am 03.06.2020 12:31
Hallo Zusammen,
so wie ich in anderen Beiträgen lesen kann, wird von Comdirect ausdrücklich empfohlen, PhotoTAN und Comdirect App auf einem Gerät zu verwenden. Es soll sicher sein.
Eigentlich verstößt das gegen das Prinzip , unabhängige Authentifizierungsmechanismen (z.B. auf zwei getrennen Geräten, über zwei Wege) zu verwenden.
Wenn das aber doch sicher sein soll, kann jemand bitte erklären, warum? Gerne auch technische Details. z.B. Warum kann keine dritte App gleichzeitig auf beide Apps zugreifen und einen Angriff starten? Ist da Googles oder Apples Sicherheitsarchitektur der Schutz?
Vielen Dank im Voraus
am 03.06.2020 13:35
am 03.06.2020 13:35
Hallo Rodo,
in diesen Betriebs Android und IOS laufen alle Apps in unterschiedlichen, separaten Sandboxes (Sandkästen). So als ob beide in unterschiedlichen Hardwares laufen. D.h. Die beiden Apps wissen nichts von einander, und können auch nicht auf gleiche Speicherbereiche oder gleiche Resourcen zu greifen. Es kann praktisch kein Informationsaustausch zwischen den Task untereinander stattfinden.
Natürlich ist das nur so sicher wie das Betriebssystem selber sicher ist und keine Löcher vorhanden sind. Bei der Verwendung von iTan bestand dagegen immer die Gefahr von dem "Man in der Middle" (Janos-Kopf für die alten Griechen) Angriff. Allerdings habe ich nirgend wo eine Statistik gesehen wie oft solche Angriffe in der Vergangenheit erfolgreich waren. Das würde mich echt interessieren.
Man handelt sich aber fairer Weise gesagt eine Menge neuer Probleme ein. Z.B.: Die Bank übernimmt jetzt eventuell die Gewähr (Siehe Ehrenwort der Bank) nicht nur für sichere Apps, sondern auch für ein sicheres Bertiebssystem und deren zukünftigen Revisionen, ein sicheres Handy und die fehlerfreie, einfache, schnelle Bedienung der User.
Genaugenommen eine Mamutaufgabe. Eine Aufgabe für die Ewigkeit.
am 04.06.2020 10:58
Hallo @rodo und herzlich willkommen in unserer Community!
Danke für deine Erläuterungen @ehemaliger Nutzer. Dazu möchten wir noch Folgendes ergänzen.
Die Nutzung des App2App-Verfahrens erfüllt die PSD2-Vorgaben. Eine 2-Faktor-Authentifizierung bei Nutzung der photoTAN App und der comdirect App besteht aus den Faktoren Wissen bzw. Inhärenz (App-Passwort bzw. Biometrie zur Entsperrung der comdirect App) und Besitz (Gerätebindung der photoTAN-Aktivierung an das Gerät und damit Beweis, dass das spezifische aktivierte Gerät sich im Besitz des Kunden befindet).
Die photoTAN App selbst ist keine Zahlungsapp, da hier keine Transaktionen ausgelöst werden können.
Wenn es weitere konkrete Fragen zur PSD2-Konformität gibt beantworten wir die gerne.
Gruß
Erik