Cybersicherheitsforscher haben einen neuen Angriff auf Tastatureingaben entwickelt. Die Erkenntnisse daraus sollen aber verhindern, dass Angreifer auf Tippverhalten-basierte biometrische Sicherheitslösungen diese Schwachstelle nutzen können.
Die Studie der Sicherheitsforscher Nitzan Farhiac, Nir Nissimab und Yuval Elovicic, „Malboard: A Novel User Keystroke Impersonation Attack and Trusted Detention Framework Based on Side-Channel Analysis“, beschreibt einen neuen Angriff, der bösartige Tastaturanschläge erzeugt, die das Tippverhalten des Opfers nachahmen. So können Sicherheitslösungen, die Benutzer per Tastendruck identifizieren, so getäuscht werden, dass sie glauben, dass die Zugriffsanfragen vom richtigen Benutzer gestellt werden.
Die Idee, biometrische Sicherheitslösungen einzusetzen, die eine Person so eindeutig identifizieren, gibt es seit Jahren und hat sich als sehr sichere Technologie erwiesen. Auch wenn sich die Biometrie zur Sicherung von Geräten bewährt hat, beweist diese Schwachstelle, dass dies nicht mehr der Fall ist. Wie bei so vielen bewährten Sicherheitsmaßnahmen kommt es zwangsläufig zu einem Punkt, an dem sie gefährdet werden.
Aus technischer Sicht ist die Malboard-Angriffsmethode eine von vielen innovativen Angriffsmethoden, um Schwachstellen auszunutzen. Dies macht sie selbstverständlich zu einem bevorzugten Werkzeug für zielgerichtete fortschrittliche Angriffe, bei denen die Cyberkriminellen sehr genau wissen, wonach sie suchen und welchen Account sie da übernehmen. In der Regel nutzen Angreifer jedoch nach wie vor eher traditionelle Angriffsmethoden, wie Phishing, um Konten zu übernehmen, Schadsoftware zu installieren oder aber Daten abzufischen.
Der beste Weg, um sich als Unternehmen gegen solche Angriffe zu schützen, ist der Aufbau einer menschlichen Firewall. Aus diesem Grund glauben wir, dass Unternehmen ihre Mitarbeiter und Nutzer weiterhin über die verschiedenen Angriffstechniken in der IT-Sicherheit aufklären müssen. Dafür müssen sich die Mitarbeiter einem fortgeschrittenen Security-Awareness-Training mit simulierten Phishing-Tests unterziehen. Diese kontinuierlichen Schulungen helfen ihnen, bösartige E-Mails und Webinhalte zu erkennen. Unsere Erfahrung zeigt, dass die Benutzer dadurch die richtigen Informationen erhalten, um auf Phishing aufmerksam zu werden und richtig darauf zu reagieren. Verbunden mit den Erfahrungswerten, die Mitarbeiter im Laufe der Zeit im Umgang mit diesen Angriffen entwickeln, erhöhen sich die Chancen für eine erfolgreiche Abwehr eines Angriffs deutlich.
#Netzpalaver #KnowBe4
