E-BUSINESS

1
E-BUSINESS Digitális Pénzügyek III.

• Kriptográfia, titkosítási technikák
• A digitális aláírásról
• Az e-business megjelenési formái
• (CRM, Internet Marketing, Tozsde az Interneten,
  Online áruházak, Hitelközpontok)

2002. november 13.
2
Fogalmak

• Kriptográfia Az információ algoritmikus
  módszerekkel történo
• védelmének tudománya.
• Kriptoanalízis A titkosított szöveg dekódolása
  az eredeti szöveg,
• vagy a kulcs ismerete nélkül. A Kriptográfia
  ellentétpárja, adatvédelmi
• rendszerek támadásával, feltörésével foglalkozó
  tudomány.
• Kriptológia Az algoritmikus információvédelem
  és ezen módszerek
• támadásának tudománya, a Kriptográfia és a
  Kriptoanalízis összessége.
• Kulcs A rejtjelezo rendszer rejtjelezési
  módszerek halmaza. A kulcs
• ezen módszerek címkéje, vagyis a kulcs által
  választódik ki az éppen
• alkalmazott rejtjelezési transzformáció. A
  kulcs az az információ, ami
• nélkül nem lehet a titkosított üzenet
  tartalmához hozzáférni.
• Kód feltörése Az az eljárás, amikor egy
  rejtjelezett üzenetbol a kulcs
• ismerete nélkül megfejtik az eredeti szöveget,
  vagy a kódoláshoz
• használt kulcsot. Vagy a támadó olyan
  alternatív algoritmust készít,
• amely a kulcs nélkül is képes a visszafejtésre.

3
Biztonságos kommunikáció az Interneten

• Biztonsági követelmények
• authentikáció (authentication)
  (személy)azonosítás biztosítása
• authorizáció (authorization) hozzáférés
  biztosítása
• titkosság, bizalmasság (privacy,
  confidentiality)
• adatintegritás (data integrity)
• adatsértetlenség biztosítása, rejtett
  adatmegváltoztatás lehetetlensége
• letagadhatatlanság (non-repudiation)
• egy objektum létrehozója ne tagadhassa le az
  objektum
• létrehozásának tényét.

4
Támadások
A támadó célja lehet jogosulatlan hozzáférés
az üzenet tartalmához hamis üzenet küldése a
címzettnek

• Támadások típusai
• (a kommunikációhoz való csatlakozás alapján)
• Passzív támadás
• a támadó hozzá tud férni a bizalmas
  információkhoz, de nem
• tudja megváltoztatni a kommunikációt, azaz hamis
  információt
• nem tud indítani a címzettnek. Ekkor a támadás
  célja az
• észrevétlen információszerzés.
• Aktív támadás
• a támadó képes adatokat megváltoztatni és ki
  tudja magát adni a címzett, vagy a küldo félnek.

5
Passzív támadás
6
Aktív támadás
7
Védekezés a támadások ellen

• idobélyegzés, egyedi tranzakció azonosítók
• Ezek az eljárások foleg az olyan betörések
  ellen hatásosak, amikor a
• támadó egy korábban lehallgatott elektronikus
  üzenetet akar újra
• elküldeni. Ezt az idobélyegzés ill. az egyedi
  tranzakció-azonosítás is
• jelezni tudja, és nem hajtja végre.
• tuzfal
• A TCP/IP protokoll nem biztonságos.
  Megoldás
• Olyan eszköz, amely egy intézmény belso
  hálózatát leválasztja a
• nyilvános (Internet) hálózattól. A bejövo
  kapcsolatokat figyeli,
• nyilvántartja auditálás céljából (p. betörési
  kísérletek nyilvántartása)
• illetve kiszuri, nem engedi át a belso hálózat
  felé a nem
• engedélyezetteket.
• üzenetek kódolása, titkosítása

8
Kriptográfia Az internetes biztonság alapja

• Célja
• titkosítás/visszafejtés
• egy adott bizalmas információ ne juthasson
  illetéktelenek
• birtokába azaz két, vagy több fél
  kommunikációja során
• csak az arra jogosultak férhessenek hozzá,
  illetve
• változtathassák meg a titkosított információkat
• a kommunikáló felek azonosítása
• az elküldött megbízás letagadhatatlansága
• információ lehallgatás megakadályozása
• A titkosító módszerek közös jellemzoje, hogy egy
  kódolatlan (plaintext) információhalmazból olyan
  kódolt információ halmazt (ciphertext) készít,
  melyet csak pótlólagos információ (kulcs)
  birtokában tudunk visszafejteni.

9
Modern kriptográfia 1/3
Minden kód feltörheto, kérdés hogy mennyi ido
alatt.
Cél gyakorlatilag feltörhetetlen legyen a
kód Olyan nehézségu titkosítást kell
választanunk, hogy egy esetleges feltörési
kísérlet eroforrás igénye (pénz, ido, emberi
eroforrás) nagyobb legyen, mint a feltört
információból elérheto haszon.
Megfeleloen robosztus rejtjelezo algoritmus
választása esetén a feltörés annál több idot,
illetve egyéb eroforrást vehet igénybe, minél
hosszabb kulcsot választunk a rejtjelezéshez.
Ha az algoritmus megfeleloen lett megírva, az
egyetlen lehetséges feltörési mód a kulcsok
próbálgatása (brute-force).
10
Modern kriptográfia 2/3
Egy átlagos számítógép másodpercenként 10 ezres
nagyságú kulcsot tud kipróbálni. A Cryptograpy
egyesült államokbeli cég által tervezett gép, a
Deep Crack melynek megalkotása dollármilliókba
került másodpercenként 90 milliárd kulcsot
próbál ki. A szimmetrikus kulcsú
titkosításoknál jelenleg nemzetközi szinten
elterjedt 56 bites kulcsú titkosításokat azonban
még ilyen hatalmas számítási kapacitás mellett
is átlagosan 3,5 nap alatt tudná csak
feltörni. Mindez egy átlagos számítógépnek több
mint 80 ezer évig tartana. A biztonsági okok
miatt az 56 bites kulcsokat felváltó 128 bites
kulcsok használatával a kipróbálandó kulcsok
száma akkora, hogy a föld összes számítási
kapacitását igénybe véve is hosszabb idore lenne
szükség, mint ahány éve a Világegyetem létezik.
11
Modern kriptográfia 3/3
Kulcs hossza (bit) Az összes kulcs teszteléséhez szükséges ido hossza (Deep Crack)
40 10 sec
56 7 nap
72 1 381 év
88 90 544 142 év
104 5 933 900 946 398 év
128 99 554 337 900 332 014 087 év
12
Titkosítási módszerek az Interneten

• Szimmetrikus kulcsú titkosítási algoritmusok
• a titkosításra és a dekódolásra ugyanazt a
  kulcsot használják
• a küldo félnek, és a fogadó félnek egyaránt
  ismernie kell a kulcsot
• (a kommunikáció megkezdése elott meg kell
  állapodniuk egy
• közös kulcsban, és azt titokban kell
  tartaniuk)
• az üzeneteket csak a titkos kulcs segítségével
  lehet dekódolni,
• így egy esetleges támadó a kommunikációt
  lehallgatva se tudja
• megérteni az üzeneteket, illetve rejtjelezni se
  tud egy hamis üzenetet
• több fél kommunikációja esetén mindenkinek
  mindenkivel
• külön-külön meg kell állapodnia egy közös
  kulcsban
• Aszimmetrikus kulcsú titkosítási algoritmusok
• nyilvános kulcsú titkosítás

13
Szimmetrikus titkosítási módszerek DES, RC2,
RC4 és Diffie-Hellman A kommunikálni akar
B-vel. Más csatornán például telefonon, vagy
floppyn továbbítva megállapodnak egy (Európában
40, az USA-ban 128 bites) kulcsban, majd a
kommunikáció során küldött üzeneteket ezzel a
kulccsal titkosítják. Az eljárás elonye, hogy
nagyon gyors. Hátránya, hogy mindig ugyanazzal a
kulccsal történik a titkosítás, ami biztonsági
kockázatot jelent, emellett nehézkes a kulcs
egyeztetése.      
14
Szimmetrikus titkosítási algoritmusok I.

• DES (Data Encryption Standard)
• Szimmetrikus kulcsú titkosítási eljárás, IBM
  fejlesztés, 64 bites blokkos
• rejtjelezés, vagyis a nyílt szöveg egy 64 bit
  méretu blokkjához rendel egy
• ugyanekkora rejtjeles blokkot.
• Az USA kormányának szabványa, az algoritmust
  1977-ben hozták
• nyilvánosságra. Bár a DES kifejlesztése óta
  több mint 20 év telt el,
• ma is élo, még engedélyezett szabvány, széles
  körben használják a
• polgári élet minden területén, jóllehet a DES
  elérte életciklusának végét.
• A kissé idejétmúlt algoritmus felváltására már
  több alternatíva is van
• a háromszor egymás után alkalmazott DES, vagy
  más alternatív
• algoritmusok (AES, IDEA, CAST, BLOWFISH).
• AES (Advanced Encryption Standard)
• 1997-ben pályázatot írtak ki a DES leváltására.
  Erre több pályázat is
• érkezett, de a válogatás és a különbözo
  megmérettetések még tartanak.
• A jövobeli gyoztes algoritmust AES-nek
  keresztelték.

15
Szimmetrikus titkosítási algoritmusok II.

• IDEA (International Data Encryption Algorithm)
• Nyolc input bájtot nyolc output bájtra képezo
  blokkos rejtjelezo
• algoritmus. Kulcsmérete 128 bit. Svájcban
  fejlesztették ki 1990 és
• 1992 között. Kifejezetten adatátvitelhez
  tervezték, beleértve a
• digitalizált hang/kép valós ideju kódolását is.
  A PGP régebbi verziói is
• használták. Szabadalmi bejegyzése van, és így
  (üzleti)
• felhasználásához licenszdíjat kell fizetni. Egy
  ideig a DES
• ellenfelének tunt, de ma már nem igazán
  preferálják, kissé háttérbe
• szorult.

16
Szimmetrikus algoritmusok elonyei

• A szimmetrikus algoritmusok gyorsak, így jól
  használhatók
• olyan alkalmazásokban, melyek nagy adatátviteli
  sebességet
• igényelnek.
• Néhány hardver megvalósítás sebessége a 10-100
  Mbit/s
• sebességet is eléri. A szoftver megvalósítások
  lassabbak,
• általában csak 1-2 Mbit/s sebességuek.
• Az alkalmazott kulcsok viszonylag rövidek.
  (56-128 bit)
• A szimmetrikus kódolóknak igen boséges
  történelmi
• elozménye van.
• A gyakorlati és elméleti ismeretek bovülése
  elvezetett az ókori
• Caesar kódolóktól a '70-es évek DES
  algoritmusáig.

17
Szimmetrikus algoritmusok hátrányai

• Egy kommunikációban a kulcsoknak mind a feladó,
  mint a címzett
• oldalán titokban kell maradniuk, egészen a
  kommunikációs
• folyamat(ok) végéig.
• Nagy hálózatokban vagy olyan szervezetekben,
  ahol sok ember
• kíván egymással érintkezésbe lépni, a kezelendo
  (és megosztandó)
• kulcsok száma a résztvevok (n) számával
  négyzetesen arányos.
• A feleknek a kommunikációs folyamatok megkezdése
  elott kulcsot
• kell cserélniük egymással egy biztonságos
  csatorna használatával.
• Ha a kulcsokat valamilyen oknál fogva meg kell
  változtatni, akkor
• a lehallgatás veszélyét is magában foglaló
  kulcs cserét meg kell
• ismételni.
• A rövid kulcsok kedveznek a brute-force
  támadásnak, ezért azokat
• minél surubben cserélni kell (legalább a
  feltételezett feltörési idon
• belül). A sok partner esetén megvalósított
  gyakori kulcs-csere
• azonban nagy hálózati forgalmat is generál,
  pontosan a kapcsolatok
• nagy száma miatt.

18
Biztonsági követelmények Szimmetrikus titkosítás

• Authentikáció mivel a kulcsot minimum ketto fél
  ismeri nem
• állapítható meg bizonyosan, hogy a két fél
  közül melyik küldött el egy
• kérdéses üzenetet
• Authorizáció az authorizáció követelményeinek
  eleget tesz
• Titkosság, bizalmasság alapvetoen eleget tesz a
  bizalmasság
• követelményének
• Adatintegritás (data integrity) mivel az
  adatokat csak a megfelelo
• kulccsal lehet megváltoztatni, eleget tesz
  adatsértetlenség elvének
• Letagadhatatlanság elve mivel minimum két fél
  ismeri a titkos
• kulcsot, a szimmetrikus kulcsú algoritmussal
  végzett kódolás
• önmagában használva nem tesz eleget a
  letagadhatatlanság elvének

19
Aszimmetrikus titkosítás 1/2
Nyilvános kulcsos módszer ezen eljárás egy
1976-ban született matematikai megoldás.
Legismertebb megvalósítása az RSA, melyet három
matematikus (Rivest, Shamir és Adelman) dolgozott
ki 1977-ben az USA MIT (Massachusetts Institute
of Technology) egyetemén. Lényege, hogy minden
résztvevo (címzett és feladó egyaránt)
rendelkezik két kulccsal egy titkossal és egy
nyilvánossal. A kulcsokat egy erre a célra
fejlesztett programmal állítja elo mindenki,
saját magának. A két kulcs egyszerre jön létre
a titkosat eltesszük magunknak, a nyilvánosat
pedig (akár e-mailen is) elküldjük mindazoknak,
akikkel levelezni szeretnénk.
20
Aszimmetrikus titkosítás 2/2
A nyilvános kulcsú rejtjelezés alapötlete, hogy a
kódolás folyamatát elválasztja a dekódolástól,
és olyan algoritmust használ, ahol a kódoláshoz
használt paraméter nem azonos a dekódoláshoz
használt paraméterrel, és a kódoláshoz használt
paraméterbol nem határozható meg a dekódoláshoz
szükséges paraméter a módszer ismeretében sem.
A nyilvános kulcsú titkosítással elküldött
üzenet egy olyan ládához hasonlítható, melyet
bezárni a nyilvános kulccsal, de kinyitni már
csak egy másik, a titkos kulccsal lehet. Ezek a
kulcsok egymással összefüggnek a titkos
kulccsal lehet megfejteni azt az üzenetet, amit a
nyilvános kulccsal kódoltak.
21
Aszimmetrikus (nyilvános kulcsú) titkosítási
módszerek RSA A kommunikálni akar B-vel.
Mindketten eloállítanak két (Európában 512, az
USA-ban 1024 bites) kulcsot. A kulcspárok
olyanok, hogy amit az egyikkel titkosítottak,
azt csak és kizárólag a kulcs párjával lehet
megfejteni. Az egyik kulcsot mindketten elrejtik
a számítógépükben, a másikat szabadon
hozzáférhetové teszik a másik, vagy akár
mindenki számára. Tegyük fel, hogy A üzenetet
küld B-nek, és már ismeri B nyilvános
kulcsát. A a küldendo csomagot B nyilvános
kulcsával titkosítja. Ezzel elérte, hogy azt
csak B titkos kulcsával lehet megfejteni, így
A biztos lehet abban, hogy csak B juthat
hozzá a küldött információhoz, mivel B saját
titkos kulcsának egyetlen ismeroje.
22
Aszimmetrikus (nyilvános kulcsú) titkosítási
módszerek RSA
Az eljárás elonye a nagy biztonság hátránya,
hogy igen lassú. Ezért az ilyen fajta
kommunikációt webes alkalmazások esetében
általában a DES kulcs egyeztetésére szokták
használni. Az e-mail titkosítása és aláírása
azonban tisztán RSA-val zajlik.
A nyilvános kulcsos titkosítás feltalálása után
közel 15 évig az állami titkosszolgálatok
monopóliuma volt. 1991ben Phil Zimmermann
megírta az algoritmust PCre (PGP, Pretty Good
Privacy) és feltette az Internetre.
23
Aszimmetrikus algoritmusok elonyei I.

• A nagy létszámú résztvevovel rendelkezo
  kommunikációs hálózatokban
• sem jelent különösebb nehézséget a kulcsok
  megosztása. Ha n partner
• van, akkor n darab nyilvános kulcsot kell
  kezelni.
• Mivel az aszimmetrikus algoritmusok nehéz
  matematikai problémákon
• alapulnak és kulcsaik jóval hosszabbak, mint a
  szimmetrikus kulcsok,
• ezért a kulcsokat nem kell gyakran (esetleg
  minden kommunikációs
• folyamat elott) cserélni, egy - egy kulcs
  évekig használható.
• Biztosítható a levelek hitelességének
  ellenorzése. Ez úgy történik, hogy
• a levél feladója a levelet eloször a saját
  titkos kulcsával, majd a címzett
• nyilvános kulcsával zárja le. A címzett a
  kapott levelet eloször kinyitja
• saját titkos kulcsával, majd a feladó nyilvános
  kulcsával ellenorzi, hogy
• a levelet valóban a feladóként szereplo személy
  küldte.

24
Aszimmetrikus algoritmusok elonyei II.

• Az igen hosszú kulcsok lehetetlenné teszik a
  brute-force támadást.
• Mivel a titkosítás és a visszafejtés folyamata a
  legtöbb aszimmetrikus
• rendszerben felcserélheto, ezért ezek az
  algoritmusok hatékonyan
• használhatók digitális aláírás rendszerekben.
  Az egyediséget biztosító
• titkos kulcs lehetové teszi a jó digitális
  aláírás tulajdonságainak
• teljesítését.
• Azok is tudnak titkosított üzenetet váltani,
  akik nem is ismerik egymást,
• elég, ha elozoleg kicserélték nyilvános
  kulcsaikat.

25
Aszimmetrikus algoritmusok hátrányai I.

• Szükség van egy megbízható harmadik félre (TTP,
  trusted third party)
• aki garantálja, hogy a nyilvántartásában
  szereplo felhasználónév és a
• hozzá tartozó nyilvános kulcs valóban
  összetartozik.
• Az algoritmusok általában lassúak, nem tudják a
  gyakorlatban elvárt
• válaszidoket teljesíteni. Emiatt gyakran a
  szimmetrikus algoritmusok-
• kal együtt használják oket.
• A kulcsok mérete általában sokkal hosszabb, mint
  a szimmetrikus
• algoritmusok 56-128 bites kulcsa, például az
  RSA ajánlása szerint a
• napjainkban generált kulcsoknak 1024-2048
  bitesnek kell lennie.
• Ebbol következoen a digitális aláírások mérete
  is hasonlóan hosszabb.
• A kulcsmenedzsment és egyéb muveletek nagyobb
  adatmennyiség
• mozgatását igénylik, mint a szimmetrikus
  algoritmusok esetében.

26
Aszimmetrikus algoritmusok hátrányai II.

• Egyetlen algoritmus sem nyújt elméleti
  titkosítást, mert a legtöbb
• megoldás valamilyen nehezen megoldható
  matematikai problémán
• alapszik. Ez azt jelenti, hogy az algoritmusok
  az alkalmazott matematikai
• muveletek inverzeivel dekódolhatóak. Azonban
  egy-egy ilyen inverz
• alkalmazásához olyan részeredményekre van
  szükség, melyek eloállítása
• jelenleg idoben vagy társzükségletben
  lehetetlen. Az RSA kódolásban
• a moduláris hatványozás inverze, a moduláris
  logaritmus jelentheti a
• kulcs nélküli dekódolást, azonban ehhez szükség
  lenne a kulcs
• prímtényezos bontására. Csakhogy a kulcs
  szándékosan olyan nagy,
• hogy a tényezokre bontása lehetetlen feladat.
• A rövid kulcsok kedveznek a brute-force
  támadásnak, ezért azokat minél
• surubben cserélni kell (legalább a
  feltételezett feltörési idon belül). A
• sok partner esetén megvalósított gyakori
  kulcs-csere azonban nagy
• hálózati forgalmat is generál, pontosan a
  kapcsolatok nagy száma miatt.

27
Biztonsági követelmények Aszimmetrikus
titkosítás

• Authentikáció a privát kulcsot kizárólag
  egyetlen ember ismeri,
• így az azonosításnak nincsen akadálya
• Authorizáció az authorizáció követelményeinek
  eleget tesz
• Titkosság, bizalmasság alapvetoen eleget tesz a
  bizalmasság
• követelményének
• Adatintegritás (data integrity) mivel az
  adatokat csak a megfelelo
• kulccsal lehet megváltoztatni, eleget tesz
  adatsértetlenség elvének
• Letagadhatatlanság elve digitális aláírás
  esetén, mivel a titkos kulcsot
• csak egyetlen ember ismeri eleget teszt a
  letagadhatatlanság elvének

28
Aszimmetrikus titkosítási algoritmusok I.

• RSA
• R. Rivest A. Shamir és L. Adleman által
  feltalált nyilvános kulcsú
• rendszer .
• Legyen a nyilvános kulcs e, m, a titkos d, m az
  üzenet x. A rendszer
• alapja hatványozás modulo m, ahol m pq két
  nagyjából azonos méretu
• prím szorzata. A titkos kulcs a nyilvános
  kulcsból csak a prímek
• ismeretében számítható. Ha m elég nagy, akkor
  faktorizálása elfogadható
• ido alatt nem lehetséges. A két kulcs
  kapcsolata ed1 modulo
• (p-1)(q-1). A rejtjelzett üzenet y x e.dik
  hatványon, míg a megoldó
• transzformáció x y a d. hatványon.
• A két kulcs közötti reláció biztosítja, hogy x
  x.
• A nyilvános kulcsú enkriptálás legismertebb
  példája. A külföldi banki
• átutalásokat lebonyolító SWIFT rendszer
  titkosítása is RSA rejtjelezésen
• alapul.

29
Aszimmetrikus titkosítási algoritmusok II.

• PGP (Pretty Good Privacy)
• 1991-ben Philip Zimmermann olyan programot írt,
  amely az RSA
• nyilvános kulcsú módszert az IDEA szimmetrikus
  kulcsú módszerrel
• kombinálva e-mail (és fájl) titkosítására teszi
  alkalmassá. Az újabb
• verziók már DSS/SHA - CAST algoritmusokat is
  használják.
• A program igen sok port és vitát kavart a
  kormányzati szinten, mert
• egyrészt az engedélyezett méretu kulcsokon túl
  a jóval hosszabb és
• biztonságosabb kulcsok használatát is lehetové
  tette, másrészt
• nemzetközi elterjedése (az Interneten
  keresztül), megsértette az USA
• fegyverexport tilalmát.

30
Gyakorlatban alkalmazott módszerek I.
Fingerprint (ujjlenyomat) one-way hash v.
MAC SHA és MD5 Az ujjlenyomat nem titkosításra
szolgál, hanem ezzel az eljárással lehet
biztosítani, hogy a csomagot a kézbesítés során
nem változtatja meg senki. A kommunikálni
akar B-vel. Mindkettojük számára fontos, hogy
az információt az átküldés alatt ne változtassa
meg senki, vagy ha mégis, akkor arról B
egyértelmuen tudomást szerezzen. A ezért az
elküldött adatokról vagy levélrol egy függvény
segítségével egy rövid (SHA esetén 160 bites,
MD5 esetén 128 bites) kulcsot, más néven
ujjlenyomatot készít, és csatolja az átküldendo
adatokhoz. Az ujjlenyomat olyan természetu, hogy
az ujjlenyomatból nem lehet eloállítani a csomag
eredeti tartalmát és ha a csomagban 1 bitet
megváltoztatnak, akkor az arról készült
ujjlenyomat a bitek kb. felében nem fog egyezni
az eredeti ujjlenyomattal.
31
Ujjlenyomathoz alkalmazott algoritmusok

• MAC (Message Authentication Code)
• Olyan kulcstól függo kontrollösszeg, amely a
  vevooldalon az adatok
• véletlen és szándékos módosítását egyaránt
  képes detektálni.
• Hash-függvény
• Olyan transzformáció, amely egy tetszoleges
  hosszú szöveg digitális
• 'ujjlenyomatát' készíti el. Az 'ujjlenyomat'
  fix hosszú bitsorozat amely
• jellemzo az adott szövegre abban az értelemben,
  hogy más szöveghez
• szinte biztosan más hash érték tartozik,
  illetve adott ujjlenyomathoz
• gyakorlatilag lehetetlen olyan szöveget találni
  amelynek ez a képe.
• Nevezik message digestnek is, a Digitális
  aláírás protokoll alkotórésze.
• Pl. MD5, SHA

32
Gyakorlatban alkalmazott módszerek II.
Digitális aláírás Az aláírás úgy jön létre, hogy
az ujjlenyomatot A a saját titkos kulcsával
titkosítja és ezután mellékeli az átküldendo
csomaghoz. Ebbol következik, hogy B biztos
lehet abban, hogy az ujjlenyomatot A
készítette, hiszen azt csak A publikus
kulcsával tudja kicsomagolni. Továbbá B biztos
lehet abban is, hogy a csomag nem módosult
útközben, ha az általa próbaképp elkészített
ujjlenyomat egyezik az A által készítettel.
Tehát B biztos lehet abban, hogy valóban
A-val kommunikál, és az adatokat az átvitel
során nem módosították, ill. azok nem sérültek
meg.
33
Digitális aláírás módszere, szabványai

• Digitális aláírás
• Személyek és/vagy digitális adatok
  hitelesítésére alkalmas módszer.
• Két részbol áll a személyhez kötött aláírást
  generáló részbol, s az
• ellenorzést bárki számára lehetové tevo
  részbol.
• Nyilvános kulcsú rendszer.
• DSA (Digital Signature Algorithm)
• DSS (Digital Signature Standard)

34
A digitális aláírás sémája nyilvános kulcsú
rendszerben
35
Digitális és hagyományos aláírás összehasonlítása
36
Elektronikus aláírás típusai

• Egyszeru elektronikus aláírás bármilyen adat,
  amely az elektronikus
• dokumentum aláíróját azonosítja, de nem kello
  biztonsággal
• Pl. ha egyszeruen odaírja valaki a nevét az
  elektronikus dokumentum
• Végére
• Fokozott biztonságú aláírás ha alkalmas az
  aláíró azonosítására,
• ha az aláírást létrehozó magánkulcs csak az
  aláíró befolyása alatt áll,
• továbbá ha az aláírást technikailag úgy oldották
  meg, hogy az aláírást
• követoen a dokumentumon tett mindenfajta
  módosítás érzékelheto
• Legyen
• Minosített elektronikus aláírás ha a fokozott
  biztonságú aláíráson
• túlmenoen további, a törvényben vagy más
  jogszabályban rögzített
• szigorúbb feltételeknek is megfelel

37
Elektronikus dokumentumok fajtái

• Elektronikus dokumentum
• minden elektronikusan érzékelheto adat
• Elektronikus irat
• minden elektronikus dokumentum, amely szöveg
• közlésére készült
• Elektronikus okirat
• minden elektronikus úton kötött szerzodés

38
Tanúsítványok
Bár a nyilvános kulcsú titkosítási algoritmusok
önmagukban biztosítják az adatok integritását,
azonban a megfelelo authorizáció, authentikáció
és letagadhatatlanság követelményeit csak
részben. Egy nyilvános kulcsú algoritmussal
titkosított üzenetváltáskor a címzett biztos
lehet abban, hogy egy üzenet tartalma nem
változott meg, illetve, hogy az üzenetet a titkos
kulccsal kódolták, azonban arról nem
lehet megbízható információja, hogy ki is
igazából a kulcs tulajdonosa. Létre kell hozni,
egy szervezetet, mely megbízható harmadik
félként garantálja a kommunikáló felek
(személy)azonosságát. Egy ilyen
hiteles közvetítot Tanúsítvány-kibocsátónak
(Certificate Authority, CA) nevezünk, a
tanúsítványokat pedig hitelesítésre használjuk
39
A tanúsítvány tartalma
40
Hitelesítési szolgáltatók (kulcskibocsátók,
kulcshitelesítok)

• Bárki lehet, aki
• élvezi valamennyi érintett fél bizalmát
• megfelelo tapasztalata van a biztonságos
  elektronikus adatátvitelben
• rendelkezik a szükséges technikai
  infrastruktúrával
• Magyarországon hitelesítési szolgáltatást nyújt
• Matáv
• GIRO Rt
• 2001. december 16-ával indította a hazai
  kereskedelmi bankok
• számára a GIRO Elszámolásforgalmi Rt. új
  szolgáltatását, amellyel
• lehetové tette az elektronikus aláírás
  használatát.
• A Tanúsítvány-kibocsátók a következo
  szolgáltatásokat nyújtják Tanúsítvány-kérelmek
  verifikálása Tanúsítvány-kérelmek
  feldolgozása Tanúsítványok kibocsátása és
  menedzselése

41
Gyökér szintu tanúsítvány kibocsátó

• a tanúsítvány kibocsátók (CA-k) tevékenységét
  felügyelo
• intézmény
• Magyarországon ezt a feladatot a Hírközlési
  Fofelügyelet (HIF)
• látja el
• CA tevékenység megkezdése elott nem kell
  engedélyt kérni (EU
• szabályozással összhangban), de nyilvántartás
  végett be kell
• jelenteni a HIF-nek
• a HIF folyamatosan ellenorzi, hogy a
  hitelesítési szolgáltatók a
• törvényben rögzített követelményeket betartják-e
• a szigorúbb követelményeket teljesíto
  szervezetek minosített
• hitelesítés-szolgáltatók lehetnek (minosített
  elektronikus aláírás
• hitelesítésére jogosult)

42
A hitelesítési szolgáltatás struktúrája
43
Nyilvános kulcsú infrastruktúra - PKI

• PKI (Public Key Infrastucture, nyilvános kulcsú
  infrastruktúra)
• hardver- és szoftverelemek, továbbá az
  elektronikus hitelesítési,
• azonosítási és titkosítási feladatokat megoldó
  elektronikus eljárások és
• szolgáltatások összessége.
• Biztosítja, hogy olyan szereplok tudjanak
  egymással elektronikus üzleti,
• vagy adminisztratív tranzakciókat lebonyolítani,
  amelyek nem ismerik
• egymást, és elozetesen nem állt módjukban
  megegyezéseket kötni a
• biztonságos információcsere módjáról .
• Mely biztonsági követelményeket elégíti ki
• Bizalmasság (confidentiality) az üzenetet a
  címzetten kívül
• más nem tudja elolvasni
• Azonosítás (authentication) hitelesen
  azonosítható az üzenet feladója
• Sértetlenség (integrity) nem változott-e meg
  az üzenet tartalma
• Letagadhatatlanság (non-repudiation)

44
Ajánlott irodalom, források, linkek I.

• Ködmön József Kriptográfia - Az informatikai
  biztonság alapjai
• A PGP kriptorendszer használata (ComputerBooks,
  1999)
• Internetes biztonság
• www.hszk.bme.hu/ca307/security.PDF
• Matematikai modellek az adattitkosításban
• 193.224.141.245/UjsagInfo/10/Schutzbach.htm
• Az információs rendszerek biztonsága, Internet
  és az adatbiztonság
• www.ik.bme.hu/mohacsi/rintergracio/infrendsz_bi
  zt.pdf
• Nemzetközi szabványok és ajánlások a
  kriptográfiában
• www.ilab.sztaki.hu/sztibor/szabvany/

45
Ajánlott irodalom, források, linkek II.

• Digitális aláírás, kriptográfia
• www.szgti.bmf.hu/mtoth/download/
• A PKI és a biometria
• www.login.hu/pki/pki.pdf

Egyéni feladat témák

• A kriptográfia jövoje
• DNS komputerek, kvantum komputerek
• Valamely titkosítási algoritmus(ok) ismertetése

46
Az E-business megjelenési formái
47
Az Internet hatása a vállalati tevékenységekre

• Kereskedelmi és termelo vállalatok
• ügyfélkapcsolatok kezelése
• marketing viral marketing, elektronikus
  reklámok
• Internet új értékesítési csatorna
• munkaero-toborzás és kiválasztás
• www.candidate.hu/cikkek/onlinetoborzas.php
• Pénzügyi szolgáltatók
• tozsde
• hitelügyintézés
• banki tranzakciók
• Kiskereskedelem
• online áruházak

48
CRM - Customer Relationship Management
Ügyfélkapcsolat Menedzsment A CRM egy olyan
rendszer, amely biztosítja az ügyfelek igényeinek
folyamatos felmérését, az ügyfelek pontosabb, az
igényeiknek leginkább megfelelo kiszolgálását,
eloremozdítva a szolgáltatók új termékeinek
hatékonyabb eladását.A CRM egy összetett
megközelítés, mely teljes mértékben integrálja
az értékesítés, ügyfélszolgálat, marketing,
szerviz és más ügyféllel kapcsolatos funkciókat.
49
Viral marketing
Viszonylag új eszköz Ennek lényege az, hogy az
üzenetet a felhasználók egy szukebb csoportja
számára (jogszeruen az olyan ügyfelek számára,
akik a részükre történo reklámcélú üzenetek
küldéséhez hozzájárultak) juttatják el, majd ezek
a felhasználók juttatják tovább az üzenetet saját
ismeroseikhez. Ilyen kampányok esetén arra kell
figyelmet fordítani, hogy az üzenetet
továbbküldonek ne kelljen megadnia ismeroseinek a
címét az üzenet eredeti küldoje számára, mivel ez
az adatkezelés az érintett hozzájárulásának
hiányában jogszerutlen.
50
Pénzügyi szolgáltatások
Internet bankok
Inter-Európa Bank www.ieb.hu OTP
Bank www.otpbank.hu Raiffeisen
Bank www.raiffeisen.hu Citibank www.citiban
k.hu Kereskedelmi és Hitelbank www.khb.hu CIB
Bank www.cib.hu Budapest Bank www.budapestb
ank.hu Volksbank www.volksbank.hu HBW
Express Takarékszövetkezet www.ebank.hu HVB
Hungary Nonstopbank www.nonstopbank.hu
51
Linkek

• TELEPIAC projekt
• informatika.bke.hu/root/Project/telepiac.nsf/
• Online áruházak mérlegen
• www.dotkom.hu/press5.html