Der zukunftssichere Transaktionsstandard für das Online-Banking

Transkript

1 Der zukunftssichere Transaktionsstandard für das Online-Banking Dieter R. Bartl Direktor, Mitglied der Geschäftsleitung 8. Trierer Symposium Digitales Geld, Juni 2002 Das aktuelle HBCI beruht auf den in 1996 vorhandenen Technologien. Die Die HBCI HBCI -Version -Version wurde wurde verabschiedet. verabschiedet. Basisfunktionalität Nachrichtenaufbau Dialogabfolge Bankparameterdatei Userparameterdatei Sicherheit (ausschl. Signaturverfahren) HBCI- Standard Geschäftsvorfälle ZKA-Standard gültig für alle deutschen Kredit- institute Individuelle Ergänzungen einzelner Verbände z.b. Sparverkehr bei den Sparkassen HBCI und die Multikanal- Strategie HBCI 4.0 die neue Generation Transaction-Services sichere Transaktionen über alle Vertriebswege Roadmap 2001, S. 2 Eigene Verschlüsselungsverfahren / heute SSL-Standard Syntax analog UN/EDIFACT / heute XML als Internet-Standard Eingrenzung der zulässigen Sicherheitsverfahren (RDH und DDV- Chipkarte) / andere Sicherheitsverfahren weiterhin im Markt Ausschliesslich Dialog-Verfahren / kein möglich Ausschliesslich für Kunde-Bank-Dialog / kein Kunde-Intermediär- Bank-Dialog möglich Nur über eigenen Internet-Port (Port 3000) / Firewall-Problematik

2 Derzeit sind bereits 100 Geschäftsvorfälle in der Sparkassenfinanzgruppe standardisiert. 2001, S. 3 Zahlungsverkehr Zahlungsverkehr Inland Wertpapiergeschäft Inland Wertpapiergeschäft Einzelaufträge Einzelaufträge Konto- Einzelüberweisung Konto-und und Umsatz-Informationen Wichtige Umsatz-Informationen Wichtige Informationen Informationen Passivgeschäft Einzelüberweisung Passivgeschäft Kontoumsätze Sonderformen Kontoumsätze Sonderformen der der Überweisung Sparvertragskonditionen Überweisung Orderänderung Administrationsaufträge Sparvertragskonditionen (Spendenzahlung, Zahlungsverkehr (Spendenzahlung, Zahlungsverkehr Kontoumsätze/Zeitraum BZÜ-Überweisung) Ausland Orderänderung Administrationsaufträge Kontoumsätze/Zeitraum BZÜ-Überweisung) Ausland Eröffnung Eröffnung Orderstreichung Orderstreichung Sparvertrag Sparvertrag Umbuchung Zahlungsauftrag Umbuchung Zahlungsauftrag Kontoumsätze/neue im Kontoumsätze/neue im Umsätze Umsätze Kontoinformationen Fondsorder Fondsorder Abfrage Außenwirtschaftsverkehr Kontoinformationen Karten, Abfrage Außenwirtschaftsverkehr Elektronischer Sorten, Elektronischer Sorten, Überweisung Devisen Kontoauszug Überweisung Devisen Kontoauszug (Einreichung, und (Einreichung, und Sparvertrag Karten, Schecks Statusinformationen Schecks und und Formulare Produktionsstatus Formulare Bestellung Sparvertrag Statusinformationen Produktionsstatus Änderung, Auslandsüberweisung Änderung, Auslandsüberweisung Saldenabfrage Reiseschecks Löschung) ohne Saldenabfrage Löschung) ohne Meldeteil Bestellung Orderanzeige Reiseschecks Meldeteil Einzahlungen Orderanzeige Sonstiges Empfangsquittung Versicherungsgeschäft Einzahlungen Vordruckbestellung Sonstiges Empfangsquittung Dauerauftrag Dauerauftrag Kontoinformationen Devisenkurse (Einrichtung, Versicherungsgeschäft Vordruckbestellung Orderstatus (Einrichtung, Änderung, Orderstatus Änderung, Aussetzung, Kontoinformationen Devisenkurse Verf Aussetzung, Löschung) Verf ügungen Freistellung Abschluss Kartenbestellung ügungen Orderhistorie von von Zinserträgen Zinserträgen Sorten- Löschung) Orderhistorie Sortenund Abschluss Kartenbestellung Abfrage und Termineinlagen Einzellastschrift Hausratversicherung Nachträge Depotinformationen Termineinlagen Einzellastschrift Reisescheckkonditionen Nachträge Kartenanzeige Abfrage Freistellungsdaten Freistellungsdaten Hausratversicherung Kartenanzeige Reisescheckkonditionen Depotinformationen Einreichung Depotaufstellung Lastschriftwiderspruch Kündigung Einreichung Informationen Freistellungsauftrag Depotaufstellung Festgeldkonditionen Lastschriftwiderspruch Kündigung Sperre Informationen Freistellungsauftrag Sperre Dateitransfer Festgeldkonditionen Änderung Kontoauflösung Depotumsätze Sammelaufträge Sorten- Depotumsätze Festgeldneuanlage Sammelaufträge Sortenund Kontoauflösung Kartensperre Dateitransfer Freitextmeldungen Änderung Kartensperre und Finanzdatenformat Freitextmeldungen Wertpapierinformationen Festgeldneuanlage Reisescheckbestellung Hausratversicherung Wertpapierinformationen Schecksperre Finanzdatenformat Kundenmeldung senden senden Sammelüberweisung Reisescheckbestellung Hausratversicherung Schecksperre Festgeldänderung Sammelüberweisung Abfrage Bauspargeschäft Bearbeitungsstatus Kundenmeldung Schecksperre Festgeldänderung Abfrage von Bauspargeschäft Bearbeitungsstatus von Wertpapierreferenznummern Schecksperre aufheben Wertpapierreferenznummern Gastmeldung Finanzdatenformat Sammellastschrift Wertpapierstammdaten aufheben Gastmeldung Finanzdatenformat Bausparkonditionen Festgeldprolongation Sammellastschrift Sonstiges Wertpapierstammdaten Festgeldprolongation Anzeige Anzeige Sonstiges Liste Bausparkonditionen Sammelüberweisung Wertpapierkurse Liste der Formatierte der Formatierte bereitgestellten Meldungen bereitgestellten Meldungen Festgeldbestandsabfrage Sammelüberweisung Hausratversicherung Scheckempfangsbestätigung Wertpapierkurse Bausparvertragsinformation Festgeldbestandsabfrage Hausratversicherung Scheckempfangsbestätigung Bausparvertragsinformation Finanzdatenformate Wertpapierinformationen Finanzdatenformate Kreditinstitutsangebote Kreditinstitutsangebote Sammellastschrift Wertpapierinformationen Widerruf Sammellastschrift Widerruf Festgeldneuanlage Finanzdatenformat Kontenübersicht abholen Festgeldneuanlage Finanzdatenformat Kontenübersicht abholen Bausparkonten Bausparkonten Sonstiges Modellrechnung Sonstiges Detailansicht Informationsbestellung Detailansicht Informationsbestellung Bausparkonto Bausparkonto Widerruf Widerruf Festgeldprolongation Modellrechnung Festpreisangebote Festgeldprolongation Festpreisangebote Betreuerdaten Terminvereinbarung Hausratversicherung Betreuerdaten Terminvereinbarung Hausratversicherung Festpreisorder Festpreisorder Umsätze Neuemissionen Umsätze Bausparvertrag Neuemissionen anzeigen Bausparvertrag... anzeigen... Neuemission... Neuemission zeichnen... zeichnen Ziel: über jeden Vertriebsweg zu jedem Verbundpartner Sparkassen Landesbanken Mobile Banking Call Center HBCI 4.0 Home- banking Browser- banking SB- Banking 2001, S. 4 weitere Vertriebswege weitere Verbundpartner

3 Mit Version V4.0 wird HBCI zum Multikanalstandard Homebanking Multikanalfähigkeit TCP/IP Port 3000 http, ftp, , Webservices Dialogbetrieb synchron RSA mit Diskette DES mit Chipkarte Kunde - Bank Dialog- / Datagrammbetrieb synchron / asynchron zusätzlich: ZKA Signaturkarte UserDefinedSignature Kunde - Intermediär - Bank und Bank - Kunde Privatkunde Privat- und Firmenkunde 2001, S. 5 national Basis für internationale Verwendung Typische Geschäftsabwicklung im virtuellen Umfeld Vertrieb Eingangs- Konten Zahlungseingang Logistik Verkauf Workflow Lieferbestätigung Rechnungszustellung B2B Moderator Bank Einkauf Prokura Katalog Ausgangs- Konten Rechnungsbegleichung Banking Services 2001, S. 6

4 Sicherheitsanforderungen Vertraulichkeit: Konnte jemand meine Nachricht mitlesen? Authentizität: Wer ist mein gegenüber? Ist der Absender wirklich derjenige, der er vorgibt zu sein? Integrität: Können Manipulationen an den Daten erkannt werden? Zurechenbarkeit: Kann das Absenden bzw. Empfangen Nachricht gegenüber Dritten nachgewiesen werden? Kryptographie ist die Technik zur Erfüllung dieser Sicherheitsanforderungen 2001, S. 7 Übersicht kryptographischer Verfahren Zwei Kommunikationspartner besitzen den gleichen Schlüssel zur Ver-/ Entschlüsselung und Signaturerzeugung/-prüfung Aufwändiges Keymanagement Bekannte Algorithmen: DES (Schlüssellänge nicht mehr zeitgemäß), TripleDES Neues Verfahren in Auswahl und Vorbereitung: AES Symmetrisch Jeder Kommunikationspartner erzeugt ein Schlüsselpaar, stellt seinen öffentlichen Schlüssel zur freien Verfügung und behält einen privaten geheim. Keymanagement = Zertifizierungsinfrastrukturen Bekanntester Alg.: RSA, hohe Rechenintensität Neues Verfahren: Elliptische Kurven Asymmetrisch 2001, S. 8

5 Anwendungsszenarien digitaler Signaturen Asymmetrische Kryptographie - digitale Signaturen und Zertifikate - ist die Basistechnologie für sichere Internet-Anwendungen Sicherer Webzugriff, z. B. SSL, X.509v3 Zertifikate Sichere , z. B. S/MIME Sicherer Datenaustausch, z. B. Signed XML Kryptographische Virtual Private Networks (VPN) Je nach Anwendungsszenario sind Zertifikate das funktionale Äquivalent zu: Personalausweis, Bankkarte, Kundenkarte, Visitenkarte, , S. 9 Sicherheitsmodul Sicherheitsmodul zum zum Signieren Signieren Einsatz der Chipkarte Überschaubares System System als als Grundlage Grundlage Sicherheitsevaluierung (ITSEC (ITSEC E4 E4 für für Betriebssystem, E2 E2 plus plus für für Leser Leser nach nach Maßnahmenkatalog) Echte Echte Zufallszahlen Zufallszahlen erlauben erlauben Schlüsselerzeugung auf auf der der Karte Karte (privater (privater Schlüssel Schlüssel nie nie außerhalb außerhalb der der Karte) Karte) Direktes Direktes Auslesen Auslesen des des Schlüssels Schlüssels wird wird durch durch eine eine Kombination Kombination von von physikalischen + logischen logischen Sicherheitsmaßnahmemaßnahmenverhindert Sicherheits- 2001, S. 10 Ausführung Ausführung der der Algorithmen Algorithmen auf auf der der Chipkarte Chipkarte (kein (kein Schlüsseltransport in in korrumpierte korrumpierte Terminals, Terminals, keine keine korrumpierte korrumpierte Algorithmen Algorithmen ))

6 Aufgabe Zertifizierungsstelle Schaffung authentischen und integeren Verknüpfung von kryptographischen Schlüsseln mit natürlichen/juristischen Personen in Form eines Zertifikates (zeitlich begrenzt) und dessen Veröffentlichung Alternative Namen: Trust Center, Trusted Third Party (TTP) Name: Ser. Nummer: Issued by: Issue date: Expiration: Public key: -Zertifikat H. Acker CA#Z516 07/01/ /01/2001 X a # Digital signature of certificate issuer Identifikation der Person Identifikation des Ausstellers Öffentlicher Schlüssel der Person Eindeutige Zertifikatsnummer Echtheitsbestätigung des Zertifikats 2001, S. 11 Fazit Die Technik der digitalen Signatur ist ein Enabler für E-commerce. Verschiedene Anwendungen haben unterschiedlich hohe Sicherheitsanforderungen Verschiedene Arten von Signaturen und Zertifikaten Stellen unterschiedliche funktionale Anforderungen an die Chipkarte Hohe Komplexität universell einsetzbaren Karte Kommunikation und Transaktion können mit den heute verfügbaren Techniken angemessen abgesichert werden. Doch Vorsicht! Sicherheit muss ganzheitlich betrachtet werden und betrifft alle Komponenten der IT -Infrastruktur. Insbesondere auch den PC des Endkunden. Dieser muss sensibilisiert werden bezüglich der Gefahren, wie z. B.: Virenbefall,Trojaner und Würmer, , S. 12 Benötigt wird eine ganzheitliche Sicherheitsstrategie, die innerhalb Organisation über alle Hierarchieebenen hinweg definiert, gelebt und ständig weiterentwickelt werden muss: Nur im Rahmen solchen, mittel- und langfristig angelegten Sicherheitsstrategie kann das Gefahrenpotential einesunternehmens minimiert werden.