Bezahlen via Smartphone für ein Regio-Geld

Transkript

1 Bezahlen via Smartphone für ein Regio-Geld Bachelorarbeit Eberhardt-Karls Universität Tübingen Wilhelm-Schickard Institut für Informatik Fachbereich Formale Sprachen/Theoretische Informatik 14. März 2013

2 Gliederung Einleitung Bezahlverfahren P2P-Bezahlung Verkaufsplattform Bezahlen im Onlineshop Sicherheit Live-Demonstration Fazit und Ausblick 2/39

3 Einleitung Einleitung Bezahlverfahren P2P-Bezahlung Verkaufsplattform Bezahlen im Onlineshop Sicherheit Live-Demonstration Fazit und Ausblick 3/39

4 Mobile Payment mit QR-Code Alternative zur NFC-Technik Einsatzbeispiele: SQWALLET, PayPal QRShopping, cleap, PayCash 4/39

5 ekaay sicheres Login-Verfahren ekaay-app 5/39

6 ekaay TAN Erweiterung zur Transaktionsabsicherung 6/39

7 Aufgabenstellung Server für ein Regiogeld zur Verwaltung von Kontoständen und Überweisungsfunktion Bezahlungen mit dem Smartphone: a) P2P-Bezahlung b) interne Verkaufsplattform c) Bezahlung im Online-Shop 7/39

8 Das Bezahlverfahren Einleitung Bezahlverfahren P2P-Bezahlung Verkaufsplattform Bezahlen im Onlineshop Sicherheit Live-Demonstration Fazit und Ausblick 8/39

9 P2P-Bezahlung Einleitung Bezahlverfahren P2P-Bezahlung Verkaufsplattform Bezahlen im Onlineshop Sicherheit Live-Demonstration Fazit und Ausblick 9/39

10 P2P-Bezahlung Übersicht (Empfänger) (Zahlender) 10/39

11 Account-Server Basiert auf JavaServer Faces mit PrimeFaces Komponenten-Framework Gehostet auf Google App Engine URL: 11/39

12 Account Server Login Und Registrierung Account-Verwaltung Überweisung 12/39

13 ekaay-server externer Server Sprache: PHP Datenbank MySQL Code nicht verändert Ausnahme: Einstellungen in settings.php und db_settings.php 13/39

14 Benutzer mit Smartphone Technische Voraussetzungen: ekaay App: Android/iOS Fotokamera Internetzugang 14/39

15 P2P-Bezahlung Schritt 1 Zahlungsauftrag erstellen Transaktion: transid Empfänger Betrag Verw.Zweck Betrag, Beschreibung (Empfänger) (Zahlender) 15/39

16 P2P-Bezahlung Schritt 2 2D Code erstellen Transaktion: transid Empfänger Betrag Verw.Zweck IFrame (+Zahlinformationen) (Zahlungsinformation+Challenge) (Empfänger) (Zahlender) 16/39

17 P2P-Bezahlung Schritt 3 2D Code einscannen Transaktion: transid Empfänger Betrag Verw.Zweck (Zahlungsinformation+Challenge) (Empfänger) (Zahlender) 17/39

18 P2P-Bezahlung Schritt 4 Zahlung bestätigen Transaktion: transid Empfänger Betrag Verw.Zweck (Zahlungsinformation+Response) (Empfänger) (Zahlender) 18/39

19 P2P-Bezahlung Schritt 5 Transaktion verifizieren und Ausführen Transaktion: transid Empfänger Betrag Verw.Zweck =? Zahlungsinf.: transid Empfänger Betrag Verw.Zweck Zahlungsinformation (Empfänger) (Zahlender) 19/39

20 ekaay-tan Schnittstelle I. Anforderung des 2D Codes vom EkaayServer: Erstellung des 2D-Codes (challenge) extid: ID der Transaktion text: Empfänger, Geldbetrag, Beschreibung descr (optional): Text über dem 2D Code 20/39

21 ekaay-tan Schnittstelle II. Bestätigung vom Ekaay-Server: Aufruf des TANSuccess Scripts auf dem Account Server Transaktion: transid Empfänger Betrag Verw.Zweck =? Zahlungsinf.: transid Empfänger Betrag Verw.Zweck extid: ID der Transaktion text: Beschreibung der Transaktion user: Benutzername des Bestätigers (Zahlender) 21/39

22 Verkaufsplattform Einleitung Bezahlverfahren P2P-Bezahlung Verkaufsplattform Bezahlen im Onlineshop Sicherheit Live-Demonstration Fazit und Ausblick 22/39

23 Verkaufsplattform Übersicht (User 2) 23/39

24 Verkaufsplattform Angebote einstellen und Verwalten Angebote durchstöbern intern auf dem Account Server 24/39

25 Verkaufsplattform Ablauf Zahlungsbestätigung Zahlungsinformationen challenge Response Transaktion: transid Empfänger Betrag Verw.Zweck (User 2) 25/39

26 Bezahlen im Onlineshop Einleitung Bezahlverfahren P2P-Bezahlung Verkaufsplattform Bezahlen im Onlineshop Sicherheit Live-Demonstration Fazit und Ausblick 26/39

27 Bezahlen im Online-Shop Übersicht (Kunde) 27/39

28 Online Shop Einfacher Online-Shop mit Beispielartikel Externer Server URL: 28/39

29 Bezahlen im Online-Shop Transaktion: transid Empfänger Betrag Verw.Zweck Ablauf Zahlungsinformationen Bestätigung Zahlungsinformationen Response Browser (Kunde) 29/39

30 Schnittstelle: OnlineshopBezahlung username: Benutzername des Geldempfängers description: Beschreibung cost: Gesamtwert der Ware(n) orderid(optional): Bestellnr für interne zuordnung HTTP-GET HTTP-GET-Request mit Parameter: Account Server Response: IFrame zur Erstellung des 2D-Codes Beispiel: &decription=1xbanane &cost=1.2&orderid= /39

31 Sicherheit Einleitung Bezahlverfahren P2P-Bezahlung Verkaufsplattform Bezahlen im Onlineshop Sicherheit Live-Demonstration Fazit und Ausblick 31/39

32 ekaay PIN Erweiterung zu ekaay PIN-Eingabe über eine Bildschirmtastatur mit permutierten Zahlenfeld Erhöhung der Sicherheit Schutz vor Datendiebstahl Schutz vor Handydiebstahl 32/39

33 Sicherheitslücke im Schaubild nochmal den Angreifspunkt zeigen 33/39

34 Sicherheitslücke Lösungsansatz: Reverse Token(Wie beim ekaay-login) Überprüfung der IP des Absenders (HTTP geht über TCP) 34/39

35 Live-Demonstration Einleitung Bezahlverfahren P2P-Bezahlung Verkaufsplattform Bezahlen im Onlineshop Sicherheit Live-Demonstration Fazit und Ausblick 35/39

36 Live-Demonstration 36/39

37 Fazit und Ausblick Bezahlverfahren mit ekaay TAN: sicheres und bequemes Bezahlen mit beinahe jedem Smartphone Erhöhung der Sicherheit: Speichern des Schlüssels auf einem externen Datenträger(z.B. Smartcard) 37/39

38 Quellenverzeichnis ekaay: Martin Marinscheck, Michael Kurz, Gearld Müllan: JavaServer Faces Grundlagen und erweiterte Konzepte, 2. Auflage GAE: PrimeFaces Gfoerer: P2P-Payment via NFC: SQWallet: weitere QR-Payment Verfahren im Überblick: 38/39

39 Vielen Dank für Ihre Aufmerksamkeit! 39/39