Università Degli Studi Di Perugia Sicurezza Informatica A.A. 2011/2012

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Università Degli Studi Di Perugia Sicurezza Informatica A.A. 2011/2012"

Edoardo Cappelletti
7 anni fa
Visualizzazioni

1 Università Degli Studi Di Perugia Sicurezza Informatica A.A. 2011/2012 Il protocollo S.E.T. (Secure Electronic Transaction) Andrea Valentini Albanelli Fabrizio Cardellini

2 INTRODUZIONE PROTOCOLLO ATTORI S.E.T. DOPPIA FIRMA SET IN AZIONE VANTAGGI E SVANTAGGI

3 PERCHÈ S.E.T.?

4 SVILUPPATORI

5 INTRODUZIONE DES X.509 SHA-1 RSA

6 Strumenti utilizzati DES RSA SHA-1 X.509

7 INTRODUZIONE PROTOCOLLO ATTORI S.E.T. DOPPIA FIRMA SET IN AZIONE VANTAGGI E SVANTAGGI

8 ATTORI CARDHOLDER COMMERCIANTE EMITTENTE ACQUIRENTE PAYMENT GATEWAY CA

9 ATTORI CARDHOLDER Soggetto autorizzato ad utilizzare una carta di credito COMMERCIANTE Persona o organizzazione che vuole vendere beni o servizi ai CARDHOLDER EMITTENTE Istituto finanziario (es. banca) che fornisce una carta di credito per il CARDHOLDER

10 ATTORI ACQUIRENTE PAYMENT GATEWAY CA Istituto finanziario che ha un rapporto con i commercianti Interfaccia tra acquirente e reti di pagamento con carte bancarie Entità atta a rilasciare certificati per titolari, commercianti e payment gateway

11 INTRODUZIONE PROTOCOLLO ATTORI S.E.T. DOPPIA FIRMA SET IN AZIONE VANTAGGI E SVANTAGGI

12 Dual Signature Collegare 2 messaggi per 2 differenti destinazioni PAYMENT GATEWAY CARDHOLDER COMMERCIANTE

13 Creazione della Dual Signature DS PI SHA-1 CARDHOLDER PIMD + SHA-1 POMD OI SHA-1 OIMD

14 SHA-1 Verifica della Dual Signature DS PIMD COMMERCIANTE OI CLIENTE PIMD + SHA-1 OIMD POMD OI

15 Verifica della Dual Signature DS PIMD COMMERCIANTE OI CLIENTE PIMD + SHA-1 OIMD POMD DS CLIENTE = POMD

16 SHA-1 Verifica della Dual Signature DS OIMD PAYMENT GATEWAY OIMD + SHA-1 PIMD PI CLIENTE POMD PI

17 Verifica della Dual Signature DS OIMD PAYMENT GATEWAY OIMD + SHA-1 PIMD PI CLIENTE POMD DS CLIENTE = POMD

18 INTRODUZIONE PROTOCOLLO ATTORI S.E.T. DOPPIA FIRMA SET IN AZIONE VANTAGGI E SVANTAGGI

19 SET IN AZIONE Le fasi previste dallo standard sono: Registrazione del cardholder Registrazione del commerciante Sottomissione di un ordine Autorizzazione del pagamento Adempimento delle due parti

20 Registrazione del cardholder CARDHOLDER EMITTENTE Il cardholder acquista una carta di credito dall'emittente che gliela rilascia insieme ad un certificato e ad un e-wallet

21 Registrazione del commerciante COMMERCIANTE ACQUIRENTE Il commerciante ottiene 2 certificati: Il suo e quello dell'acquirente, e un thin-wallet

22 Sottomissione di un ordine GIVE ME YOUR CERTIFICATE AND PAYMENT GATEWAY'S CERTIFICATE! CARDHOLDER COMMERCIANTE Il cardholder, navigando nel sito web del commerciante, decide di effettuare un ordine Invia un messaggio di Initiate Request

23 Sottomissione di un ordine Initiate Response CARDHOLDER TID COMMERCIANTE Il commerciante risponde con un messaggio di Initiate Response Fornisce i certificati richiesti ed un TID criptato con la sua chiave privata

24 Sottomissione di un ordine PI + DS + TID 3-DES P.G. + DS CARDHOLDER OI + TID Il cardholder prepara le informazioni di pagamento (PI), le informazioni sull'ordine (OI), il certificato e crea una doppia firma (DS)

25 Sottomissione di un ordine Purchase Request CARDHOLDER COMMERCIANTE Il cardholder invia tutto il messaggio preparato precedentemente al commerciante. E' un messaggio di Purchase Request

26 Autorizzazione del pagamento PI TID COMMERCIANTE PAYMENT GATEWAY Il commerciante invia le PI criptate, il suo certificato e il certificato del cardholder al payment gateway. Il payment gateway può: leggere le PI verificare l'integrità del pagamento autenticare entrambe le parti

27 Autorizzazione del pagamento PAYMENT GATEWAY EMITTENTE Deve esistere un canale di comunicazione sicuro tra payment gateway ed emittente Il payment gateway comunica i PI all'emittente che, dopo averli verificati, fornisce l'autorizzazione

28 Autorizzazione del pagamento PAYMENT GATEWAY EMITTENTE COMMERCIANTE

29 Autorizzazione del pagamento Purchase Response CARDHOLDER ACK + TID COMMERCIANTE Il commerciante invia una notifica (ACK) ed il TID criptate con la sua chiave privata E' un messaggio di Purchase Response

30 Adempimento delle 2 parti CARDHOLDER COMMERCIANTE Viene effettuato l addebito sulla carta di credito del cardholder Il commerciante viene rimborsato dall acquirente Il commerciante fornisce il bene o il servizio acquistato

31 INTRODUZIONE PROTOCOLLO ATTORI S.E.T. DOPPIA FIRMA SET IN AZIONE VANTAGGI E SVANTAGGI

32 VANTAGGI INTEGRITÀ AUTENTICAZIONE PRIVACY CONFIDENZIALITA

33 VANTAGGI IMMUNE A MOLTI ATTACHI Uno sniffer non ricaverebbe informazioni interessanti Attacchi di replica inefficaci

34 SVANTAGGI ATTACCO ALL E-WALLET COMPLESSITA CONFIDENZIALITA E PRIVACY NON GARANTITE PER OI

35 CONCLUSIONE SET HA BUONE CARATTERISTICHE DI SICUREZZA COMPLESSITA ELIMINABILE? TORNERA AD ESSERE USATO?

Documenti analoghi

S.E.T. (SECURE ELECTRONIC TRANSACTION)

UNIVERSITÀ DEGLI STUDI DI PERUGIA FACOLTÀ DI SCIENZE MATEMATICHE FISICHE E NATURALI Sicurezza Informatica S.E.T. (SECURE ELECTRONIC TRANSACTION) Andrea Valentini Albanelli Fabrizio Cardellini Introduzione