|
Auf der Basis der Verfahren RC2 und RC4 (symmetrische Verschlüsselungsverfahren) wurden zwei weitverbreitete Sicherheitsprotokolle entwickelt, die heute weltweit in Browsern verfügbar sind. Für Anwendungen im Internet werden besonders verwendet:
. SET
. SSL
. SHTTP
Transaktionsprotokoll SET (Secure Encryption Transaction)
Ein Konsortium, bestehend u.a. aus Netscape, IBM, Visa, Microsoft, American Express, hat sich auf einen Standard geeinigt, um die Übertragung von Kreditkartendaten sicherer zu machen.
Die Verschlüsselung der übertragenen Daten geht auf der Basis des SETs-Standard vor sich. Nachdem der Kunde sich mit dem Händler in Verbindung gesetzt hat, übermittelt dieser ein vorgefertigtes Formular, in das der Kunde seine Daten einträgt. Danach wird das Formular mit einem Public-Key versehen, sodaß nur noch die Visazentrale bzw. der Händler Zugriff darauf hat. Diese Daten gehen direkt in die Visazentrale, wo die Transaktion überprüft und autorisiert wird. Wenn das erfolgreich erledigt wurde, kann der Händler die Transaktion vornehmen.
Notwendige Schritte zur Transaktionsausführung:
. Registrierung des Karteninhabers
. Registrierung des Händlers
. Bestellanforderung des Kunden an den Händler
. Zahlungsautorisierung
. Zahlungsabwicklung
SET versichert, daß nur der Karteninhaber selbst mit seiner Kreditkarte im Internet bezahlen kann und zusätzlich der Händler von einem Kreditkartenunternehmen geprüft ist. Der Händler, der SET-Transaktionen akzeptiert, daß er es mit einem legitimierten Karteninhaber zu tun hat. Sowohl Händler als auch Karteninhaber profitieren von einer Lösung, die alle Zahlungsvorgänge beim Kreditkarteneinsatz automatisiert abwickelt.
Der Vorteil von SET besteht darin, daß Kreditkartennummern unsichtbar übers Netz geschickt werden. Ein Auftrag wird elektronisch unterschrieben (digitale Signatur) und an den Händler geschickt. Dieser fügt wiederum seine eigenen Daten hinzu, wobei er nur die für ihn relevanten Daten des Kunden lesen kann. Diesen gesamten Datensatz schickt er nun an seine Bank, die die entsprechenden Daten entschlüsselt, vom SET Server die notwendigen Schlüsselinformationen des Käufers erhält und damit zB die Kreditkartennummer entschlüsselt und die weiteren Schritte vornimmt.
Kreditkartenbezahlungen sind im Internet die häufigste Zahlungsmethode. Um diese Zahlungsmethode sicher zu gestalten, eignet sich eben SET sehr gut. Aus diesem Grund wird hier auf die Dual Signature eingegangen, die bei SET zum Einsatz kommt.
Wie oben schon erwähnt werden mit der Bestellung auch verschlüsselte Kreditkarteninformationen an den Händler übertragen, die er nicht lesen kann. Die Kreditkarteninformation leitet der Händler überprüft an seine Bank weiter. Um den Händler trotz der unsichtbaren Zahlungsweise Sicherheit zu geben und den Kunden vor Mißbrauch zu schützen, verwendet SET hier eine besondere Art der Signatur, Dual Signature. Damit wird erreicht, daß Bestellung und Zahlungsanweisung eindeutig einander zuzuordnen sind, ohne daß der Händler die Zahlungsanweisung bzw. die Bank die Bestellung einsehen kann.
Die Dual Signature erlaubt es, zwei getrennte Nachrichten mit einer gemeinsamen Unterschrift so zu verbinden, daß sie nicht aus dem Zusammenhang gerissen und mißbraucht werden können. Beide Nachrichten können aber getrennt versendet und durch ihre "Doppelunterschrift" als richtig bestätigt werden.
Während bei normalen Unterschriften der Fingerabdruck einer Nachricht verschlüsselt wird, werden bei Dual Signature von beiden Nachrichten solche Fingerabdrücke erstellt und aneinander gehängt.
Die Beteiligten von SET:
. Karteninhaber
. Händler (akzeptiert elektronische Bezahlungen)
. Bank des Händlers (unterstützt kreditkartenbasierte Geschäfte)
. Payment Gateway (ein System, das dem Händler elektronische Handelsdienste zur
Verfügung stellt)
. Zertifizierungsinstitut (stellt elektronische Zertifikate für Händler, Banken und
Karteninhaber aus)
. Finanznetzwerk der Banken und Kreditkartengesellschaften
SSL (Secure Sockets Layer)
Bestandteil von SSL ist die Authentifizierung des Servers mittels digitaler Zertifikate. SSL ist ein im Netscape Browser integriertes Verschlüsselungsverfahren, das eine sichere Übertragung (daß die Daten unverändert am Server ankommen) der gesendeten Informationen garantiert.
SSL benutzt dabei die Verschlüsselungstechnologie der RSA Data Security Inc.
S-HTTP
HTTP (HyperText Transfer Protocol) ist ein Verfahren zur Datenübertragung im WWW.
S-HTTP soll sicherstellen, das eine bestimmte Meldung sicher von A nach B kommt. Für das Protokoll spricht zwar seine Flexibilität, bislang finden sich aber kaum Ergänzungen im Netz, da die beiden meistgenutzten Webbrowser (Netscape Navigator und Internet Explorer) S-HTTP nicht unterstützen.
|
