Bezahlen im Internet: Geldkarte

Präsentation zum Thema: "Bezahlen im Internet: Geldkarte"—  Präsentation transkript:

1 Bezahlen im Internet: Geldkarte
Oliver Vornberger Fachbereich Mathematik/Informatik Universität Osnabrück 49069 Osnabrück

2 à la card electronic cash POZ Geldkarte Kreditkarte PIN Online
garantiert 0,3 % Unterschrift Online nicht garantiert 10 Pf Unterschrift Online garantiert 5 % Chip Batch garantiert 0,3 %

3 Ec-Karte Spur 1: read only 79 • 6 Bit Konto-Nr, Name, ...
Spur 2: read only 40 • 4 Bit Konto-Nr, Verfallsdatum,... Spur 3: read/write 107 • 4 Bit Fehlbedienungszähler 3 Offsets

4 Altes ec-PIN-Verfahren (eigenes Institut)
Bankleitzahl Kontonummer Kartenfolgenummer 1 DES-Algorithmus mit Institutsschlüssel 56 Bit 3EA2B79853C41FD6 Umwandlung in 4 Dezimalzahlen ohne führende Null 1217 PIN

5 Altes ec-PIN-Verfahren (fremdes Institut)
Bankleitzahl Kontonummer Kartenfolgenummer 1 DES-Algorithmus mit Poolschlüssel 56 Bit 21AF9C1234CD3976 Umwandlung in 4 Dezimalzahlen mit führender Null Pool-PIN 0592 1725 Offset + 1217 PIN =

6 Schwächen des alten ec-PIN-Verfahrens
Schlüssellänge Gefährdeter Poolschlüssel Fehlbedienungszähler auf Karte Ungleichverteilung von PIN-Ziffern

7 Verteilung der PIN-Ziffern
Hex-Symbol A B C D E F PIN-Ziffer Erstes Zeichen: Hex-Symbol A B C D E F PIN-Ziffer Zweites, drittes, viertes Zeichen: typische PIN  [1]  [0..5]  [0..5]  [0..5]  • • • = 216 Möglichkeiten  bei 3 Versuchen beträgt die Trefferwahrscheinlichkeit statt 1:3000 nur noch 1:72

8 Gerichtsurteile Wer haftet bei Mißbrauch einer entwendeten Karte ?
Amtsgericht Darmstadt, , Ingeborg Winter gegen Dresdner Bank: Der Sachverständige Pausch, an dessen Sachkunde das Gericht keinerlei Zweifel hat, hat bei einem Versuch, bei welchem ihm 7 verschiedene Scheckkarten mit 5 bekannten und zwei unbekannten Geheimnummern zur Verfügung standen, mittels eines Heimcomputers binnen 8,5 Stunden Rechnerzeit die Geheimnummer errechnen können. Die Beklagte wird verurteilt, an die Klägerin 900 DM nebst 4% Zinsen zu zahlen.

9 Neues ec-PIN-Verfahren (ab 1997)
PIN-Generierung: würfeln oder wählen PIN-Verifizierung: Kein Poolschlüssel mehr im Automat Eingabe der PIN Onlineverbindung zum Institutsserver dort Triple-DES unter Verwendung von PIN, Kartendaten, 2 x 128 Bit-Schlüssel Vergleich mit Referenzwert auf Karte Fehlversuchszähler nicht mehr auf Karte

10 Geldkarte Chip 21 mm2 CPU 8 Bit 3.5 MHZ ROM 32 K Betriebssystem
EEPROM 16 K Anwendung (Geldkarte, Fahrausweis, ...) RAM 1 K Arbeitsspeicher

11 Geldkarte: Konten Zähler Karte aktueller Saldo
Girokonto Bank Karten-Nr, Pers-Daten Schattenkonto Evidenzzentrale aktueller Saldo Börsen- Bank Summe aller verrechnungs- Kartensalden Konto

12 Geldkarte: Ablauf

13 Challenge Response ? = Chipkarte Terminal Zufallszahl x x x
y := DESBANK ( ) y ? = DESBANK ( ) Problem: alle Karten enthalten globalen Schlüssel BANK

14 Challenge Response mit lokalem Schlüssel
Chipkarte Terminal Kartennummer k k vorberechneter Schlüssel lokal lokal := DESMaster( ) Zufallszahl x x x y := DESlokal ( ) y ? = DESlokal ( )

15 Geldkarte: reklamieren
Karte merkt sich die letzten 3 Ladeaktionen die letzten 15 Bezahlvorgänge Nach Ablauf der Laufzeit kann Guthaben erstattet werden. Nach Anforderung des Kunden darf die Evidenz-Zentrale den Saldo an die Bank melden. Auch bei weißen Karten ist Erstattung möglich, da auch ein Schattenkonto geführt wird.

16 Cashmouse Java-fähiger Web-Browser vorher Software installieren
zertifiziert vom ZKA Java-fähiger Web-Browser vorher Software installieren zum Shoppen zur Web-Seite des Händlers zum Zahlen zur Web-Seite des Händlerkartenservers Java-Applet laden, Kommunikation in HTTP, SSL

17 C:/CashmouseProtokoll
:21:33 Zahlung Gebucht: EUR 0,05 Rest: EUR 51,08 Empfaenger: Computop Buchungsdatensatz 01 D D E C1 1F C9 D D A 00 01

18 Literatur www.ecash-technologies.com
Chaum, Fiat, Naor Untraceable electronic cash, CRYPTO 1988 S. Brands Electronic Cash, Chapter 44 in Handbook on Algorithms and Theory of Computation, 1998 Dresen/Dunne Penny Lane, iX 12/1997 Rankl/Effing: Handbuch der Geldkarten Sparkassenverlag: Verfahrensbeschreibung zum Geldkarte-System H.-B. Beykirch: Chipgeld iX, 12/1998