¿Puede explicar qué este blog significa cuando dice:
Algo en que pensar cuando se trata de firmas de transacciones: demostrar la necesidad de mantener todo el proceso fuera de la PC (en este caso) y en otro canal por completo.
¿Qué significa mantener todo el proceso fuera de la PC y otro canal en este contexto? ¿Cómo ayudaría a prevenir ese tipo de ataque?
Para agregar a lo que escribe woliveirajr, las tecnologías que los bancos están empezando a implementar para aumentar la autenticidad y la integridad de las transacciones no son infalibles. Este es un ejemplo clásico de una gran tecnología que puede haberse perdido algunas cosas en su implementación. Específicamente para la entrada del blog, Litan parece describir que el adversario sabía cuándo se estaba iniciando la transacción fuera de banda (OOB) y se modificaron los datos en vuelo.
Supongo que OOB, en este ejemplo, no era un canal físico completamente separado. Pero también es posible que la implementación del canal de comunicación incluyera información suficiente para que un adversario modifique los números de cuenta sin ser detectado. Por ejemplo, si el protocolo para autorizar una transacción transfirió números de cuenta y el dispositivo de autenticación OOB solo "comprobó" la identidad del usuario final, un adversario puede modificar fácilmente los datos de la transacción sin que el usuario final se dé cuenta de lo que sucedió. Una vez más, las tecnologías de seguridad tienden a romperse cuando la implementación apesta.
AFAIK, investigadores de Cambridge publicaron por primera vez un ataque contra EMV.
El beneficio del intercambio OOB aumenta la dificultad para que un adversario lance un ataque. La PC de los usuarios puede verse comprometida, pero un dispositivo de hardware puede ser mucho más difícil de comprometer. Las posibilidades de que un atacante comprometa la PC y el dispositivo de autenticación OOB son mucho menores que las posibilidades de que un atacante comprometa solo la PC. Sin embargo, una implementación deficiente puede fácilmente inutilizar los controles adicionales (es decir, OOB) y los costos son mayores porque los usuarios creen que tienen mayor seguridad, aunque no la tienen.
Por lo que entendí, mantener el proceso fuera de la PC significa que la parte informática debe realizarse en un dispositivo específico, no en el navegador que se ejecuta en la PC, ya que es < em> "fácil" para usar algún registro de teclas o afectar el comportamiento de la computadora.
Y otro canal significa que no debe confiar solo en la comunicación del navegador, ya que el ataque descrito simplemente pone un iframe sobre la página real y engaña al usuario para que inserte información de los atacantes en el dispositivo, en lugar de el original. Por lo tanto, dado que lo que el usuario ve en la página (en el momento en que se inserta la información requerida para finalizar la transacción) es una información falsa, los bancos / industria / seguridad / usuarios no deben usar el canal de navegador de Internet como confiable. .
Lea otras preguntas en las etiquetas web-application web-browser smartcard