Auf dem kürzlich abgehaltenen FDX Global Summit Spring 2021 nahm ich als Vertreter von F5 an einer Podiumsdiskussion teil, gemeinsam mit weiteren Diskussionsteilnehmern von Cequence Security und Mastercard-Nudata. Wir sprachen über die Arbeit der FDX-Arbeitsgruppe für API-Sicherheit, die Finanzinstitute, Aggregatoren und Sicherheitsanbieter zusammenbringt, um gemeinsam einen sicheren und offenen Banking-Standard für den Datenaustausch zu definieren.
Financial Data Exchange (FDX) ist eine gemeinnützige Organisation, die sich auf die Entwicklung des FDX-API-Standards (Application Programming Interface) konzentriert, um einen gemeinsamen interoperablen Datenstandard zu schaffen. Dieser ermöglicht Verbrauchern und Unternehmen einen zuverlässigen und sicheren Zugriff auf ihre Finanzdaten und wird den Maßstab für Open Banking in den Vereinigten Staaten und Kanada setzen.
Open Banking bietet eine vielversprechende Chance für mehr Innovation und Zusammenarbeit in der Finanzdienstleistungsbranche. FinTechs und andere autorisierte Dritte erhalten dadurch Zugang zu Finanzdaten von Verbrauchern, um innovative Mehrwertdienste zu entwickeln und anzubieten. Open-Banking-Standards ermöglichen es Verbrauchern, einem sicheren, differenzierten Zugriff Dritter auf bestimmte Finanzdaten (z. B. Kontostände, Transaktionen) und Funktionen (z. B. Zahlungen) zuzustimmen und diesen zu gestatten. Für Dritte und FinTechs ergeben sich dadurch vielfältige Möglichkeiten, Mehrwertdienste anzubieten, darunter:
- Zusammenführung von Konten und Dienstleistungen mehrerer Institute an einem zentralen Ort
- Zahlungsauslösung
- Vergleich von Finanzprodukten
- Bankdienstleistungen anbieten, die von dem Institut noch nicht erbracht werden
- Bereitstellung von Entscheidungen und Erkenntnissen auf Grundlage von Finanzdaten – etwa zur Identitätsprüfung, Beurteilung der Kredittragfähigkeit usw.
F5 arbeitet weltweit eng mit unseren Kunden aus dem Finanzdienstleistungssektor zusammen, um Open-Banking-APIs zu implementieren und abzusichern. F5 und Twimbit haben gemeinsam eine Studie zu den weltweiten Trends im Open Banking veröffentlicht.
Der inhärente Wert von Finanzinformationen der Verbraucher
Finanzdaten von Verbrauchern werden auf Darknet-Marktplätzen als Ware gehandelt – für Preise zwischen 35 USD (für Konten mit geringem Guthaben, die als Geldwäschekonten für andere Betrugsdelikte genutzt werden können) und mindestens 150 USD (für Konten mit höherem Guthaben). Dieser relativ geringe Handelswert von Finanzdaten ist auf das enorme Angebot an kompromittierten Konten und Zugangsdaten zurückzuführen. Angreifer setzen daher auf Automatisierung – in Form von APIs –, um ihre Aktivitäten zu skalieren und Tausende gestohlener Konten zu handeln. Finanz-APIs sind somit zu einer zentralen Angriffsfläche geworden, die geschützt werden muss.
Angreifer konzentrieren sich beim Open Banking auf APIs
In letzter Zeit konzentrieren Cyberkriminelle, die es auf den Finanzdienstleistungssektor abgesehen haben, ihre Angriffe zunehmend auf Programmierschnittstellen (APIs). Anwendungen basieren immer häufiger auf einem verteilten und dezentralisierten Modell, bei dem APIs als Verbindungspunkte dienen. Die neuesten Untersuchungen von F5 zeigen, dass die Zahl der API-Sicherheitsvorfälle jedes Jahr steigt. Die meisten API-Vorfälle der vergangenen zwei Jahre standen mit einem geringen Sicherheitsreifegrad in Zusammenhang, der häufig durch eine unübersichtliche Vielzahl von Tools verursacht wird. Verschiedene Entwicklungsteams, die an mehreren Anwendungen arbeiten, verwenden oft unterschiedliche Toolsets. Das bedeutet, dass herkömmliche Sicherheitsteams möglicherweise nicht über eine zentrale Kontrollinstanz verfügen, um Sicherheitsrichtlinien durchzusetzen. Daher ist ein standardisierter Satz von Tools erforderlich, um die richtigen Kontrollen in die Prozesse zur Entwicklung und Verwaltung von APIs zu integrieren.
Eine Entwicklung – OFX und Screen Scraping
APIs sind nicht die einzige Angriffsfläche, die Aufmerksamkeit erfordert. Traditionell haben Drittanbieter und Finanzdatenaggregatoren, die Zugriff auf Verbraucherdaten benötigten, zwei Mechanismen genutzt:
- OFX (Open Financial eXchange) – ursprünglich entwickelt, um Finanzanwendungen für Verbraucher (z. B. MS Money, Intuit QuickBooks) mit den Finanzinstituten eines Benutzers zu verbinden.
- Screen Scraping – dabei stellen Verbraucher einem Drittanbieter ihre Onlinebanking-Zugangsdaten zur Verfügung, der sich damit anmeldet und die entsprechenden Informationen aus dem Webkanal des Finanzdienstleisters ausliest.
OFX kann von Angreifern als Kanal für groß angelegte Credential-Stuffing-Angriffe, Kontovalidierungen und Kontoübernahmen genutzt werden – sowohl direkt als auch über Finanzdatenaggregatoren:
- F5 beobachtet regelmäßig, dass Angreifer OFX als Kanal für groß angelegte Credential-Stuffing-Angriffe, Kontovalidierungen und Kontoübernahmen nutzen – sowohl direkt als auch über Finanzaggregatoren.
- Wenn Zugangsdaten für Screen Scraping an Dritte weitergegeben werden, hängt deren Sicherheit von den Sicherheitsvorkehrungen des jeweiligen Drittanbieters ab.
- Diese Mechanismen bieten Verbrauchern keine differenzierten Möglichkeiten, der Weitergabe bestimmter Informationen zuzustimmen und zu kontrollieren, auf welche Informationen Dritte zugreifen können, was zu Datenschutzverletzungen führt.
OFX ist FDX beigetreten und wird letztlich in einen einheitlichen Standard überführt. Dies bietet die Chance, Sicherheitskontrollen zu modernisieren und die Sicherheitsprobleme der Vergangenheit zu beheben. Auf Screen Scraping basierende Ansätze stellen Finanzinstitute weiterhin vor Herausforderungen.
Empfehlungen zur Verbesserung der Sicherheit
FDX hat umfassende Empfehlungen zu den Kontrollen veröffentlicht, die zum Schutz vor Bedrohungen und Risiken für Verbraucher-Kontoinformationen und die Integrität der Dienste implementiert werden sollten. Zu diesen Kontrollen gehören:
- Softwaresicherheit – Schutzmaßnahmen gegen die OWASP Top 10 und andere Softwareschwachstellen – einschließlich der Implementierung einer Web Application Firewall (WAF)
- Netzwerk- und Systemsicherheit
- Betriebssicherheit
- Physische Sicherheit
- Geschäftskontinuität und Notfallwiederherstellung
- Lieferantensicherheit
- Entwurfsmuster für AuthN/AuthZ einschließlich Schutzmaßnahmen gegen Credential Stuffing
- Muster für eine sichere Gateway-Architektur (SGA), einschließlich in das API-Gateway integrierter API-Sicherheitskontrollen
Abschließend bietet der Leitfaden „F5 Open-Banking-Lösungen“ einen umfassenden Überblick über die Lösungen von F5 für Open Banking.
Ein besonderer Dank gilt den Mitgliedern unseres Financial-Services-Teams, die zu diesem Artikel beigetragen haben: Benn Alp, Chad Davis und Andy Franklin.
Über den Autor
Ähnliche Blogbeiträge
Ein umfassender Leitfaden zur Bereitstellung und Sicherheit von KI-Anwendungen
Entdecken Sie optimale Strategien für die Absicherung und Bereitstellung von KI-Anwendungen.
KI zulassen und einführen? Lehren aus der Public Cloud
Die Einführung von KI steht unmittelbar bevor und könnte entscheidend sein, um wettbewerbsfähig zu bleiben. Daher muss die IT-Sicherheit proaktiv handeln und der KI-Einführung schon jetzt einen Schritt voraus sein, um sie auf einen risikogerechten Weg zu lenken.
Stand der Anwendungsstrategie 2022: Zeit für die Modernisierung des Betriebs
Es ist deutlich geworden, dass Unternehmen ihren Fokus erneut auf die Geschäftsfunktionen richten müssen, um die Dynamik ihrer digitalen Transformation aufrechtzuerhalten. Kundenerlebnisse haben zwar weiterhin Priorität, doch auch Geschäftsfunktionen wie Recht, Personalwesen und Finanzen müssen digitalisiert werden. Das bedeutet, dass CIOs das Steuer übernehmen, während sich die digitale Transformation von der Modernisierung von Anwendungen hin zur Modernisierung von Betriebsabläufen verlagert.
F5s Weg zu einer vielseitigen Plattform für Anwendungsanalysen
F5 bietet heute die umfassendsten Anwendungsdienste entlang des gesamten Weges vom Code bis zum Kunden. Künftig werden wir verstärkt auf Anwendungstelemetrie und -analysen setzen, damit unsere Kunden wertvolle Erkenntnisse über ihre Anwendungen, Geschäftsabläufe und Benutzererlebnisse gewinnen können. Beim Ausbau unserer Cloud-Analysefunktionen werden wir ML und KI noch stärker nutzen, um unsere Kunden bei der Verbesserung ihrer Geschäftsdienste zu unterstützen.
Telemetrie: Eine andere Art von Daten
Verwenden wir den Begriff „Telemetrie“ nur, weil er attraktiver klingt als „Daten“? Letztlich sind sowohl Daten als auch Telemetrie strukturierte Informationseinheiten. Es ist kein Verbrechen, die Begriffe synonym zu verwenden. Doch wenn man es genau nimmt, gibt es einen Unterschied. Und dieser Unterschied wird immer wichtiger werden, je weiter Unternehmen in die Datenökonomie vordringen.
MTTR bedeutet nicht „Mean Time to Reboot“
„Schnell scheitern“ lautet heute das Mantra für mehr Geschwindigkeit. Ob in DevOps oder im Geschäftsleben: Wer in einer digitalen Wirtschaft agiert, muss eine möglichst perfekte Verfügbarkeit gewährleisten.