Vortrag - Universität Tübingen

Bezahlen via Smartphone
für ein Regio-Geld
Bachelorarbeit
Man-Loon Yu
Eberhardt-Karls Universität Tübingen
Wilhelm-Schickard Institut für Informatik
Fachbereich Formale Sprachen/Theoretische Informatik
14. März 2013
Gliederung
●
Einleitung
●
Bezahlverfahren
–
P2P-Bezahlung
–
Verkaufsplattform
–
Bezahlen im Onlineshop
●
Sicherheit
●
Live-Demonstration
●
Fazit und Ausblick
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
2/39
Einleitung
●
Einleitung
●
Bezahlverfahren
–
P2P-Bezahlung
–
Verkaufsplattform
–
Bezahlen im Onlineshop
●
Sicherheit
●
Live-Demonstration
●
Fazit und Ausblick
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
3/39
Mobile Payment mit QR-Code
●
●
Alternative zur NFC-Technik
Einsatzbeispiele: SQWALLET, PayPal
QRShopping, cleap, PayCash
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
4/39
eKaay
sicheres Login-Verfahren
eKaay-App
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
5/39
eKaay TAN
●
Erweiterung zur Transaktionsabsicherung
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
6/39
Aufgabenstellung
●
●
Server für ein Regiogeld zur Verwaltung von
Kontoständen und Überweisungsfunktion
Bezahlungen mit dem Smartphone:
a) P2P-Bezahlung
b) interne Verkaufsplattform
c) Bezahlung im Online-Shop
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
7/39
Das Bezahlverfahren
●
Einleitung
●
Bezahlverfahren
–
P2P-Bezahlung
–
Verkaufsplattform
–
Bezahlen im Onlineshop
●
Sicherheit
●
Live-Demonstration
●
Fazit und Ausblick
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
8/39
P2P-Bezahlung
●
Einleitung
●
Bezahlverfahren
–
P2P-Bezahlung
–
Verkaufsplattform
–
Bezahlen im Onlineshop
●
Sicherheit
●
Live-Demonstration
●
Fazit und Ausblick
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
9/39
P2P-Bezahlung
Übersicht
(Empfänger)
(Zahlender)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
10/39
Account-Server
●
Basiert auf JavaServer Faces mit
PrimeFaces Komponenten-Framework
●
Gehostet auf Google App Engine
●
URL: http://regio-geld.appspot.com
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
11/39
Account Server
●
Login Und
Registrierung
Man-Loon Yu
●
Account-Verwaltung
●
Überweisung
Bezahlen via Smartphone für ein Regiogeld
12/39
eKaay-Server
●
externer Server
●
Sprache: PHP
●
Datenbank MySQL
●
Code nicht verändert
–
Man-Loon Yu
Ausnahme: Einstellungen in settings.php und
db_settings.php
Bezahlen via Smartphone für ein Regiogeld
13/39
Benutzer mit Smartphone
●
Technische Voraussetzungen:
–
eKaay App: Android/iOS
–
Fotokamera
–
Internetzugang
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
14/39
P2P-Bezahlung
Schritt 1
Zahlungsauftrag erstellen
Transaktion:
transID
Empfänger
Betrag
Verw.Zweck
Betrag, Beschreibung
(Empfänger)
(Zahlender)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
15/39
P2P-Bezahlung
Schritt 2
2D Code erstellen
Transaktion:
transID
Empfänger
Betrag
Verw.Zweck
IFrame
(+Zahlinformationen)
(Zahlungsinformation+Challenge)
(Empfänger)
(Zahlender)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
16/39
P2P-Bezahlung
Schritt 3
2D Code einscannen
Transaktion:
transID
Empfänger
Betrag
Verw.Zweck
(Zahlungsinformation+Challenge)
(Empfänger)
(Zahlender)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
17/39
P2P-Bezahlung
Schritt 4
Zahlung bestätigen
Transaktion:
transID
Empfänger
Betrag
Verw.Zweck
(Zahlungsinformation+Response)
(Empfänger)
(Zahlender)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
18/39
P2P-Bezahlung
Schritt 5
Transaktion verifizieren und Ausführen
Transaktion:
transID
Empfänger
Betrag
Verw.Zweck
=?
Zahlungsinf.:
transID
Empfänger
Betrag
Verw.Zweck
Zahlungsinformation
(Empfänger)
(Zahlender)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
19/39
eKaay-TAN Schnittstelle
I. Anforderung des 2D
Codes vom EkaayServer:
–
Erstellung des
2D-Codes
(challenge)
●
●
●
Man-Loon Yu
extid: ID der
Transaktion
text:
Empfänger,
Geldbetrag,
Beschreibung
descr (optional):
Text über dem
2D Code
Bezahlen via Smartphone für ein Regiogeld
20/39
eKaay-TAN Schnittstelle
●
II. Bestätigung vom
Ekaay-Server:
–
Aufruf des TANSuccess Scripts
auf dem
Account Server
Transaktion:
transID
Empfänger
Betrag
Verw.Zweck
●
●
●
Man-Loon Yu
=?
Zahlungsinf.:
transID
Empfänger
Betrag
Verw.Zweck
extid: ID der
Transaktion
text:
Beschreibung
der Transaktion
user:
Benutzername
des Bestätigers
(Zahlender)
Bezahlen via Smartphone für ein Regiogeld
21/39
Verkaufsplattform
●
Einleitung
●
Bezahlverfahren
–
P2P-Bezahlung
–
Verkaufsplattform
–
Bezahlen im Onlineshop
●
Sicherheit
●
Live-Demonstration
●
Fazit und Ausblick
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
22/39
Verkaufsplattform
Übersicht
(User 2)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
23/39
Verkaufsplattform
●
●
Angebote einstellen
und Verwalten
●
Angebote
durchstöbern
intern auf dem Account Server
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
24/39
Verkaufsplattform
Ablauf
Zahlungsbestätigung
Zahlungsinformationen
challenge
Response
Transaktion:
transID
Empfänger
Betrag
Verw.Zweck
(User 2)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
25/39
Bezahlen im Onlineshop
●
Einleitung
●
Bezahlverfahren
–
P2P-Bezahlung
–
Verkaufsplattform
–
Bezahlen im Onlineshop
●
Sicherheit
●
Live-Demonstration
●
Fazit und Ausblick
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
26/39
Bezahlen im Online-Shop
Übersicht
(Kunde)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
27/39
Online Shop
●
Einfacher Online-Shop mit Beispielartikel
●
Externer Server
●
URL: http://rg-demoshop.appspot.com
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
28/39
Bezahlen im Online-Shop
Transaktion:
transID
Empfänger
Betrag
Verw.Zweck
Ablauf
Zahlungsinformationen
Bestätigung
Zahlungsinformationen
Response
Browser
(Kunde)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
29/39
Schnittstelle: OnlineshopBezahlung
●
●
–
username: Benutzername des
Geldempfängers
–
description: Beschreibung
–
cost: Gesamtwert der Ware(n)
–
orderId(optional): Bestellnr für
interne zuordnung
HTTP-GET
●
HTTP-GET-Request mit
Parameter:
Account Server
Response: IFrame zur Erstellung
des 2D-Codes
Beispiel:
http://regio-geld.appspot.com/shop-transaction?username=fritz
&decription=1xbanane &cost=1.2&orderId=42122
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
30/39
Sicherheit
●
Einleitung
●
Bezahlverfahren
–
P2P-Bezahlung
–
Verkaufsplattform
–
Bezahlen im Onlineshop
●
Sicherheit
●
Live-Demonstration
●
Fazit und Ausblick
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
31/39
eKaay PIN
●
●
●
Erweiterung zu eKaay
PIN-Eingabe über eine
Bildschirmtastatur mit
permutierten
Zahlenfeld
Erhöhung der
Sicherheit
–
Schutz vor
Datendiebstahl
–
Schutz vor
Handydiebstahl
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
32/39
Sicherheitslücke
●
im Schaubild nochmal den Angreifspunkt
zeigen
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
33/39
Sicherheitslücke
●
Lösungsansatz:
–
Reverse Token(Wie beim eKaay-Login)
–
Überprüfung der IP des Absenders (HTTP
geht über TCP)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
34/39
Live-Demonstration
●
Einleitung
●
Bezahlverfahren
–
P2P-Bezahlung
–
Verkaufsplattform
–
Bezahlen im Onlineshop
●
Sicherheit
●
Live-Demonstration
●
Fazit und Ausblick
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
35/39
Live-Demonstration
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
36/39
Fazit und Ausblick
●
●
Bezahlverfahren mit eKaay TAN: sicheres
und bequemes Bezahlen mit beinahe jedem
Smartphone
Erhöhung der Sicherheit:
Speichern des Schlüssels auf einem
externen Datenträger(z.B. Smartcard)
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
37/39
Quellenverzeichnis
●
●
eKaay: http://www.ekaay.com/
Martin Marinscheck, Michael Kurz, Gearld Müllan: JavaServer Faces
2.0 - Grundlagen und erweiterte Konzepte, 2. Auflage
●
GAE: https://developers.google.com/appengine/
●
PrimeFaces http://www.primefaces.org/
●
●
●
Gfoerer: P2P-Payment via NFC:
http://www-ti.informatik.uni-tuebingen.de/~borchert/Troja/studdiplfiles/GfoererDiplom
SQWallet: http://www.sqwallet.de/
weitere QR-Payment Verfahren im Überblick:
http://paymentandbanking.com/2012/08/15/mobile-payment-angeboteauf-basis-von-qr-codes-und-nfc-in-deutschland-stand-15-08-2012/
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
38/39
Vielen Dank für
Ihre Aufmerksamkeit!
Man-Loon Yu
Bezahlen via Smartphone für ein Regiogeld
39/39