Zajištění bezpečnosti stránek při e-bankingu Vypracovala Katarína Citsoňová

Osnova Zabezpečení přenosu dat Autorizace a autentizace Autentizační prostředky Další způsoby ochrany Otázka bezpečnosti je ožehavá snad u každého způsobu elektronického bankovnictví. Pokud se zaměříme na bankovnictví internetové, souvisí jeho bezpečnost velmi úzce s bezpečností samotného internetu. Řešení zabezpečení má dva hlavní úkoly. Za prvé je důležité zajistit bezpečné datové cesty mezi vlastním systémem internetového bankovnictví a serverem na straně banky (první bod osnovy). Druhým úkolem je zabezpečit ochranu dat při ověřování identity klienta a jeho oprávnění k provedení požadovaných transakcí (druhý bod). Jakými prostředky je tohle zajištěno si řekneme ve třetí části a nakonec zmíním ještě pár dalších způsobů ochrany před zneužitím dat. 29.3.2008 Katarína Citsoňová

Zabezpečení přenosu dat HTTP + SSL = HTTPS Zabezpečení přenosu dat Přenos bankovních informací je choulostivou záležitostí a jeho zabezpečení musí být věnována patřičná pozornost. Prvním krokem proto nutně je zajištění prostředí, které ochranu transferovaných dat bude moci poskytnout. Otevření komunikačního kanálu mezi klientem a bankou znamená vstup do systému internetového bankovnictví. A právě tato cesta, kudy data putují, je jedním ze slabých míst. Riziko spočívá v tom, že tato komunikace probíhá prostřednictvím internetového protokolu HTTP (internetový protokol určený pro výměnu hypertextových dokumentů ve formátu HTML), který není schopen žádné ochrany dat, takže kterákoliv třetí osoba může komunikaci zachytit, pozdržet, případně přečíst, a následně pozměnit. Východiskem z této situace se stal protokol SSL (secure sockets layer – vrstva bezpečných socketů), který spojením s protokolem HTTP dal vzniknout nové, bezpečnější verzi internetového protokolu - HTTPS, která již umožňuje přenášená data šifrovat a tím chránit před odposlechem či jiným narušením. Šifrování zajišťuje webový prohlížeč, a přesvědčit se o tom můžeme pohledem na dolní lištu, kde by měla svítit žlutá ikona visacího zámku. Všechny banky používají dostatečně silné šifrování a SSL certifikáty vystavené u certifikačních autorit. 29.3.2008 Katarína Citsoňová

Autorizace a autentizace Pasivní a aktivní operace Autorizace je postup, který omezuje přístup k informacím, funkcím a dalším objektům. Přístup mají pouze oprávněné subjekty, které prošli procesem autentizace. Autentizace je proces ověření identity uživatele služeb nebo původce zprávy. Při internetovém bankovnictví se používají tyto základní metody pro zjištění identity: podle toho, co uživatel zná (zná správnou kombinaci uživatelského označení a hesla nebo PIN) podle toho, co uživatel má (nějaký technický prostředek, který uživatel vlastní - USB dongle, smart card, privátní klíč apod.) Autentizací, neboli ověřením totožnosti klienta, získává banka jistotu, že komunikuje se svým klientem a nikoli s neoprávněnou osobou. Stupeň síly autentizace u jednotlivých bank závisí na druhu prováděných operací. Aktivní a pasivní operace Operace můžeme rozdělit na dvě skupiny – aktivní a pasivní. Dá se obecně říct, že pasivní operace nemění stav účtu klienta. Řadíme mezi ně jak údaje o bance a jejich produktech, tak i autorizované informace z informačního systému banky, např. zůstatek na účtu, transakční historii apod. Přístup do internetového bankovnictví je tak podmíněn pouze uživatelským jménem a heslem. Aktivní operace jsou operace, které se týkají účtu klienta a zůstatku na něm, a při kterých dochází k pohybu peněz na tomto účtu. Mezi tyto operace řadíme například příkazy k úhradě. Zabezpečení aktivních operací se děje prostřednictvím SMS kódu, certifikátu, případně PIN kalkulátoru a dalších autentizačních prostředků, které přiblížím na dalším slidu. 29.3.2008 Katarína Citsoňová

Autentizační prostředky jméno a heslo certifikát čipová karta sms USB token PIN kalkulátor tabulka kódů Grid karta Základní - donedávna nejčastěji využívanou a bohužel i nejméně bezpečnou - formou autentizace je ověření pomocí přiděleného uživatelského jména a hesla. Bezpečnějším způsobem přístupu je využití certifikátu, který uživatel obdrží od banky, uloží si ho nejlépe na nějaké vyjmutelné médium (disketu, CD, DVD, USB flash disk). Tento certifikát slouží jako klíč, prostřednictvím něhož a po zadání hesla klient vstoupí do internetového bankovnictví. Kdo má strach, že mu může být certifikát zkopírován nepovolanou osobou, ten může využít čipovou kartu. Ta funguje stejně jako certifikát, jenže údaje jsou uloženy na kartě, odkud nemohou být zkopírovány. Aby došlo k jejímu zneužití, musela by být fyzicky ukradena. K přístupu pomocí čipové karty je samozřejmě nutno znát také PIN kód, případně heslo. Uživatel navíc musí vlastnit vhodnou čtečku čipových karet (viz.obrázek). To se netýká obdobně zabezpečeného iKey tokenu (viz.obrázek), který je podobný USB flash disku a pro přečtení informací není zapotřebí čtečky. Další možností autentizace je ověření s pomocí mobilního telefonu. Klient při vstupu do internetové aplikace zadá své klientské číslo a banka mu obratem zašle speciální přístupový kód ve formě autorizační sms na jeho mobilní telefon. Dlaší- a vedle užití čipové karty prozatím nejbezpečnější - variantou je použití PIN kalkulátoru (viz.obrázek). PIN kalkulátor vypadá jako malá kalkulačka a je ve vlastnictví klienta. Poté, co do ní zadá své klientské číslo a PIN kód, kalkulátor vygeneruje autentizační kód, který je vždy jiný. Tento kód klient opět zadá při vstupu do internetové aplikace. Tabulka kódů je distribuována buď vytištěná na papíře, nebo v elektronické podobě (jako textový soubor). Obvykle obsahuje celkem 100 kódů (v případě požadavku zákazníka to může být i jiný počet), přičemž každý má své číslo. Když chce klient provést transakci, musí k ní připojit kód, který se nachází v tabulce, podle čísla požadovaného systémem. Systém po obdržení zadání transakce porovná klientem zadaný kód s kódem, který se nachází v záznamu tabulky kódů, jenž je uložen v databázi. Jsou-li oba kódy shodné, je transakce autorizována. Každý kód z tabulky kódů lze použít jen jednou. Tabulka přestává platit ve chvíli, kdy je použito 50 % kódů. Poté musí majitel začít používat novou tabulku kódů. Grid karta (viz.obrázek) je plastová karta velikosti platební karty. Na grid kartě je tabulka, která je rozdělena na 6 řádků (A až F) a 6 sloupců (1 až 6). V každé buňce tabulky je uveden jeden kód. Tento kód, který se nachází v souřadnicích požadovaných systémem, klient připojí k zadání transakce. Systém po obržení zadání transakce porovná klientem zadaný kód s kódem, který se nachází v záznamu grid karty, jenž je uložen v databázi. Jsou-li oba kódy shodné, je transakce autorizována. Kódy mohou být použity opakovaně. Platnost grid karty je časově omezena. Po vypršení platnosti musí majitel začít používat novou grid kartu. Grid karty jsou obvykle distribuovány podobně jako platební karty. 29.3.2008 Katarína Citsoňová

1. 2. 4. 5. 3. 29.3.2008 Katarína Citsoňová

Další způsoby ochrany automatické odhlášení při nečinnosti limity operací zablokování při špatném zadání hesla zasílání informačních zpráv chování klienta, pharming, phishing Dalšími bezpečnostními opatřeními mohou být tyto prvky: automatické odhlášení při nečinnosti, limity operací, zablokování při několika špatných zadáních hesla či možnost zasílání informačních zpráv. Banky navíc radí "fixní" hesla často měnit. Jednorázová hesla (generovaná PIN kalkulátory či rozesílaná pomocí mobilu) mívají potom omezenou platnost (obyčejně v řádech minut). Bezpečnosti se ale nejvíce musí věnovat klient. Ačkoliv banky vydávají na zabezpečení vysoké finanční částky, nejslabším článkem celého zabezpečení často bývá samotný klient. Většina bank poskytuje klientům informace jak se bezpečně chovat při využívání internetového bankovnictví, na svých stránkách uvádějí různá desatera bezpečného využívání internetového bankovnictví. Při využívání internetového bankovnictví jde zejména o aktivní přístup k bezpečnosti, věnování pozornosti aktuální verzi antivirového softwaru, kvalitní firewall, ochranu hesel, uchovávání certifikátu na výměnném médiu na bezpečném místě, stejně jako ochranu čipové karty a PIN kalkulátoru před ukradením nebo ztracením. Klient by měl věnovat pozornost správné adrese internetových stránek. Internetoví podvodníci jsou schopni klienta přesměrovat z oficiálních stránek banky na vlastní podvržené stránky, které jsou od oficiálních k nerozeznání, v lepším případě může být rozdíl třeba jen v jednom písmenku v řádku adresy stránky. Klient zadá v dobré víře přístupové údaje, které pak mohou být lehce zneužity. Jedná se o metodu nazvanou pharming. Dalším způsobem, jak podvodníci získávají údaje, je phishing. Jedná se o e-maily tvářící se jako od banky, které vyžadují zaslání důvěrných informací. Je samozřejmé, že banky by nikdy nežádaly o zaslání takovýchto informací e-mailem. Největší pozornost bezpečnosti by měl tedy věnovat zejména samotný klient, zajímat se o způsoby zabezpečení nejen internetové bankovní aplikace, ale i svého počítače. A hlavně zajistit veškerá přístupová hesla a certifikáty před zneužitím. 29.3.2008 Katarína Citsoňová

Zdroje www.mesec.cz www.alsoft.cz cs.wikipedie.org 29.3.2008 Katarína Citsoňová

Děkuji za pozornost! Dotazy? 29.3.2008 Katarína Citsoňová