DIT Bank VEILIGHEIDSVERSLAG D.I.T. GROEP

Transcriptie

1 2016 DIT Bank VEILIGHEIDSVERSLAG D.I.T. GROEP

2 Inhoud 2 Pincode... 2 Methode Methode Encryptie Encryptiemethode Encryptiemethode Encryptiemethode Server Hardware Bronnen

3 1 Pincode Wij hebben 2 methodes uitgezocht voor pincodes. Daarnaast leveren wij ook de mogelijkheid om pincodes aan te passen. Methode 1 De server genereerd een pincode met een RNG(random number generator), toevalsgenerator in Nederlands. Een RNG levert een willekeurig getal. Methode 2 Er wordt een pincode van de rekening nummer herleidt. Bijvoorbeeld: FEFEFEFEFEFEFEFE 2

4 2 Encryptie 2.1 Encryptiemethode 1 Binnen het encryptieproces wordt er gebruik gemaakt van de volgende termen. Rekeningnummer Een unieke nummer waar je de rekening mij kan identificeren. Pincode Iedere rekening heeft een pincode. De pincode wordt Wel in de database opgeslagen maar wordt door de encryptieprogramma gebruikt om de rekeningnummer te vinden. Figuur 1 Methode1 Alleen encryptie op de RFID. 1 De gebruiker zet zijn RFID op de lezer van de ATM. 2 De gebruiker typt zijn/haar pincode in, Dit wordt gebruikt om de RFID naar een ID te veranderen. 3 De pinautomaat stuurt een de ID en pincode naar de database, controleert of het klopt en gaat vervolgens met de pinautomaat communiceren. 3

5 2.2 Encryptiemethode 2 Binnen het encryptieproces wordt er gebruik gemaakt van de volgende termen. Rekeningnummer Een unieke nummer waar je de rekening mij kan identificeren. Pincode Iedere rekening heeft een pincode. De pincode wordt Wel in de database opgeslagen maar wordt door de encryptieprogramma gebruikt om de rekeningnummer te vinden. Encryptieprogramma Wij maken gebruik van een encryptie programma die gebruik maakt van een Rijdael encryptie van 256 bits. Figuur 2 Methode2 encryptie op de RFID en op de communicatie met de server. 1 De gebruiker zet de RFID op de lezer van de ATM. 2 De gebruiker typt zijn/haar pincode in, dit wordt gebruikt om de RFID te veranderen naar een ID. 3 De ID wordt met een encryptiemethode omgezet naar een encrypted ID(encID). 4 De encid wordt naar de server gestuurd. 5 De encid wordt terug vertaald naar een ID. 6 Er wordt vervolgens met de server gecommuniceerd. 4

6 2.3 Encryptiemethode 3 Binnen het encryptieproces wordt er gebruik gemaakt van de volgende termen. Rekeningnummer Een unieke nummer waar je de rekening mij kan identificeren. Pincode Iedere rekening heeft een pincode. De pincode wordt niet in de database opgeslagen maar wordt door de encryptieprogramma gebruikt om de rekeningnummer te vinden. Encryptieprogramma Wij maken gebruik van een encryptie programma die gebruik maakt van een Rijdael encryptie van 256 bits. Masterkey De masterkey wordt gebruikt om de pincode, op een veilige manier, van de ATM naar de server te sturen. Figuur 3 Methode3 encryptie op de RFID en een masterkey encryptie op communicatie met de server. 1 De gebruiker zet de RFID op de lezer van de ATM. 2 De gebruiker typt zijn/haar pincode in, dit wordt gebruikt om de RFID te veranderen naar een ID. 3 De pincode wordt met een masterkey(bankcode) omgezet naar een encrypted pincode(encpin). 4 De encpin wordt naar de server gestuurd. 5 De encpin wordt met de masterkey op de server weer naar een pincode vertaald. 6 De ID wordt met een encryptiemethode omgezet naar een encrypted ID(encID). 7 De encid wordt naar de server gestuurd. 8 De encid wordt terug vertaald naar een ID. 9 Er wordt vervolgens met de server gecommuniceerd. 5

7 3 Server Wij hebben twee methodes gevonden waarop je gegevens van de database naar de machine kan sturen. Methode 1 Bij de eerste methode wordt de vraag van de machine als een SQL code opgestuurd. Dit heeft als nadeel dat er een mogelijkheid is om eigen opdrachten naar de database te sturen zoals zet duizend euro op mijn rekening. Methode 2 Bij deze methode worden er bepaalde opdrachten op de server voorgeprogrammeerd. Hierdoor kan een buitenstaande geen eigen opdrachten sturen want de database accepteert alleen de voorgeprogrammeerde opdrachten. Wij raden methode 2 aan. 6

8 4 Hardware Om de hardware te beveiligen beperken wij de mogelijke interacties met de software. De applicatie zal alleen data van de RFID-lezer en de keypad accepteren. Alle andere bronnen worden niet geaccepteerd en alle usb poorten worden afgeschermd. De RFID-lezer wordt afgeschermd. De gebruiker moet zijn pinpas in de pinautomaat steken om het te laten aflezen. Hiermee hopen wij de mogelijkheid dat gebruikers op andere manieren signalen naar de RFID-lezer sturen te verwijderen. Naast de beveilig van de automaat zorgen wij ook voor wat privacy voor de gebruiker. De keypad wordt bedekt zodat mensen geen pincodes van anderen af kunnen lezen. Hiermee hopen wij de gebruiker een veilig en prettig pinervaring te geven. Er is ook een mogelijkheid op een extra controle bij de hardware toe te voegen. Zoals bijvoorbeeld een vingerafdrukscanner maar hier is een bijzonder groot budget voor nodig. 7

9 5 Bronnen