Puoi spiegare cosa questo blog indica quando dice:
Something to think about when it comes to transaction signatures – demonstrating the need to keep the entire process off the PC (in this case) and on another channel entirely.
Che cosa significa mantenere l'intero processo fuori dal PC e un altro canale significa in questo contesto? In che modo contribuire a prevenire questo tipo di attacco?
Per aggiungere a ciò che scrive woliveirajr, le tecnologie che le banche stanno iniziando a implementare per aumentare l'autenticità e l'integrità delle transazioni non sono infallibili. Questo è un classico esempio di una grande tecnologia che potrebbe aver perso alcune cose nella sua implementazione. Specifico per il post di blog, Litan sembra descrivere che l'avversario sapeva quando era in corso la transazione fuori banda (OOB) e modificava i dati in volo.
Suppongo che OOB, in questo esempio, non fosse un canale fisico completamente separato. Ma è anche possibile che l'implementazione del canale di comunicazione includesse informazioni sufficienti per un avversario per modificare i numeri di conto senza essere rilevati. Ad esempio, se il protocollo per l'autorizzazione di una transazione ha trasferito i numeri di conto e il dispositivo di autenticazione OOB ha solo "provato" l'identità dell'utente finale, un avversario può facilmente modificare i dati della transazione senza che l'utente finale realizzi cosa è successo. Ancora una volta, le tecnologie di sicurezza tendono a rompersi quando l'implementazione fa schifo.
AFAIK, ricercatori di Cambridge hanno prima pubblicato un attacco a EMV.
Il vantaggio dello scambio OOB aumenta la difficoltà per un avversario di lanciare un attacco. Il PC degli utenti potrebbe essere compromesso, ma un dispositivo hardware potrebbe essere molto più difficile da compromettere. Le possibilità che un utente malintenzionato comprometta il PC e il dispositivo di autenticazione OOB sono molto inferiori alle possibilità che un utente malintenzionato comprometta solo il PC. Tuttavia, una cattiva implementazione può rendere facilmente inutili controlli aggiuntivi (ad esempio OOB) e i costi sono maggiori perché gli utenti ritengono di avere una maggiore sicurezza sebbene non lo facciano.
Per quello che ho capito, mantenere il processo fuori dal PC significa che la parte di calcolo deve essere eseguita in un dispositivo specifico, non nel browser in esecuzione nel PC, poiché è < em> "facile" per usare un keylog o influenzare il comportamento del computer.
E un altro canale significa che non ti devi fidare solo delle comunicazioni del browser, poiché l'attacco descritto mette semplicemente un iframe sulla pagina reale e induce l'utente a inserire le informazioni sugli attaccanti nel dispositivo, invece di quello vero. Quindi, dal momento che ciò che l'utente vede nella pagina (nel momento in cui è inserita l'informazione richiesta per completare la transazione) è falso, le banche / l'industria / la sicurezza / gli utenti non dovrebbero usare il canale Internet-browser come affidabile .
Leggi altre domande sui tag web-browser web-application smartcard