E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities.

Az előadások a következő témára: "E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities."— Előadás másolata:

1 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 1 EE-AA-Element 3 Ver: 1.0 E-Commerce Engineer – Biztonság az elektronikus kereskedelemben Biztonságos kapcsolat és számlázási szolgáltatások

2 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 2 EE-AA-Element 3 Ver: 1.0 Jogi háttér: Bevezetés •Annak az országnak a törvényei az érvényesek, amelyikbe a kereskedelmi cég a központját telepítette. •Ezért informálni kell a vásárlókat a cég pontos nevéről, és székhelyéről.

3 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 3 EE-AA-Element 3 Ver: 1.0 Az Elektronikus Kereskedelmi Direktíva A direktíva által érintett területek: •operátorok helyének definiálása, •transzparens oprátorok, •transzparens kereskedelmi kommunikáció, •következményei és érvényességi körei az elektronikus szerződésekenk, •megbízható Internet technológia, •.

4 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 4 EE-AA-Element 3 Ver: 1.0 Az Elektronikus Kereskedelmi Direktíva A következő területeket érintő szerződések elektronikusan nem köthetők meg: •szerződések, melyek fel- vagy átruháznak jogokat ingatlanokon (kivétel a bérlés) •családjogi vagy örökösödési területeket érintő szerződések •szerződések melyen bíróságok vagy egyéb hatóságok bevonását szükségeltetik •szerződések, melyek egyéb járulékos biztosítékot igényelnek

5 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 5 EE-AA-Element 3 Ver: 1.0 B2B szerződések A felek a szerződésben kikötik, milyen törvények szerint állapodnak meg. A direktíva kiköti, hogy a szolgáltatónak félreérthetetlenül közölnie kell a megrendelővel a rendelés során legalább a következő információkat: –a szükséges technikai műveletek a szerződés megkötéséhez, –a szerződés nyelve, –technikai erőforrások a bemeneti hibák kiküszöbölésére illetve javítására, –a szerződés archválva lesz-e, és miként érhető el. Ha a felek nem jelölik meg a törvényt, mely szerint a szerződést kötik, akkor annak az országnak a törvényei a meghatározók, amely leginkább közel áll az esethez. A legtöbb esetben a B2B szerződés szolgáltatójának országa ez.

6 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 6 EE-AA-Element 3 Ver: 1.0 B2C szerződések •A felek megegyezhetnek, mely törvények érvényesek a szerződésre, de ez nem hozhatja olyan hátrányos helyzetbe a vásárlót, hogy ne legyenek rá érvényesek azok a jogok, melyet a lakhelyének országa biztosít számára. Ezen kötelező szabályok nem zárhatóak ki illetve nem korlátozhatók a szerződésen belül. Abban az esetben is érvényesek, ha a szerződésben ennek ellenkezője áll. •Ezen kötelező szabályok az EU tévkereskedelmre, és az elektronikus kereskedelemre vonatkozó direktívájában illetve a nemzeti törvényekben lettek meghatározva.

7 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 7 EE-AA-Element 3 Ver: 1.0 B2C szerződések Az alábbi információkkal köteles a szolgáltató a vevőt ellátni: •a szolgáltató név és cím adatai •a termék vagy szolgáltatás karakterisztikája, ára •szállítási idő és költség •visszavásárlási feltételek részletesen •a visszavaásárlási határidő •általános feltételek •általános fizetési, szállítási vagy teljesítményfeltételek •pénzvisszafizetési garancia feltüntetése •ahol szükséges, az ár és az ajánlat érvényességi ideje, illetve a szerződés minimális ideje •a távolsági kommunikáció költségei •ahol szükséges, a szerződés minimális ideje, és teljesítményi követelmények.

8 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 8 EE-AA-Element 3 Ver: 1.0 B2C szerződések A vevőnek a szerződés teljesítéséről visszajelzést kell kapni. A következő információkat szintén meg kell kapnia írásban: •a visszavásárlási jog gyakorlásának módja •cím, ahova a vásárló panaszával fordulhat •az eladás utáni szolgáltatások információja •feltételek, melyekkel a szerződés hatálytalanítható

9 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 9 EE-AA-Element 3 Ver: 1.0 A szerződés megkötésének lépesei Az alábbi három tény szükséges egy szerződéshez •1. egy ajánlat az eladótol a vásárlónak •2. ennek a vásárló által való elfogadása •3. az elektronikus keresedelmi direktíva kiköti, hogy az eladónak kötelessége nyugtáznia a vevő rendelését a késedelem nélkül és elektronikus úton. Az e-kereskedelem annyiban különbözik, hogy az ajánlat a vásárlótól jön, aki vásárolna valamit. Fontos: Egy honlapon feltüntetett információ csak tájékoztató jellegű, nem feltétlenül jelent szerződéskötés, míg egy e-mail tartalma kötelező érvényű!

10 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 10 EE-AA-Element 3 Ver: 1.0 Általános feltételek •A kereskedelmi feltételeknek minden szerződésben szerepelniük kell. •Az „Általános feltételek”-nek a vásárlás során a vásárló rendelkezésére kell állniuk. •Célszerű a vásárlás megtörténtét egy „Az általános szabályokat elfogadom” rádiógombhoz kötni. •Az „Általános feltételeknek” tisztán fogalmazottnak, olvasható és könnyen átlátható formában kell rendelkezésre állnia

11 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 11 EE-AA-Element 3 Ver: 1.0 Visszavásárlás •A távkereskedelmi direktíva kiköti, hogy a vásárlónak joga van visszalépnie a szerződéstől bármilyen díj megfizetése nélkül (kivéve a visszaküldési díja az árunak) •A vásárlónak hét munkanap áll rendelkezésére a szerződéstől való visszalépésre (nemzeti szabályozástól függően) •Amennyiben az eladó nem tájékoztatta a vásárlót ezen jogairól a visszavásárlási idő 30 napra tolódik ki. •Az eladó köteles a visszaküldéstől számított 30 napon belül visszafizetni a pénzt. •Néhány esetben a vásárló nem élhet a visszavásárlás jogával olyan termékek esetén, mint pl.: újság, nem lezárt dobozban árusított zene, videó vagy számítógépes program és magazinok. •Az eladónak 30 napon belül teljesítenie kell a szerződésben foglaltakat. •Amennyiben az eladó nem tudja teljesíteni a vállalásait, erről a vevőt informálnia kell, és visszafizetni az összeget, illetve, amennyiben van rá mód, akkor helyettesítő terméket használhat.

12 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 12 EE-AA-Element 3 Ver: 1.0 Igazságszolgáltatás •Egy bírósági ügyet annak a tagállamnak a bírósága előtt kell lefolytatni, amelynek a vásárló állampolgára. Amennyiben az alábbi esetek egyik bekövetkezik, akkor léteznek szabályok szolgáltatások vagy áruk eladását célzó szerződések számára: •A vásárló saját államában kapott egy invitációt saját nevére szólóan •A szolgáltató megkapta a vásárló vásárlási szándékát •A vásárló elutazott külföldre, ahol leadta vásárlási igényét

13 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 13 EE-AA-Element 3 Ver: 1.0 Alternatív vitarendezés •A viták legtöbbször elkerülhetők, ha a weblapon az alábbi információ rendelkezésre áll: –feltételek és procedúrák a visszavásárlási jog érvényesítéséhez –vásárlás utáni szolgáltatások és a garancia információi, ami tartalmazza a garanciaszerződés semmisségének is feltételeit. –a szerződés felbontásának feltételei –a szerződé teljesítésének módjának és idejének feltételei –felbontási feltételek –megrendeléshez szükséges adatok –szállítási határidők –szállítási költségek

14 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 14 EE-AA-Element 3 Ver: 1.0 Elektronikus aláírás Felhasználási területei: •a másik fél azonosítása •fennhatóság megállapítása •integritásvédelem •jogilag is elfogadott aláírási forma •letagadhatatlanság Az EU direktívák kimondják, hogy az elektronikus aláírás nem utasítható el jogi esetekben, csupán azért mert elektronikus formájúak.

15 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 15 EE-AA-Element 3 Ver: 1.0 Adatvédelem Az Adatvédelmi Direktíva célja a szabad adatfolyam biztosítása az unión belül amellett, hogy az alapvető szabadságjogok ne sérüljenek. Garantálja az elektronikus iratok bizalmasságát, és megtiltja harmadik fél számára ezen üzenetekhez való hozzáférést. A személyes adatokat csak a szolgáltató gyűjtheti, ha erre a nemzeti törvénykezés lehetőséget ad illetve a vásárló ehhez félreérthetetlen módon hozzájárult. A megszerzett adat nem tartható tovább, mint szükséges, és nem használható fel más célra, csak mint az eredeti szándék. A vásárlónak biztosítani kell a saját adatihoz való hozzáférést, beleértve azok módosítását illetve törlését. A tárolás biztonsága megfelelő kell legyen az adatok érzékenységének. A direktíva tiltja az összegyűjtött adatokat harmadik fél számára való átadását.

16 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 16 EE-AA-Element 3 Ver: 1.0 Kereskedelmi kommunikáció és az adatvédelem •Az e-mail kommunikáció üzleti voltának azonnal ki kell derülnie, ahogy a felhasználó megkapja az e-mailt. Továbbá a szolgáltatónak kötelessége egy opt-out listát felállítania, ahol a felhasználók letilthatják ezen levelek fogadását. •Az Elektronikus Kereskedelmi Direktíva megnegedi a tagállamok számára, hogy engedélyezzék vagy megtiltsák a kéretlen kereskedelmi levelek küldését. •A tagállamok választhatnak opt-in vagy opt-out rendszer mellett. (Dánia, Olaszország, Finnország, Németország és Ausztria opt-in rendszert választott) Jó tanács: A legtöbb ISP nem pártolja a kéretlen kereskedelmi leveleket (SPAM). Előfordulhat, hogy az előfizetést törlik, vagy az extra költségek miatt megnövelik az előfizetés díját.

17 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 17 EE-AA-Element 3 Ver: 1.0 Szerzőijog Az intellektuális tulajdonjogok (IPR) a kreatív munkát a tulajdon egy formájának tekintik, ezáltal felhatalmazza a tuljadonost, hogy munkája felhasználhatóságát megszabja. 1.Szerzői jog és a hozzá kapcsolódó jogok 2.Adabázisok védelme 3.Az Új Gazdasági Jog 4.Ipari tulajdon 1.Trademark 2.Szabadalom 3.Ipari Tervezés 4.Nem fair verseny 5.Domén nevek

18 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 18 EE-AA-Element 3 Ver: 1.0 Fizetési rendszerek •Átutalás: A szükséges információ az átutaláshoz a cél bankszámla illetve annak tulajdonosának a neve, ezért a számla, amit a web-bolt létrehoz tartalmaznia kell ezeket. •Bankkártyák: –használatuk megegyezik a hitelkártyáékkal, kivéve az alábbiakat: –A bankkártya egy bankszámlához kapcsolódik. Így a felhasználható összeg a számlán található aktuális egyenleg. A biztonság fokozása érdekében a dombornyomott kártyákhoz ma sok bank külön kártyaszámlát rendel.

19 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 19 EE-AA-Element 3 Ver: 1.0 Fizetési rendszerek •Hitelkártyák: –A legelterjettebb fizetési eszköz a weben. –A hitelkártya feljogosítja használóját, hogy egy előre meghatározott pénzkeretet elkölthessen szabadon akármire, anélkül, hogy a bankkal egyeztetnie kellene minden vásárlás előtt. –Felhasználva a kártya számát, a rajta lévő nevet és a lejárat dátumát alkalmas on-line fizetésre. –A fizetéskor megadott adatokat az e-bolt elmentheti. –A vásárlók megnyugtatására a legtöbb e-bolt tanúsítvánnyal bizonyítja biztonságosságát.

20 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 20 EE-AA-Element 3 Ver: 1.0 Fizetési rendszerek •Elektronikus csekkek: –Az Egyesült Államokban a csekk a mai napig bevett kézpénzhelyettesítő eszköz. –Sok on-line bolt biztosít ezért ügyfeleinek elektronikus felületet on-line csekkek kitöltésére. Az elektronikus aláírás szintén alkalmazható. •Chip kártyák és mágneskártyák –A mágneskártyák lemásolása nem túl bonyolult művelet –Hogy megóvjuk kártyáinkat célszerű „okossá” tenni őket. A mágnescsíkot felcserélve egy mikrochipre a másolás szinte lehetetlen.

21 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 21 EE-AA-Element 3 Ver: 1.0 Fizetési rendszerek •Micropayments: –Hogy egyre inkább népszerűbbek a szellemi java árulása (pl.: információ), az értük elkérhető összeg jóval kevesebb. A fizetéshez a konvencionális eszközök túl drágák, ezért valószínűségszámításon alapuló módszereket alkalmazva alakult ki a Micropayments eljárás. –Alkalmazhatü: •Mp3 letöltés •Video On Demand •VoIP szolgáltatások

22 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 22 EE-AA-Element 3 Ver: 1.0 Internet alapú számlázás lépései 1.Felhasználó azonosítás 2.Vásárlói kosár elemzése 3.Hitelkártyacéggel való kapcsolat felvétele 4.Szállítás a.Elektronikus b.Fizikai

23 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 23 EE-AA-Element 3 Ver: 1.0 SSL - Bevezetés •Az SSL elsődleges célja a titkosság és megbízható kommunikáció lebonyolítása két alkalmazás között. •Az SSL alkalmazásfüggetlen, egy magasabb szintű protokoll ráépülhet. •Az SSL protokoll a kapcsolat biztonságosságát garantálja: –Privát kapcsolat, erős titkosítási algoritmusok –A partner személye azonosítható –A kapcsolat megbízható

24 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 24 EE-AA-Element 3 Ver: 1.0 SSL architektúra SSL Record Protocol SSL Handshake Protocol SSL Handshake Protocol SSL Change Cipher Spec Protocol SSL Change Cipher Spec Protocol SSL Alert Protocol SSL Alert Protocol applications (e.g., HTTP) applications (e.g., HTTP) TCP IP

25 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 25 EE-AA-Element 3 Ver: 1.0 SSL komponensek •SSL Handshake Protocol –a biztonsági protokollok és paraméterek egyeztetése a felek között –kulcscsere –szerver azonosítás és opcionálisan kliens azonosítás •SSL Record Protocol –tördelés –tömrítés –üzenethitelesítés és integritásvédelem –titkosítás •SSL Alert Protocol –hibaüzenetek •SSL Change Cipher Spec Protocol –ez az üzenet jelzi a Handshake végét

26 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 26 EE-AA-Element 3 Ver: 1.0 Session-ök és kapcsolatok •egy SSL session egy asszociáció egy szerver és kliens között •a session-ök állapottal rendelkeznek, nyilvántartják a használt biztonsági algoritmusokat és paramétereket •egy session tartalmazhat több szerver ugyanazon kliens és szerver között •egy session beli kapcsolatok ugyanazzal a paraméterekkel rendelkeznek •a session használta elsődleges célja, hogy a költséges handshake műveletet ne kelljen minden kapcsolathoz elvégezni. •elképzelhető több session is két partner között, de a gyakorlatban ezt nem használják.

27 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 27 EE-AA-Element 3 Ver: 1.0 Session és kapcsolat állapotok •session state –session identifier •tetszőleges byte szekvencia a session azonosítására –peer certificate •X509 bizonyítvány •lehet NULL tartalmú –tömörítési mód –cipher spec •adattömörítési algoritmusok (pl.: null, DES, 3DES, …) •MAC algoritmus (pl.: MD5, SHA-1) •kriptográfiai attribútumok (pl.: hash size, IV size, …) –master secret •48 byte-nyi titok a szerver és a kliens között –is resumable •egy flag, ami jelzi, hogy a session alkalmazható-e új kapcsolatok felvételére vagy sem –connection states

28 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 28 EE-AA-Element 3 Ver: 1.0 Session és kapcsolat állapotok •connection state –server and client random •egy véletlen byte szekvencia amit a szerver és a kliens választ minden kapcsolathoz –server write MAC secret •titok, amelyeket a MAC műveletekben használ a szerver, az általa küldött üzenetekben –client write MAC secret •titok, amelyeket a MAC műveletekben használ a kliens, az általa küldött üzenetekben –server write key •titkos kulcs a szerver által titkosított adatokhoz –client write key •titkos kulcs a kliens által titkosított adatokhoz –initialization vectors •egy IV tartozik minden titkosító kulcshoz, ha CBC módot használunk •SSL Handshake protokoll állítja be •minden blokk utolsó része a következő IV-je –sending and receiving sequence numbers •64 bit hosszúak a szekvencia számok •minden Change Cipher Spec üzenet után nullázódik

29 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 29 EE-AA-Element 3 Ver: 1.0 Állapotváltozások •operating state –éppen használt állapot •pending state –használni kívánt állapot –az aktuális állapotot használva épül fel •operating state  pending state –az átküldése és fogadása a Change Cipher Spec üzenetnek party A (client or server) party B (server or client) the sending part of the pending state is copied into the sending part of the operating state the receiving part of the pending state is copied into the receiving part of the operating state Change Cipher Spec

30 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 30 EE-AA-Element 3 Ver: 1.0 SSL Handshake protokoll clientserver client_hello server_hello certificate server_key_exchange certificate_request server_hello_done certificate client_key_exchange certificate_verify change_cipher_spec finished change_cipher_spec finished Phase 1: Session ID egyeztetés, kulcscsere algoritmus, MAC algoritmus, titkosítási algoritmus, és kezdeti véletlenszámok cseréje Phase 2: Szerver elküldheti a saját certificate-jét, kérheti a klienst is ennek elküldésére. A szerver jelzi a hello fázis végét. Phase 3: A kliens elküldheti certificate-jét, és küldhet egy explicit verifikációs üzenetet. A kliens elküldi a kulcscsere protokoll rá eső részét. Phase 4: Kódolási környdezetváltás, Handshake vége.

31 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 31 EE-AA-Element 3 Ver: 1.0 Hello üzenetek •client_hello –client_version •a legmagasabb verziószám, amit a kliens még támoga –client_random •aktuális idő (4 bytes) + álvéletlen bájtok (28 bytes) –session_id •üres, hogyha a kliens új session-t akar kezdeni, vagy •a session ID -je egy korábbi session-nek amin belül a kliens egy új kapcsolatot akar kezdeményezni –cipher_suites •a kliens által támogatott kriptográfia funkciós a preferencia sorrendjében •az alábbi specifikációkat tartalmazza: • •kulcscsere algoritmus, titkosítási és MAC algoritmusok • •az algoritmusok implicit definiálják a the hash_size, IV_size, és key_material parametereket (a session Cipher Spec-ének része) •pl.: SSL_RSA_with_3DES_EDE_CBC_SHA –compression_methods •a kliens által támogatott tömörítési módok

32 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 32 EE-AA-Element 3 Ver: 1.0 Hello üzenetek •server_hello –server_version •a kliens és a szerver által támogatott legnagyobb verzió közül a kisebb –server_random •aktuális idő + véletlen bájtok •a random bájtoknak a kliens random számaitól függetlennek kell lenniük –session_id •szerver által választott session ID •ha a kliens egy régi session-t akar újrakezdeni: • •a szerver megnézi, hogy az adott session újrakezdhető-e • •ha igen, session ID-vel válaszol •ha a kliens új session-t kezdeményez • •a szerver új session ID-t generál –cipher_suite •a kliens által megadott listából választva a szerver elküldi a paraméreket –compression_method •a szerver által a kliens listájából választott tömörítési algoritmus

33 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 33 EE-AA-Element 3 Ver: 1.0 SSH – Secure Shell •Az SSH csomag alapú bináris protokoll, ami akármilyen szállítási réteg felett működik ami képes stream bináris adatot átvinni. •A támadó egyedül a kapcsolatot tudja bontani, más lehetősége nincs.

34 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 34 EE-AA-Element 3 Ver: 1.0 SSH TLP clientserver TCP connection setup SSH version string exchange SSH key exchange (includes algorithm negotiation) SSH data exchange termination of the TCP connection

35 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 35 EE-AA-Element 3 Ver: 1.0 SSH felhasználó-autentikáció •A támogatott azonosítási módok: –jelszó alapú –.rhosts vagy hosts.equiv és RSA alapú host azonosítás –tiszta RSA azonosítás –további azonosítás is lehetséges.

36 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 36 EE-AA-Element 3 Ver: 1.0 SSH felhasználó-autentikáció •USERAUTH_REQUEST –felhasználó név –szolgáltatás neve –metódus neve –metódus specifikus adatok •USERAUTH_FAILURE –a további, még szükséges azonosítási módok listája –részbeni siker mező •TRUE: az előző lépés sikeres, de további lépések szükségesek •FALSE: az előző lépés sikertelen vol •USERAUTH_SUCCESS (az azonosítás kész, a szerver indítja a kívánt szolgáltatás) clientserver SSH_MSG_USERAUTH_REQUEST SSH_MSG_USERAUTH_FAILURE (further authentication needed) SSH_MSG_USERAUTH_REQUEST SSH_MSG_USERAUTH_FAILURE (further authentication needed) … SSH_MSG_USERAUTH_REQUEST SSH_MSG_USERAUTH_SUCCESS

37 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 37 EE-AA-Element 3 Ver: 1.0 A nyilvános kulcs módszer •minden implementációnak támogatnia kell •a nyilvános kulcs használatának elterjedéséig nem nagyon használható •az autentikációs folyamat során a felhasználó bizonyítja, hogy a titkos kulcs birtokában van (aláír vele) •a szerver ellenőrzi, hogy –a nyilvános kulcs tényleg az adott felhasználóhoz tartozik-e –az aláírás helyes-e

38 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 38 EE-AA-Element 3 Ver: 1.0 Jelszó alapú módszer •minden implementációnak ajánlott támogatnia •a leginkább elterjedt mód •SSH_MSG_USERAUTH_REQUEST –felhasználó neve –szolgáltatás neve –“password” –FALSE (a flag set to FALSE) –jelszó (sima szöveg) •a szerver válasza lehet: SSH_MSG_USERAUTH_FAILURE, SSH_MSG_USERAUTH_SUCCESS, vagy SSH_MSG_USERAUTH_PASSWD_CHANGEREQ

39 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 39 EE-AA-Element 3 Ver: 1.0 Jelszó alapú módszer •jelszó váltás –SSH_MSG_USERAUTH_REQUEST •felhasználónév •szolgáltatás neve •“password” •TRUE •régi jelszó •új jelszó

40 E-COMMERCE JOBS This project (Project number: HU/01/B/F/PP-136012) is carried out with the financial support of the Commssion of the European Communities under the Leonardo da Vinci Programme 40 EE-AA-Element 3 Ver: 1.0 Host alapú azonosítás •a hoszt-tól függ, hely alapú azonosítás •opcionális módszer •a kliens küld egy üzenetet, amit a hoszt titkos kulcsával ír alá •a szerver ellenőrzi –a nyilvános kulcs tényleg ahhoz a host-hoz tartozik-e –korrekt-e az aláírás