Banking Apps und Android 9

[schdrag]

betrifft z.B. Geräte mit Intels Core 2 CPUs oder älter ab Windows 11 24H2.

wusste ich nicht, danke!

Alles das ins Internet will braucht Sicherheitsupdates.

So als IT-noob:
Die banking apps mit meinem Android 9 Handy zu nutzen, ist ergo fahrlässig oder kommt's darauf an, wie die banking app gestrickt ist? Konkret: die app, mit der ich via scan Muster einen Auftrag legitimiere + twint (Bezahl-app in der Schweiz) plus app, mit der ich Rechnungen einscanne. Gehe jetzt 'mal davon aus, dass die Raiffeisen CH apps so konzipiert sind, dass keine admin Rechte zugeteilt werden (oder kann das eine Schadsoftware ändern?).

 

[Timo]

@schdrag
Ich würde mit einem EOL-Handy nicht mehr ins Internet. Auch nicht (oder gerade nicht) für Banking. Die App kann noch so sicher sein. Das Grundgerüst Android 9 ist seit 2022 EOL. Es werden keine Sicherheitslücken mehr geschlossen.

Ich hab mal exemplarisch eine Sicherheitslücke für Android 9 Google-Seite-1 genommen: CVE-2021-0870
Kurzfassung: Übers Internet ausnutzbar, kein physischer Zugriff nötig, keine Nutzerinteraktion deinerseits nötig, keine erhöhten Rechte (Admin) nötig.
Einzig das Ausnutzen der Sicherheitslücke ist komplex. Aber der Score für die Gefährlichkeit liegt bei 8,1 (Maximal-Score ist 10)
Für diesen Score gibt es ein System, falls du dich einlesen magst: https://de.wikipedia.org/wiki/CVSS
Link zur Sicherheitslücke: https://nvd.nist.gov/vuln/detail/CVE-2021-0870
Diese Lücke wurde geschlossen, aber bei einem EOL-Android können von dem Kaliber noch welche vorhanden sein.

Egal bei welchen Regeln, Geboten, Anforderungen du dich zu dem Thema einliest. Unter den Top3 steht immer "Halt dein System aktuell"
Hier auf Platz 1: https://www.tu-braunschweig.de/it/11-goldene-regeln-zur-informationssicherheit

 

[elchmartin]

Die banking apps mit meinem Android 9 Handy zu nutzen, ist ergo fahrlässig oder kommt's darauf an, wie die banking app gestrickt ist?

Ich würde es nicht mehr tun.
Ich meine auch, dass die banking-Apps sich auf meinem tablet vor 1-2 Jahren verabschiedet haben, weil ihnen Android 9 zu alt war.

 

[fakiauso]

Passt zwar jetzt überhaupt nicht mehr zum Ausgangsthema, aber veraltete Software ist per se Einfallstor und davor schützt auch eine AV nicht.

@schdrag

Banking-Apps auf einem Smartphone gleichzeitig zu nutzen für Transaktion plus Verifizierung ist nicht gut, noch dazu wenn ggf. öffentliches und damit unverschlüsseltes WLAN genutzt wird. Ich mag das jetzt nicht tiefer hier ausbreiten, aber das ist auch bei aktuellem BS des Phones Sch....

Gehe jetzt 'mal davon aus, dass die Raiffeisen CH apps so konzipiert sind, dass keine admin Rechte zugeteilt werden (oder kann das eine Schadsoftware ändern?).

Ein gerootetes Handy wie z.B. für LineageOS lässt die Installation von Banking-Apps per se gar nicht zu. Um da aber irgendwelche Daten zu extrahieren, braucht es das auch nicht. Es genügt schon eine weitere App, die sich einklinkt und die Transaktionen "umbiegt". Aber das ist wie gesagt viel technischer und theoretischer Kram, der hier deutlich das OT überspannt. Für den Tiefgang und Empfehlungen klopfe ich einfach mal etwas in loser Folge hier rein:

Mike Kuketz 🛡 (@kuketzblog@social.tchncs.de)

#Mobile #Banking wird oft verteufelt. Dabei geht mobile Banking unter #Android & #iOS auch sicher und datenschutzfreundlich - wenn man ein paar Dinge beachtet. Inklusive FAQ-Teil, der Antworten auf Fragen wie "Was ist sicherer: Online-Banking am PC oder per Smartphone?" gibt. 👇...

social.tchncs.de

Immer mehr Cyberattacken auf Banking-Apps

Eine Studie zeigt, dass Banken-Malware sich fortlaufend weiterentwickelt und auch mobile Geldgeschäfte bedroht und eine angepasste Sicherheitsstrategie erfordert.

www.der-bank-blog.de

Zum Wochenende: 2FA beim eBanking

Wer es besonders sicher haben möchte, zahlt dafür.

gnulinux.ch

GrapheneOS: Welche Banking-Apps sind lauffähig?

Über Sinn oder Unsinn von Banking-Apps auf Smartphones kann man sich trefflich streiten. Es gibt gute Gründe, keine Banking-Apps zu…

www.kuketz-blog.de

Banking-Apps auf Custom-ROM

Mike testet ja gerade Custom-Roms Ich bin auch schon langem auf der Suche nach einem Androiden der drei von Google ist. Ersetzen kann ich das iPhone aber erst wenn meine banking Apps auch auf dem neuen Gerät ist. Wie weit kann ich denn folgenden Komponenten trauen? Custom-Roms wie CalyxOS...

www.kuketz-forum.de

Android & iOS: Sicheres Mobile-Banking am Smartphone

Sicheres Mobile-Banking am Smartphone (Android, iOS) mit dem chipTAN-Verfahren und der Sparkassen-App.

www.kuketz-blog.de

HTH

 

[elchmartin]

Ein gerootetes Handy wie z.B. für LineageOS lässt die Installation von Banking-Apps per se gar nicht zu.

Falsch herum; die banking app lässt sich installieren, verweigert aber ihre Funktion.
Das Ergebnis ist aber das gleiche.
Es sei denn man arbeitet mit Magisk oder sowas.... Ist bei mir aber auch länger her

 

[fakiauso]

Falsch herum; die banking app lässt sich installieren, verweigert aber ihre Funktion.

Oder so. Auf jeden Fall wird der root-Zugriff abgefragt und dann die Funktion i.d.R. verweigert.

 

[ebastler]

Es sei denn man arbeitet mit Magisk oder sowas.... Ist bei mir aber auch länger her

Inzwischen eigentlich nicht mehr der Fall. Solange die ROMs SELinux enforcing status haben, gehen die meisten Apps. Wenn sie zudem noch ein gültiges Google Zertifikat haben (müsste LOS) gehen restlos alle Apps.

Wenn das Handy gerooted ist sieht's anders aus, magisk kann es verstecken, aber naja. Sehe eh wenig Sinn noch Root aktiv zu haben. Und wenn man das hat, hat man Magisk, und kann's spoofen.

 

[schdrag]

sorry, wenn ich mit meiner off-topic Frage so viel off-topic ausgelöst habe, werde für das Android Problem einen neuen thread eröffnen.
Edit: hier der neue thread: https://thinkpad-forum.de/threads/w...isen-photo-tan-und-twint.240759/#post-2394999

 

[schoerg]

Ich hab mal exemplarisch eine Sicherheitslücke für Android 9 Google-Seite-1 genommen: CVE-2021-0870
Kurzfassung: Übers Internet ausnutzbar, kein physischer Zugriff nötig, keine Nutzerinteraktion deinerseits nötig, keine erhöhten Rechte (Admin) nötig.
Einzig das Ausnutzen der Sicherheitslücke ist komplex. Aber der Score für die Gefährlichkeit liegt bei 8,1 (Maximal-Score ist 10)

NFC und übers Internet ausnutzbar?