Pobieranie prezentacji. Proszę czekać

Pobieranie prezentacji. Proszę czekać

IBM GTS – Security and Privacy Services © 2007 IBM Corporation Bezpieczeństwo transakcji elektronicznych Konferencja ZBP, 19-20 lutego 2007 r. Bezpieczeństwo.

Podobne prezentacje


Prezentacja na temat: "IBM GTS – Security and Privacy Services © 2007 IBM Corporation Bezpieczeństwo transakcji elektronicznych Konferencja ZBP, 19-20 lutego 2007 r. Bezpieczeństwo."— Zapis prezentacji:

1 IBM GTS – Security and Privacy Services © 2007 IBM Corporation Bezpieczeństwo transakcji elektronicznych Konferencja ZBP, lutego 2007 r. Bezpieczeństwo zdalnych transakcji elektronicznych Robert Kępczyński, CISSP, IBM Polska

2 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 2 Środowisko zdalnej transakcji elektronicznej Bank Internet Dane identyfikacyjne, transakcyjne i logi

3 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 3 Anatomia zdalnej elektronicznej transakcji Transakcja elektroniczna to ciąg wielu czynności operacyjnych od momentu zainicjowania po stronie klienta do momentu zakończenia ostatniej operacji po stronie banku. Typowe czynności operacyjne w transakcji elektronicznej: Uwierzytelnienie sesji Uwierzytelnienie pojedynczej operacji Automatyczne sprawdzanie stanu konta i uprawnień do wykonania transakcji Dodatkowe sprawdzanie tożsamości przez pracownika banku Wykonanie transakcji Zarejestrowanie danych o transakcji w logu ….

4 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 4 Typy oszustw w transakcjach elektronicznych 1.Klient wykonał transakcję a następnie wypiera się, że to nie on 2.Ktoś nie będący klientem ani pracownikiem banku wykonał zdalną transakcje 3.Pracownicy banku wykonują transakcje na koncie klienta bez jego wiedzy

5 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 5 ServiceService Product IBM Security Governance Services Security Risk Management Security Program Design and Management Regulatory and Standards Compliance IBM Privacy Services Privacy Awareness Privacy Assessment Privacy Strategy and Implementation IBM Infrastructure Threat Mitigation Services Vulnerability Management Network Perimeter Defense Mobile and Wireless Security Content Checking Desktop Security Managed Security Services IBM Transaction and Data Integrity Services Business Transaction Security Data Security Digital Certificate IBM Identity and Access Management Services Identity Assessment and Strategy Identity Proofing Identity Lifecycle Management Directory Services Access Management Strong Authentication Solutions IBM Application Security Services Application Security Lifecycle IBM Physical Security Services Site Security Digital Video Surveillance IBM Personnel Security Services Security Awareness Program IBM Security Education and Training Services (See ITES / Learning Services)

6 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 6 Kto ponosi koszty nielegalnej transakcji? W bankowej transakcji elektronicznej nie zostaje żaden materialny ślad jej wykonania po stronie klienta. Kto ponosi koszty nielegalnej transakcji bankowej kiedy nie można wykryć sprawcy? Problem kosztów nielegalnych transakcji elektronicznych na razie nie ma prostego rozwiązania prawnego w przeciwieństwie do nielegalnych transakcji bankomatowych i czekowych. Warto prześledzić historię i rozwiązania z innych krajów, gdzie temu problemowi poświęcono wiele uwagi.

7 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 7 Kto ponosi koszty podrobionego czeku? Jeśli bank zaakceptuje podrobiony czek, to automatycznie pokrywa stratę finansową. Jeśli sprzedawca zaakceptuje podrobiony czek, to będzie to jego strata finansowa. W 1965r. w W. Brytanii wprowadzono zasadę, że za przyjęte przez sprzedawcę podrobione czeki o wartości do 50 GBP stratę finansową pokrywa bank. W 2000r. podwyższono limit wartości czeku do GBP. W żadnym wypadku osoba, na której nazwisko wystawiono fałszywy czek, nie ponosiła straty finansowej o ile nie udowodniono, że na czeku na pewno jest jej podpis.

8 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 8 Kto ponosi koszty nielegalnej transakcji bankomatowej? Jeszcze w latach 90-tych w W. Brytanii (też w Norwegii i Holandii) klient musiał udowodnić, że nielegalna transakcja wykonana na jego kartę nie była wykonana przez niego. Spory rozstrzygano w sądzie. Zwykle wygrywał bank. Obrona klienta koncentrowała się na wykazaniu, że w miejscu lokalizacji bankomatu i dniu wykonania transakcji właściciel karty był gdzie indziej. Niektóre przestępstwa sięgały GBP. W tym samym czasie w USA bank musiał udowodnić klientowi, że to on zrobił podejrzaną transakcję. Średnia roczna strata amerykańskiego banku z powodu nielegalnych transakcji bankomatowych wynosiła USD.

9 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 9 Podział zagrożeń w zdalnej transakcji Zagrożenia dla zdalnych transakcji występują poza bankiem i wewnątrz banku. Przeciwdziałanie im powinno być właściwie rozdzielone między bank i klienta. Podział zagrożeń nie stanowi większego problemu w transakcjach bankomatowych i czekowych. 1.Eliminacja możliwości obejścia systemu uwierzytelniania 2.Ochrona poufności jednorazowych haseł 3.Ochrona poufności zbioru z zaszyfrowanymi hasłami 4.Ochrona integralności operacji komputerowych 5.Ochrona integralności logów 6.… 1.Ochrona poufności hasła 2.Ochrona poufności jednorazowych haseł 3.Ochrona antywirusowa 4.Ograniczenie dostępu do komputera 5.Zabezpieczenie bezprzewodowego dostępu do Internetu 6.… BankKlient

10 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 10 Zautomatyzowany atak nr.1 SSL Pharming lub phishing

11 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 11 Zautomatyzowany atak nr.2 SSL Końcówka SSL Koń trojański Monitor i klawiatura Końcówka SSL Koń trojański Monitor i klawiatura Końcówka SSL Koń trojański Monitor i klawiatura Końcówka SSL Koń trojański Monitor i klawiatura

12 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 12 Ważne lekcje z dotychczasowych doświadczeń Silne uwierzytelnienie klienta nie zabezpiecza przed nieautoryzowaną transakcją wykonaną w trybie man-in-the- middle W elektronicznym banku z silnym uwierzytelnieniem klienta można przeprowadzić zautomatyzowany atak na masową skalę Skuteczność systemu bezpieczeństwa w banku elektronicznym zależy też od sposobu rozstrzygania spory między klientem a bankiem

13 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 13 Dwa elementy skutecznego systemu bezpieczeństwa w banku elektronicznym Skuteczny system bezpieczeństwa w banku elektronicznym powinien obejmować co najmniej dwa elementy: 1.Silny system uwierzytelnienia z mechanizmem zabezpieczającym przed atakiem man-in-the-middle 2.Zarządzanie ryzykiem operacyjnym środowiska, w którym jest wykonywana transakcja. Innymi słowy: zarządzanie ryzykiem wszystkich operacji (po stronie klienta i banku), które są konieczne do wykonania transakcji.

14 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 14 Sposób 1: Dwa niezależne kanały komunikacyjne Internet GSM SSL

15 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 15 Sposób 2: Podpis elektroniczny poza PC SSL Urządzenie do składania e-podpisu

16 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 16 Zarządzanie ryzykiem operacyjnym i transakcje Ryzyko operacyjne należy rozumieć jako ryzyko straty wynikające z niedostosowania lub zawodności wewnętrznych procesów, ludzi i systemów technicznych lub ze zdarzeń zewnętrznych. (cytat z Rekomendacji M) Nieautoryzowana transakcja jest stratą operacyjną. Proces zarządzania ryzykiem operacyjnym powinien integrować wszystkie działania związane z bezpieczeństwem transakcji Niedopasowane procesy Zawodne procesy Systemy techniczne Ludzie Zdarzenia zewnętrzne Poziom zależności ryzyka operacyjnego od IT

17 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 17 Monitorowanie zagrożeń zdalnych transakcji Transakcja elektroniczna składa się z wielu czynności operacyjnych po stronie banku i po stronie klienta. Monitorowanie zagrożeń zdalnych transakcji polega na monitorowaniu wybranych operacji, które mogą być zmienione lub świadomie zakłócone w celu wykonania nieautoryzowanej transakcji. Aby monitorowanie zagrożeń przynosiło więcej korzyści niż problemów musi być poprzedzone analizą ryzyka wszystkich operacji, z których jest zbudowana zdalna transakcja

18 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 18 Co monitorujemy w przypadku zdalnej transakcji ? 1.Parametry środowiska, w którym pracuje komputer klienta (obecność właściwego cookies, pora dnia, lokalizacja geograficzna, powiązanie geograficzne z transakcjami bankomatowymi, …) 2.Parametry środowiska bankowego. W szczególności parametry operacji kluczowych dla wykonania zdalnej transakcji (dostęp do zbiorów z danymi uwierzytelniającymi, przeszukiwanie historii konta klienta, …) 3.Parametry transakcji zdefiniowanej przez klienta (konto banku docelowego, nietypowość transakcji względem dotychczasowej historii, ilość transakcji w czasie, …)

19 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 19 Analiza ryzyka zdalnej elektronicznej transakcji Metodyka jakościowej analizy ryzyk elektronicznej transakcji bankowej: 1.Utworzenie listy operacji uczestniczących w wykonaniu transakcji 2.Utworzenie czarnych scenariuszy tj. sekwencji operacji prowadzących do nieautoryzowanej transakcji (w celu określenia konkretnego kontekstu sytuacyjnego dla zagrożeń) 3.Przeprowadzanie jakościowej analizy ryzyka dla każdego czarnego scenariusza 4.Utworzenie listy najbardziej zagrożonych operacji w czarnych scenariuszach 5.Wybór parametrów do monitorowania dla operacji z punktu 4

20 IBM GTS – Security and Privacy Services © 2007 IBM Corporation 20 Dziękuję za uwagę


Pobierz ppt "IBM GTS – Security and Privacy Services © 2007 IBM Corporation Bezpieczeństwo transakcji elektronicznych Konferencja ZBP, 19-20 lutego 2007 r. Bezpieczeństwo."

Podobne prezentacje


Reklamy Google