Ach @schmucki, ist es denn wirklich so schwer zuzugeben das man sich geirrt hat bzw. nicht gleich verstanden hat warum es wirklich ging? Nachdem Du jetzt nach mehrfacher Erklärung plötzlich Deine Argumentation komplett verändert hast, muss ich einfach annehmen das Du wirklich jetzt erst verstanden hast wie der theoretische Angriff ablaufen müsste. Ansonsten hättest Du diese Argumente bereits vorgebracht, statt Argumente die mit dem Szenario nur bedingt zu tun haben. Um ehrlich zu sein finde ich das ärgerlich und enttäuschend. 😞
Ist es unwahrscheinlich? Ja klar ist es das, sehr sogar. Darum schrieb ich ja auch
"halte ich zwar für wenig wahrscheinlich, aber Du hast recht."
Deine Ursprungsargumentation war aber dass das Szenario nicht funktionieren kann, weil der Ablaufcode das verhindern würde, Zitat:
"Das ist so nicht korrekt, da auch die Uhrzeit eine Rolle spielt. Ca. zwei Minuten später funktioniert die TAN schon nicht mehr und es muss eine neue generiert werde."
Sind wir uns nun einig das er das eben nicht verhindert und Du Dich geirrt hast?
Hier geht auch nicht darum das ChipTAN verfahren "zu loben". Es ging darum das die fehlende Erfassung des Betrages im TAN-Generator potenziell ein gewisses Angriffsszenario ermöglicht. So unwahrscheinlich das auch sein mag.
In meinem Fall würde ich sogar so weit gehen es für nicht relevant zu sehen. Ich führe kein Girokonto bei der Consorsbank, entsprechend sind Überweisungen sowieso nur auf meine Referenzkonten möglich.
Trotzdem finde ich das Szenario von @Richard5 spannend, weil so weit hatte ich bisher noch nicht gedacht. Und das Wissen über pontentielle Angriffsszenarien hilft, Schwachstellen als diese überhaupt zu erkennen.
Und auf folgende Aussage muss ich nun auch noch eingehen, Zitat:
"Es müssten soviele Sicherheitsmechanismen ausgehebelt werden und Trojaner usw. auf dem Rechner sein, das ist unmöglich. Zumal zumindestens ein einfaches, kostenfreies Schutzprogramm sollte jeder heutzutage haben."
Generell halte ich im Bereich IT-Sicherheit kaum noch ein Szenario für unmöglich. Ich war früher immer der Meinung das nur ausführbarer Code in der Lage ist einen Rechner zu attackieren. Dann habe ich mal vor Jahren einen Bericht aus dem Bereich der IT-Forensik über eine Bilddatei gelesen, die einen Fehler in der Speicherverwaltung verursacht, der dann genutzt wurde Code auszuführen, der weiteren Schadecode aus dem Internet nachgeladen hat um damit den Rechner zu infizieren. Ich habe nicht mal im Ansatz verstanden wie das technisch umgesetzt wurde. Doch es war also durch öffnen einer JPG-Datei möglich einen Rechner anzugreifen und einen Trojaner zu installieren. Das hatte ich bis dahin für unmöglich gehalten. Und doch war das ein Beispiel aus der freien Wildbahn.
Und wenn ich bedenke wie professionell die Fishing-Mails in der jüngeren Vergangenheit geworden sind. Oder die seit kurzem statt findenden spezifischen Fisching-Angriffe auf Personalabteilungen. Die Evolution in diesem Bereich ist erschüttern. Hier von "unmöglich" zu sprechen, halte ich für ganz schön kurzsichtig.
Und es gibt gerüchteweise tatsächlich erfolgte Angriffe in USA, bei denen die Angreifer es geschafft haben eine logischen Verbindung zwischen HeimPC und SmartPhone herzustellen und das entsprechend auszunutzen. Ich hatte das eigentlich für schwierig bis unmöglich gehalten und eher gedacht das SmartPhone selber ist die Schwachstelle.
Zuletzt, der Lolli war natürlich zu ein Beispiel zur Verdeutlichung. Es wäre z.B. denkbar das man per Fishing gezielt Kunden einer angreifbaren Bank sucht, die gleichzeitig Kunden in einem großen Webshop sind. Man man den Trojaner mal auf dem Rechner, kann man dem Kunden den Webshop und die Banking-Anwendung vorgaukeln und im Vordergrund "den eigenen Film" ablaufen lassen obwohl im Hintergrund etwas anderes passiert.
Hört man wie groß diese professionellen Botnetze sind muss man befürchten das ein nicht unerheblicher Teil der ans Internet angeschlossenen Rechner bereits erfolgreich angegriffen wurden. Und fragt man wirkliche IT-Security Experten zum Thema Virenscanner, hört man all zu oft, das Virenscanner kaum mehr sind wie Schlangenöl.
Ich bleibe dabei alles sehr unwahrscheinlich und im Moment für die Praxis vermutlich kaum relevant. So lange es einfachere Lösungen gibt die Leute auszunehmen, werden diesen genutzt werden. Aber Falsch ist der Gedanke von @Richard5 deshalb nicht.
Gruß
Myrddin
Funktioniert dieses Verfahren auch ohne Flash-Grafik? Klar kann man auch die Daten manuell eingeben, aber das ist ja nicht der Sinn dieses TAN-Generators...
