Bezpečnostní aspekty elektronického bankovnictví

Bankovní institut vysoká škola Praha Katedra informačních technologií a elektronického obchodování

Bezpečnostní aspekty elektronického bankovnictví Bakalářská práce

Autor:

Martin Geleta Bankovní management

Vedoucí práce:

Praha

Ing. Antonín Vogeltanz

Duben, 2009

Prohlášení: Prohlašuji, že jsem bakalářskou práci zpracoval samostatně a s použitím uvedené literatury.

………………… V Praze dne 14. 4. 2009

Martin Geleta

Poděkování Touto cestou bych rád poděkoval vedoucímu bakalářské práce Ing. Antonínu Vogeltanzovi za cenné rady, připomínky a metodické vedení práce.

ANOTACE PRÁCE Bezpečnostní aspekty elektronického bankovnictví

Cílem této bakalářské práce je prozkoumání vybraných druhů elektronického bankovnictví a jejich zabezpečení, testování zabezpečení internetového bankovnictví, vyhodnocení testování a návrhy na zlepšení ochrany.

Security aspects of electronic banking

The main goal of this bachelor’s thesis is to analyse selected types of electronic banking and their safeguarding, testing security of internetbanking, analysis of testing and proposals for improving security.

Obsah

Úvod ........................................................................................................................... 7 1

Elektronické bankovnictví .................................................................................. 9 1.1

2

Druhy přímého bankovnictví ............................................................................... 13

1.1.1

Phonebanking .............................................................................................. 13

1.1.2

Homebanking .............................................................................................. 14

1.1.3

Internetbanking ............................................................................................ 14

1.1.4

GSM banking............................................................................................... 14

1.1.5

WAP banking .............................................................................................. 15

1.1.6

PDA banking ............................................................................................... 15

1.1.7

JAVA banking ............................................................................................. 16

1.1.8

VIDEO banking ........................................................................................... 16

1.2

Ukázky elektronického bankovnictví .................................................................. 18

1.3

Identifikace a autentizace v rámci EB ČSOB ...................................................... 20

Bezpečnost internetového bankovnictví ........................................................... 22 2.1

Analýza základních způsobů zabezpečení EB..................................................... 23

2.1.1

Zabezpečení pomocí hesel ........................................................................... 23

2.1.2

Zabezpečení pomocí elektronických klíčů .................................................. 23

2.1.3

Zabezpečení pomocí certifikátů (elektronický podpis) ............................... 24

2.1.4

Elektronický podpis ..................................................................................... 26

2.2

Protokol SSL ....................................................................................................... 29

2.2.1

3

Šifry používané protokolem SSL ................................................................ 30

2.3

Protokol HTTPS .................................................................................................. 30

2.4

Certifikáty ............................................................................................................ 31

2.4.1

Princip použití certifikátu ............................................................................ 31

2.4.2

Žádost o certifikát ........................................................................................ 31

2.4.3

Certifikační autorita (CA)............................................................................ 31

2.4.4

Postup žadatele při získávání cerfifikátu I.CA ............................................ 32

2.4.5

Postup pracovníka registrační autority při získávání certifikátu I.CA ........ 33

Demonstrace útoků na systémy EB .................................................................. 34 3.1

Příklad zneužití programu typu KeyLogger ........................................................ 34

3.1.1

Názorná demonstrace použití programu KeyLogger................................... 35 -5-

3.1.2 3.2

4

Výpis pořízený pomocí programu KeyLogger ............................................ 36

Další způsoby útoků na systémy EB ................................................................... 38

3.2.1

Phishing ....................................................................................................... 38

3.2.2

Pharming...................................................................................................... 38

3.3

Prolomení šifrovaného přenosu dat ..................................................................... 39

3.4

Sociotechnický útok – Achillova pata bezpečnostních systémů ......................... 40

3.5

Příklad sociotechnického podvodu ...................................................................... 41

3.6

Možné důsledky zneužití přihlašovacích údajů ................................................... 43

Vyhodnocení demonstrace a návrhy na zlepšení zabezpečení a ochrany EB... 44 4.1

Výsledky, vyhodnocení demonstrace útoku na EB pomocí keyloggeru ............. 44

4.2

Návrhy na předcházení útokům a zvyšování bezpečnosti EB ............................. 45

4.2.1

Firewall ........................................................................................................ 45

4.3

Ochrana před keyloggery a sociotechnickými útoky .......................................... 46

4.4

Software určený k ochraně počítače .................................................................... 46

4.4.1

ZoneAlarm Firewall .................................................................................... 47

4.4.2

Spybot Search and Destroy ......................................................................... 47

4.4.3

Avast ............................................................................................................ 48

4.5

Technologie budoucnosti – vyšší úroveň zabezpečení ........................................ 48

4.6

Konkrétní způsob ochrany před KeyLoggerem .................................................. 49

Závěry a doporučení ................................................................................................. 51 Seznam použité literatury - bibliografie ................................................................... 53 Seznam příloh ........................................................................................................... 55 Přílohy ...................................................................................................................... 56

-6-

Úvod Před několika málo lety měl sotva kdo potuchy o tom, co je to GSM1 banking, homebanking, phonebanking či internetbanking. Omezená pracovní doba peněžních ústavů, zvyšující se poplatky a časově náročné zaměstnání jsou hlavní důvody, proč stále více klientů českých bankovních domů začalo využívat některý z kanálů přímého bankovnictví. Klienti díky tomu již nemusí kvůli každému platebnímu příkazu navštěvovat pobočku své banky, téměř všechny potřebné bankovní operace mohou totiž provádět z pohodlí svého domova, případně ze své kanceláře nebo kdykoliv během obchodního jednání nebo např. služební cesty. V tuzemsku již v dnešní době není žádný velký peněžní ústav, který by ve své nabídce pro privátní klientelu nepamatoval na tyto produkty.

Základní výhodou elektronických forem bankovnictví je především možnost 24 hodin denně, 7 dní v týdnu, provádět platební příkazy k převodu a inkasu, zjišťovat aktuální stav na svém účtu a především mít dokonalý přehled o všech pohybech na kontě. Prudký rozvoj dostupnosti internetu a lepší vybavenost domácností osobními počítači stojí za vysokými nárůsty uživatelů, jasně také určují, že v budoucnosti se bude stále více bankovních operací provádět pomocí různých forem elektronického bankovnictví.

Některé banky umožňují touto formou zakládat také termínované vklady a řadu dalších operací. Veškeré tyto úkony je přitom možné provádět z libovolného počítače, který je připojen k síti internet, další možností je využití mobilního telefonu (GSM Banking, Phonebanking) nebo telefonu klasického (Phonebanking). Lze říci, že většina služeb, které získá klient na pobočce, je u bezkontaktního bankovnictví k dispozici i elektronickou cestou. Z toho důvodu již vůbec není nutné ztrácet čas cestou do bankovní pobočky, případně ve frontě u přepážky, ale pohodlně a kdykoliv lze zaplatit složenku či fakturu přímo z domova. Podmínkou je jen zřízení některého z produktů přímého bankovnictví. Využitím přímého bankovnictví navíc klienti výrazně ušetří na poplatcích.

1

GSM z anglického Global System for Mobile communications (globální systém pro mobilní komunikace).

-7-

V současné době, kdy obliba služeb elektronického bankovnictví1 u klientů výrazně roste, považuji za velmi důležité, položit si otázku, jak je to s jeho bezpečností. Je odpovídajícím způsobem zabezpečeno proti zneužití? Jakým způsobem se dá dále zvýšit jeho bezpečnost? Dodržují klienti a zaměstnanci bank důsledně všechna bezpečnostní opatření, která mají za úkol zabránit problémům?

Ve své bakalářské práci se zaměřím na představení vybraných druhů elektronického bankovnictví a jejich zabezpečení. Následuje testování - ukázka útoku na internetová bankovnictví tří bank pomocí programu KeyLogger, popis dalších druhů útoků, vyhodnocení demonstrace a návrhy na zlepšení zabezpečení a ochrany EB. Mým hlavním cílem bylo pokusit se proniknout do systémů EB, upozornit tak na možné nedostatky v zabezpečení a přihlašování do systémů internetového bankovnictví a navrhnout postupy, jak zamezit podobným útokům.

1

Elektronické bankovnictví – dále jen EB.

-8-

1 Elektronické bankovnictví S nástupem nové techniky a jejím rozvojem vznikaly požadavky na přenášení informací, kterých stále přibývalo. Hledaly se cesty a začínaly se využívat dostupné prostředky pro vzdálenou komunikaci. První velkou změnu znamenal telefon. Ale nebyl to pro bankovnictví nejspolehlivější komunikační prostředek, identifikace probíhala pouze na základě jména a známého hlasu nebo smluveného kódu a autentizace byla provedena pomocí hesla. Později se začal využívat fax, kde se pro zabezpečení identifikace začalo používat jméno a číslo klienta, číslo účtu a pro autentizaci kódové tabulky s patřičným označením, v nichž bylo pro každý kalendářní den přiděleno číselné heslo, většinou třímístné. Bohužel technika nebyla nejdokonalejší a tak občas faxem vytištěné příkazy nebyly čitelné a jako prvek zabezpečení se zvolilo potvrzování telefonem, což bylo nepříjemné, ale klient mohl a musel v chybných případech ihned reagovat přeposláním.

Revoluční zlom nastává až s příchodem počítačů. Zpracovávají se v nich skoro všechna data. Klienti mají účetní programy, v nichž si vedou účetnictví. S tím se vynořila myšlenka, že pokud se data již někde zpracovávají a jsou k dispozici, proč je ještě přepisovat nebo tisknout a nosit do banky ke zpracování? Jak se tomu vyhnout? A jak to zabezpečit co nejlépe? To byla další otázka, s níž se potýkaly banky a firmy z oblasti tvorby programů a firmy vyrábějící příslušenství k počítačům. Softwarové společnosti začaly připravovat komunikační programy, což vedlo k tomu, že dnes existuje mnoho komunikačních programů s různými úrovněmi z pohledu služeb a zabezpečení.

V počátcích se v rámci zabezpečení přenášených textových souborů používaly takzvané kontrolní věty, což byly řetězce znaků s přesně stanovenou strukturou se zabezpečovacím kódem pro daný den, stejně jako se využívá u faxů, ale kontroluje se automaticky bez vizuálního kontrolování lidským faktorem. První soubory se přenášely na disketách. Pro banku to již znamenalo přenesení většího množství dat přímo do systému k zaúčtování s využitím lidského faktoru na přepážce. Klienti měli povinnost přinést na pobočku disketu v obecně domluvený termín. Např. do ČNB dva dny před zpracováním, do ČSOB do 12.00 hodin v požadovaný den provedení plateb. Při této komunikaci většinou klient mohl přinést pouze jednu disketu s jedním souborem. Po disketách již přišly na řadu přenosy dat

-9-

z počítače do počítače prostřednictvím BBS1 stanice, která umožňovala přenášet zabezpečené příkazy TPS2 do banky a informace o zpracovaných položkách klientovi v delším časovém rozpětí. Komunikace pomocí BBS stanice se dnes využívá převážně v soukromém sektoru jako zdroj freeware a shareware.

Zlomem ve vzdálené komunikaci přes počítače bylo uvolnění vojenských kryptovacích algoritmů do veřejného a obchodního sektoru. Dnes se využívá v praxi algoritmů několik, ty nejznámější a nejvyužívanější jsou RSA3 a DES4.

Elektronický podpis odstartoval vznik složitějších programů, jejichž prostřednictvím mohou banky nabídnout klientům větší a pohodlnější obsluhu svých účtů. Došlo k rozšíření komunikačního pásma na dobu 24 hodin 7 dní v týdnu. Spektrum služeb se výrazně rozšířilo. V zabezpečení se již uplatňují i různé podmínky u elektronických podpisů, např. podepisování ve dvojici, přístupy uživatelů pouze k požadovaným účtům, atd. V aplikacích se též nastavují určitá práva a možnosti jednotlivým uživatelům. K tomu, aby vše bylo funkční, se musí vždy zabezpečit propojení uživatelských aplikací s bankovním systémem. V bankách jsou instalovány tzv. komunikační servery, prostřednictvím nichž komunikace probíhá. Z bankovního systému jsou do nich přenášena data pro klienty k výpisům, zůstatkům, pohybům na účtech během dne, atd. Tyto informace si klienti stahují dle svých potřeb a možností systémů. V oblasti aktivních služeb pro klienty je mezi systémy bank rozdíl. Základ mají všechny stejný – příkazy TPS k úhradě i inkasu, příkazy ZPS5. Některé mají navíc ovládání termínovaných a spořících účtů, inkas apod.

1

BBS z anglického Bulletin Board Service, též Bulletin Board Systém = počítač vybavený speciálním softwarem při elektronické komunikaci na bankovní straně, na který se mohou napojit pouze klienti s povoleným přístupem pomocí jiného počítače a modemu po telefonní síti.

2

TPS = tuzemský platební styk; nadále budu používat pouze zkratku TPS.

3

RSA – zkratka jmen Rivest, Shamir, Adleman (autoři systému šifrování s veřejným klíčem - asymetrická

kryptografie). 4

DES – z anglického Data Encryption Standard (standart šifrování dat).

5

ZPS = zahraniční platební styk; nadále budu používat pouze zkratku ZPS.

- 10 -

Programy pro elektronickou komunikaci znamenají pro klienta i určitou ochranu před chybami, snižují riziko chybovosti v několika úrovních. Data se přenáší mezi systémy a nemusí se již ručně nikde zpracovávat, tím je odstraněno riziko překlepu a chybné vizuální kontroly; komunikační programy samy provádějí některé kontroly, např. kontrola čísel účtů na modula 11 a 10, kontrola polí konstantních symbolů a kódů bank proti aktuálním číselníkům, datu splatnosti na maximálně 30 dní dopředu, polí částek plateb a symbolů na číselné údaje, aby například neobsahovaly hodnoty velké písmeno „O“ místo nuly - hodnoty „0“.

Elektronická komunikace byla na začátku určena převážně pro firmy a podnikatele s vyšším množstvím položek na účtech. Když už byly zabezpečeny obslužné nástroje pro uvedenou skupinu klientů, bylo třeba nabídnout alternativní cestu k účtům i klientům, fyzickým osobám. Pro tuto skupinu klientů se jevila jako nejvýhodnější možnost obsluha prostřednictvím telefonu, což byl u této skupiny v dané době nejrozšířenější prostředek a každý jej uměl obsluhovat. V dalších letech se začíná využívat i mobilní telefon, který umožňuje ještě komfortnější obsluhu. Zpočátku banky poskytovaly pouze pasivní informace, tj. informace k účtům v podobě zůstatků a historie, s využitím faxů na straně klienta, na které mohly být na vyžádání data z banky poslána.

První bankou na síti v Česku byla eBanka (dnešní Raiffeisenbank), která jako jediná nezahajovala svou činnost pouze "klasicky pobočkově" s pozdějším přidáním internetového bankovnictví, ale zaměřila se na internet a další přímé kanály EB již při založení banky. To bylo také hlavní lákadlo pro náročné klienty. Před několika lety nebylo ještě ani ve světě internetové bankovnictví běžným standardem, ale bylo možno předpokládat, že dojde k obrovskému rozmachu. Dalo se počítat s tím, že přístup k účtům po síti začnou nabízet i další české banky.

- 11 -

Počet klientů využívajících elektronického bankovnictví v posledních letech strmě roste, v souvislosti s dostupnějším, rychlejším a levnějším internetem se z kanálů přímého bankovnictví stále více prosazuje internetbanking, jak vidíme na grafu níže.

Obrázek č. 1: Nejužívanější kanály přímého bankovnictví od roku 2003 do roku 2006

Zdroj: http://www.csob.cz/WebCsob/Csob/Servis-pro-media/PB_CSOB_ELB_vysledky_studie_NMS.pdf

[Dostupné dne 20. 2. 2009]

Mezi rizika internetbankingu patří nebezpečí plynoucí z připojení počítače k internetu, a také plná závislost na funkčním internetu. V případě delšího a rozsáhlého výpadku sítě internet by podniky nemohly provádět platební styk, občané nedostali platby, a celý systém by se nejspíše provizorně vrátil k původním formám, jako papírový příkaz k úhradě.

- 12 -

1.1 Druhy přímého bankovnictví Zájemce o přímé bankovnictví má na výběr několik možností. Jednak je to ovládání účtu běžným telefonem, kdy klient komunikuje s živým operátorem či hlasovým automatem. V tomto případě lze samozřejmě využít i mobilní telefon. Souhrnně se tento produkt nazývá Phonebanking. Jinou aktivní službou je GSM banking, kdy majitel účtu pomocí speciálních SMS1 zpráv či přímo v menu svého mobilního přístroje zadává platební příkazy.

Pro většinu klientů je jistě nejpohodlnější variantou internetbanking, kdy celá komunikace s bankou probíhá přes počítač napojený na internet. Výhodou této služby je rychlost, široká škála prováděných operací a větší přehled o pohybech na účtu, kdy si klient přímo na monitoru svého počítače může zobrazit historii transakcí se všemi podrobnostmi. Pro jakou variantu se nakonec klient rozhodne, závisí jednak na jeho preferencích, ale také na konkrétní nabídce bankovního domu.

1.1.1 Phonebanking Phonebanking je bankovní služba umožňující spojení klienta s bankou prostřednictvím telefonu. Ve své pasivní formě umožňuje získávat informace od banky, aktivní forma dává možnost zadávat i platební příkazy. Rozlišuje se phonebanking s automatem, kdy klient prostřednictvím telefonu komunikuje s automatickým hlasovým systémem banky a phonebanking s operátorem, kdy klient komunikuje s operátorem (telefonním bankéřem). Služby využívající hlasových automatů většinou nabízejí omezený rozsah služeb, jsou však k dispozici nepřetržitě. Telefonní bankéři mívají v některých bankách omezenou pracovní dobu, ve zbývajícím čase bývají nahrazováni automatem.

1

SMS z anglického Short Message System (systém krátkých textových zpráv).

- 13 -

1.1.2 Homebanking Homebanking je bankovní služba umožňující komunikaci mezi bankou a klientem prostřednictvím propojení osobního počítače klienta vybaveného speciálním softwarem s počítačem banky. Umožňuje jak získávání informací od banky, tak i aktivní provádění platebních, depozitních i úvěrových operací. Aplikaci lze provázat s účetnictvím klienta. Nevýhodou je vázanost na jeden konkrétní počítač s nainstalovanou bankovní aplikací.

1.1.3 Internetbanking Internetbanking je

bankovní

služba

umožňující

komunikaci

klienta

s bankou

prostřednictvím kteréhokoliv počítače připojeného na internet. Klient nepotřebuje žádný speciální software, stačí mu běžný prohlížeč, pomocí kterého si otevře webové stránky banky, kde vstoupí (po zadání uživatelského jména, hesla, případně elektronického klíče) do své „internetové“ banky. Klient může stejně, jako kdyby byl přítomen v pobočce, zjišťovat zůstatky, historii účtu, zadávat příkazy k úhradě, inkasu, k měnové konverzi, zakládat termínované či spořící účty a využívat dalších služeb nabízených bankou.

1.1.4 GSM banking GSM banking je bankovní služba umožňující komunikaci klienta s bankou prostřednictvím mobilního telefonu podporujícího technologii SIM1 Toolkit. Klient musí mít ve svém mobilním telefonu vloženou SIM kartu s nahranou bankovní aplikací, která umožňuje komunikovat s bankou. Některé banky nabízejí GSM banking ve formě tzv. SMS banking prostřednictvím krátkých textových zpráv - SMS zprávy (i pro telefony bez technologie SIM Toolkit). GSM banking klientovi umožňuje získávat nejrůznější informace o účtech, provádět vybrané bankovní transakce a využívat další bankovní služby, rozsah služeb se liší dle jednotlivých bank. Při přihlašování pomocí telefonu slouží BPIN – bankovní PIN. Odesílané zprávy jsou zašifrovány šifrovacími klíči, uloženými na každé SIM kartě a rozšifrovány jsou na straně banky. Použití těchto šifrovacích klíčů je možné pouze po zadání BPIN. Obdobně funguje i komunikace opačná, tj. z banky ke klientovi.

1

SIM z anglického Subscriber Identity Module (účastnický identifikační modul).

- 14 -

1.1.5 WAP banking WAP banking je jeden z komunikačních kanálů pro spojení s bankovním účtem. Klient potřebuje mobilní telefon podporující službu WAP (Wireless Application Protocol). Telefony s touto službou nabízejí všichni provozovatelé mobilních sítí v ČR. WAP banking umožňuje získávat aktuální informace o kurzech měn, úrokových sazbách, zůstatcích, pohybech na účtech, zadávat platební příkazy, zakládat termínované účty a využívat dalších služeb nabízených bankou. Pro přístup do WAP bankingu se musí zadat kód, který je vygenerován autentizačním kalkulátorem, nebo kód, který klientovi přijde od banky na jeho mobilní telefon.

1.1.6 PDA banking Jednou z novinek v oblasti přímého bankovnictví je zavedení služby PDA1 banking. Uživatelé kapesních počítačů PDA, mezi které patří také mnoho manažerů velkých firem, dostanou konečně šanci obsluhovat osobní, případně firemní účty pomocí svého PDA počítače. Přihlašování do systému probíhá stejně jako u klasické internetové verze přes klientské číslo a přístupový kód, který si vygenerujete osobním elektronickým klíčem (tzv. kalkulačkou) anebo je Vám zaslán na mobilní telefon. Internetový klíč není podporován, protože by vyžadoval instalaci dalších knihovniček.

Samotné surfování po účtu je však značně odlišné. Je totiž založeno na autentizaci každé stránky, na kterou vstoupíte. To znamená, že nestačí jedno přihlášení do systému pro brouzdání po účtu, ale je nutné před každou novou stránkou zadávat vstupní údaje. Toto výrazné omezení komfortu klienta bylo jediným možným řešením, jak zajistit kompatibilitu pro všechny typy kapesních počítačů zařízeními (Pocket PC, Palm, Psion, Nokia, atd.) bez nutnosti dalších instalací.

1

PDA z anglického Personal Digital Asistent (jedná se o osobní kapesní počítač).

- 15 -

1.1.7 JAVA banking JAVA banking je jeden z nejnovějších kanálů přímého bankovnictví. Klient komunikuje s bankou pomocí mobilního telefonu, do kterého je nahrána JAVA aplikace. Bankovní JAVA aplikace komunikuje s bankou v online režimu a klient ovládá telefon pomocí displeje a klávesnice – uživatelské prostředí se tak velmi blíží klasickému internetbankingu, s tou výhodou, že klient má telefon stále u sebe a operace jsou díky grafickému zobrazení na displeji přehlednější než u GSM bankingu. Bankovní JAVA aplikace vyžaduje takový typ mobilního telefonu, který podporuje technologii JAVA. Příkladem JAVA bankingu je Mobilní banka od Komerční banky. Instalace Mobilní banky se provádí pomocí nastavovací SMS zprávy, kterou zasílá pracovník infolinky na Váš mobilní telefon. Je nutné vlastnit typ telefonu, který podporuje technologii JAVA, má aktivované datové přenosy a dostatek volné paměti pro stažení aplikace. Kompatibilní telefon musí mít také displej s dostatečným rozlišením, což splňuje naprostá většina novějších mobilních telefonů. JAVA banking je velmi zajímavá služba, která se podle mě bude v budoucnu vedle internetbankingu úspěšně rozvíjet.

1.1.8 VIDEO banking Co je to VIDEO banking?

Jedná se o poslední novinku, kterou v České republice

zkušebně testovala Československá obchodní banka.

Videobankéř v podání ČSOB vychází z dnes již běžných videokonferencí či videohovorů. U jednoho počítače vybaveného webovou kamerou sedí klient, u druhého bankéř. Jejich komunikace probíhá jako standardní videotelefonní hovor. Videobankéř byl zatím spuštěn pouze v pilotním (testovacím) provozu po dobu tří měsíců a jeho služby byly zaměřeny především na hypoteční úvěry. Videobanking zatím neměl očekávaný úspěch, a byl proto po třech měsících pilotního provozu prozatím zrušen. Jan Lamser, člen představenstva Československé obchodní banky zodpovědný za projekty přímého bankovnictví, předběžně hovoří o využití videobankingu v nemocnicích, ústavech dlouhodobě nemocných a pro handicapované občany.1

1

http://www.mesec.cz/clanky/videobanker-budoucnost-ceskeho-bankovnictvi/

- 16 -

"Ve výhledu by bylo možné uvažovat i o připojení odkudkoliv z počítače s webovou kamerou a ozvučením. To by mohli využívat například handicapovaní, kteří nemohou vyjít z domu," říká Lamser. Videobankéři nejsou ve světě bank úplnou novinkou. Před pár lety je zkoušeli například ve Velké Británii, ale kvůli technickým problémům - docházelo k nekvalitnímu souběžnému přenosu obrazu i zvuku - od nich banky ustoupily. Podle bankovních expertů je ale některé banky v USA a například ve Španělsku mají.1

Už po roce 2010 budou existovat banky, které klientům umožní využívat všech výhod přímého bankovnictví, ale neztratí s nimi přitom "osobní kontakt". Videobankéř bude po ruce v mobilu, přes internet nebo v bankovním videocentru, které nahradí klasickou pobočku. Nebude mít polední pauzu, poskytne informace, poradí i prodá produkty. Chris Skinner představil videobankovnictví jako nedalekou budoucnost drobného bankovnictví na mezinárodní konferenci Retail Banking in Europe 2007, jejímž cílem bylo prezentovat nové modely vývoje retailových bankovních služeb. Skinnerova vize vyvolala mezi konzervativními bankéři velký rozruch. Možná je však přece jen přiměje k zamyšlení. Její autor totiž není jen tak nějaký snílek. Napsal několik odborných publikací a předsedá Financial Services Club, sdružujícímu odborníky, kteří se zabývají podobnými prognózami, jako je jeho projekt videobankovnictví.2

Podle mého názoru je videobankovnictví zajímavou službou, obzvláště v dnešní době, kdy se všechny banky snaží snížit náklady tradiční pobočkové sítě na minimum a zároveň zavést mnoho nových produktů jako investiční poradenství, nové druhy půjček, které vyžadují konzultaci s kvalifikovanými a drahými odborníky, kteří nejsou běžně k dispozici na všech regionálních pobočkách banky. V regionálních pobočkách, špatně dostupných nebo málo obydlených oblastech mohou vzniknout videoterminály, přes které se klienti spojí pomocí videobankingu s osobním bankéřem, expertem na danou problematiku, se kterým vyřeší vše potřebné. Vlastní smlouvu pak může klient uzavřít v regionální pobočce, ve které je umístěn videoterminál, případně dojet a podepsat již předem dojednanou smlouvu do nejbližší pobočky nebo vše vyřešit pomocí pošty, v budoucnu jistě nebude problémem uzavřít smlouvu také pomocí elektronického podpisu.

1

http://hn.ihned.cz/c1-18963330-csob-nasadi-videobankere/

2

http://www.bankovnipoplatky.com/o-bankach/vetsina-velkych-bank-v-evrope-sazi-na-pobocky-a-osobni-

poradenstvi-jak-dlouho-s-tim-vystaci-748/

- 17 -

1.2 Ukázky elektronického bankovnictví ČSOB Internetbanking 24 Po načtení úvodní stránky služby ČSOB Internetbanking 24 je nutné se přihlásit pomocí certifikátu nebo identifikačním číslem a kódem PIN.

Obrázek č. 2: ČSOB Internetbanking 24 – Přihlášení

Zdroj: https://ib24.csob.cz/

[Dostupné dne 22. 2. 2009]

Po úspěšné identifikaci se zobrazí nabídka, ve které je již možné dále vybírat pomocí myši jednotlivé volby, jako: •

Platební operace – příkaz k úhradě, k inkasu, SIPO, převody

•

Informace o účtu - zůstatek účtu, historie účtu, neprovedené příkazy k úhradě

•

ČSOB Info 24 – kurzovní lístek, informace o transakcích na účtech

•

Servis – obnova certifikátu, instalace obnoveného certifikátu, historie přihlášení

•

Nápověda – uživatelská příručka, nápověda, FAQ

- 18 -

Obrázek č. 3: ČSOB Internetbanking 24 – Přihlášení

Zdroj: https://ib24.csob.cz/Default.aspx

[Dostupné dne 22. 2. 2009]

ČSOB Mobil 24 Pro používání služby ČSOB Mobil 24 je zapotřebí mít ve svém mobilním telefonu bankovní kartu (viz kapitola 1.1.4 - GSM banking). Vše funguje na principu obrazovek a zaslaných SMS zpráv na Váš mobilní telefon. Přihlášení je realizováno zadáním BPUK (bankovní PUK, 1. přihlášení) a BPIN (bankovní PIN, další přihlášení) a potvrzení klávesou OK. (Ukázka - viz příloha č. 1 a 2).

- 19 -

1.3 Identifikace a autentizace v rámci EB ČSOB ČSOB Linka 24 Při telefonátu na ČSOB Linku 24 je nejdříve nutné zadat: •

osmimístné identifikační číslo

•

PIN - 5 číslic, které si klient může libovolně kdykoliv měnit přes automatické služby

•

K dalším opatřením zvyšujícím bezpečnost ČSOB Linky 24 se řadí heslo, které obsahuje 6 - 10 alfanumerických znaků s rozlišením velkých a malých písmen, které si klient zadává v bance při aktivaci služby, heslo může být klientem měněno, ale pouze na pobočkách banky

Při využití PIN kalkulátoru: •

KPIN - 4 - 8 místné číslo, zadává a mění si klient sám v PIN kalkulátoru

•

Bezpečnostní kód -

číselný řetězec vypočtený PIN kalkulátorem po zadání

KPIN

ČSOB Mobil 24 •

BPUK - 8 číslic dodaných bankou při aktivaci služby

•

BPIN - 4 - 8 místné číslo, zadává a mění si klient sám na základě vložení BPUK

- 20 -

ČSOB Homebanking •

Identifikace přístupovým certifikátem

•

Autentizace probíhá za pomoci podpisového certifikátu daného uživatele s možností vždy zadávat uživatelské přístupové heslo

ČSOB Internetbanking •

Přihlášení pomocí identifikačního čísla a kódu PIN – umožňuje provádět pasivní operace (zjistit zůstatek na účtu, přehled transakcí)

•

Přihlášení pomocí čipové karty s certifikátem – klient vloží čipovou kartu do čtecího zařízení a stiskne tlačítko “Přihlásit čipovou kartou“ a zadá PIN kód.

•

Pokud chce klient provádět aktivní operace (např. příkaz k úhradě), musí zadat alfanumerický kód, který vygeneruje systém ČSOB a pošle na mobilní telefon klienta formou krátké textové zprávy.

- 21 -

2 Bezpečnost internetového bankovnictví Správa účtů a zadávání příkazů prostřednictvím internetu se již stalo standardní službou, která má významné místo v portfoliu služeb všech významnějších bankovních ústavů. Její význam dále poroste, stejně jako celá oblast přímého bankovnictví. Data za poslední roky, kdy se podíl těchto služeb u všech velkých bankovních ústavů dramaticky zvyšoval, jsou dostatečně výmluvná. Proti jasným výhodám (úspora času pro zákazníka a nákladů pro banku, přístup 24 hodin denně) však stojí i nevýhody a rizika. Mezi nimi je na čelním místě otázka bezpečnosti a s tím související udržení důvěry zákazníků.

Právě otázka možného zneužití internetového bankovnictví je totiž jedním z témat, které jeho zavádění provází od samého začátku, přinejmenším v očích široké veřejnosti. Jsou moje peníze skutečně v bezpečí? Nemůže se stát, že se šikovný hacker1 přihlásí mým jménem a zmocní se mých úspor? Nemohou se příkazy zadané přes internet někde ztratit? Seznam otázek by mohl dlouho pokračovat. V každém případě by se zcela jistě případné více rozšířené zneužití některého kanálu přímého bankovnictví jistě setkalo se širokým ohlasem a pozorností médií a mělo by za následek významnou ztrátu důvěry a ochoty klientů přímé bankovnictví využívat. To by nepochybně postihlo konkrétní bankovní ústav a dost možná i ovlivnilo rozvoj celého odvětví.

Na tom nemůže nic změnit ani skutečnost, že rizika nejsou objektivně vyšší než při fyzickém styku a prokazování se papírovými dokumenty. Už jen proto, že občanský průkaz není chráněn žádným heslem ani PIN a není možné ho on-line zablokovat. Především u starší populace stále existuje určitá nedůvěra k elektronickým kanálům a její rozptýlení a zvýšení důvěryhodnosti potrvá jistou dobu. Proto je nutné věnovat bezpečnosti maximální pozornost a vyhnout se jakýmkoli negativním zkušenostem a hodnocení ze strany klientů.

1

hacker - je člověk, který se vyžívá v bádání po detailech programových systémů a překračování jejich

schopností (v tomto případě však jde spíše o hackera třídy Blackhat - nabourávají se do systému se špatným úmyslem, většinou za účelem obohatit se)

- 22 -

2.1 Analýza základních způsobů zabezpečení EB V následujících kapitolách se podíváme na základní používané metody zabezpečení internetového bankovnictví, rozdělené do tří skupin.

2.1.1 Zabezpečení pomocí hesel Je pro uživatele nejjednodušší, ale nejméně bezpečné. Každému, kdo zná heslo, je připsána identita právoplatného účastníka transakce. Rizika lze omezit vhodným výběrem hesla (slovo, které není ve slovníku), jeho délkou a pravidelnou změnou. Tuto metodu osobně považuji za nebezpečný přežitek – heslo se dá snadno odpozorovat, nebo zjistit pomocí programů typu KEYLOGGER, které zaznamenávají všechny stisknuté znaky na klávesnici do textového souboru. Proto je tato metoda vhodná pouze pro pasivní přístup k informacím (zjištění zůstatku účtu, přehled provedených transakcí). Bezpečnost této metody může být zvýšena

pomocí

dalších prvků. Od klienta

se vyžaduje kombinace

různých

znalostí (ID, heslo, adresa), při každém kontaktu je vyžadována jiná část hesla nebo jiná znalost (například první cifra PIN, poslední trojčíslí telefonu, součet dvou cifer PSČ). Ani přes tato vylepšení však nelze metodu zabezpečení pomocí hesel označit za vyhovující.

2.1.2 Zabezpečení pomocí elektronických klíčů Mnohem bezpečnější cestou je použití elektronických klíčů, které generují posloupnosti jednorázově použitelných autorizačních kódů. Praktické použití pak nejčastěji vypadá tak, že každou významnější operaci (přihlášení do systému, platební příkaz) klient stvrzuje zadáním nového jednorázového hesla, které mu vygeneruje jeho elektronický klíč. Tím se zajistí současně identifikace (prohlášení klienta o totožnosti) a autentizace (výsledek procesu ověření této totožnosti). Bezpečnost této metody může být zvýšena tak, že generované heslo je závislé na parametrech realizované transakce. Zákazník tedy musí do kalkulátoru zadat údaje o příkazu (typ transakce, číslo cílového účtu, variabilní symbol), což je složitější z hlediska obsluhy, ale zvyšuje se tak celková bezpečnost komunikace, protože je zajištěna integrita dat. Elektronický klíč může mít podobu "klasického" kalkulátoru (fyzický přístroj generující kódy), ale může být implementován

- 23 -

například i do PDA nebo mobilního telefonu (zde je opět několik možností – implementace přímo v telefonu, nebo na SIM kartě, tzv. SIM Toolkit).

Metoda elektronických klíčů představuje významný pokrok proti identifikaci pomocí pouhých hesel, ale nesplňuje požadavek na neodmítnutelnou odpovědnost. Většina bank, které tuto metodu zabezpečení nabízí, má zmíněný technologický nedostatek ošetřený specifickým ustanovením ve smlouvě s klientem.

2.1.3 Zabezpečení pomocí certifikátů (elektronický podpis) Řešení na bázi certifikátů vychází z principů asymetrické kryptografie a tím zaručuje všechny čtyři základní požadavky na bezpečnou elektronickou komunikaci. Každý klient vlastní dvojici klíčů. Soukromý, který udržuje v tajnosti, a veřejný, který je k dispozici komukoli. Klíče mají zajímavou vlastnost - to, co jeden z nich zašifruje, lze pouze druhým z dvojice dešifrovat. Přitom není možné odvodit jeden klíč ze znalosti druhého. Této vlastnosti se využívá jak při digitálním podpisu, tak při šifrování. Veřejný klíč a osobní informace určující identitu osoby, které příslušný veřejný klíč náleží, svazuje dohromady digitální certifikát. Jejich vydávání zajišťují tzv. certifikační autority (CA) po ověření totožnosti osoby a prokázání vlastnictví soukromého klíče. Certifikační autoritou mohou být nezávislé důvěryhodné organizace, nebo si banky mohou vydávat certifikáty pro své vlastní potřeby samy. Druhý případ je většinou i dnešní praxe. Soukromý klíč může být uložen na pevném disku počítače, na čipové kartě nebo některém ze specializovaných paměťových zařízení, jako je například USB flash disk, CD/DVD, paměťové karty. Všechna řešení mají své výhody i nevýhody.

Uložení v souboru v počítači Nejslabší stránkou tohoto způsobu je možnost odcizení soukromého klíče prostým okopírováním příslušného souboru. Útočník se pak nerušeně může pokoušet překonat heslo k souboru, což by mu umožnilo realizovat transakce jménem oprávněného uživatele. Majitel účtu přitom nemá možnost zjistit, že soubor byl okopírován. Další nevýhodou je nízká mobilita daná vazbou na konkrétní počítač.

- 24 -

Uložení na tokenech Klíč na tokenu, USB zařízení vybavené snímačem otisku prstu (viz příloha č. 3), lze fyzicky lépe ochránit než soubor v počítači, pokud však dojde k okopírování soukromého klíče z tokenu, je situace stejná jako v předchozím případě. Výhodou tokenů je snadné přenášení.

Uložení na čipové kartě Jedna z nejbezpečnějších variant. Výhodou je nemožnost odcizení soukromého klíče (certifikátu) bez fyzického odcizení čipové karty (klíč nelze z karty vyexportovat). Případnou ztrátu čipové karty majitel snadno zjistí a klíč zablokuje. Asi nejvýznamnější nevýhodou

je nutnost instalace příslušné čipové čtečky karet na všech počítačích, na

kterých má být použití čipové karty umožněno.

Rýsují se pochopitelně i další možnosti, kam soukromý klíč uložit, například mobilní telefon nebo PDA. Ačkoli tyto možnosti vypadají velmi slibně, dosud nedosáhly významnějšího rozšíření.

Obrázek č. 4: Způsoby autentizace klienta u jednotlivých bank

Zdroj: http://i.iinfo.cz/urs-att/Mesec.cz-studie_int.bankovnictvi-112002647608700.pdf, strana 3

[Dostupné dne 22. 2. 2009]

- 25 -

2.1.4 Elektronický podpis Při podepisování elektronickým podpisem u elektronické komunikace s bankou musí být zajištěny následující podmínky: •

Důvěrnost komunikace - utajení přenášených dat, aby je byl schopen přečíst pouze oprávněný příjemce

Důvěrnost komunikace je obvykle zajištěna pomocí šifrování. Obě komunikující strany se dohodnou na společném klíči, pomocí kterého veškerou komunikaci šifrují zvoleným kryptografickým algoritmem. Bezpečnost pak závisí na zvoleném kryptografickém algoritmu a na délce použitého klíče. Uživatel se nemusí o nic starat, šifrování probíhá "na pozadí" mezi jeho prohlížečem a webovým serverem banky. •

Integrita zpráv – ověření, že zpráva nebyla cestou pozměněna

Integrita zpráv se zajišťuje pomocí digitálních podpisů. K odesílané zprávě je speciálním algoritmem vygenerován tzv. "hash", unikátní kód náležející právě k této zprávě. Hash je zašifrován a odeslán společně s kompletní zprávou. Příjemce si pak vypočte hash z obdržené zprávy a obě hodnoty porovná. Pokud se shodují, má jistotu, že zpráva nebyla během přenosu pozměněna. •

Autentizace - ověření totožnosti odesílatele, autentizaci lze obecně provádět třemi metodami:

•

na základě něčeho, co známe (heslo, SMS kód zaslaný bankou)

•

na základě něčeho, co máme (předmět, elektronický podpis, klíč, autentizační kalkulátor)

•

na základě toho, čím jsme (biometrické vlastnosti).

Zabezpečení založené pouze na jednom z těchto přístupů je nedostatečné a mělo by se používat pouze ve výjimečných případech a situacích. K tomu, abychom mohli přístup pokládat za bezpečný, je tedy třeba aplikace alespoň dvou ze tří autentizačních metod.

- 26 -

•

Neodmítnutelná odpovědnost - zaručení, že odesílatel nebude schopen v budoucnu popřít autorství zprávy

Neodmítnutelná odpovědnost je zajištěna volbou vhodné kryptografické technologie a dává komunikujícím stranám záruky, že protistrana nebude v budoucnu schopna popřít autorství zprávy. Klient například nemůže později popřít, že zadal příkaz k převodu peněžních prostředků ze svého účtu. •

Právní akceptovatelnost

Zajištění neodmítnutí elektronického podpisu v případě právního sporu. •

Prokázání existence dokumentu v daném čase

Důležitá je zde i návaznost na současnou českou legislativu. Zákon o elektronickém podpisu č. 227/2000 ukládá podmínku toho, aby

splnění všech čtyř základních požadavků jako nutnou

elektronický dokument byl uznán za rovnocenný papírovému

dokumentu opatřenému ručním podpisem. Zmíněné čtyři požadavky přitom splňují pouze řešení založená na asymetrické kryptografii, tedy tzv. digitální certifikáty.

Podepisující osoba má sadu svých klíčů (tajný a veřejný klíč) pro některý asymetrický algoritmus (těch se v praxi používá několik).

Tajný (soukromý, privátní) klíč jsou v tomto případě jedinečná data, která podepisující osoba využívá k vytváření elektronického podpisu a rozšifrování přijímaných dat. Veřejný klíč jsou jedinečná data, svázána jednoznačným způsobem s daty pro vytváření podpisu a sloužící pro ověření elektronického podpisu. K těmto datům si podepisující osoba nechá vystavit některým z poskytovatelů certifikát, který slouží k důvěryhodnému předání dat na ověření podpisu osobě či instituci, která se spoléhá na elektronický podpis a potřebuje jej ověřit.

V elektronickém bankovnictví si většinou certifikují banky samy certifikáty svých klientů, např. Raiffeisenbank, Komerční banka, nebo využívají služeb jiných certifikačních autorit, např. I.CA, a. s. - 27 -

Symetrické algoritmy využívají jednoho klíče

DES (Data Encryption Standard) – nejznámější algoritmus používaný ve světovém bankovnictví od sedmdesátých let; algoritmus nebyl dosud prolomen, kompromitace je možná pouze technikou v podobě útoku hrubou silou (vyzkoušení všech možných klíčů).

Dnes je k dispozici novější verze 3DES (Triple DES), která používá oddělené operace zašifrování a dešifrování s použitím dvojnásobné délky klíče (256krát větší bezpečnost). Nástupce DES se jeví v podobě AES (Advanced Encryption Standard).

Asymetrické algoritmy využívají dva klíče, soukromý (privátní, tajný) a veřejný. Bezpečnost spočívá na ochraně soukromého klíče zajištěné přístupovým heslem. Výpočet soukromého klíče na základě znalosti veřejného je prakticky neproveditelný. Typickým představitelem je algoritmus RSA, který využívá klíče dlouhé 128– 4096 bitů (délky jsou v aritmetické řadě 128, 256, 512, 1 024, …). Podstatou šifry RSA je nemožnost určení původních prvočísel, jejichž součinem dané číslo vzniklo. RSA je součástí řady oficiálních norem. Norma ISO 9796 (International Standarts Organization) bere RSA jako kompatibilní kryptografický algoritmus, stejně tak Norma CCITT X.509 (Consultative Committee in International Telegraphy and Telephony). Je součástí normy SWIFT (Society for Worldwide Interbank Financial Telecommunications), normy ETEBAC 5 francouzského finančního průmyslu a draftu normy ANSI X9.31 pro americký bankovní průmysl.1

Jako další kryptografický modul se využívá hashovací funkce, která má za úkol vytvořit tzv. otisk zprávy – hash. Vstupem hashovací funkce může být libovolně dlouhá zpráva. Na výstupu obdržíme její otisk, který má pevnou délku.

Pokud bychom ve zprávě změnili byť i jediné písmenko (bit), dostaneme na výstupu úplně jiný otisk. Z otisku nelze určit původní dokument. Dokonce ani není možné najít k danému otisku nějaký text, který by měl právě tento otisk. Nejznámějšími a nejpoužívanějšími představiteli hashovacích funkcí jsou MD5 (Message digest, otisk délky 128 bitů) a SHA-1 (Secure Hash Algoritm, otisk délky 160 bitů). 1

http://crypto-world.info/pinkava/konference/cack.pdf, str. 29-30

- 28 -

2.2 Protokol SSL1 Protokol SSL zajišťuje soukromí a spolehlivost pro komunikující aplikace, chrání data před odposloucháváním, zfalšováním a paděláním.

Hlavní přínosy protokolu SSL

Bezpečnost šifrování - primárním přínosem protokolu SSL je ustavení bezpečného spojení mezi dvěma komunikujícími uzly. Poté co jsou iniciačním algoritmem vyměněny bezpečné klíče, je používáno symetrické šifrování.

Spolehlivost - přenos zprávy obsahuje kontrolu integrity dat prostřednictvím entity nazývané MAC (Message Authentication Code).

Interoperabilita - různé aplikace různých programátorů by měly být schopny úspěšné výměny parametrů bez znalosti kódu aplikace druhé strany.

Rozšiřitelnost - struktura SSL umožňuje implementaci nových metod šifrování a výměny veřejných klíčů.

Relativní efektivita - šifrovací operace jsou dost náročné na vytížení procesoru; SSL se snaží tuto zátěž kompenzovat přídavnými funkcemi jako je např. komprimace dat nebo kešování spojení (umožní omezení počtu spojení iniciovaných vždy od začátku).2

1

SSL z anglického Secure Socket Layer (bezpečnostní protokol pro přenos dat na internetu).

2

http://www.svetsiti.cz/view.asp?rubrika=Tutorialy&temaID=171&clanekID=187

- 29 -

2.2.1 Šifry používané protokolem SSL SSL umožňuje použití různých šifrovacích technologií. Pro šifrování dat jsou používané symetrické metody jako např. DES, RC4 a Triple DES. Asymetrické metody s veřejnými klíči jako jsou RSA, DSS jsou používány pro ověřování komunikujících stran a pro přenos symetrických klíčů, použitých v dalším procesu komunikace.

Protokol SSL je v hierarchickém modelu používán nad spolehlivým protokolem transportní vrstvy jako je TCP a pod aplikační vrstvou. Nicméně použití SSL není nutně vázáno na TCP/IP prostředí a může fungovat i s jinými protokoly.

2.3 Protokol HTTPS1 Protokol je navržen pro zabezpečení transakcí na internetu a je postavený na protokolu SSL (Secure Socket Layer) , který globálně řeší bezpečnost protokolové sady TCP/IP. SSL poskytuje bezpečný komunikační kanál mezi dvěma uzly internetu na úrovni spojení vytvořeného protokolem TCP. Takto umožní protokol SSL bezpečnou implementaci běžných aplikačních protokolů podporujících internetové služby (např. FTP, TELNET, HTTP). SSL používá dříve popsané kryptografické technologie specifikované standardy DES, RSA. Komunikující uzly si vymění jednou své veřejné klíče a pro každou další následující relaci si vytvoří tajný klíč tzv. "session key", který po ukončení této relace zanikne.

1

HTTPS – z anglického HyperText Transfer Protocol – Secure (bezpečná verze hypertextového přenosového

protokolu, přenášená data jsou kódovaná protokolem SSL nebo TLS).

- 30 -

2.4 Certifikáty 2.4.1 Princip použití certifikátu Pomocí certifikátu je možné prokazovat totožnost podobně jako občanským průkazem. U občanského průkazu se prokazuje totožnost na základě podobnosti člověka s jeho fotografií. Pomocí certifikátu se prokazuje totožnost na základě znalosti (vlastnictví) soukromého klíče.

2.4.2 Žádost o certifikát Uživatel žádá CA1 o vydání certifikátu pomocí tzv. žádosti o certifikát. Žádost o certifikát je ve své podstatě certifikát vydaný samotným žadatelem, tj. podepsán soukromým klíčem žadatele. Pouze položky sériové číslo, podpis, vydavatel a platnost jsou nadbytečné, protože je určuje až CA. Žádosti nepodepsané soukromým klíčem žadatele CA zpravidla neakceptuje.

CA přijme žádost a verifikuje její obsah pomocí veřejného klíče uvedeného v žádosti, tím ověří nebyly-li údaje v žádosti cestou změněny. Formát a způsob předání žádosti je součástí dokumentu "Certifikační politika CA", kterou vydává každá rozumná CA. Tento formát si tedy může každá CA určit sama. Avšak dnes klasickým formátem žádosti o certifikát je žádost podle normy PKCS#102.

2.4.3 Certifikační autorita (CA) Certifikační autorita je subjekt, který vydává digitální certifikáty (elektronicky podepsané veřejné šifrovací klíče). Potvrzuje pravdivost údajů, které jsou ve volně dostupném veřejném klíči uvedeny. Na základě principu přenosu důvěry tak lze za předpokladu ověřené důvěryhodnosti certifikační autority předpokládat i důvěryhodnost vydaného certifikátu.

1

CA z anglického Certification Authority (certifikační autorita).

2

PKCS z anglického Public-Key Cryptography Standards (kryptografické standardy veřejného klíče).

- 31 -

Certifikační autorita se skládá za tří základních částí •

registrační autority

•

certifikační autority

•

správní autority

•

(viz příloha č. 4)

2.4.4 Postup žadatele při získávání cerfifikátu I.CA •

Žadatel o certifikát si nejprve na PC připraví elektronickou žádost prostřednictvím webových stránek I.CA, odkaz „Žádost o certifikát“. V případě, že nechce nebo nemůže využít webového formuláře, může využít aplikace „Newcert“, která je na webových stránkách k dispozici ke stažení. Žádost je pak možné vytvořit bez připojení na internet touto aplikací.

Obrázek č. 5: Schéma procesu získání certifikátu

Zdroj: http://www.ica.cz/cz/menu/2/produkty-a-sluzby/

[Dostupné dne 15. 1. 2009]

- 32 -

•

Vytvořenou elektronickou žádost podle pokynů (webového formuláře) aplikace žadatel uloží na disketu. S disketou navštíví klient pracoviště registrační autority (RA).

•

Po obdržení certifikátu na pracovišti registrační autority provede žadatel na svém PC instalaci certifikátu. Z diskety, kterou obdržel na pracovišti registrační autority, spustí kliknutím soubor XXXXXX.htm

•

(XXXXXXX – představuje číslo certifikátu), kde se mu zobrazí nabídka „Instaluj“. Potvrzením této operace se provede po zadání PIN instalace certifikátu. Po provedení instalace se doporučuje provést zálohu!

2.4.5 Postup

pracovníka

registrační

autority

při

získávání

certifikátu I.CA •

Pracovník registrační autority provede načtení žádosti a kontrolu standardním způsobem.

•

Žádost pracovník odešle na zpracování. Klient na pracovišti registrační autority hradí částku, která se zobrazí po přijetí certifikátu v aplikaci RA.

•

Pracovník registrační autority nikdy nevytváří žádost o certifikát za klienta. Žádost si musí vždy přinést klient na disketě.

E-mailová adresa uvedená v certifikátu je pevně vázána na příslušnou poštovní schránku, uživatel tedy nemůže realizovat elektronický podpis u e-mailových zpráv odesílaných z jiné e-mailové adresy. Pokud žadatel nepřinese s disketou žádost, nelze službu poskytnout.

- 33 -

3 Demonstrace útoků na systémy EB 3.1 Příklad zneužití programu typu KeyLogger Co je to vlastně program zvaný KeyLogger? Jedná se o aplikaci, která po instalaci na pevný disk počítače zaznamenává veškeré znaky napsané na klávesnici do zvláštního souboru. Mimo jiné také umožňuje nastavení emailu, na který má po přihlášení k internetu posílat pravidelné “výpisy“ ze všech stisknutých kláves klávesnice. Možnosti zneužití jsou jasné – stačí malá chvilka nepozornosti, kdy pracovník nechá počítač bez dozoru, neuzamkne klávesnici, a dá tím možnost nezvanému hostu nainstalovat aplikaci, přičemž instalace programu je velmi rychlá. Útočník si nastaví emailovou adresu, na kterou bude špionážní program pravidelně zasílat soubory, případně jen určí adresář a pevný disk, kam se bude ukládat výpis, a pak už mu jen stačí projít tzv. “logy“ (výpis z klávesnice) a najít hesla, případně jiné důvěrné informace, o které má zájem.

Programy typu KeyLogger jsou volně ke stažení prostřednictvím sítě internet. I méně zkušený uživatel poměrně rychle najde soubor potřebný k instalaci programu včetně návodu k použití. Při hledání na internetu se budoucí hacker sám může stát obětí, protože velká část serverů nabízejících nelegální software je zavirovaná, případně má program, který si stáhnete, v sobě skrytého trojského koně nebo jiný škodlivý software.

- 34 -

3.1.1 Názorná demonstrace použití programu KeyLogger Pro účely této bakalářské práce jsem provedl pokus s programem Home KeyLogger od společnosti SpyArsenal, verze 1.70.1

Co mě zajímalo?

Především to, jestli se mi za pomoci programu podaří získat přihlašovací údaje do systému EB.

Jak pokus probíhal?

K nalezení programu jsem použil vyhledávač Google (www.google.com).

Čas vyhledání

K nalezení funkčního programu vhodného pro výše uvedené účely je potřeba několik desítek minut.

Délka instalace programu

Instalace včetně nastavení programu trvá pouze několik minut.

Které banky byly testovány?

Jako cíle útoku jsem si vybral EB tří velkých bank, které působí na trhu v České republice. Vybrány byly následující služby:

1

•

ČSOB Internetbanking 24

•

KB Mojebanka

•

ČS Internetbanking Servis 24

http://www.spyarsenal.com/download.html

- 35 -

3.1.2 Výpis pořízený pomocí programu KeyLogger Jakmile je program KeyLogger zapnutý, objeví se v pravém rohu pracovní plochy počítače malá ikonka s vyobrazením klávesnice.

Obrázek č. 6: Ikona programu KeyLogger

Zdroj: Program KeyLogger, vlastní úprava

Program se dá přepnout i do stealth (neviditelného) módu, kdy ikona zmizí a objeví se teprve po stisknutí kombinace kláves CTRL+ALT+SHIFT+F. Tímto způsobem se dá zamezit tomu, aby si kdokoliv všiml, že byl nainstalován nový program.

Obrázek č. 7: Neviditelný mód

Zdroj: Program KeyLogger, vlastní úprava

Veškeré znaky napsané na klávesnici jsou při spuštěném programu zapisovány do skrytého textového souboru formátu ctfmon.txt formou výpisu stisknutých kláves.

- 36 -

Obrázek č. 8: Názorná ukázka výpisu pořízeného pomocí programu KeyLogger

Zdroj: Program KeyLogger, vlastní úprava

Z tohoto výpisu je již poměrně velmi snadné získat identifikační číslo, PIN a heslo potřebné

pro

přihlášení

do internetbankingu.

Prvních

osm

čísel

u

ČSOB

Internetbanking 24 odpovídá identifikačnímu číslu, dalších pět je PIN. (podrobnější výpis spolu s určením přihlašovacích údajů do EB - viz příloha č. 5)

V případě Internetbankingu Mojebanka Komerční banky je osm zaznamenaných čísel heslo.

U služby Internetbanking Servis 24 České spořitelny je prvních deset čísel klientské číslo, další znaky jsou heslo.

Veškeré zde uvedené přihlašovací údaje byly pozměněny. - 37 -

3.2 Další způsoby útoků na systémy EB 3.2.1 Phishing Dalším příkladem útoků na systémy elektronického bankovnictví je phishing1. Phishing je druh internetového podvodu, kterým se podvodníci snaží z uživatelů internetového bankovnictví vylákat přístupové údaje k účtům a zneužít je pro svoje obohacení. Krádež citlivých informací jako je jméno, heslo, adresa nebo číslo a PIN platební karty probíhá nejčastěji pomocí falešného emailu, který se tváří, jako kdyby ho odeslal pracovník banky nebo jiné instituce. V emailu se klient žádá o doplnění údajů, ověření totožnosti nebo změnu hesla, po kliknutí na odkaz je přesměrován na falešnou stránku, která vypadá jako skutečná, a zde vyplní důvěrné informace, které jsou po něm požadovány. Podvodníci tak získají potřebná data a mohou je zneužít ve svůj prospěch.

3.2.2 Pharming Vzhledem k tomu, že se účinnost phishingu snížila, přišli internetoví podvodníci s novou inovací – pharmingem. Pharming je inovovaný nástupce phishingu, cíl zůstal stejný, získat přihlašovací údaje uživatelů, tentokrát je ale metoda získávání mnohem sofistikovanější a nebezpečnější. Útočník neoslovuje přímo jednotlivé uživatele služby, ale napadne vybraný DNS2 server. DNS je hierarchická databáze, která udržuje seznam internetových domén a příslušných DNS adres. Pokud se podvodníkovi podaří změnit záznam v hůře zabezpečeném DNS serveru a uživatel ve svém internetovém prohlížeči zadá danou adresu, nedojde k překladu na odpovídající IP adresu, ale na jinou, falešnou, která přesměruje uživatele na podvodné stránky, které vypadají jako pravé, a to i po zadání správné adresy ručně do prohlížeče. Nic netušící uživatel, který se cítí bezpečně pak zadá požadované přihlašovací údaje a nevědomky je sdělí útočníkovi.

1

Phishing – kombinace anglických slov phreaking a fishing (rybaření), jedná se o krádež citlivých informací,

nejčastěji přihlašovacích údajů nebo čísla platební karty 2

Domain Name System - databáze, která udržuje seznam internetových domén a příslušných DNS adres

- 38 -

3.3 Prolomení šifrovaného přenosu dat Šifrovaný přenos dat, který využívají banky v internetovém bankovnictví a internetové obchody pro platební styk, není zcela bezpečný. Kryptologové odhalili chybu, kvůli níž může být šifra rozluštěna. Čeští kryptologové Vlastimil Klíma, Tomáš Rosa a Ondřej Pokorný objevili chybu, která umožňuje rozluštit šifrovanou komunikaci (SSL/TSL1) mezi serverem a klientem. Šifrovanou komunikaci na protokolu SSL využívají i české banky pro zabezpečení přenosu dat v internetovém bankovnictví, které dosud prohlašovaly za nemožné rozluštění šifrovacího klíče v "rozumně krátkém" čase. Teď se však ukázalo, že je vše jinak.

Podle kryptologů je největším svízelem odchycení zašifrované zprávy. Tok informací po internetu probíhá mnoha způsoby a různými cestami (i vzduchem), navíc každá část zprávy může "plout" jinudy. Zachycení a uložení zprávy je považováno za úkon "netriviální, ale schůdný". Samotné rozluštění šifry by bylo nemožné, jak se všeobecně uvádělo, nebýt oné odhalené chyby, která využívá tzv. postranní kanály. Ve stručnosti se jedná o vysílání výzev serveru a využívání jeho odpovědí k urychlení rozluštění klíče. Naprogramování útoku není pro hackera dle vyjádření objevitelů chyby příliš náročné.

Útok byl testován na 600 náhodně vybraných serverech, z nichž dvě třetiny podlehly. Příčinou je hluché místo v implementaci protokolu, který není závislý na platformě (operačním systému). Přesto nepodlehl žádný počítač s operačním systémem a serverem od firmy Microsoft (kryptologové ale neměli k dispozici všechny kombinace operačních systémů MS a serverů), které hluché místo překlenují.2

1

TSL z anglického Transport Layer Security – následník protokolu SSL

2

http://www.mesec.cz/clanky/sifrovane-zabezpeceni-uctu-neni-bezpecne/

- 39 -

3.4 Sociotechnický útok – Achillova pata bezpečnostních systémů Firma si může pořídit ty nejlepší a nejdražší bezpečnostní technologie, vyškolit personál tak, aby byla každá důvěrná informace před odchodem domů pod zámkem, najmout si tu nejlepší firmu na noční ostrahu objektů, a přece bude ta organizace ještě zranitelná.

Soukromé osoby se mohou držet všech nejlepších zásad doporučovaných odborníky, mohou otrocky nainstalovat všechny nejnovější produkty vylepšující zabezpečení a odpovídajícím způsobem pozorně zkonfigurovat systém, mohou použít všechna jeho vylepšení či opravy, a přece jsou tyto osoby stále nechráněné.

Lidský faktor Bezpečnost je až příliš často iluzorní. Pokud k tomu ještě připočteme lehkověrnost, naivitu a ignoranci, situace se dále zhoršuje. Nejuznávanější vědec 20. století, Albert Einstein, prý řekl: „Pouze dvě věci jsou nekonečné: vesmír a lidská hloupost. Ačkoli tím prvním si nejsem jist."

Ve výsledku se atak sociotechnika často podaří, protože lidé bývají hloupí. Častěji jsou však takové útoky účinné proto, že lidé nerozumějí ověřeným zásadám bezpečnosti.

Podobný přístup, jako měl pán domu obeznámený se záležitostmi zabezpečení, má také mnoho pracovníků z oboru IT. Mívají chybný názor, že dostatečně zabezpečili své firmy proti útokům tím, že si nainstalovali standardní produkty jako firewall a taková ověřená vyspělá řešení, jako jsou například časově závislé kódy nebo biometrické karty. Každý, kdo si myslí, že produkty samotné zajišťují opravdové bezpečí, si vytváří pouze jeho iluzi. To je klasický případ života ve světě představ: takové osoby se mohou dříve či později stát oběťmi útoku.

Jak říká známý poradce pro otázky bezpečnosti Bruce Schneier: „Bezpečnost není výrobek, ale proces". Rozviňme tuto myšlenku: bezpečnost není technologický problém, ale je to problém lidí a řízení.

- 40 -

S postupem stále dokonalejších bezpečnostních technologií, které ztěžují nalézání technických děr v systému, se budou útočníci stále více zaměřovat na lidské slabosti. Překonání “lidské bariéry" je o mnoho jednodušší a často vyžaduje investice v hodnotě nákladů na telefonní hovor, nemluvě o menším riziku.1

3.5 Příklad sociotechnického podvodu Kdo představuje největší ohrožení bezpečnosti firemního majetku? Odpověď je prostá, je to sociotechnik.

Podívejme se na příklad užité sociotechniky. Dnes už si jen málokdo pamatuje mladého člověka, který se jmenoval Stanley Mark Rifkin, a jeho případ s dnes už neexistujícím ústavem Security Pacific National Bank v Los Angeles. Zprávy o jeho eskapádě se různí a sám Rifkin svoji verzi nikdy nevyprávěl, proto se popis zde uvedený opírá o publikované informace.

Lámání kódu Jednoho dne roku 1978 se Rifkinovi podařilo dostat do místnosti určené pouze pro povolaný personál provádějící elektronické převody banky Security Pacific, kde pracovníci vysílali a přijímali převody o celkové částce miliard dolarů denně.

Rifkin tehdy pracoval pro firmu, která podepsala s bankou kontrakt na vytvoření záložního systému v místnosti převodů pro případ poruchy jejich hlavního počítače. To mu umožnilo přístup k transferovým procedurám včetně těch, které popisovaly, jakým způsobem pracovníci banky zadávají převody. Dozvěděl se, že osoby pověřené zadáváním převodů dostávaly každé ráno přísně chráněný kód, který používaly, když telefonovaly do místnosti převodů.

1

MITNICK, K. Umění klamu. Praha : Helion, 2003. ISBN 83-7361-210-6, str. 19 - 20

- 41 -

Úředníkům z místnosti se nechtělo si každodenní kódy pamatovat a tak si povinný kód zapisovali na list papíru a umísťovali si ho na viditelném místě. Toho listopadového dne měl Rifkin zvláštní důvod navštívit místnost. Chtěl se podívat na ten lístek. Když se objevil v místnosti, všímal si operačních procedur, zdánlivě proto, aby se ujistil, že zálohovací systém bude správně spolupracovat se základním systémem. Zároveň si koutkem oka přečetl bezpečnostní kód na lístku a zapamatoval si ho. Po několika minutách odešel. Jak později říkal, cítil se, jako by právě vyhrál v loterii.

Bylo jednou jedno švýcarské konto... Po odchodu okolo 15. hodiny se odebral přímo k telefonnímu automatu v mramorové hale budovy, vhodil minci a vytočil číslo místnosti převodů. Ze Stanleyho Rifkina, spolupracovníka banky, se stal Mike Hansen, pracovník mezinárodního odboru banky.

Podle jednoho ze zdrojů probíhal rozhovor následovně: „Dobrý den, tady je Mike Hansen z mezinárodního," řekl mladé pracovnici, která zvedla telefon. Děvče se zeptalo na číslo jeho kanceláře. Byla to standardní procedura, na kterou byl připraven. „286," odvětil. „Uveďte, prosím, kód," požádala potom pracovnice. Rifkin později přiznal, že se mu v tom okamžiku podařilo opanovat bušení srdce. Bez zaváhání odpověděl: „4789".

Nato začal sdělovat detaily převodu: „Deset milionů dvě stě tisíc dolarů přesně" z Irving Trust Company v New Yorku do Wozchod Handels Bank of Zurich ve Švýcarsku, kde si předtím založil účet. „V pořádku. Teď, prosím, uveďte mezikancelářský kód." Rifkina polil pot. To byla otázka, kterou nečekal. Něco, co mu uteklo během pátrání. Zachoval však klid předstíraje, že se nic nestalo a bez sebemenšího zaváhání řekl: „Musím ho najít, zavolám za chvíli." Hned zatelefonoval na jiný odbor banky a tentokrát se představil jako pracovník místnosti převodů. Obdržel mezikancelářský kód a zavolal zpátky dívce do místnosti převodů.

Zeptala se na kód a řekla: „Děkuji". (Vezmeme-li v úvahu okolnosti, tak její poděkování můžeme brát velmi ironicky.)

- 42 -

Dokončení práce O několik dní později odletěl Rifkin do Švýcarska, vybral hotovost a za více než 8 milionů dolarů nakoupil od jedné ruské agentury diamanty. Při návratu do Států měl diamanty v pásku na peníze. Uskutečnil největší bankovní podvod v historii bez použití pistole či počítače. Jeho případ se nakonec dostal do Guinessovy knihy rekordů v kategorii Největší počítačový podvod.

Stanley Rifkin využil umění manipulace — dovednosti a techniky, které se dnes nazývají sociotechnika. Vyžadovalo to pouze důkladný plán a dar řeči.1

3.6 Možné důsledky zneužití přihlašovacích údajů V dnešní době se banky snaží využívat co nejbezpečnější zařízení na ochranu proti cizímu zneužití. Pouhý jeden masivnější případ “nabourání se“ do cizího kanálu internetového bankovnictví znamená nejen individuální ztrátu poškozeného, ale také citelnou ránu do celého systému využívání přímého bankovnictví v důsledku možného vyvolání paniky u veřejnosti a klientů. Ztráta důvěry v tento druh komunikace by byla pro banky velmi citelná.

V neposlední řadě je velmi důležitá otázka ztrát, způsobených podvody. Celkové ztráty způsobené phishingem v USA jen v roce 2007 dosáhly 3,2 miliardy dolarů.

Již dnes se proto uvažuje o dalších formách ověřování identity klienta, jako jsou především biometrické metody. V případě využití těchto metod by uživatel mohl v budoucnu prokazovat svoji identitu například otiskem prstu, očním pozadím, tvarem duhovky nebo hlasem. Na takovéto formy zabezpečení si ale budeme muset hlavně z důvodu vývojových a finančních ještě nějakou dobu počkat.

1

MITNICK, K. Umění klamu. Praha : Helion, 2003. ISBN 83-7361-210-6, str. 21-22

- 43 -

4 Vyhodnocení demonstrace a návrhy na zlepšení zabezpečení a ochrany EB 4.1 Výsledky, vyhodnocení demonstrace útoku na EB pomocí keyloggeru K mému překvapení ani jeden z vybraných produktů neobstál – u všech se mi podařilo bez problémů získat přihlašovací údaje včetně hesel.

(podrobná ukázka výpisu z programu KeyLogger, získání dat do EB – viz příloha č. 5) •

V případě ČSOB Internetbanking 24 případný útočník získá přístup k pasivním operacím (zůstatek na účtu, historie transakcí), pokud by chtěl provést aktivní operaci (např. příkaz k úhradě), musí zadat další údaje, například autorizační alfanumerický kód vygenerovaný systémem ČSOB a zaslaný formou SMS na mobilní telefon klienta.

•

Pokud jde Internetbanking Mojebanka Komerční banky, přihlašovací heslo jsem sice získal, k přihlášení mi ale stále chybí certifikát, který má běžný klient většinou na pevném disku. Pro zkušeného hackera by ale získání certifikátu z pevného disku uživatele neměl být velký problém. Pokud není počítač řádně zabezpečen, nemá nejaktuálnější bezpečnostní záplaty systému Windows, je průnik poměrně snadný. U Komerční banky je nutné aktivní operace také potvrzovat pomocí kódu z SMS, proto jsou výsledkem průniku pouze pasivní operace.

•

Internetové bankovnictví České spořitelny Internetbanking Servis 24 rovněž neodolalo keyloggeru. Podařilo se mi odhalit jak klientské číslo, tak heslo. To znamená, že pokud se klient přihlašuje pouze za použití hesla a klientského čísla, bez použití kalkulátoru nebo certifikátu, snadno se lze získat přístup k pasivním operacím na bankovním účtu. Česká spořitelna má jako jediná možnost zadat přihlašovací údaje myší pomocí virtuální klávesnice, v tom případě keylogger neuspěje. - 44 -

•

Výsledkem demonstrace útoku na internetová bankovnictví je přístup k pasivním operacím na bankovním účtu klienta u všech testovaných bank. I když nelze bez potvrzujících SMS na telefon klienta provádět aktivní operace, je získání přístupu k pasivním operacím na účtech alarmující. V následujících odstavcích se proto pokusím nastínit důležité zásady a postupy, jak předcházet podobným útokům a zvýšit tak bezpečnost elektronického bankovnictví.

4.2 Návrhy

na

předcházení

útokům

a

zvyšování

bezpečnosti EB 4.2.1 Firewall Firewall je program, který spolu se směrovačem řídí přístup do chráněné sítě. Řízené přístupy do sítě z vnější nechráněné sítě jsou středem zájmů komerčních uživatelů internetu provozujících své lokální sítě a jsou pilíři privátních sítí typu intranet a extranet. Firewalls jsou konfigurovatelné programy, jejichž nastavení určuje stupeň restrikcí, které jsou uplatňovány na procházejících datových paketech. Konfigurace firewalls odpovídá bezpečnostní politice organizace provozující chráněnou síť. Firewall je bariéra, která chrání síť před neoprávněnými přístupy, tzn. před přímými útoky. Před nepřímými útoky, kdy útočník zneužije existující oprávněný přístup (např. uhodnutím hesla) a pak provede svůj záměr, firewall síť uchránit nemůže.

Protože se síťové útoky, zvláště útoky vedené proti různým databázovým serverům a Web sites (firemním, univerzitním, státní správy atd.), stávají stále častější a nebezpečnější, je nutné lokální sítě, do kterých tyto počítače náležejí, dostatečně chránit.1

1

DOSTÁLEK, L. & kolektiv. Velký průvodce protokoly TCP/IP: Bezpečnost. Praha : Computer Press, 2003.

ISBN 80-7226-849-X., cd verze, kapitola 5.7

- 45 -

4.3 Ochrana před keyloggery a sociotechnickými útoky Způsoby ochrany, které považuji za nejdůležitější, uvádím níže, podstatné je hlavně jejich důsledné dodržování: •

Udržovat veškerý software, nainstalovaný na počítači, aktualizovaný

•

Pravidelně stahovat bezpečnostní záplaty systému Windows (i jiných OS1)

•

Nepoužívat jednoduché heslo nebo PIN – jde snadno odhalit (nejlépe kombinace písmen, číslic a speciálních znaků, minimální doporučovaná délka hesla je šest znaků)

•

Připojovat se k internetu se zapnutým firewallem

•

Používat aktualizovaný antivirový program

•

Nestahovat z internetu neznámé soubory, přílohy, neotevírat neznámé a podezřele vyhlížející emailové zprávy

•

Prověřovat osoby, které mají přístup na pracoviště firmy po zavírací době (úklidová služba, správci), zajistit, aby se nikdo nemohl dostat do databází

•

Dodržovat bankovní tajemství, nesdělovat nikomu cizímu důvěrné údaje, ale ani takové informace, které se nám zdají nepodstatné – sociotechnikovi mohou velmi pomoci

4.4 Software určený k ochraně počítače V této kapitole bych rád představil několik softwarových programů, které dosahují nejlepších výsledků na poli ochrany PC před “špionážními“ viry z internetu. Zaměřím se především na aplikace, které slouží k ochraně počítače připojeného na internet, nikoliv na klasické antivirové programy.

Všechny tyto programy lze stáhnout na adrese www.download.com, případně www.stahuj.cz

1

OS - z anglického Operating Systém (operační systém počítače).

- 46 -

4.4.1 ZoneAlarm Firewall ZoneAlarm Firewall umožňuje uživatelům absolutní kontrolu výměny informací mezi jejich počítači a jinými počítači jak v rámci lokální sítě, tak na internetu.

Software, který pomůže ubránit počítač proti útokům z internetu (zejména proti hackerům). Program je velmi jednoduchý a stále běží na pozadí operačního systému. Uživatel si sám může určit, který program má mít přístup k Internetu a který ne.

ZoneAlarm free je k dispozici zdarma pro domácí uživatele a neziskové organizace a nabízí celou řadu funkcí, které značně snižují riziko úniku osobních dat. Hlavní výhodou je, že se žádný program bez povolení uživatele nemůže připojit k internetu, a odeslat tak případná získaná data z počítače.1

4.4.2 Spybot Search and Destroy2 Vynikající program, který je k dispozici zdarma včetně pravidelných aktualizací. Tento program sám používám, a jednoznačně ho všem doporučuji.

Spybot S&D je vhodný pro ochranu před spyware, viry, dialerům, přesměrovávajícím modemové připojení přes drahé linky, trojským koním, programům zaznamenávajícím stisky kláves a mnoha dalším nebezpečím. Spywarem označujeme programy, které se bez vědomí uživatele instalují na počítač a posílají informace na domovský server. Můžeme je nalézt ve formě nástrojových lišt v Internet Exploreru či například připojené k užitečným utilitám jako je předpověď počasí nebo automatizace vyplňování formulářů. Tyto programy dokáže Spybot S&D identifikovat a odstranit.

Další zajímavou funkcí programu Spybot Search and Destroy je možnost vytvoření záložního bodu systémových souborů a vrácení změn (funkce “Obnova“), zde můžeme vrátit zpět všechny změny v případě, že odstranění něčeho vyvolalo problémy. Další funkce programu, nazvaná “imunizace“ chrání browser před útoky spyware z internetu.

1

http://www.stahuj.centrum.cz/internet_a_site/bezpecnost/proxy_a_firewall/zonealarm/

2

http://www.stahuj.centrum.cz/internet_a_site/bezpecnost/ostatni/spybot-search-and-destroy/

- 47 -

4.4.3 Avast1 Jeden z předních českých antivirových systémů od společnosti Alwil Software.

Hlavní funkce: •

rezidentní ochrana - kontrola emailového klienta, sledování scriptů v prohlížečích, kontrola používaných souborů

•

antivirová kontrola před plným nastartováním systému

•

automatická aktualizace virové databáze

•

VRDB (Virus Recovery DataBase) - ukládá stav některých souborů pro pozdější obnovu

4.5 Technologie budoucnosti – vyšší úroveň zabezpečení Tím se dostáváme k otázce dalšího rozvoje. Co tedy můžeme čekat v dohledné budoucnosti? V oblasti autentizace se velké naděje vkládají do biometrických metod, které přinesou výrazně vyšší úroveň zabezpečení než současné metody. Uživatel bude prokazovat svoji identitu některou svojí biologickou vlastností (otiskem prstu, geometrií dlaně, očním pozadím, kresbou a tvarem duhovky, dynamikou podpisu či hlasem).

Výhodou je uživatelská přívětivost, absolutní mobilita a velmi malá možnost zneužití. Mezi nevýhody patří cena používaných zařízení. Je však téměř jisté, že vývoj půjde tímto směrem.

Rovněž je velmi pravděpodobné, že dále poroste význam a rozšíření digitálních certifikátů. Rychlejšímu rozvoji dnes brání především fakt, že téměř každá organizace provozuje vlastní CA pro své vlastní potřeby a certifikáty vydané jinými subjekty neuznává, i když z technického hlediska tomu nic nebrání. Uživatel je pak nucen mít ke každé službě certifikát od příslušné organizace a tudíž sadu různých jednoúčelových certifikátů. Vzhledem k tomu, že platnost certifikátů je velmi často omezena (většinou 6 měsíců až jeden rok) je rozsáhlé používání certifikátů poměrně náročné především finančně. 1

http://www.stahuj.centrum.cz/utility_a_ostatni/antiviry/kompletni/avast/

- 48 -

Ideálním stavem by samozřejmě byla jediná univerzální čipová karta obsahující všechny doklady, legitimace, zdravotní záznamy a podobně. A také jediný certifikát "pro všechno". To však není otázka dvou tří let, ale mnohem delšího horizontu.

Podle analýzy, kterou vypracovali britští odborníci pro vládu Spojeného království, bude podstatnou roli hrát přístup národních vlád, případně nadnárodních orgánů. Zda budou centrální orgány prosazovat integraci osobních dokladů do čipových karet, podporovat jejich rozvoj a případně garantovat jejich bezpečnost, přinejmenším po omezenou dobu, než se veřejnost přesvědčí o jejich výhodách. Je zajímavé, že jeden z prvních projektů se nerealizoval v západní Evropě či v USA, ale na území Bosny a Hercegoviny, jejíž občané mají řidičské průkazy integrované v paměti čipových karet.

4.6 Konkrétní způsob ochrany před KeyLoggerem Doporučuji stáhnout si z internetu antivirový program Avast od společnosti ALWIL Software, který je vynikající pomocník na odstranění všech druhů virů a spyware.1 Po aktivaci rezidentní ochrany slouží preventivně proti všem útokům ze sítě internet.

Tento program lze stáhnout na adrese www.avast.com, v tuto chvíli používám verzi Home Edition, která je k dispozici na 60 dní zdarma, poté se musí nainstalovat znovu nebo koupit licence.

Velkou výhodou tohoto programu je možnost automatické aktualizace, při které se v nastaveném časovém intervalu stáhnou nejnovější antivirové databáze.

1

Spyware je program, který využívá internetu k odesílání dat z počítače bez vědomí jeho uživatele.

- 49 -

V případě, že se nebezpečný program pokusí o instalaci, Avast zobrazí varování. Pro ochranu před virovou infekcí stačí zadat volbu „Smazat“ nebo „OK“.

Na následujícím obrázku je zobrazeno varování programu Avast o spuštění programu KeyLogger:

Obrázek č. 9: Antivirový program AVAST – varování

Zdroj: Program Avast, vlastní úprava

Díky varování můžeme jednoduše zakázat provedení dané akce a ochránit tak počítač před nebezpečím.

- 50 -

Závěry a doporučení Myslím si, že v dnešní době již žádná banka bez široké nabídky produktů spojených s elektronickým bankovnictvím nemá naději na úspěch. Tlak konkurence a boj o klienty nutí banky k tomu, aby ve stále větší míře nabízely svým klientům různé kanály přímého bankovnictví. Ostatně, i pro banky je to velmi výhodné, především z hlediska úspory nákladů.

V budoucnosti předpokládám další rozšíření škály operací, které bude možné provádět prostřednictvím různých typů bezkontaktního bankovnictví, a zrychlení komunikačních toků. Nejvíce užívané bude zřejmě klasické internetové bankovnictví, následované novými typy kanálů, jako je videobankovnictví a JAVA banking v mobilním telefonu. Za nejdůležitější považuji zvýšení bezpečnosti pomocí nových technologií, jako jsou např. biometrická data nebo čipové karty nové generace.

Velmi podstatné je důsledné dodržování bezpečnostních zásad a správná softwarová ochrana PC. Většinu z nich všichni znají (vyjmenovány v kapitole 4.3), ale s jejich aplikací v praxi je to již horší. Pokud se například přihlásíme do internetového bankovnictví, mnoho z nás se neodhlašuje pomocí tlačítka “odhlásit“, ale jednoduše vypne prohlížeč, což je chyba. Mezi další velmi rozšířené prohřešky patří nedodržování podnikových směrnic o uzamykání osobního počítače při odchodu, byť i krátkodobém, ze svého pracoviště. Pracovník odchází s vědomím, že “počítač se stejně sám za 10 minut zamkne“, neuvědomuje si ale, co všechno se za 10 minut nepřítomnosti může stát. Spolupracovník, který je v době jeho odchodu na svém místě, může z různých důvodů (WC, porada s vedoucím) opustit pracoviště, a v tu chvíli nastává bezpečnostní “vakuum“ a počítač je komukoliv k dispozici. Samozřejmě se nemusí nic stát, ale problémům je třeba předcházet již v počátcích.

Zabrání se tak potížím, které může způsobit i tak jednoduchý “špionážní“ program, jako je KeyLogger (viz výsledky pokusu v kapitole 4.1). Firewall a aktualizované antivirové programy dále zvyšují bezpečnost aplikací EB, a chrání před útoky z internetu, krádeží dat, přihlašovacích údajů a certifikátů uložených na pevném disku počítače.

- 51 -

Kromě “klasického“ zabezpečení elektronického bankovnictví pomocí výše uvedených způsobů je velmi důležité bránit se také před pokusy získat přihlašovací údaje podvodným jednáním, ať již pomocí emailů vyžadujícím pod různými záminkami “staré přihlašovací údaje“ z důvodu změny systému, tak před zbytečným vyzrazováním osobních údajů v anketách neznámých společností, případně na serverech různých komunikačních a seznamovacích služeb typu Facebook, Skype, MySpace, Libimseti apod.

V budoucnosti se podle mého názoru banky musí dále zaměřit na posílení bezpečnosti elektronického bankovnictví a pomocí nových technologií snižovat rizika zneužití přímého bankovnictví. V neposlední řadě je také nutné cíleně a dlouhodobě zvyšovat informovanost klientů o důležitosti dodržování základních postupů pro zvýšení bezpečnosti. Různé formy elektronického bankovnictví budou hrát v budoucnosti bankovnictví jednu z hlavních rolí, je proto důležité je dále rozvíjet, zdokonalovat, inovovat a získávat tak konkurenční výhodu před ostatními subjekty, které působí na trhu.

- 52 -

Seznam použité literatury - bibliografie Monografie:

DOSTÁLEK, Libor. & kolektiv. Velký průvodce protokoly TCP/IP: Bezpečnost. Praha : Computer Press, 2003. ISBN 80-7226-849-X.

MITNICK, Kevin. Umění klamu. Praha : Helion, 2003. ISBN 83-7361-210-6.

PŘÁDKA, Michal; KALA, Jan. Elektronické bankovnictví. Praha : Computer Press, 2000. ISBN 80-7226-328-5.

SCHLOSSBERGER, Otakar; SOLDÁNOVÁ, Marcela. Platební styk. Praha : BIVŠ, 2005. ISBN 80-7265-072-6.

Internetové stránky:

ČSOB : Trendy elektronického bankovnictví [online]. 2006 [cit. 2009-02-20]. Dostupný z WWW: .

ZÁMEČNÍK, Petr. Videobankéř - budoucnost českého bankovnictví? [online]. 2006 [cit. 2009-02-15]. Dostupný z WWW: .

SKALKOVÁ, Olga. ČSOB nasadí videobankéře [online]. 2006 [cit. 2009-02-15]. Dostupný z WWW: < http://hn.ihned.cz/1-10084250-18963330-500000_d-a1>.

RYSKOVÁ, Světlana. Většina velkých bank v Evropě sází na pobočky a osobní poradenství. Jak dlouho s tím vystačí? [online]. 2007 [cit. 2009-02-15]. Dostupný z WWW:


pobocky-a-osobni-poradenstvi-jak-dlouho-s-tim-vystaci-748.html>.

- 53 -

Československá obchodní banka [online]. 2009 [cit. 2009-02-22]. Dostupný z WWW: .

Měšec : Analýza zabezpečení internetového bankovnictví v České republice [online]. 2005 [cit.

2008-02-22].

Dostupný

z

WWW:


studie_int.bankovnictvi-112002647608700.pdf>.

Svět sítí : SSL protokol (1) - princip a přínosy [online]. 2009 [cit. 2009-01-15]. Dostupný z WWW: .

První certifikační autorita : Proces získání certifikátu [online]. 2009 [cit. 2009-01-15]. Dostupný z WWW: < http://www.ica.cz/cz/menu/2/produkty-a-sluzby/>.

ZÁMEČNÍK, Petr. Šifrované zabezpečení účtu není bezpečné! [online]. 2003 [cit. 200902-22]. Dostupný z WWW: .

PŘÁDKA, Michal. Seriál Banka na drátě [online]. 1999 [cit. 2009-01-01]. Dostupný z WWW:.

První certifikační autorita : Proces získání certifikátu [online]. 2009 [cit. 2009-01-15]. Dostupný z WWW: < http://www.ica.cz/cz/menu/2/produkty-a-sluzby/>.

Raiffeisenbank [online]. 2009 [cit. 2009-01-01]. Dostupný z WWW: .

Komerční

banka

[online].

2009

[cit.

2009-01-01].

Dostupný

z

WWW:

.

Česká spořitelna [online]. 2009 [cit. 2009-01-01]. Dostupný z WWW: .

- 54 -

Seznam příloh Příloha č. 1

Ukázka služby ČSOB Mobil 24 – výběr trvalého příkazu k úhradě

Příloha č. 2

Ukázka služby ČSOB Mobil 24 – nový trvalý příkaz k úhradě

Příloha č. 3

Obrázek USB tokenu, zařízení vybaveného snímačem otisku prstu

Příloha č. 4

Obrázek – schéma vydávání certifikátu CA (certifikační autorita), legenda

Příloha č. 5

Obrázek – podrobný výpis získaný pomocí programu KeyLogger, určení získání přihlašovacích dat EB

Příloha č. 6

Obrázek – tvorba uživatelského jména a hesla

Příloha č. 7

Obrázek – způsob odblokování účtu po zablokování přístupu

- 55 -

Přílohy 1. Ukázka služby ČSOB Mobil 24 – výběr trvalého příkazu k úhradě

2. Ukázka služby ČSOB Mobil 24 – nový trvalý příkaz k úhradě

- 56 -

3. Obrázek - USB token, zařízení vybavené snímačem otisku prstu

4. Obrázek – schéma vydávání certifikátu CA (certifikační autorita), legenda

Legenda k obrázku Zákazník přijde na registrační autoritu (RA) s žádostí o certifikát (1) např. na disketě. RA může prověřovat totožnost žadatele (v případě CA tříd 2 a 3). Shledá-li RA vše v pořádku, pak žádost podepíše klíčem RA a předá k vyřízení CA (2). CA verifikuje podpis RA a vystaví certifikát, který předá zpět RA (3) společně s certifikátem CA, případně řetězcem certifikátů až k root CA. Registrační autorita předá (např. na disketě) žadateli (4), vydaný certifikát CA, případně certifikáty všech nadřízených CA, může předat i CRL. CA předá vydaný certifikát také správní autoritě (5), která jej může uložit do adresáře (6). Zákazník CA se zpravidla nazývá uživatelem CA bez ohledu na to, zda-li požaduje vydání uživatelského (klientského) certifikátu, certifikátu pro server nebo dokonce certifikátu pro podřízenou CA.

- 57 -

5. Obrázek – podrobný výpis získaný pomocí programu KeyLogger, získání přihlašovacích dat do EB (označeno červeně)

- 58 -

6. Obrázek – tvorba uživatelského jména a hesla

7. Obrázek – způsob odblokování účtu po zablokování přístupu

- 59 -