BLE als Alternative zu NFC bei Authentisierungsverfahren mit Token oder Karte

Transkript

1 DISPLAY-TAN BLE als Alternative zu NFC bei Authentisierungsverfahren mit Token oder Karte

2 GLIEDERUNG Übersicht aktuell eingesetzter TAN-Verfahren Display-TAN Überblick Umsetzung»» Metaebene»» Sicherheitsanalyse»» Technologie BLE, GATT und OCRA»» Implementierung Live-Demo Zusammenfassung und Ausblick

3 ÜBERSICHT Aktuell eingesetzte TAN-Verfahren itan-liste USB-TAN PhotoTAN Chip-TAN SMS-TAN pushtan

4 DISPLAY-TAN Idee: Auslagerung der sicherheitskritischen Komponente TAN-Generator mit Display in die Bankkarte integrieren Eingabe und Ausgabe erfolgen über Bluetooth Low Energy (BLE) Notwendig: Device muss mindestens BLE nach Bluetooth 4.0 Standard unterstützen

5 ZEITLICHER ABLAUF Idee 1 Protokoll 2 App und Karten-Simulator 3 App und Karte

6 PRINZIP: Metaebene Am Beispiel für das Mobile-Banking Einloggen und senden der Transaktions-Daten 2. Transaktionsabhängige Nonce wird gesendet

7 PRINZIP: Metaebene Am Beispiel für das Mobile-Banking Einloggen und senden der Transaktions-Daten 2. Transaktionsabhängige Nonce wird gesendet 3. Transaktions-Daten und Nonce werden gesendet 4. Anzeigen der Überweisungsdaten + Bestätigung => Generierung der TAN (Signatur) 5. TAN senden

8 PRINZIP: Metaebene Am Beispiel für das Mobile-Banking Einloggen und senden der Transaktions-Daten 2. Transaktionsabhängige Nonce wird gesendet 3. Transaktions-Daten und Nonce werden gesendet 4. Anzeigen der Überweisungsdaten + Bestätigung => Generierung der TAN (Signatur) 5. TAN senden 6. TAN weiterreichen 7. Server überprüft TAN und sendet Rückmeldung

9 SICHERHEITSANALYSE Verschiedene Gefahren Man-in-the-Middle Angriff Funkangriffe Angriffe auf die Verbindung zwischen Device und Bank-Server Malware auf dem Device (Trojaner, Rootkit, etc.) Kombination aus Man-in-the-Middle und Malware Karten-Verlust Unaufmerksamkeit Social Engineering Angriff

10 TECHNOLOGIE: OCRA Verwendeter Algorithmus für die Signatur Steht für OATH Challenge Response Algorithm Symmetrisches Challenge Response Verfahren Verwendete OCRA-Suite: OCRA-1:HOTP-SHA1-8:QH40 C = SHA1( {{ACCOUNT NUMBER}}~{{AMOUNT}}~{{NONCE}} ) K = Geheimnis auf der Karte

11 TECHNOLOGIE: BLE Verwendete Funktechnik ab Bluetooth 4.0 (2009) geringer Energiebedarf, geringe Bandbreite typische Entfernungen zwischen 2 und 10 Meter kostengünstig im Vergleich zu anderen Protokollen (WiFi, GSM, Zigbee) Identifikation über MAC-Adresse Broadcast und Connection möglich Rollenverteilung >Nicht > in einer aktiven Connection: Scanner und Advertiser >In > einer Connection: Master (Central) und Slave (Peripheral)

12 VERGLEICH: BLE - NFC Bluetooth Low Energy Verbindungsmodi Broadcast; Connections Energieverbrauch geringer als bei NFC, jedoch benötigen beide Komponenten eine Near Field Communication (NFC) Verbindungslos; Connections Möglichkeit, dass nur das Smartphone Energiezufuhr benötigt (passiv Modus beim NFC-TAG) Unterstützung durch Devices Unterstützung durch OS Kosten Energiezufuhr (praktisch) alle aktuellen Smartphones, Tablets ab Android 4.3; ios 5; Windows Phone 8.1; Blackberry 10 teurer als NFC einige Smartphones nicht; bei Apple bis lange nur beim iphone 6 (jedoch nur nutzbar für Apple Pay) ab Android 4.0; Windows Phone 8.1; Blackberry 7.1 Reichweite meistens bis zu 10 m ca cm

13 TECHNOLOGIE: GATT GATT-Service auf der Display-TAN Karte Display-TAN Service 0xA000 Characteristic Systemstatus 0xA006 Lesen Characteristic Kommando 0xA007 Lesen und Schreiben Generic Attribute Profile (GATT) Unterscheidung zwischen Server und Client Android SDK bietet hohe Abstraktionsebene zur Nutzung von GATT - schränkt hierdurch aber auch sehr stark ein Definiert generische Daten-Objekte Server kann mehrere Services besitzen Service kann mehrere Characteristics besitzen Characterisitic: Besteht grob aus 16 Bit Handle ID, UUID, Menge an Zugriffsrechten und einem Characteristic Datenwert Transaktionsdaten 0xA008 Lesen und Schreiben Characteristic TAN 0xA009 Lesen

14 IMPLEMENTIERUNG Genauer Ablauf der Schritte von der Metaebene SLAVE MASTER Karte einschalten Benutzerbestätigung der Transaktionsdaten Broadcast connectable advertisments connectgatt Verbindung akzeptiert discoverservices Verfügbare Services Systemstatus lesen (0xA000, 0xA006) Aktueller Systemstatus Kommando Input schreiben (0xA000, 0xA007) Erfolgreich Transaktionsdaten schreiben (0xA000, 0xA008) Erfolgreich startscan Falls korrekte MAC-Adresse stopscan Falls Service 0xA000 Falls nicht bereit Falls bereit

15 IMPLEMENTIERUNG Genauer Ablauf der Schritte von der Metaebene Systemstatus lesen (0xA000, 0xA006) Aktueller Systemstatus Kommando GET TAN schreiben (0xA000, 0xA007) Falls nicht bereit Falls bereit Erfolgreich TAN lesen (0xA000, 0xA008) Erfolgreich disconnect Karte ausschalten Erfolgreich oder Timeout abwarten

16 Live-Demo

17 ZUSAMMENFASSUNG & AUSSICHT Komfortables und gleichzeitig sicheres Verfahren Keine extra Geräte notwendig Verbindung zwischen Display-TAN und Device absichern Anzahl der Devices mit BLE-Unterstützung wird stetig weiter ansteigen

18 VIELEN DANK