Varnostna napaka v 9 aplikacijah za bančništvo je lahko uničila 10 milijonov uporabnikov

Večina, če ne vse, varnostno občutljivih aplikacij uporablja tisto, kar je znano kot povezava TLS, da ustvari varno šifrirano povezavo med svojimi strežniki in telefonom. To zagotavlja, da ko ste, recimo, opravljate bančništvo na telefonu, dejansko komunicirate z banko in ne z naključnim, potencialno nevarnim strežnikom.

Obstaja le en majhen problem: v skladu z dokumentom, ki je bil predstavljen v sredo na letni konferenci o uporabi računalniške varnosti v Orlandu, so raziskovalci na Univerzi v Birminghamu ugotovili, da devet priljubljenih bančnih aplikacij ni sprejemalo ustreznih previdnostnih ukrepov pri vzpostavljanju povezave TLS. Te aplikacije imajo skupno uporabniško bazo 10 milijonov ljudi, pri čemer so bile vse poverilnice za prijavo v bančništvo ogrožene, če je bila ta napaka izkoriščena.

"To je resno, uporabniki verjamejo, da lahko te banke opravljajo svoje varnostne operacije," je povedal Chris McMahon Stone, doktorant za računalniško varnost na Univerzi v Birminghamu. Inverse. „Ta napaka je zdaj določena, razkrili smo jo vsem sodelujočim bankam. Če pa je napadalec vedel za to ranljivost in rekel, da uporabnik izvaja zastarelo aplikacijo, bi bilo to precej nepomembno izkoristiti. Edina zahteva je, da mora napadalec biti v istem omrežju kot njihova žrtev, tako kot javno omrežje WiFi.

Tukaj je seznam prizadetih aplikacij na papir.

Povezava TLS naj bi zagotovila, da ko vnesete podatke za prijavo v banko, jo pošljete samo v banko in nikogar drugega. Ta varnostni ukrep je postopek v dveh korakih.

Začne se s tem, da banke ali drugi subjekti pošljejo preko šifrirano podpisanega potrdila, ki potrjuje, da so res tisti, za katere trdijo, da so. Te podpise podeljujejo certifikacijski organi, ki so v tem procesu zaupanja vredni tretji stranki.

Ko je potrdilo poslano - in aplikacija zagotovi, da je zakonit - mora biti preverjeno ime gostitelja strežnika. To je preprosto preverjanje imena strežnika, s katerim se želite povezati, da se prepričate, da ne vzpostavljate povezave z nobenim drugim.

Ta drugi korak, ko so te banke spustile žogo.

»Nekatere od teh aplikacij, ki smo jih odkrili, preverjajo, ali je bil certifikat pravilno podpisan, vendar pa niso pravilno preverjali imena gostiteljev,« pravi Stone. »Torej pričakujejo vsak veljavni certifikat za kateri koli strežnik.«

To pomeni, da lahko napadalec prevara potrdilo in postavi napad človeka v sredino. Kjer napadalec gosti povezavo med banko in uporabnikom. To bi jim omogočilo dostop vse informacije, poslane med to povezavo.

Čeprav je bila ta napaka odpravljena, če uporabljate katero od zgoraj navedenih aplikacij mora Poskrbite, da bo aplikacija posodobljena, da boste dobili popravilo. Stone prav tako odločno poziva ljudi, da svoje mobilno bančništvo opravijo doma, in sicer svojo mrežo, da bi se izognili možnostim napada na človeka v sredini.

Ostanite varni na spletu, prijatelji.