Elektronické bankovníctvo – základy, priame distribučné kanály Tradičné vs. elektronické bankovníctvo BIVŠ 2007/2008
ELBA – distribučné kanály
Telefónne bankovníctvo (phone banking) Internetové bankovníctvo (internet banking) Automatické informačné systémy (mobil banking,
internet banking – pasívne operácie) PC bankovníctvo (Home banking, Business banking) Samoobslužné zóny, bankomaty (využitie PK)
2
ELBA – základné pojmy IDENTIFIKÁCIA IPPID AUTENTIZÁCIA PIN HESLO AUTORIZÁCIA ELEKTRONICKÝ PODPIS
3
ELBA – základné pojmy IDENTIFIKÁCIA systém musí jednoznačne určiť, kto do neho vstupuje IPPID jedinečné identifikačné číslo v rámci vybraných kanálov ELBA každá osoba by mala mať práve jeden IPPID nie je tajným údajom AUTENTIZÁCIA „preukaz totožnosti pre vstup do systému“ Niektoré systémy ELBA umožňujú vykonávať aktívne operácie už po úspešnej autentizácii
4
ELBA – základné pojmy PIN v rámci rôznych e-kanálov – rôzne (niektoré môžu byť spoločné) voliteľné, resp. pevné tajný údaj HESLO AUTORIZÁCIA potvrdenie každej dispozície pri jej zadávaní zvyčajne pri aktívnych operáciách = podpis príkazu na úhradu
5
ELBA – základné pojmy ELEKTRONICKÝ PODPIS
Klient dostane elektronický certifikát, ktorý mu umožňuje podpisovať jednotlivé dispozície odovzdávané banke, tzv. elektronický podpis Platnosť certifikátu je spravidla jeden rok Certifikáty je možné vydávať na disketách, čipových kartách a iných nosičoch Prístupový PIN k certifikátu je tajným údajom
6
Asymetrická kryptografia
správa
Bezpečná komunikácia s využitím digitálneho podpisu VK dôverná prijímateľa odosielateľ správa hash (klient) SK digitálny hodnota odosielateľa podpis
správy
Prenos dat
dôverná správa digitálny podpis
SK VK odosielateľa
prijímateľ
prijímateľa
správa
(banka)
pôvodná hash ? hodnota správy =
vypočítaná hash hodnota správy
7
Základní pojmy elektronického podpisu Elektronické doklady X Elektronický podpis Elektronické doklady: doklady v elektronické podobě (formuláře a ostatní dokumenty) – elektronicky podepsané,vyznačující se následujícími vlastnostmi: jednoduchá manipulace s dokladem v elektronické podobě snadná možnost tisku (i opakovaného) jednoduchá archivace podepsaných dokumentů (elektronickým podpisem) zkrácení doby potřebné k doručení dokladu druhé straně (řádově minuty) bezpečné ověření platnosti elektronického podpisu (může být součástí elektronických dokladů) – nepopiratelnost autorství dokládají autentičnost – dokument nebyl na cestě k adresátovi změněn pravidla pro elektronickou komunikaci jsou stanovena legislativou ČR a jsou v souladu s doporučeními EU: používání elektronických dokladů přináší úspory nákladů všem účastníkům této komunikace. 8 nový způsob autentizace nahrazující písemnou formu vlastnoručního podpisu
Základní pojmy elektronického podpisu Výhody elektronických dokladů a služeb jsou tedy:
úspora nákladů na tisk dokumentu úspora nákladů na doručení dokumentu příjemci eliminace nepřesností při přepisování dokumentů do počítače úspora času zúčastněných stran téměř okamžité doručení dokumentu úspora nákladů na archivaci dostupnost 24 hodin denně 7 dní v týdnu možnost disponovat např. se svými bankovními účty z libovolného místa
Příklad Ve většině informačních systémů dnes existují vedle sebe papírové i elektronické dokumenty - papírové dokumenty se přenášejí do počítače a z počítače se tisknou zpět na papír jako potvrzující dokumenty. Tato duplicita není efektivní, zabírá čas, zvyšuje náklady na provoz a vnáší riziko chyb.
9
Základní pojmy elektronického podpisu Elektronický podpis: Elektronický podpis (Digitální podpis – jedna z forem EP): • údaje v elektronické podobě, připojené k datové zprávě (posílám elektronický doklad např. formulář e-mailem a podepíšu jej právě elektronickým podpisem) nebo s ní logicky spojené • umožňuje ověření totožnosti podepsané osoby ve vztahu k datové zprávě • Elektronický podpis je také širší termín, který byl zaveden s úmyslem nezužovat tuto problematiku na pouhý digitální podpis. Není záměrně stanoven přímou „technickou“ definicí, aby mohlo být v budoucnu akceptováno i jiné schéma elektronického podpisu splňující zákonné požadavky.
10
Základní pojmy elektronického podpisu
Certifikát obsahuje kromě jiného dvojici klíčů určených pro využití elektronického podpisu. Soukromý klíč slouží k vytváření elektronického podpisu dat soukromým klíčem z dat vytvoříme šifru, která se připojí k datům jako podpis soukromý klíč musí zůstat jedinečný, každý uživatel si jej musí pečlivě chránit jedinečnost klíče zaručuje, že podpis vytvořila osoba vlastnící tento klíč Veřejný klíč slouží k ověřování elektronického podpisu veřejným klíčem se dešifruje připojený podpis do původních dat a ta se porovnají s přijatými daty; v případě shody je podpis uznán veřejný klíč se zveřejňuje; musíme ho poslat každému, kdo má ověřit náš podpis Veřejný a soukromý klíč tvoří dvojici: Co jeden klíč zašifruje (veřejný), to dešifruje jen a pouze druhý klíč z dvojice (soukromý). Dvojici klíčů lze použít nejen pro elektronický podpis, ale též pro šifrování. K šifrování potřebujeme veřejný klíč (adresáta-klíč toho, komu šifrovaný text posíláme), tj. nikoli náš (soukromý), aby si jej on poté mohl svým soukromým klíčem dešifrovat. Veřejný klíč je tedy distribuován jako součást certifikátu, který certifikační autorita podepisuje svým pečlivě střeženým soukromým klíčem (kořenového certifikátu).
11
Základní pojmy elektronického podpisu
Certifikát (Veřejná část EP) datová zpráva vydaná důvěryhodnou stranou = certifikační autoritou (I.CA – První certifikační autorita, a.s.) spojuje identitu vlastníka certifikátu s jeho veřejným klíčem, aby nemohlo dojít k podvržení klíče, tedy aby daný veřejný klíč nemohl být vydáván za vlastnictví někoho jiného je digitálně podepsán certifikační autoritou důvěra v certifikát je založena na důvěře v certifikační autoritu, která jej vydala pravost uživatelských certifikátů se ověřuje certifikátem certifikační autority, tzv. kořenovým certifikátem, který obsahuje identifikaci certifikační autority a samozřejmě její veřejný klíč 12
Základní pojmy elektronického podpisu Vlastnosti elektronického podpisu
Elektronický podpis prakticky nelze zfalšovat - umožňuje dostatečnou identifikaci. Pravost elektronického podpisu lze jednoduše ověřit - elektronicky podepsanou osobu lze snadno autentizovat. Elektronický podpis zaručuje neporušenost zprávy - můžeme snadno ověřit, že obdržená zpráva je ta, která byla podepsána. Neporušenost obsahu zprávy je důležitá při zasílání nechráněných (nešifrovaných) dat. V případě neoprávněné změny obsahu zprávy se bude elektronický podpis jevit po ověření jako neplatný.
Elektronický podpis v kombinaci se šifrováním zprávy navíc účinně chrání data před vyzrazením, přičemž ověření podpisu je možné až po úspěšném rozšifrování zprávy.
Vlastností elektronického podpisu je také nepopiratelnost. V praxi to znamená, že není možné podepsat "prázdný papír", jehož obsah bude doplněn později. Podepsaná osoba tedy nemůže tvrdit, že danou zprávu neodeslala nebo že nebyla seznámena s jejím obsahem. Elektronickým podpisem lze důvěryhodně podepsat i disketu, fotografii, plán apod. Všechny tyto vlastnosti bychom stěží hledali u klasického ručního podpisu.
Příklad: V případě elektronického podpisu tedy identifikace a autorizace znamená: 13 Identifikace: Podepsání zprávy elektronickým podpisem na straně odesilatele. Autentizace: Ověření elektronického podpisu na straně příjemce.
Základní pojmy elektronického podpisu Identifikace osoby rozpoznání osoby na základě odlišností od jiných osob pro identifikaci je potřebné předložit určitý identifikátor = informaci
nebo předmět v České republice je základním osobním identifikátorem rodné číslo pro identifikaci osoby lze použít též číslo občanského průkazu, číslo pasu nebo jiné věrohodné číslo pro identifikaci osoby může být rovněž použit elektronický podpis Bezvýznamový identifikátor MPSV (Ministerstvo práce a sociálních -
věcí) lze chápat jako „náhradu rč“ – zašifrovaná podoba zpětně nerozšifrovatelná! Je součástí certifikátu, je to přidaná hodnota certifikátu a je poskytován zdarma V certifikátu se nesmí kvůli ochraně osobních údajů zobrazovat rč, 14 proto se uvádí ID MPSV!
Základní pojmy elektronického podpisu Autentizace - Je proces ověření identity identifikované osoby či entity s požadovanou mírou záruky („je ten, za koho se vydává“) - Čipová karta je nástrojem autentizačním - Příkladem může být vstup do aplikace IB/BB – autentizuji se jako osoba oprávněná vstoupit Autorizace - Při autorizaci se ověřuje, zda má uživatel dostatečná oprávnění pro přístup k určitému souboru či pro provedené určité akce. - Příkladem může být podpis platebního příkazu v aplikaci IB/BB – autorizuji danou platbu 15
