Entwurf und Implementierung einer Customer-to- Customer Mobile-Payment-Lösung auf Android- Smartphones

Größe: px

Ab Seite anzeigen:

Download "Entwurf und Implementierung einer Customer-to- Customer Mobile-Payment-Lösung auf Android- Smartphones"

August Haupt
vor 8 Jahren
Abrufe

1 Entwurf und Implementierung einer Customer-to- Customer Mobile-Payment-Lösung auf Android- Smartphones Markus Göttle und Michael Massoth Hochschule Darmstadt Fachbereich Informatik Art der Arbeit: Masterarbeit Betreuer der Arbeit: Prof. Dr. Michael Massoth Abstract: Es wurde eine mobile Micro-Payment-Lösung entwickelt, welche den Privatverkauf zwischen zwei Kunden mit Android-Smartphones ermöglicht. Dabei fordert der Verkäufer eine mobile TAN bei einem Payment Service Provider für diese einmalige Transaktion an. Diese mtan wird dann verbal oder per Bluetooth an den Kunden übermittelt. 1 Motivation und Use Case Die REA Card GmbH betreibt eine mobile Payment-Lösung mit dem Namen rea-dy. Rea-dy wird für Bezahlungen zwischen mobilen Endgeräten und EC-Kartenterminals bei stationären Händlern genutzt. Um die Marktpenetration von rea-dy zu erhöhen wird in dieser Masterthese ein Mobile-Payment-Ablauf für Customer-to-Customer - Geschäftsfälle, welcher auf Transaktionsnummern basiert, vorgestellt. Hierdurch soll die benötigte kritische Masse beim Händler und Käufer verringert werden, da nun auch ohne Terminalsysteme Käufe und Verkäufe unter den Benutzern von rea-dy stattfinden können. Ein typischer Use Case stellt der Privatverkauf auf einem Flohmarkt dar. Händler und Käufer verfügen beide über ein Smartphone, kennen sich persönlich aber nicht. 2 Anforderungen Das Hauptproblem bei der Entwicklung einer sicheren Customer-to-Customer Mobile- Payment-Lösung ist die Schwierigkeit, Daten geschützt von einem Smartphone zum anderen Smartphone zu übertragen. Dies liegt daran, dass der Kunde und der Händler sich bei der ersten übertragenen Nachricht nicht kennen und auch nicht verifizieren können, ohne eine weitere Instanz einzuschalten, ob diese Nachricht von fremden Dritten manipuliert wurde.

Michael Massoth Abstract: Es wurde eine mobile Micro-Payment-Lösung entwickelt, welche den Privatverkauf zwischen zwei Kunden mit Android-Smartphones ermöglicht.

2 3 Konzept und Umsetzung Durch die Nutzung von mobilen TANs, welche einfach zwischen den Benutzern abgeglichen werden und deswegen kaum manipuliert werden können, kann das Problem, eine sichere Peer-to-Peer Verbindung aufzubauen vermieden werden. Es ist uninteressant, wer diese mobile TAN abfängt, da er nur den Händler bezahlen kann, und wenn eine andere TAN in den Kommunikationsverlauf eingefügt wird, wird das Abgleichen zwischen den Benutzern diesen Angriff feststellen. Für die Entwicklung der mobilen Micro-Payment-Lösung standen zwei HTC Hero Smartphones mit dem Android Betriebssystem 2.1, sowie ein Java-Server zur Verfügung. Das entwickelte Verfahren ist sowohl mit UDP und TCP ablauffähig, sowie unabhängig davon, ob eine direkte Kommunikation zwischen den Handys existent ist. Nachfolgend wird das entwickelte Mobile-Payment-Konzept im Einzelen erläutert: [Customer = dt. Kunde, Merchat = dt. Händler oder Verkäufer] 0. Die Client-Software registriert sich beim ersten Start mit der über erhaltenen UserNr beim PSP und übermittelt den generierten Verifikationsschlüssel der Software. 1. Aushandeln des Betrages zwischen Customer und Merchant. 2. Der Customer fordert eine TAN mit seiner PIN und den geforderten Betrag vom PSP an und sendet darüber hinaus ein selbsterstelltes Token mit. 3. Das System prüft, ob die übertragene PIN, der Betrag und der Benutzer gültig sind. Bei Gültigkeit wird eine neue TAN mit den nötigen Daten in der Datenbank angelegt und eine Nachricht für den Benutzer generiert. 4. Es wird eine Nachricht an den Benutzer gesendet bei der mitgeteilt wird, dass die PIN und/oder der Betrag fehlerhaft ist oder die gültige generierte TAN. 5. Der Merchant übergibt die TAN verbal oder per Bluetooth an den Customer. 6. Der Punkt 6 tritt nur ein, wenn die TAN über Bluetooth übertragen wurde. Der Customer gleicht die TAN mit der des Merchant ab. 7. Der Punkt 7 tritt nur ein, wenn die TAN verbal übergeben wurde. Der Customer trägt die TAN in sein Handy ein. Es wird eine Nachricht zum Payment Service Provider (PSP) versendet, um die Daten der Merchant-TAN zu erhalten. Es werden die zugehörigen Daten von der TAN aus der Datenbank des PSP an den Customer versendet. 8. Der Customer prüft, ob die Daten, die er vom Merchant erhalten hat korrekt sind. 9. Der Customer sendet eine Nachricht, die seine PIN und die TAN beinhaltet zum Payment Service Provider (PSP), um eine Bezahlung für diese TAN durchzuführen. 10. Es wird eine Umbuchung vorbereitet und die Nachricht für den Customer mit dem Token des Merchant zusammengestellt. 11. Es wird eine Bestätigung für die erfolgreiche Umbuchung vom PSP an den Customer versendet.

Es ist uninteressant, wer diese mobile TAN abfängt, da er nur den Händler bezahlen kann, und wenn eine andere TAN in den Kommunikationsverlauf eingefügt wird, wird das Abgleichen zwischen den

3 12. Der Customer übergibt das Token an den Merchant. Dies kann er über Bluetooth oder auch verbal durchführen. 13. Der Merchant trägt bei einer verbalen Übergabe das Token in das Handy ein. 14. Das Handy überprüft, unabhängig ob das Token, über Bluetooth oder vom Merchant per Hand eingetragen wurde, ob dieses gültig ist. 15. Der Merchant wird über den Erfolg oder Misserfolg des Token-Vergleich Informiert. Nachfolgend wird das entwickelte mobile Micro-Payment-Konzept nochmals mit Hilfe eines Sequenz-Diagrammes erläutert. Abbildung 1: Sequenzdiagramm des entwickelten Mobile-Payment-Konzeptes

Das Handy überprüft, unabhängig ob das Token, über Bluetooth oder vom Merchant per Hand eingetragen wurde, ob dieses gültig ist. 15.

4 4 Ergebnisse und Fazit Es ist die richtige Vorgabe und Entscheidung gewesen, einen Mobile-Paymentablauf zu fordern, welcher auch ohne Kommunikationshardware wie z.b. Bluetooth und NFC ablauffähig ist. Die Erfahrungen mit dem HTC Hero und dem Android-Betriebssystem haben gezeigt, dass es nicht nur Probleme mit verschiedenen Smartphone-Typen, sondern auch mit verschiedenen Versionen des Betriebsystems auf derselben Hardware geben kann. Auch ist es falsch zu erwarten, dass eine Kommunikation zwischen komplett verschiedenen Handys immer ohne Kompatibilitätsprobleme durchführbar ist. Wäre eine spezielle Übertragungstechnologie für die Entwicklung gefordert gewesen, würde eine voraussichtliche Martkpenetration, wie sie durch die schlussendlich entwickelte Verbale- Backup-Lösung möglich ist, nicht erreicht werden. Denn wenn nur eine Lösung alleine auf Bluetooth und unter Ausblendung anderer Betriebssysteme durchgeführt worden wäre, hätte alleine im Android-Smartphone-Segment nur einen maximalen Verbreitungsgrad von 54,9 % erreicht werden können. Hierdurch würde die andere Hälfte der Benutzer von der Lösung ausgeschlossen. Bei Übertragung auf den gesamten Handy- und Smartphone- Markt würde die mögliche Anzahl von Benutzer noch weiter sinken. Die Portabilität der neuen Customer-to-Customer Mobile-Payment-Lösung auf Android- Smartphones wird nur von der Nutzung des Javax.Security Paketes, welches nicht in der CDC Konfiguration beinhaltet ist, sowie der Bouncy Castle API eingeschränkt. Sicherheitsanalysen haben ergeben, dass mögliche Replay-Angriffe erkannt und MITM- Angriffe zwischen den Bluetooth Verbindungen aufgedeckt werden. Literaturverzeichnis [BAALI-2007] Baali, Sebastian van; Hinrichs,Jens-Werner: Internet-Zahlungssysteme aus Händlersicht: Bedeutung, Bewertung, Eigenschaften, 1. Auflage, Heidelberg: Physica-Verlag, 2007, S [CARR-2010] Carr, Mahil: Mobile Payment Systems and Services: An Introduction, zuletzt besucht am [KRÜG-2007] Krüger, Malte; Leibold, Kay: Internet-Zahlungen aus der Sicht der Verbraucher, Aus 1. Auflage, Heidelberg: Physica-Verlag, 2007, S [POUST-2007] Pousttchi, Key; Zenker, M: Current Mobile Payment Procedures on the German Market from the View of Customer Requirements; erstellt am 2002, zuletzt besucht [REA-2010] REA Mobile AG: rea-dy macht mehr aus deinem Handy, zuletzt besucht am [ZHANG-2008] Zhang, GE; Cheng, Feng; Meine, Christoph; SIMPA: A SIP-based Mobile Payment Architecture, Computer and Information Science, ICIS 08. Seventh IEEE/ACIS International Conference on, IEEE, Max 2008, S

Betriebsystems auf derselben Hardware geben kann. Auch ist es falsch zu erwarten, dass eine Kommunikation zwischen komplett verschiedenen Handys immer ohne Kompatibilitätsprobleme durchführbar ist.

Ähnliche Dokumente

Schnittstelle DIGI-Zeiterfassung

P.A.P.A. die kaufmännische Softwarelösung Schnittstelle DIGI-Zeiterfassung Inhalt Einleitung... 2 Eingeben der Daten... 2 Datenabgleich... 3 Zusammenfassung... 5 Es gelten ausschließlich unsere Allgemeinen