Die Sicherheit des PhotoTAN-Verfahrens

Du meinst, sowas wie CumEx etwa? Wie nimmt sich wohl der Schaden von Banküberfällen dagegen aus. Hmmm. Also ich meiner, der 32 im Jahr 2023 polizeilich erfaßten Raubüberfälle auf Geldinstitute. Wegen mir nehmen wir auch noch die 298 vollendeten Diebstähle durch Sprengung eines Geldautomaten im Jahr

Da könnten wir auch - ganz im Stil von SmartTANSecurePlusUltraGo - die (=alle) Geldautomaten in den Schalterbereich verlegen. Gibts halt nur noch Kohle zu den Öffnungszeiten. Oder einfach ganz weg mit den Geldautomaten. Wer braucht im Jahr

Volker

Zumindest in Österreich war auch ein Problem, dass irgendjemand ein Patent auf das TAN per SMS Verfahren gehabt hat, und es scheinbar irgendwie hat durchsetzen können (mit Lizenzgebühren pro Kunde). Da war für die Banken die Motivation groß, auf was anderes zu wechseln (z.B. 2. Faktor als Handyapp).

/ralph

Sehr wenige Einzelfälle reichen. Es gibt bessere Verfahren, also könnte man sie verwenden.

Ich habe mir inzwischen ein eigenes Telefon für die verschiedenen Auth-Apps zugelegt, nur meine tolle Krankenversicherung weigert sich das zu benutzen und schickt weiterhin fließig Authentifikations-SMS, die natürlich auf meinem "normalen" Telefon ankommen, das ich im Zweifel im Gegensatz zum "Auth-Telefon" am Schreibtisch nicht griffbereit habe. Lästig.

Es gibt ganze Beratungsfirmen die im Wesentlichen davon leben, solchen betrugsfällen hinterherzuforschen um sie aufzuklären. So selten wie Du das hier darzustellen versuchst kann das gar nicht sein.

Fas stimmt, dennoch passieren elektronische Angriffe signifikant häufiger. Vielleicht, weil der Angreifer dafür nicht "aus dem Haus" muss.

Grüße Marc

Meine Bank nimmt die nicht an. Nachdem ein solcher Fall bei mir tatsächlich einmal vorgekommen ist, habe ich das sperren lassen. Ich hätte die Unterschrift damals selbst ohne Kontext für echt erklärt.

Rolf Bombach, 2024-04-25 13:29:

Siehe hier:

Mannomann. Das wird ja immer abstruser. Ich glaub, ich setze mal lieber meinen Aluhut auf. Patente auf Übertragung von Informationen per SMS. Das ist ja mal die totale Schöpfungshöhe. Ich lasse mir "Rückruf-TAN" patentieren: Du machst Deinen Bankingkrams, wirst auf dem Telefon zurückgerufen und eine synthethische Caroline Reiber liest Dir die Ziffern der TAN vor. Funktioniert nicht nur mit Smartphones und Upcycling-Festnetz. Außerdem gut für Sehbehinderte. Und den Anruf kann niemand abfangen, da ich gehört habe, GSM sei verschlüsselt.

Volker

Du meinst HANS [1] und 6-Punktgurt im Auto statt dieser antiquierten Systeme, die jährlich hunderte Menschenleben kosten? Find ich gut.

Veröffentlichen diese Beratungsfirmen ihre Erkenntnisse auch und kennst Du ein paar Links? Also nicht nur FoaF-Geschichten, BSI-Compliancetheater und Cyber- Cyber-Panikmache?

Volker

Lies mal oben den Artikel. Da wird explizit der Angriff über SS7 via ausländische Telco (Rufumleitung und Roaming-Umbuchung) erwähnt.

Man liest sich, Alex.

Teilweise mit unbewusster Mithilfe (via phishing Mails, um zumindest den account zu erfahren) aber auch oft ohne aktive Mithilfe. Die Telcos sind mittlerweile nur noch finanzielle Hüllkonstrukte, die eigentliche Arbeit (Netzausbau und -betrieb, Callcenter, Billing) werden an billige Drittanbieter ausgelagert. Oft war die Kenntnis von Mobilfunknummer und Namen ausreichend, um eine Multi-SIM auf die gleiche Nummer zu bekommen.

Das ist nach wie vor eine der Standardmethoden, um YouTube-Kanäle zu übernehmen: - Telefonnummer des Kanalinhabers rausfinden (meist nicht so schwer[0]) - SIM clonen[1] - 2FA SMS abfangen - Google-Account übernehmen - YouTube-Kanal übernehmen - alle existierenden Videos löschen - YouTube Kanal mit Scam-Videos betanken (u.a. "Elon Musk sagt, wenn Du ihm 1 Bitcoin schickst, schickt er Dir 2 zurück! Sende hier!") - warten, dass genug Deppen drauf anspringen bevor YouTube Abuse die Videos löscht - Profit!

Nicht alles was hinkt, ist ein Vergleich.

Man liest sich, Alex. [0] Es gibt genug Listen mit Accountdetails von aufgemachten Onlineshops. [1] Scheint gerade in den USA erschreckend einfach zu sein.

Wenn Dir jemand das Konto leerräumt, hast Du im besten Fall sackweise Umtriebe (und erstmal kein Geld) um das wieder in Ordnung gebracht zu bekommen.

Du vielleicht nicht. Aber es gibt genug Leute, die auf Bargeld angewiesen sind. Und auch meinereiner war vor ein paar Wochen froh, immer Bargeld dabeizuhaben, sonst hätte ich den vollen Einkaufskorb vom Wochenendeinkauf nämlich stehenlassen müssen, weil die Kartenterminals alle ausgefallen waren (Backend-Problem).

Man liest sich, Alex.

"Bei dem Verfahren haben die Hacker eine Schwachstelle im Telekommunikationsnetz ausgenutzt und mit zwielichtigen Anbietern kooperiert." reicht mir eigentlich vollkommen. Und das nimmt man zum Anlaß, die beklauten Kunden mit Sicherheitsfirlefanz zu beglücken. Eine Kapitulationserklärung. Kennen wir aber natürlich nur zu gut von Cold Calls, Call-ID-Spoofing, usw. [1].

Also im Grunde sagst Du, man könne dem/seinem Mobilfunkanbieter nicht trauen. Nicht, bei dem was er mit SMSen macht, nicht bei dem, was er mit Deiner SIM- Karte macht und vermutlich auch nicht, was er mit Deinem Smartphone macht. Gibts das eigentlich noch, daß der Provider irgendwelchen Kram automagisch installieren kann bzw. Dein Mobiltelefon irgendwie konfigurieren? Da wäre ich dann echt der Letzte, der mit so einem durchseuchten Gerät sein Bankgeschäfte tätigen würde. Aber die Mehrheit sieht das offenbar anders.

Gut, daß Du "erstmal" schreibst, denn sonst wäre meine Frage gewesen, wo diese Versicherungen denn ihr Geld herkriegen. Und jetzt sag mir bitte nicht, das wären die Banken. De facto zahlen also wir Kunden die Taten- und/oder Hilflosigkeit, mit der Banken, Behörden, Ermittler, usw. zusehen, wie Banken ausgeraubt und Geldautomaten gesprengt werden.

Ich kann tatsächlich nicht sagen, wie hoch demgegenüber der Schaden durch Computerkriminelle ist, die Konten von Zivilpersonen leerräumen und ob sich der

- nicht unerhebliche - Aufwand der Einführung von ChipTAN QR/Photo lohnte.

Deswegen kommt man auch im Straßenverkehr mit 1001 Assistenzsystemen daher, die letztlich ein Layer-8-Problem lösen sollen, es aber natürlich nicht können. Genauso wie eine Abnehmspritze nicht das Problem einer pedeleptischen, mikromobilen, individualmotorisierten Gesellschaft löst, die sich nicht mehr selbst bewegen will und von Lebensmittelkonzernen mit salzigem, süßen und fetten Fertigfutter gemästet wird.

Da habe ich eben ein Problem mit, insbesondere, wenn ich nach Möglichkeit jede Strecke mit Muskelkraft oder ÖP(N)V zurücklege, regional/saisonal kaufe, selber koche, versuche, mich beim Autofahren aufs Auto fahren zu konzentrieren und nachlese, wie es dazu kommt, daß jemand eine TAN-SMS abfängt, die zugehörigen Logindaten fürs Banking-Webfrontend kennt, das Konto leerräumt und wie eine Smartphone-App, die den Kryptochip auf meiner Kundenkarte ignoriert, besser sein kann.

Volker

Inhalt der Mitteilung:

Müßig zu sagen, daß wir keinerlei Geschäftsbeziehungen mit der Stuttgarter Justiz pflegen, es keinerlei offene Forderungen gibt, die eine Pfändung rechtfertigen, ein "Zentralmahngericht" in Stuttgart nicht existiert (zuständig für Mahnverfahren ist das Amtsgericht Stuttgart) und der ganze Anruf hochgradig dubios war.

Beschwerde bei der Bundesnetzagentur wurde eingereicht, die bayrische Polizei erlaubt in ihrem Formular zur Online-Strafanzeige leider keine Cold-Calls mit Betrugsabsicht als Tatbestand.

Tscha. So gehts, wenn man irgendwann einmal im Telefonbuch mit Name und Nummer eingetragen war. Aber vermutlich verhökern die Drücker von der Telekom (aka. "Ranger") auch die Nummern, die sie ergattern können als Nebenverdienst. Oder der Kram wächst vom Einwohnermeldeamt rüber. Oder in irgenwelchen Kundendatenbanken gibts ein Leck.

Seitens der Bundesnetzagentur hieß es alsbald (Zitat):

"[...] vielen Dank für Ihre Nachricht vom 09.09.2021, [...] Sie berichten über einen Anruf unter Anzeige der Rufnummer 0711625***. Nach den hier vorliegenden Erkenntnissen ist davon auszugehen, dass diese Rufnummer aufgesetzt, d.h. gefälscht ist. Inhaltlich betrifft Ihre Eingabe daher das technisch und rechtlich komplexe Thema der Rufnummernübermittlung [...] Bitte beachten Sie, dass die Bundesnetzagentur über die Sach- und Rechtslage bei Anrufen mit aufgesetzter Rufnummer umfänglich auf ihrer Internetseite unter

"If the SIP-PBX is configured with the 'no screening' feature, the From: header field is left unchanged, otherwise the P-Asserted-Identity value is entered into the From: header field. If OIR (CLIR) is not activated, most SIP end devices including the fixed network SIP end devices display the phone number in the user part of the From: header field. They may also display the P-Asserted-Identity as a second Calling Party Number."

Manche Endgeräte - so z. B. die FritzBox 7272 - können das im Voice-over-IP-Betrieb auswerten und zeigen zusätzlich zur vom Anrufer selbst festgelegten Nummer die netzseitige Nummer in Klammern an. Zumindest interpretiere ich:

Routet der Bastard seinen Anruf allerdings übers Ausland und nutzt eigens zum Zweck der Rufnummernfälschung erfundene Dienste...

Und sowas soll ich meinen Eltern erklären. Ich blicks ja selber nicht.

Lies hier und staune:

/ralph

Der Inhaber einer dieser Firmen hält gerne Vorträge auf Konferenzen. Die sind immer sehr unterhaltsam. Ich kenne ihn seit über 30 Jahren.

Grüße Marc

Es gab auch mal einen Vortrag auf dem Chaos Communication Congress zu dem Thema. In Reaktion haben die Telkos reihenweise wenigstens rudimentäre Access Control vor ihre SS7-Systeme gestellt. Es bleibt dennoch ein unsicheres Protokoll, das nicht ins Internet gehört.

Grüße Marc

Genau so ist das.

So viel ich weiß, gibt es das SIM Toolkit immer noch, aber so weit dass es Apps auf Dein Smartphone installieren kann geht es m.W nicht.

Interessanterweise ist selbst ein durchschnittliches Smartphone sicherer als ein handelsüblich betriebenes Windows. Auf normalen Rechnern sind die einzelnen Applikationen nicht voneinander getrennt, auf dem Smartphone schon. Da merkt man halt, dass da 35 Jahre zwischen dem Design der beiden Systeme liegen und dass der "normale" Rechner viel mehr auf Rückwärtskompatibilität achten muss als ein Smartphone.

Ein iOS-System mit richtiger Tastatur würde ich für Hochsicherheitsanwendungen nett finden, am besten noch mit der Möglichkeit von Cut&Paste vom "richtigen" Rechner.

Die Erstellung von IOS und Android-Apps dürfte aufwendiger sein. Aber sie liefern halt auch viel mehr nette Daten.

Und das sagst Du über die Menschen, die nichtmal gewillt sind, ein wenig auf die gewohnte Mobilität zu verzichten damit die Kindeskinder noch einen Planeten haben?

Grüße Marc

Nein, ich bin ziemlich sicher, das geht sehr viel einfacher. Der Nummernraum ist recht ausgefüllt und man kann hinter eine gültige Nummer beliebig viele weitere Ziffern anhängen. Das ist nicht wie Mailadressen, die jeder kleine Tippfehler ungültig macht. Das sind ganz einfach Zufallsgeneratoren, die den kompletten Nummernraum abgrasen.

Netzagentur verknacken wegen vorsätzlicher Beihilfe. Früher wurde die Nummer von der Vermittlungsstelle aufgeschaltet und war von nichts zu ändern oder zu manipulieren. Die Technik für die freie Wahl wurde aktiv geschaffen und gebaut zugunsten betrügerischer Callcenter. Da ist nichts technisches oder unvermeidbares dran, das wurde bewußt und gezielt so konstruiert. Demnach gibt es hier einen klar benennbaren Täter.

Es werden von Amts wegen alle Türschlösser ausgebaut. Daneben schreiben wir in's Gesetz, es ist verboten, fremde Wohnungen zu betreten und Gegenstände zu entwenden. Sicherheitsproblem vollständig und perfekt gelöst, Polizei und Ermittlung kann abgeschafft werden. Mehr kann keiner tun oder verlangen.

Ich erkenne innerhalb von Sekunden auf Betrug. 'Zentralmahngericht' gibt es in ganz Deutschland nicht.

Das ist doch eine proletarisch anmutende Wortkonstruktion, die einem Betrugsabsicht geradezu aufdrängt. Bildungsfern, nicht raffiniert genug.

Hergen Lehmann, 2024-04-25 10:27:

Nein, QR-Codes waren vor allem für Lesegeräte in der Industrie relevant und weil Barcodes zu wenig Information speichern konnten.

Wenn dann so eine Lesegerät mehrere hundert EUR kostet, ist das erstmal egal. "Mobil" kann dann auch ein Handscanner für 500 EUR sein.

Ja, auch das. Allerdings dürfte QVGA schon grenzwertig sein. Und selbst dafür braucht man viel mehr RAM als übliche Microcontroller Ende der

Ralph Aichinger, 2024-04-25 11:23:

Ja - *HEUTE*. Es ging um die Frage, was vor 20 Jahren machbar war.