"Beveiliging ING mobiel bankieren best goed"
De authenticatie van de onlangs gelanceerde ING mobiele bankieren app zit best goed in elkaar. Dat concludeert Richard van den Berg in deze analyse. Na installatie en registratie van de app, kunnen klanten met een zelfgekozen 5-cijferige mobiele pincode het programma gebruiken. Er is voor overboeken geen TAN-code nodig. Per dag kan er totaal voor 1000 euro naar een andere rekening worden overgeschreven. Naar de eigen rekening kan maximaal 5.000 euro worden overgemaakt.
"Het authenticatie protocol ziet er goed doordacht uit. Er wordt niet vertrouwd op SSL of TLS. In plaats daarvan gebruikt ING een extra encryptielaag waarvoor het wachtwoord wordt afgesproken via het SRP protocol. Ook genereert elk mobiel device een eigen profileId en een public/private sleutelpaar", merkt Van den Berg op.
Registratieproces
Toch had hij liever gezien dat de app de uitgever van het SSL certificaat van services.ing.nl had gecontroleerd. Dan zou het voor een aanvaller veel moeilijker zijn geweest om het protocol te achterhalen. "De grootste kwetsbaarheid zit hem in het registratieproces. Als er tijdens dit proces iemand tussen het mobiele device en de services.ing.nl server in zit (man-in-the-middle), dan is het theoretisch mogelijk om het registratieproces te kapen, en namens de gebruiker de registratie te voltooien."
Erg eenvoudig zal dit niet zijn, want een aanvaller moet dan wel het hele registratieprotocol inclusief encryptie reverse engineeren en live na weten te bootsen. Ook is een vals SSL certificaat voor services.ing.nl nodig. "Deze factoren maken het niet gemakkelijk of zelfs waarschijnlijk dat iemand een man-in-the-middle aanval op een gemiddelde ING klant weet uit te voeren tijdens het registratieproces", besluit Van den Berg.
WA
Er staan wel meer dingen in de Voorwaarden waarop ING zich kunnen beroepen om je voor de schade op te laten draaien. Zoals bijvoorbeeld het maximaal om de 14 dagen controleren van je rekeningoverzicht.
Laten we niet vergeten dat bij Amerikaanse Apps je online banking UserID/Password genoeg is om in te loggen op je mobile bank app en transacties te doen. Maar als zeikerige Nederlanders verliezen we dat maar al te graag uit het oog om nieuwe, potentiele gevaarlijke, diensten af te kraken.
Als (grote als) de app goed is gemaakt wordt het 5 cijferige wachtwoord niet op het device opgeslagen. Als de server maar een aantal pogingen toestaat voordat het profileId wordt geblokeerd moet een man-in-the-machine zowel:
1) bij de bestanden van de ING app kunnen (bijv. door root op het device te zijn) voor het profileId en private key
2) het 5 cijferige wachtwoord achterhalen (bijv. door de app te vervangen door een phishing app die het wachtwoord naar een site upload)
Als het echt goed in elkaar steekt zit er een afhankelijkheid tussen het profileId/private key en een uniek ID van het device (IMEI oid). Het helpt dan niet om de app bestanden van het device te kopieren, maar dan moet de aanvaller de app ook nog echt reverse engineeren om misbruik te kunnen maken. Of de aanval compleet via een phishing app op het device laten lopen bijvoorbeeld.
Laat de banken verschillende levels aanbieden:
1 (brandhout) open; geen beveiliging op account: dus iedereen kan direct je rekening zonder wachtwoord leegplukken
2) (brons): alleen User/ID wachtwoord
3 (zilver): met TAN-code/SMS
4 (Goud): met token-device (RABO SNS, optioneel ING...)
5 (Platina): met speciale banking device vergelijkbaar met pinapparaten bijvoorbeeld
6) helemaal dicht; kluis 50 m onder de grond.... waar niemand in kan met tijdslot van ...jaar
Er staan wel meer dingen in de Voorwaarden waarop ING zich kunnen beroepen om je voor de schade op te laten draaien. Zoals bijvoorbeeld het maximaal om de 14 dagen controleren van je rekeningoverzicht.
Laten we niet vergeten dat bij Amerikaanse Apps je online banking UserID/Password genoeg is om in te loggen op je mobile bank app en transacties te doen. Maar als zeikerige Nederlanders verliezen we dat maar al te graag uit het oog om nieuwe, potentiele gevaarlijke, diensten af te kraken.
1) de controle van je device kunnen overnemen (middels virussen en vulnerabilities)
2) over de schouders kunnen meekijken door keyloggers (middels trojans, drive-by-downloads geïnstalleerd)
3) op andere manieren ongemerkt jouw identiteit op die bank kunnen gebruiken.
2-factor authenticatie middels PIN-code (iets weten = logische sleutel) en token-device (iets fysiek hebben= fysieke sleutel) heeft voor mij gewoon de voorkeur en dat wil ik vooralsnog zo houden.
Als een bank mij op zou leggen om dit standpunt te verlaten zou ik zeker naar een andere bank gaan. Ook wil ik hier niet default toestemming voor geven. gelukkig moet je het zelf expliciet aanvragen om zonder token, dus met ING app, te mogen werken en zijn de gevolgen dan voor jou en niemand anders
Lekker veilig dan deze app. Waarom wordt dan niet gewoon ook dat bestand versleuteld in bijv sha 512 waarden?
Lekker veilig dan deze app. Waarom wordt dan niet gewoon ook dat bestand versleuteld in bijv sha 512 waarden?
De vraag is: met welke sleutel encrypt je dit bestand? Als je dat doet met die 5-cijferige PIN code maak je het juist onveiliger. Je kan dan namelijk via brute force van het config bestand de PIN achterhalen. Ze hadden natuurlijk een hele lange sleutel in de app kunnen bakken waarmee het config bestand wordt versleuteld. Op zich is het niet super moeilijk om die dan te achterhalen, maar het is een drempel(tje) dat je over moet. Als je het goed wilt doen heb je eigenlijk 2 codes nodig: 1 voor het opstarten van de app (en het lezen van de config) en 1 voor het maken van de verbinding. Dat is gebruikersovervriendelijker dan 1 code. Bovendien kan je nog steeds brute force uitvoeren op die 1e code, en omdat die code door gebruikers op een mobiel device moet worden ingevoerd zal die code niet heel lang of complex zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
