Untitled Quiz

Elektronsko Bankarstvo: Lekcija 2: Bezbednost transakcija

•  Predmet ove lekcije je bezbednost transakcija na internetu.
•  Glavna prepreka razvoju elektronske trgovine je nedostatak široko prihvaćenog sistema za bezbedna elektronska plaćanja.
•  Postoji strah od davanja finansijskih informacija preko interneta.
•  Obezbeđenje sigurnosti podataka koji se šalju preko interneta je od suštinske važnosti, npr. podaci sa platnih kartica.
•  Rizik od gubitka ili krađe platnih kartica u realnom svetu je često precenjen.
•  Da zaključimo, trenutno ne postoji široko prihvaćen potpuno bezbedni sistem plaćanja preko interneta, što predstavlja veliki korak u evoluciji interneta.

Zahtevi za bezbednost elektronskih transakcija

•  Za bezbednost elektronskih transakcija neophodno je obezbediti privatnost komunikacija, tj., zaštiti tajnost i poverljivost podataka i osetljivih ličnih informacija od namernog i nenamernog otkrivanja.
•  Takođe je neophodno obezbediti integritet podataka, tj. detekciju neovlašćenih izmena podataka u toku prenosa.

Tehnike autentifikacije korisnika

•  Savremeni načini provere identiteta korisnika na internetu su zasnovani na tome što korisnik poznaje, što korisnik ima i što korisnik jeste.
•  Lozinka (password) - Mehanizam za sprečavanje neovlašćenog pristupa informacijama, softveru ili računaru. Sastoji se od niza karaktera i simbola. Efikasna lozinka mora biti dovoljno dugačka i teška za pogađanje, a poželjno je često je menjati. Prilikom unosa, obično se ograničava broj pokušaja i vreme unošenja ispravne lozinke. Statičke lozinke i lozinke za jednokratnu upotrebu (OTP, one time password).
•  (Security) Token ili smart kartica - moguće neovlašćeno korišćenje u slučaju gubitka.
•  Biometrijske karakteristike (otisak prsta, glas, ...) – predstavljaju pouzdaniji sistem kontrole pristupa u poređenju sa lozinkama. Zasnovane na fizičkim ili psihološkim karakteristikama korisnika. Mogućnosti su otporne na falsifikovanje.

Tokeni

•  Fizički uređaji (USB tokeni, smart kartice). USB tokeni su relativno sigurno sredstvo za čuvanje osetljivih podataka, otporni na falsifikovanje i jednostavni za korišćenje. Smart kartice sadrže procesor koji omogućuje skladištenje i obradu podataka, a za njihovo korišćenje je potreban kompatibilan čitač kartica.
•  Tokeni za generisanje lozinke (elektronski uređaji nalik kalkulatorima) - generišu jednokratne lozinke (OTP, one time password). Lozinka traje 60 sekundi kako bi se sprečila zloupotreba.

Asinhroni tokeni za generisanje lozinke

•  Proces autentifikacije se obično izvodi u pet koraka: (1) Autentifikacioni server dodeli zahtev za upit korisniku; (2) Korisnik unosi upit u njegov token uređaj; (3) Token uređaj matematički izračuna tačan odgovor; (4) Korisnik unosi odgovor na upit zajedno sa korisničkim imenom ili šifrom; (5) Servers za autentifikaciju verifikuje odgovor.

Sinhroni tokeni za generisanje lozinke

• Koriste vreme sa sata kao deo algoritma za generisanje koda, koji se periodično menja(npr., kod ima 6 do 8 cifara i generiše se svakih 60 sekundi). • Ovaj kod se prikazuje korisniku i koristi se kao autentifikacioni kod ili u kombinaciji sa korisničkim imenom ili PIN-om radi autentifikacije korisnika. • Zahteva manje koraka za korisnika.

Tokeni za generisanje lozinke (p nastavak)

•  Server kada primi zahtev na osnovu identifikacionog broja tokena, algoritamski generiše lozinku, i poredi je sa unesenom lozinkom. Ako se podudaraju, pristup je dozvoljen.

Biometrijske tehnologije

•  Zasnivaju se na fizičkim ili psihološkim karakteristikama korisnika. Omogućuju prevazilaženje manjkavosti standardnih sistema provere. Biometrijske karakteristike se dele u 2 kategorije: Fiziološke karakteristike (otisak prsta, prepoznavanje rožnjače oka, oblik šake, lica) i Osobine koje se odnose na ponašanje.

Višestruke (Multi-faktorske) metode autentifikacije

•  Korišćenje više faktora za verifikaciju identiteta je značajno pouzdanije od korišćenja samo jedne metode. Korišćenje jedne metode je neadekvatno za visokorizične transakcije. Izbor tehnike zavisi od procene rizika. Primer korišćenja bankomata.

Krađa finansijskih podataka

•  Kako zaštititi podatke za autentifikaciju? / Kako neovlašćeno doći do podataka za autentifikaciju?
•  Off-line i on-line krađe kredencijala. Off-line krađe kredencijala putem malicioznog softvera (virusi, trojanski konji...)

Phishing

•  Lažni e-mailovi, SMS poruke, ili telefonski pozivi za prikupljanje finansijskih podataka.
•   Višing (voice phishing) - pecanje putem glasa i smišing (sms phishing) – pecanje putem SMS-a.
•  Phishing statistika (npr. 92% organizacija je postalo žrtva phishing napada u 2022. godini i povrećanje od 29% od 2021.)

Strategije u borbi protiv Phishing-a

•  Obuka korisnika (za prepoznavanje phishing sajtova), spam filteri, bezbedni sistemi komunikacije, Computer Vision (CV) tehnologije.
• Obuka korisnika (korisni saveti) - Manipulacija linkovima.

Tehnologija enkripcije

•  Kriptografija - nauka koja se bavi metodama čuvanja tajnosti informacija.
•  Enkripcija - proces transformacije običnog teksta ili podataka u šifrovani tekst (nečitljiv za treće strane).
•  Simetrična kriptografija i asimetrična kriptografija.

Pregled protokola za bezbednost na internetu

•  Standardizovani bezbednosni protokoli (npr., S-HTTP/HTTPS, SSL/TLS, S/MIME, SET - Secure Electronic Transaction) - obezbeđuju sigurnu komunikaciju.

Digitalni sertifikat

•  Sistem digitalnog potpisa se oslanja na mogućnost uspostavljanja veze između javnog ključa i njegovog vlasnika.
•  Predstavlja strukturu podataka koji imaju za cilj pouzdano povezivanje javnog ključa sa podacima o nosiocu.
•  Samopotpisani, Kvalifikovani sertifikati, Tehnički identični.
•   Kada se digitalni sertifikat koristi, proverava se njegov rok važnosti i validnost od strane sertifikacionog tela.
• Proces izdavanja digitalnog sertifikata se odvija kako sledeće: (1) Generisanje para ključeva, (2) Kompletiranje zvaničnog zahteva, (3) Predaja zahteva sertifikacionom telu, (4) Potpisivanje dokumenta i (5) Vraćanje sertifikata korisniku.
• Važnosti digitalnih sertifikata u bezbednosnim protokolima na internetu.