Master-Thesis. Zugang via Fotohandy. Michael Rimmele

Transkript

1 Fakultät für Informations- und Kognitionswissenschaften Wilhelm-Schickard-Institut für Informatik Arbeitsbereich für Theoretische Informatik/ Formale Sprachen Master-Thesis Zugang via Fotohandy Michael Rimmele

2 Inhalt Grundlagen ekaay Car-Sharing Architektur Account Server Schnittstelle Polling Tool Relais SesameF Prototyp App Ablauf Polling, Schnittstelle Polling, Relais Analysen Sicherheit Benutzerfreundlichkeit Kosten Demo 2

3 Grundlagen 3

4 ekaay Prototyp verwendet ekaay TAN Verfahren für Willenserklärung Länger gültige QR-Codes Zugriff von Fahrzeug über Schnittstelle Zugriff von Handy über TAN (SesameF) Getrennte Wege 4

5 Car-Sharing Organisierte gemeinschaftliche Nutzung von Fahrzeugen Autohersteller oder Mietwagenfirmen Geschäftsbereich oder Sammelstellen Zugang über Karten Unterschiedlicher Ablauf beim Zugang Beispiele: Drive Now Zebra Mobil 5

6 DriveNow Kooperation von BMW und Sixt Standorte: München, Berlin, Düsseldorf, Köln und San Francisco Reservierung über App oder Homepage Führerschein als Zugangsberechtigung Buchung über Display im Fahrzeug mit Benutzer und Passwort Alle öffentliche Parkplätze im Geschäftsbereich 6

7 DriveNow Handy bereits verwendet Führerschein muss registriert werden Zusätzliche Eingabe von Benutzername und Passwort im Fahrzeug 7

8 ZebraMobil Eine in München agierende Car-Sharing Firma Registrierung Online Reservierung und Buchung über App und Homepage ZebraCard als Zugangsberechtigung Pin im Handschuhfach für elektronische Sperre Abholung und Rückgabe in Geschäftsbereich 8

9 ZebraMobil Handy ebenfalls verwendet ZebraCardmuss bestellt werden Zusätzliche persönliche Pin-Eingabe 9

10 Architektur 10

11 Architektur Account Server Schnittstelle Polling Tool Relais 11

12 System Account Server PHP geschriebene einfache Seite Funktionalitäten für Carsharing User und Administrationsbereich Beinhaltet ekaay 12

13 Account Server - User Registrierung neuer User auf Startseite Login über ekaay Im Userbereich Registrierung des ekaayusers über QR-Code mit ekaay App ekaayuser für Login sowie Buchung und Öffnung des Fahrzeugs 13

14 Account Server - Admin Administrationsbereich Fahrzeugverwaltung Userverwaltung ekaay Registrierung des Administrators für QR-Code Login Registrierung des Administrators über QR- Code und ekaayapp 14

15 Account Server - Admin Userverwaltung Übersicht der vorhandenen User Löschen der User Fahrzeugverwaltung Übersicht über Fahrzeuge mit Status Anlegen neuer Fahrzeuge Drucken des QR-Codes für Zugang 15

16 Account Server - Admin QR Code drucken für Fahrzeugzugang Generierung des Codes mit Car-ID Gültigkeit verlängert von Minuten auf Monat Pollingdes Browsers von PollingTool übernommen 16

17 System Schnittstelle Mehrere Funktionen Zugriffsschutz vom Polling- Tool Übernahme des Pollings vom Browsers Zurücksetzen des QR-Codes Antwort an PollingTool des Lock Status 17

18 System Polling Tool Simuliert Boardcomputer Anfrage an Server Polling alle x Sekunden Anfrage des Lock Status zu bestimmter Car-ID Steuert Relais (Schloss) UnlockRelais an Lock Relais aus 18

19 System Relais Stellt das Schloss dar USB gesteuert Polling Tool Verbindungsaufbau Steuerung des Relais An Relais angeschlossenes Lämpchen zeigt den Schlossstatus 19

20 Sesame F - Überlegung Problematik: länger gültige QR-Codes Möglichkeit eines Man-in-the-middle Angriffs 20

21 Sesame F - Überlegung 2 Phasen Kommunikation 1. Überprüfung der Nachricht 2. Generierung kurzfristig gültiger ID Server generiert kurzfristig gültige ID Senden an App Signierung und zurücksenden von App 21

22 Sesame F - Überlegung 22

23 Prototyp App Kleine Android App Anzeigen Google Karte Aufruf ekaayapp Aufruf über Intent ekaayeinfach aus Car-Sharing App aufzurufen 23

24 Ablauf 24

25 Ablauf Polling Schnittstelle 25

26 Ablauf Polling Relais 26

27 Analysen 27

28 Analysen Sicherheit Angriffe und Risiken Schutz und Lücken Benutzerfreundlichkeit Neuregistrierung Benutzung Kosten Einrichten Umrüsten 28

29 Sicherheit Angriffe und Risiken Man-in-the-middle Abhören, verändern und wiederverwenden Durch länger gültige QR-Codes erhöht Kann durch Sesame F verhindert werden PC Trojaner Nur durch Homepagebenutzung vorhanden ekaay für Login verwenden 29

30 Sicherheit Angriffe und Risiken Handy-Trojaner Ausspähen der Benutzerdaten auf dem Smartphone ekaay verhindert dies nicht Durch zusätzliches PIN-Verfahren jedoch kein Risiko PIN ist nicht auf Smartphone gespeichert oder mitlesbar Verlust Verwenden des Smartphone einer unbefugten Person Ebenfalls durch PIN-Verfahren zu verhindern 30

31 Vergleich ekaay DriveNow ZebraMobil 31

32 Benutzerfreundlichkeit Registrierung Keine Wartezeiten Keine persönliche Anwesenheit bei Anbieter Benutzung Meist wird Smartphone bereits verwendet Smartphone kein zusätzlicher Aufwand 32

33 Kosten Einrichten Da Homepage meist vorhanden ekaay integrierbar Schnittstelle ebenfalls integrierbar Falls noch nicht vorhanden internetfähiger Boardcomputer Fahrzeug umrüsten Meiste Komponenten bereits vorhanden Kein Kartenleser nötig Kosten für ekaay Verwendung minimal 33

34 Demo Simulation des ekaay Car-Sharing Verfahrens 34

35 Fazit ekaay gute Alternative Einfacher Einsatz / Umrüstung möglich Sicherheit mindestens so gut Benutzerfreundlichkeit verbessert Smartphone bereits verwendet Keine Karten nötig 35

36 Vielen Dank für Ihre Aufmerksamkeit 36