Kelemahan Keamanan di 9 Aplikasi Perbankan Mungkin Telah Membocorkan 10 Juta Info Pengguna

Sebagian besar, jika tidak semua, aplikasi yang peka terhadap keamanan menggunakan apa yang dikenal sebagai koneksi TLS untuk membuat tautan terenkripsi secara aman antara server mereka dan ponsel Anda. Ini memastikan bahwa ketika Anda, misalnya, melakukan transaksi perbankan di ponsel Anda, Anda sebenarnya berkomunikasi dengan bank Anda dan bukan server acak yang berpotensi berbahaya.

Hanya ada satu masalah kecil: Menurut sebuah makalah yang dipresentasikan Rabu di Konferensi Aplikasi Keamanan Komputer Tahunan di Orlando, para peneliti di University of Birmingham telah menemukan sembilan aplikasi perbankan populer belum mengambil tindakan pencegahan yang tepat ketika mengatur koneksi TLS mereka. Aplikasi ini memiliki basis pengguna gabungan 10 juta orang, yang semua kredensial login perbankannya dapat dikompromikan jika kelemahan ini dieksploitasi.

"Ini serius, pengguna percaya bahwa bank-bank ini dapat melakukan keamanan operasi mereka," Chris McMahon Stone, seorang mahasiswa PhD keamanan komputer di University of Birmingham, mengatakan Terbalik. “Kelemahan ini sekarang sudah diperbaiki, kami mengungkapkannya kepada semua bank yang terlibat. Tetapi jika seorang penyerang tahu tentang kerentanan ini dan mengatakan pengguna menjalankan aplikasi yang sudah usang, maka itu akan sangat sepele untuk dieksploitasi. Satu-satunya persyaratan adalah bahwa penyerang harus berada di jaringan yang sama dengan korban mereka, jadi seperti jaringan WiFi publik.

Berikut daftar aplikasi yang terpengaruh, per kertas.

Koneksi TLS seharusnya memastikan bahwa ketika Anda mengetik informasi login bank Anda, Anda hanya mengirimnya ke bank Anda dan tidak ada orang lain. Tindakan pencegahan keamanan ini adalah proses dua langkah.

Ini dimulai dengan bank atau entitas lain yang mengirimkan sertifikat yang ditandatangani secara kriptografis, memverifikasi bahwa mereka memang benar-benar yang mereka klaim. Tanda tangan ini diberikan oleh otoritas sertifikat, yang dipercayai oleh pihak ketiga dalam proses ini.

Setelah sertifikat ini dikirim - dan aplikasi memastikannya sah - nama host server harus diverifikasi. Ini hanya memeriksa nama server yang Anda coba sambungkan untuk memastikan Anda tidak membuat koneksi dengan orang lain.

Ini langkah kedua di mana bank-bank ini menjatuhkan bola.

"Beberapa aplikasi yang kami temukan sedang memeriksa apakah sertifikat telah ditandatangani dengan benar, tetapi mereka tidak memeriksa nama host dengan benar," kata Stone. "Jadi mereka akan mengharapkan sertifikat yang valid untuk server apa pun."

Ini berarti penyerang bisa menipu sertifikat dan melakukan serangan man-in-the-middle. Di mana penyerang meng-host koneksi antara bank dan pengguna. Ini akan memberi mereka akses semua informasi yang dikirim selama koneksi itu.

Meskipun kekurangan ini telah diperbaiki, jika Anda menggunakan salah satu aplikasi yang tercantum di atas Anda harus pastikan aplikasi Anda diperbarui untuk memperbaikinya. Stone juga sangat mendesak orang untuk melakukan mobile banking mereka di rumah, satu jaringan mereka sendiri untuk menghindari kemungkinan serangan man-in-the-middle.

Tetap aman di web, teman.