Hacker-angreb med den såkaldte man in the middle-metode er svære at gardere sig imod. Nu kan potentielle ofre imidlertid beskytte sig mod angrebne takket være en ny teknik udviklet af det danske sikkerhedsfirma SMS Passcode.
Man in the middle-metoden har med succes været brugt til at knække NemID-sikkerheden i mindst ét kendt kup, hvor otte personers netbank blev ranet.
Angrebs-metoden går ud på, at en hacker i det skjulte får sig anbragt mellem ofret og det system, som ofret ønsker at logge ind på.
Fra denne position kan hackeren se de log-in oplysninger, ofret indtaster. Ved at give ofret en falsk side, sådan som hackerne i føromtalte netbank-kup gjorde, kan "manden i midten" se kodeord og krypteringsnøgler indtastet på den falske side og i realtid selv logge ind på den ægte side.
Man-in-the-middle angreb, som også kaldes real-time phishing, stoppes derfor ikke af normale sikkerhedsprocedurer, hvor man anvender koder, som hackeren ikke burde kende.
Men manden i midten kan afsløres.
Den nye version af SMS Passcodes log-in-løsning bruger lokations-bestemmelse til at sikre, at det er den rigtige bruger og ikke en hacker, der indtaster koderne.
Sammen med sin sms-kode får brugeren oplyst, hvor systemet tror, han logger ind fra.
"Hvis man derfor logger ind fra Danmark og får kode med besked om, at man logger ind fra Rusland, så ved man med stor sikkerhed, at en anden bruger er mellem dig og det system, som du logger ind på. Denne form for lokationsbestemt besked kan lade sig gøre, fordi SMS Passcodes løsning er baseret på realtidskoder og ikke som de fleste andre løsninger på præ-definerede koder på fysiske nøgler eller et papkort som NemID", fortæller Lars Barthold Nielsen, der er kommerciel direktør i firmaet.
Bruger ikke GPS
Der er andre løsninger, der bruger lokation til at tillade eller afvise adgang. Disse er dog typisk baseret på, at den centrale IT afdeling definerer, hvilke lokationer der skal have adgang baseret typisk på brugerens IP-adresse. Det er et problem, fordi mange brugere er mobile og rejser rundt.
Positions-bestemmelsen i SMS Passcode-systemet er ikke tilknyttet smartphones eller GPS-modtagere, men udelukkende den IP-adresse, der logges ind fra.
Løsningen kan konfigureres af it-afdelingen, så man kun får lov til at logge ind fra bestemte lande eller lokationer - og konfigurationen kan kombineres med brugerens viden og adfærd. Brugeren kan dog ikke selv ændre indstillingerne og acceptere spærrede lande eller fremsende anden position end den korrekte, da det ville skabe en åbning for hackeren.
Kombinationen af de forskellige informationer om brugeren og hans lokation kan enten bruges til at afvise eller begrænse adgang eller til at advare brugeren gennem besked om, hvor log-in sessionen er registreret. I tilfælde af advarsel får brugeren SMS-besked om password i kombination med, hvor brugeren befinder sig.
Den nye sikkerhedsfunktion fås i version 6.1 af SMS Passcode. Firmaet fortæller, at det har ansøgt om patent på teknologien.
