Bezpečnost Zingly a detaily protokolu PowerAuth 2.0

Petr Dvořák CEO at Lime

E-mail: petr@lime-company.eu

Twitter: @joshis_tweets

Bezpečnost

Sdílejte přátelům a známým

Otázky lze klást v Q&A boxu

Odkaz na Slideshare v popisu videa

Záznam bude dostupný on-line

PowerAuth 2.0

Bezpečné úložiště / trezor

End-to-end šifrování komunikace

Open-source, komerční podpora

Více-faktorové podepisování

Autentizace mobilního bankovnictví

PowerAuth 2.0 - Procesy (pohledem single-bankingu)

Aktivace

Pohled ze strany uživatele

PowerAuth ServerZingly API Server

Internetové bankovnictví

Aktéři aktivačního procesu

PowerAuth 2.0 Client

PowerAuth 2.0 Server

Master Front-End Application

Intermediate Server Application

Aktéři aktivačního procesu

Fáze 1: Inicializace aktivace v Internetbankingu

Fáze 2: Výměna public klíčů a derivace klíčů

activation id

server public

device private

activation id

device public

server private

ECDH(privA, pubB)

ECDH(privB, pubA)

ECDH(privA, pubB)

MASTER-SECRET

ECDH(privB, pubA)

activation id

server public

device private

master secretactivation id

server public

device private

master secret

possession

knowledge

transport

vault encryption

activation id

server public

device private

biometry

KDF(AES)

master secret

possession

knowledge

transport

vault encryption

activation id

server public

device private

biometry

Keychain

master secret

possession

knowledge

transport

vault encryption

activation id

server public

device private

biometry

PBKDF2(PIN)

master secret

possession

knowledge

transport

vault encryption

activation id

server public

device private

biometry Touch ID

master secret

possession

knowledge

transport

vault encryption

activation id

server public

device private

biometry

possession

knowledge

transport

vault encryption

activation id

server public

device private

biometry

transport

vault encryption

activation id

server public

C(device private)

possession

knowledge

biometry

transportactivation id

server public

C(device private)

possession

knowledge

biometry

activation id

device public

server private

1234567890

Fáze 3: Potvrzení aktivace v Internetbankingu

Podepisování dat

HMAC-SHA256, logický čas, nonce

Částečné ověřování faktorů

Číselná signatura vhodná k přepisu

Svázané s daty požadavku

Multi-faktorové signatury

X-PowerAuth-Authorization: PowerAuth pa_activation_id="7a24c6e9-48e9-43c2-ab4a-aed6270e924d", pa_application_key="Z19gyYaW5kb521fYWN0aXZ==", pa_nonce="kYjzVBB8Y0ZFabxSWbWovY==", pa_signature_type="possession_knowledge_biometry" pa_signature="12345678-12345678-12345678", pa_version="2.0"

• 1FA: possession , knowledge , biometry • 2FA: possession_knowledge , possession_biometry • 3FA: possession_knowledge_biometry

Typy PowerAuth 2.0 signatur

X-PowerAuth-Authorization: PowerAuth pa_activation_id="7a24c6e9-48e9-43c2-ab4a-aed6270e924d", pa_application_key="Z19gyYaW5kb521fYWN0aXZ==", pa_nonce="kYjzVBB8Y0ZFabxSWbWovY==", pa_signature_type="possession_knowledge_biometry" pa_signature="12345678-12345678-12345678", pa_version="2.0"

Secure Vault

“Vault encryption” vydán po autentizaci

Přenos chráněn transportním klíčem

Bezpečné lokální úložiště

End-to-end šifrování

Jednorázové transportní klíče

Derivace z “master transport” klíče

Šifrování na aplikační úrovni

PowerAuth 2.0 a single-banking

PowerAuth 2.0 a multi-banking

Lze řešit různými způsoby

Ne kompromis v bezpečnosti či UX

Nové specifické problémy

Nechceme super-autoritu

Příklad: Práce s PIN kódem na jednom zařízení

PowerAuth Server

Zingly API Server

Banka A

kyUži

knowledge

activation id

PowerAuth Server

Zingly API Server

Banka A

kyUži

activation id

PIN(x)

knowledge

PowerAuth Server PowerAuth Server

Zingly API Server Zingly API Server

Banka A Banka B

kyUži

activation id

PIN(x)

activation id

PIN(y)

knowledge knowledge

Banka A Banka B

kyUži

activation id

PIN(x)

activation id

PIN(y)

X = Y ?

knowledge knowledge

Banka A Banka B

kyUži

activation id

PIN(x)

activation id

PIN(?)

knowledge knowledge

Problém 1: Aplikace nezná PIN

PowerAuth Server

Zingly API Server

Banka A

kyUži

activation id

PIN(x)

knowledge

Banka A Banka B

kyUži

activation id

PIN(x)

knowledge

Banka A Banka B

kyUži

activation id

PIN(x)

activation id

knowledge knowledge

Problém 2: Pro X bank, N * X pokusů

Banka A Banka B

kyUži

activation id

PIN(x)

activation id

PIN(x)

knowledge knowledge

Banka A Banka B

kyUži

activation id

PIN(x)

activation id

PIN(x)

knowledge knowledge

S každou další bankou o trochu méně bezpečné

Problém 3: Synchronizace

Banka A Banka B

kyUži

activation id

PIN(x)

activation id

PIN(x)

knowledge knowledge

Banka A Banka B

kyUži

activation id

PIN(x)

knowledge

activation id

PIN(x)

Nová platba

knowledge

Banka A Banka B

kyUži

knowledge

activation id

PIN(x)

knowledge

activation id

PIN(x)

Nová platba - neúspěšná autorizace

Banka A Banka B

kyUži

knowledge

activation id

PIN(x)

knowledge

activation id

PIN(x)

0 pokusů BLOCKED

5 pokusů ACTIVE

Řešení: Centrální komunikační hub a secure vault

Zingly Multi-Banking Hub Server

Banka A Banka B

kyUži

Banka A Banka B

kyUži

PowerAuth Server

knowledge

activation id

PIN(x)

knowledge

activation id

PIN(x)

Banka A Banka B

kyUži

PowerAuth Server

léPowerAuth 2.0 Client

Banka A Banka B

kyUži

PowerAuth Server

knowledge

activation id

PIN(x)

activation id

PIN(x)

activation id

PIN(x)

knowledge knowledge

Centrální komunikační hub

Nevidí data (end-to-end šifrování)*

Nemusí být jen jeden “uber-hub”

Neukládá žádná data

Zvyšuje bezpečnost

* … trochu “nepohodlné” z pohledu API a náročné na CPU výkon, proto zatím neděláme

Děkuji

Petr Dvořák e-mail: petr@lime-company.eu twitter: @zinglyapp

http://powerauth.com/

24. 3.,16:00 - 17:00 Co musí banka udělat pro zapojení do Zingly

31.3., 15:00 - 16:00 Dopad multi-bankingu a otevřených bankovních API do obchodního fungování bank

Otázky? :-)

Petr Dvořák e-mail: petr@lime-company.eu twitter: @zinglyapp

http://powerauth.com/

Bezpečnost Zingly a detaily protokolu PowerAuth 2.0

Technology

Představení Zingly API Serveru a popis integrace

MOBILNE MREZE ZASNOVANE NA IP PROTOKOLU

Z chýše do paláce - u3v-dfjp.upce.czu3v-dfjp.upce.cz/Přednášky Humanitni_blok/Rok_2016/Letni_semestr... · malby + Meketre = detaily procesu pěstování lnu, předení a tkaní;

Boční sekční garážová vrata - ALUTOR.czalutor.cz/wp-content/uploads/2015/03/Bocni_sekcni_garazova_vrata.pdfKování ES – montáž pohonu na strop B, posuvná vrata 13 Detaily

MÍĽNIKY DETSKÉHO ČITATEĽAmrtns.eu/img/custom/28630_milniky_detskeho_citatela.pdfže venovať približne 1 – 3 minúty. Učí sa rozlišovať väčšie aj menšie detaily, rozo-znávanie

Rozšírenia SIP protokolu pre účely vzdialenej asistencie v ... · Abstrakt v SJ Táto diplomová práca sa zaoberá problematikou rozšírenia protokolu SIP a sú-visiacich protokolov

ŽILINSKÁ UNIVERZITA V ŽILINEdiplom.utc.sk/wan/713.pdf · prostredníctvom protokolu H.323 komunikuje napríklad s IP telefónmi; prostredníctvom protokolu SIP komunikuje napríklad

УНІФІКОВАНИЙ КЛІНІЧНИЙ ПРОТОКОЛ …uaot.org.ua/assets/files/proekt-klinichnogo-protokolu...спортивного, побутового травматизму

Prilozhenie 14 k protokolu Tipovyie formulirovki...«Федеральный реестр государственных и муниципальных услуг (функций)»,

mDevCamp 2016 - Zingly, or how to design multi-banking app

Prilozhenie 6 k protokolu Metodicheskie materialyi ver 2 0 · ГВЭ – (сокр. от «государственный выпускной экзамен») неосновная

Možnosti využití protokolu OData v aplikační platformě · ABSTRAKT Diplomová práce se zabývá možnostmi využití Open Data protokolu v aplikačním prostře-dí .NET. V

THE BLA ZINGLY SIMPLE GUIDE T O P ERSONAL BRANDINGcultivatedmanagement.com/wp-content/uploads/2017/07/... · 2019. 7. 15. · branding cultivated management . t able of c on tents

Routing Information Protocol v1 - University of Žilinapalo/Netacad/LST/ccna2/Ch5-RIPv1.pdf · Routing Information Protocol Časovače protokolu Viaceré aspekty konvergencie protokolu

POZEMNÍ STAVITELSTVÍ III cvičení 2 obvodové pláště detaily,prostup tepla

Kyoto Protokolu ve Türkiye’ye Etkileri Kireç Sanayicileri Derneği 21.05.2009-İstanbul

C; 16 A, 250 V AC 070 Typ: spínaöe Fady protokolu: … · 2017. 11. 22. · C; 16 A, 250 V AC 070 Typ: spínaöe Fady protokolu: 404654-01/01 Tel.: 266 104 111 Fax: 284 68 aöe

2003 03 18Slovak Substitution - sksoft.cz€¦ · aSc Suplovanie - Manual 5 6 Učitelia - Detaily Pre každého učiteľa môžete špecifikovať niektoré ďalšie údaje potrebné

Leden 2018 Novoroční předsevzetí · barvy − tak rozlišíme jednotlivé vrstvy. Celkem olepíme balónek třemi vrstvami papíru. Z kartonu vystřihneme detaily − obočí,

svencioniusvara.lt · mokeséio tarifo. 3.8. Kainos (jkainiq) perskaiéiavimas jforminamas Saliu pasirašomu protokolu/susitarimu, kuriame užfiksuojami perskaiëiuoti jkainiai bei