Payment Service Directive PSD2

Transcript

1 Payment Service Directive PSD2

2 User Strong Authentication La PSD2 introduce il concetto di strong user autenthication per tutti gli esercenti servizi di pagamento (anche soggetti non appartenenti all'ambito bancario). Sono soggette al requisito della strong user authentication a) i pagamenti e le transazioni digitali operate per mezzo di un canale remoto b) l'autenticazione dell'utente a siti e/o portali da dove può eseguire disposizioni di pagamento o transazioni bancarie. E' basata sulla sussistenza di due o più requisiti categorizzati in 1) Conoscenza 2) Possesso 3) Inerenza

3 1 - Conoscenza La Conoscenza si riferisce a qualcosa che solo l'utente conosce o può conoscere come ad esempio una Password o un PIN (Personal Identification Number) preassegnato.

4 2 - Possesso Il Possesso si riferisce a qualcosa che solo l'utente possiede come ad esempio un token hardware o un dispositivo mobile (smartphone).

5 3 - Inerenza L'Inerenza si riferisce ad una qualità soggettiva dell'utente (il chi è) come ad esempio un l'impronta digitale o la retina (cd. parametri biometrici).

6 Criteri Indipendenti I criteri della strong user autenthication devono essere indipendenti in modo tale che l'eventuale sottrazione di uno di essi non comprometta l'affidabilità degli altri.

7 Ammontare e Beneficiario Tutte le autorizzazioni di pagamento soggette a strong authentication devono indicare nella transazione l'ammontare ed il beneficiario della stessa.

8 Home Banking Gli attuali sistemi di Home Banking non sono compliant con la nuova normativa in quanto utilizzano sistemi di autenticazione e di firma che non garantiscono la sussistenza di due o più dei criteri previsti dalla PSD2 (ad es. utilizzano username e password per l'autenticazione utilizzando solo il criterio della Conoscenza).

9 Mobile Banking Gli attuali sistemi di Mobile Banking non sono compliant con la nuova normativa in quanto utilizzano sistemi di autenticazione e di firma che non garantiscono la confidenzialità delle informazioni trasmesse (ad es. utilizzano codici PIN inviati in forma non crittografata via SMS sullo stesso dispositivo mobile su cui viene eseguita la transazione).

10 Token Hardware da Sostituire Gli attuali token hardware andranno sostituiti con dispositivi di autenticazione che prevedano l'interazione da parte dell'utente.

11 La soluzione Dyadic Le caratteristiche uniche della tecnologia software Dyadic garantisconouna sicurezza finora possibile solo con hardware dedicato. Si basa sul Multi Party Computation (MPC), con ricerche sviluppate negli scorsi 3 decenni I cofondatori Professori Smart e Lindell sono esperti di crittografia riconosciuti a livello mondiale Il team di R&D è formato da esperti con decenni di esperienza nell applicazione della crittografia.

12 Sicurezza della chiave La soluzione Dyadic Soluzioni Hardware (Ad es.: Smartcard, HW token, Secure Elements) Zona di sicurezza garantita Ottima User Experience del Software Stesso livello di sicurezza dell Hardware Zona del gatto e del topo nssoluzioni Software (Ad es: Soft Token, Vault, Whitebox Crypto, Obfuscation, Security by Obscurity) User Experience

13 La chiave suddivisa La garanzia matematica del Multiparty Computation Ogni chiave è spezzata e le due parti sono archiviate su macchine diverse Le operazioni crittografiche sono eseguite senza riunire le due parti L esportazione malevola della chiave è impossibile; nessuna delle due macchine in alcun momento contiene la chiave completa

14 L esperienza Citibank Citi Velocity è un applicazione per piattaforma di trading offerta a clienti trader istituzionali di Citi Bank. Necessità di business: Citi stava cercando un modo di rimpiazzare le password con TouchID come metodo di autenticazione dei suoi 10K utenti via app mobile senza dovereseguire modifiche al codice sui server. Dyadic permette a Citi di: Rimpiazzare le password con TouchID per migliorare la User Experience degli utenti Aumentare la sicurezza grazie a Dyadic vhsm Implementare velocemente le modifiche rendendole solo client side e non server side

15 Business case