elektronického bankovníctva. Umožňuje klientom vykonávať
bankové operácie prostredníctvom internetu.
Klient vyplní formulár na internetovej stránke banky a údaje
odošle do systému banky, kde sa vykoná požadovaná operácia.
Prostredníctvom internetu potom klient dostane
požadovanú informáciu alebo potvrdenie o vykonaní aktívnej transakcie.
N a zaistenie bezpečnosti transakcií je potrebné zabezpečiť, aby všetky, najmä aktívne operácie, mohol vykonať len oprávnený človek. Pri vykonávaní úkonov s bankovým účtom v pobočke banky musí klient preukázať svoju totožnosť a podpísať príkazy pre banku podľa podpisového vzoru. Dokumenty, ktoré obsahujú citlivé údaje, odovzdáva banka klientovi osobne alebo mu ich posiela v zalepenej obálke poštou.
Pre komunikáciu klienta s bankou prostredníctvom internetu je potrebné použiť iné metódy overenia, či ide skutočne o klienta banky. Navyše, keďže údaje prenášané internetom tečú po verejných komunikačných linkách, je potrebné zaistiť aj ochranu ich dôvernosti a integrity. V opačnom prípade by bolo možné prenášané údaje neoprávnene a nepozorovane zmeniť a previesť peniaze na účet útočníka.
Ochrana prenášaných údajov
Na ochranu dôvernosti a integrity prenášaných údajov na ceste medzi počítačom klienta a serverom banky sa dnes štandardne využíva protokol SSL. Tento okrem iného zabezpečuje dôvernosť prenášaných údajov pomocou šifrovania a ochranu týchto údajov pred neoprávnenou zmenou. V súčasnosti už všetky aktualizované webové prehliadače podporujú protokol SSL a na ochranu komunikácie používajú kľúče s dĺžkou aspoň 128 bitov, čo poskytuje vysokú úroveň ochrany.
Použitie protokolu SSL možno rozoznať podľa symbolu uzamknutého zámku alebo kľúča zobrazeného v lište s adresou internetovej stránky sa alebo v pravej dolnej časti okna prehliadača. Aj adresa stránky musí začínať slovom https namiesto klasického http. Po kliknutí na symbol zámku sa ukážu podrobnejšie informácie o zabezpečení komunikácie so serverom, odkiaľ stránka pochádza.
Použitý kľúč by mal mať aspoň 128 bitov, kratší kľúč predstavuje problém, môže ísť o manipuláciu zo strany útočníka alebo o chybnú konfiguráciu webového prehliadača alebo servera banky. V takých prípadoch rozhodne nevypĺňajte žiadne údaje a kontaktujte svoju banku. Je vhodné, ak v nastaveniach svojho prehliadača zakážete použitie protokolu SSL verzie 2. Je to staršia verzia, ktorá má bezpečnostné slabiny a nemala by sa používať.
Klient musí mať istotu,
že komunikuje s bankou
Druhou úlohou protokolu SSL je poskytnúť používateľovi istotu, že server, ku ktorému sa pripojil, je skutočne serverom banky. V prostredí internetu nie je totiž problém rôznymi, nie veľmi náročnými spôsobmi presmerovať komunikáciu z klientovho počítača na počítač útočníka. Ten potom môže klientovi posielať rovnaké internetové stránky ako skutočný server banky a vyplnené formuláre môže posielať serveru banky na spracovanie. Pre klienta potom všetko vyzerá tak, ako to očakáva a útočník môže bez problémov čítať a meniť všetky údaje prenášané medzi klientom a bankou.
Pri použití protokolu SSL server posiela prehliadaču svoj certifikát, ktorý mu vydala certifikačná autorita, teda spoločnosť, ktorá certifikáty vydáva. Tento certifikát obsahuje označenie servera a organizácie, ktorej patrí, a taktiež obsahuje verejný kľúč servera. Tomu verejnému kľúču zodpovedá súkromný kľúč, ktorý má k dispozícii len server pre ktorý bol certifikát vydaný. Protokol SSL umožňuje serveru dokázať, že pozná súkromný kľúč zodpovedajúci verejnému kľúču v certifikáte. Takto môže prehliadač na základe certifikátu overiť, či komunikuje naozaj s tým serverom, s ktorým klient komunikovať chce. Aby sa predišlo falšovaniu certifikátu útočníkom, certifikát je elektronicky podpísaný certifikačnou autoritou. Na overenie podpisu certifikačnej autority musí mať klientov webový prehliadač nainštalovaný certifikát príslušnej autority.
Pozor na hlásenia v okienkach
webového prehliadača
Internetové prehliadače majú predinštalované certifikáty niektorých známych spoločností, ktoré vydávajú certifikáty a umožňujú používateľom inštalovať ďalšie certifikáty. Niektoré banky využívajú služby známych spoločností, iné využívajú služby slovenských firiem alebo si prevádzkujú vlastné. Pri inštalácii certifikátu je potrebné dbať, aby pochádzal zo spoľahlivého zdroja. V žiadnom prípade nemožno dôverovať certifikátu získanému z internetovej stránky, mohlo by ísť o podvrh zo strany útočníka. Najlepšie je, ak vám banka poskytne certifikát príslušnej spoločnosti na nejakom médiu. Dôležité je, samozrejme, venovať pozornosť upozorneniam zo strany webového prehliadača. Ten vás upozorní, pokiaľ certifikátu vypršala platnosť, nie je možné overiť pravosť certifikátu, pretože je vydaný neznámou spoločnosťou alebo certifikát je vydaný pre server s iným menom, než aké je uvedené v adrese zadanej používateľom.
Najvážnejším problémom je druhý a tretí prípad. Znamená to totiž, že prehliadač nemôže overiť, či komunikuje skutočne so serverom banky. Pokiaľ máte správne nainštalovaný certifikát príslušnej spoločnosti a banka má správne nakonfigurovaný svoj server, s najväčšou pravdepodobnosťou to znamená, že nejaký útočník presmeroval vašu komunikáciu na svoj server. Preto v takýchto prípadoch rozhodne nevypĺňajte žiadne údaje a kontaktujte svoju banku. Treba si dať pozor aj na to, že prehliadač vám ponúkne možnosť akceptovať takýto neoveriteľný certifikát dočasne alebo aj na trvalo. Ak si túto možnosť zvolíte, nabudúce vás už nebude varovať, no skutočný problém sa tým len zamaskuje. Nikdy preto neakceptujte takýmto spôsobom neoverený certifikát.
Slabý článok - počítač klienta
Slabým článkom často býva počítač klienta. Ak útočník získa možnosť spustiť svoje programy na klientovom počítači, môže monitorovať činnosť klienta. Napríklad môže monitorovať stláčané klávesy, a tak zistiť, čo používateľ zadával. Môže tak vidieť všetko, čo vidí používateľ. Na takéto činnosti existuje veľké množstvo programov, ktoré stačí na klientov počítač nainštalovať a spustiť. Útočník môže ísť aj ďalej, môže upraviť niektoré programy, ktoré klient používa. Napríklad nahradí webový prehliadač upravenou verziou, ktorá klientovi neposkytuje žiadne varovania o chybných či neplatných certifikátoch. Ale stačí mu aj podstatne menej - stačí nainštalovať certifikát útočníkovej spoločnosti, vydať pre svoj server certifikát s rovnakými identifikačnými údajmi, ako používa server banky, a potom už len presmerovať komunikáciu s bankou na svoj server. Klientov webový prehliadač úspešne overí identitu útočníkovho servera a klient nemá šancu zistiť, že niečo nie je v poriadku.
Ak nemôžeme vylúčiť, že útočník spustil svoj program na klientovom počítači, tak bezpečnosť prenášaných údajov nie je možné pri dnes bežných operačných systémoch garantovať. Problémom pritom nie je komunikácia cez nebezpečný internet, ale bezpečnosť na strane klientovho počítača. Spôsobov, ako môže útočník spustiť svoj program na cu-dzom počítači, je viac: zneužitie slabiny v operačnom systéme, prehliadači alebo e-mailovom programe, či spustenie programu z neznámeho zdroja - z webovej stránky či prílohy e-mailu.
Brániť sa dá pravidelným aktualizovaním operačného systému a aplikácií, používaním pravidelne aktualizovaného antivírusového programu a firewallu a, samozrejme, nespúšťaním programov z nedôveryhodných zdrojov, lebo aj naoko dôveryhodná stránka či e-mail môže byť podvrhom útočníka.
Heslo - ľahko zapamätateľné, ťažko
uhádnuteľné
Pri prihlásení do internetbankingu sa každý klient prihlasuje svojím prihlasovacím menom alebo číslom. Základným pros-triedkom na overenie totožnosti klienta je heslo. To by malo byť ľahko zapamätateľné a ťažko uhádnuteľné. Ak je heslo jediným overovacím prostriedkom a útočník ho odhalí, môže banku úspešne presvedčiť, že je oprávneným klientom. Preto väčšina bánk využíva v internetbankingu aj dodatočné prostriedky na autentifikáciu, ako sú grid karty, sms kódy, autentifikačné kalkulačky a elektronické podpisy.
Grid karta je tabuľka s 30 až 60 políčkami obsahujúcimi dvoj- až štvorciferné čísla. Banka si od klienta vyžiada číslo z náhodne vybraného políčka. Pokiaľ by útočník zistil obsah jedného políčka, je nepravdepodobné, že keď sa prihlási, bude sa banka pýtať na toto políčko. S rastúcim počtom známych políčok pravdepodobnosť, že sa banka "trafí", pomerne rýchlo stúpa. Problém odhalenia políčok na grid karte sa rieši pomocou SMS kódov. Banka pošle SMS správou klientovi na jeho mobilný telefón kód, ktorý sa zadá do formuláru na webovej stránke. Problém by bol, ak by sa útočník zmocnil klientovho mobilného telefónu.
Autentifikačné kalkulačky sú malé elektronické zariadenia s displejom a klávesnicou, ktoré generujú kódy. Jednoduchší typ kalkulačky generuje na základe časových údajov kód, ktorý
klient napíše do formulára na internetovej stránke banky. Server banky overí, či v danom čase bol prijatý kód správny. Zložitejší typ kalkulačky generuje kód aj na základe dôležitých údajov aktívnej transakcie, napr. čísla cieľového účtu a sumy. Potom banka môže skontrolovať, či prijatý príkaz nebol neoprávnene zmenený.
Elektronický podpis predstavujú teoreticky najbezpečnejšie riešenie, pretože na jeho vytvorenie je potrebný súkromný kľúč klienta, ktorý nepozná ani banka. Pokiaľ je tento kľúč uložený v čipovej karte alebo inom podobnom zariadení, nie je ho možné prakticky nijako získať. Útočník však môže spustiť na klientovom počítači program, ktorý čipovej karte podvrhne na podpis upravený príkaz. Pri použití elektronických podpisov je kľúčovým problémom bezpečnosť klientovho počítača.
Spôsoby autentifikácie a možnosti ich zneužitia
Jediným v súčasnosti používaným prostriedkom, ktorý dokáže zabrániť úspešnému útoku útočníka, ktorý má pod kontrolou
klientov počítač, je autentifikačná kalkulačka, generujúca kódy aj na základe cieľového účtu a sumy transakcie. Elektronické podpisy, autentifikačné kalkulačky jednoduchšieho typu a SMS kódy sú prekonateľné útočníkom, ktorý má kontrolu nad klientovým počítačom, grid karty sú prekonateľné aj útočníkom, ktorý zistí dostatočný počet políčok, no a pri obyčajných heslách stačí jedno odpozeranie hesla.
Väčšinou je na vine klientov počítač
Bezpečnosť internetbankingu závisí od bezpečnosti jeho komponentov: počítač klienta s webovým prehliadačom, internet, server s aplikáciou internet bankingu v banke a vnútorný informačný systém banky. Vnútorné informačné systémy bánk bývajú dobre chránené a zvonku
nedostupné, takže pre internetbanking nepredstavujú riziko. Server banky s aplikáciou internet bankingu poskytuje webové stránky a od klientov prijíma vyplnené formuláre. Chyby v aplikácii by síce mohli umožňovať neoprávnené vykonávanie bankových operácií, ale kedže Internet
banking nie je novinkou, môžeme predpokladať (dúfať), že súčasné systémy už prekonali "detské choroby". Otvorenou otázkou ostáva
bezpečnosť komunikácie prostredníctvom internetu a bezpečnosť klientovho počítača.
Autor: JAROSLAV JANÁČEK, DANIEL OLEJÁRKatedra informatiky Fakulty matematiky, fyziky, informatiky UK v Bratislave
