Designfejl, ud over sårbarheder, hurtige banksider

Bankwebsites lider af designfejl, der undergraver deres sikkerhed, eksklusive software sårbarheder, ifølge en studie fra University of Michigan, der skal udgives fredag.

Af 214 undersøgte steder i 2006 havde over 75 procent mindst en design fejl, der kunne føre til et sikkerhedsproblem, universitetet sagde. Webstedets strømning og layout kan gøre disse websteder mere risikable, og problemerne kan ikke løses med en patch i modsætning til en software sårbarhed.

Nogle af undersøgelsens resultater blev udgivet tirsdag af universitetet. De fulde resultater vil blive præsenteret på symposiet om brugervenligt privatliv og sikkerhed møde fredag ​​på Carnegie Mellon University i Pittsburgh.

[Yderligere læsning: Sådan fjerner du malware fra din Windows-pc]

Undersøgelsen blev foretaget af Atul Prakash, en professor i Institut for Elektroteknologi og Computer Science, og to ph.d.-studerende, Laura Falk og Kevin Borders. Prakash begyndte at undersøge, efter at have bemærket problemer med sin egen banks websted, sagde universitetet.

Selv om undersøgelsen blev foretaget i 2006, har mange af problemerne stadig betydning for finansielle websteder. En af hovedproblemerne er en underudnyttelse af SSL (Secure Sockets Layer) -krypteringsteknologi på websider.

Undersøgelsen viste, at 47 procent af bankerne ikke brugte SSL på login-sider, hvilket kunne åbne døren for en hacker til at omdirigere data til deres egen pc. Hvis du ikke bruger SSL, gør det også lettere for et menneske-i-midten-angreb, hvor offerets data passerer gennem en angriberens pc, før den sendes til bankens server.

Et andet gennemgribende problem, der rammer 55 procent af institutionerne, er at placere kontaktoplysninger og sikkerhedsrådgivning på usikre sider. En hacker kunne tænkes at bryde ind på webstedet og ændre kundeservice telefonnummer til direkte bankkunder til et fiktivt callcenter. Igen er SSL det rette middel.

Forskerne fandt, at 30 procent af webstederne ville omdirigere brugere til andre websteder, hvilket kan ske, hvordan en person skulle vurdere risikoen, sagde undersøgelsen.

Da et banksted er tillid til, det websted, den linker til, vil sandsynligvis ikke betragtes som en sikkerhedsrisiko, selvom det kan være. Bank bør sætte alle deres websider på samme server, men nogle har outsourcede sikkerhedsfunktioner, der er hostet på andre domæner.

Svage bruger-id'er og adgangskoder er fortsat besværlige, med 28 procent af bankerne mangler enten retningslinjer for adgangskode eller tillader svage dem. Institutionerne vil også e-maile adgangskoder eller udsagn, hvilket også er risikabelt, sagde undersøgelsen.