E-BUSINESS Digitális Pénzügyek III.

1. E-BUSINESS Digitális Pénzügyek III. • Kriptográfia, titkosítási technikák • A digitális aláírásról • Az e-business megjelenési formái • (CRM, Internet Marketing, Tőzsde az Interneten, Online áruházak, Hitelközpontok) 2002. november 13.

2. Fogalmak • Kriptográfia: Az információ algoritmikus módszerekkel történő • védelmének tudománya. • Kriptoanalízis: A titkosított szöveg dekódolása az eredeti szöveg, • vagy a kulcs ismerete nélkül. A Kriptográfia ellentétpárja, adatvédelmi • rendszerek támadásával, feltörésével foglalkozó tudomány. • Kriptológia: Az algoritmikus információvédelem és ezen módszerek • támadásának tudománya, a Kriptográfia és a Kriptoanalízis összessége. • Kulcs: A rejtjelező rendszer rejtjelezési módszerek halmaza. A kulcs • ezen módszerek címkéje, vagyis a kulcs által választódik ki az éppen • alkalmazott rejtjelezési transzformáció. A kulcs az az információ, ami • nélkül nem lehet a titkosított üzenet tartalmához hozzáférni. • Kód feltörése: Az az eljárás, amikor egy rejtjelezett üzenetből a kulcs • ismerete nélkül megfejtik az eredeti szöveget, vagy a kódoláshoz • használt kulcsot. Vagy a támadó olyan alternatív algoritmust készít, • amely a kulcs nélkül is képes a visszafejtésre.

3. Biztonságos kommunikáció az Interneten • Biztonsági követelmények: • authentikáció (authentication) – (személy)azonosítás biztosítása • authorizáció (authorization) – hozzáférés biztosítása • titkosság, bizalmasság (privacy, confidentiality) • adatintegritás (data integrity) – • adatsértetlenség biztosítása, rejtett adatmegváltoztatás lehetetlensége • letagadhatatlanság (non-repudiation) – • egy objektum létrehozója ne tagadhassa le az objektum • létrehozásának tényét.

4. Támadások A támadó célja lehet:· jogosulatlan hozzáférés az üzenet tartalmához · hamis üzenet küldése a címzettnek • Támadások típusai: • (a kommunikációhoz való csatlakozás alapján) • Passzív támadás: • a támadó hozzá tud férni a bizalmas információkhoz, de nem • tudja megváltoztatni a kommunikációt, azaz hamis információt • nem tud indítani a címzettnek. Ekkor a támadás célja az • észrevétlen információszerzés. • Aktív támadás: • a támadó képes adatokat megváltoztatni és ki tudja magát adni a címzett, vagy a küldő félnek.

5. Passzív támadás

6. Aktív támadás

7. Védekezés a támadások ellen • időbélyegzés, egyedi tranzakció azonosítók • Ezek az eljárások főleg az olyan betörések ellen hatásosak, amikor a • támadó egy korábban lehallgatott elektronikus üzenetet akar újra • elküldeni. Ezt az időbélyegzés ill. az egyedi tranzakció-azonosítás is • jelezni tudja, és nem hajtja végre. • tűzfal • A TCP/IP protokoll nem biztonságos. Megoldás: • Olyan eszköz, amely egy intézmény belső hálózatát leválasztja a • nyilvános (Internet) hálózattól. A bejövő kapcsolatokat figyeli, • nyilvántartja auditálás céljából (p. betörési kísérletek nyilvántartása); • illetve kiszűri, nem engedi át a belső hálózat felé a nem • engedélyezetteket. • üzenetek kódolása, titkosítása

8. Kriptográfia– Az internetes biztonság alapja • Célja: • titkosítás/visszafejtés: • egy adott bizalmas információ ne juthasson illetéktelenek • birtokába; azaz két, vagy több fél kommunikációja során • csak az arra jogosultak férhessenek hozzá, illetve • változtathassák meg a titkosított információkat • a kommunikáló felek azonosítása • az elküldött megbízás letagadhatatlansága • információ ‘lehallgatás’ megakadályozása • A titkosító módszerek közös jellemzője, hogy egy kódolatlan (plaintext) információhalmazból olyan kódolt információ halmazt (ciphertext) készít, melyet csak pótlólagos információ (kulcs) birtokában tudunk visszafejteni.

9. Modern kriptográfia 1/3 Minden kód feltörhető, kérdés hogy mennyi idő alatt. Cél: gyakorlatilag feltörhetetlen legyen a kód Olyan nehézségű titkosítást kell választanunk, hogy egy esetleges feltörési kísérlet erőforrás igénye (pénz, idő, emberi erőforrás) nagyobb legyen, mint a feltört információból elérhető haszon. Megfelelően robosztus rejtjelező algoritmus választása esetén a feltörés annál több időt, illetve egyéb erőforrást vehet igénybe, minél hosszabb kulcsot választunk a rejtjelezéshez. Ha az algoritmus megfelelően lett megírva, az egyetlen lehetséges feltörési mód a kulcsok próbálgatása (brute-force).

10. Modern kriptográfia 2/3 Egy átlagos számítógép másodpercenként 10 ezres nagyságú kulcsot tud kipróbálni. A Cryptograpy egyesült államokbeli cég által tervezett gép, a Deep Crack – melynek megalkotása dollármilliókba került – másodpercenként 90 milliárd kulcsot próbál ki. A szimmetrikus kulcsú titkosításoknál jelenleg nemzetközi szinten elterjedt 56 bites kulcsú titkosításokat azonban még ilyen hatalmas számítási kapacitás mellett is átlagosan 3,5 nap alatt tudná csak feltörni. Mindez egy átlagos számítógépnek több mint 80 ezer évig tartana. A biztonsági okok miatt az 56 bites kulcsokat felváltó 128 bites kulcsok használatával a kipróbálandó kulcsok száma akkora, hogy a föld összes számítási kapacitását igénybe véve is hosszabb időre lenne szükség, mint ahány éve a Világegyetem létezik.

11. Modern kriptográfia 3/3

12. Titkosítási módszerek az Interneten • Szimmetrikus kulcsú titkosítási algoritmusok • a titkosításra és a dekódolásra ugyanazt a kulcsot használják • a küldő félnek, és a fogadó félnek egyaránt ismernie kell a kulcsot • (a kommunikáció megkezdése előtt meg kell állapodniuk egy • közös kulcsban, és azt titokban kell tartaniuk) • az üzeneteket csak a titkos kulcs segítségével lehet dekódolni, • így egy esetleges támadó a kommunikációt lehallgatva se tudja • megérteni az üzeneteket, illetve rejtjelezni se tud egy hamis üzenetet • több fél kommunikációja esetén mindenkinek mindenkivel • külön-külön meg kell állapodnia egy közös kulcsban • Aszimmetrikus kulcsú titkosítási algoritmusok • nyilvános kulcsú titkosítás

13. Szimmetrikus titkosítási módszerek – DES, RC2, RC4 és Diffie-Hellman „A” kommunikálni akar „B”-vel. Más csatornán – például telefonon, vagy floppyn továbbítva megállapodnak egy (Európában 40, az USA-ban 128 bites) kulcsban, majd a kommunikáció során küldött üzeneteket ezzel a kulccsal titkosítják. Az eljárás előnye, hogy nagyon gyors. Hátránya, hogy mindig ugyanazzal a kulccsal történik a titkosítás, ami biztonsági kockázatotjelent, emellett nehézkes a kulcs egyeztetése.

14. Szimmetrikus titkosítási algoritmusok I. • DES (Data Encryption Standard) • Szimmetrikus kulcsú titkosítási eljárás, IBM fejlesztés, 64 bites blokkos • rejtjelezés, vagyis a nyílt szöveg egy 64 bit méretű blokkjához rendel egy • ugyanekkora rejtjeles blokkot. • Az USA kormányának szabványa, az algoritmust 1977-ben hozták • nyilvánosságra. Bár a DES kifejlesztése óta több mint 20 év telt el, • ma is élő, még engedélyezett szabvány, széles körben használják a • polgári élet minden területén, jóllehet a DES elérte életciklusának végét. • A kissé idejétmúlt algoritmus felváltására már több alternatíva is van: • a háromszor egymás után alkalmazott DES, vagy más alternatív • algoritmusok (AES, IDEA, CAST, BLOWFISH). • AES (Advanced Encryption Standard) • 1997-ben pályázatot írtak ki a DES leváltására. Erre több pályázat is • érkezett, de a válogatás és a különböző megmérettetések még tartanak. • A jövőbeli győztes algoritmust AES-nek keresztelték.

15. Szimmetrikus titkosítási algoritmusok II. • IDEA (International Data Encryption Algorithm) • Nyolc input bájtot nyolc output bájtra képező blokkos rejtjelező • algoritmus. Kulcsmérete 128 bit. Svájcban fejlesztették ki 1990 és • 1992 között. Kifejezetten adatátvitelhez tervezték, beleértve a • digitalizált hang/kép valós idejű kódolását is. A PGP régebbi verziói is • használták. Szabadalmi bejegyzése van, és így (üzleti) • felhasználásához licenszdíjat kell fizetni. Egy ideig a DES • ellenfelének tűnt, de ma már nem igazán preferálják, kissé háttérbe • szorult.

16. Szimmetrikus algoritmusok előnyei • A szimmetrikus algoritmusok gyorsak, így jól használhatók • olyan alkalmazásokban, melyek nagy adatátviteli sebességet • igényelnek. • Néhány hardver megvalósítás sebessége a 10-100 Mbit/s • sebességet is eléri. A szoftver megvalósítások lassabbak, • általában csak 1-2 Mbit/s sebességűek. • Az alkalmazott kulcsok viszonylag rövidek. (56-128 bit) • A szimmetrikus kódolóknak igen bőséges történelmi • előzménye van. • A gyakorlati és elméleti ismeretek bővülése elvezetett az ókori • Caesar kódolóktól a '70-es évek DES algoritmusáig.

17. Szimmetrikus algoritmusok hátrányai • Egy kommunikációban a kulcsoknak mind a feladó, mint a címzett • oldalán titokban kell maradniuk, egészen a kommunikációs • folyamat(ok) végéig. • Nagy hálózatokban vagy olyan szervezetekben, ahol sok ember • kíván egymással érintkezésbe lépni, a kezelendő (és megosztandó) • kulcsok száma a résztvevők (n) számával négyzetesen arányos. • A feleknek a kommunikációs folyamatok megkezdése előtt kulcsot • kell cserélniük egymással egy biztonságos csatorna használatával. • Ha a kulcsokat valamilyen oknál fogva meg kell változtatni, akkor • a lehallgatás veszélyét is magában foglaló kulcs cserét meg kell • ismételni. • A rövid kulcsok kedveznek a brute-force támadásnak, ezért azokat • minél sűrűbben cserélni kell (legalább a feltételezett feltörési időn • belül). A sok partner esetén megvalósított gyakori kulcs-csere • azonban nagy hálózati forgalmat is generál, pontosan a kapcsolatok • nagy száma miatt.

18. Biztonsági követelmények – Szimmetrikus titkosítás • Authentikáció: mivel a kulcsot minimum kettő fél ismeri nem • állapítható meg bizonyosan, hogy a két fél közül melyik küldött el egy • kérdéses üzenetet • Authorizáció: az authorizáció követelményeinek eleget tesz • Titkosság, bizalmasság: alapvetően eleget tesz a bizalmasság • követelményének • Adatintegritás (data integrity): mivel az adatokat csak a megfelelő • kulccsal lehet megváltoztatni, eleget tesz adatsértetlenség elvének • Letagadhatatlanság elve: mivel minimum két fél ismeri a titkos • kulcsot, a szimmetrikus kulcsú algoritmussal végzett kódolás • önmagában használva nem tesz eleget a letagadhatatlanság elvének

19. Aszimmetrikus titkosítás1/2 Nyilvános kulcsos módszer: ezen eljárás egy 1976-ban született matematikai megoldás. Legismertebb megvalósítása az RSA, melyet három matematikus (Rivest, Shamir és Adelman) dolgozott ki 1977-ben az USA MIT (Massachusetts Institute of Technology) egyetemén. Lényege, hogy minden résztvevő (címzett és feladó egyaránt) rendelkezik két kulccsal: egy titkossal és egy nyilvánossal. A kulcsokat egy erre a célra fejlesztett programmal állítja elő mindenki, saját magának. A két kulcs egyszerre jön létre; a titkosat eltesszük magunknak, a nyilvánosat pedig (akár e-mailen is) elküldjük mindazoknak, akikkel levelezni szeretnénk.

20. Aszimmetrikus titkosítás2/2 A nyilvános kulcsú rejtjelezés alapötlete, hogy a kódolás folyamatát elválasztja a dekódolástól, és olyan algoritmust használ, ahol a kódoláshoz használt paraméter nem azonos a dekódoláshoz használt paraméterrel, és a kódoláshoz használt paraméterből nem határozható meg a dekódoláshoz szükséges paraméter a módszer ismeretében sem. A nyilvános kulcsú titkosítással elküldött üzenet egy olyan ládához hasonlítható, melyet bezárni a nyilvános kulccsal, de kinyitni már csak egy másik, a titkos kulccsal lehet. Ezek a kulcsok egymással összefüggnek: a titkos kulccsal lehet megfejteni azt az üzenetet, amit a nyilvános kulccsal kódoltak.

21. Aszimmetrikus (nyilvános kulcsú) titkosítási módszerek– RSA „A” kommunikálni akar „B”-vel. Mindketten előállítanak két (Európában 512, az USA-ban 1024 bites) kulcsot. A kulcspárok olyanok, hogy amit az egyikkel titkosítottak, azt csak és kizárólag a kulcs párjával lehet megfejteni. Az egyik kulcsot mindketten elrejtik a számítógépükben, a másikat szabadon hozzáférhetővé teszik a másik, vagy akár mindenki számára. Tegyük fel, hogy „A” üzenetet küld „B”-nek, és már ismeri „B” nyilvános kulcsát. „A” a küldendő csomagot „B” nyilvános kulcsával titkosítja. Ezzel elérte, hogy azt csak „B” titkos kulcsával lehet megfejteni, így „A” biztos lehet abban, hogy csak „B” juthat hozzá a küldött információhoz, mivel „B” saját titkos kulcsának egyetlen ismerője.

22. Aszimmetrikus (nyilvános kulcsú) titkosítási módszerek– RSA Az eljárás előnye a nagy biztonság; hátránya, hogy igen lassú. Ezért az ilyen fajta kommunikációt webes alkalmazások esetében általában a DES kulcs egyeztetésére szokták használni. Az e-mail titkosítása és aláírása azonban tisztán RSA-val zajlik. A nyilvános kulcsos titkosítás feltalálása után közel 15 évig az állami titkosszolgálatok monopóliuma volt. 1991­ben Phil Zimmermann megírta az algoritmust PC­re (PGP, Pretty Good Privacy) és feltette az Internetre.

23. Aszimmetrikus algoritmusok előnyei I. • A nagy létszámú résztvevővel rendelkező kommunikációs hálózatokban • sem jelent különösebb nehézséget a kulcsok megosztása. Ha n partner • van, akkor n darab nyilvános kulcsot kell kezelni. • Mivel az aszimmetrikus algoritmusok nehéz matematikai problémákon • alapulnak és kulcsaik jóval hosszabbak, mint a szimmetrikus kulcsok, • ezért a kulcsokat nem kell gyakran (esetleg minden kommunikációs • folyamat előtt) cserélni, egy - egy kulcs évekig használható. • Biztosítható a levelek hitelességének ellenőrzése. Ez úgy történik, hogy • a levél feladója a levelet először a saját titkos kulcsával, majd a címzett • nyilvános kulcsával zárja le. A címzett a kapott levelet először kinyitja • saját titkos kulcsával, majd a feladó nyilvános kulcsával ellenőrzi, hogy • a levelet valóban a feladóként szereplő személy küldte.

24. Aszimmetrikus algoritmusok előnyei II. • Az igen hosszú kulcsok lehetetlenné teszik a brute-force támadást. • Mivel a titkosítás és a visszafejtés folyamata a legtöbb aszimmetrikus • rendszerben felcserélhető, ezért ezek az algoritmusok hatékonyan • használhatók digitális aláírás rendszerekben. Az egyediséget biztosító • titkos kulcs lehetővé teszi a jó digitális aláírás tulajdonságainak • teljesítését. • Azok is tudnak titkosított üzenetet váltani, akik nem is ismerik egymást, • elég, ha előzőleg kicserélték nyilvános kulcsaikat.

25. Aszimmetrikus algoritmusok hátrányai I. • Szükség van egy megbízható harmadik félre (TTP, trusted third party) • aki garantálja, hogy a nyilvántartásában szereplő felhasználónév és a • hozzá tartozó nyilvános kulcs valóban összetartozik. • Az algoritmusok általában lassúak, nem tudják a gyakorlatban elvárt • válaszidőket teljesíteni. Emiatt gyakran a szimmetrikus algoritmusok- • kal együtt használják őket. • A kulcsok mérete általában sokkal hosszabb, mint a szimmetrikus • algoritmusok 56-128 bites kulcsa, például az RSA ajánlása szerint a • napjainkban generált kulcsoknak 1024-2048 bitesnek kell lennie. • Ebből következően a digitális aláírások mérete is hasonlóan hosszabb. • A kulcsmenedzsment és egyéb műveletek nagyobb adatmennyiség • mozgatását igénylik, mint a szimmetrikus algoritmusok esetében.

26. Aszimmetrikus algoritmusok hátrányai II. • Egyetlen algoritmus sem nyújt elméleti titkosítást, mert a legtöbb • megoldás valamilyen nehezen megoldható matematikai problémán • alapszik. Ez azt jelenti, hogy az algoritmusok az alkalmazott matematikai • műveletek inverzeivel dekódolhatóak. Azonban egy-egy ilyen inverz • alkalmazásához olyan részeredményekre van szükség, melyek előállítása • jelenleg időben vagy társzükségletben lehetetlen. Az RSA kódolásban • a moduláris hatványozás inverze, a moduláris logaritmus jelentheti a • kulcs nélküli dekódolást, azonban ehhez szükség lenne a kulcs • prímtényezős bontására. Csakhogy a kulcs szándékosan olyan nagy, • hogy a tényezőkre bontása lehetetlen feladat. • A rövid kulcsok kedveznek a brute-force támadásnak, ezért azokat minél • sűrűbben cserélni kell (legalább a feltételezett feltörési időn belül). A • sok partner esetén megvalósított gyakori kulcs-csere azonban nagy • hálózati forgalmat is generál, pontosan a kapcsolatok nagy száma miatt.

27. Biztonsági követelmények – Aszimmetrikus titkosítás • Authentikáció: a privát kulcsot kizárólag egyetlen ember ismeri, • így az azonosításnak nincsen akadálya • Authorizáció: az authorizáció követelményeinek eleget tesz • Titkosság, bizalmasság: alapvetően eleget tesz a bizalmasság • követelményének • Adatintegritás (data integrity): mivel az adatokat csak a megfelelő • kulccsal lehet megváltoztatni, eleget tesz adatsértetlenség elvének • Letagadhatatlanság elve: digitális aláírás esetén, mivel a titkos kulcsot • csak egyetlen ember ismeri eleget teszt a letagadhatatlanság elvének

28. Aszimmetrikus titkosítási algoritmusok I. • RSA • R. Rivest A. Shamir és L. Adleman által feltalált nyilvános kulcsú • rendszer . • Legyen a nyilvános kulcs e, m, a titkos d, m az üzenet x. A rendszer • alapja hatványozás modulo m, ahol m =p*q két nagyjából azonos méretű • prím szorzata. A titkos kulcs a nyilvános kulcsból csak a prímek • ismeretében számítható. Ha m elég nagy, akkor faktorizálása elfogadható • idő alatt nem lehetséges. A két kulcs kapcsolata; e*d=1 modulo • (p-1)*(q-1). A rejtjelzett üzenet y= x e.dik hatványon, míg a megoldó • transzformáció x= y a d. hatványon. • A két kulcs közötti reláció biztosítja, hogy x= x. • A nyilvános kulcsú enkriptálás legismertebb példája. A külföldi banki • átutalásokat lebonyolító SWIFT rendszer titkosítása is RSA rejtjelezésen • alapul.

29. Aszimmetrikus titkosítási algoritmusok II. • PGP (Pretty Good Privacy) • 1991-ben Philip Zimmermann olyan programot írt, amely az RSA • nyilvános kulcsú módszert az IDEA szimmetrikus kulcsú módszerrel • kombinálva e-mail (és fájl) titkosítására teszi alkalmassá. Az újabb • verziók már DSS/SHA - CAST algoritmusokat is használják. • A program igen sok port és vitát kavart a kormányzati szinten, mert • egyrészt az engedélyezett méretű kulcsokon túl a jóval hosszabb és • biztonságosabb kulcsok használatát is lehetővé tette, másrészt • nemzetközi elterjedése (az Interneten keresztül), megsértette az USA • fegyverexport tilalmát.

30. Gyakorlatban alkalmazott módszerek I. Fingerprint (ujjlenyomat) – „one-way hash” v. MAC: SHA és MD5 Az ujjlenyomat nem titkosításra szolgál, hanem ezzel az eljárással lehet biztosítani, hogy a csomagot a kézbesítés során nem változtatja meg senki. „A” kommunikálni akar „B”-vel. Mindkettőjük számára fontos, hogy az információt az átküldés alatt ne változtassa meg senki, vagy ha mégis,akkor arról „B” egyértelműen tudomást szerezzen. „A” ezért az elküldött adatokról vagy levélről egy függvény segítségével egy rövid (SHA esetén 160 bites, MD5 esetén 128 bites) kulcsot, más néven ujjlenyomatot készít, és csatolja az átküldendő adatokhoz. Az ujjlenyomat olyan természetű, hogy az ujjlenyomatból nem lehet előállítani a csomag eredeti tartalmát; és ha a csomagban 1 bitet megváltoztatnak, akkor az arról készült ujjlenyomat a bitek kb. felében nem fog egyezni az eredeti ujjlenyomattal.

31. Ujjlenyomathoz alkalmazott algoritmusok • MAC (Message Authentication Code) • Olyan kulcstól függő kontrollösszeg, amely a vevőoldalon az adatok • véletlen és szándékos módosítását egyaránt képes detektálni. • Hash-függvény • Olyan transzformáció, amely egy tetszőleges hosszú szöveg digitális • 'ujjlenyomatát' készíti el. Az 'ujjlenyomat' fix hosszú bitsorozat amely • jellemző az adott szövegre abban az értelemben, hogy más szöveghez • szinte biztosan más hash érték tartozik, illetve adott ujjlenyomathoz • gyakorlatilag lehetetlen olyan szöveget találni amelynek ez a képe. • Nevezik message digestnek is, a Digitális aláírásprotokoll alkotórésze. • Pl. MD5, SHA

32. Gyakorlatban alkalmazott módszerek II. Digitális aláírás Az aláírás úgy jön létre, hogy az ujjlenyomatot „A” a saját titkos kulcsával titkosítja és ezután mellékeli az átküldendő csomaghoz. Ebből következik, hogy „B” biztos lehet abban, hogy az ujjlenyomatot „A” készítette, hiszen azt csak „A” publikus kulcsával tudja kicsomagolni. Továbbá „B” biztos lehet abban is, hogy a csomag nem módosult útközben, ha az általa próbaképp elkészített ujjlenyomat egyezik az „A” által készítettel. Tehát „B” biztos lehet abban, hogy valóban „A”-val kommunikál, és az adatokat az átvitel során nem módosították, ill. azok nem sérültek meg.

33. Digitális aláírás módszere, szabványai • Digitális aláírás • Személyek és/vagy digitális adatok hitelesítésére alkalmas módszer. • Két részből áll: a személyhez kötött aláírást generáló részből, s az • ellenőrzést bárki számára lehetővé tevő részből. • Nyilvános kulcsú rendszer. • DSA (Digital Signature Algorithm) • DSS (Digital Signature Standard)

34. A digitális aláírás sémája nyilvános kulcsú rendszerben

35. Digitális és hagyományos aláírás összehasonlítása Digitális aláírás Hagyományos aláírás Az aláírás bizonyítja, hogy az aláírás annak tulajdonosától származik és nem valaki mástól. Az aláíró nem tagadhatja le az aláírását. (letagadhatatlanság elve) Csak akkor hamisítható, ha a titkos, aláírásra használt kulcsunkat valaki megszerzi. Egyébként senki sem tud a mi nevünkben aláírni.Következésképp mi sem tagadhatjuk le aláírásunkat. Némi gyakorlással hamisítható és a tulajdonosa nélkül is "felhasználható" az aláírás. A jó hamis aláírást semmi nem különbözteti meg a valóditól. Az aláírás nem helyezhető el más dokumentumokon, észrevétlenül át nem vihető. A digitális aláírás az egész dokumentumot kódolja, így az aláírás végső formája függ az aláírt dokumentumtól is. A dokumentum valamilyen formában az aláírás része. Az aláíró függetlenül az aláírt dokumentumtól, mindig ugyanúgy ír alá. Ezért egy begyakorlott hamis aláírás felhasználható más dokumentumon is. Az aláírt dokumentum nem változtatható meg észrevétlenül. Mivel az előző pont szerint a dokumentum valamilyen formában az aláírás része, ezért ha a dokumentum az aláírást követően megváltozott, akkor azt az aláírás ellenőrzése kimutatja. A dokumentum megváltoztatható az aláírás után is feltéve, ha az aláíró nem kap másolatot róla. (Bár ez is csak viták forrása lehet, mert ettől még maga a dokumentum megváltoztatható.)

36. Elektronikus aláírás típusai • Egyszerű elektronikus aláírás: bármilyen adat, amely az elektronikus • dokumentum „aláíróját” azonosítja, de nem kellő biztonsággal • Pl. ha egyszerűen odaírja valaki a nevét az elektronikus dokumentum • Végére • Fokozott biztonságú aláírás: ha alkalmas az aláíró azonosítására, • ha az aláírást létrehozó magánkulcs csak az aláíró befolyása alatt áll, • továbbá ha az aláírást technikailag úgy oldották meg, hogy az aláírást • követően a dokumentumon tett mindenfajta módosítás érzékelhető • Legyen • Minősített elektronikus aláírás: ha a fokozott biztonságúaláíráson • túlmenően további, a törvényben vagy más jogszabályban rögzített • szigorúbb feltételeknek is megfelel

37. Elektronikus dokumentumok fajtái • Elektronikus dokumentum: • minden elektronikusan érzékelhető adat • Elektronikus irat: • minden elektronikus dokumentum, amely szöveg • közlésére készült • Elektronikus okirat: • minden elektronikus úton kötött szerződés

38. Tanúsítványok Bár a nyilvános kulcsú titkosítási algoritmusok önmagukban biztosítják az adatok integritását, azonban a megfelelő authorizáció, authentikáció és letagadhatatlanság követelményeit csak részben. Egy nyilvános kulcsú algoritmussal titkosított üzenetváltáskor a címzett biztos lehet abban, hogy egy üzenet tartalma nem változott meg, illetve, hogy az üzenetet a titkos kulccsal kódolták, azonban arról nem lehet megbízható információja, hogy ki is igazából a kulcs tulajdonosa. Létre kell hozni, egy szervezetet, mely megbízható harmadik félként garantálja a kommunikáló felek (személy)azonosságát. Egy ilyen hiteles közvetítőt Tanúsítvány-kibocsátónak (Certificate Authority, CA) nevezünk, a tanúsítványokat pedig hitelesítésre használjuk

39. Alany Megkülönböztető elnevezés, nyilvános kulcs Kibocsátó Megkülönböztető elnevezés, aláírás Érvényesség Kezdete, vége Adminisztratív információ Verzió, sorszám Kiegészítő információ A tanúsítvány tartalma A tanúsítvány tartalma

40. Hitelesítési szolgáltatók (kulcskibocsátók, kulcshitelesítők) • Bárki lehet, aki: • élvezi valamennyi érintett fél bizalmát • megfelelő tapasztalata van a biztonságos elektronikus adatátvitelben • rendelkezik a szükséges technikai infrastruktúrával • Magyarországon hitelesítési szolgáltatást nyújt: • Matáv • GIRO Rt • 2001. december 16-ával indította a hazai kereskedelmi bankok • számára a GIRO Elszámolásforgalmi Rt. új szolgáltatását, amellyel • lehetővé tette az elektronikus aláírás használatát. • A Tanúsítvány-kibocsátók a következő szolgáltatásokat nyújtják: · Tanúsítvány-kérelmek verifikálása · Tanúsítvány-kérelmek feldolgozása · Tanúsítványok kibocsátása és menedzselése

41. Gyökér szintű tanúsítvány kibocsátó • a tanúsítvány kibocsátók (CA-k) tevékenységét felügyelő • intézmény • Magyarországon ezt a feladatot a Hírközlési Főfelügyelet (HIF) • látja el • CA tevékenység megkezdése előtt nem kell engedélyt kérni (EU • szabályozással összhangban), de nyilvántartás végett be kell • jelenteni a HIF-nek • a HIF folyamatosan ellenőrzi, hogy a hitelesítési szolgáltatók a • törvényben rögzített követelményeket betartják-e • a szigorúbb követelményeket teljesítő szervezetek minősített • hitelesítés-szolgáltatók lehetnek (minősített elektronikus aláírás • hitelesítésére jogosult)

42. A hitelesítési szolgáltatás struktúrája

43. Nyilvános kulcsú infrastruktúra - PKI • PKI (Public Key Infrastucture, nyilvános kulcsú infrastruktúra) • hardver- és szoftverelemek, továbbá az elektronikus hitelesítési, • azonosítási és titkosítási feladatokat megoldó elektronikus eljárások és • szolgáltatások összessége. • Biztosítja, hogy olyan szereplők tudjanak egymással elektronikus üzleti, • vagy adminisztratív tranzakciókat lebonyolítani, amelyek nem ismerik • egymást, és előzetesen nem állt módjukban megegyezéseket kötni a • biztonságos információcsere módjáról . • Mely biztonsági követelményeket elégíti ki: • Bizalmasság (confidentiality): az üzenetet a címzetten kívül • más nem tudja elolvasni • • Azonosítás (authentication): hitelesen azonosítható az üzenet feladója • • Sértetlenség (integrity): nem változott-e meg az üzenet tartalma • • Letagadhatatlanság (non-repudiation)

44. Ajánlott irodalom, források, linkek I. • Ködmön József: Kriptográfia - Az informatikai biztonság alapjai; • A PGP kriptorendszer használata (ComputerBooks, 1999) • Internetes biztonság • www.hszk.bme.hu/~ca307/security.PDF • Matematikai modellek az adattitkosításban • 193.224.141.245/UjsagInfo/10/Schutzbach.htm • Az információs rendszerek biztonsága, Internet és az adatbiztonság • www.ik.bme.hu/~mohacsi/rintergracio/infrendsz_bizt.pdf • Nemzetközi szabványok és ajánlások a kriptográfiában • www.ilab.sztaki.hu/~sztibor/szabvany/

45. Ajánlott irodalom, források, linkek II. • Digitális aláírás, kriptográfia • www.szgti.bmf.hu/~mtoth/download/ • A PKI és a biometria • www.login.hu/pki/pki.pdf Egyéni feladat témák: • A kriptográfia jövője – • DNS komputerek, kvantum komputerek • Valamely titkosítási algoritmus(ok) ismertetése

46. Az E-business megjelenési formái

47. Az Internet hatása a vállalati tevékenységekre • Kereskedelmi és termelő vállalatok: • ügyfélkapcsolatok kezelése • marketing – viral marketing, elektronikus reklámok • Internet = új értékesítési csatorna • munkaerő-toborzás és kiválasztás • www.candidate.hu/cikkek/onlinetoborzas.php • Pénzügyi szolgáltatók: • tőzsde • hitelügyintézés • banki tranzakciók • Kiskereskedelem: • online áruházak

48. CRM - Customer Relationship Management Ügyfélkapcsolat Menedzsment A CRM egy olyan rendszer, amely biztosítja az ügyfelek igényeinek folyamatos felmérését, az ügyfelek pontosabb, az igényeiknek leginkább megfelelő kiszolgálását, előremozdítva a szolgáltatók új termékeinek hatékonyabb eladását.A CRM egy összetett megközelítés, mely teljes mértékben integrálja az értékesítés, ügyfélszolgálat, marketing, szerviz és más ügyféllel kapcsolatos funkciókat.

49. Viral marketing Viszonylag új eszköz: Ennek lényege az, hogy az üzenetet a felhasználók egy szűkebb csoportja számára (jogszerűen az olyan ügyfelek számára, akik a részükre történő reklámcélú üzenetek küldéséhez hozzájárultak) juttatják el, majd ezek a felhasználók juttatják tovább az üzenetet saját ismerőseikhez. Ilyen kampányok esetén arra kell figyelmet fordítani, hogy az üzenetet továbbküldőnek ne kelljen megadnia ismerőseinek a címét az üzenet eredeti küldője számára, mivel ez az adatkezelés az érintett hozzájárulásának hiányában jogszerűtlen.

50. Pénzügyi szolgáltatások Internet bankok Inter-Európa Bank: www.ieb.hu OTP Bank: www.otpbank.hu Raiffeisen Bank: www.raiffeisen.hu Citibank: www.citibank.hu Kereskedelmi és Hitelbank: www.khb.hu CIB Bank: www.cib.hu Budapest Bank: www.budapestbank.hu Volksbank: www.volksbank.hu HBW Express Takarékszövetkezet www.ebank.hu HVB Hungary Nonstopbank www.nonstopbank.hu