Navigation

Competence Center Information Security

Mobile Payment: Systemdesign fürs Smartphone als Geldbörse

Universell einsetzbar. Bequem, da immer zur Hand. Extrem vielseitig. Der Siegeszug des Smartphones als Alleskönner im Alltag scheint nicht aufzuhalten, doch bringt die Nutzung auch Gefahren durch Cyber-Angriffe mit sich. Vor diesem Hintergrund beschäftigt sich das Competence Center Information Security an der FHDW in Bergisch Gladbach unter der Leitung von Prof. Dr. Ralf Schumann mit dem Thema Informationssicherheit – beginnend bei der technischen Sicherheit bis hin zum Aufbau kennzahlbasierter Managementsysteme für national und international agierende Unternehmen.

"Tappen" am Kassenterminal

Das mobile, bargeldlose Zahlen per Smartphone soll nach Auffassung etlicher Anbieter die klassische EC- oder Kreditkarte beizeiten ersetzen. Technische Lösungen für das "Mobile Payment" gibt es verschiedene. Ob NFC (Near Field Communication / Kurzstreckenfunk), QR-Code (Quick Response Code) oder alternative Ansätze – die prinzipielle Vorgehensweise ist bei allen Bezahlverfahren vergleichbar. Kommt ein Kunde mit seiner Smartphone-Geldbörse (Mobile Wallet) an die Kasse, muss er zum Bezahlen nur kurz den App-Bildschirm vorzeigen bzw. das NFC-Lesegerät "tappen" (berühren), um die Zahlung zu veranlassen. Im Hintergrund laufen mehrere Prozesse ab: die Identifikation des Kunden, seine Authentifizierung und die Autorisierung der Zahlung.

Sorgfältiges Systemdesign

So schlank und schnell der Bezahlprozess auf den ersten Blick vonstatten geht: Die neue Technik birgt Gefahren. Analog zum klassischen Geldbörsendiebstahl bieten Smartphones Angriffsfläche für elektronische Attacken. Beispiele: Über NFC lassen sich die Daten eines Smartphones "im Vorbeigehen" auslesen, um einen Klon zu erstellen. Eine Malware-App kann versuchen, die Identifikationsdaten aus dem Smartphone auszulesen und über das Internet weiterzuleiten – dies kann automatisiert erfolgen und sehr viele Kunden gleichzeitig betreffen. Schließlich ist es möglich, die Kommunikation der App via Cloud-Infrastruktur anzugreifen. Gefordert ist demnach eine sowohl effiziente als auch sichere IT-Infrastruktur bis hin zum Smartphone. Das Competence Center Information Security hat ein Systemdesign entwickelt, das beiden Aspekten Rechnung trägt.

Elemente der Sicherheit

Secure Element in einem Smartphone

Secure Element in einem Smartphone; Varianten der NFC-Payment-Umsetzung; Provisionierung der Smartphone-Wallet

Um die im Smartphone gespeicherten Zahlungsdaten abzusichern, kommt ein Secure Element (SE) zum Einsatz: ein eigenständiger Mikroprozessor, der über geschützten Speicher verfügt und Embedded-Java-Applets (so z. B. die PayPass-Kreditkarte) ausführt. Der Prozessor kann kryptographische Signaturen prüfen und erzeugen; beides ist für einen sicheren Bezahlvorgang notwendig. Dabei existieren mehrere Möglichkeiten, das Smartphone mit einem Secure Element auszurüsten.

Das im NFC-Controller integrierte Secure Element hat sich nicht durchgesetzt. Stattdessen bieten die ersten Netzwerkbetreiber SIM-Karten mit integrierter Mobile-Payment-Funktion an: Hier befindet sich das Secure Element in der SIM-Karte und kann beim Gerätewechsel "mitgenommen" werden. Einige Geräte bieten die Host-based Card Emulation an, bei der eine Smartphone-App die Aufgaben des Secure Elements erfüllt. Flexibel zwar, aber zu unsicher. Schließlich existiert für ältere Smartphones die Möglichkeit, die NFC-Funktion zum Bezahlen nachzurüsten, indem ein Payment-Aufkleber auf der Gerät-Rückseite aufgebracht wird.

Integration in die IT-Landschaft

Wie gelangen die fürs eigentliche Bezahlen notwendigen Daten schnell und sicher auf das Smartphone? Diese Frage ist essenziell im Hinblick auf eine effektive Systemarchitektur als Basis des Mobile Payments. Das Competence Center Information Security machte abhängig von der gewählten Anordnung des Secure Elements mehrere mögliche Wege aus. Die Provisionierung als automatisierte Bereitstellung der IT-Ressourcen kann über das Mobilfunknetz erfolgen, wo sie vor Angriffen und Ausspähen adäquat geschützt erscheint, optional über eine mobile Internetverbindung. Hierbei müssen allerdings sichere Ende-zu-Ende-Protokolle zum Einsatz kommen, um ein Ausspähen oder Verfälschen der Daten und damit den Missbrauch der Bezahlfunktion zu verhindern.