Hallo,

habe hier über die Man-in-the-browser-Attacke gelesen und wollte mal fragen:

1. ob diese sehr verbreitet ist,
2. wie man sich dagegen schützt,
3. ob beim online-Banking Transaktionen irgendwohin versendet werden können, wenn man das Chip-Tan-Verfahren nutzt.

Kennt sich da jemand aus? ;-)

1. relativ, zumindest bei Malware die es auf Finanzen abgesehen hatt.

2. mit spezieller Bankingsoftware wie Starmomey
3. chiptan ist schon ziemlich sicher, sicherer wirds aber mit der von mir angesprochenen Software.

Zitat von markusg

3. chiptan ist schon ziemlich sicher, sicherer wirds aber mit der von mir angesprochenen Software.

Erklär mal.
So gut wie jede Bankingsoftware unterstützt heute wohl Chipt-TAN.

Hi
hatte nicht bestritten, dass jede Banking software das kann, Starmoney sollte nur als Beispiel gelten.
ich halte Banking Software trotzdem für besser geeignet, da hier ja speziell nach man in the Browser gefragt wurde, und das bei Banking software nicht funktionieren dürfte.

Ich würde niemals nichts ausschließen, aber bei einer reinen Online-Bankingsoftware wird halt eine Kaperung des Browsers nicht einmal zu einer Irritation führen, da man ja nicht mit dem Brwoser arbeitet.
Trotzdem dürfte man auch beim Online-Banking im Browser mit "ChipTAN-Optik" (Flickering) noch sicher sein, wenn (! - dies ist der Knackpunkt schlechthin) der Nutzer jeweils alle Angaben im ChipTan-Gerät auch gewissenhaft überprüft.

Wenn man das normal ChipTAN (Smart TAN Plus bei der VoBa) nutzt, dürfte doch eigentlich nichts passieren dürfen.

Der Browser gibt einen Code aus, diesen gibt man in das TAN-Gerät ein und zusätzlich noch Kontonummer des Emfängers etc. Dadurch wird die TAN ja ausschließlich für diese Kontonummer verwendbar. Von daher würde doch eine Manipulation des vom Browser ausgegebenen Codes nichts bringen.

doch, du könntest im browser fake Meldungen eingeblendet bekommen (testüberweisungen) etc.
natürlich sollte man sowieso von keinem infiziertem PC onlinebanking machen, aber wenn du spezielle Software nutzt, kann das schon mal nicht mehr passieren

Zitat von markusg

doch, du könntest im browser fake Meldungen eingeblendet bekommen (testüberweisungen) etc.
natürlich sollte man sowieso von keinem infiziertem PC onlinebanking machen, aber wenn du spezielle Software nutzt, kann das schon mal nicht mehr passieren

Warum kann das über Online Banking Software nicht passieren, kannst du das mal bitte etwas genauer erklären?

Zeigt ein Online-Bankingprogramm irgendwelche Webseiten an?
Irgendeinen "externen Inhalt"?

Zitat von Shadow

Zeigt ein Online-Bankingprogramm irgendwelche Webseiten an?
Irgendeinen "externen Inhalt"?

Natürlich nicht

Ich kann mir halt nicht so richtig vorstellen das es sicherer sein soll als der Browser, kann da aber auch falsch liegen.

http://www.onlinebanking-forum.de/ph...opic.php?t=313

Ich denke mal auch da kommt das auf das Verfahren. Einige Banken werden per Screen Scraping bedient. Wenn ich das so richtig verstehe, wird die Webseite angezeigt (vermutlich im IE) und dann an vorgegebenen Positionen ausgelesen.

Scheint nebenbei bemerkt ein krankes Verfahren zu sein, eine Änderung der Bank und nichts geht mehr.

Zitat von stefanbecker

www.onlinebanking-forum.de :: Thema anzeigen - Screenscraping verbessert

...
Wenn ich das so richtig verstehe, wird die Webseite angezeigt

Wenn ich das richtig verstehe ist der Verlinkte Thread fast 10 Jahre alt.

Kannst gerne was neueres haben:

Die StarMoney Community • Thema anzeigen - Fehlermeldung bei Umsatzabfrage PayPal (Screenscraping)

Ändert nichts am Thema, das abhängig vom Verfahren anscheinend bei Starmoney per Screenscraping eben doch externe Daten angezeigt werden.

Zitat von Dragon79

Ich kann mir halt nicht so richtig vorstellen das es sicherer sein soll als der Browser, kann da aber auch falsch liegen.

Wie gesagt, ChipTAN-optik (Flickering) sollte sicher sein, wenn der Nutzer sein Hirn einschaltet, also keine Testüberweisungen durchführt auf "irgendwelche Konten" und die im ChipTAN-Generator angezeigten Daten gewissenhaft mit den Daten auf den Originalrechnungen o.ä. abgleicht.

Tendenziell ist ein Browserfensterinhalt aber recht leicht zu fälschen, es muss nichts am Programm geändert werden, je nach Methode. Durch Ausnutzung von "social engineering" kann ein Nutzer z.B. auf eine gefälschte Seite gelockt werden, die sich aber durchaus der echten Inhalte der Originalseite bedient, auf der ein Nutzer zu angeblichen Testüberweisungen aufgefordert wird.
Die über ein reines, beim Nutzer auf dessen PC installiertem Onlinebankingprogramm zu erreichen würde extrem viel höheren Aufwand bedeuten oder extrem viel höhere "Unbedarftheit" beim Opfer.

Ich hab mal eine Frage zum Thema: Kommt es bei der Gefahr duch Man-in-the-browser wesentlich auch auf das Betriebssystem an oder ist das Risiko in erster Linie nur abhängig vom Browser? Ich meine jetzt weniger, was theoretisch möglich ist, sondern was praktisch beobachtet wurde. Ist es also zur Zeit ein Browser auf Windows Problem oder ein Browser-Problem unabhängig vom Betriebssystem?
Gruß harlud