4Problemen met zakendoen op Internet

Intranet

4gebruik Internet toepassingen voor netwerk binnen een organisatie

Telematica

4In plaats van gespecialiseerde

Toepassingen Hoofdstuk 18

4Vooral WWW en e-mail 4WWW browser toegang tot administratie

Extranet

Business op Internet

netwerkprogramma's

4Gebruik Internet technologie voor contact tussen organisatie en klanten 4Meestal tussen verschillende organisaties (B2B) 4Externe toegang tot (deel van) intranet 4Beveiliging is belangrijk

en databases

4Problemen met zakendoen op Internet n n

4Beveiliging Tegen afluisteren (creditcard gegevens, passwords) n Weet de klant zeker dat hij met het bedrijf communiceert n Weet het bedrijf zeker dat hij met de klant communiceert n

SSL/TLS 1 4SSL = Secure Sockets Layer 4TLS = Transport Layer Security 4Beveiliging hoort volgens het OSI 7-lagen model in laag 6 (Presentation)

4Laag 6 bestaat niet in het Internet 4Daarom toegevoegd in de toepassingsprogramma's 4Beveiliging moet extra in de programma's ingebouwd worden 4Standaardcomponenten kunnen gebruikt worden

Beveiliging Betaling

SSL/TLS 2

4Socket = mechnisme in het operating system voor Internet communicatie

4Geeft het programma toegang tot de transportlaag

4Secure socket is een toegevoegd mechanisme om beveiligd over een socket te kunnen communiceren n n

Communicatie is `encrypted' (versleuteld) Authenticatie van beide uiteinden mogelijk

4SSL/TLS is een systeem van afspraken voor het gebruik van secure sockets

1

SSL/TLS 3

4In web browser: Gebruik https://www.cs.uu.nl/... n in plaats van http://www.cs.uu.nl/... n Maakt een connectie naar port 443 in plaats van 80 n

4In de server en in de browser gaat alle data door een extra encryptie/decryptie

4Van te voren vindt er `handshaking' plaats n n

SSL/TLS 4

4Ook te gebruiken voor andere toepassingen 4In feite overal waar een socket gebruikt wordt 4Voorbeeld: e-mail IMAPS in plaats van IMAP Voor beschermen van password n Data ook gelijk beschermd n n

cerificaten uitgewisseld sleutels worden afgesproken

Certificaten

4Een certificaat is een digitaal identiteitsbewijs 4Als je een betaling doet wil je dat de ontvanger gecertificeerd is. 4Certificaat is meestal gewaarborgd door een bekende instantie (Certification Authority) 4De belangrijkste CA's hebben hun certificaat ingebouwd in de browser 4Anders moet je het expliciet accepteren

Electronisch betalen 4Tussen klant en bedrijf 4Probleem: bedrijf kent klant niet n

n

Grote bedrage, microbetalingen n Onmiddellijke betaling, betaling na enige tijd n

4Hoe wordt afgerekend?

Credit card Debit card (chipknip) n Electronische bankrekening n Rembours n Vooruitbetaling n Machtiging n n

Hoe weet de klant dat het bedrijf betrouwbaar is

4Veiligheid van bijv. Credit-card gegevens 4Privacy (spoor van betalingen) 4Micropayments n n

Betalingssystemen

4Kenmerken: 4Transactietypes:

Hoe weet het bedrijf dat de klant zal betalen

4Omgekeerd: klant kent misschien bedrijf niet

Kleine betalingen bijv. Voor informatie op het web Nu kost elke transactie geld (bankkosten)

Betalingssystemen

4Hoe werkt het? n n

On-line controle van betaling Prepay

4Privacy en beveiliging 4Wie heeft het risico n

Bedrijf, klant, bank

2

SET

4Secure Electronic Transactions Voor betalingen met creditcard of bankpas n Betaling wordt on-line gecontroleerd n Bedrijf krijgt niet de informatie van de creditcard n Bedrijf krijgt wel informatie over de geldigheid van de creditcard n Encryptie wordt gebruikt voor de betalingsinformatie n Aparte software nodig op de PC van de klant en op de servers van het bedrijf n

SET participanten

SET participanten

4Klant: n n

Doet aankopen Gebruikt credit card of bankpas

4Bedrijf

Verzorgt de verkoop Ontvang (geheime) betalingsinformatie van de klant n Geeft deze door aan de bank n n

SET flow

4Bank Ontvangt betalingsinformatie van klant (via bedrijf) n Bevestigt de betaling aan bedrijf n

4Certificatie autoriteit n

Levert electronische certificaten voor de encryptie en digitale handtekeningen

Digitale handtekeningen

4Een digitale handtekening is een berekening die uitgevoerd wordt op een bericht die Bevestigt wie de afzender van een bericht is Garandeert dat de inhoud van het bericht niet stiekem gewijzigd is n Hiervoor is een certificaat nodig dat gekoppeld is aan de afzender n Certificaten worden uitgegeven door een Certificaat Autoriteit (Trusted Third Party) n Certificaten kunnen gekoppeld zijn aan personen, bedrijven of bijv. een credit card. n n

SET certificaten

4De klant stuurt het bedrijf een bericht bestemd voor de bank. Dit bericht is getekend met een certificaat dat behoort bij zijn bankrekening 4Het bedrijf stuurt de betalingsinformatie naar de bank getekend met zijn certificaat 4De betalingsinformatie is versleuteld zodat het bedrijf niet de creditcardinformatie kan lezen, maar de bank wel

3

Electronisch geld Gewenste eigenschappen: Moet veilig zijn waar het ook opgeslagen is n Moet electronisch verstuurd kunnen worden n Uitwisseling mogelijk zonder derde partij n Geld moet aan anderen gegeven kunnen worden n Moet niet gekopiëerd kunnen worden n Moet gewisseld kunnen worden n Moet anoniem gebruikt kunnen worden n

E-cash

4Innovatief systeem: Elektronisch geld Werkt met elektronische munten n Vergelijkbaar met Chipknip n Ook transacties tussen partijen onderling n Geld opnemen en storten bij bank n Anoniem n Toch beveiligd tegen kopiëren n Anonimiteit beveiligt privacy n Maar opent mogelijkheid van criminele activiteiten n n

E-cash 2 4Munten worden door de klant opgenomen bij de bank 4Electronische munten worden opgeslagen op je computer 4Elke munt heeft een serienummer 4De bank onthoudt de serienummers maar weet niet welk serienummer bij welke klant hoort 4Wanneer je een elektronische munt ontvangt moet je deze registreren bij de bank 4De bank controleert of het geen duplicaat is 4Als er duplicaten aangeboden worden kan de bank wel achter de identiteit komen

4Na goedkeuring van de bank kun je de goederen versturen

E-commerce infrastructuur

4Intrabusiness: Binnen de organisatie Intranet n Ook voor filialen n n

4B2B (Business to Business) n n

Voor bedrijven als klanten Extranet

4B2C (Business to Customer) n

Via speciale netwerken

Via Internet

Toegangsbeveiliging

4Firewall Filtert Internet verkeer van binnen naar buiten en omgekeerd n Bijvoorbeeld op IP/port nummer n Evt. Met specifieke password toegang n DMZ = Demilitarized Zone n = `tussengebied' tussen het veilige binnennetwerk en de boze buitenwereld n

4

Via Internet

Toegang via Internet

4Geen specifieke aparte netwerken meer 4DMZ voor `gevaarlijke' toegang 4Extra FTZ (Free Trade Zone) voor toegang met meer provileges Voor vertrouwde partijen: BTB klanten n IB (eigen dochterondernemingen) n n

4Beide gescheiden door Firewall van elkaar en van company netwerk

5