BEZPIECZEC
STWO W TRANSAKCJACH FINANSOWYCH
Do głównych atrybutów bezpieczeństwa bankowości elektronicznej wyróżnia się:
qð Poufność informacji (confidentiality) to takie przeksztaÅ‚cenie informacji, aby byÅ‚a ona niemożliwa do
odczytania przez inną osobę poza właściwym odbiorcą
qð Autentyfikacja - stwierdzanie autentycznoÅ›ci (authentication) polega na upewnieniu siÄ™, że nadawca jest
tym, za kogo (za co) siÄ™ podaje.
qð Integralność danych (integrity) polega na upewnieniu siÄ™, że w trakcie transmisji zawartość przesyÅ‚ki nie
została naruszona - czyli, że nikt nie przechwycił np. naszego listu, nie zmienił jego zawartości i nie odesłał go
do nas.
qð Niezaprzeczalność nadania (non-repudiation) to usÅ‚uga chroniÄ…ca przed możliwoÅ›ciÄ… wyparcia siÄ™ przez
nadawcę wysłania określonej informacji. Usługa niezaprzeczalności dostarcza dowodu co do integralności
informacji i autentyczności nadawcy.
qð dostÄ™pność  wyraża siÄ™ w gwarancji staÅ‚ego dostÄ™pu do systemów bankowoÅ›ci elektronicznej,
qð niezawodność  poprawne i bezawaryjne dziaÅ‚anie systemu, speÅ‚niajÄ…cy potrzeby klientów1.
y
ródła ataków na bezpieczeństwo systemów informatycznych
Miejsce Miejsce
przeznaczenia przeznaczenia
y
ródło y
ródło
informacji informacji
informacji informacji
PRZERWANIE PRZECHWYCENIE
Miejsce Miejsce
przeznaczenia przeznaczenia
y
ródło y
ródło
informacji informacji
informacji informacji
MODYFIKACJA PODROBIENIE
y
ródło: D. Wawrzyniak: Bezpieczeństwo bankowości elektronicznej [w] Praca zbiorowa pod red. A. Gospodarowicza:
Bankowość elektroniczna, Warszawa 2005
Wyróżnić można:
Zagrożenia ze strony serwera prowadzą do przejęcia lub zniszczenia jego zasobów.
qð Głównie za pomocÄ… różnorakich programów wkraczajÄ…cych w systemy informatyczne - bakterie, robaki i
konie trojańskie.
qð Bakterie używane sÄ… w celu powielania siÄ™, które niszczy system w skutek jego zablokowania, robaki
przenoszą się z systemu do systemu i pozostawiają bakterie i wirusy. Z kolei konie trojańskie naruszają
bezpieczne działanie systemu najczęściej poprzez wykradanie haseł, udając przy okazji dokonanie
bezpiecznych operacji.
qð Zagrożeniem serwera jest także bomba logiczna, czyli ukryty fragment programu specjalnie uruchamiany w
ustalonym czasie lub po zakończeniu określonej czynności.
qð Serwerom zagrażajÄ… także wejÅ›cia umożliwiajÄ…ce ominiÄ™cie zabezpieczeÅ„, zwane inaczej furtkami, ataki na
bazy danych, sabotaż komputerowy oraz cyberterroryzm.
qð Niebezpieczne sÄ… również dziaÅ‚ania ze strony personelu banku, czyli bÅ‚Ä™dy i niedociÄ…gniÄ™cia pracowników
banku a także nieuczciwość osób administrujących system.
qð NiebezpieczeÅ„stwo dla serwera stwarzajÄ… zagrożenia losowe i Å›rodowiskowe, tj. powodzie, pożary, burze,
awarie zasilania, kurz.
1
Por. P. Laskowski: Bezpieczeństwo elektronicznych operacji bankowych. Wałbrzyska Wyższa Szkoła Zarządzania i
Przedsiębiorczości, Wałbrzych 2008, s. 194
Zagrożenia ze strony klienta przede wszystkim wiążą się z procedurami logowania się do systemu i z pracą z
wykorzystaniem oprogramowania.
qð Dyskredytacja zabezpieczeÅ„ dostÄ™pu do systemu, czyli ujawnienie loginu, hasÅ‚a, kodu PIN, listy haseÅ‚
jednorazowych oraz innych, najczęściej poprzez sprawdzenie wszystkich możliwości. Zjawisko to nosi nazwę
krackingu.
qð Klient może stać siÄ™ ofiarÄ… phishingu, oszustwa polegajÄ…cego na wysÅ‚aniu maila do klienta z proÅ›bÄ… o
zalogowanie siÄ™ na podrobionej, bardzo podobnej stronie banku.
qð Stosowanie niewystarczajÄ…cych zabezpieczeÅ„ peÅ‚nego dostÄ™pu do rachunku.
qð Zainstalowanie bÅ‚Ä™dnego oprogramowania lub też użytkowanie oprogramowania niezgodnie z
przeznaczeniem.
Zagrożenia wspólne serwera i klienta
qð Sniffing polega na podsÅ‚uchiwaniu lub podglÄ…daniu, dziÄ™ki któremu można poznać treść przekazywanych
danych. Spoofing - podszywanie się pod inny komputer, który należy do danej sieci, przejmując tym samym
całą sesję użytkownika wraz z maszyną.
qð Network snooping opiera siÄ™ na badaniu parametrów sieci, zwÅ‚aszcza w aspekcie stosowanych zabezpieczeÅ„.
qð Ataki Domain Name System zwiÄ…zane sÄ… z zajÄ™ciem przez jednego użytkownika dzielonych zasobów,
odcinając tym samym dostęp dla pozostałych użytkowników.
qð Atak man-in-the-middle definiuje siÄ™ jako monitorowanie poÅ‚Ä…czenia przez nieupoważnionÄ… osobÄ™, która
pośredniczy w transmisji danych pomiędzy serwerem i klientem.
Aspekty prawne ochrony informacji
qð Ustawa o ochronie danych osobowych - obowiÄ…zek ochrony praw i wolnoÅ›ci czÅ‚owieka, poszanowania jego
prywatności. Ustawa definiuje ważne pojęcia występujące w bankowości elektronicznej, takie jak zbiór
danych, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie, usuwanie, przetwarzanie,
administrator danych.
qð Prawo Bankowe - w rozumieniu tej ustawy tajemnica bankowa obejmuje wszystkie wiadomoÅ›ci dotyczÄ…ce:
czynności umowy i osób będących stroną umowy (zarówno w fazie negocjacji, zawarcia jak i realizacji
umowy), osób, które nie będąc stroną umowy wykonały czynności pozostające w związku z zawarciem takiej
umowy.
qð Kodeks pracy - zobowiÄ…zuje wszystkich pracowników majÄ…cych dostÄ™p do informacji do zachowania w
tajemnicy informacji, które mogłyby narazić pracodawcę na szkodę.
qð Kodeks karny - zawiera zagadnienia o Å›ciganiu przestÄ™pstw komputerowych, w tym przestÄ™pstw przeciwko
ochronie informacji, mieniu, bezpieczeństwu powszechnemu, wiarygodności dokumentów. W kodeksie
karnym uwzględniono przestępstwa związane z bezpieczeństwem elektronicznym takie jak hacking
komputerowy (nieuprawnione wejście do systemu przez naruszenie zabezpieczeń), podsłuch komputerowy
(bezprawne przechwycenie informacji za pomocą nowoczesnych urządzeń technicznych), bezprawne
niszczenie informacji (usuwanie, zmiana, utrudnianie osobie uprawnionej korzystanie z informacji), sabotaż
komputerowy (zakłócanie, paraliż funkcjonowania systemów informatycznych mających istotne znaczenie
dla państwa i jego obywateli), oszustwo komputerowe (osiągnięcie korzyści majątkowej, wyrządzenie szkody
przez wpływ na automatyczne przetwarzanie, gromadzenie lub przesyłanie informacji) i fałszerstwo
komputerowe (polega na przerabianiu lub podrabianiu dokumentów zapisanych w formie elektronicznej).
qð Ustawa o usÅ‚ugach pÅ‚atniczych - zasady wydawania i używania kart pÅ‚atniczych oraz różnych form pieniÄ…dza
elektronicznego zostały zawarte w ustawie o elektronicznych instrumentach płatniczych. Ustawa ta zawiera
ważne regulacje odnoszące się do odpowiedzialności poszczególnych podmiotów transakcji.
qð Ustawa o podpisie elektronicznym - warunki stosowania podpisu elektronicznego, skutki prawne jego
stosowania, zasady świadczenia usług certyfikacyjnych oraz zasady nadzoru nad podmiotami oferującymi
takie usługi
Sposoby zabezpieczenia informacji
qð kryptografiÄ™,
qð podpis cyfrowy,
qð Å›rodki kontroli dostÄ™pu (fizyczne, techniczne, programowe)
Ad. KRYPTOGRAFIA
ALGORYTMY KLUCZA SYMETRYCZNEGO (KLUCZA POUFNEGO)
W tej metodzie ten sam klucz używany jest zarówno do szyfrowania danych jak i do ich rozkodowania. Ponieważ
używany jest ten sam klucz do obu czynności musi on być utrzymywany w "wielkim" sekrecie.
qð ZALETA: stosunkowo niski nakÅ‚ad obliczeÅ„ ponoszonych na szyfrowanie i rozkodowanie nawet dużych plików.
qð WADA: konieczność dostarczenia klucza wszystkim zainteresowanym, co może doprowadzić do jego
przechwycenia w przypadku przesyłania poprzez sieć publiczną.
Jednym z najbardziej znanych algorytmów klucza prywatnego (symetycznego) jest DES - Data Encryption Standard
wdrożony w 1978 roku przez IBM dla Narodowego Biura Standardów USA (National Institute of Standards and
Technology - NIST). Używa 56-bitowego klucza i bitów parzystości.
TEKST JAWNY
algorytm szyfrujÄ…cy tajny klucz
NADAWCA
TEKST ZASZYFROWANY
(poufny)
TEKST ZASZYFROWANY
(poufny)
ODBIORCA
algorytm deszyfrujÄ…cy tajny klucz
TEKST JAWNY
ALGORYTMY KLUCZA ASYMETRYCZNEGO (PUBLICZNO-PRYWATNEGO)
W przeciwieństwie do metody klucza poufnego komunikujące się ze sobą strony używają dwu różnych kluczy -
jednego do zaszyfrowania przesyłki, drugiego do jej rozkodowania. Nazwa "klucz publiczny" wzięła się stąd, że
algorytmy te bazują na generowaniu klucza przez każdą ze stron i ich wymianie za pośrednictwem sieci publicznej
bez utraty poufności, bowiem klucz publiczny staje się użyteczny jedynie w przypadku posiadania sekretnego,
znanego tylko lokalnie, klucza prywatnego.
Najbardziej znanym algorytmem klucza publicznego jest RSA - opracowany przez Ronalda Rivesta, Adi Shamira i
Leonarda Adlemana na uniwersytecie MIT. Siła algorytmu bazuje na złożoności problemu rozkładu dużych liczb
naturalnych na czynniki pierwsze.
TEKST JAWNY
algorytm szyfrujÄ…cy jawny klucz odbiorcy
NADAWCA
TEKST ZASZYFROWANY
(poufny)
TEKST ZASZYFROWANY
(poufny)
ODBIORCA
algorytm deszyfrujÄ…cy tajny klucz odbiorcy
TEKST JAWNY
PODWÓJNE UŻYCIE KODOWANIA ASYMETRYCZNEGO
TEKST JAWNY
(nie autentyfikowany ani poufny)
algorytm szyfrujÄ…cy (podpis cyfrowy) tajny klucz nadawcy
TEKST PODPISANY
NADAWCA
(autentyfikowany ale nie poufny)
algorytm szyfrujÄ…cy jawny klucz odbiorcy
TEKST ZASZYFROWANY
(autentyczny i poufny)
TEKST ZASZYFROWANY
algorytm deszyfrujÄ…cy tajny klucz odbiorcy
TEKST ODSZYFROWANY
ODBIORCA (przed autentyfikacjÄ…)
algorytm deszyfrujÄ…cy (sprawdzanie podpisu) jawny klucz nadawcy
TEKST JAWNY
(po potwierdzeniu autentyczności)
Secure Socket Layer (SSL) - szyfrowana transmisja na www
Podstawy SSL - SSL jest protokołem sieciowym używanym do bezpiecznych połączeń internetowych. Został
opracowany przez firmę Netscape i powszechnie go przyjęto jako standard szyfrowania na WWW.
Normalnie strony z serwerów oraz formularze do serwera są przesyłane przez sieć otwartym tekstem, który
stosunkowo łatwo przechwycić (szczególnie w sieci lokalnej). Jeśli serwer używa protokołu SSL do komunikacji z
przeglądarką, wówczas informacja w obie strony (między serwerem www i przeglądarką) jest przesyłana przez sieć w
sposób zaszyfrowany.
SSL realizuje szyfrowanie, uwierzytelnienie serwera (ewentualnie użytkownika również) i zapewnienie integralności
oraz poufności przesyłanych informacji. W momencie nawiązania połączenia z bezpieczną (stosującą protokół SSL)
stroną www następuje ustalenie algorytmów oraz kluczy szyfrujących, stosowanych następnie przy przekazywaniu
danych między przeglądarką a serwerem www.
Algorytmy w SSL - SSL jest tylko protokołem, w którym stosuje się różne algorytmy szyfrujące.
qð Algorytm asymetryczny z kluczem publicznym i prywatnym serwera WWW (np. algorytm RSA). Ten algorytm
jest używany w czasie inicjacji połączenia SSL: przeglądarka generuje losowo klucz prywatny symetryczny (dla
następnego algorytmu), szyfruje go z użyciem klucza publicznego serwera i przesyła go do serwera, serwer za
pomocÄ… swojego klucza prywatnego asymetrycznego odczytuje klucz prywatny symetryczny.
qð Algorytm symetryczny z kluczem prywatnym (np. RC-4). Kiedy już przeglÄ…darka oraz serwer posiadajÄ… ten
sam klucz prywatny, rozpoczyna się komunikacja. Cała transmisja danych między serwerem i przeglądarką
jest szyfrowana za pomocą klucza prywatnego symetrycznego. Jeden klucz jest używany podczas jednej sesji,
w następnej sesji zostaje wygenerowany już nowy klucz prywatny.
qð Funkcja skrótu (np. MD-5) używana do generowania podpisów cyfrowych dla przesyÅ‚anej informacji. Podpisy
zapewniają integralność przesyłanej informacji. Jeśli ktoś spróbuje zmienić dane w trakcie transmisji, to
zostanie to wykryte.
Moc szyfrowania - Ważną sprawą dla bezpieczeństwa zaszyfrowanych informacji jest długość używanych kluczy (np.
128 bitów). Im klucze są dłuższe, tym trudniej jest informacje odszyfrować. Powszechnie się uważa, że:
qð dla kluczy asymetrycznych: 512 - to zbyt maÅ‚o, 768 - stosunkowo bezpiecznie, 1024 - silne bezpieczeÅ„stwo.
qð dla kluczy symetrycznych: 40 - to zbyt maÅ‚o, 56 - stosunkowo bezpiecznie, 128 - silne bezpieczeÅ„stwo.
A
amanie kluczy metodą brute force (sprawdzanie po kolei możliwych kluczy).
qð ZÅ‚amanie klucza 40 bitowego zajęło 3 godziny sieci komputerów.
qð ZÅ‚amanie klucza 56 bitowego (w algorytmie RC5) zajęło 250 dni w ramach jednego z projektów
distributed.net. Eksperyment został przeprowadzony przez sieć komputerów
qð ZÅ‚amanie klucza 128 bitowego zajęłoby 1 bilion x 1 bilion lat (za pomocÄ… pojedynczego superkomputera).
Oznaczenia SSL - Połączenie się ze stroną WWW poprzez SSL jest oznaczane w przeglądarkach następująco:
qð https:// W obu przeglÄ…darkach aktualny adres zaczyna siÄ™ od https://.
qð W Internet Explorer, w prawej części paska stanu jest wyÅ›wietlana kłódka. KilkajÄ…c kłódkÄ™ można zobaczyć
certyfikat autentyczności danej strony. W dymku nad kłódką wyświetlana jest informacja o długości klucza
symetrycznego.
PrzeglÄ…darki WWW: SSL 128 czy 40?
Długość klucza użyta w SSL zależy od dwóch elementów:
qð Rodzaju certyfikatu SSL serwera.
qð PrzeglÄ…darki WWW i jej możliwoÅ›ci szyfrowania.
Zawsze jest używany klucz o maksymalnej długości, która jest obsługiwana przez oba elementy.
https://www.securitynet.pl/detection
Ad. PODPIS CYFROWY
DEFINICJA PODPISU CYFROWEGO WG PN-I-02000 (POLSKA NORMA)
"Przekształcenie kryptograficzne danych umożliwiające odbiorcy danych sprawdzenie autentyczności i integralności
danych oraz zapewniające nadawcy ochronę przed sfałszowaniem danych przez odbiorcę."
Cztery główne warunki podpisu cyfrowego:
qð uniemożliwienie podszywanie siÄ™ innych pod danÄ… osobÄ™ (uwierzytelnienie osoby, autentyfikacja),
qð zapewnienie wykrywalnoÅ›ci wszelkiej zmiany w danych transakcji (integralność transakcji),
qð zapewnienie niemożliwoÅ›ci wyparcia siÄ™ podpisu przez autora,
qð umożliwienie weryfikacji podpisu przez osobÄ™ niezależnÄ….
Podpis cyfrowy to nic innego jak kilkanaście ciekawych bajtów dołączonych do transakcji.
DZIAA
ANIE PODPISU CYFROWEGO
Wygenerowanie podpisu odbywa się następująco.
qð Wszystkie dane operacji (np. kwota przelewu, numery rachunków) sÄ… formatowane w ciÄ…g bitów.
qð Na podstawie sformatowanych danych algorytm haszujÄ…cy generuje unikalnÄ… krótkÄ… wartość hash (np.
algorytm MD5 generuje wartość 128-bitową).
qð Hash jest szyfrowany za pomocÄ… klucza prywatnego użytkownika (np. algorytmem RSA).
qð Zaszyfrowana wartość hash jest podpisem cyfrowym danej transakcji. Wszystko to powinno odbywać siÄ™ na
komputerze użytkownika (czyli w środowisku WWW może to robić applet),
qð Dane operacji wraz z elektronicznym podpisem, po zaszyfrowaniu kluczem publicznym banku, sÄ…
transmitowane do serwera banku.
wiadomość
z
ródłowa
funkcja funkcja
wiadomość skrót podpis
skrótu kodowania
z
ródłowa wiadomości elektroniczny
klucz prywatny nadawcy
funkcja
klucz publiczny odbiorcy
kodowania
przesyłka
NADAWCA WIADOMOÅšCI
zaszyfrowana
generowanie podpisu
KANAA

ELEKTRONICZNY
©Tomasz ZieliÅ„ski
W serwerze banku następuję weryfikacja prawdziwości podpisu.
qð CaÅ‚a wiadomość jest odszyfrowywana kluczem prywatnym banku
qð Na podstawie sformatowanych danych operacji generowany jest hash A.
qð Podpis cyfrowy jest odszyfrowany za pomocÄ… klucza publicznego użytkownika i otrzymana wartość to hash B.
qð JeÅ›li obie wartoÅ›ci hash sÄ… równe, to podpis jest prawidÅ‚owy, a operacja zostaje wykonana.
KANAA

ELEKTRONICZNY
ODBIORCA WIADOMOÅšCI
weryfikowanie podpisu
przesyłka
zaszyfrowana
©Tomasz ZieliÅ„ski
funkcja
klucz prywatny odbiorcy
dekodowania
funkcja skrót (1)
wiadomość
skrót (1) = skrót (2)
skrótu
wiadomości
z
ródłowa
TAK  podpis zgodny
NIE  podpis niezgodny
podpis funkcja skrót (2)
dekodowania
elektroniczny wiadomości
klucz publiczny nadawcy
qð Certyfikat udzielany kluczowi klienta zapewnia jego autentyczność, powoduje jego uwierzytelnienie.
qð Certyfikaty wydawane sÄ… przez zaufane UrzÄ™dy Certyfikacji (ang. Certification Authority - CA).
qð Algorytm haszujÄ…cy zapewnia, że wszelkie modyfikacje w danych transakcji zostanÄ… wykryte.
qð Zaszyfrowanie wartoÅ›ci hash uniemożliwa jednoczesne zmiany w danych transakcji i odpowiednie do tych
zmian podrobienie podpisu cyfrowego.
Podpis tradycyjny Podpis cyfrowy
·ð Przypisany jednej osobie
·ð Niemożliwy do podrobienia
·ð UniemożliwiajÄ…cy wyparcie siÄ™ go przez autora
·ð A
atwy do weryfikacji przez osobę niezależną
·ð A
atwy do wygenerowania
·ð ZwiÄ…zany nierozÅ‚Ä…cznie z
·ð Może być skÅ‚adowany i przesyÅ‚any
dokumentem
niezależnie od dokumentu
·ð Taki sam dla wszystkich dokumentów
·ð Jest funkcjÄ… dokumentu
·ð Stawiany na ostatniej stronie
·ð Obejmuje caÅ‚y dokument
dokumentu
KRYPTOGRAFICZNE KARTY ELEKTRONICZNE (SMARTCARD)
qð Kryptograficzne karty elektroniczne posiadajÄ… sprzÄ™towe wspomaganie podpisu cyfrowego i zapewniajÄ…
bezpieczne przechowywanie klucza prywatnego.
qð Najbardziej newralgicznym elementem systemu z podpisem cyfrowym jest tajność klucza prywatnego. Jego
wykradnięcie umożliwia podszywanie się pod innego użytkownika. Klucz zapisany w karcie nie wydostaje się
nigdy na jej zewnątrz, gdyż generowanie podpisu cyfrowego następuje wewnątrz mikroprocesora karty,
która ma zaszyte algorytmy kryptograficzne.
qð Dodatkowo każde użycie karty wymaga podania hasÅ‚a.
CERTYFIKACJA
Podstawowe problemy zwiÄ…zane ze stosowaniem infrastruktury klucza publiczno-prywatnego zwiÄ…zane sÄ… z:
qð koniecznoÅ›ciÄ… zorganizowania  katalogu , w którym mogÅ‚yby być przechowywane publiczne klucze
wszystkich użytkowników sieci (niemożliwym jest bowiem w praktyce, aby wszyscy użytkownicy
przechowywali te klucze na  własną rękę )
qð brakiem pewnoÅ›ci co do rzetelnoÅ›ci danych użytkownika legitymujÄ…cego siÄ™ danym kluczem publicznym (czy
na przykład bank czy sklep funkcjonujące w Internecie są faktycznie tymi, za co się podają)
Nad rozwiązaniem tych problemów czuwać może Urząd ds. Certyfikacji Depozytów (Certification Authority) będący
głównym ogniwem Infrastruktury Kluczy Publicznych (Public Key Infrastructure)
Jego zadaniem, jako  zaufanej strony trzeciej jest generowanie par kluczy dla każdego użytkownika i wystawianie
certyfikatów poświadczających, jakim kluczem publicznym należy się posługiwać przy weryfikacji podpisu
wykonanego przez wskazanÄ… osobÄ™. Dla funkcjonowania PKI istotnym staje siÄ™ prawne umocowanie instytucji
dokumentu elektronicznego i podpisu elektronicznego. W niektórych państwach podjęto prace legislacyjne nad
podpisem elektronicznym.
Bezpieczeństwo korzystania z PKI wynika z faktu, iż podpis elektroniczny powinien być weryfikowany przez użycie
powiązanego z kluczem prywatnym klucza publicznego nadawcy, do którego dołączony jest certyfikat wystawiony
przez zaufaną stronę trzecią (wystawcę certyfikatu). Certyfikat jest zaświadczeniem o przyznaniu publicznego klucza
podpisu osobie fizycznej, zawierającym także inne niezbędne informacje.
Czynności wystawcy certyfikatu są wykonywane na podstawie licencji uzyskanej od kompetentnych władz
administracyjnych. Na wystawcy certyfikatu spoczywa obowiÄ…zek jednoznacznego zidentyfikowania osoby
ubiegajÄ…cej siÄ™. Przyznanie publicznego klucza weryfikacji podpisu osobie zidentyfikowanej potwierdza siÄ™ przez
wydanie certyfikatu tego klucza.
Wystawca powinien podjąć środki uniemożliwiające falsyfikację danych zawartych w certyfikatach. Przede wszystkim
jednak musi zagwarantować tajność prywatnych kluczy podpisu. Nie mogą one być przechowywane u wystawcy
certyfikatów.
Certyfikat klucza podpisu powinien zawierać co najmniej:
qð nazwisko (nazwÄ™) wÅ‚aÅ›ciciela klucza podpisu,
qð przypisany publiczny klucz weryfikacji podpisu,
qð algorytm (tj. szyfr), z którym powinien być używany jawny klucz publiczny i klucz tajny przy wykonywaniu i
weryfikacji podpisu,
qð okreÅ›lenie zakresu stosowania klucza podpisu,
qð datÄ™ poczÄ…tkowÄ… i koÅ„cowÄ… ważnoÅ›ci certyfikatu,
qð numer certyfikatu,
qð nazwisko (nazwÄ™) wydajÄ…cego certyfikat,
qð algorytm, z którym jest stosowany publiczny klucz wydajÄ…cego certyfikat, bo podpis wystawcy musi także
podlegać weryfikacji.
http://www.centrast.pl/ncc/home.aspx
REJESTR KWALIFIKOWANYCH PODMIOTÓW ŚWIADCZ
CYCH USA
UGI CERTYFIKACYJNE (luty 2014)
Numer
Nazwa podmiotu Rodzaj świadczonych usług Czas dokonania wpisu
wpisu
ENIGMA SOI
11. Wydawanie kwalifikowanych certyfikatów 04 kwietnia 2011 r.,godz. 15:30:00
Spółka z ograniczoną odpowiedzialnością
ENIGMA SOI Poświadczanie ważności certyfikatów 04 kwietnia 2011 r., godz. 15:30:00
12.
Spółka z ograniczoną odpowiedzialnością Znakowanie czasem 04 kwietnia 2011 r.,godz. 15:30:00
EUROCERT
13. Wydawanie kwalifikowanych certyfikatów 30 grudnia 2013 r., godz. 15:30:00
Spółka z ograniczoną odpowiedzialnością
6. KRAJOWA IZBA ROZLICZENIOWA Wydawanie kwalifikowanych certyfikatów 21 marca 2003 r., godz. 13:00:00
Spółka Akcyjna Znakowanie czasem 13 września 2005 r., godz. 1:16:00
MOBICERT
8. Wydawanie kwalifikowanych certyfikatów 21 września 2009 r.,godz. 11:30:00
Spółka z ograniczoną odpowiedzialnością
POLSKA WYTWÓRNIA PAPIERÓW
3. WARTOŚCIOWYCH Wydawanie kwalifikowanych certyfikatów 14 lutego 2003 r.,godz. 15:00:00
Spółka Akcyjna
POLSKA WYTWÓRNIA PAPIERÓW
5. WARTOÅšCIOWYCH Znakowanie czasem 14 marca 2003 r.,godz. 15:00:00
Spółka Akcyjna
SAFE TECHNOLOGIES
9. Wydawanie kwalifikowanych certyfikatów 21 września 2009 r.,godz. 11:30:00
Spółka Akcyjna
SAFE TECHNOLOGIES Poświadczanie ważności certyfikatów 21 września 2009 r.,godz. 11:30:00
10.
Spółka Akcyjna Znakowanie czasem 21 września 2009 r.,godz. 11:30:00
TP INTERNET
4. Wydawanie kwalifikowanych certyfikatów 14 lutego 2003 r.,godz. 15:30:00
Spółka z ograniczoną odpowiedzialnością
TP INTERNET
7. Znakowanie czasem 17 sierpnia 2004 r.,godz. 13:30:00
Spółka z ograniczoną odpowiedzialnością
UNIZETO TECHNOLOGIES Wydawanie kwalifikowanych certyfikatów 31 grudnia 2002 r.,godz. 12:00:00
1.
Spółka Akcyjna Wydawanie kwalifikowanych certyfikatów atrybutów 13 września 2007 r.,godz. 10:00:00
Znakowanie czasem 24 stycznia 2003 r., godz. 12:00:00
Weryfikowanie statusu certyfikatów w trybie on-line 17 paz
dziernika 2006 r., godz. 12:00:00
UNIZETO TECHNOLOGIES Walidacja danych 17 paz
dziernika 2006 r., godz. 12:00:00
2.
Spółka Akcyjna Poświadczenie odbioru i przedłożenia 17 paz
dziernika 2006 r.,godz. 12:00:00
Poświadczenie depozytowe 5 stycznia 2007 r.,godz. 10:00:00
Poświadczenie rejestrowe i repozytoryjne 5 stycznia 2007 r.,godz. 10:00:00
Ad. ÅšRODKI KONTROLI DOST
PU
Metoda
Zalety Wady
uwierzytelniania
A
atwość implementacji Brak możliwości udowodnienia prawa
Co użytkownik zna
Wygoda użytkownika własności
Brak możliwości udowodnienia prawa
Wysokie koszty techniczne
Co użytkownik ma własności
Trudności podrobienia kart
Awarie kart
Duża efektywność wynikająca z cech
Bardzo wysokie koszty urządzeń
Kim użytkownik jest człowieka
rozpoznajÄ…cych
Wygoda użytkowania
y
ródło: D. Wawrzyniak: Bezpieczeństwo bankowości elektronicznej [w] Praca zbiorowa pod red. A. Gospodarowicza:
Bankowość elektroniczna, Warszawa 2005
qð HasÅ‚a dostÄ™pu - Wygenerowanie odpowiedniego hasÅ‚a winno być oparte na dobraniu stosownej dÅ‚ugoÅ›ci
znaków oraz liczebności grup znaków. Natomiast właściwe stosowanie hasła wyraża się w okresowych
systematycznych jego zmianach i jego nieujawnianiu. Wyróżnia się uwierzytelnianie słabe, cechujące się
następującymi atrybutami: niezmienne w czasie, o przeciętnej długości 6-10 znaków, łatwością
zapamiętania. Nieco lepsze jest uwierzytelnianie silne oparte na hasłach jednorazowych, typu wyzwanie 
odpowiedz
. Instrumentami tego typu uwierzytelniania są tokeny i karty haseł jednorazowych.
qð Systemy biometryczne - polegajÄ… one na zautomatyzowanej weryfikacji poprzez rozpoznanie cech
człowieka. Istotą działania metod biometrycznych jest analiza cech fizycznych i behawioralnych. Wśród cech
fizycznych człowieka badanych w metodach biometrycznych znajdują się tęczówka oka, siatkówka, linie
papilarne, układ naczyń krwionośnych na dłoni lub przegubie ręki, kształt dłoni, kształt ucha, twarz, rozkład
temperatury na twarzy, kształt i rozmieszczenie zębów, kod DNA.
qð Åšrodki fizyczne, nie bÄ™dÄ…ce elementami systemu informatycznego banku. Grupa tego rodzaju zabezpieczeÅ„
składa się z sejfów, alarmów, urządzeń przeciwwłamaniowych, zamków kodowych, urządzeń
klimatyzacyjnych, rozwiązań architektonicznych, urządzeń ochrony przeciwpożarowej, pomieszczeń
specjalnie przygotowanych do działania komputerów oraz strażników.
qð Åšrodki techniczne stanowiÄ… rozwiÄ…zania sprzÄ™towe zwiÄ…zane z informatykÄ… i wykorzystujÄ…ce technologie
informatyczne, oddziałując bezpośredni sposób na bezpieczeństwo - karty magnetyczne i mikroprocesorowe,
urządzenia biometryczne, serwery Proxy, urządzenia podtrzymujące zasilanie, sprzętowe blokady dostępu do
klawiatur, dysków, urządzenia chroniące przed emisją ujawniającą, dublowanie okablowania, centrów
obliczeniowych i baz danych.
qð Technologie Å›rodków programowych oparte sÄ… na wykorzystaniu oprogramowania systemowego bÄ…dz

aplikacyjnego - dzienniki systemowe, programy śledzące, mechanizmy rozliczania, programy antywirusowe,
antyspamowe, antyszpiegowskie, zapory ogniowe, zapory sieciowe, programy do wykrywania słabych haseł,
kody korekcyjne.
qð Legalność oprogramowania i posiadane certyfikaty.
Metody zabezpieczeń w bankowości elektroniczne mają różne znaczenie w zależności od rodzaju dostępu do
rachunku
Poziom bezpieczeństwa
Rodzaj dostępu
słaby niewystarczający wystarczający wzorowy
Szyfrowanie
Szyfrowanie Szyfrowanie
Szyfrowanie Proste i silne
Proste i silne Proste i silne
Aktywny Proste uwierzytelnianie
uwierzytelnianie uwierzytelnianie
uwierzytelnianie (brak zastrzeżeń)
(nieidealne) (brak zastrzeżeń)
Podpis cyfrowy
Szyfrowanie Szyfrowanie Szyfrowanie
Proste proste Proste Proste i silne
Półaktywny
uwierzytelnianie uwierzytelnianie uwierzytelnianie uwierzytelnianie
(nieidealne) (brak zastrzeżeń) (brak zastrzeżeń)
Szyfrowanie
Szyfrowanie
Brak Proste Proste i silne
Pasywny Proste
zabezpieczeń uwierzytelnianie uwierzytelnianie
uwierzytelnianie
(brak zastrzeżeń)
y
ródło: J. Grzywacz: Bankowość elektroniczna w działalności przedsiębiorstwa, Szkoła Główna Handlowa, Warszawa
2004