Sin t

1
Un sencillo mecanismo de seguridad anti-phising
mediante uso de teléfono móvil
Octubre 2.006
2
El problema del phising

• Muchas entidades públicas y privadas ofrecen
  acceso online a sus servicios por Internet
• Comercio electrónico banca, compraventa..
• Administración Hacienda, Seguridad Social..
• El cliente o usuario se autentica mediante
• Usuario contraseña sencillo, popular
• Certificado de cliente caro, complejo
• El método usuario contraseña resulta sensible
  a ataques tipo phising, que han tenido un gran
  impacto mediático y han mellado la confianza de
  los clientes

3
Solución anti-phising mediante móvil

• En el momento del acceso, la entidad envía una
  clave temporal al teléfono móvil mediante SMS
• Para acceder a los servicios online, es necesario
  introducir esta clave temporal

juliaperez
Usuario Contraseña

Clave acceso 2035
Clave acceso
2035
Acceso a servicios online
4
El móvil como token seguro

• Cualquier teléfono móvil se convierte así en un
  potente token que securiza el acceso online a
  servicios de forma sencilla y efectiva
• Uso de dos canales diferentes e independientes
• Red Internet red móvil
• Combinación métodos
• Teléfono algo que se tiene
• Password algo que se sabe

5
Requisitos
Para el cliente / usuario
Para la entidad

• Disponer de móvil
• Cualquier modelo
• Cualquier operador
• Capacidad de leer SMS

• Asociación entre persona y número de móvil
• Establecida de forma suficientemte. segura
• Capacidad de envío SMS
• Conexión al servicio de cualquiera de los
  operadores, o a un agregador

gt99 de los internautas?
6
Variables a considerar
Seguro

• Validez de la clave temporal
• Una clave para cada transacción crítica
• Una clave para cada sesión
• Una clave para un periodo
• Día
• Semana
• Mes
• Año (ej. IRPF)
• Pago de los mensajes
• Por la entidad

Económico

• Cobro revertido a cliente final

Popular
Sin coste para la entidad
7
Resumen - Ventajas

• Alta seguridad
• Blindaje efectivo frente al phising
• Ubicuo, sencillo. Disponible para la práctica
  totalidad de clientes/usuarios
• Requisitos mínimos para la entidad
• Costes reducidos y muy modulables
• Time to market muy corto (meses)

8
(No Transcript)