Czy hasła jednorazowe przysyłane przez SMS ochronią nas gdy nasz komputer jest pod kontrolą złodzieja? Nie, jeśli nie sprawdzimy szczegółów przelewu w otrzymanej wiadomości. Osoba kontrolująca nas komputer za pomocą konia trojańskiego może przecież podmienić szczegóły naszego przelewu (numer konta, kwota), a następnie poczekać aż wpiszemy otrzymany kod do okna przeglądarki - i użyć go do autoryzacji swojego przelewu.

Ataki tego typu nazywa się Man in the Browser, dla odróżnienia od Man in the Middle, dokonywanego poza naszym komputerem. Stanowią one istotną jakościową różnicę w stosunku do wcześniejszych technik, takich jak zwykła kradzież statycznego hasła do konta czy nawet kradzież haseł jednorazowych dostarczanych na karcie.

Problem MITB sprowadza się do tego, jak dalece paranoicznym podejściem powinniśmy wykazywać się korzystając z niezaufanego systemu operacyjnego - i jak dalece niezaufane są systemy, z których korzystamy na codzień. Jeśli złośliwe oprogramowanie może kontrolować nasz system to można właściwie zapomnieć o możliwości zbudowania jakiegokolwiek bezpiecznego kanału do przekazania danych autoryzujacych transakcję.

Problem ten próbowano rozwiązać na wiele sposobów - utwardzanie systemu operacyjnego można prowadzić tak długo, aż otrzymamy ogryzek o maksymalnie obciętej i kontrolowanej funkcjonalności, w której każda niestandardowa operacja wymaga zewnętrznego potwierdzenia (patrz A co z systemami klasy trusted?). Żeby przekonać się o tym, że w praktyce nie da się tego używać w systemie "do Internetu" wystarczy spróbować np. Request Policy dla Firefoksa.

Drugi trend to separacja tych części systemu, na których polegamy najbardziej i wyrzucenie ich na zewnątrz - w tej kategorii mieści się Trusted Platform Module, karty kryptograficzne, HSM czy opisywany tutaj kiedyś mikro-firewall Yoggie.

Opracowany przez IBM w Zurychu token ZTIC wywodzi się również z tego nurtu i w praktyce najbardziej przypomina chyba właśnie Yoggie. Jest to małe urządzenie USB, stanowiące faktycznie miniaturowy komputer, które po podłączeniu do komputera staje się serwerem proxy dla przeglądarki użytkownika. Ze względu na to, że sesja SSL jest obsługiwana w ZTIC - który pozostaje poza kontrolą koni trojańskich, nie zadziała większość ataków polegających na przechwyceniu sesji SSL i zmanipulowaniu przeglądarki użytkownika tak, by udawała, że wszystko jest w porządku.

To jednak nie wszystko. Właściwy "bezpieczny kanał" jest zapewniany przez ZTIC w ten sposób, że pokazuje on kluczowe informacje o transakcji na wbudowanym wyświetlaczu. Oczywiście oznacza to, że ZTIC musi "rozumieć" formularz transakcji przesyłany w bieżącej sesji - dlatego bank musi przygotować go pod kątem swojego systemu transakcyjnego. Spersonalizowany token będzie pokazywał kwotę transakcji czy numer konta docelowego, eliminując tym samym szeroki arsenał ataków polegających na "przykrywaniu" tego co widzi użytkownik. Faktyczne potwierdzenie transakcji następuje natomiast dopiero po przyciśnięciu przycisku OK na obudowie tokena.

Szczegóły:

www.zurich.ibm.com/ztic/