[論文レビュー] Outflanking and securely using the PIN/TAN-System

Alexander Wiesmaier, Marcus Fischer+2 more|ArXiv.org|Oct 12, 2004

User Authentication and Security Systems参考文献 5被引用数 6

ひとこと要約

この論文は、ヨーロッパのオンラインバンキングで広く使われているPIN/TAN認証方式が、スパイウェアやソーシャルエンジニアリング攻撃によって簡単に回避可能であるため、根本的に不安全であることを示している。実際の攻撃を経て、認証情報が平文で送信され、取引が束縛されていないことから、リプレイ攻撃、なりすまし攻撃、MITM攻撃が可能であることが実証された。このため、高セキュリティ要件を求めるアプリケーションには不適切である。

ABSTRACT

The PIN/TAN-system is an authentication and authorization scheme used in e-business. Like other similar schemes it is successfully attacked by criminals. After shortly classifying the various kinds of attacks we accomplish malicious code attacks on real World Wide Web transaction systems. In doing so we find that it is really easy to outflank these systems. This is even supported by the users' behavior. We give a few simple behavior rules to improve this situation. But their impact is limited. Also the providers support the attacks by having implementation flaws in their installations. Finally we show that the PIN/TAN-system is not suitable for usage in highly secure applications.

研究の動機と目的

• ヨーロッパのオンラインバンキングで使用されているPIN/TANシステムのセキュリティ上の脆弱性を調査すること。
• 実際の攻撃を通じて、マルウェアやユーザー行動によってPIN/TANシステムが容易にかわされることを実証すること。
• ユーザー行動とバンキングシステムの実装上の欠陥が、システムの本質的な弱みを悪化させることを分析すること。
• PIN/TANシステムが高セキュリティを要する電子ビジネスアプリケーションには根本的に不適切であることを主張すること。
• システム的な欠陥に対しては限定的だが、ユーザーおよびプロバイダーに実行可能な提言を提供すること。

提案手法

• ライブのオンラインバンキングアカウントを標的とした実際のスパイウェア攻撃を実施し、PIN/TANシステムの回避可能性を評価した。
• HTTPベースおよびアプレットベースのオンラインバンキングプラットフォームの両方に対して攻撃を実装・テストし、システム全体の脆弱性を評価した。
• スパイウェア攻撃を支援するユーザー行動パターン（例：認証情報の再利用、悪意のある入力の検知不足）を分析した。
• PIN/TANメカニズムのセキュリティを弱める実装上の欠陥を特定・文書化した。
• 入力認証、取引の束縛、非否認機能の欠如に注目した、システム設計原則の評価を行った。
• 脅威モデリングを通じて、システムの弱みが特定のプラットフォームや攻撃ベクトルに依存せず、本質的であることを示した。

実験結果

リサーチクエスチョン

• RQ1 ライブのオンラインバンキング環境において、PIN/TANシステムは実際のスパイウェア攻撃やキーロガー攻撃に対してどの程度脆弱であるか？
• RQ2 ユーザー行動（例：平文で認証情報を入力すること）が、PIN/TAN攻撃の成功にどの程度寄与しているか？
• RQ3 オンラインバンキングシステムの実装上の欠陥が、PIN/TANメカニズムに関連するリスクをどの程度増大させているか？
• RQ4 広く使用されているにもかかわらず、なぜPIN/TANシステムは高セキュリティを要する電子ビジネスアプリケーションには根本的に不適切なのか？
• RQ5 ユーザーの行動変容やプロバイダー側の修正が、システムの根本的な設計上の欠陥を十分に緩和できるのか？

主な発見

• PIN/TANシステムはスパイウェア攻撃に対して極めて脆弱であり、認証情報が平文で入力されるため、プロトコルの詳細を深く理解する必要なく容易に傍受可能である。
• リプレイ攻撃が可能である。PINは無期限に有効であり、攻撃者が最小限の努力で成功したログインセッションを再利用できる。
• TANとそれによって承認される取引との間には束縛がないため、攻撃者は任意の有効なTANを、意図とは無関係な任意の取引に再利用可能である。
• 銀行インターフェースの真正性を確認しないで認証情報を入力するユーザー行動は、攻撃の成功確率を著しく高める。
• 入力検証が弱く、セッション管理が不十分なオンラインバンキングプラットフォームの実装上の欠陥が、PIN/TANシステムのセキュリティをさらに弱体化させている。
• 非否認機能や検証可能な取引レシートが欠如しているため、契約や善意に依存しない限り、ユーザーと銀行間の紛争解決は不可能である。