bezpečnost zingly a detaily protokolu powerauth 2.0

Bezpečnost Zingly a detaily protokolu PowerAuth 2.0

Petr Dvořák CEO at Lime

E-mail: [email protected]

Twitter: @joshis_tweets

Bezpečnost

Sdílejte přátelům a známým

Otázky lze klást v Q&A boxu

Odkaz na Slideshare v popisu videa

Záznam bude dostupný on-line

PowerAuth 2.0

Bezpečné úložiště / trezor

End-to-end šifrování komunikace

Open-source, komerční podpora

Více-faktorové podepisování

Autentizace mobilního bankovnictví

PowerAuth 2.0 - Procesy (pohledem single-bankingu)

Aktivace

Pohled ze strany uživatele

PowerAuth ServerZingly API Server

Internetové bankovnictví

Aktéři aktivačního procesu



PowerAuth 2.0 Client

PowerAuth 2.0 Server

Master Front-End Application

Intermediate Server Application

Aktéři aktivačního procesu

Fáze 1: Inicializace aktivace v Internetbankingu

Fáze 2: Výměna public klíčů a derivace klíčů



activation id


server public

device private


activation id

device public

server private

ECDH(privA, pubB)

ECDH(privB, pubA)

ECDH(privA, pubB)

=

MASTER-SECRET

=

ECDH(privB, pubA)



activation id


server public

device private



master secretactivation id


server public

device private

ECDH



master secret

possession

knowledge

transport

vault encryption

activation id


server public

device private

biometry

KDF(AES)



master secret

possession

knowledge

transport

vault encryption

activation id


server public

device private

biometry

Keychain



master secret

possession

knowledge

transport

vault encryption

activation id


server public

device private

biometry

PBKDF2(PIN)



master secret

possession

knowledge

transport

vault encryption

activation id


server public

device private

biometry Touch ID



master secret

possession

knowledge

transport

vault encryption

activation id


server public

device private

biometry



possession

knowledge

transport

vault encryption

activation id


server public

device private

biometry



transport

vault encryption

activation id


server public

C(device private)

possession

knowledge

biometry



transportactivation id


server public

C(device private)

possession

knowledge

biometry




activation id

device public

server private

1234567890

Fáze 3: Potvrzení aktivace v Internetbankingu

Podepisování dat

HMAC-SHA256, logický čas, nonce

Částečné ověřování faktorů

Číselná signatura vhodná k přepisu

Svázané s daty požadavku

Multi-faktorové signatury

X-PowerAuth-Authorization: PowerAuth pa_activation_id="7a24c6e9-48e9-43c2-ab4a-aed6270e924d", pa_application_key="Z19gyYaW5kb521fYWN0aXZ==", pa_nonce="kYjzVBB8Y0ZFabxSWbWovY==", pa_signature_type="possession_knowledge_biometry" pa_signature="12345678-12345678-12345678", pa_version="2.0"


• 1FA: possession , knowledge , biometry • 2FA: possession_knowledge , possession_biometry • 3FA: possession_knowledge_biometry

Typy PowerAuth 2.0 signatur

Secure Vault

“Vault encryption” vydán po autentizaci

Přenos chráněn transportním klíčem

Bezpečné lokální úložiště

End-to-end šifrování

Jednorázové transportní klíče

Derivace z “master transport” klíče

Šifrování na aplikační úrovni

PowerAuth 2.0 a single-banking

PowerAuth 2.0 a multi-banking

Lze řešit různými způsoby

Ne kompromis v bezpečnosti či UX

Nové specifické problémy

Nechceme super-autoritu

Příklad: Práce s PIN kódem na jednom zařízení

PowerAuth Server

Zingly API Server

Banka A

Ban

kyUži

vate

lé


knowledge

activation id


PowerAuth Server

Zingly API Server

Banka A

Ban

kyUži

vate

lé


activation id


PIN(x)

knowledge

PowerAuth Server PowerAuth Server

Zingly API Server Zingly API Server

Banka A Banka B

Ban

kyUži

vate

lé



activation id


PIN(x)

activation id


PIN(y)

knowledge knowledge



Banka A Banka B

Ban

kyUži

vate

lé



activation id


PIN(x)

activation id


PIN(y)

X = Y ?

knowledge knowledge



Banka A Banka B

Ban

kyUži

vate

lé



activation id


PIN(x)

activation id

PIN(?)

knowledge knowledge

Problém 1: Aplikace nezná PIN

PowerAuth Server

Zingly API Server

Banka A

Ban

kyUži

vate

lé


activation id


PIN(x)

knowledge



Banka A Banka B

Ban

kyUži

vate

lé



activation id


PIN(x)

knowledge



Banka A Banka B

Ban

kyUži

vate

lé



activation id


PIN(x)

activation id

knowledge knowledge

Problém 2: Pro X bank, N * X pokusů



Banka A Banka B

Ban

kyUži

vate

lé



activation id


PIN(x)

activation id

PIN(x)

knowledge knowledge

S každou další bankou o trochu méně bezpečné

Problém 3: Synchronizace



Banka A Banka B

Ban

kyUži

vate

lé



activation id


PIN(x)

activation id

PIN(x)

knowledge knowledge



Banka A Banka B

Ban

kyUži

vate

lé



activation id


PIN(x)

knowledge

activation id

PIN(x)

Nová platba

knowledge



Banka A Banka B

Ban

kyUži

vate

lé



knowledge

activation id


PIN(x)

knowledge

activation id

PIN(x)

Nová platba - neúspěšná autorizace



Banka A Banka B

Ban

kyUži

vate

lé



knowledge

activation id


PIN(x)

knowledge

activation id

PIN(x)

0 pokusů BLOCKED

5 pokusů ACTIVE

Řešení: Centrální komunikační hub a secure vault



Zingly Multi-Banking Hub Server

Banka A Banka B

Ban

kyUži

vate

léZ

ing

ly






Banka A Banka B

Ban

kyUži

vate

lé

PowerAuth Server

Zin

gly



Uži

vate

lé

knowledge

activation id


PIN(x)

knowledge

activation id

PIN(x)




Banka A Banka B

Ban

kyUži

vate

lé

PowerAuth Server

Zin

gly



Uži

vate

léPowerAuth 2.0 Client




Banka A Banka B

Ban

kyUži

vate

lé

PowerAuth Server

Zin

gly



VAULT

knowledge

activation id

PIN(x)

activation id

PIN(x)

activation id

PIN(x)

knowledge knowledge

Centrální komunikační hub

Nevidí data (end-to-end šifrování)*

Nemusí být jen jeden “uber-hub”

Neukládá žádná data

Zvyšuje bezpečnost

* … trochu “nepohodlné” z pohledu API a náročné na CPU výkon, proto zatím neděláme

Děkuji

Petr Dvořák e-mail: [email protected] twitter: @zinglyapp

http://powerauth.com/

24. 3.,16:00 - 17:00 Co musí banka udělat pro zapojení do Zingly

31.3., 15:00 - 16:00 Dopad multi-bankingu a otevřených bankovních API do obchodního fungování bank

Otázky? :-)

Petr Dvořák e-mail: [email protected] twitter: @zinglyapp

http://powerauth.com/

bezpečnost zingly a detaily protokolu powerauth 2.0

Technology