Android

IBM søger at sikre internetbanking med USB Stick

Ken Jennings: Watson, Jeopardy and me, the obsolete know-it-all

Ken Jennings: Watson, Jeopardy and me, the obsolete know-it-all
Anonim

IBMs Zürich-forskningslaboratorium har udviklet en USB-stang, som virksomheden siger, kan sikre sikre banktransaktioner, selvom en pc er forkælet med malware.

En prototype af enheden kaldet ZTIC (Zone Trusted Information Channel) vises første gang på Cebit messen i denne uge. IBM håber at lokke bankerne til at købe det til online banking, hvilket sparer banker penge på personaleomkostninger, men er konstant under belejring af hackere.

Når den er tilsluttet en computer, er ZTIC konfigureret til at åbne en sikker SSL-forbindelse (Secure Sockets Layer) med en banks servere, sagde Michael Baentsch, produktchef for BlueZ Business Computing i Zürichs lab.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

ZTIC er også en smart-kortlæser og kan acceptere En persons bankkort til verifikation. Når en PIN-kode (personligt identifikationsnummer) er blevet bekræftet, kan en transaktion påbegyndes via en webbrowser.

Webbrowsere er dog et svaghedspunkt for online banking på grund af de såkaldte "man-in-the-middle" -attacker.

Hackere har oprettet ondsindede softwareprogrammer, end de kan ændre data, da de sendes til en banks webserver, men derefter viser de oplysninger, som forbrugeren har til hensigt i browseren. Som følge heraf kunne en persons bankkonto tømmes. Man-in-the-middle-angrebene er også effektive, selvom bankens kunde bruger en engangsadgangskodegenerator.

ZTIC byder imidlertid om browseren og går direkte til banken. Det sikrer, at de udvekslede data er korrekte.

For eksempel, siger en bankkunden ønsker at overføre penge. Kunden vil indtaste US $ 100 i en formular i browseren. Bankens servere vil så prøve at bekræfte beløbet. Under et man-i-midten-angreb er angriberen i stand til at overføre $ 1000, men kan ændre bekræftelsesmeddelelsen for stadig at vise $ 100.

Da den har en direkte sikker forbindelse med bankens servere, viser ZTIC mængden det er faktisk blevet anmodet om at blive sendt. Så selvom browseren viser en bekræftelse på $ 100, viser ZTIC $ 1.000, hvilket angiver et igangværende mand-i-midten-angreb, sagde Baentsch. Brugeren vil vide at afvise transaktionen og trykke på den røde "x" -knap på ZTIC.

"Hvis malware angriber din online-banktransaktion, vil det vise dig noget mærkeligt er sket," sagde Baentsch.

IBM udnyttede en stor indsats for at finde ud af, hvordan man starter en SSL-session i en USB-pind, sagde Baentsch. Det tager nogle behandlingsmuskler, og da USB kører uafhængigt af pc'en, har den ikke adgang til computerens processor.

ZTIC bruger en chip fra mikroprocessor designer ARM, og softwaren er designet, så den hurtigt kan etablere en SSL-session, sagde Baentsch. Selvom det er en memory stick, kan der ikke gemmes data på den, hvilket også forhindrer skadelig software i at inficere den.

Brug af ZTIC ville også forhindre phishing-angreb, hvor et bedragerisk websted forsøger at fremkalde følsomme detaljer fra en bruger, og pharming angreb, hvor DNS (Domain Name System) indstillinger er blevet manipuleret, sagde Baentsch. ZTIC kontrollerer for at sikre, at webstedet har et gyldigt sikkerhedscertifikat.

IBM har interne tal om, hvor meget ZTIC kan koste for banker, men Baentsch ville ikke afsløre dem og sagde, at det ville afhænge af de endelige konstruktionsspecifikationer for ZTIC og andre faktorer.