Pełen artykuł

Tendencje
IT Security Review
Uwierzytelnianie i utajnianie użytkownika
Jeśli ktokolwiek jeszcze powątpiewa dziś w sens i bezpieczeństwo bankowości elektronicznej,
to używając obrazowych słów literatury, bezmyślnie skazuje się na walkę z wiatrakami.
Po pierwsze, niezrozumienie wynika przede wszystkim z braku wiedzy o funkcjonowaniu
nowoczesnych instrumentów i potrzebach rynków finansowych, dla których pieniądz
elektroniczny jest środkiem płatniczym w ponad 90% wszystkich transakcji na świecie.
P
o drugie, błędne i kierowane niepewnością przekonanie, że można „obejść” bankowość elektroniczną udając się osobiście pod okienko bankowe jest co najmniej śmieszne. W ten sposób skracamy
o długość, jaką pokonaliśmy docierając do banku dystans, jaki nasze pieniądze przemierzą w elektronicznej pajęczynie w dalszej drodze z okienka bankowego.
Bank, powołując się na udzielone mu pełnomocnictwo,
za nas dokona elektronicznej transakcji na koncie.
Bankowość elektroniczna to zdecydowanie więcej
niż dostęp do rachunku bankowego przez Internet
z użyciem komputera. Nie możemy zapominać, że
usługi bankowości elektronicznej świadczone są
w oparciu o łącza telekomunikacyjne, również takimi
kanałami i środkami dostępu do rachunku jak: palmtop, telefon stacjonarny i komórkowy (w tym także komunikaty sms, wap), bankomat, wpłatomat, terminal
płatniczy (POS) czy poczta elektroniczna (np. dostęp
pasywny). Każdy z kanałów dostępu związany jest
z adekwatnym dla danej technologii sposobem ustalenia tożsamości i mechanizmem zapewnienia poufności dokonywanej transakcji. Prawo bankowe oraz
standardy i rekomendacje przyjęte przez banki stoją
na straży bezpieczeństwa naszych pieniędzy oraz metod dostępu do nich. Z zasady bezpieczeństwo to subiektywny stan rzeczy, stąd też wspólne dla wszystkich banków są zazwyczaj protokoły, koncepcje i ogólne modele. W rzeczywistości każdy z banków samodzielnie podejmuje temat uwierzytelniania i utajniania użytkownika, wyznaczając zakres wiedzy, jaki będzie mu niezbędny do stwierdzenia, że tożsamość
klienta została ustalona ponad wszelką wątpliwość.
Dowód osobisty poproszę!
Artur Żebrowski
Jest absolwentem Wydziału Informatyki na Politechnice Szczecińskiej. Studiował również matematykę na Wydziale Matematyki, Informatyki i Mechaniki Uniwersytetu Warszawskiego. Jeszcze przed ukończeniem studiów, związał się z firmą DGA SA, gdzie pracuje jako konsultant ds. bezpieczeństwa informacji i realizuje projekty doradcze w aspekcie szeroko pojętego bezpieczeństwa informacji. Tematyką bezpieczeństwa systemów
informatycznych oraz zarządzaniem ryzykiem informatycznym zawodowo zajmuje się 2 lata, a naukowo ponad 4.
W pracy magisterskiej, traktującej o bezpieczeństwie kryptograficznych protokołów sieciowych, podjął temat
matematycznej „granicy” bezpieczeństwa oraz wskazał praktyczne sposoby formalnej weryfikacji poprawności protokołów, na których opiera się siła uwierzytelniania.
W swojej zawodowej karierze uczestniczył w realizacji kilkunastu projektów w obszarze: audytów bezpieczeństwa informacji, zarządzania ryzykiem, ciągłości działania oraz szkoleń o tematyce bezpieczeństwa, zarówno
w małych firmach, jak i wielkich krajowych oraz międzynarodowych koncernach.
Artur Żebrowski jest członkiem Polskiego Towarzystwa Informatycznego oraz członkiem stowarzyszenia ISACA.
8
www.boston-review.com
Zasadnicza różnica pomiędzy dostępem elektronicznym do rachunku bankowego a dostępem „okienkowym” polega na sposobie weryfikacji tożsamości.
W przypadku tradycyjnego banku, jego klient jest zazwyczaj uwierzytelniany na podstawie dowodu osobistego, stąd zapewne nieufność wobec elektronicznych metod dostępu, którym zarzuca się brak bezpieczeństwa bądź zwyczajnie się nie ufa.
Podstawowym elementem poprzedzającym autoryzację użytkownika (klienta banku) w przypadku bankowości elektronicznej jest ustalenie jego tożsamości.
Sam proces uwierzytelniania oraz przebieg wykonywanych przez nas transakcji jest oczywiście utajniony. W praktyce, jeśli użytkownik korzysta z konta bankowego przy użyciu przeglądarki internetowej, wówczas jeszcze przed procesem faktycznego uwierzytelniania użytkownika w serwisie bankowym odbywa się
uwierzytelnianie strony serwera banku oraz ustanowienie szyfrowanego połączenia z bankiem.
Jestem, który jestem
Spośród wielu czynników uwierzytelniania, które wykorzystywane są do ustalenia tożsamości użytkownika, najpowszechniej wykorzystywane są trzy z nich:
• posiadana wiedza, czyli „coś, co wiesz”, np.
hasło czy PIN;
Nr 4/2007 (5)
Tendencje
IT Security Review
• posiadany przedmiot, czyli „coś, co masz”, np.
karta kredytowa, token, karta zbliżeniowa;
• niepowtarzalna cecha, czyli „coś, czym jesteś”, np. szeroko pojęta biometryka – indywidualne cechy fizyczne ciała ludzkiego (np.
twarz porównywana z twarzą w dowodzie
osobistym), odciski palców, geometria dłoni,
charakterystyka głosu, obraz tęczówki i siatkówki oka, a nawet charakter pisma.
Coraz częściej jednak, dla osiągnięcia silniejszego
uwierzytelnienia, poza kombinacją powyższych czynników, wykorzystywane są bardziej wyrafinowane
metody:
• cybermetryka, pozwalająca na dostęp wyłącznie z wyznaczonych komputerów, stanowiących kombinację unikalnego sprzętu
i oprogramowania (np. cyfrowy podpis
sprzętu i oprogramowania, oferowany przez
niektóre banki);
• fizyczna lokalizacja, umożliwiająca uwierzytelnianie tylko w ściśle wyznaczonych miejscach, np. przy bankomacie, w placówce
konkretnego banku;
• czas dostępu, umożliwiający dostęp do rachunku tylko w określonym przedziale czasowym, np. w godzinach pracy, bądź przez
określony czas od wygenerowania kodu jednorazowego;
• uprzednia autoryzacja transakcji, pozwalająca na dokonanie transakcji poprzez wcześniejsze zlecenie czy powierzenie pełnomocnictwa, np. stałe zlecenie przelewu, zdefiniowana płatność;
• kognitywistyka (kognometryka), bazująca na
zdolnościach poznawczych ludzkiego umysłu, np. uwierzytelnianie na podstawie rozpoznawania znanych przez użytkownika twarzy,
spośród wielu zestawów ludzkich twarzy.
Sposób, w jaki zostanie ustalona tożsamość użytkownika zależy od wielu czynników, m.in. środowiska dostępu, kanału transmisji czy zakresu dostępu. Jeśli weźmiemy pod uwagę tradycyjny dostęp
do rachunku, będzie opierał się on na kilku czynnikach uwierzytelniania: niepowtarzalna cecha (twarz
identyczna z tą w dowodzie osobistym), specyficzny przedmiot (dowód osobisty), fizyczna lokalizacja
(oddział banku), czas dostępu (godziny pracy banku). Nie ulega wątpliwości, że niektóre z tych czynników stanowią o dość znacznych ograniczeniach
dostępu do pieniędzy, angażują bowiem naszą
fizyczną obecność w konkretnym miejscu i czasie.
Niewątpliwie odpowiedzią na te ograniczenia jest
bankowość elektroniczna, która w czasie swoich narodzin nastawiała się przede wszystkim na komfort
i obniżenie cen obsługi, w dalszej perspektywie na
bezpieczeństwo. Choć historia bankowości elektronicznej to zaledwie kilkanaście lat, nie zmienił się zasadniczo model dostępu do rachunku bankowego.
W dalszym ciągu opiera się on na identyfikatorze
i haśle, choć coraz odważniej stosowane są techniki
biometryczne, podpis elektroniczny czy silne uwierzytelnianie, którego siła polega na tym, że nie przesyła
Nr 4/2007 (5)
się w sieci transmisyjnej żadnych haseł, które stanowiłyby o stałym elemencie uwierzytelniania.
Przez ostatnie kilkanaście lat nastąpiła także duża ewolucja świadomości w zakresie bezpieczeństwa. Obecnie niemal wszystkie połączenia z bankami, w których przesyłane są dane osobowe czy uwierzytelniające są szyfrowane, a do realizacji transakcji na koncie nie wystarczy tylko zalogowanie do konta, jak miało to miejsce jeszcze niedawno w niektórych bankach.
Poprawne i silne uwierzytelnianie nie oznacza jeszcze, że połączenie jest bezpieczne. Zakładając, że nawiązaliśmy połączenie z autentycznym serwerem
banku, utajnienie użytkownika zależało będzie od obsługiwanych wspólnie przez przeglądarkę i serwer
banku protokołów. Spośród takiego zbioru wybierany jest najsilniejszy możliwy protokół, po czym negocjowany jest sesyjny klucz kryptograficzny, który służy do szyfrowania obustronnej komunikacji.
Uwierzytelnienie, poufność,
a kanały dostępu
Analizując bezpieczeństwo dostępu do usług bankowości elektronicznej oferowanych przez banki w Polsce, największą uwagę należy zwrócić na dostęp do
rachunku przez Internet (przeglądarka na komputerze) oraz telefon (sms, wap, IVR). Bezpieczeństwo
tych kanałów dostępu w dużym stopniu zależy od
użytkowników, to oni odpowiedzialni są za zapewnienie bezpiecznego środowiska, które jest wykorzystywane do komunikacji z bankiem.
SMS
Usługa dostępu od rachunku poprzez komunikaty
sms (dostęp zarówno pasywny, jak i aktywny) dostępna jest dla wszystkich posiadaczy telefonów komórkowych. Należy ją jednak wcześniej aktywować i ustanowić odrębne hasło dostępowe. Uwierzytelnianie stanowi sekwencja znaków, na którą składa się dyspozy-
cja dotycząca rachunku bankowego. Elementami sekwencji są zazwyczaj specjalne hasło, numer rachunku źródłowego i docelowego czy też identyfikator odbiorcy oraz kwota przelewu. Siłą uwierzytelniania polega przede wszystkim na tym, że bank podaje użytkownikowi numer, pod który należy wysyłać komunikaty, a użytkownik wskazuje uprzednio konkretny numer telefonu, z jakiego będzie wysyłał zlecenia lub zapytania do systemu bankowego. Dostęp do jakichkolwiek operacji nie będzie zatem możliwy z innych numerów telefonu.
Długie sekwencje zleceń w sms-ach sprawiają, że
trudno je zapamiętać. Dlatego powszechną praktyką
jest zapisywanie w pamięci telefonu kilku najczęściej
używanych poleceń, co może stanowić pewne zagrożenie w przypadku utraty telefonu – w sekwencji podajemy przecież hasło, które jest elementem uwierzytelniania. Najprostszym sposobem jest przechowywanie takich sekwencji bez hasła, które użytkownik
wpisze dopiero w momencie wysyłania sms-a. Oczywiście nie można zapomnieć, że takie sms-y figurują w folderze wiadomości wysłanych w telefonie użytkownika i również trzeba je sukcesywnie usuwać.
Poufność transakcji realizowanej przez zlecenie
sms-owe opiera się na mechanizmach, jakie gwarantuje architektura GSM, toteż najsłabszym ogniwem
jest sam fizyczny dostęp do telefonu i wykorzystanie
go bez wiedzy uprawnionego użytkownika przy wcześniejszym wydobyciu hasła dostępowego.
WAP
Uwierzytelnianie w technologii dostępu WAP przez telefon komórkowy odbywa się na podobnych zasadach
jak podczas uwierzytelniania przez Internet – na podstawie identyfikatora i osobnego hasła. Dużo ważniejsza jest jednak kwestia utajnienia samej transmisji i danych uwierzytelniających. Do zagwarantowania poufności bezprzewodowych transmisji danych
w technologii WAP służy technologia WTLS (Wireless
PARADYGMAT SILNEGO UWIERZYTELNIENIA
Paradygmat silnego uwierzytelniania
• przewaga silnego uwierzytelniania tkwi w wykorzystaniu przynajmniej dwóch podstawowych czynników uwierzytelniania;
• nie przesyła się w sieci transmisyjnej żadnych informacji, które stanowiłyby o stałym elemencie uwierzytelniania;
• o ile token czy karta z chipem mogą być podstawą silnego uwierzytelniania, to uznanie telefonu komórkowego z jednorazowymi kodami sms-owymi za taki element jest dyskusyjne. Zarówno token jak i karta generują niepowtarzalne kody przy
pomocy wbudowanych, sprzętowo realizowanych algorytmów, a dostęp do tych urządzeń wymaga hasła. Telefon komórkowy nie jest blokowany hasłem i jego kradzież kompromituje cały system bezpieczeństwa. Sms-owe kody ważne są zazwyczaj do pierwszego użycia, a kody z tokena tylko przez bardzo krótki okres. Dodatkowo nie można zapominać o coraz bardziej wyrafinowanych zagrożeniach (bluetooth, wirus) związanych z telefonami.
PODSTAWOWE DEFINICJE
Uwierzytelnianie – proces zapewnienia tożsamości co najmniej jednej z dwóch stron, biorących w nim udział o tożsamości
drugiej. Jest identyfikacją w stopniu wystarczającym do przyznania odpowiednich uprawnień czy przywilejów osobie (zidentyfikowanemu użytkownikowi)
Identyfikacja – rozpoznanie użytkownika w informatycznym systemie przetwarzania danych.
Autoryzacja – ma miejsce po udanym uwierzytelnianiu i stanowi upoważnienie użytkownika do nadania mu odpowiednich
praw dostępu do zasobów i operacji.
Silne uwierzytelnianie – wieloczynnikowe uwierzytelnianie, wymagające od użytkownika poza posiadaną wiedzą (hasła,
kody) posiadania przedmiotu/cechy wymaganej do ustalenia tożsamości (token/karta elektroniczna wraz z hasłem).
Wielopoziomowe uwierzytelnianie – pierwszy poziom uwierzytelniania to zazwyczaj identyfikator i hasło, które umożliwiają zalogowanie się w serwisie i wykonywanie jedynie operacji zdefiniowanych (uprzednio autoryzowanych). Drugi poziom uwierzytelniania (np. silne uwierzytelnianie) pozwala na wykonywanie transakcji innych niż zdefiniowane.
www.boston-review.com
9
Tendencje
IT Security Review
Transport Layer Security). Stanowi ona w telefoni komórkowej odpowiednik powszechnie wykorzystywanego w transakcjach elektronicznych protokołu SSL.
Dostęp do serwisu bankowego poprzez WAP odbywa się na nawiązaniu połączenia pomiędzy telefonem komórkowym użytkownika, bramką WAP a serwerem internetowym, na którym został uruchomiony
serwis bankowy. Nawiązanie bezpiecznego połączenia wymaga, aby telefon komórkowy komunikował się
z bramką WAP poprzez protokół WTLS. Dalsza komunikacja pomiędzy bramką WAP, a serwerem banku
jest już zabezpieczana protokołem SSL. Aby wykorzystać bezpieczne metody komunikacji z bankiem, niezbędne jest odpowiednie skonfigurowanie telefonu.
IVR
Interaktywne systemy telekomunikacyjne (Interactive Voice Response) są powszechnie wykorzystywane przez banki do telefonicznej obsługi
klientów. Jest to kanał dostępu do rachunku, który –
z uwagi na sposób zabezpieczenia – stanowi najsłabsze ogniwo. Sam fakt nagrywania rozmów
może być niewystarczający dla odstraszenia potencjalnych oszustów. Spośród ponad 20 banków
w Polsce świadczących usługi bankowości elektronicznej poprzez IVR, zaledwie 2 mogą być uznane
za rozsądnie zabezpieczone – opierają się na dodatkowych hasłach jednorazowych lub tokenach
przy uwierzytelnianiu. Pozostałe banki przy dostępie do telefonicznej obsługi weryfikują użytkownika na podstawie stałego hasła bądź wybranych
znaków hasła (hasła maskowane). Również pytania konsultantów telefonicznych podczas autoryzacji transakcji na rachunku trudno uznać za wystarczająco bezpieczne, są bowiem one podobne
i opierają się na nazwisku panieńskim matki, adresie zamieszkania czy serii i numerze dowodu osobistego. Informacje takie łatwo jest podsłuchać
bądź zdobyć, jeśli wystarczająco dobrze poznamy użytkownika.
Przeglądarka
Dostęp do rachunku bankowego przez przeglądarkę internetową jest najwygodniejszym i najpopular-
Tabela 1. Bezpieczeństwo dostępu do kont internetowych
Bank
Uwierzytelnienie w serwi- Autoryzacja przelewu (prze- Autoryzacja dostępu do IVR
sie internetowym (przeglą- glądarka)
(telefon)
darka)
BGŻ
H lub T
HJ lub T
ID+HM
BISE
H
HJZ
ID+H
BOŚ
H lub H+T
H lub H+T
ID+H
BPH
HM
H+SMS+C
ID+H
BZ WKB
HM lub T
SMS lub T
H
Citibank
H
SMS
ID+H
DB PBC
H
2xHJZ
2xHJ
Dominet Bank
H
HJ
ID+HM
Fortis Bank
H+C
H+C
ID+H
Getin Bank
H
HJL
ID+H
Invest Bank
H
H lub C
ID+H
ING Bank Śląski
HM
H+SMS+C
ID+H
Inteligo
H
HJZ
ID+H
Kredyt Bank
H lub T
H+2xHM lub T lub HJ
ID+HM
Lukas
H
T
ID+HM
mBank
H
HJ lub SMS
ID+HM
Millennium
H+HM
HM
ID+H
Multibank
H
HJ lub SMS
ID+HM
Nordea Bank Polska
HJ lub T
HJ lub T
ID+T lub HJ
Pekao S.A.
H
HJ
ID+H
PKO BP
H
HJZ
ID+H
Polbank
H
H
ID+HM
Raiffeisen Bank Polska
H
HJ
ID+H
Toyota Bank Polska
T lub H
T
ID+H
Volkswagen
H+T
H+T
ID+H
Źródło: serwisy bankowe oraz Bankier.pl
H – identyfikator i stałe hasło; HM – hasło maskowane; HJ – hasło jednorazowe (Z – karta zdrapka, L – losowe z karty); C – certyfikat/klucz prywatny; T – kod z tokena; ID – odrębny identyfikator.
Szarym tłem oznaczono bezwzględnie silne metody uwierzytelniania (niezależne od wybranej przez użytkownika metody)
10
www.boston-review.com
niejszym sposobem zarządzania kontem. Jeśli wziąć
pod uwagę, że z internetowego dostępu do rachunku korzysta niemal 4-8 milionów Polaków, a Polscy internauci znaleźli się na trzecim miejscu spośród 46
krajów, gdy chodzi o odsetek użytkowników Internetu codziennie dokonujących elektronicznych operacji
bankowych, stanowi to ogromne wyzwanie dla banków, ekspertów od bezpieczeństwa i nie mniejszą pokusę dla potencjalnych oszustów.
Z uwagi na popularność tej metody dostępu do
pieniędzy powinna być ona szczególnie zabezpieczona.
Abstrahując od bezpieczeństwa samego środowiska sprzętowego, systemowego oraz błędów popełnianych przez użytkowników (słabe hasła, ujawnianie
haseł, zgubienie karty kodów), należy zwrócić uwagę
na siłę samych metod uwierzytelniania i autoryzacji
operacji stosowanych przez banki.
Wpływ użytkownika na wybór metody uwierzytelniania i autoryzacji transakcji w konkretnym serwisie bankowości elektronicznej jest dość ograniczony.
Część banków daje użytkownikowi do wyboru dwie
metody uwierzytelniania/autoryzacji – podstawową
(hasło, hasło jednorazowe lub maskowane) lub rozszerzoną, dodatkowo zabezpieczoną kodem sms, certyfikatem lub tokenem (za dodatkową opłatą). Tylko co trzeci bank w Polsce stosuje obowiązkowe silne metody przy autoryzacji przelewów i tylko 2 banki
stosują obowiązkowe silne uwierzytelnianie przy dostępie do serwisu.
Utajnianie użytkownika odbywa się za pośrednictwem protokołów kryptograficznych takich jak SSL
(obecnie w wersjach 2.0 i 3.0) oraz TLS (1.0 i 1.1).
Najczęściej wykorzystywane są protokoły SSL v3.0
oraz TLS v1.0. Protokoły te są do siebie podobne (TLS
v1.0 powstał na bazie SSL v.3.0) i w zasadzie zapewniają podobny poziom bezpieczeństwa (kilka różnic
dotyczy drobnych udoskonaleń w obliczeniach wartości HMAC – Hashed Message Authentication Code,
używanej do tworzenia niepowtarzalnego kodu uwierzytelniającego wiadomość).
W przypadku wspomnianych protokołów kryptograficznych w momencie wpisania i akceptacji adresu serwisu bankowego rozpoczynającego się od
https, następuje negocjacja bezpiecznego połączenia
z serwerem przez protokół SSL. W pierwszej kolejności, po połączeniu się z serwerem banku, ten wysyła
do użytkownika (prezentuje przeglądarce) swój certyfikat podpisany przez zaufaną stronę. Następuje weryfikacja autentyczności certyfikatu serwera (opcjonalnie może zostać dokonana weryfikacja certyfikatu użytkownika – serwer sprawdza jego obecność na
komputerze użytkownika i weryfikuje jego zawartość
z zawartością bazy danych).
Z parametrów certyfikatu serwera i ustawień
przeglądarki wynika, jak silne szyfrowanie może zostać ustanowione (np. 40- lub 128- bitowe kryptograficzne klucze sesyjne). Po ustaleniu długości klucza sesyjnego przeglądarka użytkownika generuje
go, a następnie szyfruje algorytmem asymetrycznym z wykorzystaniem klucza publicznego o długości 1024 bitów, zawartego w certyfikacie banku.
Klucz sesyjny jest wysyłany do serwera wraz z informacją o wybranym algorytmie szyfrowania. Serwer banku odszyfrowuje swoim kluczem prywatnym
Nr 4/2007 (5)
Tendencje
IT Security Review
klucz sesyjny, wykorzystując go do zabezpieczenia
dalszej transmisji.
Zagrożenie dla poufności stanowi wykorzystywanie słabości protokołów (np. degradacja protokołów)
lub akceptacja przez obie strony kluczy o niedostatecznej długości. Sposób negocjacji szyfrów użytych
w transmisji w protokole SSL v2.0 umożliwia atakującemu zmuszenie serwera oraz przeglądarki użytkownika do użycia dużo słabszego szyfrowania niż
są w stanie osiągnąć. Atak ten zwany jest odwróconym uzgadnianiem szyfrów. Dla przykładu, nawet jeżeli serwer oraz klient mogą użyć potrójnego DES-a
(np. 168 – bitowy klucz, ale 64 bitowe bloki), atakujący może zmusić obie strony do użycia 40 – bitowego szyfrowania, które w rozsądnym czasie można złamać.
„
Z matematyczną precyzją
Już ponad 100 lat temu August Kerckhoffs stwierdził, że „bezpieczeństwo szyfru musi zależeć wyłącznie od bezpieczeństwa klucza kryptograficznego”.
Ta jakże futurystyczna na ówczesne czasy myśl jest
wciąż wyznacznikiem kierunków w dzisiejszej kryptografii i zanosi się na to, że jeszcze długo pozostanie.
Z opublikowanej w 1999 roku przez Lenstrę i Verheu-
Długość kluczy kryptograficznych jest istotna, ale
pod warunkiem, że wiarygodna jest stacja robocza,
na której są one używane oraz same klucze przechowywane są w sposób bezpieczny. Ponadto sam protokół, który zaprzęga w swoim przebiegu mechanizmy kryptograficzne, musi być niezawodny i prosty.
Obecnie większość protokołów kryptograficznych została pozytywnie zweryfikowana, dzięki czemu w toku
ich analizy usunięto błędy i potencjalne zagrożenia.
Język logiki, jakim dysponuje matematyka, jest
w stanie wyrazić niemal każdą formułę, a warunek
jej poprawności może być rozstrzygnięty w drodze
formalnego dowodu. I choć należałoby wspomnieć
w tym miejscu o twierdzeniu Goedla, traktującym
o niezupełności systemów logicznych, bez utraty na
ogólności można pokusić się o stwierdzenie, iż każda formuła logiki (jaką może być protokół zapisany
w języku wysokiego poziomu) może zostać obalona
poprzez znalezienie jej niespójności czy formalnego
błędu. Jednak dowód absolutnej poprawności protokołu kryptograficznego jest dużo trudniejszy, o ile
w myśl twierdzenia Goedla może być w ogóle możliwy. Nic więc dziwnego, że badania nad poprawnością protokołów kryptograficznych są domeną wielkich ośrodków naukowych i prężną dziedziną wiedzy.
Obecnie niemal wszystkie połączenia
z bankami, w których przesyłane są
dane osobowe czy uwierzytelniające są
szyfrowane, a do realizacji transakcji na
koncie nie wystarczy tylko zalogowanie
do konta, jak miało to miejsce jeszcze
niedawno w niektórych bankach.
la analizy długości kluczy oraz funkcji skrótu, wymaganych dla zapewnienia bezpieczeństwa w najbliższych dekadach, wynika, iż obecnie, aby osiągnąć poziom bezpieczeństwa równy temu, jaki w roku 1982
zapewniał algorytm DES, należy stosować przynajmniej takie długości kluczy: 86 bitów dla szyfrów symetrycznych, 1881 bitów dla szyfrów asymetrycznych
i 176 bitów dla funkcji skrótu. Dla porównania, w roku 2040 powinny one mieć odpowiednio 101 i 3214
bitów. Świadomość nieustannej ewolucji technologicznej, rozwoju dziedziny bezpieczeństwa informatycznego oraz wzrostu zagrożeń i ich powszechność,
skłania nas do niezwykle dojrzałego podejścia w sferze bezpieczeństwa, na którą składa się nie tylko zapewnienie poufności czy wiarygodności, ale i ochrona przed utratą wizerunku czy płynności finansowej.
Nr 4/2007 (5)
„
Dzięki temu możliwe jest bezpieczne korzystanie nie
tylko z bankowości elektronicznej, ale także ze wszystkich technologii, w których istotna jest gwarancja tożsamości obu stron oraz utajnienie transmisji.
Hasło, token a może palec?
Skuteczność wiarygodnego ustalania tożsamości zależy w dużej mierze od zastosowanych metod uwierzytelniania. Silne uwierzytelnianie będzie polegało
na połączeniu wielu metod uwierzytelniania. Do hasła czy PIN-u można dodać token, kartę z chipem,
kody sms czy czytnik linii papilarnych. Pojawiają się
również systemy biometryczne, wymagające od użytkownika połączenia się z bezpłatnym numerem, pod
którym weryfikowany jest jego głos i generowane jest
hasło logowania. W przypadku silnych metod uwiewww.boston-review.com
rzytelniania użytkownik godzi się na pewien dyskomfort czy techniczne ograniczenia kosztem większego bezpieczeństwa. Stoi to poniekąd w sprzeczności
z podstawowymi założeniami bankowości elektronicznej, które zakładały maksymalny komfort, szybkość,
niską cenę i dostęp do pieniędzy z telefonu i każdego
komputera przez całą dobę, 365 dni w roku.
Karty chipowe wymagają czytnika, oprogramowania i są dość drogie, a poza tym trudno o dostęp
do konta poza konkretnym komputerem. W dodatku
użytkownicy nie przepadają za noszeniem dziesiątek
kart i innych urządzeń uwierzytelniających i rodzi się
pytanie, jak można uwierzytelnić użytkownika, który
uszkodził czy zgubił swoją kartę? Telefon komórkowy
musi mieć zagwarantowany zasięg sieci bezprzewodowej, aby mógł stanowić namiastkę tokena. Nawet
skomplikowane hasła łatwo wykraść (keyloggery),
a już na pewno łatwo zapomnieć, nie mówiąc o tym,
że przez lata nie są zmieniane. Wydaje się, że biometryka w znacznym stopniu rozwiązuje ten problem.
Wątpliwości budzić mogą jedynie sytuacje, gdy użytkownik ma chrypkę i nie może wydać z siebie rozpoznawalnego głosu albo naruszył strukturę linii papilarnych (skaleczenie, mycie detergentami) i jego odcisk jest niewiele warty.
Bezpieczna przyszłość
Dużym błędem w dziedzinie bankowości elektronicznej jest brak minimalnych standardów dotyczących
weryfikacji tożsamości, autoryzacji operacji czy utajniania użytkownika wspólnych dla wszystkich banków. Wśród analizowanych banków, stosowane są
skrajnie różne metody uwierzytelniania oraz autoryzacji transakcji – począwszy od stałych haseł
w obu przypadkach, po kombinację hasła, kodu sms
i certyfikatu czy tokena. Trudno dziś wskazać obiektywne przyczyny tych dysproporcji. Należy jednak
pamiętać, że do niedawna bankowość elektroniczna w pierwszej kolejności miała zmniejszyć koszty
funkcjonowania banków i koszty obsługi ponoszone przez klientów. Właściwym gremium, które – mimo kilku inicjatyw w tej dziedzinie – nie wypracowało wyraźnej drogi, jest z pewnością Związek Banków
Polskich.
Niedoskonałe zabezpieczenia można kompensować innymi sposobami, np. informować użytkownika komunikatem sms o każdej istotnej operacji wykonywanej na koncie, przysyłać na koniec każdego dnia
zestawienie operacji e-mailem, informować o ostatnim niepoprawnym lub błędnym logowaniu i nietypowych operacjach, potwierdzać telefonicznie duże
przelewy, komunikować użytkownikowi o niepoprawnym certyfikacie albo zdegradowanym połączeniu
szyfrowanym, etc.
Bankowość elektroniczna, choć jej rozwój jest przesądzony, ma przed sobą wiele wyzwań. Z pewnością
czeka nas wiele spektakularnych, choć rzadko udanych cyberprzestępstw a w konsekwencji ciągła ewolucja i standaryzacja zabezpieczeń.
Argument o niskich kosztach bankowości elektronicznej może się nieco oddalić w obliczu rosnących kosztów zabezpieczeń, technologii, reasekuracji
w razie nadużyć czy edukacji użytkowników. To jednak koszt, który warto ponieść. Nie ma dziś innej drogi ewolucji.
11