BEZPIECZEŃSTWO TRANSAKCJI BANKOWOŚCI INTERNETOWEJ Z PUNKTU WIDZENIA KLIENTA

Transkrypt

1 BEZPIECZEŃSTWO TRANSAKCJI BANKOWOŚCI INTERNETOWEJ Z PUNKTU WIDZENIA KLIENTA Tomasz Parys Wstęp Czasy nam współczesne zaowocowały ogromnym postępem technologicznym we wszystkich dziedzinach Ŝycia, jednak najbardziej widoczne przemiany objęły sferę komunikacji międzyludzkiej. Wykreowano zupełnie nowe media i metody wymiany informacji, czego najlepszym przykładem moŝe być Internet. Człowiek dąŝąc do maksymalnego ułatwienia sobie Ŝycia stara się wykorzystywać wszelkie dostępne dobrodziejstwa cywilizacji. Przeszkodą jednak w powszechnym uŝyciu dostępnych technologii jest nie tylko konieczność pozyskania odpowiednich kwalifikacji i niezbędnego wsparcia technicznego, ale przede wszystkim brak zaufania do oferowanych rozwiązań. Kto bowiem nie słyszał o włamaniach do sieci komputerowych, nielegalnym wykorzystaniu numerów kart kredytowych, elektronicznych naduŝyciach? NaleŜy zauwaŝyć, iŝ oprócz świadomych działań destrukcyjnych (np. hackerzy) źródłem zagroŝeń dla bezpieczeństwa transakcji elektronicznych mogą być działania klientów, często zupełnie nieświadome. Bankowość elektroniczna i internetowa Bankowość elektroniczna jest formą usług, oferowanych przez niektóre banki, polegającą na umoŝliwieniu klientowi dostępu do jego rachunku za pośrednictwem komputera (bądź innego urządzenia elektronicznego, np. bankomatu, POS itp.) i łącza telekomunikacyjnego (np. linii telefonicznej) [Pa03b]. Bankowość elektroniczna jest zatem nowoczesną formą realizacji usług bankowych pozwalającą na korzystanie z nich z dowolnego miejsca na świecie bez konieczności odwiedzania placówki banku. Istotą bankowości elektronicznej jest moŝliwość korzystania z usług bankowych niezaleŝnie od miejsca i czasu [Pa03a]. Rozwój bankowości elektronicznej na świecie zapoczątkowało pojawienie się i rozpowszechnienie urządzeń nazwanych ATM (ang. Automated Teller Machine), znanych w Polsce jako bankomaty. Pierwsze urządzenie tego typu zostało

2 ROZDZIAŁ II zainstalowane w Nowym Jorku w New York Chemical Bank. Początkowe ATM-y pracowały w trybie off-line i nie były połączone z Ŝadnymi sieciami komputerowymi [Ba05]. Bankowość internetowa jest pojęciem węŝszym od bankowości elektronicznej, której jest ona jedynie jedną z form. Bankowość internetowa jest to umoŝliwienie przez bank dostępu do rachunku bankowego przy wykorzystaniu technologii WWW oraz zastosowaniu zwykłej przeglądarki internetowej [Ra05a]. Historia bankowości internetowej rozpoczęła się w Stanach Zjednoczonych w 1994 roku. La Jolla Bank FSB z Kalifornii był jednym z dziesięciu pierwszych banków, które otworzyły swoje oddziały internetowe [Pa03a]. W 1995 powstał Security First Network Bank (SFNB), który był pierwszym na świecie bankiem internetowym, świadczącym szeroki zakres usług finansowych tylko za pośrednictwem Internetu [por. Ry97]. Pionierem bankowości internetowej na rynku polskim był Powszechny Bank Gospodarczy S.A 1, który uruchomił swój oddział internetowy w październiku 1998 r. Do listopada 1999 r. był on jedynym bankiem oferującym tego typu usługi, kiedy to świadczenie usług przez Internet zaoferował kolejny bank - BPH S.A. [Ra01]. Zabezpieczenia transakcji ze strony banków W bankowości internetowej wszystkie połączenia między klientem (jego przeglądarką) a serwisem bankowym (serwerem banku) są szyfrowane. Do szyfrowania uŝywany jest protokół SSL (ang. Secure Sockets Layer). Jest to protokół opracowany przez firmę Netscape Communication zapewniający bezpieczny kanał komunikacji między klientem a serwerem. SSL jest protokołem przeznaczenia ogólnego i stanowi uzupełnienie innych protokołów (w przypadku usługi WWW takim protokołem jest HTTP). SSL opiera się na wykorzystaniu zarówno kryptografii asymetrycznej (do szyfrowania i deszyfrowania uŝywa się róŝnego klucza 2 ) jak i symetrycznej (szyfrowanie i deszyfrowanie odbywa się przy uŝyciu tego samego klucza 3 ). Kryptografia asymetryczna stosowana jest jedynie w celu uzgodnienia klucza symetrycznego, stosowanego w dalszej komunikacji. Komputer klienta otrzymuje od serwera jego klucz publiczny, który posłuŝy do zaszyfrowania wygenerowanego przez ten komputer klucza symetrycznego i przesłania go do serwera. Dalsza komunikacja odbywa się przy uŝyciu klucza symetrycznego, co związane jest w głównej mierze z nieporównywalnie większą 1 Powszechny Bank Gospodarczy S.A. został włączony do Pekao S.A. w 1999 roku. 2 W przypadku szyfrowania asymetrycznego najczęściej uŝywa się algorytmu RSA o długości klucza 1024 bity. 3 W przypadku szyfrowania symetrycznego najczęściej uŝywa się algorytmu RC4 o długości klucza 128 bitów. 220

3 TECHNOLOGIE INTERNETOWE I SYSTEMY E-BIZNESU prędkością kodowania danych za pośrednictwem algorytmów klucza symetrycznego. Klucz symetryczny jest generowany i ustalany zawsze na nowo dla kaŝdej sesji, stąd teŝ często nazywany jest kluczem sesyjnym. Choć sam protokół SSL jest praktycznie nie do złamania, to jednak ma on kilka słabości, których wystąpienie jest w duŝej mierze zaleŝne od zachowania uŝytkownika (klienta banku), dlatego teŝ zostaną one przedstawione w dalszej części opracowania. W przypadku przeprowadzania transakcji w banku internetowym, w szczególności zaś takich, które wpływają na stan konta nie moŝe być wątpliwości, Ŝe osoba zlecająca ich wykonanie jest do tego upowaŝniona. Z tego to powodu oprócz klasycznego logowania się do systemu przez podanie identyfikatora uŝytkownika oraz hasła czyli uwierzytelniania prostego, stosowane jest uwierzytelnianie silne oparte o róŝne narzędzia. Najczęściej są to listy kodów jednorazowych lub tzw. tokeny. W polskich bankach stosowane są dwa rodzaje haseł jednorazowych. Są to hasła jednorazowe wydrukowane na normalnym papierze (np. mbank, Pekao S.A.), co umoŝliwia ich skopiowanie w sposób zupełnie niewidoczny dla ich posiadacza, oraz hasła w postaci zdrapki (np. Inteligo, Nordea), co zabezpiecza przed niezauwaŝonym poznaniem haseł. TakŜe wśród stosowanych tokenów moŝemy wyróŝnić dwa ich rodzaje. Są to automatyczne generatory haseł jednorazowych 4, oraz zabezpieczone PIN-em generujące odpowiedź na podstawie wpisanego ciągu cyfr 5. Kody z tokena podobnie jak i hasła jednorazowe z listy jednoznacznie identyfikują klienta [Bo04]. Choć tokeny i listy haseł jednorazowych są dobrym rozwiązaniem to ich bezpieczeństwo jest uzaleŝnione od samego systemu bankowego obsługującego rachunki. Np. w mbanku po nieudanej transakcji system Ŝąda ponownie podania tego samego hasła jednorazowego. To stwarza potencjalną moŝliwość ponownego uŝycia przechwyconego hasła przez włamywacza. Natomiast w banku Integrum BGś kaŝde pytanie do tokena jest inne, zaś w BZ WBK zaleŝy od danych transakcji. Rozwiązanie takie eliminuje wspomnianą powyŝej moŝliwość ponownego uŝycia raz przechwyconego i uŝytego hasła [por. Bo04]. Zapewnienie bezpieczeństwa transakcji ze strony klientów W bankowości elektronicznej medium komunikacji między klientem a bankiem jest sieć Internet, natomiast interfejsem komunikacyjnym strony WWW wyświetlane przez przeglądarkę. Ze względu na stosunkowo duŝą liczbę błędów w zabezpieczeniach i niedoskonałość mechanizmów wykorzystywanych w przeglądarkach szczególną uwagę zwrócić naleŝy na następujące kwestie: 4 Wadą tego typu tokenów jest moŝliwość ich uŝycia po kradzieŝy lub zgubieniu. 5 Token tego typu jest znacznie bardziej bezpieczny niŝ token generujący hasła automatycznie. 221

4 ROZDZIAŁ II Sprawdzanie certyfikatów stron Przed kaŝdym połączeniem z serwerem banku naleŝy sprawdzić, czy certyfikat strony jest poprawny. Wystarczy kliknąć na pokazaną na pasku zadań ikonkę kłódeczki i będzie moŝna sprawdzić właściwości certyfikatu. Certyfikat musi być wystawiony przez tzw. zaufany urząd certyfikacji, natomiast tzw. ścieŝka certyfikacji powinna wyglądać tak jak przedstawiona poniŝej. Rys. 1. ŚcieŜka certyfikacji dla certyfikatu dla strony bank VW Bank Direct Źródło: Przeglądarka Internet Explorer 6.0 Zwracanie uwagi na zachowanie przeglądarki w czasie połączenia O fakcie połączenia szyfrowanego informuje specjalna ikona na pasku zadań przeglądarki, natomiast w pasku adresu zamiast standardowego przedrostka pojawia się JeŜeli nie pojawia się charakterystyczna kłódeczka lub pasek adresu wygląda dziwnie naleŝy natychmiast przerwać połączenie, w kaŝdym razie nie podawać Ŝadnych danych. Rys. 2. Pasek adresu fałszywej strony banku Źródło: Przeglądarka Internet Explorer 6.0 Nie odpowiadanie na e- maile pochodzące rzekomo od banków oraz logowanie się do systemów bankowych za pomocą linków w nich zamieszczonych Do systemu bankowego zawsze naleŝy się logować z głównej strony banku, w Ŝadnym wypadku nie naleŝy korzystać z linków umieszczonych na róŝnych stronach, w szczególności zaś z linków które zawarte są w poczcie elektronicznej. Takie linki zazwyczaj są spreparowane i prowadzą do fałszywych stron 222

5 TECHNOLOGIE INTERNETOWE I SYSTEMY E-BIZNESU bankowych. Preparowanie stron banków i wysyłanie do nich linków nazywane jest phishingiem. Ma on na celu wyłudzenie od nieświadomego internauty jego danych osobowych, numeru karty kredytowej lub nazw uŝytkownika i haseł dostępowych do serwisów, z których korzysta (np. banku internetowego, serwisu do wirtualnych płatności czy systemu aukcyjnego) [Ep05]. Miejsce logowania się do systemu bankowego Do systemu bankowego naleŝy logować się,w miarę moŝliwości, z domu lub z miejsca, do którego mamy zaufanie. W Ŝadnym wypadku nie naleŝy korzystać z komputerów w miejscach ogólnodostępnych takich jak np. kawiarenki internetowe. W takim przypadku znacznie wzrasta niebezpieczeństwo przechwycenia danych identyfikacyjnych koniecznych do logowania do systemu. Nie moŝna bowiem być pewnym, czy na komputerze takim nie jest zainstalowany koń trojański podszywający się pod przeglądarkę, program szpiegujący zdejmujący teksty wpisywane z klawiatury itp. Realnym niebezpieczeństwem jest takŝe pewna niedoskonałość protokołu SSL. Choć sama transmisja jest stosunkowo dobrze zabezpieczona, to w czasie nawiązywania połączenia moŝliwe jest oszukanie przeglądarki i wykonanie ataku typu man-in-the-middle (człowiek w środku). Dzięki programowi zakłócającemu działanie usługi DNS włamywacz moŝe najpierw przekierować transmisję z bankiem na swój komputer a dopiero później połączyć się bankiem. W takim przypadku odpowiedzi serwera bankowego są kierowane na komputer atakującego, a dopiero potem przekazywane do klienta. Problem polega na tym, Ŝe przeglądarka klienta banku ustala parametry transmisji nie z serwerem banku a z komputerem włamywacza, co powoduje, Ŝe cała transmisja moŝe być odczytana przez intruza [Bo04]. Zwracanie uwagi na komunikaty wyświetlane przez przeglądarkę W czasie logowania naleŝy baczną uwagę zwracać na komunikaty wyświetlane przez przeglądarkę. W opisanej powyŝej sytuacji przeglądarka prawdopodobnie wyświetli komunikat o błędzie w certyfikatach, ale większość uŝytkowników dla świętego spokoju naciśnie przycisk OK, aby móc kontynuować pracę. W czasie korzystania z usług banków internetowych powinno się czytać wszelkie komunikaty ze zwiększoną uwagą, a jeŝeli pojawia się wątpliwość najlepiej kliknąć na NIE. Sprawdzanie systemu na obecność wirusów i programów szpiegujących W systemie naleŝy zastosować oprogramowanie antywirusowe jak równieŝ specjalistyczne oprogramowanie usuwające tzw. złośliwe oprogramowanie. NaleŜy pamiętać, o aktualizowaniu bazy do tychŝe programów. Zagadnienie to powinno się traktować tym powaŝniej im starszy system operacyjny jest uŝywany. W przypadku systemu operacyjnego Windows najbardziej podatnym na wszelkie ataki jest wersja Windows 98, natomiast najbardziej odporna jest wersja XP. System Windows jest najczęściej wykorzystywanym systemem operacyjnym wśród polskich uŝytkowników Internetu. Według najnowszych badań (18-IV-2005) z systemu Windows w wersji XP korzysta 66,7%, w wersji

6 ROZDZIAŁ II 18,2%, w wersji ,8%, natomiast wersje ME wykorzystuje 3,1% uŝytkowników Internetu w Polsce [Ra05b]. W wyniku badań własnych autora na systemie operacyjnym Windows 98 z zainstalowaną przeglądarką IE 5.x bez programu antywirusowego, pracującym w sieci w której zainstalowany był firewall, po 2 dniowym korzystaniu z Internetu przy zastosowaniu programu Ad-Aware w wersji 1.05 wykrytych zostało 478 obiektów niebezpiecznych dla komputera. Na tym samym komputerze po zainstalowaniu programu antywirusowego 6 liczba takich obiektów spadła do 367. Natomiast w przypadku systemu Windows XP 7 wyposaŝonego w przeglądarkę IE 6.x w tych samych warunkach bez programu antywirusowego liczba takich obiektów wyniosła 306. Po zainstalowaniu programu antywirusowego liczba ta spadła do 187. Aktualizacja oprogramowania Ze względu na odkrywane stosunkowo często błędy w oprogramowaniu naleŝy co pewien regularny czas np. co miesiąc sprawdzać czy nie pojawiły się nowe aktualizacje na stronach producentów oprogramowania. W szczególności dotyczy to produktów firmy Microsoft, które będąc bardzo popularne, są nara- Ŝone na róŝnego rodzaju ataki. Przy uŝyciu system operacyjnego Windows XP wyposaŝonego w przeglądarkę IE 6.x w warunkach opisanych powyŝej z zainstalowanym programem antywirusowym liczba niebezpiecznych obiektów wyniosła 187, natomiast po zainstalowaniu zestawu poprawek Service Pack 2 liczba ta spadła do 126. Fizyczne zabezpieczenie loginów i haseł Niezmiernie istotną kwestią, nienaleŝenie od doskonałości mechanizmów zabezpieczających, pozostaje nadal dbałość o bezpieczne przechowywanie loginów i wszelkich haseł, numerów PIN i innych danych identyfikacyjnych, jakie mogą być wykorzystywane w procesie autoryzacji. Nawet najlepiej zabezpieczony system jest bezradny w momencie gdy do systemu loguje się osoba nieuprawniona przy wykorzystaniu oryginalnych (niedostatecznie chronionych przez właściciela) loginów, haseł i kodów (tokenów). Zakończenie Rynek bankowości internetowej rozwija się bardzo dynamicznie. Według prognoz Instytutu Badań nad Gospodarką rynkową w roku 2005 ma być 2,8 mln. kont internetowych, co stanowić będzie 13,1 wszystkich rachunków [Wo03]. Zaś w roku 2006 powinno istnieć w Polsce juŝ 3,3 mln. kont internetowych, co 6 Programem tym był pakiet Norton Antivirus w wersji bez zestawu poprawek Service Pack

7 TECHNOLOGIE INTERNETOWE I SYSTEMY E-BIZNESU ma stanowić 14,2 % wszystkich kont istniejących w polskich bankach [Sw04]. Wskazuje to jednoznacznie na rosnące zainteresowanie uŝytkowników tą formą świadczenia usług bankowych, a to powoduje, iŝ w sieci pojawi się znacznie większa liczba potencjalnych celów do ataku dla hackerów. NiezaleŜnie od doskonałości zabezpieczeń sprzętowych i programowych, nadal bardzo waŝnym, jeŝeli nie najwaŝniejszym oręŝem w walce o bezpieczeństwo transakcji internetowych będzie świadomość i rozwaga uŝytkowników. Literatura [Ba05] Bankowość elektroniczna witryna dostępna pod adresem - aktualna w dniu r. [Bo04] Borowski A., Niepewne jak w banku, CHIP 12/2004. [Ep05] E-płatności 23 - dostępny pod adresem - serwis [Ki03] poświęcony płatnościom w sieci - według stanu w dniu Kisielnicki J., Informatyka narzędziem Zarządzania w XXI wieku, PJWSTK, Warszawa 2003 [Pa03a] Parys T., Bankowość internetowa jako nowa forma świadczenia usług bankowych, w: Systemy wspomagania organizacji - SWO2003, Porębska T. Sroka H, (red.), Katowice [Pa03b] Parys T., Internet jako nowy kanał dostępowy do usług bankowych na przykładzie wybranych banków polskich, w: [Ki03] [Ra05a] Rada Bankowości Elektronicznej przy Związku Banków Polskich - witryna organizacji dostępna pod adresem - w cytowanym kształcie istniała w dniu r. [Ra01] Rafa J.: Polskie e-banki, Magazyn Internet 5 / [Ra05b] Ranking PL według stanu na dzień r. [Ry97] Ryznar Z., Elektroniczna bankowość, Bank 10/ [Sw04] Świecka B., Bankowość elektroniczna, CeDeWu, Warszawa [Wo03] Wojciechowska - Filipek S., Bankowość internetowa a klient w: [Ki03] 225