Σάββατο, 26 Μαΐου 2007

e-Banking και ασφάλεια ηλεκτρονικών τραπεζικών συναλλαγών

Εκτός από τις αγορές στο Internet μέσω πιστωτικών καρτών, η χρήση ηλεκτρονικών τραπεζικών υπηρεσιών, ή αλλιώς e-Banking, μπορούν να κάνουν την ζωή πολύ εύκολη, ειδικά όταν πρόκειται για τυπικές πληρωμές τηλεφωνικών λογαριασμών, ασφαλιστικών εισφορών, κτλ. Πόσο ασφαλείς είναι όμως οι υπηρεσίες e-Banking και πόσο διαφέρουν από την χρήση πιστωτικών καρτών στο Internet;

1. Ηλεκτρονικές συναλλαγές μέσω e-Banking

Στην περίπτωση του e-Banking τα πράγματα είναι κάπως πιο περίπλοκα στο θέμα της εταιρικής/τραπεζικής ευθύνης, αλλά εδώ υπάρχει σαφώς αυστηρότερος έλεγχος από την ίδια την τράπεζα σε ότι αφορά το επίπεδο ασφάλειας των συναλλαγών, σε σχέση με την αντίστοιχη ηλεκτρονική χρήση των πιστωτικών καρτών. Πρακτικά, η τράπεζα επιβάλλει μια σειρά πρόσθετων μηχανισμών ασφαλείας που δεν υπάρχουν στην περίπτωση των πιστωτικών καρτών, πράγμα που κάνει το σύστημα ουσιαστικά απαραβίαστο αν η χρήση των μηχανισμών αυτών είναι σωστή από την πλευρά του πελάτη (π.χ. χρήση λίστας κωδικών TAN, Transaction Authorization Numbers – Αριθμοί Εξουσιοδότησης Συναλλαγής).

Παρόλα αυτά, αν ο πελάτης κατά λάθος καταστεί θύμα απάτης από websites παραποίησης ταυτότητας, δηλαδή δώσει τα στοιχεία του σε κόμβο που προσποιείται ότι είναι αυτός της τράπεζας, η ίδια η τράπεζα λέει ότι εφόσον έχει ενημερώσει σχετικά τον πελάτη της και αυτός έκανε κάτι εκτός του δικού της δικτύου, δεν φέρει καμία απολύτως ευθύνη (εδώ δεν ισχύει η αρχή της απόδειξης της μη-εντιμότητας όπως για τις πιστωτικές κάρτες). Μάλιστα, στους όρους χρήσης της λίστας κωδικών ΤΑΝ γνωστής τράπεζας αναφέρεται ρητά ότι:

"...Κανένας άλλος δεν πρέπει να γνωρίζει τους αριθμούς ΤΑΝ. Η τράπεζα δεν φέρει καμία ευθύνη, για συναλλαγές που έγιναν από άλλο πρόσωπο, παρά τη θέλησή σας, σε περίπτωση απώλειας ή διαρροής αριθμών ΤΑΝ..."

Με άλλα λόγια, η τράπεζα καλύπτει το δικό της μερίδιο της ευθύνης με την προσφορά αυτού του πρόσθετου (υποχρεωτικού) μέτρου ασφάλειας, αλλά έγκειται στον ίδιο τον χρήστη να διαφυλάξει την σωστή εφαρμογή του.

Θα πρέπει πάντως να σημειωθεί πως σήμερα το επίπεδο κατάρτισης του προσωπικού των τραπεζών και, αντίστοιχα, της ενημέρωσης των πελατών τους σχετικά με την διάθεση και χρήση των νέων συσκευών παραγωγής κωδικών ΤΑΝ μιας χρήσης, είναι τουλάχιστον τραγική. Για παράδειγμα, η προμήθεια των αντίστοιχων συσκευών ΤΑΝ χρεώνεται στον πελάτη ως πρόσθετη προαιρετική υπηρεσία (όπως δηλαδή οι πιστωτικές κάρτες), χωρίς όμως να παρέχεται μαζί αναλυτικό ούτε εγχειρίδιο οδηγιών, ούτε οι αναλυτικές τεχνικές προδιαγραφές, ούτε καν οι αναλυτικοί όροι χρήσης όπου καθορίζονται τα όρια ευθύνης του κάθε μέρους (της τράπεζας και του πελάτη). Αυτό ίσως να οφείλεται στο γεγονός ότι η διάδοση και η χρήση παρόμοιων διαδικασιών στις ηλεκτρονικές συναλλαγές είναι ακόμη πολύ πρώιμη στην Ελλάδα, με αποτέλεσμα το αντίστοιχο ενδιαφέρον να είναι περιορισμένο, τόσο από την μεριά των πελατών, που συνήθως δεν επιδιώκουν περαιτέρω ενημέρωση, όσο και από την ίδια την τράπεζα, που δεν θέλει να επωμιστεί το βάρος και το κόστος της "εκπαίδευσης" των πελατών σε αυτά τα νέα συστήματα.

2. Κωδικοί ΤΑΝ – Χρησιμότητα και τρόπος λειτουργίας

Εδώ θα πρέπει να αναφερθούν μερικά πράγματα σχετικά με τον λόγο για τον οποίο οι κωδικοί ΤΑΝ είναι πλέον απαραίτητοι σε κάθε συναλλαγή e-Banking. Αντίθετα με τις πιστωτικές κάρτες, στο e-Banking η κάθε τράπεζα έχει τον απόλυτο έλεγχο της πολιτικής και των μηχανισμών ασφάλειας που επιθυμεί να εφαρμόσει. Έτσι, μπορεί να επιβάλλει την εξουσιοδότηση κάθε εγχρήματης συναλλαγής ξεχωριστά με ειδικό κωδικό μιας χρήσης. Αυτό στην πράξη γίνεται με την χορήγηση λίστας πρόσθετων κωδικών εξουσιοδότησης στους πελάτες του e-Banking, κάτι σαν password μιας χρήσης προσωπικά σε κάθε πιστοποιημένο πελάτη της (http://en.wikipedia.org/wiki/Transaction_authentication_number).

Το πλεονέκτημα των κωδικών ΤΑΝ είναι ότι, εν γένει, πρόκειται για κωδικούς οι οποίοι δεν αποθηκεύονται πουθενά στο σύστημα του χρήστη-πελάτη αλλά αντίθετα βρίσκονται σε τυπωμένη μορφή, άρα είναι αδύνατο να υποκλαπούν ηλεκτρονικά από το σύστημά του. Αντίστοιχα, στο σύστημα e-Banking της τράπεζας όπου τηρούνται αντίγραφα των κωδικών αυτών για αντιπαραβολή, υπάρχουν τα κατάλληλα μέτρα εξασφάλισης της εμπιστευτικότητας σε πολύ υψηλό επίπεδο, ώστε αντίστοιχα η κλοπή τους, φυσική ή ηλεκτρονική, να είναι ουσιαστικά ανέφικτη. Κατά συνέπεια, ακόμα και αν ο κύριος κωδικός (username/password) του χρήστη-πελάτη παραβιαστεί και κάποιος τρίτος αποκτήσει πρόσβαση στον λογαριασμό e-Banking, δεν μπορεί να κάνει καμία εγχρήματη συναλλαγή αφού δεν διαθέτει αντίστοιχους έγκυρους κωδικούς ΤΑΝ.

3. Τρόπος λειτουργίας των κωδικών TAN και MAC

Η λογική της λειτουργίας των κωδικών ΤΑΝ βασίζονται στην ιδέα της κρυπτογράφησης μέσω κωδικοβιβλίων (codebooks) μιας χρήσης ή αλλιώς συστημάτων one-time-pads, τα οποία είναι τα μόνα μοντέλα κρυπτογράφησης των οποίων το απαραβίαστο εξασφαλίζεται 100% και αποδεικνύεται θεωρητικά. Γι’ αυτό άλλωστε χρησιμοποιούνται ακόμη και σήμερα σε μερικούς τύπους στρατιωτικών επικοινωνιών (συστήματα χαμηλού ρυθμού μετάδοσης).

Στην περίπτωση των κωδικών ΤΑΝ, τα κωδικοβιβλία δεν χρησιμοποιούνται για κρυπτογράφηση αλλά απλώς για την χορήγηση κωδικών "γνησιότητας". Αυτή η μορφή αναφέρεται συχνά ως Κωδικός Αυθεντικοποίησης Μηνύματος (MACMessage Authentication Code), ο οποίος συνοδεύει κάθε μήνυμα και χρησιμοποιείται για την διάκριση των γνήσιων από τα πλαστά μηνύματα. Για να εξασφαλιστεί η κρυπτασφάλεια των "γνήσιων" κωδικών, υπάρχει μια κοινή λίστα μυστικών κωδικών στα δύο άκρα της επικοινωνίας, δηλαδή ένα κωδικοβιβλίο με κωδικούς μιας χρήσης, τους οποίους χρησιμοποιούν και διασταυρώνουν για τον έλεγχο κάθε μηνύματος.

Εντούτοις, το βασικό πρόβλημα είναι η μεταφορά και αποθήκευση των αντίστοιχων κωδικοβιβλίων με ασφαλή τρόπο και στα δύο μέρη που επικοινωνούν. Στους κωδικούς ΤΑΝ αυτό εξασφαλίζεται από την ίδια την τράπεζα, απαιτώντας την προσωπική ταυτοποίηση και παράδοση της λίστας ΤΑΝ στον ίδιο τον πελάτη αυτοπροσώπως, και μάλιστα σε μορφή εν γένει μη-αποθηκεύσιμη στον Η/Υ του. Όμως η διαδικασία έκδοσης και προσωπικής παραλαβής της λίστας ΤΑΝ είναι συχνά χρονοβόρα και δυσχερής, μια και ακυρώνει μέρος της ίδιας της έννοιας του e-Banking.

Για την εξασφάλιση της κρυπτασφάλειας του συστήματος των MAC και ταυτόχρονα την άμεση συσχέτισή τους με το ίδιο το περιεχόμενο του μηνύματος, συχνά εφαρμόζονται δύο πρόσθετα στάδια επεξεργασίας και ένα μοναδικό μυστικό κλειδί, έτσι ώστε να μην χρειάζεται η χρήση ειδικού κωδικοβιβλίου όπως προβλέπει το αρχικό μοντέλο των one-time-pads. Συγκεκριμένα, το περιεχόμενο του μηνύματος περνά μέσα από μια διαδικασία επεξεργασίας που ονομάζεται Συνάρτηση Κατακερματισμού "Μη Αντιστρέψιμη" ή "Μιας Κατεύθυνσης" (One-Way Hashing Function). Η διαδικασία αυτή αντιστοιχεί το σύνολο των δεδομένων του μηνύματος σε έναν μοναδικό κωδικό αναγνώρισης συγκεκριμένου μεγέθους (π.χ. 128 ή 256 bits), από τον οποίο δεν μπορεί να εξαχθεί το περιεχόμενο του αρχικού μηνύματος με κανέναν τρόπο λόγω των μαθηματικών ιδιοτήτων της συγκεκριμένης συνάρτησης. Επιπλέον, είναι σχεδόν αδύνατο η συνάρτηση αυτή να δημιουργήσει τον ίδιο κωδικό αναγνώρισης για δύο διαφορετικά μηνύματα.

Στη συνέχεια, ο κωδικός αυτός κρυπτογραφείται με το μοναδικό μυστικό κλειδί κρυπτογράφησης πριν μεταδοθεί στο κανάλι μετάδοσης. Η διαδικασία ονομάζεται Keyed-HMAC (Hashed Message Authentication Code with Key) και ουσιαστικά κάνει περιττή την χρήση ειδικών κωδικοβιβλίων τύπου one-time-pad για αυτό το σκοπό, διατηρώντας εξαιρετικά μικρή θεωρητικά (αλλά όχι αδύνατη πλέον, όπως στο one-time-pad) την πιθανότητα παραβίασης της κρυπτασφάλειας του συστήματος.

Με το σύστημα των keyed-HMAC εξασφαλίζεται ότι (α) κανένας δεν μπορεί να "πειράξει" το αρχικό μήνυμα χωρίς να "ακυρώσει" το συγκεκριμένο κωδικό αυθεντικοποίησης του μηνύματος και (β) ότι κανένας άλλος δεν μπορεί να παράγει γνήσιους κωδικούς αυθεντικοποίησης εφόσον δεν διαθέτει το αντίστοιχο μυστικό κλειδί. Στην πράξη, το μοντέλο αυτό εφαρμόζεται στις επικοινωνίες σαν ένας εύκολη και γρήγορη εναλλακτική λύση έναντι της εφαρμογής των πιο πολύπλοκων και εξειδικευμένων μοντέλων ψηφιακών υπογραφών (digital signatures).

4. Συσκευές δημιουργίας κωδικών ΤΑΝ

Σε αναλογία με την εφαρμογή των keyed-HMAC για την αντικατάσταση των κωδικοβιβλίων, υπάρχουν τρόποι να αντικατασταθεί η εκτυπωμένη λίστα ΤΑΝ με αντίστοιχη συσκευή παραγωγής μεμονωμένων κωδικών από τον ίδιο τον πελάτη, πάντα απομονωμένη από τον Η/Υ τον οποίο χρησιμοποιεί για την πρόσβαση στο σύστημα e-Banking, και φυσικά σε συσχέτιση με αντίστοιχο μηχανισμό διασταύρωσής τους από το σύστημα της τράπεζας. Πρακτικά αυτό υλοποιείται με ένα συνδυασμό τριών πραγμάτων:

  1. Μια γεννήτρια ψευδοτυχαίων αριθμών (PRNG)
  2. Ένα κύκλωμα χρονισμού υψηλής ακρίβειας (CLOCK)
  3. Ένα μυστικό ηλεκτρονικό κλειδί της τράπεζας (KEY)

Ο ακριβής τρόπος λειτουργίας είναι αρκετά πολύπλοκος για να εξηγηθεί πλήρως σε κάποιον μη-ειδικό, αλλά η βασική διαδικασία είναι η εξής:

Η γεννήτρια PRNG χρειάζεται έναν αρχικό κωδικό για να ξεκινήσει και στην συνέχεια μπορεί να παράγει αριθμούς οι οποίοι είναι "επαρκώς τυχαίοι" ώστε να μην είναι προβλέψιμοι με κανέναν τρόπο αν κάποιος δεν γνωρίζει τον κωδικό αρχικοποίησης. Αυτό είναι αρμοδιότητα της τράπεζας, δηλαδή να αρχικοποιεί τις συσκευές αυτές έτσι ώστε να μπορεί να "αναπαράγει" μόνο η ίδια την ακολουθία των αριθμών αυτών.

Επιπλέον, το κύκλωμα CLOCK μπορεί να χρησιμοποιηθεί για να αρχικοποιεί και πάλι την συσκευή σε τακτά χρονικά διαστήματα, τα οποία επίσης γνωρίζει η τράπεζα χωρίς να χρειάζεται περαιτέρω επικοινωνία ή σύνδεση με την συσκευή του πελάτη. Αυτό γιατί αρκεί απλά το CLOCK ή "ρολόι" της συσκευής ΤΑΝ να είναι συγχρονισμένο με αυτό του συστήματος της τράπεζας. Για το λόγο αυτό το κύκλωμα CLOCK της κάθε συσκευής ΤΑΝ πρέπει να είναι υψηλής πιστότητας, με ελάχιστη απόκλιση (π.χ. 60 δευτερόλεπτα max) στη διάρκεια ζωής της συσκευής (π.χ. 3 χρόνια).

Με τους δύο παραπάνω μηχανισμούς, δηλαδή τον κωδικό αρχικοποίησης του κυκλώματος PRNG και το κύκλωμα CLOCK για την περιοδική επανα-αρχικοποίηση, η συσκευή ΤΑΝ μπορεί να παράγει πλέον "τυχαίους" κωδικούς ΤΑΝ, προβλέψιμους μόνο από το αντίστοιχο σύστημα της ίδιας της τράπεζας.

Όμως, η τράπεζα πρέπει σαν πρόσθετο μέτρο ασφάλειας να μπορεί να ελέγχει την γνησιότητα των κωδικών ΤΑΝ που εισάγει ο χρήστης-πελάτης της, για να αποκλειστεί η περίπτωση κάποιος να "ανακαλύψει" τις λεπτομέρειες σχεδίασης και αρχικοποίησης των κυκλωμάτων PRNG και CLOCK της συσκευής ΤΑΝ και να κατασκευάσει μια δική του, μη-πιστοποιημένη συσκευή για την παραγωγή ψευδών αλλά επαληθεύσιμων κωδικών. Για το λόγο αυτό, το αποτέλεσμα των PRNG/CLOCK συνδυάζεται με το τρίτο στοιχείο του μηχανισμού, δηλαδή ένα μυστικό κλειδί KEY, οποίο γνωρίζει μόνο η τράπεζα και το οποίο είναι αποθηκευμένο μέσα στη συσκευή ΤΑΝ, χωρίς να υπάρχει πρόσβαση σε αυτό από τον χρήστη-πελάτη.

Σε μερικές περιπτώσεις στην παραπάνω διαδικασία υπάρχει και μια δεύτερη φάση, η οποία περιλαμβάνει την παραγωγή ενός πρόσθετου μικρότερου κωδικού ελέγχου (CHECK) μετά από κάθε κωδικό ΤΑΝ. Αυτό γίνεται για να ενημερώσει τον χρήστη-πελάτη για την επιτυχημένη και έγκυρη ολοκλήρωση της συναλλαγής στο σύστημα e-Banking της τράπεζας. Με άλλα λόγια, ο πελάτης είναι αυτός που τώρα συγκρίνει τον κωδικό ελέγχου CHECK που επιστρέφει το σύστημα e-Banking της τράπεζας για να διαπιστώσει ότι όλα πήγαν καλά.

Τέλος, για την εξασφάλιση της ίδιας της συσκευής υπάρχει εσωτερικά φυσικός μηχανισμός "αυτοκαταστροφής" της συσκευής ΤΑΝ σε περίπτωση που παραβιαστεί με φυσικό τρόπο. Αν δηλαδή κάποιος επιχειρήσει να την ανοίξει για να "διαβάσει" τα αντίστοιχα ηλεκτρονικά κυκλώματα, οι σημαντικές πληροφορίες (π.χ. ΚΕΥ) διαγράφονται αυτόματα και μόνιμα από την συσκευή ΤΑΝ, ώστε η ανάκτησή τους να είναι αδύνατη. Επιπλέον, ως μέρος των παραπάνω μηχανισμών, η τράπεζα αναγνωρίζει κάθε μεμονωμένη συσκευή ΤΑΝ με έναν μοναδικό σειριακό αριθμό, που βρίσκεται στο πίσω μέρος της, και που "δεσμεύει" τη συγκεκριμένη συσκευή με τον λογαριασμό του αντίστοιχου πελάτη-χρήστη.

5. Πρακτική χρήση και περιορισμοί κωδικών ΤΑΝ

Σήμερα, οι συσκευές ΤΑΝ που διατίθενται από τις ελληνικές τράπεζες ενσωματώνουν τους παραπάνω βασικούς μηχανισμούς με κατάλληλο τρόπο, όχι πάντα ταυτόσημο. Για παράδειγμα, σε κάποιες περιπτώσεις οι συσκευές ΤΑΝ παράγουν κωδικούς μιας χρήσης μόνο μετά από αίτημα του χρήστη (πάτημα ενός ενσωματωμένου πλήκτρου), ενώ άλλες παράγουν συνεχώς κωδικούς οι οποίοι ανανεώνονται αυτόματα κάθε 60 δευτερόλεπτα, είτε χρησιμοποιούνται είτε όχι. Γενικά δεν υπάρχει διαφορά στο επίπεδο ασφάλειας που προσφέρουν, όμως οι ίδιες οι συσκευές ΤΑΝ έχουν ένα συγκεκριμένο χρονικό διάστημα (ή αντίστοιχα πλήθος παραγόμενων κωδικών) "ασφαλούς χρήσης", πέρα από το οποίο η "τυχαιότητά" τους δεν θεωρείται πλέον εξασφαλισμένη. Συνήθως το διάστημα αυτό είναι 3 χρόνια ή 2 εκατομμύρια κωδικοί ΤΑΝ. Σε αυτή την περίπτωση, η συσκευή είτε αντικαθίσταται με νέα είτε αρχικοποιείται και πάλι από την τράπεζα με νέους κωδικούς και είναι έτοιμη για χρήση για άλλο τόσο διάστημα, δηλαδή σαν να ήταν καινούργια.

6. Πραγματικά περιστατικά – Η κατάσταση στην Ελλάδα

e-Banking: Πριν μερικές μόλις μέρες επισκέφθηκα τα υποκαταστήματα δύο μεγάλων τραπεζών που προσφέρουν υποτίθεται τα πιο σύγχρονα συστήματα e-Banking στην Ελλάδα. Στη μία τράπεζα επιβάλλεται η χρήση λίστας κωδικών ΤΑΝ (μιας χρήσης) σε κάθε εγχρήματη συναλλαγή, στην άλλη υπάρχει κάτι αντίστοιχο μόνο για μεγάλα ποσά. Αποφάσισα να προμηθευτώ και από τις δύο από μια αντίστοιχη συσκευή παραγωγής κωδικών ΤΑΝ, μια υπηρεσία που από ότι ξέρω προσφέρουν εδώ και μερικούς μήνες. Τις συσκευές τις πήρα μεν, αλλά η όλη διαδικασία πήρε σχεδόν 2 ώρες συνολικά γιατί κανένας δεν ήξερε ακριβώς πως γίνεται, δηλαδή πως ακριβώς συνδέονται με τον λογαριασμό του πελάτη, έτσι χρειάστηκαν ατελείωτα τηλέφωνα στον γνωστό του γνωστού του υπαλλήλου, εκείνου που ήξερε κάτι παραπάνω και το είχε κάνει ίσως άλλη μια φορά. Όχι βιβλίο οδηγιών δεν υπήρχε, αλλά ούτε καν συγκεκριμένη επίσημη και πιστοποιημένη διαδικασία, σε καμία από τις δύο τράπεζες (στη μία μου ζήτησαν μόνο την κάρτα του λογαριασμού, χωρίς καν ταυτότητα). Φυσικά δεν τόλμησα να ρωτήσω γιατί άραγε η κάθε συσκευή έχει ημερομηνία λήξης σε τρία χρόνια, ακόμα και αν δεν χρησιμοποιείται, γιατί πιθανόν να μου έλεγαν ότι διατηρείται καλύτερα εντός ψυγείου...

7. Αντί επιλόγου

Είναι φανερό ότι η τεχνολογία για την πλήρη εξασφάλιση των συναλλαγών μέσω e-Banking υπάρχει. Τα σημερινά συστήματα κρυπτασφάλισης είναι τόσο ασφαλή και ταυτόχρονα τόσο προσιτά στην καθημερινή χρήση τους, ώστε λίγοι συνειδητοποιούν τι ακριβώς συμβαίνει όταν κάποιος χρησιμοποιεί μια τραπεζική κάρτα σε ένα μηχάνημα αυτόματης ανάληψης χρημάτων (ΑΤΜ). Εντούτοις, υπάρχει σοβαρή έλλειψη τεχνογνωσίας και (κυρίως) εκπαίδευσης του αρμόδιου προσωπικού των τραπεζικών οργανισμών στα αντίστοιχα θέματα, με αποτέλεσμα η όλη διαδικασία να γίνεται εξαιρετικά δύσκολη και δυσνόητη για τους ενδιαφερόμενους πελάτες, οι οποία κατά κανόνα είναι λιγότερο ειδικοί επί των θεμάτων ασφαλούς χρήσης των υπηρεσιών e-Banking.

Προτού λοιπόν οι αρμόδιοι φορείς ασχολούνται με την εξαγγελία Νέων Τεχνολογιών, για την Κοινωνία της Πληροφορίας και για εντυπωσιακούς όρους όπως e-Government, καλό είναι να εστιάσουν την προσοχή τους στα πραγματικά προβλήματα και την καθημερινότητα των τεχνολογιών αυτών, το πως δηλαδή θα γίνουν κτήμα όλων, από τον πρώτο μέχρι τον τελευταίο πολίτη.

Ασφάλεια στο Internet και ηλεκτρονικές συναλλαγές

Το ζήτημα της ασφάλειας στο Internet είναι ένα από τα πιο επίκαιρα και ταυτόχρονα αμφιλεγόμενα ζητήματα σήμερα, ειδικά σε χώρες που υστερούν σε σχετική εκπαίδευση και τεχνολογική ανάπτυξη όπως η Ελλάδα. Το πρόβλημα στην πραγματικότητα δεν είναι το ίδιο το Internet ή ο τρόπος λειτουργίας των ηλεκτρονικών τραπεζικών συναλλαγών, αλλά μάλλον η έλλειψη σωστής ενημέρωσης και πρακτικής.

Σε μια ηλεκτρονική συναλλαγή, υπάρχουν τρεις παράγοντες που συμμετέχουν στην διαδικασία και κατά συνέπεια αντίστοιχα τρία σημεία που χρειαζόμαστε εξασφάλιση:

  1. Κανάλι επικοινωνίας (Internet)
  2. Κόμβος-Η/Υ πελάτη
  3. Κόμβος-Η/Υ εταιρίας ή τράπεζας

1. Ασφάλεια στο κανάλι επικοινωνίας

Όταν αναφερόμαστε στο κανάλι επικοινωνίας συνήθως εννοούμε το Internet, δηλαδή ένα “ανοικτό” μη ελέγξιμο δίκτυο. Επειδή ακριβώς έχουμε να κάνουμε με ανοικτό δίκτυο, η μοναδική λύση είναι η κρυπτογράφηση με ισχυρούς αλγορίθμους, δηλαδή 3DES ή AES, τουλάχιστον 128-bit ή 256-bit (νέα SSL certificates). Άρα, ο καθημερινός χρήστης πρέπει να μάθει ότι αν δεν βλέπει το ακριβώς γράφει το αντίστοιχο "λουκετάκι" στον web browser και απλά δίνει ότι στοιχεία του ζητάνε on-line χωρίς δεύτερη σκέψη, είναι ουσιαστικά το ίδιο με το να βγει στο μπαλκόνι του σπιτιού του και να φωνάξει "...είμαι ο ΧΧΧ και έχω πιστωτική κάρτα με αριθμό ΥΥΥ...". Μπορεί να ακούγεται αστείο, αλλά τα πράγματα είναι ακριβώς τόσο απλά. Αυτό είναι συνήθως αρκετό για μια on-line αγορά από κάποιον που θα τύχει να τον ακούει, μια και ο συνδυασμός του αριθμού μιας (ενεργής) πιστωτικής κάρτας και του αντίστοιχου (νόμιμου) κατόχου της είναι τα κύρια στοιχεία που ζητάνε τα περισσότερα on-line καταστήματα.

2. Ασφάλεια στον κόμβο-Η/Υ του πελάτη

Σχετικά με τον κόμβο-Η/Υ του χρήστη-πελάτη, είναι επίσης πολύ σημαντικό ο καθημερινός χρήστης να μάθει ότι ο Η/Υ δεν είναι ένα κλειστό απαραβίαστο κουτί που "...δεν ξέρω τι έχει μέσα και πως δουλεύει..". Αν δεν χρησιμοποιούν όλοι συνειδητά και συστηματικά τα απαραίτητα εργαλεία (antivirus, anti-spyware, system updates, backups, ...), καλύτερα να μην τον χρησιμοποιούν για καμία σοβαρή δουλειά, γιατί κάποια στιγμή απλά θα πέσουν από τα σύννεφα όταν καταλάβουν πόσο εύκολο είναι να γίνει ανεπανόρθωτη ζημιά. Επίσης, το ίδιο πρέπει να κατανοήσουν για την φυσική ασφάλεια, ότι π.χ. δεν κάνουμε ποτέ χρηματικές συναλλαγές σε Internet cafe, γιατί απλά δεν έχουμε τον απόλυτο έλεγχο των παραπάνω προϋποθέσεων στον συγκεκριμένο Η/Υ.

3. Ασφάλεια στον κόμβο-Η/Υ της εταιρίας

Στον κόμβο-Η/Υ της εταιρίας υπάρχουν δύο σημαντικοί και διακριτοί παράγοντες που καθορίζουν το αντίστοιχο επίπεδο ασφάλειας και προστασίας των πελατών:

(α) η εταιρική εμπορική πολιτική, και

(β) το επίπεδο και η πολιτική ασφάλειας της συγκεκριμένη εταιρίας

Το (α) αναφέρεται κυρίως στον τρόπο διεκπεραίωσης των συναλλαγών και στον τρόπο διαχείρισης των στοιχείων των πελατών, ώστε να είναι καθ’ όλα νόμιμες και έγκυρες. Επίσης συμπεριλαμβάνονται και οι κανόνες χρήσης των πιστωτικών καρτών που θέτουν οι τράπεζες και που σχεδόν ποτέ δεν είναι οι ίδιοι από τράπεζα σε τράπεζα. Για παράδειγμα, όταν πριν μερικά χρόνια προσπάθησα να χρησιμοποιήσω μια Electron VISA σε ξενοδοχείο του εξωτερικού, παρά το ότι έδειξα κανονικά ταυτότητα, μου είπαν ότι προς το παρόν δεν δέχονταν το συγκεκριμένο είδος κάρτας. Δηλαδή, όχι μόνο δεν επιτρεπόταν να χρησιμοποιηθεί σε ηλεκτρονικές συναλλαγές, αλλά ούτε και εκτός Ελλάδας σε μερικές περιπτώσεις. Σήμερα, πολλές τράπεζες προσφέρουν πλέον δυνατότητα ηλεκτρονικής χρέωσης τέτοιων καρτών μέσω Internet, παρόλο που δεν φτιάχτηκαν για αυτό το λόγο, απλά και μόνο γιατί το σύστημα αποδείχτηκε σχετικά ασφαλές και η αντίστοιχη εμπειρία από άλλες κάρτες (VISA, MasterCard) ήταν επαρκής.

Πάντως, επειδή όλες οι κάρτες ανάληψης μετρητών (πρώην ATM) των τραπεζών είναι αυτόματα και Electron VISA (αυτόματη σύνδεση με λογαριασμό για αγορές αυτοπροσώπως σε καταστήματα), οι μοναδικές κάρτες που είναι ακόμη και σήμερα 100% Internet-compatible είναι η VISA (classic) και η MasterCard.

Για λόγους ασφαλείας, τα τελευταία χρόνια έχει προστεθεί η δυνατότητα χρήσης των επιπλέον τετραψήφιων κωδικών στο πίσω μέρος της κάρτας σαν πρόσθετο μέτρο ασφάλειας, αφού αυτά δεν τυπώνονται από τα αυτόματα μηχανήματα αποδείξεων στα καταστήματα (δεν είναι ανάγλυφα). Κατά συνέπεια, δεν μπορεί κάποιος να "αναπαραγάγει" μια τέτοια κάρτα διαβάζοντας απλά μια απόδειξη (π.χ. απώλεια φακέλου με απόδειξη αγοράς στο ταχυδρομείο). Όμως, αυτό δεν σημαίνει ότι ο αριθμός αυτός δεν αποθηκεύεται το ίδιο εύκολα με τα υπόλοιπα στοιχεία της κάρτας, κάθε φορά που ζητείται σε ηλεκτρονικές συναλλαγές (π.χ. PayPal). Συνεπώς, το πρόβλημα πιθανής υποκλοπής παραμένει στον κόμβο-Η/Υ της εταιρίας.

Σε ότι αφορά το (β), δηλαδή το “τεχνικό” επίπεδο ασφάλειας που εφαρμόζει η συγκεκριμένη εταιρία στο on-line κατάστημά της, το οποίο κατά τη γνώμη μου είναι το πιο σημαντικό, η εμπιστοσύνη στην συγκεκριμένη εταιρία και η εγγυήσεις ασφάλειας στον κόμβο της είναι αυτά που πρέπει να οδηγούν κάποιον στην τελική αποδοχή ή μη αποδοχή του "ρίσκου" της ηλεκτρονικής συναλλαγής με τη συγκεκριμένη εταιρία. Εφόσον δηλαδή τηρούνται όλα τα παραπάνω, τελικά ο χρήστης-πελάτης πρέπει να αποφασίσει ο ίδιος συνειδητά αν εμπιστεύεται το "άλλο άκρο" της συναλλαγής, που πιθανότατα βρίσκεται χιλιάδες χιλιόμετρα και πολλούς νόμους μακριά, όχι μόνο για την αποστολή-πίστωση χρημάτων αλλά (κυρίως) για την γνωστοποίηση και ασφαλής αποθήκευση των αντίστοιχων προσωπικών δεδομένων. Μάλιστα, θα πρέπει να γίνεται πάντα η υπόθεση ότι αποθηκεύονται ΟΛΑ τα στοιχεία της συναλλαγής, κάτι που πρακτικά σημαίνει ότι αν δεν εμπιστεύεται κάποιος π.χ. ότι το Amazon δεν μπορεί να προφυλάξει ΟΛΑ τα στοιχεία που ζητούνται (όνομα, διεύθυνση, αριθμοί κάρτας, ...), τότε δεν πρέπει να προχωρήσει στη συναλλαγή (ανεξάρτητα με το τι λέει το Amazon ότι αποθηκεύει στο αρχείο των πελατών του).

4. Η πολιτική των τραπεζών σχετικά με την χρήση πιστωτικών καρτών στο Internet

Σήμερα, οι τράπεζες έχουν αποφασίσει ότι οι ηλεκτρονικές συναλλαγές έχουν ουσιαστικά μηδενικά έξοδα για τις ίδιες και σχετικά χαμηλό ρίσκο "ζημιάς" λόγω κακής χρήσης ή κλοπής (τουλάχιστον όχι μεγαλύτερο από τις αντίστοιχες απάτες από κάρτες ανάληψης μετρητών). Έτσι, έχουν αποδεχτεί το ρίσκο και έχουν υποχρεωθεί και από το νόμο πλέον (ΣτΕ) να μην επιβαρύνουν τον πελάτη τους πάνω από 150 ευρώ σε περιπτώσεις κλοπής μέσω ηλεκτρονικής συναλλαγής, εφόσον δεν μπορούν οι ίδιες να αποδείξουν κακή πρόθεση ή καθυστερημένη ειδοποίησή τους, μια και το ηλεκτρονικό σύστημα της τελικής χρέωσης-πίστωσης (intranet) είναι αποκλειστικά δική τους ευθύνη. Αυτό ισχύει σίγουρα για κάρτες τύπου VISA και MasterCard στην Ελλάδα, ίσως και σε μερικές άλλες κάρτες ή με ακόμα μικρότερο ποσό "ευθύνης" του πελάτη ανάλογα με την τράπεζα, με την προϋπόθεση ότι ο πελάτης παρακολουθεί (και) ο ίδιος την κάρτα και ειδοποιεί εντός 48 ωρών για οποιαδήποτε εσφαλμένη χρέωση (οπότε και παύει η περαιτέρω δική του ευθύνη).

Εδώ θα πρέπει να σημειωθεί ότι το σύνολο σχεδόν των διαπιστωμένων περιπτώσεων "κλοπής" ηλεκτρονικών στοιχείων καρτών συμβαίνει ακριβώς στον κόμβο-Η/Υ της εταιρίας, όχι στον κόμβο-Η/Υ του πελάτη ούτε στο κανάλι επικοινωνίας. Για το λόγο αυτό, άλλωστε, μετά τα πρόσφατα σκάνδαλα με τις εταιρίες Amazon, Virgin, Citibank, η αμερικανική κυβέρνηση έθεσε πλέον πολύ αυστηρούς όρους ελέγχου της ασφάλειας των ηλεκτρονικών υπηρεσιών τους (γιατί χαμένα έξοδα για αυτές σημαίνει χαμένους φόρους για το κράτος). Η χρήση τρίτων "έμπιστων" εταιριών στα πρότυπα του PayPal περιορίζει κάπως το πρόβλημα της συναλλαγής με μη-έμπιστες εταιρίες, αλλά ταυτόχρονα "συγκεκριμενοποιεί" περισσότερο τους πιθανούς στόχους των επίδοξων crackers.

Πάντως, το PayPal τα τελευταία χρόνια έχει δημοσιεύσει 2-3 περιπτώσεις πολύ σοβαρών επιθέσεων τις οποίες ξεπέρασε σχετικά "αλώβητο", με αποτέλεσμα σήμερα να θεωρείται ένας από τους πιο ασφαλείς τρόπους συναλλαγών στο Internet.

5. Πραγματικά περιστατικά – Η κατάσταση στην Ελλάδα

Πιστωτικές κάρτες: Πριν από αρκετό καιρό θέλησα να πάω αυτοπροσώπως να ξεχρεώσω μια πιστωτική κάρτα VISA σε υποκατάστημα μιας ελληνικής τράπεζας. Όταν στον γκισέ ζήτησα να μάθω το υπόλοιπο για να το εξοφλήσω, η υπάλληλος μου είπε σοβαρά ότι δεν έχει εξουσιοδότηση να δει τα στοιχεία του λογαριασμού της πιστωτικής μου, παρά μόνο να βάλει χρήματα σε αυτή "στα τυφλά". Μου είπε ότι μπορώ να μιλήσω ο ίδιος τηλεφωνικά με τα κεντρικά εκεί επιτόπου και να ρωτήσω το ακριβές υπόλοιπο, για να της το πω. Έτσι, βρέθηκα να λέω προφορικά, δίπλα σε άλλους 10 ανθρώπους που περίμεναν δίπλα μου, όλα τα στοιχεία της κάρτας μου, της ταυτότητας, κτλ. Φυσικά όταν έκλεισα το τηλέφωνο είπα στην υπάλληλο να δώσει συγχαρητήρια σε αυτόν που σκέφτηκε την συγκεκριμένη επίσημη διαδικασία της τράπεζας για την ασφαλή "πιστοποίηση" του πελάτη σε ανάλογες περιπτώσεις.

6. Αντί επιλόγου

Δεν κατηγορώ ούτε τους συγκεκριμένους υπαλλήλους, ούτε τα κανάλια που συνεχώς αναφέρουν περιστατικά "κλοπής μέσω Internet", ούτε τους μη-ειδικούς πολίτες που είναι ακόμα πολύ επιφυλακτικοί σε ότι αφορά τα θέματα των ηλεκτρονικών συναλλαγών. Το πραγματικό πρόβλημα είναι το εξαιρετικά χαμηλό επίπεδο ενημέρωσης και εκπαίδευσης σε αυτά τα θέματα, τα οποία καλώς ή κακώς αποτελούν πλέον μέρος της καθημερινότητας. Ακόμη και σήμερα, δεκαετίες μετά την εμφάνιση των προσωπικών καρτών ανάληψης μετρητών (ΑΤΜ), οι περισσότεροι άνθρωποι πάνω 50 ετών ακόμη συνηθίζουν να έχουν μέσα στο πορτοφόλι τους, δίπλα ή πάνω στην κάρτα, τον αριθμό PIN.

Νομίζω ότι το θέμα της ηλεκτρονικής ασφάλειας, ως αγαθό προστασίας των προσωπικών πόρων (χρημάτων, δεδομένων, ευποληψίας, κτλ), είναι κατ’ εξοχήν αρμοδιότητα των επιστημόνων και των επαγγελματιών της Πληροφορικής, με το οποίο θα πρέπει όλοι να ασχοληθούμε πολύ σοβαρά και να γίνει ένας από τους πρωταρχικούς στόχους μας.

Καλώς Ήλθατε

Το ιστολόγιο αυτό αφορά σε θέματα γενικού ενδιαφέροντος σχετικά με την Επιστήμη και τις νέες τεχνολογίες, την Πληροφορική, την ακαδημαϊκή έρευνα και την εκπαίδευση σε αυτά. Είναι ένας χώρος δημοσίευσης άρθρων και σχολιασμού σχετικά με ειδικά θέματα για ακαδημαϊκούς, εκπαιδευτικούς και επαγγελματίες του χώρου.

Τα άρθρα θα ομαδοποιούνται σε κατηγορίες με συνομογραφήματα (όπως "ZCL::About" για αυτό το άρθρο), έτσι ώστε να είναι ευκολότερη η αρχειοθέτηση και η αναζήτησή τους.

Ελπίζω να βρείτε το ιστολόγιο χρήσιμο σαν πηγή και ελπίζω να το διατηρήσω ενεργό με συχνές αναρτήσεις νέων κειμένων. Πολιτισμένα σχόλια είναι ευπρόσδεκτα και ελεύθερα για όλους.

Καλή αρχή :-)