mit dem neuen Personalausweis und Smartphone

Transkript

1 Secure Call Authentication mit dem neuen Personalausweis und Smartphone Prof. Dr. Michael Massoth Hochschule Darmstadt University of Applied Sciences Fachbereich IT-Leiter-Treffen, , IHK Darmstadt

2 Sensible Daten werden täglich kommuniziert ein Beispiel eines DAX-Unternehmens Rudimentär oder komplett ungesicherte Geräte werden genutzt - auch in spionage-gefährdeten Ländern Mobiltelefone & Tablets in Nutzung Hauptsächlich iphones und Androids In 45 Büros weltweit 500 High-Level-Manager 2

3 Smartphone-Verkauf steigt weiter an Sicherheit wird häufig vernachlässigt Prognostizierte Verkäufe bis Desktop PCs Notebooks Smartphones Tablets Quelle: IDC ( pc ara die wahrheit) thi /bl /2012/05/09/ t di hh it) 3

4 Smartphones sind auf vielfältige Weise angreifbar Angriffspunkt Logisch Physisch Kabelloses Interface Kommunikationsdienste Browser Basisbandprocessor Multimediaplayer Betirebssystem 3rd party Apps Nutzer Remote Smart Card SIM Karte Hardware Interface Speicher Firmware USB Quelle: Dr. Jens Heider, Rachid El Khayari (Fraunhofer-Institut SIT) 4

5 Sprache wird nur auf der Luftschnittstelle verschlüsselt übertragen Überblick mobile VoIP-Kommunikation im Internet auf dem Mobilgerät an der Basisstation IP / Internet am WLAN Router am VoIP-Server 5

6 Mobile Gespräche können an vielen Stellen abgehört werden Überblick mobile VoIP-Kommunikation auf dem Mobilgerät an der Basisstation im Internet IP / Internet am WLAN Router am VoIP-Server 6

7 So günstig g und einfach wird heute gehackt Smartphone: Flexispy App 349 US-Dollar/Jahr Luftschnittstelle Luftschnittstelle: GSM Sniffing 4 Billig-Handys, Software & Bauanleitung kostenfrei im Internet 1 1: Wideband d GSM Sniffing 7

8 Abhören ist einfach und kostengünstig g Einfaches VoIP-Abhören z.b. mit Open-Source-Software S Wireshark 8

9 Motivation - Chancen - Risiken 9

10 Motivation - Chancen - Risiken : Hartmut Pohl, GI Alle Deutschen werden abgehört : James Clapper Natürlich sammeln die US- Geheimdienste Informationen über alle Wirtschafts- und Finanzangelegenheiten. Tatsache: Kritische Infrastrukturen in Deutschland sind massiv der Industrieund Wirtschaftsspionage ausgesetzt. 10

11 Jährlich entsteht in Deutschland ein Schaden von 4,2 Mrd. Euro durch Industriespionage Schaden pro Unternehmen verursacht durch Industriespionage über 1 Mio.; 92% 9,2% kein Schaden; 17,1% Mio. Euro; 18,2% bis Euro; 10,3% Euro; 45,2% Quelle: Corporate Trust

12 Kritische Angriffe werden geheim gehalten Wurden der Verfassungsschutz oder Ermittlungsbehörden eingeschaltet? Ja; 19,9% Keine Antwort; 03% 0,3% Nein; 79,8% Quelle: Corporate Trust

13 Auch Sprachkommunikation ist schützenswert Ich will dir das nicht in einer schreiben. Bitte ruf mich an " l Sensible Informationen werden bevorzugt per Telefon übermittelt l Sprache wird als temporär, informell und undokumentierbar wahrgenommen 13

14 Sichere und vertrauenswürdige Telefonie neu denken 14

15 Lösungsansätze unserer IKT-Sicherheitsexperten 1 3 Ein eigenes Smartphone entwickeln? Kann ich dem Betriebssystem vertrauen? Zu viel Aufwand!!! Nur teilweise, muss die Schwachstellen kennen und absichern App 2 Welche Plattform nehme ich? 4 Soll ich ein Smartphone härten? App Flexibilität & BYOD bedenken Marktführer nehmen Akzeptiert der Nutzer erheblichen Einschränkungen? 15

16 Produkte am Markt für höchsteh Sicherheit h it hoch Speziell gehärtete Krypto-Lösung Sicherhe eit TopSec Mobile von Rohde & Schwarz SecuVoice Mobile von Secusmart niedrig Flexibel und einfach zu nutzen hoch 16

17 Motivation - Chancen - Risiken Geschäftsprozesse neu denken: Alle Menschen (Bürger, Nutzer) habe das soziale Grundbedürfnis nach (a) zwischenmenschlicher Kommunikation, (b) seinen Kommunikationspartner t eindeutig identifizieren zu können, (c) Vertraulichkeit und (d) Mobilität. 17

18 Ziel ist Kombination aus hoher Sicherheit und nutzerfreundlicher Flexibilität hoch Speziell gehärtete Krypto-Lösung Sicherhe eit MikroSD NFC-fähige Smartcard Lösung als Anker für mehr Vertrauen und Sicherheit App App Lösung niedrig Flexibel und einfach zu nutzen hoch 18

19 SECCO - eine neue Lösung: Telefonie und Identitätsnachweis i 19

20 Der neue Personalausweis und seine Webanwendungen 20

21 Aktuelle Situation: 2013 Stationäre Webanwendungen Sicherer Datenkanal PC mit NFC- Kartenleser Gegenseitiger Identitätsnachweis Webdienst Nutzer eid-service 21 Unternehmen oder Behörde

22 Aktuelle Situation: 2013 Stationäre Webanwendungen Rund 130 Webanwendungen Sicherer Datenkanal PC mit NFC- Kartenleser Gegenseitiger Identitätsnachweis Webdienst Nutzer eid-service Unternehmen oder Behörde 22

23 Der nächste Schritt: 2014 Mobile Webanwendungen Rund 130 Webanwendungen Sicherer Datenkanal Smartphone mit Browser Gegenseitiger Identitätsnachweis Webdienst Nutzer eid-service Unternehmen oder Behörde 23

24 Unsere Innovation: 2015 Telefonie und gegenseitiger Identitätsnachweis SECCO Secure Call Authentication 24

25 Unsere Innovation: 2015 Telefonie und gegenseitiger Identitätsnachweis Voice- Server Sicherer Datenkanal Call Center -APP Gegenseitiger Identitätsnachweis Webdienst Authent.- Server Nutzer eid-service 25 Unternehmen

26 Unsere INNOVATION: Mehr Sicherheit und Vertrauen für Unternehmen Verschlüsselte VoIP-Telefonie Voice Server Sicherer Datenkanal für Authentifizierung ier ng -APP Authent.- Server 26 Unsere LÖSUNG

27 Systemarchitektur SECCO 27

28 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (1) Sichere (verschlüsselte) VoIP-Telefonverbindung wird über SECCO-App hergestellt 28

29 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (2) Sichere VoIP-Telefonverbindung ist hergestellt Bitte weisen Sie sich aus. 29

30 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (3) Starten der SECCO- Authentication-Funktion 30

31 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (4) Überprüfen der Dienstanbieter-Daten (inklusive des CV-Zertifikats) 31

32 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (5) Auswählen der persönlichen Daten 32

33 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (6) Eingabe der 6-stelligen Personalausweis PIN Nun muss die 6-stellige PIN des Personalausweises eingegeben werden. 33

34 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (7) Lesen der Personalausweisdaten 34

35 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (9) Sicherer Datenkanal hergestellt 35

36 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (10) Daten in Geschäftsprozess einbinden 36

37 Sichere und authentisierte VoIP-Telefonie mit Step-by-step (11) Sichere Telefonverbindung wird abgebaut 37

38 Unsere Zielkunden und Marktsegmentierung nach Branchen ITK-Unternehmen toplink GmbH, thetakom GmbH, VR Netze GmbH, media transfer AG, ekom 21 GmbH und Körperschaft des öffentlichen Rechts Banken, Versicherungen und Versandhandel Meine Allianz, Meine HUK24", TeamBank AG Kundenportal Mein easycredit, sowie Schufa Auskunftsportal Meine SCHUFA Behörden und öffentliche Verwaltungen Regierungspräsidium Darmstadt, Frankfurt und Gießen, sowie Kommunen bundesweit 38

39 Was ist der NUTZEN für unsere B2B- und B2G-Zielkunden? Steigerung des Umsatzes [Transaktionen pro Zeit] Reduktion von Personal- und Standortkosten Beschleunigung von Prozessen (Reduktion der Medienbrüche) Reduktion von Prozess- und Sachkosten Steigerung der Dienstleistungsqualität 39

40 Team SECCO: Forschung und Entwicklung, Betrieb Andreas Plies, M. Sc. Informatik Projektleiter, Chief Technical Officer (CTO) und Mit-Erfinder + Wissenschaftlicher Mitarbeiter Hochschule Darmstadt + Teilprojektleitung eid im LOEWE-KMU-Verbundvorhaben Trusted Telephony Torsten Wiens, M. Sc. Informatik Chief Financial Officer (CFO) und Erfinder + Wissenschaftlicher Mitarbeiter Hochschule Darmstadt + Teilprojektleitung Fraud Detection bei Trusted Telephony + Patent zu SMART-Verfahren Robin Acker, M. Sc. Informatik Softwareentwickler und Tester + Seit drei Jahren in Projekten von Prof. Dr. Massoth angestellt + Master-Abschlussarbeit: Mobile Authentisierung mit Smart Cards + Erfahrung in der Entwicklung mobiler Anwendungen 40

41 Zusammenfassung und Ausblick 41

42 Zusammenfassung und dausblick vereinigt sichere (verschlüsselte) Telefonie und eine zuverlässige gegenseitige Authentifizierung mit dem npa erfüllt das soziale Grundbedürfnis nach zwischenmenschlicher Kommunikation, Identitätsnachweis, Vertraulichkeit und Mobilität => erreicht mehr Bürger und Nutzer bietet einfache Bedienbarkeit, persönliche Beratung und Hilfestellung durch die Behörde, umfassenden Datenschutz und Datensicherheit, Durchgängigkeit der Prozesse, sowie zeitliche Unabhängigkeit von den Öffnungszeiten 42

43 Zusammenfassung und Ausblick Wir suchen: IKT-Unternehmen als Kooperations- und Vertriebspartner, Unternehmen, die an einer sicheren und vertrauenswürdigen Sprachkommunikation innerhalb und zwischen Unternehmen, interessiert sind. Behörden und öffentliche Verwaltungen, die gemeinsam mit uns an SECCO weiterentwickeln und an einer Teststellung interessiert sind. 43

44 Kontakt: Referent Prof. Dr. Michael Massoth, MBA (Entrepreneurship) + Professor für Telekommunikation und Informatik (Hochschule Darmstadt) + Projektleiter LOEWE-KMU-Verbundprojekt Trusted Telephony und Vorgängerprojekt NextFactor (BMBF) + Principal Investigator am Center for Advanced Security Research Darmstadt Kontaktdaten: Hochschule Darmstadt, Schöfferstrasse 8 b, Darmstadt Telefon: oder michael.massoth@h-da.demassoth@h-da de 44

45 Hauptpreisträger bei Wettbewerb IKT Innovativ (September 2013, BMWi und VDI/VDE) Vielen Dank für Ihre Aufmerksamkeit! Ihre Fragen bitte. Zusätzliche Infos und einen Film (1:05 min) finden Sie unter: secco.fbi.h-da.de 45