Ověřovací číslo transakce

Princip klasického TAN:

1. Banka vytvoří pro uživatele množinu unikátních čísel. Obvykle každý uživatel dostane kolem padesáti ověřovacích čísel vytisknuté na papíře, což je dost na půl roku pro normálního uživatele; každý TAN je šest nebo osm znaků dlouhý.
2. Uživatel si vyzvedne seznam z nejbližší banky (prokáže totožnost občankou nebo jakýmkoliv podobným dokumentem) nebo mu seznam může být poslán na email.
3. Heslo a PINy jsou přeneseny zvlášť.
4. Pro založení účtu, uživatel musí zadat uživatelské jméno (často je to číslo účtu) a heslo (PIN). Nyní byste měli získat přístupové informace, ale možnost zpracování transakcí je stálé zakázán.
5. Chcete-li provést transakci, uživatel musí zadat požadavek a autorizovat transakci zadáním nepoužitého ověřovacího čísla. Banka číslo ověří ze seznamu čísel, které vám předložila při tvorbě účtu a v případě shody je transakce zpracována. V opačném případě je transakce zamítnuta.
6. Použité ověřovací číslo nyní už není možné znovu použít.
7. V případě ztráty seznamu ověřovacích čísel, je nutné informovat banku.

I přes bezpečnost jakou TAN nabízí je stále náchylný na phishing útoky, kde se oběť napálí a útočníkovi nevědomky poskytne heslo (PIN) a některý z ověřovacích čísel. Dále TAN poskytuje špatnou ochranu proti útoku Man in the middle, kde útočník zachycuje veškerou vaší komunikaci se sítí (útočník takto může zachytit váš PIN i nepožitý TAN). Dále, je možnost když je klientský systém nakažen škodlivým softwarem, provést transakci útočníkem neautorizovaně.

Indexovaný TAN redukuje možnosti phishing útoku. Pro autorizaci transakce není uživatel dotazován na libovolné číslo ze seznamu, ale pro konkrétní číslo ze seznamu, které je v pořadí (index) za naposledy použitým TAN. Vzhledem k tomu, že index je náhodně vybrán bankou, je libovolný TAN útočníkovi zbytečný.

Nicméně, i přes tuto ochranu jsou útoky jako man-in-the-middle[1] a phishing (útočník uživateli předhodí identickou kopii přihlašovací stránky webového serveru banky a útočník si bez problému ukládá vaše dobrovolně zadané informace do svého počítače) stále možné.

Proto v roce 2012 Agentura Evropské unie pro bezpečnost sítí a informací doporučuje všem bankám přezkoumat PC systémy jejich klientů a nastavit jim systém pro používání bezpečnostních procesů jako je například křížová kontrola údajů transakce. MTAN nebo smart-card čtečky s vlastním displejem mající možnost zadat údaje o transakci a TAN je pak vygenerován přímo pro daný moment (chipTAN).[2]

Před vstupem do iTAN, je uživateli předložena CAPTCHA, která v pozadí ukazuje údaje o transakcích a údaje, které bychom nechtěli, aby útočník věděl. Úmyslem bylo ztížit (ale ne nemožné) útočníkovi zfalšovat CAPTCHA.

Tato varianta iTan je používána v některých německých bankách a CAPTCHA pomáhá snížit riziko napadení způsobem man-in-the-middle.[3] Některé čínské banky nasadily TAN podobný TANplus. Nedávná studie ukazuje, že CAPTCHA založená na schématech TAN nejsou bezpečné proti pokročilejším automatizovaným útokům.[4]

mTAN je používané bankami v Rakousku, Bulharsku, České republice, Německu, Maďarsku, Nizozemí, Polsku, Rusku, Singaporu, Jižní Africe, Španělsku, Švýcarsku nějaké na Novém Zélandu, Austrálii a Ukrajině. Když uživatel potřebuje potvrdit provedenou transakci, tak je ověřovací číslo vygenerováno bankou a posláno uživateli pomocí SMS. SMS může dále obsahovat transakční data, díky kterým si uživatel ověří, že transakce nebyla nějak pozměněna.

Nicméně bezpečnost tohoto schématu závisí na bezpečnost operačního systému v telefonu. V Jižní Africe je způsob přes SMS obvyklý už dlouho, a proto byl objeven nový typ útoku: SIM SWAP FRAUD. Běžný způsob útok je že se útočník vydává za oběť a získá náhradní SIM kartu telefonu oběti od mobilního operátora. Uživatelské jméno a heslo je získáno jiným způsobem například záznamem stisknutých kláves. Díky naklonované SIM může útočník provádět jakékoliv transakce[5] než si uživatel všimne, že jeho SIM v telefonu už nefunguje.

Také vzestup chytrých telefonů vedl k útoku škodlivého softwaru, který se snaží současně infikovat počítač a mobilní telefon.[6]

V tomto článku byl použit překlad textu z článku Transaction authentication number na anglické Wikipedii.