Comarch Mobile Security

An essential element of freedom is the right to privacy, a right that cannot be expected to stand against an unremitting technological attack.
Whitfield Diffie

Problem

Każda polityka bezpieczeństwa ma jeden słaby punkt - ustalenie prawdziwej tożsamości osoby, która chce uzyskać dostęp do informacji. Opieranie się wyłącznie na tym, co użytkownik wie nie jest wystarczające, gdyż zawsze istnieje możliwość, że inna osoba może daną wiedzę pozyskać. Jednakże wdrażanie dodatkowych urządzeń, które użytkownik powinien posiadać dla zabezpieczenia dostępu do informacji znacznie ogranicza ergonomię jego działania.

Szanse

W dzisiejszych czasach większość osób posiada urządzenie mobilne. Wystarczy więc, że wszystko, co użytkownik powinien posiadać zostanie umieszczone w takim urządzeniu w taki sposób, że nikt inny, nawet jeśli pozyska do niego dostęp, nie będzie w stanie tego wykorzystać.

Rozwiązanie

Comarch MobileID jest nową metodą uwierzytelniania i autoryzacji opartą na telefonii komórkowej:

• aplikacja jest middletem i jest pobierana z serwera na podstawie hasła i nr telefonu,
• pobieranie jest zabezpieczone PIN-em i indywidualnie generowanym linkiem przesyłanym w SMS,
• zawiera w sobie:
  - wygenerowane klucze użytkownika,
  - wbudowany bezpieczny kryptograficznie generator liczb pseudolosowych,
  - wbudowany algorytm symetryczny - AES,
  - wbudowany algorytm skrótu - SHA256,
• obsługuje protokół Radius,
• jest odrębnym produktem, który integruje się z Comarch Security Access Manager DRACO,
• działa praktycznie na każdym telefonie wyprodukowanym po 2002 roku,
• jest personalizowana,
• generowane hasła autoryzacyjne są jednorazowe i ważne 60 sekund.

Comarch MobilePKI jest rozwiązaniem wspierającym uwierzytelnianie i autoryzację przy pomocy technologii mobilnych.  Umożliwia korzystanie z pełnej Infrastruktury Klucza Publicznego (PKI) w telefonach komórkowych, wykorzystując kartę SIM.

• rozwiązanie oparte jest na aplikacji Java instalowanej na karcie SIM (w opcji pełnej z kryptoprocesorem), która zamienia komórkę w przenośną kartę kryptograficzną,
• zawiera klucz publiczny i prywatny niewymagający czytnika kart w celu złożenia podpisu,
• komunikacja „telefon - system transakcyjny banku” odbywa się poprzez SMS,
• jest kompatybilne ze standardem STK GSM 11.14,
• zastosowane są klucze RSA 1024 bity,
• generowanie kluczy odbywa się poprzez aplikację na karcie SIM (lub na karcie kryptograficznej),
• istnieje możliwość użycia wielu par kluczy,
• klucz prywatny jest chroniony PIN-em,
• istnieje możliwość odblokowania karty SIM przez SMS,
• jest łatwe w instalacji,
• pracuje na kartach SIM zgodnych ze specyfikacją JavaCard 2.1.1/2.2.1.