Jest to jedna z podstawowych usług dostępna zarówno dla klientów indywidualnych, małych firm jak i dużych korporacji. Nieodmiennie zagadnienia dostępu do własnych środków za pomocą Internetu wiążą się z pytaniem: „Czy moje pieniądze są bezpieczne?”. Każdy bank stara się w jak najlepszy sposób zabezpieczyć środki klientów oferując różne poziomy zabezpieczeń jak i różne narzędzia bezpieczeństwo zapewniające.
Zabezpieczenia transakcji dokonywanych za pomocą systemów bankowości internetowej można podzielić na dwie grupy:
- zabezpieczenia transmisji danych, wymiany informacji pomiędzy komputerem użytkownika a bankiem,
- metody uwierzytelnienia użytkowników systemu (identyfikacja) i metody autoryzacji dokonywanych przelewów.
Bezpieczeństwo transmisji danych zapewniane jest przez wykorzystanie protokołu SSL. Powszechnie wykorzystywanym jest SSL o kluczu długości 128 bit. Niektóre banki (m.in. ING Bank Śląski w systemie ING BusinessOnLine) wykorzystują już SSL z kluczem 256 bitowym, który zwiększa bezpieczeństwo przesyłanych danych. Dodatkowym zabezpieczeniem jest tzw. podwójny SSL, którego wykorzystanie uniemożliwia przeprowadzenie ataków typu man-in-the-middle.
Metod identyfikacji użytkowników systemu jak i metod autoryzacji jest tak dużo jak i systemów. Najprostszą metodą jest hasło statyczne – użytkownik logując się do aplikacji musi podać dwa ciągi znaków: login i hasło. Niewielkim urozmaiceniem tej metody jest maskowanie hasła czy dodatkowy identyfikator wymagany w trakcie logowanie.
Dodanie obrazka identyfikującego właściwą stronę (użytkownik widzi „swój” obrazek po załogowaniu się na poprawną stronę) zwiększa bezpieczeństwo systemu, jednak znane są przypadki, w których ataki phishingowe poradziły sobie z taką metodą.
W początkach kariery systemów bankowości internetowej powszechne były karty-zdrapki (z listą haseł drukowanych po kolei bądź z macierzą) ale obecnie odchodzi się od tego sposobu.
Stosunkowo popularną metodą są kody autoryzacyjne przesyłane za pomocą SMS. W zależności od budowy wiadomości SMS sposób ten zwiększa bezpieczeństwo (logowania lub autoryzacji) wykluczając ataki man-in-the-middle czy man-in-the-browser.
Wszelkie kombinacje powyższych metod (np. SMS ze szczegółami transakcji, hasło maskowane i obrazek identyfikujący) zwiększają zabezpieczenia transakcji dokonywanych przez Internet.
Oddzielną kategorią są tokeny sprzętowe generujące czy to hasła na bazie czasu czy na bazie licznika. Dodatkowym urozmaiceniem są kody PIN do tokena. Ale metody nie są obecnie często stosowane.
Zdecydowanie najbezpieczniejszym rozwiązaniem „tokenowym” jest wykorzystanie tokenu w telefonie działającego na zasadzie challenge-response (pytanie-odpowiedź). Użytkownik wpisuje w personalizowanej aplikacji kod wygenerowany na w systemie bankowości internetowej (sam kod bądź ze szczegółami transakcji), aplikacja wyświetla odpowiedź w postaci specjalnego kodu, który należy wpisać do systemu bankowości potwierdzając w taki sposób wykonanie transakcji. Jest to obecnie jedna z najbezpieczniejszych metod dostępnych na polskim rynku, odporna na ataki phisingowe czy man-in-the-middle i man-in-the-browser.
Kolejną kategorią narzędzi zabezpieczających jest wykorzystanie podpisów elektronicznych – tj. certyfikatów i kluczy, które generowane przez użytkownika przechowywane są czy to na komputerze użytkownika (metoda mniej bezpieczna) czy na specjalnym, dedykowanym dla systemu/użytkownika nośniku certyfikatu (np. karta kryptograficzna). Identyfikacja i autoryzacja transakcji dokonywana jest na podstawie certyfikatu użytkownika i podanego kodu PIN (hasła) do klucza/nośnika certyfikatu. Metoda zabezpiecza w bardzo dobry sposób przed phishingiem i atakami typu man-in-the-middle. Ograniczenie ryzyka ataku na systemu zabezpieczone kartami kryptograficznymi odbywa się poprzez założenie zaawansowanych schematów akceptacji (np. dwuosobowych), co powoduje konieczność zsynchronizowanego ataku na dodatkową maszynę, z której następuje połączenie z systemem bankowości internetowej.
Dodatkową kategorią są wszelkie sposoby oparte o dane biometryczne – fizyczne bądź behawioralne cechy człowieka takie jak linie papilarne, kształt twarzy czy dłoni, tęczówki oka, sposobu uderzenia w klawisze. Zaletą tego sposoby jest brak konieczności pamiętania dodatkowych kodów, haseł – „urządzenie” uwierzytelniające nosi się zawsze przy sobie. Wadą są koszty czytników cech biometrycznych oraz społeczny opór przed przekazywaniem tego typu informacji instytucjom (warto przypomnieć protesty przeciw wprowadzeniu charakterystyki linii papilarnych do nowego dowodu osobistego). Wady te sprawiają, że żaden z polskich banków nie opiera swojego systemu bankowości internetowej o biometryczne sposoby identyfikacji użytkowników.
Polskie banki oferują ogromną liczbę metod zabezpieczania systemów bankowości internetowej. Każdy użytkownik może wybrać system oferujący rozsądny kompromis pomiędzy wymaganym poziomem zabezpieczeń a wygodą użytkowania systemu. Należy jednak pamiętać, że każdy łańcuch jest tak silny jak jego najsłabsze ogniwo, a w przypadku systemów bankowości internetowej najsłabszym ogniwem najczęściej bywa użytkownik końcowy…
Adam Walendziewski, ING Bank Śląski
Źródło:
