Анализ безопасности SSL-соединений онлайн-банкинга ТОП-14 Азербайджанских банков

Пять проверенных сайтов банков позволяют осуществить MitM атаку на своих клиентов.

В этой заметке я хотел бы рассказать о небольшом исследовании, которое решил посвятить онлайн-банкингу в Азербайджане. А точнее его безопасности. Ни для кого не секрет, что хакеры часто используют публичные точки доступа для перехвата трафика и сбора конфиденциальных данных. Атака «человек посередине» очень опасна, поскольку позволяет в некоторых случаях похитить данные, передаваемые по зашифрованному соединению. Успех подобной атаки зависит от различных факторов, главным их которых является небезопасная настройка web сервера. Злоумышленник может использовать слабую конфигурацию SSL/TLS протокола для перехвата и расшифровки данных, передаваемых по защищенному соединению. Существует множество атак, от которых можно защититься только с помощью правильно настроенного web сервера.

Методика исследования:

Для исследования были взяты ТОП-14 банков в Азербайджане по рейтингу сайта banks.az за месяц. Каждый сайт был проверен бесплатными онлайн-инструментами для тестирования надежности SSL-подключения от компаний High-Tech Bridge и Qualys.

Сайты, которые не поддерживают HTTPS или не имеют в наличии онлайн-банкинга, были исключены из списка.

Результаты исследования

Банк	Адрес сайта	HTB	Qualys
AGBank	https://online.agbank.az	A+	A
Bank VTB Azerbaijan	https://online.vtb.az	A+	A-
AmrahBank	https://hbservice.com	A+	A
AccessBank	https://myaccess.az	A+	A-
Unibank	https://online.unibank.az	A+	A-
RabitaBank	https://hbservice.com	A+	A
Bank Of Baku	https://e-bankofbaku.com	B-	C
Nikoil	https:// ibank.nikoil.az	B	B
DemirBank	https://ibanking.millikart.az	C+	C
United Credit Bank	https://hbservice.com	A+	A
ExpressBank	https://ibanking.millikart.az	C+	C
Kapital Bank	https://e-banking.kapitalbank.az/	B+	A-
YapiKredi Bank	https://intbank.yapikredi.com.az/	С	С
Pasha Bank	https://ib.pashabank.az	A+	A

Результаты двух различных сервисов сканирования немного различаются в следствие различных подходов к оцениванию SSL-соединения.

Итоги

Я не стану отмечать такие банки как AmrahBank, Rabita Bank, UCB, ExpressBank, DemirBank, так как они используют сервис онлайн-банкинга от компании AzeriCard и MilliCart. Я выделю лишь те банки, которые имеют собственный онлайн-банкинг.

  

Итак,

Самую высокую оценку A+ по результатам сканирования HTB получили следующие банки: 

    Bank VTB Azerbaijan

     AccessBank

*         AGBank

*         Pasha Bank

*         Unibank 

Оценку не ниже A- по результатам сканирования Qualys получили также следующие банки:
    Bank VTB Azerbaijan

*        AccessBank

*        AGBank

*        Pasha Bank

*        Unibank 

Также удовлетворяют требованиям безопасности с некоторыми оговорками следующие банки:

  Nikoil

  Kapital Bank

      

По итогам тестирования четыре проверенных сайтов получили оценку С, что говорит о небезопасных настройках или наличии уязвимостей, позволяющих осуществить MitM атаку на клиентов банков. При этом, требованиям PCI DSS соответствуют менее шести проверенных сайтов.

По версии HTB и Qualys, сайты банков с оценкой А являются безопасными для использования в общественных сетях.

Автор: Namik Heydarov