Designfeil, i tillegg til sikkerhetsproblemer, hurtige banksider

Banknettsteder lider av designfeil som underminerer sikkerheten deres, eksklusive programvaresårbarheter, ifølge en studie fra University of Michigan som skal utgis fredag.

Av 214 nettsteder undersøkt i 2006 hadde mer enn 75 prosent minst en designfeil som kan føre til et sikkerhetsproblem, sa universitetet. Nettstedets flyt og utforming kan gjøre disse nettstedene mer risikable, og problemene kan ikke løses med en patch i motsetning til et programvaresårbarhet.

Noen av studiens funn ble utgitt på tirsdag av universitetet. De fullstendige funnene vil bli presentert på Symposiet om brukbar personvern og sikkerhet møte fredag ​​ved Carnegie Mellon University i Pittsburgh.

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

Studien ble gjennomført av Atul Prakash, en professor i Institutt for elektroteknikk og datavitenskap, og to doktorgradsstudenter, Laura Falk og Kevin Borders. Prakash begynte å undersøke etter å ha merket problemer med sitt eget banks nettsted, sa universitetet.

Selv om undersøkelsen ble gjort i 2006, påvirker mange av problemene fortsatt finansielle nettsteder. En av kjerneproblemene er en underutilisering av SSL (Secure Sockets Layer) -krypteringsteknologi på nettsider.

Studien fant at 47 prosent av bankene ikke brukte SSL på innloggingssider, noe som kunne åpne døren for en hacker til omdirigere data til egen PC. Ikke bruk SSL gjør det også lettere for et mann-i-midten-angrep, hvor offerets data går gjennom en angripers PC før den blir sendt til bankens server.

Et annet gjennomgripende problem som rammer 55 prosent av institusjonene, er å plassere kontaktinformasjon og sikkerhetsråd på usikre sider. En hacker kunne trolig bryte inn på nettstedet og endre kundeservice telefonnummeret til direkte bankkunder til et fiktivt call center. Igjen er SSL det rette.

Forskerne fant at 30 prosent av nettstedene skulle omdirigere brukere til andre nettsteder, noe som kan skjelne hvordan en person skal vurdere risiko, sa studien., siden det lenker til, vil sannsynligvis ikke bli vurdert som en sikkerhetsrisiko, selv om det kan være. Bank bør sette alle sine nettsider på samme server, men noen har outsourcet sikkerhetsfunksjoner som er vert for andre domener.

Svake bruker-IDer og passord fortsetter å være plagsomme, med 28 prosent av bankene enten mangler passordretningslinjer eller lar svake seg. Institusjoner vil også e-post passord eller uttalelser, som også er risikabelt, sa studien.