Ich muss mich korrigieren.
Luke_Filewalker schrieb am 27.01.2011 um 13:34 in A23:
Und damit unterscheidet den Generator eig. nichts von der TAN-Liste was die Sicherheit angeht. D.h. das Ganze ist mit Generator auch nur solange so sicher, solange man auf den Generator genauso gut aufpasst wie auf die TAN Liste.
Das stimmt so wohl nicht. Da ich "noch" kein chipTAN nutze - ich werde erst dann auf chipTAN umsteigen wenn die Post sich endlich bequemt chipTAN auch über HBCI anzubieten - habe ich logischerweise noch Lücken. Es ist wohl so, dass der Generator, soweit ich das verstanden habe, aus Sicherheitstechnischer Sicht ziemlich unwichtig und jederzeit austauschbar ist. Tatsächlich ist die Bankkarte mit dem Chip der Sicherheitsfaktor in dieser Formel. So wie es aussieht, bilden bei der Generierung sowohl der Generator als auch die Bankkarte ein Einheit. Aufpassen muss man also primär auf die Karte - also wie gehabt.
Dadurch gewinnt für mich der chipTAN einen weiteren Punkt bei der Sicherheit und wäre damit auch mTAN überlegen welches ja theoretisch laut iTAN-Nutzer (A21) angreifbar ist durch sniffen der SMS - vorausgesetzt natürlich es wären auch die Logindaten ausgespäht worden. Ausserdem muss bei chipTAN wohl die Bankkarte einmalig über die Webseite der Bank fürs chipTAN Verfahren autorisiert werden, was ein weiterer Sicherheitsfaktor darstellt.
Was muss also passieren, damit das jeweilige System erfolgreich angegriffen werden kann? Ich erstelle mal eine kleine Übersicht nach meinem Wissen:
TAN
1. Zugangsdaten kompromittiert.
2. Eine beliebige TAN kompromittiert.
Herrlicher Phishing-Kandidat und heutzutage wohl das unsicherste Verfahren. Aber völlig uninteressant, da das klassische TAN wohl nirgends mehr verwendet wird.
iTAN
1. Zugangsdaten kompromittiert.
2. Es müsste die komplette TAN Liste kompromittiert sein, wenn man mal den letzten Absatz von A26 ausser Acht lässt.
Schon schwieriger, aber immer noch ein interessanter Kandidat für Phishing-Attacken.
mTAN
1. Zugangsdaten kompromittiert.
2a. Die mTAN müsste abgefangen und sofort verwendet werden (Faktor Timing)
ODER
2b. das Handy des Kunden müsste vorliegen.
Deutlich schwieriger und nicht tauglich für Massenangriffe wie TAN und iTAN da der Dieb hier äusserst gezielt eine ganz bestimmte Person angreifen müsste und zudem auch alles eine Frage des Timings wäre. Phishing fällt hier eig. komplett weg und Man-in-the-Middle dürfte durch die Kontrolldaten extrem schwer sein.
chipTAN
1. Zugangsdaten kompromittiert.
2. Die für chipTAN autoriserte Bankkarte des Kunden müsste vorliegen.
(3.) Möglicherweise müsste der Dieb auch den TAN Generator selbst in die Finger kriegen. Aber nur wenn der Generator auch in die einmalige Autorisierungsprozedur mit eingebunden ist, was ich zum jetzigen Zeitpunkt aber nicht weiss.
Sehe ich als ähnlich sicher wie mTAN mit dem Unterschied das hier gar nichts abgehört werden kann bzw. ein abhören der Daten ziemlich unkritisch wäre. Gerade durch den abhörsicheren TAN-Generator der komplett autark arbeitet - im Gegensatz zu mTAN - hat chipTAN wohl das interessanteste Sicherheitsmerkmal. Phishing fällt hier genauso weg wie bei mTAN. Zudem stehen auch hier Kontrolldaten zur Verfügung, die vor dem Abschluss des Vorgangs nochmal kontrolliert werden können was wiederum Man-in-the-middle "theoretisch" unmöglich machen dürfte.
Wenn man sich das mal so betrachtet, ist eig. keines der Systeme sicher, sobald es dem Dieb gelingt eines der Sicherheitsmedien wie TAN-Liste, mTAN (Handy) oder Chipkarte physisch in die Finger zu bekommen und zusätzlich die Zugangsdaten. Von daher gesehen wären eigentlich alle Systeme gleich gefährdet bzw. gleich sicher. Denn hier gilt dann das gleich wie auch für den Autoschlüssel, den Hausschlüssel usw. Anders sieht es dann aber mit dem Phishingpotential aus und was mögliche Massenangriffe angeht. Da haben mTAN und chipTAN ganz klar die Nase vorne was Sicherheit angeht. Wenn man dann noch realisiert, dass TAN, iTAN und theoretisch auch mTAN angegriffen werden könnte, ohne physischen Zugang zu den Sicherheitsmedien-Medien des Kunden zu haben, z.B. durch Phishing, Man-in-the-Middle Angriffe, gefakte Webseiten usw., chipTAN aber tatsächlich das einzige Sicherheitsmedium Medium wäre, bei dem ein physischer Diebstahl nötig wäre (Bankkarte) und bei dem ein abhören/mitlesen der Daten relativ unkritisch wäre, dann gewinnt eigentlich "laut Papier" das chipTAN Verfahren.