دانلود مقاله ISI انگلیسی شماره 9497
ترجمه فارسی عنوان مقاله

مدلی برای تصدیق درخواست ها برای تراکنش های بانکداری آنلاین

عنوان انگلیسی
A model to authenticate requests for online banking transactions
کد مقاله سال انتشار تعداد صفحات مقاله انگلیسی
9497 2012 7 صفحه PDF
منبع

Publisher : Elsevier - Science Direct (الزویر - ساینس دایرکت)

Journal : Alexandria Engineering Journal, Volume 51, Issue 3, September 2012, Pages 185–191

فهرست مطالب ترجمه فارسی
چكیده

كلمات كلیدی

1- مقدمه

 1.1 دستاورد

2- روش شناسی

1.2 مدول اعتبار تایید نامه (CA)

2.2 مدول واسطه ی امنیت (SEM)

2.3 مدول یكبار رمز

1.3.2 ایجاد امضا

2.3.2 امضا

3.3.2 تایید

3- نتایج آزمایشگاهی

جدول 1- تاخیر ارتباطاتی

جدول 2- سنجش های IB-mRSA

جدول 3- خلاصه ی نتایج آزمایش

4- تحلیل

1.1.4 بهره وری

جدول 4- مقایسه ی آزمایشی 2 مدل

جدول 5- مقایسه ی هدف مدل ما با SAS

جدول 6- مقایسه ی ارتباطاتی دو مدل

2.4 تحلیل امنیت

3.4 مزایای امنیت

5- نتیجه گیری
ترجمه کلمات کلیدی
( (رمزنگاری مبتنی بر هویت () - معامله های الکترونیکی - امنیت بانکداری آنلاین
کلمات کلیدی انگلیسی
ترجمه چکیده
سیستم های بانكداری آنلاین با افزایش مشتریان استفاده كننده از آن اهداف مطلوب تری برای حملات می شوند. سازمان های مالی برای جلب اطمینان و اعتماد مشتریان به امنیت خدمات بانكداری آنلاین باید راه های به خطر افتادن حساب ها از سوی مهاجمین را شناسایی كنند و روش هایی را برای پیشگیری از آنها توسعه دهند. این مقاله بدین منظور مدل اصلاح شده ای را برای تصدیق مشتریان برای تراكنش های بانكداری آنلاین از طریق استفاده از تكنیك RSA بر اساس شناسه (IB-mRSA) در رابطه با مفهوم یك بار شناسه به منظور افزایش امنیت با اجتناب از حملات ناگهانی فرو بردن (بلع) و پیشگیری از حملات پاسخی ارائه می كند. سیستم معرفی شده از روش دو نیم كردن كلیدهای محرمانه بین مشتری و سرور منبع موثق تایید نامه (CA) بهره می جوید. نه مشتری و نه منبع تایید نمی توانند یكدیگر را فریب دهند با توجه به اینكه یك بار شناسه استفاده می شود و هر امضاء باید شامل هر دو طرف شود. مدل حاصله ظاهراً از هر دو منظر محاسباتی و ذخیره ای قابل اجرا است. نتایج آزمایشی حاكی از كارآمدی مدل مطروحه است.
ترجمه مقدمه
بانكداری الكترونیك كه از طریق اینترنت امكان تعامل فرد با حساب های بانكداری را از هر مكان مجازی در دنیا فراهم می كند از فواید متعددی همچون راحتی و هزینه ی تراكنش ها برخوردار است. این سیستم به مشتریان اجازه ی درخواست اطلاعات و انجام بیشتر خدمات بانكداری از قبیل گزارش های صورت وضعیت (تتمه)، انتقال های بین حساب و پرداخت صورت حساب را می دهد. معماری كلی سیستم بانكداری آنلاین شامل 3 مولفه ی اصلی است: (1) مشتری؛ (2) سرور اپلیكیشن كه مراقب رمز نگاری سرور است و اتصال ODBC را برای نگاشت به پایگاه داده برای انجام درخواست های مشتری و متولی چك می كند؛ و (3) پایگاه داده كه داده های مشتری و بانك را ذخیره می كند. بانكداری آنلاین در عین برخورداری از مزایا و فرصت های بیشمار با انواع ریسك هایی مواجه است كه مختص انجام داد و ستد های حساس روی اینترنت هستند. بنابراین بانك ها باید رویكردهای امنیتی قوی را اجرا كنند كه بقدر كافی ریسك ها و تهدید های امنیتی را به بانك عنوان، نظارت، اداره و كنترل كنند. هدف از امنیت عدم دسترسی كلاهبرداران به حساب های بانكداری آنلاینی است كه به آنها تعلق ندارد و از روی عنادورزی و دزدیدن پول صورت می گیرد. 2 مسئله ی تخصصی برای ارائه ی تراكنش های ایمن و موثر بانكی باید حل شوند: (1) امنیت: اولین نگرانی صنایع اینترنت محور است. عدم امنیت ممكن است به آسیب های جدی منجر شود و (2) تعیین اعتبار: رمز دار كردن به ایجاد تراكنش های ایمن تر كمك می كند اما باید تضمین شود كه هیچ كس داده ها را در پایان هر تراكنش تغییر ندهد. به طور كلی، راه حل های مسائل امنیتی بانكداری آنلاین باید از سیستم های نرم افزار و سخت افزار محور یا تركیبی از آنها بهره گیرند. راه حل های نرم افزاری شامل استفاده از الگوریتم های رمز گذاری است در حالیكه نوع نرم افزاری شامل كاربرد ابزارهایی همچون كارت هوشمند است. حفاظت نرم افزاری به سهولت با هزینه های پایین تر از نوع سخت افزاری حاصل می شود. در نتیجه سیستم های نرم افزار محور به علت قابلیت انتقال راحت و ساده ی توزیع از طریق شبكه ها در بازار فراوان تر هستند. البته حفاظت نرم افزاری از خطرات بالقوه ی بسیاری مثل حمله ی الگوریتم های رمز گذاری بوسیله ی حملات تحلیلی و حمله جستجوی فراگیر برخوردار است. رمز گذاری كه اطلاعات را تغییر می دهد به شیوه ای كه آنها را غیر قابل خواندن می سازد تا اینكه فرایند مشابه معكوس اجرا شود، یكی از روش های مورد استفاده برای حل مشكل حمله ی tree ها است كه شناسایی می كند چگونه مهاجمین حساب ها را به خطر می اندازند و روش هایی را برای پیشگیری توسعه می دهد. الگوریتم های بسیاری در منابع برای اجرای رمز گذاری كلیدی عمومی مثل رمز گذاری Rivest–Shamir–Adleman (RSA)، استاندارد رمزگذاری پیشرفته (AES) و استاندارد رمزگذاری داده ها (DES) یافت می شود. البته وقتی حجم زیادی از داده ها باید رمز گذاری شوند این تكنیك ها كُند هستند. یكی از تكنیك های رمز گذاری RSA ی بواسطه ی (mRSA) بوده كه روش ساده و قابل اجرای نصف كردن كلیدهای محرمانه ی RSA بین كاربر و سرور ایمن آنلاین است. كاربر و سرور ایمن از نیم كلیدهای مربوطه طوری استفاده می كنند كه به لحاظ كاركردی معادل است با ( و فرم قابل تمیز) RSA ی استاندارد. نه كاربر و نه سرور از عامل بندی (فاكتور گیری) مدول RSA آگاهی ندارد و هیچ یك نمی توانند پیام را بدون كمك دیگری رمز گذاری كنند/ امضا كنند. مشكل اصلی رویكرد رمز گذاری mRSA اتكای آن به تاییدنامه های كلید عمومی برای استنتاج كلیدهای محرمانه/ عمومی است. این امر به مسائل مدیریت تایید نامه مثل لغو، توزیع، ذخیره و تایید منجر می شود. به [7,8] برای جزئیات تشریح و تحلیل امنیت الگوریتم mRSA رجوع كنید. اخیراً رمزگذاری بر اساس شناسه (IBE) به عنوان طرح پنهان سازی در سیستم های بانكداری ایمن مدرن برای حفاظت تراكنش های آنلاین پدیدار شده است. رمز گذاری بر اساس شناسه با تسهیل ارائه ی آسان رمز نویسی كلیدی عمومی با مجاز كردن كلید عمومی هویت (شناسه) با استنتاج از ارزش های شناسایی فرضی همچون نام یا آدرس ایمیل همراه است. فایده ی عملی اصلی رمز نویسی بر اساس شناسه عدم نیاز به استناد به تایید نامه های كلیدی عمومی و حل مشكلات مدیریت كلید عمومی است چون به حفظ پایگاه داده های عظیم حاوی فهرستی از كلیدهای عمومی و مالكیت مربوطه شان نیازی نیست. تحقیق تازه تری با تركیب رمز گذاری بر اساس شناسه با mRSA در یك چهارچوب، IB-mRSA برای بهبود امنیت علیه حملات صفرزنی انتخاب شده ی انطباقی مطرح شده است كه تهدید وسیعی را در الگوریتم RSA بروز می دهند. پروتكل IB-mRSA به فرستنده (رمزگذار) امكان نادیده گرفتن كنترل هزینه بر تایید نامه های كلیدی عمومی فردی را فراهم می كند. بعلاوه الگوریتم IB-mRSA تقریباً برای كاربردهای واقعی 4-5 برابر كمتر از تكنیك RSA ساده زمان می گیرد. ضعف عمده ی سیستم های بانكداری آنلاین بر اساس IB-mRSA عدم توانایی در حفاظت از حملات پاسخ و آسیب پذیری شان علیه رد خدمات (DoSs) است حملات با توجه به اینكه مهاجم می تواند درخواست های بسیاری را برای سرور قابل اطمینان ارسال كند. در منابع 3 نوع حمله ی DoS (رد خدمات) یافت می شوند: علیه پهنای باند سرور، حافظه و CPU. هدف اولین حمله آن است كه سرور نتواند پیام های بیشتری را دریافت كند. دومین حمله، سرور را به انبار ضایعات تبدیل می كند. آخرین حمله سبب می شود تا سرور پردازش ناكافی بسیار زیادی را محاسبه كند. غالب محققین امنیت روی حملات DoS علیه CPU ی سرور متمركز می شوند. ایده ی استفاده از یكبار رمز مصرف برای پرداختن به مسئله ی حمله ی DoS مطرح می شود برای اینكه مهاجمین نتوانند از درخواست های ایجاد شده توسط كاربر حقوقی دوباره استفاده كنند چون رمز یكبار مصرف به طور دینامیك تغییر می كند. 1.1 دستاورد دستاورد ما در این مقاله آمیختن جنبه های جذاب پروتكل IB-mRSA با تكنیك پیشگیری DoS بر اساس یكبار رمز در مدل یكپارچه ای برای تایید درخواست ها برای تراكنش های بانكداری آنلاین است. مدل مطروحه واریته ی تكنیك IB-mRSA است كه می تواند از حملات DoS و فاش شدن شناسه ی كاربر پیشگیری كند. منطق كاربرد پروتكل IB-mRSA تركیب مزایای لغو سریع و كلمات كلیدی بر اساس شناسه است كه كنترل مصونیت امنیت كاربر برای لغو شناسه را مشكل می سازد. حفظ حریم مشتریان در این مدل ساده، ایمن و بسیار موثر است چون یكبار رمز فقط یك بار قابل استفاده است. بعلاوه مدل محرز شده علیه هكرها برای حدس كلیدهای محرمانه از امنیت بسیار بالا و قابلیت پشتیبانی لغو برای امضا كننده ها و رمز گذاری (كلید عمومی) هم برخوردار است. معماری و اجرای این مدل علاوه بر راندمان و جنبه های قابلیت استفاده بحث می شوند. الباقی مقاله به شرح ذیل مرتب شده است. بخش بعدی مختصری از تحقیق ما و دستاورد ارائه می كند و جزئیات مدل امنیتی مطروحه را تشریح می كند. اجرا و سنجش های راندمان در بخش 3 بحث می شوند؛ بخش 4 تحلیل امنیت و راندمان را دنبال می كند. در بخش 5 مقاله با خلاصه ای از فواید مدل ارائه شده به پایان می رسد.
پیش نمایش مقاله
پیش نمایش مقاله  مدلی برای تصدیق درخواست ها برای تراکنش های بانکداری آنلاین

چکیده انگلیسی

As the number of clients using online banking increases, online banking systems are becoming more desirable targets for attacks. To maintain the clients trust and confidence in the security of their online banking services; financial institutions must identify how attackers compromise accounts and develop methods to protect them. Towards this purpose, this paper presents a modified model to authenticate clients for online banking transactions through utilizing Identity-Based mediated RSA(IB-mRSA) technique in conjunction with the one-time ID concept for the purpose of increasing security, avoiding swallow’s sorties and preventing reply attacks. The introduced system exploits a method for splitting private keys between the client and the Certification Authority (CA) server. Neither the client nor the CA can cheat one another since one-time ID can be used only once and each signature must involve both parties. The resulting model seems to be practical from both computational as well as storage point of view. The experimental results show the effectiveness of the proposed model

مقدمه انگلیسی

Electronic banking that allows people to interact with their banking accounts via the Internet from virtually anywhere in the world provides enormous benefits to consumers in terms of the ease and cost of transactions. This system permits consumers to request information and carry out most of banking services such as balance reports, inter-account transfers, and bill payment. The basic architecture of online banking system consists of three major components [1]: (1) Client; (2) Application server that takes care of the server script and checks for the ODBC connectivity for mapping to the database in order to fulfill client and administrator’s requests; and (3) Database, which stores client and bank data. While online banking offers enormous advantages and opportunities, it faces different kinds of risks that are specific to conduct sensitive business over the Internet. So, it is imperative that banks implement strong security approaches that can adequately address, monitor, manage and control risks and security threats to the bank. Security aims to prevent fraudsters from accessing online banking accounts that don’t belong to them, and subsequently viewing confidential information, causing malicious damage and stealing funds. In order to provide effective and secure banking transactions, there are two technology issues needed to be resolved [2]: (1) Security: is the primary concern of the Internet-based industries. The lack of security may result in serious damages and (2) Authentication: Encryption may help make the transactions more secure, but there is also a need to guarantee that no one alters the data at either end of the transaction. In general, the solutions to the online banking security issues require the use of software-based systems or hardware-based systems or a hybrid of them. The software-based solutions involve the use of encryption algorithms while hardware-based solutions involve the use of devices such as the smartcard. Software-based protection is easily obtained at lower costs than hardware-based protection. Consequently, due to the easy portability and ease of distribution through networks; software-based systems are more abundant in the market. However, software-based protection has many potential hazards like attacking the encryption algorithms by means of brute force and analysis attacks [1], [2] and [3]. Encryption, which modifies information in a way that makes it unreadable until the exact same process is reversed, is one of the methods used to solve the problem of attack trees, which identify how attackers compromise accounts and develop methods to protect them [4]. In the literature, there exist many algorithms available to implement the public key cryptography, like Rivest–Shamir–Adleman (RSA) encryption, Advanced Encryption Standard (AES) and Data Encryption Standard (DES). However, these techniques are slow when large volumes of data are to be encrypted [5]. Other encryption techniques include mediated RSA (mRSA) [6], which is a simple and practical method of splitting RSA private keys between user and the online trusted server. Both the user and the trusted server employ their respective half-keys in a way that is functionally equivalent to (and indistinguishable form) standard RSA. Neither the user nor the server knows the factorization of the RSA modulus and neither can decrypt/sign message without the other’s help. The main problem of mRSA encryption approach is that it still relies on public key certificates to derive private/public keys. This leads to the issues of certificate management like revocation, distribution, storage and verification. Refer to [7] and [8] for a detailed description and security analysis of the mRSA algorithm. Recently, Identifier-Based Encryption (IBE) is emerged as a cryptographic scheme in modern secure banking systems to protect online transactions. Identity-based public key encryption facilitates easy introduction of public key cryptography by allowing an entity’s public key to be derived from arbitrary identification values, such as name or e-mail address. The main practical benefit of identity-based cryptography is in greatly reducing the need for, and reliance on, public key certificates and solving certain public key management problems since there is no need to maintain a great database containing a list of public keys and their respective owner [7]. A more recent work is proposed to combine identity-based encryption with mRSA in one framework, IB-mRSA, to improve security against adaptive chosen cipher attacks that represent the immense threat in RSA algorithm. IB-mRSA protocol allows the sender (encryptor) to skip the costly checking of individual public key certificates. Furthermore, for real time applications IB-mRSA algorithm takes roughly 4–5 times less than plain RSA technique [8]. The major weakness of the IB-mRSA based online banking systems is that their disability to prevent reply attacks and their vulnerability against denial of the services (DoSs) attacks since an attacker can send many requests to the trusted server. In the literature, there are three types of DoS attacks [9]: against server’s bandwidth, memory, and CPU. The purpose of the first attack is that a server cannot receive any more messages. The second one is performed to make a server stores large quantities of waste states. The last one is the attack, which makes a server computes a lot of quite inefficient processing. Most previous security researches focus on DoS attacks against server’s CPU. To handle the problem of DoS attack, the idea of employing one-time ID is suggested in order to make the attackers cannot reuse the requests generated by legal user because one-time ID dynamically changes.

نتیجه گیری انگلیسی

Banking transactions over Internet have become a common feature now. However, the question remains how secure these transactions. A solution to this has been proposed in this paper using the concepts of both IB-mRSA cryptosystem and one-time ID. The solution relies on partially trusted server for generating public/private keys for regular clients and has some interesting features such as built-in attack detection for clients and DoS resistance for server. The major advantages of the presented model are: (1) Assist small limited–power devices in computing signatures; (2) Provide fast revocation of signing ability; (3) Limit damage from potential compromise; (4) Simplified signature verification; (5) Smaller signature lengths and faster verifying times. Finally (6) Verification transparency is another big advantage over previous verifiable-server approaches since there is no necessity to store past signatures to prove server’s cheating. The only drawback of the proposed model is the increased number of rounds between the client and the server. However, decrease in the numbers of system’s attacks is generally much more important than an increase in the bandwidth usage as far as communication delay is considered. We implemented this model to experiment with it. Our implementation reveals that signature time is essentially unchanged from the client’s perspective. Therefore, we believe that this architecture is appropriate for electronic banking system, where tight control of security capabilities is desirable. Our plans include migrating both of CA and of SEM to real-time platform. Extending the experimental performance evaluation to other platforms might also be very useful.