UNIVERSIDAD DE CUENCA FACULTAD DE INGENIERIA MAESTRIA EN TELEMATICA. Resumen

Transcripción

1 Resumen El presente trabajo hace un estudio profundo del tema de seguridad orientada a transacciones financieras con las tecnologías móviles e internet, esta dividido en seis capítulos, en los tres primeros capítulos se establece la necesidad de securizar la parte transaccionalidad que realizan los clientes hacia las instituciones financieras, revisa las tecnologías para desarrollo de aplicaciones móviles e Internet y presenta un marco teórico de los métodos de seguridad y mecanismos de encriptado existentes, los tres últimos seleccionan el método más adecuado para utilizar en ambientes de transacciones financieras seguras, se utiliza una aplicación limitada desarrollada para realizar transacciones seguras como una implementación de lo analizado en todo el trabajo, tanto para ambiente móvil como internet. Para verificar que el intercambio de datos durante la ejecución de transacciones se realiza de manera segura, se ejecuta una aplicación limitada y se utiliza el programa de captura de tráfico wireshark. Los datos capturados demuestran que la negociación de protocolo SSL usado entre el cliente y la máquina servidora de la institución financiera es ING. GUILLERMO SEGUNDO CABRERA PALACIOS 1

2 realizada con datos encriptados, es decir las transacciones son seguras. El trabajo termina con propuestas para estudios posteriores orientados a sistemas que garanticen no repudio, y además la utilización de nuevas plataformas. Palabras Claves: Transacciones Financieras Seguras, Ambientes Móvil e Internet, Mecanismos Criptográficos, Tecnologías de Desarrollo de Software Móviles, Aplicación de Transaccionalidad Segura por Móvil e Internet ING. GUILLERMO SEGUNDO CABRERA PALACIOS 2

3 Abstract This work deeply studies the topic of financial-transaction oriented security using mobile technologies and the internet. This document is divided into six chapters, which have both theoretical and practical components. The first three chapters emphasize the need for securing user transactions; briefly review the current technologies for mobile and internet application development; and, present a theoretic framework of encryption and security methods for network applications. The last three chapters select the best adequate method for implementing secure transactional environments; implement a secure architecture based on public key, for demonstration and testing purposes, implement a small and limited transactional application that runs over this secure architecture. To test that the data exchanged during the transaction execution is secure, a limited application is executed and the sniffer program called wireshark is used. Data captured by Wireshark demonstrate that the SSL protocol data negotiation used between the client and the financial institution server is done utilizing encrypted data, i.e. the transactions are indeed secure. Finally, some ideas for future work are proposed. This ideas include: (i) secure systems that guarantee the non rejection feature, which is achieved by utilizing certificates ING. GUILLERMO SEGUNDO CABRERA PALACIOS 3

4 stored in SIMS cards of mobile devices; and, (ii) new development platforms for mobile applications. ING. GUILLERMO SEGUNDO CABRERA PALACIOS 4

5 RESUMEN Resumen... 1 Abstract... 3 Introducción Estado del Arte Realidad Mundial: Situación en el Ecuador: Problemas a ser resueltos: Descripción del Problema Necesidad a ser satisfechas: Justificación del Proyecto de Tesis Objetivos: Generales Específicos Alcance del Proyecto Método de Trabajo CAPITULO Importancia de la tecnología y la seguridad en las Instituciones financieras ING. GUILLERMO SEGUNDO CABRERA PALACIOS 5

6 Breve Historia de Banca y Tecnología: Marco Actual: Condiciones para Banca Electrónica: Requerimientos de Seguridad en Instituciones Financieras: 34 CAPITULO Estudio de las tecnologías móvil e Internet Tecnología POS: Tecnología WAP: Arquitectura de WAP Tecnología J2ME: Arquitectura del entorno de ejecución de J2ME Tecnología SMS: Tecnología Internet Mobile: CAPITULO Estudio de los métodos de seguridad y mecanismos de cifrado para implementación de transacciones móviles seguras e Internet seguro CAPITULO Comparación y Selección de alternativas de Seguridad adecuadas para implementación de transacciones móviles e Internet para Instituciones Financieras ING. GUILLERMO SEGUNDO CABRERA PALACIOS 6

7 Transacciones Seguras en Internet: Descripción y Comparación de Servicios de Seguridad: SSH PGP KERBEROS SSL S/MIME IPSEC CAPITULO Implementación de una Aplicación limitada en base al estudio y Análisis realizado en los puntos anteriores Implementación de Transaccionalidad Móvil Segura: Esquema General de implementación: DESARROLLO WML: Estructura de un Proyecto Java Desarrollo SERVLET: Desarrollo de Clases Adicionales: Configuración de certificado de seguridad: Implementación de Transaccionalidad Segura en Internet:107 Desarrollo con JSP ING. GUILLERMO SEGUNDO CABRERA PALACIOS 7

8 Herramienta IDE Presupuesto Referencial de una implementación de transaccionalidad móvil segura CAPITULO Análisis de resultados, conclusiones, recomendaciones y líneas de futuras investigaciones Resultados obtenidos: Conclusiones y Recomendaciones Líneas de Futuras Investigaciones Bibliografía ING. GUILLERMO SEGUNDO CABRERA PALACIOS 8

9 UNIVERSIDAD DE CUENCA APLICACIÓN DE MECANISMOS CRIPTOGRAFICOS PARA GARANTIZAR TRANSACCIONES FINANCIERAS SEGURAS EN AMBIENTES MOVIL E INTERNET PROYECTO DE GRADUACIÓN PREVIO A LA OBTENCIÓN DEL GRADO DE MAGISTER EN TELEMÁTICA REALIZADO POR: ING. GUILLERMO SEGUNDO CABRERA PALACIOS DIRECTOR DR. DIEGO ARTURO PONCE VÁSQUEZ 31 DE JULIO DEL 2009 CUENCA-ECUADOR ING. GUILLERMO SEGUNDO CABRERA PALACIOS 9

10 AGRADECIMIENTO: Al doctor Diego Ponce Vásquez, director de esta tesis de master, por la gran colaboración prestada en el desarrollo de este trabajo final. A la Cooperativa de Ahorro y Crédito Jardin Azuayo en nombre del economista Juan Carlos Urgilés sin quienes estos estudios no hubieran sido posibles. A todas las personas que organizaron este curso de Master, que realmente ayudaron a que los que seguimos el mismo sea un aporte integral para nuestro desarrollo profesional y como personas. A mi amigo Lizandro que a la distancia estuvo apoyándome para no flaquear en momentos difíciles del curso de master. A todos los que no menciono, pero que han contribuido a animar esta consecución. ING. GUILLERMO SEGUNDO CABRERA PALACIOS 10

11 DEDICATORIA Este Proyecto Final de Master lo dedico a mi esposa María Fernanda, a mi hijo Guillermo David y a mi madre Nancy. A la memoria de mis abuelos Maria Teresa y Guillermo. ING. GUILLERMO SEGUNDO CABRERA PALACIOS 11

12 OBSERVACION: El contenido de esta tesis es de absoluta responsabilidad del autor. ING. GUILLERMO SEGUNDO CABRERA PALACIOS 12

13 Introducción El avance rápido de la tecnología en los últimos años han ocasionado que las comunicaciones se desarrollen de una manera vertiginosa, permitiendo que la gente se relacione de una manera mucho más rápida, abriendo nuevas maneras de llevar a cabo las actividades que hace un tiempo no muy lejano eran imposibles de implementarlas (por ejemplo teletrabajo, telemedicina, teleducación, comercio electrónico, banca electrónica, etc.), permitiendo romper esquemas de distancias y tiempo, mejorando la productividad (sistemas dedicados 7x24x365), optimizando los recursos, posibilitando la oferta de servicios a la carta, haciendo que las empresas mejoren su competitividad brindando los medios tecnológicos que propicien las mismas opciones de servicio que disponen las empresas que tienen una infraestructura pequeña comparadas a otras, reduciendo sus costos fijos tales como: gastos de personal, publicidad, comunicación entre otros) y aumentando sus ingresos. El Internet es la herramienta que más ha contribuido a todos estos cambios, actualmente se puede encontrar negocios virtuales que ofrecen un sin número de servicios a sus clientes, el sistema ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

14 financiero sudamericano no es la excepción, partiendo en las décadas de los 70s y 80s con la instalación de los primeros cajeros automáticos, los cuales contaban con una tarjeta electrónica y un código de identificación personal, posterior a eso en la década de los 90s comienza la banca por teléfono, que permite realizar operaciones financieras con una simple llamada, luego el auge de Internet permite a las instituciones financieras, crear sus portales virtuales, y montar una gama de servicios sobre las plataforma web, y por último hoy en día tenemos la tendencia de la utilización de equipos móviles sobre los cuales también se permite la navegación en Internet mediante protocolos y estándares propios desarrollados para los mismos, todas estas etapas por las cuales las instituciones financieras han transitado han involucrado una integración con su núcleo principal de negocio, con adecuada infraestructura tecnológica, programas y mecanismos de seguridad, debido a la información tan delicada de clientes que se maneja y a la rendición de cuentas a las instituciones de control. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

15 Sin duda, es determinante esta evolución experimentada en los últimos tiempos de convertirse en Banca Electrónica, ofreciendo el servicio por el cual se puede tener acceso a la institución bancaria por medio de una computadora personal o dispositivo móvil conectado a Internet. Hoy en día la Banca Electrónica vía Internet se ha convertido en el instrumento de mayor importancia en todos los sectores financieros que pretenden estar a la vanguardia en la tecnología de las comunicaciones. Este trabajo trata de promover el uso confiable y seguro de las tecnologías móviles e Internet para realizar transacciones con los clientes de una institución financiera. Brinda además la posibilidad de llegar a esas transacciones a gente que se encuentra alejada de los centros urbanos y que no dispone del tiempo ni recursos para llegar a cada momento para realizar una operación bancaria, con tan solo tener una capacitación adecuada y acceso a una conexión móvil o Internet. La consolidación de nuevos modelos de negocios en el campo financiero como B2B 1 en el que se contempla modelos formales y de asunción de riesgos, sistemas de intercambio automatizados y de negocios 1 B2B=Business to Business ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

16 basados en agentes, y una gama amplia de complejos sistemas auxiliares, como cámaras de compensación y liquidación, las redes privadas virtuales o el sistema EDI 2, B2C 3 que es el modelo que primordialmente se aplica en el área bancaria para satisfacer las necesidades de los usuarios, que se basa en tecnologías estándares y de amplia aceptación, como los navegadores de Internet, controles de seguridad a través de encriptado y certificados digitales y finalmente el modelo B2G 4 que constituye sistemas para interacción con entidades de control como las superintendencias de bancos. Estos modelos han permitido desarrollar un conjunto muy amplio de servicios como consultas de saldos de cuentas corrientes, de ahorro, plazo, fijo, líneas de crédito, tarjetas de crédito, inversiones, solicitudes de chequeras, remesas, préstamos, transferencias entre cuentas locales, pagos de servicios e impuestos, pagos a terceros, cheques certificados, quejas y reclamaciones entre otros, haciendo uso de identificación de usuario y clave de acceso, con la comodidad de realizar estas transacciones EDI= Electronic Data Interchange B2C=Business to Customer B2G= Business to Government ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

17 desde cualquier parte desde una computadora con acceso a Internet. Los retos que se abren en la actualidad son en base a las necesidades de realizar transacciones bancarias desde cualquier sitio y utilizar equipos móviles que no sean necesariamente una computadora personal o portátil, permitiendo a las instituciones financieras que proveen estos servicios sobresalir sobre la competencia y garantizando la Autenticidad, privacidad, integridad y no repudio con la implementación de controles de seguridad adecuados. Este trabajo se organiza en cuatro aspectos principales: la necesidad de establecer la importancia de la tecnología y la seguridad en las instituciones financieras, la realización de un estudio de las tecnologías móviles e Internet adecuadas, un estudio necesario de los métodos de seguridad y mecanismos de cifrado para implementar transacciones seguras en móviles e Internet y la implementación de una aplicación limitada en donde se consideren las alternativas adecuadas para las empresas financieras. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

18 Estado del Arte Realidad Mundial: En la actualidad se van consolidando nuevos modelos de negocios en el campo financiero a nivel mundial, de allí que surge el B2B(Business to Business) en el que se contempla modelos formales y de asunción de riesgos, sistemas de intercambio automatizados y de negocios basados en agentes, y una gama amplia de complejos sistemas auxiliares, como cámaras de compensación y liquidación, las redes privadas virtuales o el sistema EDI (Electronic Data Interchange), B2C(Business to Customer) que es el modelo que primordialmente se aplica en el área bancaria para satisfacer las necesidades de los usuarios, que se basa en tecnologías estándar y de amplia aceptación, como los navegadores de internet, controles de seguridad a través de encriptación y certificados digitales y finalmente el modelo B2G(Business to Government) que constituyen sistemas para interacción con entidades de control como las superintendencias de bancos. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

19 Estos modelos han permitido desarrollar un conjunto muy amplio de servicios como consultas de saldos de cuentas corrientes, de ahorro, plazo fijo, líneas de crédito, tarjetas de crédito, inversiones, solicitudes de chequeras, remesas, préstamos, transferencias entre cuentas locales, pagos de servicios e impuestos, pagos a terceros, cheques certificados, quejas y reclamaciones entre otros, haciendo uso de identificación de usuario y clave de acceso, con la comodidad de realizar estas transacciones desde cualquier parte mediante una computadora con acceso a internet. Nuevos retos se abren con el avance de la tecnología, ya que las necesidades de realizar transacciones bancarias desde cualquier sitio y utilizar equipos móviles que no sean necesariamente una computadora personal o portátil, está tomando y ganando gran fuerza, permitiendo a las instituciones financieras que proveen estos servicios sobresalir sobre la competencia y garantizando la Autenticidad, privacidad, integridad y no repudio de las mismas gracias a la implementación de controles de seguridad adecuados. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

20 Situación en el Ecuador: En el Ecuador el sistema financiero al igual que en el resto del mundo trata siempre de estar a la par con la tecnología, implementando sus portales virtuales y permitiendo a sus clientes realizar transacciones desde los mismos con total confiabilidad y seguridad utilizando internet, ya que comprenden la necesidad y la importancia de contar con este tipo de servicios. Con el mejoramiento de las telecomunicaciones sin embargo se vienen nuevos retos para la banca e instituciones financieras como son las soluciones que permitan cubrir las necesidades de suplir a sus clientes de sus servicios en dispositivos móviles, con el objetivo de tener una característica diferenciadora del resto de instituciones, y permitir el acceso a las transacciones a los clientes desde cualquier dispositivo, sin distinción. El Banco de Guayaquil con su nuevo servicio de El Banco del Barrio, el Banco del Pichincha con su banca en línea tratan de ganar clientes en función de los múltiples servicios que ofrecen. Tomando en cuenta lo anterior, la proliferación de comercialización de dispositivos móviles, que ofrecen una variedad de características a los usuarios, sobre todo ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

21 ejecutivos, empezará a plantear la necesidad de tener o contar con la posibilidad de realizar transacciones financieras desde estos dispositivos, para lo cual se debe plantear una adecuada arquitectura en donde montar estos servicios que tenga una funcionalidad y seguridad adecuada y se vincule al núcleo principal de cada institución financiera sin dificultad. Descripción del Problema Problemas a ser resueltos: Entre los problemas que se quiere resolver con el desarrollo de este trabajo de tesis están: Falta de seguridad en transacciones financieras en entornos móviles. Falta de una arquitectura segura para implementación de aplicaciones para entornos móviles en instituciones financieras. Desconocimiento de los diferentes mecanismos de seguridad criptográficos existentes para transacciones en las instituciones financieras. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

22 Necesidad a ser satisfechas: Entre las necesidades a satisfacer consideradas en esta Tesis se contemplan las siguientes: Brindar una arquitectura adecuada de realización de transacciones para entornos móviles. Estudio de metodologías y mecanismos de seguridad que pueden ser implementadas en transacciones financieras en entornos móviles e internet. Consideraciones de seguridad entre el núcleo principal de las instituciones financieras y la plataforma de transaccionalidad móvil e internet. Implementación de un medio de respaldo seguro para transacciones internas de las instituciones financieras. Definición de políticas de seguridad institucionales frente al tratamiento, almacenamiento y manipulación de información sensible. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

23 Justificación del Proyecto de Tesis El presente trabajo de tesis trata de brindar un estudio, diseño e implementación de transacciones seguras en instituciones financieras en medios móviles e internet, permitiendo a estas empresas ser más competitivas y solventar las necesidades de los clientes cada vez más expuestos a los avances tecnológicos y relacionados con dispositivos móviles, garantizando disponibilidad, privacidad, integridad de la información. Si bien es cierto que el realizar transacciones vía internet está muy difundido en la actualidad, el campo de realizar transacciones seguras en dispositivos móviles es un misterio todavía, para casi todas las instituciones financieras, y mucho más el campo de garantizar una seguridad acorde al mercado es más crítico aún, por estos motivos se justifica plenamente el presente trabajo válido a realizar luego de haber seguido la segunda edición de la Maestría en Telemática. El presente trabajo está realizado como fuente de consulta para personas e instituciones financieras de nuestro medio que tengan iniciativa de implementar servicios críticos de ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

24 comercio y finanzas sobre una arquitectura de movilidad e internet, además de plantear las alternativas de seguridad que podrían ser utilizadas por dichas empresas para garantizar sus servicios y de esta forma diferenciarse en el mercado financiero que es altamente competitivo, y a su vez brindar a los clientes de dichas instituciones la posibilidad de poder contar con los servicios financieros necesarios cuando lo requieran a través de internet o dispositivos móviles. Objetivos: Generales Investigar y dar a conocer los diferentes métodos criptográficos existentes para garantizar transacciones financieras seguras en ambientes móviles e internet. Utilizar herramientas para implementación de transacciones financieras seguras. Específicos Conocer los mecanismos criptográficos y de seguridad para implementar en transacciones con ambientes móviles e internet. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

25 Analizar y seleccionar adecuados métodos de seguridad para realizar implementación en instituciones financieras. Describir metodología general para integrar el ambiente de transaccionalidad móvil e internet al núcleo principal de una institución financiera. Realizar una aplicación limitada que tenga una implementación de transaccionalidad para entornos móviles y de internet con mecanismos de seguridad acorde al estudio realizado. Brindar a los clientes de las instituciones financieras la posibilidad de acceder a sus servicios desde cualquier dispositivo móvil o desde un computador conectado a internet. Alcance del Proyecto Este proyecto pretende realizar una investigación de los diferentes métodos criptográficos y de seguridad que existen para dispositivos móviles e internet, dar sus fortalezas y debilidades, realizar comparaciones entre ellos y diseñar una ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

26 implementación acorde a las necesidades de una institución financiera, para que la misma pueda brindar la posibilidad de realizar transacciones a sus clientes como empleados de una manera flexible, integra y con todos los mecanismos y métodos de seguridad. Método de Trabajo Los métodos de trabajo para la elaboración de esta tesis consistirán en: El método Inductivo que me permitirá establecer las fortalezas y debilidades de las propuestas tecnológicas que existen en investigación y en el mercado para cubrir el proyecto. El método Deductivo mediante el cual se pretende tener datos precisos sobre la marcha del trabajo investigativo de soluciones para el problema propuesto. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

27 CAPITULO 1 Importancia de la tecnología y la seguridad en las Instituciones financieras. Breve Historia de Banca y Tecnología: La Banca y la tecnología tienen una relación estrecha en la prestación de los servicios financieros hacia los clientes sobre todo en términos de eficiencia y competitividad. Haciendo un poco de historia la creación del Banco de Inglaterra en 1694, fue el hecho que produjo el empezar a ofrecer servicios financieros, posteriormente los bancos Ingleses, franceses e italianos facilitaron el intercambio por medio de notas de crédito e instrumentos financieros básicos que fueron avalados por las nacientes instituciones financieras. Con el ir y venir comercial entre Europa y medio Oriente durante el siglo XIII se crearon los primeros documentos que representaban dinero, y no fue hasta el siglo XVII que se transformaron en dinero bancario, gracias a que en el siglo XV se sentaron las reglas y el estatus de instrumento financiero en la comunidad comercial ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

28 internacional, se crean tasas de intercambio entre monedas y tasas de interés que fue combatido por el clero, todo esto de una manera totalmente manual. Durante los siglos posteriores se refinaron los servicios financieros dando lugar a múltiples instituciones bancarias centralizadas en los diferentes países bajo control del estado que hacia la moneda. Con la sofisticación de los servicios financieros nacionales e internacionales, se fueron creando nuevos mecanismos de pago tal como ocurrió en los años 50 del siglo XX cuando Frank McMamara ideó las primeras tarjetas de crédito Diner's creando una nueva industria de pagos nacionales e internacionales. Con la oferta tecnológica a partir de la segunda mitad del siglo XX se creó en todo el mundo nuevas formas de abstracción del dinero, nadie sabe hacia donde nos llevara esta nueva puerta que la tecnología a abierto, solo se sabe que se crearán posibilidades como nunca antes en la historia, y que facilitan nuevas formas de dinero, como ya hemos atestiguado recientemente con el dinero digital circulando, por ejemplo en Internet, tarjetas inteligentes. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

29 Tan rápido ha sido el desarrollo de la tecnología en los últimos 30 anos en las instituciones financieras partiendo de los ATM 5 llamados cajeros automáticos, de los puntos de venta para comercio EFTPOS 6 y del aprovechamiento del teléfono IVRs 7 que junto con una emisión masiva de tarjetas de todo tipo han revolucionado los medios de pago en muchos países. Recientemente se ha observado el crecimiento de Internet y la generación de servicios financieros en línea como pago de servicios, consulta de saldos y transacciones, ejecutar transferencias entre cuentas e interbancarias. Recientemente las comunicaciones y tecnologías de información han disminuido dramáticamente sus precios y al mismo tiempo se han desarrollado hasta niveles de eficiencia sin precedentes durante los últimos quince años lo que ha facilitado el intercambio de información, bienes y servicios. La banca por su parte ha aprovechado esos avances, no solo haciendo más eficientes y fortaleciendo sus procesos internos en el manejo de la información, sino que los usuarios de sus productos han sido testigos de esta evolución, promoviendo ATM=Automated Taller Machines EFTPOS=Electronic Funds Transfer Point of sales IVRs=Interactive Voice Response ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

30 un desarrollo más acelerado en la dinámica de la industria, puesto que todos los participantes buscan ofrecer los mejores y más modernos portafolios de productos. De hecho la tecnología esta trasladando algo del poder anteriormente en mano de los bancos hacia sus clientes, el Internet y las tecnologías móviles es un ejemplo de ello. Marco Actual: Una de los objetivos fundamentales de este trabajo se enfoca a hacer conciencia que las instituciones financieras no únicamente con la adquisición de tecnología de última generación garantizan servicios financieros de calidad, sino que adicional a este componente necesitan crear las políticas adecuadas para el ambiente de desarrollo de los mismos, de tal manera que exista una concordancia lógica y sobre todo lineamientos bien establecidos para que los clientes sean los mayores beneficiarios de los productos electrónicos financieros ofrecidos. Para lograr el mayor beneficio de los servicios virtuales a los clientes, las instituciones financieras deben considerar aspectos como los costos, riesgos, seguridad, el acceso y ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

31 adicionalmente en nuestro medio, aspectos sociales como el sector socioeconómico a quién va dirigido, el nivel educacional, la migración etc. que son factores muy importantes antes de implementar un servicio financiero electrónico. El avance de las comunicaciones móviles así como Internet, ha sido en los últimos años una gran ayuda para la población de nuestro país, sobre todo permitiendo acceder a servicios telefónicos y mensajería de texto en lugares en donde la telefonía fija no hubiera ni siquiera imaginado llegar, el desarrollo de protocolos para transmisión de datos y acceso a Internet sobre una red móvil como GPRS 8,CDMA 9, EDGE 10 generan oportunidades para desarrollar nuevas formas de negocio E-Business 11 permitiendo a las empresas mayores mercados por estar al alcance de millones de internautas, disminución de costos fijos ofreciendo a los clientes realizar transacciones por sí mismo sin necesidad incluso de un lugar u oficina de la empresa y mayor GPRS=General Packet Radio Service CDMA= Code Division Multiple Access EDGE=Enhanced Data Rates for GSM Evolution E-Business=Electronic-Business ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

32 disponibilidad ya que se ofrecen los productos las 24 horas del día. Las instituciones financieras siempre han estado a la vanguardia de los avances tecnológicos, tal como se reconoce en una exposición del XIII Congreso Latinoamericano de Tecnología e Innovación realizado en Octubre del 2004 en la ciudad de panamá por parte de la superintendenta de bancos de ese país Lic. Esther María Carles, en donde se resalta este aspecto y en donde se establece una cronología de avances tecnológicos, partiendo del uso de cajeros automáticos en los setenta que le permitían a los clientes realizar transacciones básicas con una tarjeta electrónica y una identificación personal, pasando por una etapa de banca telefónica en inicios de los noventa en donde se realizaban transacciones con una simple llamada telefónica, y para terminar hoy en día en banca electrónica vía Internet. Condiciones para Banca Electrónica: Para desplegar satisfactoriamente una implementación de banca electrónica se tienen que establecer lo siguiente: ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

33 Primero se tiene que conciderar tres características claves del servicio en donde están la alta disponibilidad que se refiere a proveer el acceso continuo a los servicios financieros a los clientes en las diferentes capas de la infraestructura(red, servicios, base de datos, sistema operativos etc.), la eliminación de puntos únicos de falla, redundancia en las comunicaciones, mecanismos de recuperación y contingencia entre otros. En segundo lugar se tiene que tomar en cuenta la escalabilidad que se refiere específicamente con un rendimiento estable de acuerdo a crecimientos de CPUs, anchos de banda, gran número de conexiones simultaneas de usuario etc. este factor puede ser conseguido de dos formas con servidores grandes o con un conjunto de servidores que dispongan de todas las consideraciones de contingencia y redundancia para tener alta disponibilidad. Y por ultimo se hace referencia al tema de seguridad en donde las instituciones financieras ponen gran énfasis debido a los valores que se manejan y a las regulaciones dadas por las entidades de control, en este punto de debe analizar la seguridad de la red, la privacidad e integridad de los datos, la ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

34 seguridad de la identidad, el monitoreo de la seguridad, la seguridad en la parte de redes, los canales de servicio, las base de datos e infraestructura de servidores. Cabe indicar que no existe la seguridad absoluta, por tanto cualquiera sean los métodos de seguridad que se adopten dependerá mucho de las políticas y normas que se den en cada institución financiera para poder contar con un grado de seguridad que sea aceptable para tal o cual institución, y además que garantice a los clientes las operaciones financieras normales. Por tanto un diseño aceptable de seguridad en instituciones financieras debería tomar en cuenta un grado aceptable de seguridad, un buen rendimiento y la posibilidad de implementar nuevas exigencias de control. Requerimientos de Seguridad en Instituciones Financieras: Los Servicios Financieros que prestan las instituciones bancarias deben contar con niveles adecuados de seguridad para lo cual se requiere: ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

35 Confidencialidad: Asegurar que solamente las personas autorizadas tengan acceso al contenido de la información que se intercambia. Autenticidad de las Entidades: Los clientes deberían estar seguros que ellos están comunicándose con un banco real, antes de envió de información sensible, por su otra parte el banco debería conocer la identificación del usuario antes de procesar las transacciones, Integridad de los Datos: tiene que ver con aspectos de autenticidad del origen de los datos y la integridad de los mismos. Permitir detectar manipulación y repetición de datos por partes no autorizadas, la manipulación de los datos incluye inserción, eliminación y substitución. No repudio: Prevenir que una persona o entidad niegue una acción realizada. Es decir si un cliente o banco realizo una transacción financiera no lo pueda negar. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

36 CAPITULO 2 Estudio de las tecnologías móvil e Internet Con el desarrollo de las tecnologías de comunicación y el avance del Internet las instituciones financieras han logrado tener niveles sorprendentes de eficiencia, disponibilidad y rendimiento, transportando tareas a sus clientes y ofreciendo sus servicios las 24 horas del día. El avance de la tecnología ha permitido contar con equipos móviles, robustos, con una duración de baterías adecuada que permiten conexiones de diversas formas a Internet, mediante tecnologías inalámbricas o celular, lo cual ha permitido desarrollar aplicaciones y montar servicios financieros sobre este tipo de dispositivos. La banca sin sucursales es la llamada a utilizar estas tecnologías, sobre todo en los países en vías de desarrollo para permitir la extensión de los servicios financieros a poblaciones pobres a las que no llegan las redes de sucursales bancarias tradicionales, permitiendo reducción de costos de la prestación de servicios hacia sus clientes, haciendo acuerdos con negocios para montar una ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

37 infraestructura sencilla con dispositivos móviles que permitan acceder a los servicios financieros con una rapidez y seguridad adecuada. Entre las tecnologías más usadas por la Banca actualmente se encuentran POS 12, WAP, Internet móvil, aplicaciones J2ME 13, estas tecnologías se detallan en este capítulo. Tecnología POS: Los puntos de venta(point of sales en inglés) son otra tecnología que se utiliza para realización de transacciones comerciales o financieras entre un proveedor, cliente y entidad financiera, esta tecnología gestiona procesos de venta mediante una interfaz accesible para los vendedores. Un único sistema informático permite la creación e impresión del recibo de venta y permite una autorización inmediata para el pago. Existen diferentes formas de entender un POS, puede ser considerado una parte del terminal o el conjunto de CPU y pantalla, o a la caja registradora, incluso algunas veces únicamente al software. También pueden considerarse POS=Point of Sale J2ME=Java 2 Micro Edition ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

38 como dispositivos celulares proporcionados por algunas instituciones financieras que permiten cobros a distancia mediante GSM 14, GPRS mediante tarjetas de crédito o débito, que pueden estar asociados con un teclado y un lector de tarjetas y un software de comunicación. Otra concepción de los puntos de venta son los sistemas que los bancos o cajas de ahorro utilizan para que las transacciones a través de Internet sean seguras, normalmente en tiendas. Los POS se componen de una parte hardware y otra software, la parte de hardware constituye el dispositivo con todas sus interfaces y dispositivos de entrada y salida tan pequeño y simple o grande y complejo como se quiera, mientras que el software constituye el front end y back end para el desarrollo de transacciones para los usuario de los puntos de venta. De lo dicho anteriormente se puede implementar un punto de venta con una conexión dial-up, celular, inalámbrica, conexiones de banda ancha etc. Esta tecnología no permite tanta movilidad como otras y más bien se ubica en puntos 14 GSM=Global System for Mobile ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

39 fijos, un ejemplo en nuestro medio de esta tecnología son las tiendas de barrio de un banco nacional. Tecnología WAP: La tecnología WAP 15 es un estándar que ha sido respaldado por fabricantes de teléfonos, operadores, compañías de software y otros fabricantes de hardware los cuales dieron lugar al Foro WAP (EEUU en 1999), el cual agrupaba el 90% de fabricantes de terminales móviles. El objetivo de los creadores de este estándar fue el posibilitar las comunicaciones de datos entre redes inalámbricas a celulares y otros dispositivos portátiles como PDAs, radio localizadores, teléfonos inteligentes, etc. WAP soporta la mayoría de de los servicios y protocolos de redes celulares como GSM, PDC, TDMA, CDMA, CDPD para permitir una interconexión independientes de sistemas operativos y protocolos. El Foro WAP publicó la primera versión de este protocolo en 1998; en el 2002 fue publicada la última versión del protocolo que fue la 2.0. El protocolo WAP es un protocolo 15 WAP=Wireless Application Protocol ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

40 orientado a datos que van sobre redes inalámbricas con anchos de banda limitados y una latencia alta. WAP es orientado a Internet, se basa en una pila de niveles que toma sus características del modelo referencial OSI (ISO7498). Arquitectura de WAP Gráfico 1: Arquitectura Wap La primera capa WAE 16 combina WWW 17 y tecnología móviles, proporciona un micro navegador que usa lenguaje WML 18 similar a HTML 19 y el lenguaje WMLScript similar a javascript optimizado para dispositivos móviles, además tiene un formato de contenidos para imágenes, agenda de WAE=Wap Aplication Environment WWW=World Wide Web WML=Wireless Markup Language HTML=Hiper Text Markup Language ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

41 teléfonos, calendarios. El objetivo de esta capa es permitir la interoperabilidad necesaria tanto a los fabricantes de telefonía como a los operadores que proporcionan servicios de Internet. Esta capa se encarga del desarrollo de aplicaciones a nivel de usuario que le permite consultar cualquier tipo de información de Internet de una forma sencilla. La capa WSP proporciona a la capa de aplicación de WAE interfaz con servicios de sesión orientados a la conexión y no orientados a la conexión o lo que es equivalente proporciona servicios de datagramas seguro y datagramas no seguros. Esta capa procesa servicios adaptados aplicaciones Web como por ejemplo la codificación compacta del HTML, negociación de características de protocolo, suspensión de sesiones y reanudación de la misma con cambio de sesión. La capa WTP 20 esta por encima de un servicio de datagramas(seguros o no) y da las siguientes funciones como servicios de transacciones inseguras de una sola vía, seguras de una sola vía, transacciones seguras en dos vías (petición respuesta), además de la seguridad de usuario a usuario opcional y transacciones asíncronas. 20 WTP= Wireless Transaction Protocol ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

42 La capa de Seguridad WTLS 21 se fundamente en el estándar SSL que se utiliza en la Web para dar seguridad, este protocolo ha sido desarrollado para WAP y para ser utilizado en canales de ancho de banda pequeños, y el mismo brinda servicios de integridad de datos, privacidad de los datos y autentificación, Adicional a eso tiene la capacidad de proveer comunicación segura entre terminales móviles. El protocolo Inalámbrico de datagramas WDP proporciona servicio fiable a los protocolos de las capas superiores de WAP permitiendo en forma transparente la comunicación sobre los protocolos de los portadores validos. Tecnología J2ME: Sun Microsystems es la creadora de esta tecnología con el mismo principio de sus versiones J2SE 23, J2EE 24 que fue el de construir productos electrónicos que dependan principalmente del software y sea independiente del sistema operativo en que funcionen, con el objetivo de solventar la demanda de correr java en dispositivos pequeños WTLS=Wireless Transport Layer Security WDP=Wireless Datagram Protocol J2SE= Java 2 Estandar Edition J2EE= Java 2 Enterprise Edition ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

43 son: Los componentes que forman parte de esta tecnología Maquinas virtuales java con diferentes requisitos, cada una para diferentes tipos de pequeños dispositivos. Configuraciones, que son un conjunto de clases básicas orientadas a conformar el corazón de las implementaciones para dispositivos de características específicas Los Perfiles que son bibliotecas java de clases específicas orientadas a implementar funcionalidades de más alto nivel para familias específicas de dispositivos. Paquetes opcionales, conjunto de programas adicionales en función de las características de cada dispositivo. Las JVM 25 son intérpretes de código intermedio (bytecode) de los programas de java pre compilados o código de máquina ejecutable por la plataforma, también se encargan de efectuar las llamadas pertinentes al sistema operativo y observar las reglas de seguridad y corrección de 25 JVM= Java Virtual Machine ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

44 código dadas para el lenguaje de programación Java, consiguiendo de esta forma independencia de plataforma de hardware y sistema operativo. En lo que respecta a las configuraciones de J2ME son un conjunto mínimo de APIs26 Java que permiten desarrollar aplicaciones para un grupo de dispositivos, dos son las definidas, la CLDC27 enfocada a dispositivos con restricciones de procesamiento y memoria y la CDC28 enfocada a dispositivos con mayor cantidad de recursos, cada una de las configuraciones requiere su propia máquina virtual así para la CLDC será la KVM que ocupan 40Kb y 80 Kb de memoria, además esta escrita en lenguaje C, líneas de código, esta configuración contiene cuatro elementos básicos un subconjunto de elementos básico de java, parte de la configuración de la máquina virtual, las APIs básicas para el desarrollo de las aplicaciones y requisitos de hardware de los dispositivos, entre estos requisitos están 160kb de memoria disponibles para java, un procesador de 16 bits, bajo consumo de batería, conexión a red con GSM o GPRS (9.6 kbps o 343 Kbps) y la máquina de CDC será CVM que soporta las mismas características que la máquina ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

45 virtual de J2SE y que está orientada a equipos con procesadores de 32 bits con 2Mb o más de memoria. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

46 KVM Pequeña: carga de memoria entre los 40 y 80 Kb dependiendo de la plataforma y opciones de compilación Alta portabilidad Modular Lo más completa y rápida posible sin sacrificar características para las que fue diseñada. Limitaciones No hay soporte de tipos de datos de coma flotante, no existe soporte de JNI No existen cargadores de clases definidos por el usuario No se permiten grupos de hilos o hilos daemon No existen la finalización de instancias de clases Limitada capacidad para manejo de excepciones Reflexión CVM Sistema de memoria avanzada Tiempo de espera bajo para el garbage collection Separación completa ente la maquina virtual del sistema de memoria Portabilidad Rápida sincronización Ejecución de clases fuera de la memoria de solo lectura Soporte nativo de hilos Baja ocupación en memoria de las clases Soporta interfaces para servicios en sistemas operativos de tiempo real. Conversión de hilos java a hilos nativos Soporte de interfaz nativa de java (JNI), invocación remota de métodos(rim), interfaz de depuración de maquina virtual (JVMDI) Tabla 1: Características y limitaciones de las máquinas virtuales de las configuraciones CLDC y CDC ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

47 Los perfiles son concreciones aun más restrictivas de las APIs para centrarse en un conjunto de dispositivos muy reducido, añade unas APIs que definen las características de un dispositivo, entre tanto las configuraciones son más generales pueden ser a familias de dispositivos. Es decir a la hora de hacer aplicaciones hay APIs tanto del perfil como de las configuraciones. Los MIDP 26 es el primer perfil para describir a los teléfonos móviles descritos por sus características de memoria, entrada de datos, pantalla, red, plataforma de software. 26 MIDP= Mobile Information Device Profile ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

48 Arquitectura del entorno de ejecución de J2ME Un Midlet es una aplicación java realizada con el perfil de MIDP sobre una configuración enf ráfico 2: Arquitectura de entorno de ejecución de J2ME G mantener portabilidad, para esto todo dispositivo debe tener un gestor de aplicaciones que gestionan los Midlets, y en reciprocidad los Midlets deben tener las mismas interfaces hacia el o los gestores de aplicaciones. Los gestores de aplicaciones a mas de gestionar las aplicaciones al dispositivo móvil gestión los estados de cada aplicación (carga, instalación, ejecución, actualización, desinstalación), a su vez las aplicaciones o Midlets tienen sus ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

49 propias funciones y sus propios estados fundamentándose en la programación orientada a objetos del lenguaje java. Las interfaces de usuario de los dispositivos móviles tienen grandes limitaciones en capacidad de proceso, tamaño de ventana y memoria, deben ser lo más amigables con el usuario, los programas que están instalados en el dispositivo deben tener aspecto similar tanto en interfaz como en el modo de interacción. Para todo esto las interfaces de usuario están compuestas de dos tipos de APIs de alto nivel y de bajo nivel, la primera diseñada en función de servir a aplicaciones de negocios e incluye objetos como formularios, etiquetas, etc. Esta API no cuenta con funcionalidades para controlar aspectos estéticos, el modo de funcionamiento interno y el acceso a los mecanismos de entrada de bajo nivel. Las API de bajo nivel están diseñadas para aplicaciones como juegos que requieren de control total de la pantalla, trabajando muy bien con los mecanismos de entrada de bajo nivel pero el precio que paga es la compatibilidad entre los dispositivos no se mantiene. Esta tecnología java es otra opción a considerar para realizar transaccionalidad móvil segura ya que en la ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

50 actualidad la potencia de los teléfonos móviles ha cambiado y es prácticamente posible disponer de capacidades razonables de memoria y procesamiento para ejecutar J2ME. Tecnología SMS 27 : Los SMS son mensajes cortos de texto de aproximadamente 160 caracteres que son enviados hacia o desde teléfonos GSM, los mensajes son enviados a un numero particular, y pueden ser procesados por un computador. Esto posibilita algunos servicios que se podrían implementar como por ejemplo manejo de consultas, transferencias, alertas y solicitudes, pudiéndose manejar con códigos cortos dentro de la misma red móvil sin acceso a Internet. Las dificultades mas grandes con esta tecnología es la limitada funcionalidad y usabilidad para hacer transacciones, además otro inconveniente es la sobrecarga de las redes móviles con mensajes de texto que son procesadas por computadores. Esta tecnología permite tener empresas integradoras (interfaz con varias operadoras móviles) que se encargan de 27 SMS= Short Message Service ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

51 gestionar el envió de mensajes en algunas ocasiones en función de servicios web que son por lo general seguros mediante certificados digitales o el uso de protocolo SSL. Hay algunas pocas formas de implementación usando esta tecnología, entre ellas están: Usar un correo con un formato especial y enviar este a una pasarela correo-sms. Usar una pasarela HTTP-SMS. Usar un servidor SMS, el cual puede conectarse vía módem al centro de SMS y enviar y recibir los mensajes que llegan a partir de un servidor de aplicación. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

52 Esquemas de implementaciones con SMS Gráfico 3: Esquema de Implementación con SMS Tecnología Internet Mobile: Este concepto de Internet Mobile es más una corriente que permite la convergencia de dispositivos móviles e Internet, en función de algunos aspectos que involucra en este hecho como son la tecnología y aplicaciones, el mercado y las regulaciones. Este concepto viene dado por el tema de la revolución inalámbrica que protagonizó un cambio en los ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

53 servicios de voz y que esta impactando de manera agresiva actualmente en la industria de datos y telecomunicaciones. Entre las características diferenciadoras para plantear un concepto de Internet móvil están: La movilidad y Velocidad: Que hacen referencia a dos tipos de enfoques al Internet móvil como es decir acceso a Internet a través de móviles e Internet portátil que incluye sistemas Wimax. Almacenamiento: Que se refiere al hecho y el trabajo de permitir a los dispositivos portátiles y móviles almacenar cantidad de contenidos descargados de la red. Todo sobre IP: Que tiene que ver con la convergencia de servicios de voz y datos sobre protocolo IP. Todas estas características están inmersas en dispositivos móviles, sobre todo aquellos que se utilizan para telefonía móvil, a partir de esto se establecen aspectos de establecer plataformas que les permitan a los móviles tratar ya no solo conmutación de voz sino de paquetes, la tarifación sufre un cambio rotundo ya que de duración y destino de llamada se pasa a una tarifación por volumen de datos ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

54 intercambiados, calidad de servicio y tipo de servicio, la red móvil voz debe ser capaz de comunicarse con redes Internet externas que podrían ser del propio operador, y esto implica aspectos de seguridad y gestión de direccionamiento IP. He aquí que el ofrecer una buena calidad de señal de radio es imprescindible para asegurar que los usuarios puedan alcanzar altas velocidades de transmisión. Para el Internet móvil se hace necesario entonces desde el punto de vista de las aplicaciones nuevos terminales con mayor capacidad de proceso y con pantallas de mayor resolución, tecnologías livianas y estándares de desarrollo propias para esta área, mecanismos de seguridad adecuados que permitan la seguridad de los datos, sobre todo en sitios de comercio electrónico y banca móvil, planificación o gestión de direccionamiento IP adecuado entre otros. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/

55 CAPITULO 3 Estudio de los métodos de seguridad y mecanismos de cifrado para implementación de transacciones móviles seguras e Internet seguro. La necesidad de brindar una seguridad que garantice la confidencialidad, autenticidad, integridad y no repudio de los datos de los clientes de las instituciones financieras, en la actualidad ha dado origen a la implementación de diversos métodos de seguridad y mecanismos de cifrado para ambientes móviles y portales financieros en el Internet. Las tecnologías analizadas en el capítulo anterior a más de brindar la posibilidad de elaborar aplicaciones que inter actúen con el core de las entidades financieras deben garantizar los aspectos de seguridad mencionados para poder brindar servicios financieros con total transparencia y apegado a todas las normas de seguridad requeridas por los organismos de control. En este capítulo revisaremos los métodos de seguridad y mecanismos de cifrado que pueden utilizarse para transaccionalidad móvil y portales de Internet financieros. ING. GUILLERMO SEGUNDO CABRERA PALACIOS/