Big Bank CEOs Testify to House Financial Services Committee — Wednesday, April 10 2019
De meeste, zo niet alle, beveiligingsgevoelige apps gebruiken een zogeheten TLS-verbinding om een veilig gecodeerde koppeling tot stand te brengen tussen hun servers en uw telefoon. Dit zorgt ervoor dat wanneer u bijvoorbeeld uw bankzaken op uw telefoon doet, u feitelijk communiceert met uw bank en niet met een willekeurige, potentieel gevaarlijke server.
Er is slechts een klein probleempje: volgens een paper dat woensdag werd gepresenteerd op de jaarlijkse conferentie van Computer Security Applications in Orlando, hebben onderzoekers van de University of Birmingham vastgesteld dat negen populaire bank-apps niet de juiste voorzorgsmaatregelen hebben genomen bij het opzetten van hun TLS-verbinding. Deze apps hebben een gecombineerd gebruikersbestand van 10 miljoen mensen, waarvan alle inloggegevens voor het bankwezen gecompromitteerd hadden kunnen zijn als deze fout werd misbruikt.
"Dit is serieus, gebruikers vertrouwen erop dat deze banken hun operaties kunnen beveiligen", zegt Chris McMahon Stone, een promovendus computerbeveiliging aan de Universiteit van Birmingham. omgekeerde. "Dit gebrek is nu verholpen, we hebben het aan alle betrokken banken bekendgemaakt. Maar als een aanvaller op de hoogte was van dit beveiligingslek en zou zeggen dat een gebruiker een verouderde app gebruikt, dan zou het behoorlijk triviaal zijn om deze te misbruiken. De enige vereiste is dat de aanvaller op hetzelfde netwerk moet zijn als zijn slachtoffer, dus als een openbaar wifi-netwerk.
Hier is de lijst met getroffen apps, per paper.
De TLS-verbinding moet ervoor zorgen dat wanneer u uw bankaanmeldinformatie intypt, u deze alleen naar uw bank en niemand anders stuurt. Deze veiligheidsmaatregel is een proces in twee stappen.
Het begint met banken of andere entiteiten die een cryptografisch ondertekend certificaat verzenden en verifiëren dat ze echt zijn wie ze beweren te zijn. Deze handtekeningen worden uitgegeven door de certificaatautoriteiten, die vertrouwde derde partijen zijn in dit proces.
Zodra dit certificaat is verzonden - en de app zorgt ervoor dat het legitiem is - moet de hostnaam van de server worden geverifieerd. Dit is eenvoudigweg het controleren van de naam van de server die u probeert aan te sluiten om er zeker van te zijn dat u geen verbinding met iemand anders tot stand brengt.
Het is deze tweede stap waarbij deze banken de bal hebben laten vallen.
"Sommige van deze apps die we ontdekken, controleren of het certificaat correct is ondertekend, maar controleren de hostnaam niet goed", zegt Stone. "Dus ze zouden elk geldig certificaat voor elke server verwachten."
Dit betekent dat een aanvaller een certificaat kan vervalsen en een man-in-the-middle-aanval kan opzetten. Waarbij de aanvaller de verbinding tussen de bank en de gebruiker host. Dit zou hen toegang geven tot allemaal de informatie die tijdens die verbinding wordt verzonden.
Hoewel deze fout is verholpen, gebruikt u een van de hierboven genoemde apps moet zorg ervoor dat uw app is bijgewerkt om de oplossing te krijgen. Stone dringt er ook bij mensen op aan om thuis mobiel te bankieren, een eigen netwerk om alle mogelijkheden van een man-in-the-middle-aanval te vermijden.
Blijf veilig op internet, vrienden.
Demy de Zeeuw's 8 miljoen Instagram-volgers hebben zijn telefoon overgenomen
Je droom om 8 miljoen Insta-volgers te hebben, zal je ego zeker aaien, je gratis drankjes bezorgen bij de bars, je in de rij laten knippen bij de club. Je telefoon blijft echter hangen in je populariteit, als deze video van Demy de Zeeuws slechte telefoon een indicatie is. Misschien heroverweeg je je gevoel voor schaalneutraal ...
272 miljoen e-mailwachtwoorden zijn gelekt, maar er is een streepje goed nieuws
Gebruikersnamen en wachtwoorden voor 's werelds grootste e-maildiensten zijn naar boven gekomen, na een onderzoek door een veiligheidsanalist die de trove van een beruchte hacker oppikte. Maar er is een vlijmscherp stukje goed nieuws: het grootste deel van de wachtwoorden is van een Russische e-mailclient, wat betekent dat iedereen zonder een ...
Taiwanese bank heeft geen idee hoe $ 2 miljoen van ATM's is verdwenen
Twee dieven stolen $ 2 miljoen van de geldautomaten van de Taiwanese eerste handelsbank - en de autoriteiten hebben geen idee hoe ze het hebben gedaan. Geld stelen bij geldautomaten betekent meestal kaartafschuimen. Dieven zullen een apparaat installeren dat het nummer van een kaart leest, een ander apparaat installeert om de PIN van de kaart te halen, en dan de gestolen credenti ...