Viren, Hackerangriffe und Spam gehören zu den täglichen negativen Erfahrungen und Unannehmlichkeiten im Internet. Gegenmassnahmen wie Antivirenschutz, Firewalls, Spamfilter usw. kosten die Industrie weltweit jährlich einen hohen dreistelligen Milliardenbetrag. Vollständig schützen kann man sich leider nicht; das Risiko lässt sich aber auf ein Minimum reduzieren, indem man Attacken möglichst wenig Angriffsfläche bietet. Regelmässige Aktualisierungen der Software (Betriebssystem, Virenschutz usw.) bilden zwar einen wichtigen Aspekt in einem Abwehrdispositiv. Verhindern lassen sich damit allerdings nicht Angriffe mit Trojanern, welche im E-Banking-Verkehr die Funktion des «Man-in-the-Middle» oder «Man-in-the-Browser» übernehmen, schreibt Crealogix in einer Medienmitteilung. Mit diesen Funktionen liessen sich auch ausgeklügelte Sicherheitssysteme wie Streichlisten, Digipass, SecurID u.a.m. aushebeln. Mit der Nutzung des neuen CLX Stick werde nun eine neue Ära im sicheren E-Banking-Verkehr gestartet.
Welche Vorteile bietet der CLX Stick?
Der CLX Stick basiert auf dem USB-Interface und ist dadurch in der Lage, unterschiedliche Betriebssysteme zu unterstützen. Die verwendete Software beruht auf dem «Zero-Footprint-Prinzip», weshalb die Installationen von Treibern und Zusatzsoftware oder Konfigurationen auf dem PC entfallen. Zero-Footprint-Software bietet eine vielversprechende Lösung in Situationen, wo Anwendungen Sicherheitsfunktionalität benötigen, die heutige Web-Browser nicht bieten und wo gleichzeitig die Installation von zusätzlicher Software nicht durchführbar ist. Eine Web-basierte Sicherheitssoftware muss grundsätzlich folgende Aufgaben übernehmen können: Identifizierung/Authentisierung, Berechtigungen/Autorisierung, Vertraulichkeit/Datenschutz und Sicherheitsmanagement. Die Sicherstellung dieser Aufgaben wird nun durch den CLX Stick mittels eines sogenannten «gehärteten» Browsers bewerkstel-ligt. In einer exklusiven Kooperation von CREALOGIX E-Banking Solutions AG mit der auf die Entwicklung von sicherheitskritischen Komponenten spezialisierten Firma EISST Ltd. wurde dieser gehärtete Browser entwickelt. Dieser gehärtete Browser ist denn auch das zentrale Sicherheitsmerkmal. Denn er erlaubt keine Extensionen wie Plugins, Java-Applets, Active-X oder Browser Helper Objects (BHO’s) und verhindert exter-ne Zugriffe (externe DOMs (Document Object Model) sind nicht verfügbar). Er bietet eine enge Verknüpfung mit den internen und externen kryptografischen Subsystemen sowie einen zusätzlichen Binär-Schutzmechanismus (verschlüsselte Ausführdatei). Ein weiteres Sicherheitsmerkmal ist die Möglichkeit, Teile der Software auf dem Stick durch zentralsignierte Updates zu ersetzen. Angreifer müssen deshalb immer andere Angriffspunkte ermitteln – eine gleichzeitig durchgeführte breite Attacke auf unzählige Kunden ist deshalb nicht möglich.
Mit dem CLX Stick lassen sich sowohl der «Man-in-the-Middle» wie auch der «Man-in-the-Browser» völlig eliminieren, da die Installation von den dazu notwendigen Trojanern verunmöglicht wird.
All diese Funktionalitäten werden vom CLX Stick mit seiner Hard- und Software übernommen und der Benutzer selber spürt nichts davon. Er steckt den CLX Stick in einen freien USB-Port und der gehärtete Browser startet automatisch. Eine «White List» im Stick gibt dabei vor, mit welchen Bankinstituten Kontakt aufgenommen werden kann. Nun beginnt für den Benutzer sein gewohntes Login mit Passwort, Streichliste, Matrix-Karte, Digipass oder auch SecurID. Der grosse Vorteil besteht darin, dass der Benutzer nicht Neues dazu lernen muss, sein gewohnter Ablauf wird nicht tangiert. Einfachheit und Benutzerfreundlichkeit sind die wichtigsten Voraussetzungen, damit ein neues Sicherheitssystem auch in der ganzen Breite akzeptiert wird. Die innovative Lösung mit den CLX Stick bietet dies in allen Belangen.
Welches sind die Zielgruppen für den CLX Stick?
Der CLX Stick, welcher eine extrem hohe Sicherheit bietet, lässt sich auf zwei unterschiedliche Arten einsetzen. Einerseits kann eine Bank mit einem bankspezifischen CLX Stick ihr bisheriges Login-System ersetzen bzw. ergänzen, in-dem sie den Stick ihren Kunden ausliefert. Dank einem bank-spezifischen Zertifikat lässt sich dann das Login gegenüber den heutigen Verfahren extrem vereinfachen. Diese Lösung ist aber von Bank zu Bank unterschiedlich und wird von CREALOGIX jeweils individuell angepasst (Erscheinungsbild, Ablauf, Si-cherheitskonzept usw.).
Anderseits kann der CLX Stick von Privatkunden direkt erworben werden. Mit dieser Ausführung können mit einem einzigen CLX Stick ganz unterschiedliche Banken (die Bank muss nur in der White List eingetragen sein) ansteuern. Der Benutzer verfährt in diesem Fall mit der bereits gewohnten bisherigen Login-Prozedur, kann aber davon ausgehen, dass die Sicherheit nicht nur seiner Transaktionen sondern seiner gesamten Finanzdaten (Privacy) um einige Stufen angehoben worden ist. Somit wird die Zielsetzung der CLX Stick Entwicklung vollumfänglich erreicht: Das Vertrauen des Kunden zu seinem Bankinstitut wird gestärkt, die Schäden welche durch die Transaktionsmanipulationen entstehen, lassen sich minimieren und den unangenehmen Internetangreifern wird das Handwerk um Potenzen schwieriger gemacht.
Wie geht es weiter mit dem CLX Stick?
Die gesamte Funktionalität des CLX Stick wird zurzeit durch die Firma Compass Security AG geprüft, dem führenden Anbieter für Penetration Testing und Ethical Hacking. Projekte mit dem Einsatz bei Bankkunden sind ebenfalls am Laufen und werden beim Start entsprechend kommuniziert. An der Lösung für den Privatkunden wird intensiv gearbeitet und die Produktion von grösseren Stückzahlen wird in nächster Zeit anlaufen. Die Markteinführung ist im Laufe dieses Jahres geplant und setzt die oben erwähnte Sicherheitsprüfung voraus. Der Einsatz des CLX Stick lässt sich nicht nur auf das reine Online-Banking beschränken, auch die Kombination mit dem ebenfalls von CREALOGIX angebotenen Produkt namens PayMaker ist in Vorbereitung. Durch die Integration auf dem CLX Stick bietet dieses bewährte Software-Produkt eine komplette End-to-End Sicherheit im Offline-Zahlungsverkehr.
CREALOGIX
Die CREALOGIX Gruppe ist ein führender Anbieter für E-Business und ERP (Enterprise Resource Planning) in der Schweiz, Deutschland und Österreich. Ein Grossteil der CREALOGIX Gruppe Schweiz ist anfangs Mai 2008 in den Bas-lerpark nach Altstetten (Zürich) umgezogen. Die Aktien der CREALOGIX Holding AG (CLXN) sind an der SWX Swiss Ex-change kotiert.