Escola Secundária Eça de Queiroz

Transcrição

1 Escola Secundária Eça de Queiroz Curso de Instalação e Manutenção de Sistemas Informáticos Certificação digital de serviço universal Home Banking e ética na sua utilização. Autor: Daniel Filipe Inácio Formador: Tomás Lima Turma: EFA S13 Lisboa 15 de Julho de

2 Índice geral Índice de geral...2 Introdução...3 O que são plataformas Home Banking?...3 Autenticação...3 Certificados Digitais...4 Ética na utilização do serviço HomeBanking e alguns exemplos de ataques a este serviço...5 Recomendações...5 Resumo...6 Conclusão...6 2

3 Introdução Neste trabalho irei falar de alguns serviços/protocolos necessários para o funcionamento da autenticação digital de acesso às plataformas Home Banking. O que são plataformas Home Banking? São páginas Web, criadas e associadas directamente a um banco especifico como por exemplo: Santander Totta, Barclays Bank, Millénnium Bcp, Banco Espírito Santo (B.E.S)., etc... Estas páginas permitem que o cliente utilizando a Internet, possa aceder em qualquer lugar às suas contas bancárias e fazer quase todo o tipo de operações que regularmente se efectuam num balcão. Poderá fazer consultas de extractos de contas, consulta de movimentos, transferências bancárias, pagamentos de serviços, bem como outras operações, exceptuando levantamento de dinheiro e depósito de cheques. Este serviço requer um exigente método de segurança, pois como se trata de assuntos relacionados com dinheiro acaba por ser um serviço que é fortemente alvo de ataques provenientes de indevidos com más intenções a tentar frequentemente aceder a estas plataformas com fim de conseguirem decifrar códigos de autenticação e assim conseguirem roubar dinheiro. Um bom esquema de segurança é necessário no home banking para diminuir a chance de fraudes.. Cada cliente que queira usufruir deste tipo de serviço terá que solicitar os códigos de acesso no seu próprio balcão e depois activá los para que possa aceder normalmente. Esta autenticação como já foi dito, é necessária para que pessoas não autorizadas não possam entrar em contas de clientes. Autenticação Este tipo de plataformas é composta por vários serviços/protocolos de rede que se dá o nome de SERVIDORES. De seguida falo de alguns dos servidores necessários para o funcionamento da Home Banking e a sua autenticação. Servidor HTTP é o serviço que permite alojar as páginas onde o cliente necessita aceder. Servidor BASE DE DADOS (DB) é o serviço que permite depositar todos os dados referentes aos cientes e todas as informações bancárias necessárias para o funcionamento destas plataformas, bem como os dados de autenticação. Servidor FTP É um servidor que permite o alojamento e a transferência de dados. No caso do serviço HomeBanking, é necessário para que os utilizadores possam fazer os downloads das várias informações que pretendem consultar. Servidor de E MAIL é um serviço onde se pode criar contas de , para que o banco possa trocar mensagens com o cliente 3

4 Certificados Digitais O certificado digital é um documento electrónico que contém informações sobre o seu portador, como: o nome, o endereço, um número de serie, a data de expiração, uma cópia da senha pública do seu portador, o nome da autoridade certificadora que o emitiu, a assinatura digital do cliente e outras informações pessoais conforme necessário. A assinatura do certificado por uma autoridade certificadora é necessária para que o destinatário possa verificar se o certificado é verdadeiro. Certificados digitais são usados em transacções electrónicas seguras. Isto é, utilizado em diversas páginas web de comércio electrónico, bancos e outros sites que precisam de criptografia das informações que se trocam na rede. O certificado digital estabelece um canal seguro entre o navegador e a página que ele deseja aceder. Quando o cliente acede à página, deverá aceitar o certificado e caso assim o faça, o utilizador irá fazer um download do certificado para o computador do cliente. Desta forma é possível que o cliente tenha a certeza que se está a ligar à pagina que realmente deseja e não com uma página fictícia, embora a maioria das pessoas não dê a devida atenção ao aceitar os certificados das páginas que visita. No caso da criptografia de chaves públicas, o servidor DB serve como um repositório de certificados de chave pública dos usuários, onde certificado possui a chaves públicas do usuário e é assinado digitalmente com a chave privada da Autoridade Certificadora responsável, como por exemplo: Código de acesso (chave privada da Autoridade Certificadora responsável) Código pessoal (chaves públicas do usuário) O cliente ao digitar as chaves solicitadas o sistema de autenticação consulta o servidor DB para se certificar que as chaves estão correctas e pertencem ao cliente certo. 4

5 Ética na utilização do serviço HomeBanking e alguns exemplos de ataques a este serviço. Tal como já referi os bancos e estas plataformas estão constantemente a serem alvo de ataque, A CGD (Caixa Geral de Depósitos) está a avisar todos os seus clientes para um ataque de phishing dirigido aos utilizadores do serviço de homebanking. O ataque é realizado através de um fraudulento que tenta dirigir os utilizadores a um site falso, levando os a utilizar a sua password e username ou código de acesso e código pessoal No caso da CGD já anteriormente emitiu um alerta semelhante dada a extensão do ataque, O mesmo aconteceu também com o Millénnium BCP, alvo igualmente de um ataque de phishing A tentativa de fraude agora em curso é mais uma vez classificada de fraca. Dada a diferença no tipo de comunicação e os erros ortográficos incluídos neste tipo de s, é difícil um cliente de serviços de homebanking ser levado a seguir o link e introduzir os seus dados. É recomenda porém que os clientes apliquem sempre as regras básicas para a utilização segura dos serviços de internet banking, não abrindo mensagens de correio electrónico de origem duvidosa e não utilizar computadores públicos para aceder ao homebanking. Recomendações Como recomendações a seguir deverá verificar regularmente as contas pessoais e o registo das horas e datas dos últimos acessos. A verificação do certificado digital é importante para se assegurar que está a aceder ao Internet banking (já anteriormente referido) e o encerramento da sessão através da opção "Sair/log out" quando termina a utilização do serviço. Esta acção é crucial para evitar distracções e alguém com más intenções possa visualizar ou mexer em informações privadas. A maior parte dos bancos que fornecem o serviço HomeBanking, já possuem mais uma forma de segurança quando necessitamos fazer transferências ou outro tipo de movimentação financeiros, o cartão MATRIZ. O cartão Matriz é formado por várias colunas e parcelas, onde cada célula é 5

6 composta por 3 dígitos, como pode ver na seguinte figura no catão matriz do banco Espírito Santo (BES): Os ataques de phishing também têm como alvo estes cartões matriz. Em s ou páginas duvidosas são igualmente pedidos os 64 dígitos quem compõem o cartão. Resumo Os ataques de phishing são cada vez mais frequentes em todo o mundo, sobretudo dirigidos a estes serviços de banca pela Internet. O objectivo dos crakers é obter os códigos de acesso de utilizadores que serão depois utilizados para movimentar o dinheiro das suas contas. Conclusão Os servidores que suportam estes serviços estão igualmente sujeitos a ataques furtivos dos crackers. A fim de conseguirem aceder aos dados necessários e conseguirem roubar dinheiro em grande escala. Portanto é necessário que as entidades bancárias que controlam estes serviços estejam sempre a vigiar e À procura de novas formas de ataques, para que se consiga desenvolver ferramentas fazendo com que os intrusos não consigam prejudicar o serviço HomeBankink e os utilizadores continuem a confiar nestes serviços. Daniel Inácio (S13) 6

7 Índice Remissivo A autenticação 3, 4, 5 B BASE DE DADOS 3 C canal 5 Certificados 5 cópia 5 D DB 3, 5 documento 5 download 5 E electrónico 5, 6 E MAIL 4 Ética 6 F fraudes 3 funcionamento 3 I informações 3, 5, 6 P página 5 páginas 3, 5, 7 plataformas 3, 6 protocolos 3 R referentes 3 S serviço 1, 3, 4, 6 serviços 3, 6, 7 Servidor 3, 4 SERVIDORES 3 U utilização 6 W Web 3 H Home Banking 1, 3 7