Internet Payment Systems (IPS) Anforderungen an Zahlungssysteme Realisierungsansätze SET - ein Standard zur sicheren Durchführung von Kreditkartentransaktionen CyberCash Elektronisches Geld am Beispiel von ecash Inkasso über Telekom-Betreiber und Handy-Infrastruktur Zahlreiche Dienste können am Internet nur gegen eine finanzielle Kompensation realisiert werden. Dienste: Kauf von digitalen Gütern (z.b. Musik, Zeitschriftenartikel,...) Kauf von nicht-digitalen Gütern (z.b. Bücher, CD, PC,... Auto) Bereitstellung von Dienstleistungen Mehrwertdiensten (z.b.: Yahoo, Lycos,...) Beratungsleistungen (z.b. Reisbüros,...) Standardisierbare Funktionen von Anwendungssystemen (ASP) Bezahlung von: Geschäftspartnern (Werbung, zwischenbetriebliche Verträge) Konsumenten (typischerweise über Internet Payment Sytems) Weihnachten 2000: Jeder zweiter Internet-Benutzer hat online eingekauft (D, Emnid-Umfrage) Folie 1 Folie 2 Einsatzgebiete von IPS Zahlungen Güter Systeme Mikrobeträge Immaterielle (digitale (micro payments) Information wie bspw. Text, Bilder, Software, Spiele, Musik,...) Bargeldsubstitute (cash) Elektronische Schecks Kreditkarten Güter (Bücher, CDs, Lebensmittel, Produkte des Versandhandels,...) Dienstleistungen (Abwicklung von Wertpapierkäufen, Vermittlungsdienste,...) CyberCent, CyberCoin, MilliCent, Mini-Pay,... ecash, Mondex, Quick, Visa Cash,... PayNow, NetCheque, IBM E-Check... Cybercash Credit, Credit Card Network, SET,... Kosten beim Inkasso (Internet-unabhängig) Nachnahme: >3 Euro Rechnungsstellung: >2 Euro Kreditkarte: typischerweise 3% vom Umsatz + fixe Buchungsgebühr + Kartenterminal (Installation 50 Euro, 30 Euro Monatsmiete), >1.5 Euro Telecash (D), Europay (A): Kosten ähnlich Kreditkarte, Buchungsgebühr volumensabhängig, >1 Euro ec-karte (Bankomat) ec-karte mit Chip (keine Rückfrage bis zu gew. Betrag) ELV ( Lastschriftverfahren),... Geldkarte (in Ö: Quick) Maestro, Kredit-Karten, Kundenkarten Lastschrift: ab 3 Cent, allerdings bei Ablehnung ca. 4 Euro Folie 3 Folie 4 Risiken beim Einsatz von IPS Anforderungen an IPS (1) Für den Kunden Für den Kaufmann Mißbrauch des Zahlungsmittels bei Verlust, Diebstahl Betrug durch unredlichen Kaufmann Betrug durch unredlichen Betreiber des IPS Mißbrauch der Transaktionsdaten Verlust von Geld durch Systemfehler Gefälschtes oder kopiertes Zahlungsmittel Ungenügende Mittel am Konto des Käufers Betrug durch unredlichen Betreiber des IPS Zahlungsverzug durch den Betreiber des IPS Sicherheit: Zahlungssystem: Angriffspunkt für Kriminelle und Hacker Sicherheit gegen eine Vielzahl von möglichen Attacken in einem offenen Netzwerk; generelle Sicherheitsziele: Vertraulichkeit, Verfügbarkeit, Integrität, Authentizität Zurechenbarkeit, Nichtabstreitbarkeit Verläßlichkeit: Unternehmen hängen in Ihrer Existenz vom Funktionieren der Zahlungsinfrastruktur ab hohe Verfügbarkeit (keine denial-of-service Attacke) und Robustheit (Redundanz, kein single-point-of-failure) Folie 5 Folie 6
Anforderungen an IPS (2) Flexibilität: Unterschiedliche Einsatzgebiete: Kreditkarte, Bargeld, Überweisung, Lastschrift, Scheck Weitergabe zwischen Privatpersonen Micropayments (Beträge unter der kleinsten Geldeinheit),... Anonymität vs. Personengebundenheit (Nachvollziehbarkeit, Privatsphäre vs. Risiko) Skalierbarkeit, Abwicklungsgeschwindigkeit Ökonomische Effizienz geringe Kosten pro Transaktion Eignung für Bezahlung von geringen Beträgen Integrierbarkeit in betriebliche IS-Infrastruktur Folie 7 Ansätze (1/6): Secure Presentation Kreditkarte + sicherer Übertragungskanal (z.b. SSL) Sicherheit besser als bei telefonischer Bestellung (Acronym: MO/TO, für Mail Order/Telefon Order), sehr unsicher: Schnurlostelefon Riesige, internationale Kundenbasis minimale Infrastrukturanforderungen online-autorisierung möglich alle Probleme von Kreditkartenzahlungen keine handschriftliche Unterschrift des Kunden (PINs für Kreditkarten in Entwicklung) hohe Transaktionskosten, online-autorisierung langsam Folie 8 Ansätze (2/6): Kunden-Registrierung (Privat) Kunde registriert sich bei Payment- Dienstleister Kunde erhält z.b. Password, Schlüssel, Konto etc. Abwicklung der Transaktionen durch den financial-service- Betreiber (Plattform) Geringe Anforderungen an das System des Kunden Echtzeit-Autorisierung, hohe Transaktionskosten Beispiele: First Virtual, CyberCash, SET, bezahlen.at, firstgate.de Ansätze (3/6): Online Accounts Betreiben eines online-kontos (bei einer Bank) Kunden (autorisierte Individuen) können mittels Tools Transfers veranlassen (z.b. senden von e-checks) Kredit- und Debit-Mode möglich benötigt neue Infrastruktur Zahlungsdienstleister hat geringe Kosten per Transaktion Sicherheit der Tools, Beständigkeit der Konten und Zahlungsdienstleister NetCheck (USC), NetBill (CMU), Electronic Check (FSTC, Financial Services Technology Consortium) Folie 9 Folie 10 Ansätze (4/6): Elektronische Währung Kauf/Verkauf von Münzen (tokens): Kunde kauft Tokens von einem Währungsserver, Kunde gibt Tokens an Händler, Händler tauscht Tokens gegen Geld Kann Anonymität unterstützen Off-line Betrieb möglich Double Spending, Verlust von Tokens, Fälschungssicherheit (Gewährleistung?) Mondex, DigiCash, ecash-technologies, NetCash Wertkarten für Internet-Shopping (Prepaid Cards, z.b. paysafe-card seit Okt. 2000) Ansätze (5/6): Server Scrip Coupon-Systeme, bei nur einem Händler einlösbar Gültigkeitsprüfung lokal beim Händler durchführbar Kopplung an Rabattsysteme möglich Instrument zu Kundenbindung im E-Commerce Mehrere Zahlungssysteme müssen parallel betrieben werden, Konvertierbarkeit Millicent (DEC, Compaq), PayWord Folie 11 Folie 12
Ansätze (6/6): Inkasso Agent Händler verweist Kunden an einen Inkasso-Agenten, der die Zahlung (in unterschiedlichen Formen) entgegennimmt und Beleg ausstellt Nach erfolgter Bezahlung liefert Händler Inkasso-Agent kann hohe Verfügbarkeit und Sicherheitsanforderungen umsetzen Zug-um-Zug Abwicklung durch Third-Party indirekt und langsam Open Market Payment Switch, paypal.com Secure Electronic Transactions (SET) Protokollspezifikation speziell für Zahlungsverkehrsanwendungen mit Kreditkarten auf öffentlichen (= unsicheren) Netzen Offene Spezifikation frei verfügbar für beliebige Kreditkarten geeignet Veröffentlicht am 23. Februar 1996 Erste Implementierungen (Version 1.0) 1997 Netscape, VeriFone, Microsoft, IBM... Beispiel: Konditorei Demel SET basierend auf IBM Net.Commerce Software Zertifizierung durch VISA und Mastercard Verrechnung direkt mit Visa oder Mastercard Österreich Derzeit: 2 Anwendungen in Österreich Folie 13 Folie 14 SET - Grundlagen Verwendete kryptographische Verfahren Ziele Vertraulichkeit der Datenübertragung Kundenname Kreditkartennummer Gültigkeitsdatum Schutz vor Verfälschung z.b. Veränderung der Bestellmenge Authentizität des Kreditkartenbesitzers (Elektronische Unterschrift) Händlers (Schutz vor Scheinfirmen) Zertifikate Ersetzen die Kreditkarte (Karteninhaber besitzen X.509 Zertifikate) Nachweis über gültiges Vertragsverhältnis Kundendaten können nicht ausgelesen werden Händler kann die Berechtigung prüfen, ohne Kundeninformationen zu erhalten RSA zum Austausch der Schlüsselpaare DES zur symmetrischen Verschlüsselung SHA (160 Bit Hash) gewährleistet Integrität der übermittelten Nachrichten Zertifikate im X.509 Format Folie 15 Folie 16 SET - On-line Einkauf SET - Abrechnung (1) Initialisierung Kunde (2) Bestellung = Order Instruction + Payment Instruction Händler (3) Autorisierung Abrechnung Kunde Abrechnung Händler Bankeninternes Netz (4) Autorisierung Bankeninternes Netz Clearing Kartengesellschaft Verrechnungs- Gateway Kartengesellschaft Verrechnungs- Gateway Folie 17 Folie 18
Nachteile SET Vor- und Nachteile SET dient nur der Sicherung des Zahlungsverkehrs, Order-Daten etc. werden nicht gesichert (kann durch bspw. SSL erreicht werden) Nicht für Kleinstbeträge geeignet (hohe Transaktionskosten) Verlangt Zertifizierungsinfrastruktur Hohe Kosten für Händler Vorteil unterliegt nicht den US Exportbeschränkungen, daher längere Schlüssel möglich Authentizität des Kreditkartenbesitzers und des Händlers Reduktion des Kreditkartenmißbrauchs für den internationalen Geschäftsverkehr geeignet CyberCash Pionierunternehmen im Bereich elektronsicher Zahlungssysteme Ursprünglich: Secure Internet Payment System für Händler CyberCash-Wallet (Klienten-Software, Auswahl des Zahlungsmittels) Kreditkarten, elektronisches Geld ( CyberCoins), und elektronischen Schecks Heute: CyberCoins: Produkt Herbst 2000 eingestellt In Europa: POSH (Point-of-Sales Händlerterminal) unterschiedliche Kredit- und Kundenkarten In USA: Cash-Register ( ähnl. POSH) FraudPatrol, B2B- Paymentservices, Web- Authorize,... Folie 19 Folie 20 Elektronisches Geld: ecash ecash- Funktionsumfang DigiCash (Holland) 1986 von David Chaum gegründet. Ermöglicht anonyme Zahlung auch zwischen Personen. Auch für Kleinstbeträgen geeignet. Für Bezug und die Einlösung von Münzen ist ein Konto bei einer ecash-bank notwendig (z.b.: Bank Austria, Deutsche Bank 24, SwissnetPay, St. George Bank) Klienten für gängige Betriebsysteme typischerweise kostenlos erhältlich DigiCash wurde 1999 von ecash Technologies übernommen Voraussetzung ist Konto bei einer ecash-bank Bargeldbehebung - Eigenerlag Transfer zwischen lokalem Geldbestand auf Festplatte und Konto bei ecash-bank Transaktionsdurchführung Antwort auf eine Zahlungsanforderung (Kann automatisiert werden - Micropayments!) Unaufgeforderte Überweisung auch an Private Off-Line-Transaktion (Beispiel E-Mail) Automatische Aufzeichnung der Transaktionen (am Klienten-Rechner) Recovery durch Backup Folie 21 Folie 22 Emission von ecash Der ecash Client Bank unterschrei bt blind Bank bucht Geld vom Kunden ab,unterschreibt die Münzen. Elektronisches blind (ohne die Seriennummer zu kennen) die Geld wurde erzeugt. Münzen, elektronisches Geld wird erzeugt xxxx xxx xx xxxx xxxxx ecash Abhebung Münzenwerden über In ternet zur Bank üb ertragen Münzen werdenüber Intern et zum Ku nden übe rtragen Statusanzeige 48 03 78 21 xxx xxxx xx xxx xxxxxx 4803 782 1 Serien nummer wi rd generiert und verschlüsselt Seriennumme r wird entschlüsselt ecash Tansaktionen Folie 23 Folie 24
K unde v eranlaßt die Ü berw ei sung Transaktionen mit ecash E cash - Sof tw are des Ve r kä u fe rs ve ra n la ßt Val idierung bei Bank 4 8037821 94723917 Münz en werden über Internet zum Verkäufer ü b er tr a g e n B a n k e n tw e rt e t d ie er h al te n en Mü n ze n 72305 41 9 13765 42 8 48037 82 1 Verkäufer erhält Betrag gutgeschrieben Verk (oder äufbargeld, er erhält oder neue neue Münz Münzen) Verk äufer bes itz t gleic hen Bet rag in neuen Münzen Eigenschaften von ecash Eigenes Protokoll (über TCP/IP) Anonymität des Zahlers gegenüber der Bank (keine zentralen Transaktionsaufzeichnungen) Off-Line-Zahlungen Hohe Fehlersicherheit (Recovery mit Coin-ID oder von Backup) Absicherung durch RSA-PK-Kryptographie Bei Installation wird Schlüsselpaar für Kunde generiert Öffentlicher Schlüssel der Bank ist Teil der Software Problembereich: double spending, Datenbank ausgegebener ecash (5654) Münzen bei Bank Noch fehlende Multibankenfähigkeit: Konvertibilität unterschiedlicher Währungen (Interaktion mehrerer ecash -Banken) TCP IP Blinde Unterschrift ist Eigenentwicklung des DigiCash-Gründers D. Chaum Network Access Layer Folie 25 Folie 26 Inkasso über Telekom-Betreiber Mehrwertdienste: Ö: 0900, D:0190-Nummer: Telefonnummer, über die hohe Verbindungsgebühren verrechnet werden können, ein Teil der Gebühren werden an den Dienste- Anbieter weitergegeben Varianten: Einwahl bei spezielle Access-Provider, der kostenpflichtige Seiten anbietet (ähnlich fax-service) Internet- Verbingung wird unterbrochen, Berechtigung wird über 0190- Nummer bezogen, Zugang zu den Seiten über normalen Provider (net900, Fa. In medias res) Nachteil: aus Firmennetzen oft nicht nutzbar intransparente Kostenstruktur Inkasso über Handy-Infrastruktur Bezahlung über Mobilfunknummer: Kundenregistrierung: Registrierung bei Zahlungsdienstleister (in A, D: paybox.net AG) Jahresgebühr: 5 Euro Eingabe der Kontodaten PIN (an Handy übermittelt) Bezahlvorgang: Kunde gibt Handy-Nummer an Händler übermittelt diese an Zahlungsdienstleister Zahlungsdienstleister ruft Handy an Kunde erhält Betrag und Verwendungszweck übermittelt Bestätigung durch PIN, Abbuchung durch Lastschrift Händlergebühren 3-5% vom Umsatz Auch Zahlungen an priv. paybox-kunden mögl. (Kosten: 1% v. Umsatz) In Ö seit Jan. 2001, März 2001: ca. 30 Unternehmen Folie 27 Folie 28 Trends Softwarepakete integrieren mehr und mehr Dienste Konservative Ansätze, die auf einer internet -unabhängigen Infrastruktur aufbauen, haben den größten Erfolg PC wird zum POS-Terminal durch Chipkarteneinsatz: ISAP (Internet Secure ATM payments): Pilotphase Juni 2001 (USA) Anstelle PIN: elektronische Signatur Kartenleser wird an PC angeschlossen Blue Card (American Express) verwendet Chipkartenleser (seriell, USB, in Tastatur integriert) Kosten des Lesers: 25 US$, für Blue-Card-Kunden ein Leser gratis Literatur zum Thema LYNCH, D. C., LUNDQUIST, L.: Digital Money, WILEY & SONS, 1. Auflage, 1996. Raepple, M.: Sicherheitskonzepte für das Internet, dpunkt.verlag, 1998. URL s zum Thema E-Cash: http://www.ecashtechnologies.com/ URL s zum Thema SET: http://www.setco.org http://www.visashop.at http://www-s2.visa.com/nt/ecomm/shopping/set_merchants.html http://www.mastercard.com/shoponline/set/bycountry.html www.paybox.net, www.net900.de, www.bezahlen.at, www.paysafe.at Folie 29 Folie 30