Kontextsensitive CAPTCHAS im Online-Banking - Prof. Dr. Norbert Pohlmann

N. Pohlmann, R. Riedel, ,U. Schmuntzsch, T. Urban:,
„Kontextsensitive CAPTCHAS im Online-Banking“.
In Proceedings der DACH Security 2018 Konferenz,
syssec Verlag,
2018

In der modernen Informationsgesellschaft nehmen Online-Transaktionen einen wichtigen Teil unseres täglichen Lebens ein. In dieser Arbeit stellen wir ein nutzerzentriertes Protokoll vor, dass es Nutzern erlaubt vertrauenswürdige und sichere Transkationen durchzuführen, selbst wenn sie ein nicht vertrauenswürdiges oder mit Schadsoftware infiziertes Gerät nutzen. Das Protokoll nutzt einen CAPTCHA -artigen Ansatz, der verhindert, dass ein Angreifer eine Transaktion verändert ohne, dass Server oder Client dies bemerken. Dazu stellen wir dem Nutzer eine Aufgabe, die kontextsensitive Informationen der Transaktion enthält. Die Aufgabe wird so gestellt, dass sie einfach von Menschen lösbar ist aber nur schwer automatisiert gelöst werden kann. Zur Evaluation des Systems haben wir eine Nutzerstudie (n=30) durchgeführt und berechnet mit welcher Wahrscheinlichkeit ein Angreifer erfolgreich die richtige Antwort auf die Frage erraten kann. Wir zeigen, dass ein Großteil der Transaktionen (> 94%) geschützt werden kann, während das System selbst nutzbar bleibt.

Online-Banking und Online-Transaktionen sind ein bedeutender Teil der modernen Informationsgesellschaft und gewinnen stetig an Bedeutung. Allein zwischen 2007 und 2017 verdoppelte sich die Nutzung von 25 % auf 51% in Europa. Dieses Wachstum, das Aufkommen von immer mehr Applikationen, die sich über Micro-Transaktionen finanzieren wird dazu führen, dass wir in Zukunft immer mehr Online-Transaktionen durchführen werden. Betrüger haben den Bereich bereits auf unterschiedlichsten Wegen kompromittiert. Laut offiziellen Angaben des Deutschen Bundeskriminalamts belief sich in Deutschland der finan-zielle Schaden im Online-Banking zwischen 2014 und 2016 auf über 54 Millionen Euro. Erfolgreiche Angriffe auf das Online-Banking werden durch sogenannte Man-in-the-Browser (MitB) Angriffe ermöglicht. Bei diesem Angriffsvektor übernimmt die Angreiferin die voll-ständige Kontrolle über den Browser des Nutzers (z.B. durch bösartige Browser-Erweiterungen).

…