Abo
  • Services:
Anzeige
Die pushTAN-App der Sparkasse lässt sich einfach austricksen.
Die pushTAN-App der Sparkasse lässt sich einfach austricksen. (Bild: Vincent Haupert/Screenshot: Golem.de)

Auch nachgebesserte App lässt sich austricksen

Auf dem 32C3 zeigte Haupert nun, dass diese Behauptung nicht stimmt. Zwar habe die Sparkasse durchaus nachgebessert, räumte er ein. So gebe es nun keine Java-Callbacks mehr, sondern die App stürze ab, wenn das Gerät gerootet ist. Zudem könne die Root-Erkennung nicht mehr trivial deaktiviert werden. Ebenfalls würden nun bekannte Hooking-Frameworks wie das von Haupert verwendete Xposed erkannt.

Aber auch diese Sicherheitsmerkmale ließen sich austricksen. So funktioniert die Root-Erkennung in der App, indem im Dateisystem nach bestimmten Inhalten gesucht wird, die für "su" charakteristisch sind, wie beispielsweise "/system/bin/su". Nachdem Haupert diese Dateien umbenannt hatte, funktioniert die S-pushTAN-App wieder. Die eigentliche App für das Onlinebanking erkennt aber weiterhin die erweiterten Rechte und gibt einen entsprechenden Hinweis. Allerdings wirkt sich das nicht auf die Funktionen aus.

Anzeige

Um die Xposed-Erkennung zu umgehen, musste Haupert ebenfalls einige Dateien umbenennen und zusätzlich das Programm neu kompilieren, um daraus die Zeichenkette Xposed zu eliminieren. Nach diesen Änderungen konnte er wieder eine Transaktion manipulieren. Was er mit einem Video den versammelten Hackern vorführte.

Bankenaufsicht fordert Einsatz von zwei Geräten

Hauperts Fazit: App-basierte TAN-Verfahren seien "konzeptionell schwach". Die Schutzmechanismen der pushTAN-App hätten zwar zugenommen, doch es handele sich dabei "um ein Katz-und-Maus-Spiel, das die Sparkasse am Ende immer verlieren wird". Die Rooting-Erkennung bringe der Sparkasse hauptsächlich verärgerte Nutzer ein, statt gegen echte Angriffe zu schützen. Zudem sei ein gerootetes Gerät nicht unbedingt eine Voraussetzung für einen solchen Angriff.

Die Frage stellt sich jedoch, warum die Apps für Onlinebanking und die TAN-Generierung überhaupt auf einem Gerät installiert werden dürfen. So heißt es in einem FAQ-Papier der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) von Ende Oktober zu den Mindestanforderungen an Onlinebanking inzwischen: "Allerdings muss das App-basierte Sicherungsverfahren und das tatsächliche Online-Banking unabhängig voneinander - also über verschiedene Geräte (i.S.v. verschiedene Kanäle) - erfolgen." Schon im August 2015, also noch vor der ersten Veröffentlichung Hauperts, hieß es im Bafin-Journal: "Die TAN sollte auf keinen Fall auf demselben Smartphone generiert werden, auf dem das Online-Banking stattfindet. Hat ein Betrüger das Smartphone gehackt, so kann er dadurch auf beide Verfahren zugreifen."

Vor dem Hintergrund dieser trivialen Erkenntnisse ist es verwunderlich, dass die Banken immer noch mit diesem Verfahren werben. Haupert selbst räumte ein, dass er durchaus Bankgeschäfte per Smartphone tätigt. Allerdings nutzt er keine pushTAN-App, sondern das Chip-TAN-Verfahren. Das sei noch einigermaßen sicher.

Nachtrag vom 29. Dezember 2015, 16:30 Uhr

Die Sparkassen verteidigten in einer Stellungnahme vom Dienstag ihr Angebot. Das Verfahren werde "unter Berücksichtigung der jeweils bekannten Sicherheitsrisiken ständig weiterentwickelt", heißt es in einem Blogbeitrag. Aus diesem Grund seien bislang keine Schäden eingetreten oder bekannt. "Tatsächliche Schadensfälle sind auch weiterhin sehr unwahrscheinlich", schreibt der DSGV.

Das von Haupert gezeigte Vorgehen weise eine hohe Komplexität auf. "Deshalb ist der gezeigte Angriff nur unter Laborbedingungen möglich", heißt es weiter. Zusätzlich sollte beachtet werden, dass ein solcher Angriff immer nur bei genau einer Version der pushTAN-App wirkungsvoll sei. Neue Versionen der pushTAN-App erforderten unter Umständen erneut einen hohen Aufwand seitens der Angreifer. Nach Ansicht der Sparkasse entspricht ihr pushTAN-Verfahren den Anforderungen der Bankenaufsicht, mit der man sich in regelmäßigem Austausch befinde.

 Onlinebanking: Sparkassen-App für pushTAN-Verfahren wieder gehackt

eye home zur Startseite
red creep 01. Jan 2016

Android ist ein offenes System. Deswegen kann man relativ leicht einen starken Angreifer...

hawgk 31. Dez 2015

Ich finde da hat die Sparkasse einen mMn fatalen Fehler echt gut unter den Tisch gekehrt...

lear 30. Dez 2015

Das hat nichts mit Android, geschweige denn (intendiertem) rooten, zu tun, sondern dem...

TC 30. Dez 2015

Na diese "Verknüpfung", ab und zu muss ich sie neu verknüpfen

TC 30. Dez 2015

zb Opera ;)



Anzeige

Stellenmarkt
  1. Deutsche Telekom AG, München
  2. hmmh multimediahaus AG, Berlin
  3. operational services GmbH & Co. KG, Frankfurt
  4. Klinikum Stuttgart über Dr. Heimeier & Partner, Management- und Personalberatung GmbH, Stuttgart


Anzeige
Hardware-Angebote
  1. (Core i5-6500 + Geforce GTX 1060)
  2. 99,00€
  3. 94,90€ statt 109,90€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  3. Mit digitalen Workflows Geschäftsprozesse agiler machen


  1. Virtual Reality Developer

    Udacity gibt Weiterbildungen zum VR-Entwickler

  2. Gewährleistungsfristen

    Verbraucherschützer wollen EU-Plan verhindern

  3. UBBF2016

    Wo 83 Prozent der Haushalte Glasfaser haben

  4. NBase-T alias IEEE 802.3bz

    Schnelle und doch sparsame Kabelverbindungen

  5. Autonomes Fahren

    Komatsu baut Schwerlaster ohne Führerstand

  6. 500-Millionen-Hack

    Yahoo sparte an der Sicherheit

  7. Advertising Standards Authority

    No Man's Sky wird auf irreführende Werbung untersucht

  8. Container

    Canonical veröffentlicht Kubernetes-Distribution

  9. Amazon

    Fire TV erhält neuartigen Startbildschirm

  10. Musikstreaming

    Soundcloud könnte bald Spotify gehören



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
X1D ausprobiert: Die Hasselblad für Einsteiger
X1D ausprobiert
Die Hasselblad für Einsteiger
  1. Modulares Smartphone Lenovo bringt Moto Z mit Moto Z Play nach Deutschland
  2. Hasselblad DJI hebt mit 50-Megapixel-Luftbildkamera ab

Osmo Mobile im Test: Hollywood fürs Smartphone
Osmo Mobile im Test
Hollywood fürs Smartphone
  1. In the Robot Skies Drohnen drehen einen Science-Fiction-Film
  2. Mavic Pro DJI stellt klappbaren 4K-Quadcopter für 1.200 Euro vor
  3. DJI Flugverbotszonen in Drohnensoftware lassen sich ausschalten

Neuer Porträtmodus: Das iPhone 7 Plus entdeckt die Hintergrundunschärfe
Neuer Porträtmodus
Das iPhone 7 Plus entdeckt die Hintergrundunschärfe
  1. Neues iPhone US-Late-Night-Komiker witzeln über Apple
  2. IOS 10.0.2 Apple beseitigt Ausfälle der Lightning-Audio-Kontrollen
  3. Jailbreak 19-Jähriger will iPhone-7-Exploit für sich behalten

  1. Re: Deutschland hat "lächerliche 1,5 Prozent...

    Bouncy | 13:35

  2. Re: Tja, das war's dann mit den meisten Bahnfahrten

    Peter Brülls | 13:34

  3. Re: LÜGE "In Deutschland gilt seit 2002 eine...

    GrenSo | 13:33

  4. Re: warum?

    Peter Brülls | 13:33

  5. Re: Das Spiel ist zwar "aufgeblasendes" Vakuum...

    Clown | 13:33


  1. 13:00

  2. 12:46

  3. 12:27

  4. 11:59

  5. 11:35

  6. 11:20

  7. 11:03

  8. 10:46


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel