Universität Salzburg 22. Juni 2017
Inhalt Entwicklung der bargeldlosen Bezahlung PayPal Statischer vs. dynamischer TAN Virtual Currencies Magnetstreifen vs. Chip 3-D Secure Mobile Payment (M-Payment) NFC Projekt
Entwicklung der bargeldlosen Bezahlung Vor sehr langer Zeit : Tauschhandel 1200 BC : Muscheln als Zahlungmittel (China) 700 BC : Erste Münzen aus Edel Metallen 800 AD : Erste Banknoten 1816 AD : Gold Standard 1950 AD : Erste Kredit Karte (Diners Club) 1997 AD : M-Commerce (Coca Cola)
Doch welche Möglichkeiten des bargeldlosen Bezahlens gibt es denn nun?
Beispiele Kreditkarten Virtuelle Kreditkarten Bankomatkarte Paysafecard Paypal Bitcoins
PayPal Virtuelles Konto, oder mit Bankkonto verbunden (optional) Security Key: 2FA (two-factor-authentication), z.b. per SMS kein Austausch von Bankdaten, Identifizeriung über E-Mail-Adresse Kommunikation mittels TLS 1.2-Zertifikate (Upgrade) abgesichert Zertifikate verschlüsselt mittels SHA-256 und VeriSign s 2048-bit G5 Root Certificate Probleme: Frauds, 2FA, mtan
Statischer vs. dynamischer TAN Statisch: TAN-Liste oder itan Gefahr von Phishing, Manipulation von Maleware TANs nicht transaktionsgebunden Dynamisch: TAN ist transaktionsgebunden und zeitlich begrenzt voneindander unabhängige Kommunikationskanäle Informationen über Transaktion zur Kontrolle mtan (per SMS/App), ChipTAN (Generator)
Beispiele: Angriff auf mtan Variante 1: Trojaner greift Onlinebanking-Daten ab, Angreifer recherchierte Handynummer Beantragung einer zweiten SIM-Karte beim Provider (keine/schwache Identitätsprüfung) Variante 2: PC-Trojaner fordert Opfer auf Trojaner auf Handy zu installieren, mtans werden weitergeleitet Variante 3: Trojaner ändert DNS-Server, Aufforderung zur App-Installation http://www.pc-magazin.de/business-it/mtan-verfahrenausgetrickst-betrug-online-banking-schutz-2727938.html
Beispiele: Angriff auf mtan Variante 4 (Mai 2017): Phishing von Banking-Daten Schwachstelle im SS7-Netzwerk, Ortung von Handy über Home Location Register-Datenbank (HLR) Angriffe in der Nacht, Handys werden in Angreifernetz eingeloggt, Rufnummer umgeleitet Schwachstelle seit 2014 bekannt http://www.sueddeutsche.de/digital/it-sicherheit-schwachstelle-immobilfunknetz-kriminelle-hacker-raeumen-konten-leer-1.3486504
Virtual Currencies http://www.ecb.europa.eu/pub/pdf/other/ virtualcurrencyschemes201210en.pdf
Virtual Currencies: Beispiele Closed Virtual Currencies: World Of Warcraft Gold Unidirectional currencies: Amazon Coin, Steam-Guthaben Bidirectional currencies: Bitcoin
Magnetstreifen vs. Chip Magnetstreifen statischer Datenspeicher, PIN als Hash-Wert aus Kontonummer, Bankleitzahl... Daten werden nur ausgelesen =>leicht duplizierbar Chip Prozessor, Verschlüsselungsalgorithmus, geschützter Datenbereich Kartenauthentifizeriung, Karteninhaberverifizierung, Transaktionsauthorisierung
Chip http://www.itwissen.info/chipkarte-chip-card.html
Chip Kartenauthenifizierung Mehrere Anwendungen mit verschiedene Krypto-Keys Digitale RSA Signatur (statisch/dynamisch) Karteninhaberverifizierung Verschiedene Methoden: PIN, Unterschrift,... Negotiation algorithm entscheidet Methode (nach Transaktionsart, Betrag, Terminal-Möglichkeiten) Offline: PIN an Karte, Karte überprüft Online: PIN wird verschlüsselt, Kartenausgeber überprüft Transaktionsauthorisierung 3DES-Verfahren mit symmetrische Schlüssel Kartenausgeber führt interne Überprüfung durch Karte wird nach Antwort aktualisiert, Karte bestätigt Transaktion
Beispiel: Man-in-the-middle Angriff Durchgeführt von Forschern der University of Cambridge, UK Kosten: ca. 200$ Weitere Angriffe: yes card, Seitenkanalangriffe http://www.cl.cam.ac.uk/research/security/banking/nopin/ oakland10chipbroken.pdf
3-D Secure Verified by Visa, MasterCard SecureCode, American Express SafeKey Betrugsrisiko/Kartenmissbrauch minimieren Zusätzlicher Authentifizierungsschritt bei Online-Bezahlungen
3-D Secure XML basiertes Protokoll 3-Domain-Modell Acquirer Domain: Bank oder Händler der bezahlt wird Issuer Domain: Bank, die die Karte ausgestellt hat Interoperability Domain: Infrastruktur, z.b. Internet, MPI, ACS XML-Nachrichten über SSL-Verbindung geschützt
Sicherheitsrisiken Genaue Authentifizierungsmethode nicht festgelegt 3DS-Formular als Pop-Up/iFrame, Seitenidentität schwierig zu überprüfen (Phishing) Activation During Shopping: Frage nach persönlichen Daten, Karten-PIN,... Haftung auf Kunden verlagert (UK)
Mobile Payment
Mobile Payment Entwicklung aus Premium-SMS (Klingeltöne, Wallpaper, etc.) Meistens mit Handy oder Tablet Softwarelösungen mittels PINs/TANs oder QR-Codes Hardwarelösungen mittels NFC
Mobile Bankomatkarte Benötigt werden NFC-fähiges Handy NFC-Bankomatkarte NFC-SIM-Karte Bank-App
NFC-SIM-Karte Besitzt Secure Element (sicheres Element), manipulationssicher, im schlimmsten Fall Selbstzerstörung SE kann auch in Handy oder Cloud implementiert sein SE speichert Applikationen, Verschlüsselung und Daten, ähnlich wie Chip-Karte emuliert die Bankomatkarte (Card Emulation Mode), führt die Kommunikation zw. Karte und Terminal durch
NFC
Technische Details kontaktlosen Austausch von Daten per elektromagnetischer Induktion mittels loser gekoppelter Spulen basierend auf radio-frequency identification (RFID) Reichweite bis zu 10cm Datenübertragungsrate von maximal 424 kbit/s
Anwendungsgebiete Generell kann es für jeden Datenaustausch genutzt werden elektronischer Personalausweis, elektronische Gesundheitskarte, etc.. In den meisten Kreditkarten bereits vorhanden Ebenso wie Smartphones Oft genutzt für Micropayments NFC kann auf 2 Arten kommunizieren Aktiv Passiv
Standard und Modes standardisiert durch das Near Field Communication Interface and Protocol-1 (NFCIP-1) Welches auch die 3 Modi defniert: Card Emulation Mode Das NFC Gerät wird als normale passive kontaklose Karte genutzt. Reader/Writer Mode Das NFC Gerät wird als normaler aktive kontakloser Kartenleser genutzt und kann ein RF Field, zur Kommunikation mit kontaktlosen Karten, RFID tags oder NFC Forum tags, erzeugen. Peer to Peer Mode Zwei Geräte können miteinander in aktiven oder passiven Modus kommunizieren (Master/Slave Prinzip)
Eavesdropping/Sniffing Das passive Gerät is um einiges scchwerer zu lesen, da es Daten mithilfe induktiver Kopplung des Rf-Field sendet. In der Regel: 10m für aktive Geräte 1m für passive Geräte
Data Modification Eine Kombination aus Amplitude Shift Keying (ASK) und Miller coding oder Manchester coding Bei einer Bitrate von 106 kbit/s wird eine ASK von 100% genutzt und Miller coding Für Bitraten über 106 kbit/s wird eine ASK von 10% genutzt und Macnhseter coding Data Modifikation ist möglich für Bitraten größer als 106kbit/s. Und nur zur einem gewissen Grad bei einer Bitrate von 106 kbit/s
Man in the middle attack Das Problem ist, dass NFC Geräte gleichzeitig Senden und Empfangen können. Somit können sie das RF-Field überprüfen und Kollisionen wahrnehmen, falls die gesendete Nachricht nicht mit der Empfangenen übereinstimmt. Dazu kommt noch der Fakt, dass NFC eine kurze Reichweite hat. Aber perfekte Sicherheit kann nur durch eine wohlüberlegte Verschlüsselung erreicht werden.
Verschlüsselungskomponenten Zufallsnummerngenerator Public Key Signatur (SHA-1 + RSA) Public Key Paare für die Session Key Verschlüsselung und Session Data Signatur SHA-1 hash Funktion um neue Session Keys von sicheren zufalls Session Keys zu erhalten Eine Message Authentication Function (MAC) um Session Keys zu überprüfen
Projekt
NFC-TAG und NFC-Intent // L i b a r i e s import a n d r o i d. n f c. NfcAdapter ; import a n d r o i d. n f c. Tag ; // onnewintent Method p r o t e c t e d v o i d onnewintent ( I n t e n t i n t e n t ) { tag = i n t e n t. g e t P a r c e l a b l e E x t r a ( NfcAdapter. EXTRA TAG) ; l o g ( Tag d e t e c t e d! ) ; b y t e [ ] i d = tag. g e t I d ( ) ; }
ISO7816 und ISODEP // L i b a r i e s import a n d r o i d. n f c. t e c h. IsoDep ; // onnewintent Method p r o t e c t e d v o i d onnewintent ( I n t e n t i n t e n t ) { tagcomm = IsoDep. g e t ( tag ) ; b y t e [ ] r e c v = t r a n s c e i v e ( 00 A4 04 00 07 A0 00 00 00 04 30 60 00 ) ; }
APDU und AID 00 A4 04 00 07 A0 00 00 00 04 30 60 00
Record Beispiel
Screenshot
Quellen https://en.wikipedia.org/wiki/paypal https://www.paypal-techsupport.com/?page=home https://www.aktiv-online.de/ratgeber/detailseite/news/chip-tan- push-tan-co-wie-man-beim-online-banking-auf-nummer-sicher-geht- 10570 http://www.aktien.net/sicherste-tan-verfahren/ http://www.cl.cam.ac.uk/ rja14/papers/fc10vbvsecurecode.pdf https://de.wikipedia.org/wiki/mobile-payment http://www.gmarwaha.com/blog/2014/09/01/mobile-paymentswhat-is-a-secure-element/ https://de.statista.com/ http://citeseerx.ist.psu.edu