TAN-Generatoren mit Solarzelle ...

Wenn von den vier Litungen nur zwei, die Versorgung, angeschlossen sind? Vormachen! Recht hast Du, daß das Marketing selten tollen "Fietschers" widerstehen kann.

-- /¯\ No | Dipl.-Ing. F. Axel Berger Tel: +49/ 221/ 7771 8067 \ / HTML | Roald-Amundsen-Straße 2a Fax: +49/ 221/ 7771 8069  X in | D-50829 Köln-Ossendorf

Am 26.03.2020 um 19:10 schrieb Marc Stibane:

Um angreifbar zu sein, müsste es über USB ansprechbar sein. Wenn man nur die Spannungsversorgung anschließt, ist das genauso unsicher wie der Toaster in der Steckdose.

Die ganz paranoiden würde dann einfach ein USB-Netzteil anschließen, anstatt das Gerät in den PC zu stecken.

OK, ich seh nur, das Display geht aus. ;-) Evtl. ist das Ganze sowieso ein Irrtum gewesen: Das Teil lässt sich anscheinend *nur* mittels ec-Karte aufwecken, auf irknwelche Knopfdrücke reagiert es nicht.

Inzwischen ist das Problem insgesamt schon "historisch" geworden: mp3-Player (gibt es die überhaupt noch als Einzelgeräte?) sind i.a. in Smartphones integriert, DvD-Player & Co. haben USB-Eingänge und aktuelle HiFi-Anlagen können mp3 ohne externe Geräte. Es war ca. 2010 als ich feststellen musste, was die damals massenhaft verbreiteten mp3-Player alles nicht können.

Eben. Und wenn dann der Prozessor nicht richtig abschaltet, saugt er die Batterien leer.

Warum auch? Ohne EC-Karte kann das Gerät keine TAN generieren. Wozu sollte es sich dann einschalten lassen?

Eigentlich ganz praktisch, ich muss bei meinem nach dem Einstecken der Karte immer noch zusätzlich eine Taste drücken. Eigentlich unnötig.

Am 27.03.2020 um 07:08 schrieb Thorsten Böttcher:

Das stimmt so nicht, suggeriert es doch, über die Versorgungsspannung könnte keine Information abgegriffen werden. Allerdings würde ein solcher Angriff ein lausiges Design (kann ich mir gut vorstellen) und einen USB Anschluß mit recht präziser Strommessung (eher weniger) voraussetzen...

Thorsten Böttcher schrieb:

Nun, dan sieh dir mal den oben genannten USB-TAN-Generator noch einmal genauer an.

Guido

Thorsten Böttcher schrieb:

Mein TAN-Generator hat (mindestens) 3 Funktionen: Daten mit Flickercode einlesen und TAN generieren, Daten von Tastatur einlesen und TAN generieren und Geldkarte ansehen. Jede dieser Funktionen wird durch Druck auf eine andere Taste ausgelöst. Da frag ich mich, woher soll das Ding denn wissen welche Funktion ich aufrufen will, wenn ich eine Karte einstecke? Ich muß sowieso noch eine Taste drücken - also ist das Drücken der Taste alles andere als unnötig.

Guido

Am 27.03.2020 um 08:54 schrieb Eric Bruecklmeier:

Und selbst wenn er die Daten mitlesen kann, hilft das ja erstmal nichts,

Am 27.03.2020 um 09:06 schrieb Guido Grohmann:

Wo ist oben?

Und es ging darum den TAN-Genearor anstatt aus der Batterie über USB mit Energie zu versorgen. Nicht mehr.

Am 27.03.2020 um 09:27 schrieb Thorsten Böttcher:

Das ist so, BTDT - allerdings schon ein paar Jährchen her.

Das ist ein Irrtum, denn über solche Angriffe kann man an interne Schlüssel kommen, wenn das Design des Kryptokontrollers entsprechend schlecht ist.

Der größte Fehler bei solchen Designs ist grundsätzlich die Annahme: "Das brauchen wir nicht näher zu untersuchen, über den Weg kommt eh keiner rein..."

Am 27.03.2020 um 09:15 schrieb Guido Grohmann:

Stimmt, Du hast Recht. Kann meiner auch, ich nutze aber eigentlich nur den Flicker-Code. Außer bei der Einrichtung

Vielleicht können wir uns dann darauf einigen, dass es keinen Sinn macht das Gerät ohne eingesteckte Karte einschalten zu können.

Man könnte das Gerät beim Einstecken der Karte im Flicker-Modus starten, und bei Bedarf den Modus mit einer Taste wechseln. Oder man startet beim Einstecken im letzten Modus.

Am 27.03.2020 um 09:31 schrieb Eric Bruecklmeier:

Ok, wieder was gelernt. Wie wahrscheinlich wäre ein solcher Angriff, wenn man das Gerät mit einem Steckernetzteil in der Steckdose versorgt?

Am 27.03.2020 um 09:55 schrieb Thorsten Böttcher:

Auf freier Wildbahn geht die Wahrscheinlichkeit das sowas funktioniert wohl gegen Null. Und ehrlicherweise richten sich solche Angriffe meist auf interne Schlüssel im Labor. Aber man sollte eben grundsätzlich nichts von vorneherein ausschließen, wie das Problem Logitech Präsenter unlängst wieder gezeigt hat.

Thorsten Böttcher schrieb:

Im Thread weiter oben (mußt du eben mal suchen) wurde ein TAN-Generator vorgeschlagen, der einen USB-Anschluß hat. Und nein, USB dient da eben nicht nur (aber auch) zur Stromversorgung. :(

Guido

Thorsten Böttcher schrieb:

Genauso ist das bei meinem auch gelöst. Da ist ein simpler Kontakt drin, der durch die Karte betätigt wird. Einschalten kann man den mit einer beliebigen Karte, auch ohne Chip. Es gibt dann eben eine Fehlermeldung, wenn der Chip nicht gelesen werden kann.

Oder man hält das Gerät einfach. Gerade bei letzter Variante würde ich jedes mal fluchen, wenn ich den falsche Modus an habe und mich wundere warum das Ding nicht das macht, was ich will.

Guido

Am 27.03.2020 um 10:00 schrieb Eric Bruecklmeier:

Da hast Du wieder Recht.

Am 27.03.2020 um 10:02 schrieb Guido Grohmann:

Ich hab gesucht, aber der Thread ist mittlerweile recht groß. Ich weiß dass es auch TAN-Generatoren mit USB Anschluß gibt, aber das ist etwas anderes als der hier angedachte Umbau.

Das muss man getrennt betrachten.

--verbose bitte. Nie gehört.

Danke

-- /¯\ No | Dipl.-Ing. F. Axel Berger Tel: +49/ 221/ 7771 8067 \ / HTML | Roald-Amundsen-Straße 2a Fax: +49/ 221/ 7771 8069  X in | D-50829 Köln-Ossendorf