On-Line banking

[Ales Prochaska]

Pouzivaji se dva principy, z bezpecnostniho hlediska priblizne
rovnocenne. Prvni z nich je challenge-response, kdy banka posle nahodne
cislo, klient ho kalkulatorem zasifruje a prvni polovinu vysledku posle
zpet bance. Banka (protoze zna tajne koeficienty algoritmu v klientove
kalkulacce) overi spravnost a posle klientovi tu druhou polovinu, aby
si mohl zkontrolovat, ze i banka je ta prava. Druha varianta je
one time password, ktery zahrnuje casovy usek a poradove cislo
generovani v tomto useku. Funguje stejne, jen banka neposila tu vyzvu.
  Jako druha uroven zabezpeceni se pouziva autentizacni kod zpravy
(MAC), ktery se vypocitava z hodnot zpravy (castka, atd.).
  Kalkulacka si zasadne sekvenci hesel nepamatuje, ale pouziva
kryptograficky bezpecny (= nepredikovatelny) generator pseudonahodnych
cisel, zalozeny na blokove sifre v citacovem nebo zpetnovazebnim
rezimu. Banka zna tajne koeficienty (koren pseudonahodne posloupnosti)
klienta a umi tedy generovat pro kontrolu stejnou sekvenci.
  To vse zcela nezavisle na pripadnem pouziti SSL.
Ales Prochaska


> 
> > Cert vi, jak maji tu autorizaci vyresenu. Ja mam ucet u Expandie a tam je na
> > autorizaci takovej bazmek podobnej kalkulacce. Je to sice neprijemne tluste
> > na noseni v dokladech, ale zase tomu verim a vim, ze mi to nikdo nemuze
> > nabourat - na druhou stranu, muzu to ztratit. Funguje to tak, ze kdyz po me
> > chce web banky vlozit kod, natukam do toho svuj PIN a ono mi to kod
> > vygeneruje (pokazde jiny). Nicemu ciste softwarovemu bych az tak neveril,
> 
> Jenom PIN nebo taky vyzvu od banky ? Predpokladal bych ze to sifruje vyzvu
> PINem. Ale mozna si to pamatuje sekvenci hesel a funguje to jako kdyz se
> odskrtavaji hesla z papirku....
>