MINISTERO DELLO SVILUPPO ECONOMICO FORUM PA delle Comunicazioni e Tecnologie dell Informazione

Transcript

1 MINISTERO DELLO SVILUPPO ECONOMICO DIPARTIMENTO PER LE COMUNICAZIONI Istituto Superiore FORUM PA 2011 delle Comunicazioni e Tecnologie dell Informazione OFFICINA Il progetto SESAMO (Sistemi di pagamento Fondazione mobili e Ugo smart Bordoni card: aspetti di sicurezza) Ing. Tiziano Inzerilli Istituto Superiore delle Comunicazioni e delle Tecnologie dell Informazione Progetto XXXXXX Ing. Franco Guida Fondazione Ugo Bordoni

2 Informazioni generali e obiettivi Data di inizio: 1 marzo 2010 Data di fine: 31 ottobre 2011 Obiettivi relativi ad attività di tipo teorico: Analisi dei modelli di sistema MP (Mobile Payment) Sistemi MP nel contesto italiano Smart card e loro contributo ai sistemi MP Panoramica sulla sicurezza delle smart card Approfondimento della sicurezza dei sistemi di pagamento mobili presenti nel contesto italiano Obiettivi relativi ad attività sperimentali Sperimentazione dei sistemi di pagamento mobili presenti nel contesto italiano Progettazione e realizzazione di un ambiente di test per indagare sulla robustezza di componenti critiche dei sistemi MP a determinati attacchi di tipo hardware Obiettivi in verde: attività già completate

3 Ambiente di test (1/2) Si prevede di specializzarlo al caso di attacchi basati sull'approccio SCA (Side Channel Analysis) L approccio SCA si basa sull osservazione controllata del comportamento fisico di un dispositivo ICT realizzante funzioni di sicurezza e ha l obiettivo di ridurre (o eliminare del tutto) l incertezza dell osservatore (o attaccante) sui dati sensibili che regolano il funzionamento del dispositivo stesso. L approccio SCA ha generato finora un insieme di analisi che possono essere raggruppate secondo diversi criteri, quali il tipo di misure da eseguire sul dispositivo. Ad esempio: Misure di potenza assorbita dal dispositivo Misure di radiazione elettromagnetica

4 Ambiente di test (2/2) Esempio di attacco realizzabile utilizzando l'approccio SCA: determinazione della chiave segreta custodita nel dispositivo attaccato sulla base della potenza assorbita dal dispositivo (power analysis) Per contrastare gli attacchi SCA sono state individuate varie contromisure, di alcune delle quali è possibile verificare l'efficacia eseguendo opportune misure nell'ambiente di test che il progetto Sesamo prevede di realizzare Inserimento casuale di operazioni fittizie non richieste dall'algoritmo crittografico e/o alterazione casuale dell'ordine di esecuzione delle operazioni (approccio time dimension) Livellamento dell'assorbimento di potenza per tutti i tipi di operazioni e di dati e/o esecuzione in parallelo di operazioni non correlate con l'algoritmo ma con operazioni non critiche (approccio amplitude dimension)

5 M-payment e E-payment Il pagamento in mobilità (m-payment) potrebbe includere il caso di computer portatile con collegamento wireless ad Internet utilizzato per eseguire pagamenti elettronici (e-payment) Generalmente, però, per m-payment ci si limita a considerare il caso in cui: Dispositivo utilizzato dall utente: cellulare (no computer portatile) Rete: telefonica con utilizzazione del servizio base (no Internet) Motivazione: a queste ipotesi corrisponde una potenziale diffusione del servizio nettamente più estesa Il caso intermedio di smart-phone, non viene considerato poiché, sebbene di comoda fruibilità, richiede comunque costi più elevati del terminale e la necessità di attivare la connessione Internet

6 Vantaggi m-payment Comoda fruibilità (terminale sempre a portata di mano e di semplice utilizzo) Possono fruirne tutti gli utenti di telefonia mobile senza costi aggiuntivi per soddisfare pre-requisiti Il livello di sicurezza beneficia della procedura di identificazione con documento di identità normalmente utilizzata per il rilascio delle SIM dei cellulari.

7 Entità coinvolte Acquirente Fornitore di beni e/o servizi Attori Operatore di telefonia Gestori denaro dell'acquirente e del fornitore (tipicamente Banche, ma eventualmente coincidenti con l'operatore di telefonia) Importo Dati del pagamento Descrizione o riferimenti ai beni/servizi da acquistare Eventuali ricevute Terminali Cellulare (dell'acquirente e, eventualmente, del fornitore) Eventuale terminale specializzato per lo specifico servizio di pagamento Procedure Procedure tecniche (definiscono le funzioni dei terminali e le loro interazioni) Procedure amministrative e condizioni contrattuali

8 Possibili funzioni dell'operatore di telefonia e della SIM card Operatore di telefonia Consente all'acquirente ed eventualmente al fornitore lo scambio di dati relativi al pagamento Gestisce, soprattutto nel caso dei micropagamenti (tipicamente importo <10 euro), il denaro dell'acquirente e, eventualmente, del fornitore Si accorda con la Banca dell'acquirente e/o del fornitore, se coinvolte SIM Card Contribuisce in modo significativo all'identificazione dell'acquirente e, eventualmente, del fornitore Mette a disposizione dell'acquirente il credito presente sulla carta per effettuare pagamenti (tipicamente micropagamenti)

9 Interazioni tra terminali Interazioni tra terminali vicini (es: tecnologie RFID, NFC, Bluetooth, ecc.) Utilizzate nei sistemi di pagamento in prossimità (Proximity Payment) Richiedono al cellulare dotazioni ulteriori che possono limitare la diffusione del servizio Non richiedono la rete telefonica, ma si avvalgono del contributo all'identificazione offerto dalla SIM dei cellulari Interazioni tra terminali lontani Utilizzate nei sistemi di pagamento in remoto (Remote Payment) Necessitano della rete telefonica