"Beveiliging ING mobiel bankieren best goed"
De authenticatie van de onlangs gelanceerde ING mobiele bankieren app zit best goed in elkaar. Dat concludeert Richard van den Berg in deze analyse. Na installatie en registratie van de app, kunnen klanten met een zelfgekozen 5-cijferige mobiele pincode het programma gebruiken. Er is voor overboeken geen TAN-code nodig. Per dag kan er totaal voor 1000 euro naar een andere rekening worden overgeschreven. Naar de eigen rekening kan maximaal 5.000 euro worden overgemaakt.
"Het authenticatie protocol ziet er goed doordacht uit. Er wordt niet vertrouwd op SSL of TLS. In plaats daarvan gebruikt ING een extra encryptielaag waarvoor het wachtwoord wordt afgesproken via het SRP protocol. Ook genereert elk mobiel device een eigen profileId en een public/private sleutelpaar", merkt Van den Berg op.
Registratieproces
Toch had hij liever gezien dat de app de uitgever van het SSL certificaat van services.ing.nl had gecontroleerd. Dan zou het voor een aanvaller veel moeilijker zijn geweest om het protocol te achterhalen. "De grootste kwetsbaarheid zit hem in het registratieproces. Als er tijdens dit proces iemand tussen het mobiele device en de services.ing.nl server in zit (man-in-the-middle), dan is het theoretisch mogelijk om het registratieproces te kapen, en namens de gebruiker de registratie te voltooien."
Erg eenvoudig zal dit niet zijn, want een aanvaller moet dan wel het hele registratieprotocol inclusief encryptie reverse engineeren en live na weten te bootsen. Ook is een vals SSL certificaat voor services.ing.nl nodig. "Deze factoren maken het niet gemakkelijk of zelfs waarschijnlijk dat iemand een man-in-the-middle aanval op een gemiddelde ING klant weet uit te voeren tijdens het registratieproces", besluit Van den Berg.
WA
Er staan wel meer dingen in de Voorwaarden waarop ING zich kunnen beroepen om je voor de schade op te laten draaien. Zoals bijvoorbeeld het maximaal om de 14 dagen controleren van je rekeningoverzicht.
Laten we niet vergeten dat bij Amerikaanse Apps je online banking UserID/Password genoeg is om in te loggen op je mobile bank app en transacties te doen. Maar als zeikerige Nederlanders verliezen we dat maar al te graag uit het oog om nieuwe, potentiele gevaarlijke, diensten af te kraken.
Als (grote als) de app goed is gemaakt wordt het 5 cijferige wachtwoord niet op het device opgeslagen. Als de server maar een aantal pogingen toestaat voordat het profileId wordt geblokeerd moet een man-in-the-machine zowel:
1) bij de bestanden van de ING app kunnen (bijv. door root op het device te zijn) voor het profileId en private key
2) het 5 cijferige wachtwoord achterhalen (bijv. door de app te vervangen door een phishing app die het wachtwoord naar een site upload)
Als het echt goed in elkaar steekt zit er een afhankelijkheid tussen het profileId/private key en een uniek ID van het device (IMEI oid). Het helpt dan niet om de app bestanden van het device te kopieren, maar dan moet de aanvaller de app ook nog echt reverse engineeren om misbruik te kunnen maken. Of de aanval compleet via een phishing app op het device laten lopen bijvoorbeeld.
Laat de banken verschillende levels aanbieden:
1 (brandhout) open; geen beveiliging op account: dus iedereen kan direct je rekening zonder wachtwoord leegplukken
2) (brons): alleen User/ID wachtwoord
3 (zilver): met TAN-code/SMS
4 (Goud): met token-device (RABO SNS, optioneel ING...)
5 (Platina): met speciale banking device vergelijkbaar met pinapparaten bijvoorbeeld
6) helemaal dicht; kluis 50 m onder de grond.... waar niemand in kan met tijdslot van ...jaar
Er staan wel meer dingen in de Voorwaarden waarop ING zich kunnen beroepen om je voor de schade op te laten draaien. Zoals bijvoorbeeld het maximaal om de 14 dagen controleren van je rekeningoverzicht.
Laten we niet vergeten dat bij Amerikaanse Apps je online banking UserID/Password genoeg is om in te loggen op je mobile bank app en transacties te doen. Maar als zeikerige Nederlanders verliezen we dat maar al te graag uit het oog om nieuwe, potentiele gevaarlijke, diensten af te kraken.
1) de controle van je device kunnen overnemen (middels virussen en vulnerabilities)
2) over de schouders kunnen meekijken door keyloggers (middels trojans, drive-by-downloads geïnstalleerd)
3) op andere manieren ongemerkt jouw identiteit op die bank kunnen gebruiken.
2-factor authenticatie middels PIN-code (iets weten = logische sleutel) en token-device (iets fysiek hebben= fysieke sleutel) heeft voor mij gewoon de voorkeur en dat wil ik vooralsnog zo houden.
Als een bank mij op zou leggen om dit standpunt te verlaten zou ik zeker naar een andere bank gaan. Ook wil ik hier niet default toestemming voor geven. gelukkig moet je het zelf expliciet aanvragen om zonder token, dus met ING app, te mogen werken en zijn de gevolgen dan voor jou en niemand anders
Lekker veilig dan deze app. Waarom wordt dan niet gewoon ook dat bestand versleuteld in bijv sha 512 waarden?
Lekker veilig dan deze app. Waarom wordt dan niet gewoon ook dat bestand versleuteld in bijv sha 512 waarden?
De vraag is: met welke sleutel encrypt je dit bestand? Als je dat doet met die 5-cijferige PIN code maak je het juist onveiliger. Je kan dan namelijk via brute force van het config bestand de PIN achterhalen. Ze hadden natuurlijk een hele lange sleutel in de app kunnen bakken waarmee het config bestand wordt versleuteld. Op zich is het niet super moeilijk om die dan te achterhalen, maar het is een drempel(tje) dat je over moet. Als je het goed wilt doen heb je eigenlijk 2 codes nodig: 1 voor het opstarten van de app (en het lezen van de config) en 1 voor het maken van de verbinding. Dat is gebruikersovervriendelijker dan 1 code. Bovendien kan je nog steeds brute force uitvoeren op die 1e code, en omdat die code door gebruikers op een mobiel device moet worden ingevoerd zal die code niet heel lang of complex zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.