Aktuelles, Branche, Studien - geschrieben von am Montag, Juli 8, 2019 23:05 - noch keine Kommentare

Tippverhalten-basierte Sicherheitslösung sind zu kompromittieren

Cyber-Sicherheitsforscher haben neue Angriffsmethode auf Tastatureingaben entwickelt

[datensicherheit.de, 08.07.2019] In seinem aktuellen Kommentar geht Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, auf den Umstand ein, dass Tippverhalten-basierte Sicherheitslösungen kompromittiert werden können. Demnach haben Cyber-Sicherheitsforscher eine neue Angriffsmethode auf Tastatureingaben entwickelt, die verhindert, dass Angreifer von Tippverhalten-basierten biometrischen Sicherheitslösungen erkannt werden.

Benutzer könnten leicht imitiert werden

Die Studie der Sicherheitsforscher Nitzan Farhiac, Nir Nissimab und Yuval Elovicic, „Malboard: A Novel User Keystroke Impersonation Attack and Trusted Detention Framework Based on Side-Channel Analysis“, beschreibt laut Wieringa einen neuen Angriff, der bösartige Tastaturanschläge erzeugt, welche das Tippverhalten des Opfers nachahmen. So könnten Sicherheitslösungen, die Benutzer per Tastendruck identifizieren, so getäuscht werden, „dass sie glauben, dass die Zugriffsanfragen vom richtigen Benutzer gestellt werden“.
Benutzer könnten dadurch leicht imitiert werden, was die Erkennung von externen Angriffen, die kompromittierte interne Anmeldeinformationen nutzten, weiter erschwere. Cyber-Kriminelle würden damit beginnen, diese Art von Funktionen in ihre automatisierten Angriffe zu integrieren, da Sicherheitsanbieter ihre Fähigkeit zur Identifizierung sowie zur Sicherstellung, dass die richtigen Benutzer die Anfrage stellen, weiter verbesserten.

Malboard-Angriffsmethode eine von vielen innovativen Angriffsmethoden

„Die Idee, biometrische Sicherheitslösungen einzusetzen, die eine Person so eindeutig identifizieren, gibt es seit Jahren und hat sich als sehr sichere Technologie erwiesen. Auch wenn sich die Biometrie zur Sicherung von Geräten bewährt hat, beweist diese Schwachstelle, dass dies nicht mehr der Fall ist. Wie bei so vielen bewährten Sicherheitsmaßnahmen kommt es zwangsläufig zu einem Punkt, an dem sie gefährdet werden“, erläutert Wieringa.
Aus technischer Sicht sei die Malboard-Angriffsmethode eine von vielen innovativen Angriffsmethoden, um die Schwachstelle auszunutzen. Dies mache sie selbstverständlich zu einem bevorzugten Werkzeug für zielgerichtete fortschrittliche Angriffe, bei denen die Cyber-Kriminellen sehr genau wüssten, wonach sie suchen und welches Account sie da übernehmen. In der Regel nutzten Angreifer jedoch nach wie vor eher traditionelle Angriffsmethoden, wie Phishing, um Konten zu übernehmen, Schadsoftware zu installieren oder aber Daten abzufischen.

Aufbau einer „menschlichen Firewall“ empfohlen

Der beste Weg, um sich als Unternehmen gegen solche Angriffe zu schützen, sei der Aufbau einer „menschlichen Firewall“. Wieringa: „Aus diesem Grund glauben wir, dass Unternehmen ihre Mitarbeiter und Nutzer weiterhin über die verschiedenen Angriffstechniken in der IT-Sicherheit aufklären müssen.“ Dafür müssten sich die Mitarbeiter einem fortgeschrittenen Security-Awareness-Training mit simulierten Phishing-Tests unterziehen.
„Diese kontinuierlichen Schulungen helfen ihnen, bösartige E-Mails und Webinhalte zu erkennen. Unsere Erfahrung zeigt, dass die Benutzer dadurch die richtigen Informationen erhalten, um auf Phishing aufmerksam zu werden und richtig darauf zu reagieren“, so Wieringa. Verbunden mit den Erfahrungswerten, die Mitarbeiter im Laufe der Zeit im Umgang mit diesen Angriffen entwickelten, erhöhten sich die Chancen für eine erfolgreiche Abwehr eines Angriffs deutlich.

Jelle Wieringa, Technical Evangelist bei KnowBe4

Foto: KnowBe4

Jelle Wieringa: Mitarbeiter sollten fortgeschrittenes Security-Awareness-Training mit simulierten Phishing-Tests erhalten!

Weitere Informationen zum Thema:

Science Direct, August 2019
ELSEVIER / Malboard: A novel user keystroke impersonation attack and trusted detection framework based on side-channel analysis

datensicherheit.de, 27.06.2019
Hacker: Mehr als 10 weltweit tätige Telekommunikationsanbieter infiltriert

datensicherheit.de, 14.06.2019
Empfehlungen für den Aufbau eines Sicherheitsbewusstseins in Unternehmen

datensicherheit.de, 23.10.2018
KnowBe4 veröffentlicht Top-Klicks Phishing Report für das 3. Quartal

datensicherheit.de, 18.10.2018
IT-Sicherheit über die menschlichen Ebene erreichen

datensicherheit.de, 16.09.2018
Phishing-Nachrichten: Anstieg des CEO-Frauds zu beobachten



Kommentieren

Kommentar

Kooperation

TeleTrusT

Mitgliedschaft

German Mittelstand e.V.

Mitgliedschaft

BISG e.V.

Multiplikator

Allianz für Cybersicherheit

Datenschutzerklärung