Access-Unsicherheit gefährdet Homebanking

Der mangelhafte Paßwortschutz von Microsoft Access überträgt sich auf Homebanking-Anwendungen, die auf Access aufsetzen. Der Informatik-Student Eckhard Prühs erläutert auf seinen WWW-Seiten die Folgen für die deutsche Sparkassensoftware S-Connect von ADI: S-Connect speichert umfangreiche Daten über Kontobewegungen sowie Überweisungen und Daueraufträge in einer Access-Datenbank, deren einziger Schutz das unzulängliche Access-Paßwort ist. Eine weitere Access-Datei mit Systeminformationen enthält die Web-Adresse für Softwareupdates. Auch diese Information läßt sich beliebig ändern, so daß man dem Anwender verfälschte Softwareversionen unterschieben könnte; Prühs hält auf seiner Seite eine Access-Datei bereit, die eine entsprechende Modifikation vornehmen können soll.

Um die S-Connect-Dateien zu lesen und zu verändern, muß ein Angreifer physischen Zugang zum Computer (etwa am Arbeitsplatz) haben. Eine denkbare Alternative wäre, über ein Trojanisches Pferd oder eine Sicherheitslücke in Anwendungsprogrammen (z. B. Browser) auf den Rechner zuzugreifen.

Zum Glück hat ADI in ihrem Produkt nicht nur auf Microsofts Sicherheit gebaut: Wer seine persönliche Identifikationsnummer (PIN) und Transaktionsnummern (TAN), die zur Autorisierung von Überweisungen notwendig sind, aus Bequemlichkeitsgründen abspeichern will, muß ein zusätzliches Sicherheitskennwort angeben, das nicht durch Access verwaltet wird. Die gespeicherten PIN/TAN-Daten sind mit diesem zusätzlichen Kennwort chiffriert und sollten daher einem Angreifer verborgen bleiben.

In der Sicherheitsmailingliste Bugtraq erschien zudem ein Beitrag, demzufolge auch die Finanzverwaltung Microsoft Money auf den Paßwortschutz von Access baut - auch hier sollen durch die Aufhebung des Paßwortschutzes Transaktionsdaten lesbar werden. (nl)