[论文解读] Outflanking and securely using the PIN/TAN-System

Alexander Wiesmaier, Marcus Fischer+2 more|ArXiv.org|Oct 12, 2004

User Authentication and Security Systems参考文献 5被引用 6

一句话总结

本文证明，欧洲网上银行广泛使用的PIN/TAN认证系统在根本上是不安全的，因其容易被间谍软件和社交工程攻击绕过。通过真实世界攻击，作者证明该系统由于依赖明文凭证且缺乏交易绑定，易受重放攻击、冒充攻击和中间人攻击，因此不适合用于高安全级别的应用。

ABSTRACT

The PIN/TAN-system is an authentication and authorization scheme used in e-business. Like other similar schemes it is successfully attacked by criminals. After shortly classifying the various kinds of attacks we accomplish malicious code attacks on real World Wide Web transaction systems. In doing so we find that it is really easy to outflank these systems. This is even supported by the users' behavior. We give a few simple behavior rules to improve this situation. But their impact is limited. Also the providers support the attacks by having implementation flaws in their installations. Finally we show that the PIN/TAN-system is not suitable for usage in highly secure applications.

研究动机与目标

• 调查欧洲网上银行使用的PIN/TAN系统所存在的安全漏洞。
• 通过真实世界攻击证明，PIN/TAN系统极易被恶意软件和用户行为所规避。
• 分析用户行为和银行系统实现缺陷如何加剧该系统固有的弱点。
• 论证尽管广泛使用，PIN/TAN系统在根本上不适用于高安全级别的电子商业应用。
• 尽管对系统性缺陷的缓解效果有限，仍为用户和提供商提供可操作的改进建议。

提出的方法

• 在真实在线银行账户上实施真实世界的间谍软件攻击，以评估绕过PIN/TAN系统的可行性。
• 在基于HTTP和小程序（applet）的在线银行平台中实施并测试攻击，以评估系统范围内的漏洞。
• 分析用户行为模式，这些行为无意中助长了攻击，例如重复使用凭证以及未能检测恶意输入。
• 识别并记录银行系统中的实现缺陷，这些缺陷削弱了PIN/TAN机制的安全性。
• 评估系统的设计原则，重点关注缺乏输入认证、交易绑定和不可否认性功能。
• 进行威胁建模，以表明系统的弱点是固有的，不依赖于特定平台或攻击向量。

实验结果

研究问题

• RQ1 PIN/TAN系统在真实世界中面对间谍软件和键盘记录攻击时，在实际在线银行环境中有多脆弱？
• RQ2 用户行为（如明文输入凭证）在多大程度上导致了PIN/TAN攻击的成功？
• RQ3 在线银行系统中的哪些实现缺陷会加剧与PIN/TAN机制相关的风险？
• RQ4 尽管广泛使用，为何PIN/TAN系统本质上不适用于高安全级别的电子商业应用？
• RQ5 用户行为的改变或提供商端的修复措施是否足以缓解该系统根本性的设计缺陷？

主要发现

• PIN/TAN系统极易受到间谍软件攻击，因为凭证以明文形式输入，且无需深入了解协议即可轻松截获。
• 重放攻击是可行的，因为PIN在有效期内始终有效，攻击者可轻松复用成功登录会话。
• TAN与所授权的交易之间不存在绑定关系，攻击者可将任意有效TAN用于任何交易，无论其真实意图如何。
• 用户行为（如在未验证银行界面真实性的情况下输入凭证）显著增加了攻击成功的风险。
• 在线银行平台中的实现缺陷（如输入验证薄弱和会话处理不安全）进一步削弱了PIN/TAN系统的安全性。
• 系统缺乏不可否认性和可验证的交易凭证，导致用户与银行之间无法通过技术手段解决纠纷，只能依赖合同或善意。