Progetto Pilota Gruppo Montepaschi

Transcript

1

2 Osservatorio ABILab Gestione Sicura dell'identità in Banca Progetto Pilota Gruppo Montepaschi La Carta Nazionale dei Servizi come strumento per l accesso ad Internet Banking

3 La credenziale aggiuntiva (SYH) per il riconoscimento utenti del servizio di Internet Banking del Gruppo Il servizio di Internet Banking del Gruppo prevede da sempre un riconoscimento utente basato su utente, password di accesso e one time password, generata da un Token rilasciato dalla Banca o inviato via SMS o , oppure (metodo obsoleto) tramite un certificato client installato sul PC. Il riconoscimento cliente basato su semplice utente e password non garantisce infatti sicurezza adeguata per l accesso ai servizi online bancari. Il rispetto del principio di sicurezza che recita: access must rely on something you know and something you have è fondamentale per evitare le frodi online Il dispositivo (chiavetta OTP o SMS inviato alla SIM cellulare dell utente) deve però essere fornito dalla banca (che se ne accolla anche la successiva gestione), ed è un sistema di autenticazione proprietario Il livello di sicurezza di alcuni di questi dispositivi, ultimamente, comincia a mostrare dei limiti

4 La CNS: La Carta Nazionale dei Servizi (CNS) è lo strumento attraverso il quale i cittadini vengono riconosciuti in rete in modo certo e possono usufruire dei servizi erogati in via telematica dalle Pubbliche amministrazioni.. E una smartcard dotata di microchip, contenente i dati identificativi del cittadino e un certificato digitale, utilizzabile per l autenticazione online. I dati contenuti al suo interno sono recuperabili solo dopo che l utente ha provveduto a sbloccarla tramite PIN. Il PIN viene consegnato all utente al momento dell attivazione della carta, dopo verifica della sua identità.

5 La CNS distribuita da Regione Toscana: Regione Toscana l ha distribuita nel corso del 2010 a tutti i cittadini residenti in regione, nell ambito del progetto CSE (Carta Sanitaria Elettronica). Non è un documento di identità valido per il riconoscimento a vista, né contiene un certificato di firma digitale. Permette la fruizione dei servizi sanitari toscani e l autenticazione online al fascicolo sanitario elettronico, nonché ad alcuni portali della pubblica amministrazione (es. INPS)

6 Utilizzo della Carta Nazionale dei Servizi come credenziale aggiuntiva per il riconoscimento utenti del servizio di Internet Banking del Gruppo. Ipotesi della sperimentazione: uso della CNS come strumento di identificazione aggiuntiva in alternativa alla one-time password o al certificato. Valore della sperimentazione: uso di credenziali di accesso non fornite dalla Banca ma da un Ente in trust. Sperimentazione di un nuovo strumento di autenticazione che afferisca all area del SYH. con la CNS è sufficiente l inserimento della carta nel lettore e la relativa attivazione tramite PIN perché l utente ne dimostri il possesso, secondo il principio SYH, analogamente a ciò che accade con il codice del Token OTP, che serve a dimostrare il possesso della chiavetta, o alla one-time password spedita via SMS, che dimostra il possesso della SIM dell utente nel cellulare. L autenticazione così fatta si basa su un sistema di chiavi pubbliche/private, intrinsecamente più sicuro, con credenziali utilizzabili da più enti

7 Primo dettaglio del Pilota: Enrollment delle credenziali Estensione delle modalità di accesso Messa a punto della procedura di disattivazione Fasi del Pilota: 1. Ambiente di test interno al Consorzio (sperimentazione) 2. Ambiente di produzione ristretto ad un gruppo di utenti (pilota) 3. Eventuale fase di messa in produzione

8 Problematiche da affrontare Legame tra dati utente su CNS e Anagrafe bancaria: Codice Fiscale Per la sperimentazione nessun legame è stato creato Validazione online della CNS, quindi ipotesi di Black List e SLA su servizio di blocco per CNS: Per la sperimentazione la problematica è stata risolta in modo semplificato

9 Fase 1 - Sperimentazione Legame tra dati utente e CNS Enrollment: L associazione viene stabilita al momento della registrazione su IB della CNS come strumento di autenticazione alternativo ad OTP ed SMS (Accesso dove vuoi) I dati del certificato presente sulla CNS vengono depositati centralmente e associati all utente IB Viene controllato, tramite i servizi online della regione, che il certificato si riferisca ad una CNS valida.

10 Fase 1 - Sperimentazione Dati registrati in maniera accentrata Enrollment: Centralmente, viene registrata soltanto numero di serie, chiave pubblica e scadenza del certificato presente sulla CNS Gli altri dati presenti non sono registrati. Non viene effettuata nessuna registrazione su anagrafe clientela Se l utente disattiva la CNS come strumento di identificazione IB, i dati di login vengono cancellati

11 Fase 1 - Sperimentazione Validazione delle credenziali all accesso ad Internet Banking Login: Viene inviato un GUID dall applicazione web. Sul browser viene caricato un applet JAVA, che firma i dati con la chiave privata presente nella Smartcard CNS. La validità della firma viene controllata con i dati registrati al momento dell enrollment.

12 Fase 1 - Sperimentazione Validazione della CNS Login: Viene controllato che il certificato presente sulla CNS non sia stato nel frattempo bloccato o revocato La validità del certificato viene controllata su cache interna, aggiornata ciclicamente, per evitare problemi di performance del servizio esterno

13 Fase 1 - Sperimentazione Disattivazione della CNS come strumento di accesso ad IB Controllo validità CNS: L utente può disattivare la CNS come strumento di accesso ad IB indipendentemente dagli altri strumenti censiti (OTP, SMS, ecc.) Disattivazione tramite IB stesso o attraverso Call Center MPS L applicazione IB controlla comunque, al momento del login, se la CNS è stata disattivata su CRL

14 Fase 1 - Sperimentazione Disattivazione della CNS come strumento di accesso ad IB Nell ambito della sperimentazione, l utente può disattivare immediatamente la sua CNS come strumento di identificazione, tramite IB stesso o tramite Call center, senza comunicazione al call center di Regione Toscana Mancando ancora SLA precisi sui tempi di pubblicazione su CRL, in caso di smarrimento o furto, l utente è quindi tenuto a disattivare subito la CNS per l accesso ad IB, indipendentemente dal resto delle funzionalità

15 Fase 2 - Pilota Inserimento dell applicazione di collaudo Il codice sviluppato sul sistema di test è stato inserito sui sistemi di collaudo (preproduzione) L accesso ad Internet banking tramite CNS è stato riservato ai soli utenti pilota previsti (utenti interni) La versione sviluppata per la sperimentazione dovrà essere modificata, per adeguarsi ai cambiamenti architetturali in corso su Internet banking

16 Fase 2 - Pilota Punti di forza rilevati: Elevata Sicurezza: il sistema si basa su un riconoscimento basato su un sistema di chiave pubblica/privata, difficilmente attaccabile La banca non è responsabile dell acquisto e della successiva gestione del dispositivo di sicurezza E trasversale, ovvero permette in teoria di trustare l identificazione tra più entità

17 Fase 2 - Pilota Criticità rilevate: Necessità di definire SLA precisi per la disattivazione delle carte e per le performance dei servizi online di validazione Richiede che l utente sia dotato di un lettore di smartcard (Regione Toscana non l ha fornito ai cittadini insieme alla CNS) E utilizzabile soltanto per il canale internet. Permane la necessità di avere un altro dispositivo per gli altri canali di accesso alla banca (mobile banking, call center, ecc.)

18 Fase 3 - Produzione TBD - Adeguamento dei sistemi di produzione A valle delle valutazioni organizzative sulla nuova modalità di accesso, si procederà all attivazione in produzione per tutti gli utenti potenzialmente interessati (residenti in regione Toscana) Futura possibile estensione ai residenti delle altre regioni che attiveranno la CNS

19 Possibili sviluppi futuri Utilizzo della CNS come strumento di identificazione del cliente per i servizi bancari (circolarità, servizi web, pagamenti?...)

20 GRAZIE PER L ATTENZIONE