1

E-BUSINESSDigitális Pénzügyek III.

• Kriptográfia, titkosítási technikák• A digitális aláírásról• Az e-business megjelenési formái

(CRM, Internet Marketing, Tőzsde az Interneten, Online áruházak, Hitelközpontok)

2002. november 13.

2

Fogalmak

• Kriptográfia: Az információ algoritmikus módszerekkel történő védelmének tudománya. • Kriptoanalízis: A titkosított szöveg dekódolása az eredeti szöveg, vagy a kulcs ismerete nélkül. A Kriptográfia ellentétpárja, adatvédelmi rendszerek támadásával, feltörésével foglalkozó tudomány. • Kriptológia: Az algoritmikus információvédelem és ezen módszerek támadásának tudománya, a Kriptográfia és a Kriptoanalízis összessége.

• Kulcs: A rejtjelező rendszer rejtjelezési módszerek halmaza. A kulcs ezen módszerek címkéje, vagyis a kulcs által választódik ki az éppen alkalmazott rejtjelezési transzformáció. A kulcs az az információ, ami nélkül nem lehet a titkosított üzenet tartalmához hozzáférni. • Kód feltörése: Az az eljárás, amikor egy rejtjelezett üzenetből a kulcs ismerete nélkül megfejtik az eredeti szöveget, vagy a kódoláshoz használt kulcsot. Vagy a támadó olyan alternatív algoritmust készít, amely a kulcs nélkül is képes a visszafejtésre.

3

Biztonságos kommunikáció az Interneten

Biztonsági követelmények:

• authentikáció (authentication) – (személy)azonosítás biztosítása • authorizáció (authorization) – hozzáférés biztosítása • titkosság, bizalmasság (privacy, confidentiality) • adatintegritás (data integrity) – adatsértetlenség biztosítása, rejtett adatmegváltoztatás lehetetlensége • letagadhatatlanság (non-repudiation) – egy objektum létrehozója ne tagadhassa le az objektum létrehozásának tényét.

4

Támadások

A támadó célja lehet:· jogosulatlan hozzáférés az üzenet tartalmához · hamis üzenet küldése a címzettnek

Támadások típusai:(a kommunikációhoz való csatlakozás alapján)• Passzív támadás:

a támadó hozzá tud férni a bizalmas információkhoz, de nemtudja megváltoztatni a kommunikációt, azaz hamis

információtnem tud indítani a címzettnek. Ekkor a támadás célja az észrevétlen információszerzés.

• Aktív támadás:a támadó képes adatokat megváltoztatni és ki tudja magát adni a címzett, vagy a küldő félnek.

5

Passzív támadás

6

Aktív támadás

7

Védekezés a támadások ellen

• időbélyegzés, egyedi tranzakció azonosítók Ezek az eljárások főleg az olyan betörések ellen hatásosak, amikor a támadó egy korábban lehallgatott elektronikus üzenetet akar újra elküldeni. Ezt az időbélyegzés ill. az egyedi tranzakció-azonosítás is jelezni tudja, és nem hajtja végre.

• tűzfal A TCP/IP protokoll nem biztonságos. Megoldás: Olyan eszköz, amely egy intézmény belső hálózatát leválasztja a nyilvános (Internet) hálózattól. A bejövő kapcsolatokat figyeli, nyilvántartja auditálás céljából (p. betörési kísérletek nyilvántartása); illetve kiszűri, nem engedi át a belső hálózat felé a nem engedélyezetteket.

• üzenetek kódolása, titkosítása

8

Kriptográfia – Az internetes biztonság alapja

Célja:• titkosítás/visszafejtés:

egy adott bizalmas információ ne juthasson illetéktelenek birtokába; azaz két, vagy több fél kommunikációja során

csak az arra jogosultak férhessenek hozzá, illetve változtathassák meg a titkosított információkat

• a kommunikáló felek azonosítása • az elküldött megbízás letagadhatatlansága • információ ‘lehallgatás’ megakadályozása

A titkosító módszerek közös jellemzője, hogy egy kódolatlan (plaintext) információhalmazból olyan kódolt információ halmazt (ciphertext) készít, melyet csak pótlólagos információ (kulcs) birtokában tudunk visszafejteni.

9

Modern kriptográfia 1/3

Minden kód feltörhető, kérdés hogy mennyi idő alatt.

Cél: gyakorlatilag feltörhetetlen legyen a kódOlyan nehézségű titkosítást kell választanunk, hogy egy esetleges feltörési kísérlet erőforrás igénye (pénz, idő, emberi erőforrás) nagyobb legyen, mint a feltört információból elérhető haszon.

Megfelelően robosztus rejtjelező algoritmus választása esetén a feltörés annál több időt, illetve egyéb erőforrást vehet igénybe, minél hosszabb kulcsot választunk a rejtjelezéshez.

Ha az algoritmus megfelelően lett megírva, az egyetlen lehetséges feltörési mód a kulcsok próbálgatása (brute-force).

10

Modern kriptográfia 2/3

Egy átlagos számítógép másodpercenként 10 ezres nagyságú kulcsot tud kipróbálni. A Cryptograpy egyesült államokbeli cég által tervezett gép, a Deep Crack – melynek megalkotása dollármilliókba került – másodpercenként 90 milliárd kulcsot próbál ki.

A szimmetrikus kulcsú titkosításoknál jelenleg nemzetközi szinten elterjedt 56 bites kulcsú titkosításokat azonban még ilyen hatalmas számítási kapacitás mellett is átlagosan 3,5 nap alatt tudná csak feltörni.Mindez egy átlagos számítógépnek több mint 80 ezer évig tartana. A biztonsági okok miatt az 56 bites kulcsokat felváltó 128 bites kulcsok használatával a kipróbálandó kulcsok száma akkora, hogy a föld összes számítási kapacitását igénybe véve is hosszabb időre lenne szükség, mint ahány éve a Világegyetem létezik.

11

Modern kriptográfia 3/3

Kulcs hossza (bit) Az összes kulcs teszteléséhez szükséges idő hossza (Deep Crack)

40 10 sec

56 7 nap

72 1 381 év

88 90 544 142 év

104 5 933 900 946 398 év

128 99 554 337 900 332 014 087 év

12

Titkosítási módszerek az Interneten

Szimmetrikus kulcsú titkosítási algoritmusok• a titkosításra és a dekódolásra ugyanazt a kulcsot használják • a küldő félnek, és a fogadó félnek egyaránt ismernie kell a kulcsot (a kommunikáció megkezdése előtt meg kell állapodniuk egy közös kulcsban, és azt titokban kell tartaniuk)• az üzeneteket csak a titkos kulcs segítségével lehet dekódolni, így egy esetleges támadó a kommunikációt lehallgatva se tudja megérteni az üzeneteket, illetve rejtjelezni se tud egy hamis üzenetet• több fél kommunikációja esetén mindenkinek mindenkivel külön-külön meg kell állapodnia egy közös kulcsban

Aszimmetrikus kulcsú titkosítási algoritmusok• nyilvános kulcsú titkosítás

13

Szimmetrikus titkosítási módszerek – DES, RC2, RC4 és Diffie-Hellman

„A” kommunikálni akar „B”-vel. Más csatornán – például telefonon, vagy floppyn továbbítva megállapodnak egy (Európában 40, az USA-ban 128 bites) kulcsban, majd a kommunikáció során küldött üzeneteket ezzel a kulccsal titkosítják.

Az eljárás előnye, hogy nagyon gyors. Hátránya, hogy mindig ugyanazzal a kulccsal történik a titkosítás, ami biztonsági kockázatot jelent, emellett nehézkes a kulcs egyeztetése.    

14

Szimmetrikus titkosítási algoritmusok I.

• DES (Data Encryption Standard) Szimmetrikus kulcsú titkosítási eljárás, IBM fejlesztés, 64 bites blokkos rejtjelezés, vagyis a nyílt szöveg egy 64 bit méretű blokkjához rendel egy ugyanekkora rejtjeles blokkot. Az USA kormányának szabványa, az algoritmust 1977-ben hozták nyilvánosságra. Bár a DES kifejlesztése óta több mint 20 év telt el, ma is élő, még engedélyezett szabvány, széles körben használják a polgári élet minden területén, jóllehet a DES elérte életciklusának végét. A kissé idejétmúlt algoritmus felváltására már több alternatíva is van: a háromszor egymás után alkalmazott DES, vagy más alternatív algoritmusok (AES, IDEA, CAST, BLOWFISH).• AES (Advanced Encryption Standard) 1997-ben pályázatot írtak ki a DES leváltására. Erre több pályázat is érkezett, de a válogatás és a különböző megmérettetések még tartanak. A jövőbeli győztes algoritmust AES-nek keresztelték.

15

Szimmetrikus titkosítási algoritmusok II.

• IDEA (International Data Encryption Algorithm) Nyolc input bájtot nyolc output bájtra képező blokkos rejtjelező algoritmus. Kulcsmérete 128 bit. Svájcban fejlesztették ki 1990 és 1992 között. Kifejezetten adatátvitelhez tervezték, beleértve a digitalizált hang/kép valós idejű kódolását is. A PGP régebbi verziói is használták. Szabadalmi bejegyzése van, és így (üzleti) felhasználásához licenszdíjat kell fizetni. Egy ideig a DES ellenfelének tűnt, de ma már nem igazán preferálják, kissé háttérbe szorult.

16

Szimmetrikus algoritmusok előnyei

• A szimmetrikus algoritmusok gyorsak, így jól használhatók olyan alkalmazásokban, melyek nagy adatátviteli sebességet igényelnek. Néhány hardver megvalósítás sebessége a 10-100 Mbit/s sebességet is eléri. A szoftver megvalósítások lassabbak, általában csak 1-2 Mbit/s sebességűek. • Az alkalmazott kulcsok viszonylag rövidek. (56-128 bit) • A szimmetrikus kódolóknak igen bőséges történelmi előzménye van. A gyakorlati és elméleti ismeretek bővülése elvezetett az ókori Caesar kódolóktól a '70-es évek DES algoritmusáig.

17

Szimmetrikus algoritmusok hátrányai• Egy kommunikációban a kulcsoknak mind a feladó, mint a címzett oldalán titokban kell maradniuk, egészen a kommunikációs folyamat(ok) végéig. • Nagy hálózatokban vagy olyan szervezetekben, ahol sok ember kíván egymással érintkezésbe lépni, a kezelendő (és megosztandó) kulcsok száma a résztvevők (n) számával négyzetesen arányos.• A feleknek a kommunikációs folyamatok megkezdése előtt kulcsot kell cserélniük egymással egy biztonságos csatorna használatával. Ha a kulcsokat valamilyen oknál fogva meg kell változtatni, akkor a lehallgatás veszélyét is magában foglaló kulcs cserét meg kell ismételni. • A rövid kulcsok kedveznek a brute-force támadásnak, ezért azokat minél sűrűbben cserélni kell (legalább a feltételezett feltörési időn belül). A sok partner esetén megvalósított gyakori kulcs-csere azonban nagy hálózati forgalmat is generál, pontosan a kapcsolatok nagy száma miatt.

18

Biztonsági követelmények – Szimmetrikus titkosítás

• Authentikáció: mivel a kulcsot minimum kettő fél ismeri nem állapítható meg bizonyosan, hogy a két fél közül melyik küldött el egy kérdéses üzenetet• Authorizáció: az authorizáció követelményeinek eleget tesz• Titkosság, bizalmasság: alapvetően eleget tesz a bizalmasság követelményének• Adatintegritás (data integrity): mivel az adatokat csak a megfelelő kulccsal lehet megváltoztatni, eleget tesz adatsértetlenség elvének• Letagadhatatlanság elve: mivel minimum két fél ismeri a titkos kulcsot, a szimmetrikus kulcsú algoritmussal végzett kódolás önmagában használva nem tesz eleget a letagadhatatlanság elvének

19

Nyilvános kulcsos módszer: ezen eljárás egy 1976-ban született matematikai megoldás. Legismertebb megvalósítása az RSA, melyet három matematikus (Rivest, Shamir és Adelman) dolgozott ki 1977-ben az USA MIT (Massachusetts Institute of Technology) egyetemén.

Lényege, hogy minden résztvevő (címzett és feladó egyaránt) rendelkezik két kulccsal: egy titkossal és egy nyilvánossal. A kulcsokat egy erre a célra fejlesztett programmal állítja elő mindenki, saját magának. A két kulcs egyszerre jön létre; a titkosat eltesszük magunknak, a nyilvánosat pedig (akár e-mailen is) elküldjük mindazoknak, akikkel levelezni szeretnénk.

Aszimmetrikus titkosítás 1/2

20

A nyilvános kulcsú rejtjelezés alapötlete, hogy a kódolás folyamatát elválasztja a dekódolástól, és olyan algoritmust használ, ahol a kódoláshoz használt paraméter nem azonos a dekódoláshoz használt paraméterrel, és a kódoláshoz használt paraméterből nem határozható meg a dekódoláshoz szükséges paraméter a módszer ismeretében sem.

A nyilvános kulcsú titkosítással elküldött üzenet egy olyan ládához hasonlítható, melyet bezárni a nyilvános kulccsal, de kinyitni már csak egy másik, a titkos kulccsal lehet. Ezek a kulcsok egymással összefüggnek: a titkos kulccsal lehet megfejteni azt az üzenetet, amit a nyilvános kulccsal kódoltak.

Aszimmetrikus titkosítás 2/2

21

Aszimmetrikus (nyilvános kulcsú) titkosítási módszerek – RSA

„A” kommunikálni akar „B”-vel. Mindketten előállítanak két (Európában 512, az USA-ban 1024 bites) kulcsot. A kulcspárok olyanok, hogy amit az egyikkel titkosítottak, azt csak és kizárólag a kulcs párjával lehet megfejteni. Az egyik kulcsot mindketten elrejtik a számítógépükben, a másikat szabadon hozzáférhetővé teszik a másik, vagy akár mindenki számára.

Tegyük fel, hogy „A” üzenetet küld „B”-nek, és már ismeri „B” nyilvános kulcsát. „A” a küldendő csomagot „B” nyilvános kulcsával titkosítja. Ezzel elérte, hogy azt csak „B” titkos kulcsával lehet megfejteni, így „A” biztos lehet abban, hogy csak „B” juthat hozzá a küldött információhoz, mivel „B” saját titkos kulcsának egyetlen ismerője.

22

Az eljárás előnye a nagy biztonság; hátránya, hogy igen lassú. Ezért az ilyen fajta kommunikációt webes alkalmazások esetében általában a DES kulcs egyeztetésére szokták használni. Az e-mail titkosítása és aláírása azonban tisztán RSA-val zajlik.

Aszimmetrikus (nyilvános kulcsú) titkosítási módszerek – RSA

A nyilvános kulcsos titkosítás feltalálása után közel 15 évig az állami titkosszolgálatok monopóliuma volt. 1991 ben Phil Zimmermann megírta az algoritmust PC re (PGP, Pretty Good Privacy) és feltette az Internetre.

23

Aszimmetrikus algoritmusok előnyei I.

• A nagy létszámú résztvevővel rendelkező kommunikációs hálózatokban sem jelent különösebb nehézséget a kulcsok megosztása. Ha n partner van, akkor n darab nyilvános kulcsot kell kezelni.

• Mivel az aszimmetrikus algoritmusok nehéz matematikai problémákon alapulnak és kulcsaik jóval hosszabbak, mint a szimmetrikus kulcsok, ezért a kulcsokat nem kell gyakran (esetleg minden kommunikációs folyamat előtt) cserélni, egy - egy kulcs évekig használható.

• Biztosítható a levelek hitelességének ellenőrzése. Ez úgy történik, hogy a levél feladója a levelet először a saját titkos kulcsával, majd a címzett nyilvános kulcsával zárja le. A címzett a kapott levelet először kinyitja saját titkos kulcsával, majd a feladó nyilvános kulcsával ellenőrzi, hogy a levelet valóban a feladóként szereplő személy küldte.

24

Aszimmetrikus algoritmusok előnyei II.

• Az igen hosszú kulcsok lehetetlenné teszik a brute-force támadást.

• Mivel a titkosítás és a visszafejtés folyamata a legtöbb aszimmetrikus rendszerben felcserélhető, ezért ezek az algoritmusok hatékonyan használhatók digitális aláírás rendszerekben. Az egyediséget biztosító titkos kulcs lehetővé teszi a jó digitális aláírás tulajdonságainak teljesítését.

• Azok is tudnak titkosított üzenetet váltani, akik nem is ismerik egymást, elég, ha előzőleg kicserélték nyilvános kulcsaikat.

25

Aszimmetrikus algoritmusok hátrányai I.

• Szükség van egy megbízható harmadik félre (TTP, trusted third party) aki garantálja, hogy a nyilvántartásában szereplő felhasználónév és a hozzá tartozó nyilvános kulcs valóban összetartozik.

• Az algoritmusok általában lassúak, nem tudják a gyakorlatban elvárt válaszidőket teljesíteni. Emiatt gyakran a szimmetrikus algoritmusok- kal együtt használják őket.

• A kulcsok mérete általában sokkal hosszabb, mint a szimmetrikus algoritmusok 56-128 bites kulcsa, például az RSA ajánlása szerint a napjainkban generált kulcsoknak 1024-2048 bitesnek kell lennie. Ebből következően a digitális aláírások mérete is hasonlóan hosszabb. A kulcsmenedzsment és egyéb műveletek nagyobb adatmennyiség mozgatását igénylik, mint a szimmetrikus algoritmusok esetében.

26

Aszimmetrikus algoritmusok hátrányai II.

• Egyetlen algoritmus sem nyújt elméleti titkosítást, mert a legtöbb megoldás valamilyen nehezen megoldható matematikai problémán alapszik. Ez azt jelenti, hogy az algoritmusok az alkalmazott matematikai műveletek inverzeivel dekódolhatóak. Azonban egy-egy ilyen inverz alkalmazásához olyan részeredményekre van szükség, melyek előállítása jelenleg időben vagy társzükségletben lehetetlen. Az RSA kódolásban a moduláris hatványozás inverze, a moduláris logaritmus jelentheti a kulcs nélküli dekódolást, azonban ehhez szükség lenne a kulcs prímtényezős bontására. Csakhogy a kulcs szándékosan olyan nagy, hogy a tényezőkre bontása lehetetlen feladat.

• A rövid kulcsok kedveznek a brute-force támadásnak, ezért azokat minél sűrűbben cserélni kell (legalább a feltételezett feltörési időn belül). A sok partner esetén megvalósított gyakori kulcs-csere azonban nagy hálózati forgalmat is generál, pontosan a kapcsolatok nagy száma miatt.

27

• Authentikáció: a privát kulcsot kizárólag egyetlen ember ismeri, így az azonosításnak nincsen akadálya• Authorizáció: az authorizáció követelményeinek eleget tesz• Titkosság, bizalmasság: alapvetően eleget tesz a bizalmasság követelményének• Adatintegritás (data integrity): mivel az adatokat csak a megfelelő kulccsal lehet megváltoztatni, eleget tesz adatsértetlenség elvének• Letagadhatatlanság elve: digitális aláírás esetén, mivel a titkos kulcsot csak egyetlen ember ismeri eleget teszt a letagadhatatlanság elvének

Biztonsági követelmények – Aszimmetrikus titkosítás

28

Aszimmetrikus titkosítási algoritmusok I.

• RSA R. Rivest A. Shamir és L. Adleman által feltalált nyilvános kulcsú rendszer . Legyen a nyilvános kulcs e, m, a titkos d, m az üzenet x. A rendszer alapja hatványozás modulo m, ahol m =p*q két nagyjából azonos méretű prím szorzata. A titkos kulcs a nyilvános kulcsból csak a prímek ismeretében számítható. Ha m elég nagy, akkor faktorizálása elfogadható idő alatt nem lehetséges. A két kulcs kapcsolata; e*d=1 modulo (p-1)*(q-1). A rejtjelzett üzenet y= x e.dik hatványon, míg a megoldó transzformáció x= y a d. hatványon. A két kulcs közötti reláció biztosítja, hogy x= x.

A nyilvános kulcsú enkriptálás legismertebb példája. A külföldi banki átutalásokat lebonyolító SWIFT rendszer titkosítása is RSA rejtjelezésen alapul.

29

• PGP (Pretty Good Privacy) 1991-ben Philip Zimmermann olyan programot írt, amely az RSA nyilvános kulcsú módszert az IDEA szimmetrikus kulcsú módszerrel kombinálva e-mail (és fájl) titkosítására teszi alkalmassá. Az újabb verziók már DSS/SHA - CAST algoritmusokat is használják. A program igen sok port és vitát kavart a kormányzati szinten, mert egyrészt az engedélyezett méretű kulcsokon túl a jóval hosszabb és biztonságosabb kulcsok használatát is lehetővé tette, másrészt nemzetközi elterjedése (az Interneten keresztül), megsértette az USA fegyverexport tilalmát.

Aszimmetrikus titkosítási algoritmusok II.

30

Gyakorlatban alkalmazott módszerek I.

Fingerprint (ujjlenyomat) – „one-way hash” v. MAC: SHA és MD5Az ujjlenyomat nem titkosításra szolgál, hanem ezzel az eljárással lehet biztosítani, hogy a csomagot a kézbesítés során nem változtatja meg senki.

„A” kommunikálni akar „B”-vel. Mindkettőjük számára fontos, hogy az információt az átküldés alatt ne változtassa meg senki, vagy ha mégis, akkor arról „B” egyértelműen tudomást szerezzen. „A” ezért az elküldött adatokról vagy levélről egy függvény segítségével egy rövid (SHA esetén 160 bites, MD5 esetén 128 bites) kulcsot, más néven ujjlenyomatot készít, és csatolja az átküldendő adatokhoz. Az ujjlenyomat olyan természetű, hogy az ujjlenyomatból nem lehetelőállítani a csomag eredeti tartalmát; és ha a csomagban 1 bitet megváltoztatnak, akkor az arról készült ujjlenyomat a bitek kb. felében nem fog egyezni az eredeti ujjlenyomattal.

31

Ujjlenyomathoz alkalmazott algoritmusok

• MAC (Message Authentication Code) Olyan kulcstól függő kontrollösszeg, amely a vevőoldalon az adatok véletlen és szándékos módosítását egyaránt képes detektálni.

• Hash-függvény Olyan transzformáció, amely egy tetszőleges hosszú szöveg digitális 'ujjlenyomatát' készíti el. Az 'ujjlenyomat' fix hosszú bitsorozat amely jellemző az adott szövegre abban az értelemben, hogy más szöveghez szinte biztosan más hash érték tartozik, illetve adott ujjlenyomathoz gyakorlatilag lehetetlen olyan szöveget találni amelynek ez a képe. Nevezik message digestnek is, a Digitális aláírás protokoll alkotórésze. Pl. MD5, SHA

32

Gyakorlatban alkalmazott módszerek II.

Digitális aláírásAz aláírás úgy jön létre, hogy az ujjlenyomatot „A” a saját titkos kulcsával titkosítja és ezután mellékeli az átküldendő csomaghoz. Ebből következik, hogy „B” biztos lehet abban, hogy az ujjlenyomatot „A” készítette, hiszen azt csak „A” publikus kulcsával tudja kicsomagolni. Továbbá „B” biztos lehet abban is, hogy a csomag nem módosult útközben, ha az általa próbaképp elkészített ujjlenyomat egyezik az „A”által készítettel. Tehát „B” biztos lehet abban, hogy valóban „A”-val kommunikál, és az adatokat az átvitel során nem módosították, ill. azok nem sérültek meg.

33

Digitális aláírás módszere, szabványai

• Digitális aláírás Személyek és/vagy digitális adatok hitelesítésére alkalmas módszer. Két részből áll: a személyhez kötött aláírást generáló részből, s az ellenőrzést bárki számára lehetővé tevő részből. Nyilvános kulcsú rendszer.

• DSA (Digital Signature Algorithm) DSS (Digital Signature Standard)

34

A digitális aláírás sémája nyilvános kulcsú rendszerben

35

Digitális és hagyományos aláírás összehasonlításaDigitális aláírás Hagyományos aláírás

Az aláírás bizonyítja, hogy az aláírás annak tulajdonosától származik és nem valaki mástól. Az aláíró nem tagadhatja le az aláírását. (letagadhatatlanság elve)

Csak akkor hamisítható, ha a titkos, aláírásra használt kulcsunkat valaki megszerzi. Egyébként senki sem tud a mi nevünkben aláírni.Következésképp mi sem tagadhatjuk le aláírásunkat.

Némi gyakorlással hamisítható és a tulajdonosa nélkül is "felhasználható" az aláírás. A jó hamis aláírást semmi nem különbözteti meg a valóditól.

Az aláírás nem helyezhető el más dokumentumokon, észrevétlenül át nem vihető.

A digitális aláírás az egész dokumentumot kódolja, így az aláírás végső formája függ az aláírt dokumentumtól is. A dokumentum valamilyen formában az aláírás része.

Az aláíró függetlenül az aláírt dokumentumtól, mindig ugyanúgy ír alá. Ezért egy begyakorlott hamis aláírás felhasználható más dokumentumon is.

Az aláírt dokumentum nem változtatható meg észrevétlenül.

Mivel az előző pont szerint a dokumentum valamilyen formában az aláírás része, ezért ha a dokumentum az aláírást követően megváltozott, akkor azt az aláírás ellenőrzése kimutatja.

A dokumentum megváltoztatható az aláírás után is feltéve, ha az aláíró nem kap másolatot róla. (Bár ez is csak viták forrása lehet, mert ettől még maga a dokumentum megváltoztatható.)

36

Elektronikus aláírás típusai

•Egyszerű elektronikus aláírás: bármilyen adat, amely az elektronikus dokumentum „aláíróját” azonosítja, de nem kellő biztonsággal Pl. ha egyszerűen odaírja valaki a nevét az elektronikus dokumentum Végére

•Fokozott biztonságú aláírás: ha alkalmas az aláíró azonosítására, ha az aláírást létrehozó magánkulcs csak az aláíró befolyása alatt áll, továbbá ha az aláírást technikailag úgy oldották meg, hogy az aláírástkövetően a dokumentumon tett mindenfajta módosítás érzékelhetőLegyen

•Minősített elektronikus aláírás: ha a fokozott biztonságú aláírásontúlmenően további, a törvényben vagy más jogszabályban rögzített szigorúbb feltételeknek is megfelel

37

Elektronikus dokumentumok fajtái

• Elektronikus dokumentum: minden elektronikusan érzékelhető adat

• Elektronikus irat: minden elektronikus dokumentum, amely szöveg

közlésére készült

• Elektronikus okirat: minden elektronikus úton kötött szerződés

38

Tanúsítványok

Bár a nyilvános kulcsú titkosítási algoritmusok önmagukban biztosítjákaz adatok integritását, azonban a megfelelő authorizáció, authentikáció és letagadhatatlanság követelményeit csak részben. Egy nyilvános kulcsú algoritmussal titkosított üzenetváltáskor a címzettbiztos lehet abban, hogy egy üzenet tartalma nem változott meg, illetve,hogy az üzenetet a titkos kulccsal kódolták, azonban arról nem lehetmegbízható információja, hogy ki is igazából a kulcs tulajdonosa.

Létre kell hozni, egy szervezetet, mely megbízható harmadik félkéntgarantálja a kommunikáló felek (személy)azonosságát. Egy ilyen hitelesközvetítőt Tanúsítvány-kibocsátónak (Certificate Authority, CA) nevezünk, a tanúsítványokat pedig hitelesítésre használjuk

39

A tanúsítvány tartalma

Alany Megkülönböztető elnevezés, nyilvános kulcs

Kibocsátó Megkülönböztető elnevezés, aláírás

Érvényesség Kezdete, vége

Adminisztratív információ

Verzió, sorszám

Kiegészítő információ

A tanúsítvány tartalma

40

Hitelesítési szolgáltatók (kulcskibocsátók, kulcshitelesítők)

Bárki lehet, aki:• élvezi valamennyi érintett fél bizalmát • megfelelő tapasztalata van a biztonságos elektronikus adatátvitelben• rendelkezik a szükséges technikai infrastruktúrával

Magyarországon hitelesítési szolgáltatást nyújt:• Matáv• GIRO Rt 2001. december 16-ával indította a hazai kereskedelmi bankok számára a GIRO Elszámolásforgalmi Rt. új szolgáltatását, amellyel lehetővé tette az elektronikus aláírás használatát. A Tanúsítvány-kibocsátók a következő szolgáltatásokat nyújtják: · Tanúsítvány-kérelmek verifikálása · Tanúsítvány-kérelmek feldolgozása · Tanúsítványok kibocsátása és menedzselése

41

Gyökér szintű tanúsítvány kibocsátó

•a tanúsítvány kibocsátók (CA-k) tevékenységét felügyelő intézmény•Magyarországon ezt a feladatot a Hírközlési Főfelügyelet (HIF) látja el•CA tevékenység megkezdése előtt nem kell engedélyt kérni (EU szabályozással összhangban), de nyilvántartás végett be kell jelenteni a HIF-nek• a HIF folyamatosan ellenőrzi, hogy a hitelesítési szolgáltatók a törvényben rögzített követelményeket betartják-e• a szigorúbb követelményeket teljesítő szervezetek minősített hitelesítés-szolgáltatók lehetnek (minősített elektronikus aláírás hitelesítésére jogosult)

42

A hitelesítési szolgáltatás struktúrája

43

Nyilvános kulcsú infrastruktúra - PKI

PKI (Public Key Infrastucture, nyilvános kulcsú infrastruktúra) hardver- és szoftverelemek, továbbá az elektronikus hitelesítési, azonosítási és titkosítási feladatokat megoldó elektronikus eljárások és szolgáltatások összessége. Biztosítja, hogy olyan szereplők tudjanak egymással elektronikus üzleti,vagy adminisztratív tranzakciókat lebonyolítani, amelyek nem ismerikegymást, és előzetesen nem állt módjukban megegyezéseket kötni a biztonságos információcsere módjáról .

Mely biztonsági követelményeket elégíti ki:• Bizalmasság (confidentiality): az üzenetet a címzetten kívül más nem tudja elolvasni• Azonosítás (authentication): hitelesen azonosítható az üzenet feladója• Sértetlenség (integrity): nem változott-e meg az üzenet tartalma • Letagadhatatlanság (non-repudiation)

44

Ajánlott irodalom, források, linkek I.

• Ködmön József: Kriptográfia - Az informatikai biztonság alapjai; A PGP kriptorendszer használata (ComputerBooks, 1999)

• Internetes biztonság www.hszk.bme.hu/~ca307/security.PDF

• Matematikai modellek az adattitkosításban 193.224.141.245/UjsagInfo/10/Schutzbach.htm

• Az információs rendszerek biztonsága, Internet és az adatbiztonság www.ik.bme.hu/~mohacsi/rintergracio/infrendsz_bizt.pdf

• Nemzetközi szabványok és ajánlások a kriptográfiában www.ilab.sztaki.hu/~sztibor/szabvany/

45

• Digitális aláírás, kriptográfia www.szgti.bmf.hu/~mtoth/download/

• A PKI és a biometria www.login.hu/pki/pki.pdf

Ajánlott irodalom, források, linkek II.

• A kriptográfia jövője – DNS komputerek, kvantum komputerek• Valamely titkosítási algoritmus(ok) ismertetése

Egyéni feladat témák:

46

Az E-business megjelenési formái

47

Az Internet hatása a vállalati tevékenységekre

Kereskedelmi és termelő vállalatok: • ügyfélkapcsolatok kezelése• marketing – viral marketing, elektronikus reklámok• Internet = új értékesítési csatorna• munkaerő-toborzás és kiválasztás www.candidate.hu/cikkek/onlinetoborzas.php

Pénzügyi szolgáltatók:• tőzsde• hitelügyintézés• banki tranzakciók

Kiskereskedelem:• online áruházak

48

CRM - Customer Relationship Management

Ügyfélkapcsolat Menedzsment

A CRM egy olyan rendszer, amely biztosítja az ügyfelek igényeinek folyamatos felmérését, az ügyfelek pontosabb, az igényeiknek leginkább megfelelő kiszolgálását, előremozdítva a szolgáltatók új termékeinek hatékonyabb eladását.

A CRM egy összetett megközelítés, mely teljes mértékben integrálja az értékesítés, ügyfélszolgálat, marketing, szerviz és más ügyféllel kapcsolatos funkciókat.

49

Viral marketing

Viszonylag új eszköz:Ennek lényege az, hogy az üzenetet a felhasználók egy szűkebb csoportja számára (jogszerűen az olyan ügyfelek számára, akik a részükre történő reklámcélú üzenetek küldéséhez hozzájárultak) juttatják el, majd ezek a felhasználók juttatják tovább az üzenetet saját ismerőseikhez. Ilyen kampányok esetén arra kell figyelmet fordítani, hogy az üzenetet továbbküldőnek ne kelljen megadnia ismerőseinek a címét az üzenet eredeti küldője számára, mivel ez az adatkezelés az érintett hozzájárulásának hiányában jogszerűtlen.

50

Pénzügyi szolgáltatások

Inter-Európa Bank: www.ieb.huOTP Bank: www.otpbank.huRaiffeisen Bank: www.raiffeisen.huCitibank: www.citibank.huKereskedelmi és Hitelbank: www.khb.huCIB Bank: www.cib.huBudapest Bank: www.budapestbank.huVolksbank: www.volksbank.hu

HBW Express Takarékszövetkezet www.ebank.huHVB Hungary Nonstopbank www.nonstopbank.hu

Internet bankok

51

Linkek

• TELEPIAC projekt informatika.bke.hu/root/Project/telepiac.nsf/

• Online áruházak mérlegen www.dotkom.hu/press5.html