Test: chipTAN bei Onlinebanking, TAN Generator

Beitrag von Frank myTechBase am 2. Mai 2011 in der Kategorie Hardware

Viele Banken bieten nun seit einiger Zeit das chipTAN Verfahren an bei Onlineüberweisungen an. Dabei ist es wichtig, grundlegende Funktionen zu kennen und deren Gefahren.

Der grundlegende Unterschied zum normalen TAN Verfahren ist, dass man nun keine TAN Liste mehr benötigt, sondern ein kleines Gerät, das die TANs generiert.

Das Gerät

Die Sparkasse bietet zur Zeit 4 dieser Geräte an. Sie unterscheiden sich nur minimal im Funktionsumfang, wobei das teuerste Gerät für 53,43 € eine Sprachausgabe bietet. Wenn man das nicht benötigt, reicht das Gerät für 10,59€. Ich habe mich für das Gerät “tanJack optic SR rot” entschieden, da es im Vergleich zu den anderen Versionen austauschbare Batterien besitzt und zudem relativ klein ist.
Dieses Gerät hat einen Einschub für die EC- Karte, 5 optische Sensoren,ein Display, ein Nummernfeld von 0-9 und 5 zusätzliche Tasten wie “OK”, “F”, oder “TAN”.

Bilder tanJack optic SR rot

 

 

Funktionsweise

Als erstes muss man das TAN Verfahren der Bank umstellen. Bei der Sparkasse kann man das direkt online im Onlinebankingcenter umstellen (bei anderen Banken müsste das auch online gehen). Dazu muss man den TAN Generator synchronisieren. Dabei muss man beachten, dass die richtige EC Karte in das Gerät eingesetzt ist. Das kann man mit der Nummer auf der Karte mit der Anzeige in der synchronisier Seite der Bank kontrollieren. Dann nimmt man den Generator und setzt ihn schräg an den Bildschirm, wo 5 Streifen schnell aufblinken. Das Gerät hat oben 2 Pfeile, diese muss man mit den Pfeilen am Bildschirm anpassen. Falls die Pfeile nicht übereinstimmen, kann man mit den Lupentasten die Ansicht anpassen.
Das Bild, das als Beispiel angezeigt wird, ist falsch. Dort sieht es so aus, als ob man das Gerät in einem 45 Grad Winkel zum Bildschirm hinheben muss, allerdings schauen dann die optischen Sensoren des Gerätes nach unten. Man muss es ziemlich bündig hinhalten, so dass die Sensoren die blinkenden Balken erfassen können. Dann kann man nach Anleitung der Bank vorgehen (siehe Bild).

Überweisung

Man startet eine Überweisung wie gewohnt, indem man Kontoinhaber, Bankleitzahl, Betrag und Verwendungszweck einträgt. Dann nimmt man den TAN Generator und steckt seine EC Karte rein. Diesen Generator hält man dann an die animierte Grafik mit den 5 Balken und drückt die Taste “F”. “Übertragung aktiviert” zeigt nun das Display. Nun werden die Kontonummer und der Betrag auf dem Display des Gerätes angezeit, die man jeweils mit der Taste “OK” bestätigen muss. Dann erscheint die berechnetet TAN, die man im Onlinebanking eingeben muss.

Gefahren

Das RedTeam Pentesting hat Möglichkeiten herausgefunden, die es erlaubt, Überweisungen zu manipulieren.
Wenn Sammelüberweiungen mit dem chipTAN Verfahren durchgeführt werden, können Kontonummern und Beträge entsprechend geändert werden, so dass der Benutzer das nicht mitbekommt. Auf dem Display des Gerätes wird nur die Summe der Bertäge und die Menge der Sammelüberweisungen angezeit. So kann der Man-in-the-Middle-Angriff unbemerkt durchgeführt werden.

Bei Einzelüberweisungen kann dieser Angriff nicht unbemerkt durchgeführt werden, da die Zielkontonummer auf den TAN Generator bestätigt werden muss. Falls dort eine andere Nummer drinsteht fällt das auf. Allerdings kann der Angreifer daraus eine Sammelüberweisung mit dem selben Betrag erstellen, so dass das für unerfahrene Benutzer nicht auffällt. Da aber bei einer Sammelüberweiung die Anzahl der Posten auf dem Dispaly des Gerätes angezeit wird, sollte man stutzig werden, denn man hat ja eine Einzelüberweisung in Auftrag gegeben.
Quelle:redteam-pentesting

Fazit

Im großen und ganzem ein praktisches Gerät, das die TAN Liste ersetzt. Es ist zudem sicherer als die übliche TAN Liste, da Angriffe besser erkannt werden können. Leider sieht man keine Zusammenfassung mehr über die eingetragenen Daten, nachdem man eine Überweisung zum überprüfen abgeschickt hat. Der Verwendungszweck wird dort gar nicht mehr angezeigt, nur die Zielbank. Die Kontonummer und der Betrag zeigt der TAN Generator.
Der TAN Generator kann natürlich auch für mehrere Personen verwendet werden mit unterschiedlichen EC-Karten / Banken.

Vorteile	Nachteile
Kleines Gerät, passt problemlos in Taschen	Man benötigt zusätzlich die EC Karte
Papierlisten werden nicht mehr benötigt	Kosten des Gerätes müssen selbst bezahlt werden
Bei Einzelüberweisungen relativ sicher, wenn man die Gefahren kennt	Für Sammelüberweisungen nicht sicher
Einfache Nutzung	Einige Banken nennen das Verfahren als sicher, (Man-in-the-Middle Attacke) obwohl es nicht zu 100% sicher ist.
Sicherer als die Papier TAN Liste	Wenn das Gerät defekt ist, kann man keine Überweisung mehr tätigen

Tiny URL zu diesen Beitrag: http://tinyurl.com/68bgslw