Modelos de uso de las Soluciones para el acceso a Redes Privadas Virtuales (VPN)

Transcripción

1 Modelos de uso de las Soluciones para el acceso a Redes Privadas Virtuales (VPN) basadas en procedimientos registrados por 3OTP en patentes internacionales el procedimiento principal registrado en las patentes fue galardonado con una medalla de plata en el Salon International des Inventions de Geneve Madrid, 2015

2 Propuesta 3OTP para acceso a VPN Nuestra visión Un único sistema de autenticación aplicable a toda la operativa financiera multicanal Un único medio de autenticación usando el teléfono móvil A continuación presentamos las siguiente soluciones de acceso a VPN 1. Solución de acceso a una Red Privada Virtual (VPN) real 2

3 Acceso en el móvil a la aplicación de autenticación multicanal de 3OTP 1- Instalación de la App 2- Acceso a la App 3- Landing page de la app a) Para abrir la app de autenticación escanee su código QR Opciones operativas Entrada al portal Confirmar operación b) Para abrir la aplicación teclee su PIN XXXX Acceder a la VPN Acceso Banca Móvil SALIR El propio usuario descarga la aplicación desde el portal de la empresa y la instala Dos opciones: a)escanear el código QR proporcionado al usuario b) teclear el PIN que el usuario ha elegido durante la instalación 3

4 1 Solución de acceso a una Red Privada Virtual (VPN) - 1 de Opciones de obtención de claves para Entrada al portal Confirmar operación Su clave de conexión es: Datos para conectarse a su VPN: Código de usuario: USUDEMO Clave de conexión: 7425 Acceder a la VPN Operar en datáfono SALIR

5 1 Solución de acceso a una Red Privada Virtual (VPN) - 2 de 2 OPERATIVA OPCIONAL DE CONFIRMACIÓN DE IDENTIFICADOR DE CONEXIÓN A SU CONEXIÓN SE LE HA ASIGNADO EL IDENTIFICADOR: Confirma que el identificador asignado a su conexión VPN es el: Bienvenido a su red privada virtual (VPN) SI NO 5

6 2 Características principales de las soluciones propuestas(1/2) Se utiliza un único sistema para soportar las diferentes soluciones de autenticación de la operativa empresarial. Un único dispositivo de autenticación, el teléfono móvil del usuario. No hace uso de la SIM del móvil por lo que es independiente del operador de telefonía móvil. La aplicación se la descarga e instala de forma autónoma el propio usuario desde el portal de su empresa. Permite una sustitución escalonada de los distintos sistemas de autenticación en uso, normalmente ligados a una única aplicación informática, por un único sistema válido para la variada operativa de empresa. Los servicios de autenticación soportados para un cliente concreto se adaptan al perfil y necesidades del cliente, ya que no es obligatorio tener activadas todas las soluciones soportadas por el sistema. Posible integración y coexistencia con los sistemas de autenticación y confirmación de operaciones existentes. Pueden coexistir con otros sistemas de seguridad como DNI electrónico, lectores de huellas digitales o vocales, etc. Autenticación multifactor, de hasta nivel 3, en la que se necesita saber algo (PIN o QR), disponer de algo (Aplicación en el móvil) y, opcionalmente, hacer algo (consultar una tarjeta de claves o token). 6

7 2 Características principales de las soluciones propuestas(2/2) Autenticación mutua entre usuario y banco basada en el intercambio de tres claves OTP, en la que el usuario no termina la operación de autenticación hasta que se asegura de estar hablando con el banco, además de evitar una suplantación de personalidad del emisor con consecuencias no deseadas. Los mensajes que viajan hacia o desde los dispositivos van cifrados por una clave OTP. Así, aunque un delincuente intercepte el mensaje enviado al móvil no podrá cometer los fraudes que se basan en su conocimiento y modificación en modo online, por ejemplo, la interceptación y uso fraudulento de los SMS. El riesgo del robo del móvil, o de la aplicación del móvil junto con su tabla de claves, está protegido por, además del identificador del usuario que normalmente es requerido para poder operar, el PIN o código QR de inicio de la aplicación y la personalización de la aplicación cuando se descarga e instala en el móvil. Opcionalmente, se puede hacer uso de una clave almacenada en una tarjeta de claves o token sin la cual no es posible terminar la autenticación con lo que también necesitarían de este nuevo dispositivo externo al móvil para poder operar. Se combina la encriptación de mensajes y la utilización de un segundo canal de comunicación de forma que el riesgo de sufrir un ataque tipo Man In The Middle (MITM) sea mínimo. En el caso de confirmación de operaciones, el usuario debe confirmar que son correctos los datos de la solicitud de operación económica que le ha llegado a la empresa (banco) y que se reenvía a la aplicación de su móvil en un mensaje encriptado por una clave OTP que hace imposible su manipulación online. Así, si algún delincuente hubiera cambiado la información enviada al banco (fraude MITM) el usuario se daría cuenta y rechazaría la operación 7