Online Banking

Online Banking
de Lorenzo, Hopfgartner, Leupold
February 13, 2011
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
1 / 29
Übersicht
Geschichte
Bedenken
Verschlüsselungsarten
Netzwerkarchitektur und Sicherheit
Zusammenfassung und Fazit
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
2 / 29
Entwicklung
Erste Systeme Anfang der 80er Jahre
1981 boten bereits vier große Banken einen Online-Service via
”videotex” an
1983 boten die ersten europäischen Banken eine solche Dienstleistung
an
Die ”Stanford Federal Credit Union” war die erste Bank die all ihren
Mitgliedern einen Online-Banking-Service gewährte
2010 nutzen bereits 55 Millionen amerikanische Familien
Online-Banking
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
3 / 29
Bedenken - Teil 1
Regierungen
Kartellrechtliche Bedenken
Konsumentenschutz
Verwendung von hochqualitativen Verschlüsslungsalgorithmen
Unternehmen
Sicherheit im Zahlungsverkehr
Kundenverlust aufgrund fehlender Zahlungsmethoden
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
4 / 29
Bedenken - Teil 2
Banken
Abhängig von Transaktionsgebühren
Sicherheit der Computersysteme
Kunden
Sicherheit der Systeme
Sicherheit persönlicher Daten
82% aller Amerikaner haben Bedenken im Bezug auf die Sicherheit
ihrer persönlichen Daten
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
5 / 29
Anforderungen an die Technik
Anforderungen
1
Sicherheit
2
Anonymität (Datenschutz)
3
Authentifizierung
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
6 / 29
Software basierende Systeme
En- und Dekodierung erfolgt rein über Sicherheits-Software
Zwei grundlegende Methoden der Verschlüsselung
1
2
Symmetrisches Kryptosystem
Asymmetrisches Kryptosystem
Beispiele für Software basierende Verschlüsselungsarten: RSA, Secure
Electronic Transaction, Pretty Good Privacy . . .
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
7 / 29
Digital Signature - Teil 1
1976 - Whitfield Diffie, Martin Hellman - Stanford University
Bestätigt die Echtheit juristischer und finanzieller Dokumente
Asymmetrisches Kryptosystem
Kollisionsarm
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
8 / 29
Digital Signature - Teil 2
Digital signierte Daten
Daten
Hash-Funktion
Zertifikat
Hash
Signatur
Digital signierte Daten
de Lorenzo, Hopfgartner, Leupold
Signatur
Private Key
Daten
Hash
Online Banking
?
Public Key
Hash
February 13, 2011
9 / 29
RSA - Teil 1
Rivest, Shamir, Adleman
Vierteljahrhundert ohne aufgebrochen zu werden
Asymmetrisches Kryptosystem
Verwendet für Verschlüsselung und digitale Signatur
Nachteil: relativ langsam
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
10 / 29
RSA - Teil 2
Ablauf
1
Wähle zwei Primzahlen p und q, die größer sein als 1.024.
2
Berechne n = p × q und z = (p − 1) × (q − 1).
3
Wähle eine Zahl, die teilerfremd zu z ist, und nenne sie d.
4
Finde e so, dass e × d = 1 mod z.
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
11 / 29
RSA - Teil 3
Beispiel
Wir wählen p = 3 und q = 11.
Klartext (P)
Symb.
S
U
Z
A
N
N
E
Num.
19
21
26
01
14
14
05
Nach der Entschlüsselung
Chiffretext (C)
P3
6859
92
17576
1
2744
2744
125
P 3 (mod33)
28
21
20
1
5
5
26
Berechnung des
Senders
de Lorenzo, Hopfgartner, Leupold
C7
13492928512
1801088541
1280000000
1
78125
781256
8031810176
C 7 (mod33)
19
21
26
01
14
14
05
Symb.
S
U
Z
A
N
N
E
Berechnung des Empfängers
Online Banking
February 13, 2011
12 / 29
Pretty Good Privacy (PGP) - Teil 1
Phil Zimmermann
”If privacy is outlawed, only outlaws will have privacy.”
Quellcode kostenlos verfügbar
Datenschutz, Authentifizierung, digitale Unterschrift und
Komprimierung
IDEA zur Verschlüsselung
RSA zur Schlüsselverwaltung
MD5 für die Datenintegrität
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
13 / 29
Pretty Good Privacy (PGP) - Teil 2
Verfahren aufgrund angeblicher Verstöße gegen US Gesetze zum
Export von Rüstungsgütern
Breite Palette an verschiedenen Versionen
Verwendet bewusst bestehende Algorithmen
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
14 / 29
Pretty Good Privacy (PGP) - Teil 3
Öffentlicher RSA-Schlüssel von B, EB
KM
Privater RSA-Schlüssel von A, DA
P
MD5
Klartext
de Lorenzo, Hopfgartner, Leupold
RSA
P1
Zip
P1.Z
IDEA
Verknüpfung von P P1 komprimiert
und dem unterzeichneten Hash von P
Online Banking
RSA
Base 64
ASCII-Text
Verknüpfung von P1.Z
verschlüsselt mit IDEA
und KM verschlüsselt mit EB
February 13, 2011
15 / 29
Hardware basierende Systeme
Vorteile
Daten sind geschützt auch wenn BS nicht aktiv
Verschlüsselung ist transparent zum BS
Nachteile
Wegen der geringen Grösse, kann das System dem ”brute force
attack” ausgesetzt werden.
Hersteller verraten nicht wie die Verschlüsselung genau funktioniert. führt zu ”vendor lock-in”
Hohe Kosten für Installation und Wartung
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
16 / 29
Smartcard System
Ist ein mechanisches Gerät. Codiert die Informationen auf einem Chip
auf der Karte.
Identifikation erfolgt über einen Algorithmus, der auf asymmetrischer
Sequenz basiert.
Praktische Limits:
1
2
große Mengen an Informationen, die dekodiert werden müssen können
nicht verarbeitet werden
Sichert nur die private Identifikation des Users aber nicht die
Übertragung
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
17 / 29
MeChip
Entwickelt von ESD (European Association for the Promotion of
Sustainable Development)
Information, die gesichert werden muss, wird direkt zum MeChip
gesendet
Unterzeichnet und codiert an Bank übertragen
Protokolliert und bestätigt
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
18 / 29
N-Tier Architektur
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
19 / 29
Anforderung an das Netzwerk
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
20 / 29
Netzwerkaufbau
Der Aufbau des Netzwerkes ist unterteilt in Sektionen:
Edge Router
Access Server
Stateful Firewalls
Multilayer - Switch
Server
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
21 / 29
Netzwerkaufbau
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
22 / 29
Edge Router
Edge Router empfangen:
Internetanfragen
Dial-In Verbindungen
WAP Services
Sie bilden den Ein- und Ausgang zum Onlinebanking Netzwerk und
haben eine exklusive Verbindung zum Access Server
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
23 / 29
Edge Router
Sicherheitsschichten im Edge Router:
Extened Access Control Lists (ACL)
IOS Firewall Feature Set (FFS)
Stateful Firewalls
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
24 / 29
Webserver
Sichere Verbindung zum Webserver gewährleistet durch:
Secure Socket Layer (SSL)
Public Key Infrastructure (PKI)
Identity Authentication
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
25 / 29
SSL - Secure Socket Layer
Sichere Webserver benutzen SSL für den Netzwerkverkehr
SSL Protokoll schafft verschlüsselte Kommunikationskanäle für
Client/Server
Algorithmen werden zur Chiffrierung des Datenverkehrs erstellt und
Server authentifiziert sich gegenüber dem Client (Handshake)
Sicher für Client-Server Kommunikation. Bei mehreren Schichten
(z.B. Applikationsschicht) nicht sinnvoll ohne weitere Zusatzlösungen
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
26 / 29
Zusammenfassung und Fazit
Viele verschiedene Sicherheitsmaßnahmen auf den unterschiedlichen
Ebenen sichern das System maximal
Dezentrale Architektur in allen Bereichen machen Angriffe von außen
aussichtslos
Das System wird dann anfällig, wenn der Mensch, der es benutzt,
fahrlässig mit seinen Daten umgeht
Eine Transaktion am Geldautomaten ist unter Umständen unsicherer
(öffentlicher Ort, nur Karte/Pin Abfrage)
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
27 / 29
Vielen Dank für eure
Aufmerksamkeit
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
28 / 29
Referenzen
Andrew S. Tanenbaum
Computer Networks
Pearson Education, 978-0130661029, 2003
Yi-Jen Yang
The Security of Electronic Banking, 1997
Lj. Antovski, M. Gusev
E-BANKING-DEVELOPING FUTURE WITH ADVANCED
TECHNOLOGIES, 2002
M. Szydlowski, C. Kruegel, E. Kirda
Secure input for web applications, 2007
de Lorenzo, Hopfgartner, Leupold
Online Banking
February 13, 2011
29 / 29