Secure Virtual Payments

Größe: px

Ab Seite anzeigen:

Download "Secure Virtual Payments"

Mareke Rothbauer
vor 6 Jahren
Abrufe

1 Universität Salzburg 22. Juni 2017

2 Inhalt Entwicklung der bargeldlosen Bezahlung PayPal Statischer vs. dynamischer TAN Virtual Currencies Magnetstreifen vs. Chip 3-D Secure Mobile Payment (M-Payment) NFC Projekt

3 Entwicklung der bargeldlosen Bezahlung Vor sehr langer Zeit : Tauschhandel 1200 BC : Muscheln als Zahlungmittel (China) 700 BC : Erste Münzen aus Edel Metallen 800 AD : Erste Banknoten 1816 AD : Gold Standard 1950 AD : Erste Kredit Karte (Diners Club) 1997 AD : M-Commerce (Coca Cola)

6 Doch welche Möglichkeiten des bargeldlosen Bezahlens gibt es denn nun?

7 Beispiele Kreditkarten Virtuelle Kreditkarten Bankomatkarte Paysafecard Paypal Bitcoins

8 PayPal Virtuelles Konto, oder mit Bankkonto verbunden (optional) Security Key: 2FA (two-factor-authentication), z.b. per SMS kein Austausch von Bankdaten, Identifizeriung über -Adresse Kommunikation mittels TLS 1.2-Zertifikate (Upgrade) abgesichert Zertifikate verschlüsselt mittels SHA-256 und VeriSign s 2048-bit G5 Root Certificate Probleme: Frauds, 2FA, mtan

9 Statischer vs. dynamischer TAN Statisch: TAN-Liste oder itan Gefahr von Phishing, Manipulation von Maleware TANs nicht transaktionsgebunden Dynamisch: TAN ist transaktionsgebunden und zeitlich begrenzt voneindander unabhängige Kommunikationskanäle Informationen über Transaktion zur Kontrolle mtan (per SMS/App), ChipTAN (Generator)

10 Beispiele: Angriff auf mtan Variante 1: Trojaner greift Onlinebanking-Daten ab, Angreifer recherchierte Handynummer Beantragung einer zweiten SIM-Karte beim Provider (keine/schwache Identitätsprüfung) Variante 2: PC-Trojaner fordert Opfer auf Trojaner auf Handy zu installieren, mtans werden weitergeleitet Variante 3: Trojaner ändert DNS-Server, Aufforderung zur App-Installation

11 Beispiele: Angriff auf mtan Variante 4 (Mai 2017): Phishing von Banking-Daten Schwachstelle im SS7-Netzwerk, Ortung von Handy über Home Location Register-Datenbank (HLR) Angriffe in der Nacht, Handys werden in Angreifernetz eingeloggt, Rufnummer umgeleitet Schwachstelle seit 2014 bekannt

12 Virtual Currencies virtualcurrencyschemes201210en.pdf

13 Virtual Currencies: Beispiele Closed Virtual Currencies: World Of Warcraft Gold Unidirectional currencies: Amazon Coin, Steam-Guthaben Bidirectional currencies: Bitcoin

14 Magnetstreifen vs. Chip Magnetstreifen statischer Datenspeicher, PIN als Hash-Wert aus Kontonummer, Bankleitzahl... Daten werden nur ausgelesen =>leicht duplizierbar Chip Prozessor, Verschlüsselungsalgorithmus, geschützter Datenbereich Kartenauthentifizeriung, Karteninhaberverifizierung, Transaktionsauthorisierung

15 Chip

16 Chip Kartenauthenifizierung Mehrere Anwendungen mit verschiedene Krypto-Keys Digitale RSA Signatur (statisch/dynamisch) Karteninhaberverifizierung Verschiedene Methoden: PIN, Unterschrift,... Negotiation algorithm entscheidet Methode (nach Transaktionsart, Betrag, Terminal-Möglichkeiten) Offline: PIN an Karte, Karte überprüft Online: PIN wird verschlüsselt, Kartenausgeber überprüft Transaktionsauthorisierung 3DES-Verfahren mit symmetrische Schlüssel Kartenausgeber führt interne Überprüfung durch Karte wird nach Antwort aktualisiert, Karte bestätigt Transaktion

17 Beispiel: Man-in-the-middle Angriff Durchgeführt von Forschern der University of Cambridge, UK Kosten: ca. 200$ Weitere Angriffe: yes card, Seitenkanalangriffe oakland10chipbroken.pdf

18 3-D Secure Verified by Visa, MasterCard SecureCode, American Express SafeKey Betrugsrisiko/Kartenmissbrauch minimieren Zusätzlicher Authentifizierungsschritt bei Online-Bezahlungen

19 3-D Secure XML basiertes Protokoll 3-Domain-Modell Acquirer Domain: Bank oder Händler der bezahlt wird Issuer Domain: Bank, die die Karte ausgestellt hat Interoperability Domain: Infrastruktur, z.b. Internet, MPI, ACS XML-Nachrichten über SSL-Verbindung geschützt

20 Sicherheitsrisiken Genaue Authentifizierungsmethode nicht festgelegt 3DS-Formular als Pop-Up/iFrame, Seitenidentität schwierig zu überprüfen (Phishing) Activation During Shopping: Frage nach persönlichen Daten, Karten-PIN,... Haftung auf Kunden verlagert (UK)

21 Mobile Payment

23 Mobile Payment Entwicklung aus Premium-SMS (Klingeltöne, Wallpaper, etc.) Meistens mit Handy oder Tablet Softwarelösungen mittels PINs/TANs oder QR-Codes Hardwarelösungen mittels NFC

24 Mobile Bankomatkarte Benötigt werden NFC-fähiges Handy NFC-Bankomatkarte NFC-SIM-Karte Bank-App

25 NFC-SIM-Karte Besitzt Secure Element (sicheres Element), manipulationssicher, im schlimmsten Fall Selbstzerstörung SE kann auch in Handy oder Cloud implementiert sein SE speichert Applikationen, Verschlüsselung und Daten, ähnlich wie Chip-Karte emuliert die Bankomatkarte (Card Emulation Mode), führt die Kommunikation zw. Karte und Terminal durch

26 NFC

27 Technische Details kontaktlosen Austausch von Daten per elektromagnetischer Induktion mittels loser gekoppelter Spulen basierend auf radio-frequency identification (RFID) Reichweite bis zu 10cm Datenübertragungsrate von maximal 424 kbit/s

28 Anwendungsgebiete Generell kann es für jeden Datenaustausch genutzt werden elektronischer Personalausweis, elektronische Gesundheitskarte, etc.. In den meisten Kreditkarten bereits vorhanden Ebenso wie Smartphones Oft genutzt für Micropayments NFC kann auf 2 Arten kommunizieren Aktiv Passiv

29 Standard und Modes standardisiert durch das Near Field Communication Interface and Protocol-1 (NFCIP-1) Welches auch die 3 Modi defniert: Card Emulation Mode Das NFC Gerät wird als normale passive kontaklose Karte genutzt. Reader/Writer Mode Das NFC Gerät wird als normaler aktive kontakloser Kartenleser genutzt und kann ein RF Field, zur Kommunikation mit kontaktlosen Karten, RFID tags oder NFC Forum tags, erzeugen. Peer to Peer Mode Zwei Geräte können miteinander in aktiven oder passiven Modus kommunizieren (Master/Slave Prinzip)

30 Eavesdropping/Sniffing Das passive Gerät is um einiges scchwerer zu lesen, da es Daten mithilfe induktiver Kopplung des Rf-Field sendet. In der Regel: 10m für aktive Geräte 1m für passive Geräte

31 Data Modification Eine Kombination aus Amplitude Shift Keying (ASK) und Miller coding oder Manchester coding Bei einer Bitrate von 106 kbit/s wird eine ASK von 100% genutzt und Miller coding Für Bitraten über 106 kbit/s wird eine ASK von 10% genutzt und Macnhseter coding Data Modifikation ist möglich für Bitraten größer als 106kbit/s. Und nur zur einem gewissen Grad bei einer Bitrate von 106 kbit/s

32 Man in the middle attack Das Problem ist, dass NFC Geräte gleichzeitig Senden und Empfangen können. Somit können sie das RF-Field überprüfen und Kollisionen wahrnehmen, falls die gesendete Nachricht nicht mit der Empfangenen übereinstimmt. Dazu kommt noch der Fakt, dass NFC eine kurze Reichweite hat. Aber perfekte Sicherheit kann nur durch eine wohlüberlegte Verschlüsselung erreicht werden.

33 Verschlüsselungskomponenten Zufallsnummerngenerator Public Key Signatur (SHA-1 + RSA) Public Key Paare für die Session Key Verschlüsselung und Session Data Signatur SHA-1 hash Funktion um neue Session Keys von sicheren zufalls Session Keys zu erhalten Eine Message Authentication Function (MAC) um Session Keys zu überprüfen

34 Projekt

35 NFC-TAG und NFC-Intent // L i b a r i e s import a n d r o i d. n f c. NfcAdapter ; import a n d r o i d. n f c. Tag ; // onnewintent Method p r o t e c t e d v o i d onnewintent ( I n t e n t i n t e n t ) { tag = i n t e n t. g e t P a r c e l a b l e E x t r a ( NfcAdapter. EXTRA TAG) ; l o g ( Tag d e t e c t e d! ) ; b y t e [ ] i d = tag. g e t I d ( ) ; }

36 ISO7816 und ISODEP // L i b a r i e s import a n d r o i d. n f c. t e c h. IsoDep ; // onnewintent Method p r o t e c t e d v o i d onnewintent ( I n t e n t i n t e n t ) { tagcomm = IsoDep. g e t ( tag ) ; b y t e [ ] r e c v = t r a n s c e i v e ( 00 A A ) ; }

37 APDU und AID 00 A A

38 Record Beispiel

39 Screenshot

40 Quellen push-tan-co-wie-man-beim-online-banking-auf-nummer-sicher-geht rja14/papers/fc10vbvsecurecode.pdf

Ähnliche Dokumente

Near Field Communication (NFC) in Cell Phones

Near Field Communication (NFC) in Cell Phones Annika Paus 24. Juli 2007 Übersicht Einleitung Technische Eigenschaften Vergleich mit anderen verbindungslosen Technologien Sicherheit Abhören von Daten Modifikation