reaktion auf den Beitrag von ro2020 zeigt!

Stimmt,
denn ich lebe im hier und jetzt und ein Status Quo Bericht von vor 4 Jahren mag für Dich aktuell sein, für mich und meine Kontenverbindungen definitiv nicht.
by the way: Wie oft bist Du denn schon gehackt worden, welche astronomischen Summen wurden verschoben und wie reagierte Deine Bank?
Aber ich bin dankbar, dass es Mahner gibt, die immer fiktiv und im Konjunktiv darauf hinweisen, was alles passieren könnte.

 

[wizzard]

Es geht nicht um das Alter des Beitrages.

Doch, natürlich. Und in technischen Fragen schon drei Mal.

 

[mattes77]

Doch, natürlich. Und in technischen Fragen schon drei Mal.

In Ordbung. Du willst mir also ernsthaft erklären, dass der "technische Fortschritt" das absolute Grundproblem der Konfiguration, nämlich zwei Faktoren (Onlinebanking und TAN auf einem Gerät) gelöst hätte? Jeder IT Experte wird dir erklären, dass nun einmal Sicherheit und Bequemlichkeit leider grundsätzlich im Widerspruch stehen und jede Lösung im Zweifel den Schwerpunkt auf eines der beiden Ziele legen wird!

 

[zednatix]

Es wurde in dem Artikel u.a. das grundsätzliche Problem angesprochen, dass alles auf einem Gerät läuft und man somit potenziell die Kontrolle über die Banking-App und die TAN-App gleichzeitig erhält, sobald man am Smartphone angemeldet ist. Das Problem gibt es ja aktuell weiterhin und wird es immer geben, solange alles auf dem selben Gerät läuft - und genau dieses Problem kann eben mit Chiptan sehr gut gelöst werden, da man dazu drei voneinander unabhängige "Dinge" benötigt: das Chiptan-Gerät, die Bankkarte und das Passwort für das Chiptan-Gerät und zusätzlich auch noch den Zugang zum Smartphone oder Onlinebanking. Die Hürde ist - und das ist für jeden einfach erkennbar - deutlich höher und somit viel sicherer als App-TANs - auch wenn das System schon ein paar Jahre alt ist.

 

[zednatix]

Mir fällt gerade ein, dass die Smartphones ja einen NFC-Leser haben. Könnte man da nicht etwas Chiptan-ähnliches bauen, das kontaktlos funktioniert?
Dann wäre zumindest zusätzlich die Karte notwendig, um eine Freigabe zu machen, auch wenn immer noch alles auf demselben Gerät ist.

 

[Micha1976]

Mir fällt gerade ein, dass die Smartphones ja einen NFC-Leser haben. Könnte man da nicht etwas Chiptan-ähnliches bauen, das kontaktlos funktioniert?
Dann wäre zumindest zusätzlich die Karte notwendig, um eine Freigabe zu machen, auch wenn immer noch alles auf demselben Gerät ist.

Apple wird dir dafür keinen Zugriff auf die NFC-Schnittstelle geben.

 

[selaf]

Es gibt von ReinerSCR den TanJack Bluetooth, welcher ChipTAN per Bluetooth macht. Die BankingApp überträgt dabei die Daten, die sonst im Flicker- oder QR-Code wären, per Bluetooth an den TanJack. Dort prüft man auf dessen Display IBAN und Betrag und klick auf OK, damit geht die TAN per Bluetooth zurück an die App. Leider ist mir außer Banking4 und deren Whitelabel-Clone keine App bekannt, die das unterstützt.
ChipTAN nur per NFC - also "Karte ans Handy halten" wäre nicht PSD2-konform, weil du dann nicht unabhängig von der BankingApp IBAN und Betrag prüfen könntest.

 

[LordNibbler]

Sorry, keine vernünftige IT-Security sollte zulassen, dass (s)eine Banking-App mit welcher Transaktionen legitimiert werden, unter einem Beta-Betriebssystem der Öffentlichkeit zugänglich gemacht wird. Von daher, alles richtig gemacht.

Jede vernünftige IT-Security sollte ein nicht unter deren Kontrolle stehendes System als potentiell unsicher ansehen. Und das ist damit jedes Handy eines Kunden. Die App der Bank kann das auf der fremden Hardware und OS-Umgebung auch nicht sicherstellen. Darum ist es eigentlich total egal, ob es ein Beta- oder Jailbreak-OS ist. Sämtliche Daten die vom Kunden übermittelt werden sind erstmal auf Gültigkeit etc. zu verifizieren.
Sich darauf zu verlassen, dass das OS sicher ist oder die App Abweichungen feststellt ist naiv.

 

[daukind]

ämtliche Daten die vom Kunden übermittelt werden sind erstmal auf Gültigkeit etc. zu verifizieren.
Sich darauf zu verlassen, dass das OS sicher ist oder die App Abweichungen feststellt ist naiv.

Ah ja. Welche Angaben/Daten übermittelt der Kunde denn innerhalb der PushTan App?

 

[geos]

und genau dieses Problem kann eben mit Chiptan sehr gut gelöst werden, da man dazu drei voneinander unabhängige "Dinge" benötigt: das Chiptan-Gerät, die Bankkarte und das Passwort für das Chiptan-Gerät und zusätzlich auch noch den Zugang zum Smartphone oder Onlinebanking. Die Hürde ist - und das ist für jeden einfach erkennbar - deutlich höher und somit viel sicherer als App-TANs - auch wenn das System schon ein paar Jahre alt ist.

auch wenn ich der Schlussfolgerung recht gebe, so möchte ich doch darauf hinweisen, dass der Besitz eines ChipTAN-Geräts ausdrücklich kein Sicherheitsmerkmal ist. Auch hat das ChipTAN-Gerät kein Passwort (und die PIN der Karte wird nicht benötigt).
Das einzige Sicherheitsmerkmal ist der Besitz der Chip-Karte (also hier Girocard). Es sind nicht "drei Dinge".
Der entscheidende Vorteil von ChipTAN ist dass schlicht die Angriffsfläche erheblich geringer ist als bei einem extrem komplexen Gerät wie einem Smartphone, das mit dem Internet verbunden und mit Software zu zig unterschiedlichen Zwecken und von unterschiedlichen Autoren bestückt ist.
Mich wundert, dass man auch nach den "Enthüllungen" zu Pegasus noch Diskussionen führt, ob ChipTAN oder Smartphones sicherer wären (nein, ich sage damit nicht, dass die NSO-Group Banking-Trojaner anbietet; aber das Beispiel zeigt, dass es technisch möglich ist).

 

[LordNibbler]

Ah ja. Welche Angaben/Daten übermittelt der Kunde denn innerhalb der PushTan App?

Auch dafür muss sich die App bei der Bank bemerkbar machen und z. B. ein Authentifizierungstoken erhalten. Die Kommunikation dafür und danach sollte kryptographisch für die Anforderungen passend gewählt sein.

Sich auf die Integrität des Betriebssystems oder der eigenen App zu verlassen ist kein Securitykonzept.

 

[JFI]

@geos

Da hast du recht, es gibt aber chipTAN-Verfahren, bei denen die PIN abgefragt wird (leider nicht auf dem dt. Markt, kenne das aus UK, nationwide bank etwa).

 

[zednatix]

Bei meinem Chiptan-Gerät konnte ich eine PIN festlegen. Wird der im Gerät oder auf der Karte gespeichert? Wenn er auf dem Gerät ist, bringt es nicht so viel, da man ja ein baugleiches anderes ohne PIN nehmen könnte.

 

[antwort]

Bei chipTAN kann ich doch jederzeit das Gerät wechseln, oder? Problemlos. Also einfach Girocard in irgendein chipTAN-Gerät und gut. Oder?
Oder liege ich hiermit komplett falsch und der chipTAN-Kartenleser muß jeweils irgendwie registriert werden, bevor er verwendet werden kann?

 

[selaf]

Bei chipTAN kann ich doch jederzeit das Gerät wechseln, oder?

Ja, das ChipTAN Gerät ist nur ein User Interface für die ChipTAN App auf der Karte und enthält keinerlei geheime oder sonstwie personalisierte Daten. Das Gerät kann jederzeit gewechselt werden. Ich finde es daher irreführend, dieses Gerät "ChipTAN Generator" zu nennen - der Generator ist die App auf der Karte.

 

[herbert60]

Kann man die TAN2go App auf 2 verschiedenen Smartphones für ein DKB Konto einrichten?

 

[vlugangst]

Ja.

 

[NarutoUzumaki]

Kann man die TAN2go App auf 2 verschiedenen Smartphones für ein DKB Konto einrichten?

Ja, das ist in der Tat möglich. Kannst du unter dem Menüpunkt "Service" einrichten.

 

[herbert60]

Ich habe TAN2go auf einem weiteren Gerät eingerichtet und auf dem bisherigen Gerät wurde diese gelöscht!
Was habe ich falsch gemacht?

 

[antwort]

ANZEIGE

Bei chipTAN kann ich doch jederzeit das Gerät wechseln, oder? Problemlos. Also einfach Girocard in irgendein chipTAN-Gerät und gut. Oder?
Oder liege ich hiermit komplett falsch und der chipTAN-Kartenleser muß jeweils irgendwie registriert werden, bevor er verwendet werden kann?

Ja, das ChipTAN Gerät ist nur ein User Interface für die ChipTAN App auf der Karte und enthält keinerlei geheime oder sonstwie personalisierte Daten. Das Gerät kann jederzeit gewechselt werden. Ich finde es daher irreführend, dieses Gerät "ChipTAN Generator" zu nennen - der Generator ist die App auf der Karte.

Danke. Dann lag ich mit meiner Vermutung ja richtig.