Hacker vindt lek in Mobiel Bankieren app ING
De Nederlandse beveiligingsonderzoeker Floor Terra heeft een beveiligingslek in de mobiel bankieren app van de ING ontdekt. Na te zijn ingelicht nam de bank meteen maatregelen en verhielp het probleem dat in Android-versie van de software aanwezig was. Sinds de app in november voor iPhone en Android-toestellen verscheen, is die door 800.000 klanten gedownload. Gemiddeld wordt de app ongeveer 300.000 keer per dag gebruikt.
Volgens Terra zijn de maatregelen van de ING onvoldoende, zo laat hij vanavond in EenVandaag weten. De onderzoeker stelt in de uitzending dat mobiel internetbankieren onveilig is. Terra zal ook nog een artikel over zijn bevindingen publiceren, maar dat zal volgens hem over een aantal dagen online verschijnen.
Update 14:50
Terra ontdekte dat de communicatie tussen de telefoon en de bank door een fout in de app slecht beveiligd was. Het SSL-certificaat werd niet gecontroleerd, waardoor een man-in-the-middle-aanval mogelijk was. "Het is een blamage dat deze fout gemaakt is. Dit is een hele elementaire beveiliging waar niet aan gedacht is. Hierom wordt de ING in security-kringen hard uitgelachen", aldus Bart Jacobs, hoogleraar Computerbeveiliging aan de Radboud Universiteit, tegenover EenVandaag.
Zowel Terra als Jacobs vinden dat ING het probleem zelf hadden moeten ontdekken. ING heeft het lek inmiddels gedicht en verplicht gebruikers van de ING-app een nieuwe versie te installeren. Sinds 20 maart is er ook een update voor iPhone gebruikers beschikbaar. ING stelt dat er geen fraude via de kwetsbaarheid is gepleegd.
Update 17:25
Het probleem met de SSL-certificaten werd begin november vorig jaar al gemeld door beveiligingsonderzoeker Richard van den Berg. "Het authenticatie protocol ziet er goed doordacht uit. Er wordt niet vertrouwd op SSL of TLS. In plaats daarvan gebruikt ING een extra encryptielaag waarvoor het wachtwoord wordt afgesproken via het SRP protocol. Ook genereert elk mobiel device een eigen profileId en een public/private sleutelpaar", merkte Van den Berg toen op.
Door die extra encryptielaag zou een aanvaller nog steeds geen succesvolle encryptielaag kunnen uitvoeren. Terra zou echter ook andere problemen hebben aangetroffen.
Vraag me af of Floor Terra wat andere manieren heeft dus ben benieuwd.
hoe onderzoek je zo iets? met een android emulator ofzo?
Na mijn onderzoek kwam ook nog deze persoon met ze eigen analise over hoe de ING app werkt.
Bron: http://www.mountknowledge.nl/2011/11/09/ing-mobiel-bankieren-authenticatie/
Verder is er bekend dat er een fout is met de SSL.
Quote: "Door een fout in de app bleek deze het SSL-certificaat van de Bank niet te controleren. Daardoor doet de app niet alleen zaken met de ING, maar mogelijk ook met criminelen. Een internetbrowser toont precies zo'n controle via een groen gesloten slotje in de adresbalk. In hun "drie keer kloppen" campagne vragen de banken hun klanten dat altijd te controleren. De Mobiel Bankieren app van de ING
deed dat zelf echter niet."
Bron: http://www.eenvandaag.nl/binnenland/40032/mobiel_bankieren_ing_maandenlang_onveilig
Het zal toe leiden dat er een man-in-the-middle toegepast kan worden doordat SSL-certificaat van de Bank niet controleerd worden. Deze man-in-the-middle is erg moeilijk toe te passen. Dit komt doordat de ING app twee beveiligingen heeft. SSL + TLS en SRP. Doordat SRP erin zit is het alsnog beveiligd wanneer je Internet bankiert. Je bent alleen gevoelig wanneer je ING app net installeerd en je app registreerd.
Dat is vanzelfsprekend: op een gecompromiteerd systeem kan alles... dat is nog geen lek in de applicatie.
Ik heb me er niet over ingelezen. Maar het lijkt mij dat SRP alleen voorkomt dat het wachtwoord kan worden bemachtigd. Dat is onvoldoende om misbruik te voorkomen.
Bron:http://tweakers.net/nieuws/80816/mobielbankieren-app-ing-controleerde-ssl-certificaat-bank-niet.html
Iedereen met maar een greintje verstand blijft ver, heel ver van internet bankieren op een smartphone maar ja; 'functionaliteit always wins over security'. En trots dat die banken zijn over die vele honderdduizenden nitwits die het wel doen... terwijl 1 op de 5 android apps achterdeuren en privacy problemen heeft. Zo stuurt whatsapp alle telefoonnummers uit je adresboek naar de server (zie c't maart 2012).
Reactie ING: Maar uw wachtwoord is veilig!
Wel moet je dan voordat de App in productie gaat deze functionaliteit weer deactiveren. Er zijn al meerdere voorbeelden van deze developer fout geweest alleen zijn ze niet allemaal hier of op TV besproken.
Ik neem aan dat dit sarcasme was want apps zijn helemaal niet zo geisoleerd als je zegt. Waarom anders kunnen apps je hele telefoonboek leegtrekken op zoek naar vrienden of mensen die dezelfde app gebruiken. Het is dus maar net wat Apple toe heeft gelaten en of ze die limitatie goed hebben gedaan.
Na dat eerste kwetsbare "contact" kunnen beide partijen (klant met smartphone en ING) elkaar wederzijds authenticeren en, als SRP correct is geïmplementeerd, symmetrische sleutels uitwisselen die voor de uiteindelijke versleuteling worden gebruikt. So far, so good (nou ja, redelijk).
De vraag die bij me opkomt is of een MITM aanvaller ING er, bij een eerder voor internetbankieren gebruikte smartphone, van kan overtuigen dat het om een nieuwe (of gewiste) smartphone gaat en hoe de app daarop reageert (wat moet je trouwens doen als je je smartphone verkoopt?).
Ook sluit ik niet uit dat er een reddingsmechanisme bestaat voor het geval ING de gegevens van een gebruiker kwijtraakt (of de aanvaller ontdekt dat je, namens een gebruiker, kan doorgeven dat de telefoon gestolen is of defect is geraakt). Denkbaar is dat de MITM aanvaller de app weet te reverse engineeren en ontdekt dat als "ING" een speciale code naar de app stuurt, deze het initiële authenticatieproces opnieuw moet uitvoeren. Als zoiets mogelijk is (of was) dan is het niet checken van het certificaat pas echt een grote blunder.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
