Představíme vám tři řešení zabezpečení elektronických transakcí – od mřížky přes CD-ROM až po autentizaci hlasem. Jejich využití směřuje nejen do přímého bankovnictví, ale i do oblasti e-commerce, kde (jak již bylo řečeno) při placení kartou zatím další bezpečnostní prvky přidávány příliš nejsou. Využít je lze ovšem například i pro vzdálený přístup do firemních programů a databází.
Trocha teorie na úvod
Jak můžeme na dálku ověřit totožnost klienta? Je to možné realizovat několika způsoby – autentizace může probíhat na základě toho, že klient „něco zná“ (něco, a co by měl vědět jen on – typicky např. heslo, PIN), „něco vlastní“ (autentizační kalkulátor apod.), nebo „něco je“ (ověření podle biometrických vlastností – otisku prstů – článek k tomuto tématu naleznete ZDE, hlasu, sítnice apod.) Kombinaci těchto způsobů se pak říká dvoufaktorová, případně třífaktorová autentizace.
U nás se v internetovém bankovnictví používá jednofaktorová a dvoufaktorová autentizace, záleží na bance. V USA regulátor v říjnu 2005 vydal nařízení, podle kterého jsou všechny finanční instituce povinovány do konce roku 2006 zavést ve svých on-line procesech doufaktorovou autentizaci. Řešení ke zvýšení bezpečnosti musí ovšem splňovat následující podmínky: musí být cenově efektivní pro instituci, která ho zavádí, a musí být pro klienty uživatelsky přívětivá (jednoduché ovládání, přenosné řešení bez nutnosti použití zvláštních přídavných zařízení).
Mřížka jako zabezpečení
Prvním řešením, se kterým přišla společnost Entrust, je produkt zvaný Identity Guard. Jde o soubor náhodně vygenerovaných znaků, které jsou vytištěny na kartičce ve tvaru jakési mřížky. Při přihlašování k on-line transakcím je klient požádán o zadání tří náhodně vybraných souřadnic a vložení znaků, které se na dané souřadnici nacházejí (např. A1, D3, G5). K autentizaci jménem a heslem tak přibývá druhý identifikační faktor. Mřížku lze využít pro autentizaci každé rizikové operace, lze zvolit i jinou alternativu (viz dále). Produkt lze využít i pro jiné kanály než je internet – pro telefon, osobní jednání i operace s bankomatem. Je vhodný i pro firmy, které chtějí lépe zabezpečit vzdálený přístup do svých databází i programů např. při práci z domova.
Zdroj: www.entrust.com; demoverze produktu zde
Připomíná vám to něco? Jistě ano – zabezpečení pomocí autentizačního kalkulátoru či generovaných jednorázových kódů na papíře či zasílaných na mobil. Oproti jednorázovým kódům generovaným na PIN kalkulátoru i zasílaných na mobil se však Identity Guard chlubí nižšími náklady (cena Identity Guard může při velkém objemu objednávky klesnout pod 1 USD). Výhoda oproti sadě jednorázových hesel vytisknutých na papíře zase logicky tkví v počtu možných použití. Firma ostatně nabízí tyto způsoby zabezpečení jako alternativu, stejně jako ověřování klienta podle určitých znalostí – záleží na klientovi, jakou úroveň ochrany zvolí. Autentizační kalkulátor je samozřejmě z hlediska zabezpečení vyšším stupněm.
CD-ROM ve tvaru platební karty: domácí virtuální bankomat
Společnost U.S. Encode přišla s ochranou v podobě CD-Romu chráněného před kopírováním ve tvaru i velikosti platební karty – produktem enCard. První generace spolupracuje jen s osobními počítači a notebooky, které vlastně proměňuje ve virtuální bankomaty – při aktivaci vidí klient na monitoru podobně jako u bankomatu prostor pro vložení PINu, kam „naťuká“ stejný PIN jako při výběru hotovosti. Technologie je testována v praxi.
Zdroj: www.usencode.com; demoverze zde
Firma vyvíjí i druhou generaci enCard – takzvanou Replacement enCard. Jak název napovídá, ta má nahradit klasické debetní a kreditní karty – kromě výše uvedené funkce totiž přebírá i ty hlavní, totiž placení v obchodech a použitelnost v bankomatech. Měla by být vydávána s klasickým magnetickým proužkem. Je navržena tak, aby se mohla uzpůsobit i čipové technologii. Testování má být zahájeno ke konci roku 2006.
Hlasová biometrika
Takzvaným druhým faktorem, který slouží k lepší autentizaci klienta, může být i zpracování hlasových vzorků. Důkazem toho je produkt společnosti VoiceVerified Inc. s názvem Point Service Provider (PSP), který lze použít v call centrech, při práci s IVR (Interactive Voice response – hlasový automat) nebo on-line, a to na několika úrovních podle požadavků a výběru klienta společnosti.
Registrace klienta instituce, která spolupracuje s VoiceVerified, probíhá jednu až dvě minuty a klient při ní poskytne sadu vzorků hlasu. Pokud je vyžadována autentizace hlasem, pak při rozhovoru s call centrem, kontaktování webové adresy či provádění transakce u on-line obchodníka systém porovnává hlas klienta se vzorkem hlasu, který získal, a vygeneruje výsledek vyjadřující pravděpodobnost, že je hlas totožný se vzorkem odebraným při počáteční proceduře. Ověří autenticitu klienta tím, že jej požádá o zopakování pěti náhodně vygenerovaných číslic, což trvá několik sekund. Systém ověřuje, kdo hovoří, nikoliv to, co říká. Vyhodnocuje jedinečné charakteristiky hlasu, jako je výška (hloubka), tón, kadence apod.
Pokud je technologie využita v call centru, je tento způsob ověřování rychlejší a pro zákazníka příjemnější než zodpovídání „investigativních“ otázek. V případě pochybností může být použita sekundární autentizace – například na základě určitých znalostí klienta či pomocí jiné metody. Společnost VoiceVerified Inc. hodlá účtovat dvojí poplatky za svou službu – roční poplatek za zpracování identity a registraci klientů a poplatek za každé vyhodnocení autenticity (v závislosti na výši transakce). Jednoduché schéma procesu u on-line bankingu naleznete ZDE.
PODNIKÁTE A HLEDÁTE INFOVšechny tyto systémy mají za úkol zvýšit bezpečnost elektronických operací a možnosti jejich využití jsou poměrně široké. Obzvláště zajímavým „vynálezem“ je CD-ROM plně nahrazující platební kartu. Můžeme se tedy těšit a čekat, zda se tyto novinky dočkají širšího uplatnění a využití nejen ve světě, ale i v České republice.
Zajímáte se o novinky v oblasti zabezpečení on-line transakcí, nebo vám současný stupeň ochrany přijde dostatečný? Napište nám, těšíme se na vaše příspěvky.
