Abo
  • Services:
Anzeige
Die pushTAN-App der Sparkasse lässt sich einfach austricksen.
Die pushTAN-App der Sparkasse lässt sich einfach austricksen. (Bild: Vincent Haupert/Screenshot: Golem.de)

Onlinebanking: Sparkassen-App für pushTAN-Verfahren wieder gehackt

Die pushTAN-App der Sparkasse lässt sich einfach austricksen.
Die pushTAN-App der Sparkasse lässt sich einfach austricksen. (Bild: Vincent Haupert/Screenshot: Golem.de)

Die Banken preisen das pushTAN-Verfahren als sicher an. Dabei ist es hochgefährlich, Onlinebanking mit zwei Apps auf demselben Smartphone zu verwenden. Die Sparkasse verteidigt ihr Angebot.

Die Sparkasse wirbt für ihr Onlinebanking mit dem push-TAN-Verfahren weiterhin auf ihrer Homepage: "Denn der entscheidende Vorteil der pushTAN ist, dass Sie keine weiteren Zusatzgeräte brauchen." Was die Sparkasse als Vorteil preist, ist nach Ansicht von Sicherheitsexperten aber der entscheidende Nachteil, mit dem sich eine angebliche Zwei-Faktor-Authentifizierung aushebeln lässt. Auf dem 32C3 erläuterte der Erlanger Student Vincent Haupert am Montag, wie er das pushTAN-System der Sparkasse hackte. Zum wiederholten Male.

Anzeige

Bereits im vergangenen Oktober hatte Haupert gezeigt, wie sich das Verfahren der Sparkasse überlisten lässt. Dieses basiert auf einer App für das eigentliche Onlinebanking sowie einer weiteren App für das TAN-Verfahren. Die Apps sind so eng verzahnt, dass sich die TAN direkt auf die Banking-App übertragen lässt. Haupert entschied sich dafür, die Transaktion zu manipulieren. Weitere Angriffsszenarien hätten beispielsweise darin bestanden, die S-pushTAN-App mitsamt ihren Daten zu klonen. Ein Reverse-Engineering der Transaktionsprotokolle sei ebenfalls möglich. Mit Hauperts Methode wird den App-Nutzern die von ihnen gewünschte Transaktion vorgegaukelt, während im Hintergrund ein anderer Betrag auf ein vom Betrüger angegebenes Konto überwiesen wird.

Root-Erkennung leicht zu umgehen

Haupert realisierte seinen Angriff als Modul für das Instrumentations-Framework Xposed. Mit einem solchen Framework können Android-Nutzer tief in das System ihrer Geräte eingreifen, ohne ein neues ROM installieren zu müssen. Es ermöglicht zudem, beliebigen Java-Code zu instrumentalisieren.

Die pushTAN-App verfügte zwar über einige Sicherheitsmerkmale des norwegischen Anbieters Promon wie Root-Erkennung, Anti-Debugging, Device-Fingerprintung und Anti-Hooking. So soll die App eigentlich beendet werden, wenn sie mit Root-Rechten betrieben wird. Das Java-Callback für die Überprüfung auf ein gerootetes Gerät konnte von den Forschern aber instrumentalisiert und abgebrochen werden. "Es hat mich gewundert, dass es so einfach war", sagte Haupert. Nachdem er zusammen mit seinem Kollegen Tilo Müller das Verfahren publik gemacht hatte, behauptete der Deutsche Sparkassen- und Giroverband (DSGV): "Die beschriebenen unter Laborbedingungen durchgeführten Manipulationen betreffen veraltete Versionsstände der S-pushTAN-App." In der neuen Version sei das Angriffsverfahren nicht mehr möglich.

Auch nachgebesserte App lässt sich austricksen 

eye home zur Startseite
red creep 01. Jan 2016

Android ist ein offenes System. Deswegen kann man relativ leicht einen starken Angreifer...

hawgk 31. Dez 2015

Ich finde da hat die Sparkasse einen mMn fatalen Fehler echt gut unter den Tisch gekehrt...

lear 30. Dez 2015

Das hat nichts mit Android, geschweige denn (intendiertem) rooten, zu tun, sondern dem...

TC 30. Dez 2015

Na diese "Verknüpfung", ab und zu muss ich sie neu verknüpfen

TC 30. Dez 2015

zb Opera ;)



Anzeige

Stellenmarkt
  1. Landeshauptstadt München, München
  2. T-Systems International GmbH, Hannover
  3. ADWEKO Consulting GmbH, Walldorf
  4. MBtech Group GmbH & Co. KGaA, Neu-Ulm, Lindau


Anzeige
Blu-ray-Angebote
  1. 5,49€
  2. (u. a. Homefront 7,97€, The Wave 6,97€, Lone Survivor 6,97€)
  3. (u. a. Lone Survivor, Riddick, Homefront, Wild Card, 96 Hours Taken 2)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Kritische Bereiche der IT-Sicherheit in Unternehmen
  2. Tipps für IT-Engagement in Fernost
  3. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie


  1. Galaxy Note 7 im Test

    Schaut dir in die Augen, Kleine/r/s!

  2. Terrorbekämpfung

    Denn sie wissen nicht, wen sie scannen

  3. Neuer Akku

    Tesla lässt fliegen

  4. FBI

    Russland soll die New York Times attackiert haben

  5. Smach Z ausprobiert

    So wird das nichts

  6. Parrot Disco

    Schnelle Flugzeugdrohne mit Brillen-Bildübertragung

  7. Marsrover

    China veröffentlicht Pläne für eigenen Marsrover

  8. Android 7.0

    Google verteilt erste Factory-Images, Sony nennt Update-Plan

  9. Denza 400

    Chinesische Mercedes-B-Klasse fährt 400 km elektrisch

  10. Microsoft

    Office für Mac 2016 auf 64 Bit aufgerüstet



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Xfel: Riesenkamera nimmt Filme von Atomen auf
Xfel
Riesenkamera nimmt Filme von Atomen auf
  1. US Air Force Modifikation der Ionosphäre soll Funk verbessern
  2. Teilchenbeschleuniger Mögliches neues Boson weist auf fünfte Fundamentalkraft hin
  3. Materialforschung Glas wechselt zwischen durchsichtig und schwarz

Next Gen Memory: So soll der Speicher der nahen Zukunft aussehen
Next Gen Memory
So soll der Speicher der nahen Zukunft aussehen
  1. Arbeitsspeicher DDR5 nähert sich langsam der Marktreife
  2. SK Hynix HBM2-Stacks mit 4 GByte ab dem dritten Quartal verfügbar
  3. Arbeitsspeicher Crucial liefert erste NVDIMMs mit DDR4 aus

Wiper Blitz 2.0 im Test: Kein spießiges Rasenmähen mehr am Samstag (Teil 2)
Wiper Blitz 2.0 im Test
Kein spießiges Rasenmähen mehr am Samstag (Teil 2)
  1. Lockheed Martin Roboter Spider repariert Luftschiffe
  2. Kinderroboter Myon Einauge lernt, Einauge hat Körper
  3. Landwirtschaft 4.0 Swagbot hütet das Vieh

  1. SAMSUNG / APPLE - man, man, man

    masterof9 | 12:03

  2. die ethischen Werte in USA ?

    pk_erchner | 12:03

  3. Re: Neue Wege? Skylab

    Quantium40 | 12:03

  4. Re: Firmenpolitik?

    M.P. | 12:03

  5. Re: Logisch, das Powerargument der USA.

    Trollversteher | 12:02


  1. 12:16

  2. 12:14

  3. 11:08

  4. 10:53

  5. 10:00

  6. 09:45

  7. 09:14

  8. 09:06


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel