Secure Ecommerce: Voorwaarden Voor Veilig Zakendoen Over Het Internet

Arne Helme
M&I/STELVIO, Amersfoort
Arne.Helme@stelvio.nl

Jaap-Henk Hoepman
Faculteit Informatica, Universiteit Twente, Enschede
hoepman@cs.utwente.nl

Inhoud

Inleiding

In de afgelopen vijf jaar is het Internet geevolueerd van een datanetwerk dat slechts universiteiten en onderzoeksinstellingen met elkaar verbond, tot een wereldwijd informatie en communicatie netwerk dat nu ook (vooral!) wordt gebruikt door honderdduizenden bedrijven en overheidinstellingen, en ruim honderd miljoen mensen.

Dit alles is het directe gevolg van de ontwikkeling van het World Wide Web (WWW) en de (gratis) distributie van zeer gebruikersvriendelijke web browsers als Netscape Communicator en Microsoft Internet Explorer. Het WWW biedt een extreem toegankelijke infrastructuur voor het verspreiden en verzamelen van informatie. Daarnaast heeft er een explosie plaats gevonden in het gebruik van email voor zowel zakelijke als persoonlijke communicatie, en mogen ook chatrooms en icq zich in een hoge populariteit verheugen.

Inmiddels wordt ook steeds duidelijker dat zo'n groot aantal mensen en bedrijven aangesloten op één, snel groeiend, netwerk geweldige kansen biedt voor het handelen en zakendoen op afstand. Omdat bovendien bedrijven zelf ook steeds verdergaand geautomatiseerd worden, worden ook nieuwe manieren voor elektronisch zakendoen (ook wel electronic commerce of kortweg ecommerce genoemd) mogelijk, bijvoorbeeld door de klant - via het Internet - direct invloed te geven op het productie proces van de leverancier.

De eerste stappen hiertoe zijn reeds gezet. Het is echter nog steeds onduidelijk welke technologie voor het ondersteunen en beveiligen van ecommerce zal worden ingezet. Op dit moment bestaat er geen globale en veilige infrastructuur voor het afsluiten van transacties, het wederzijds selectief ontsluiten van bedrijfsprocessen, en het opbouwen van vertrouwen. Wel zijn er verschillende initiatieven genomen door de industrie, de banken en de academia om dergelijke systemen te ontwikkelen. Tot dusver zijn deze echter weinig succesvol of beperkt toepasbaar gebleken.

We laten een aantal van deze systemen kort de revue passeren voordat we ingaan op de voorwaarden waaraan een veilige infrastructuur voor ecommerce in zijn totaliteit moet voldoen.

Huidige situatie

Een lastig probleem blijkt bijvoorbeeld het betalen over het Internet te zijn. De enige acceptabele oplossing, op dit moment, is gebruik te maken van credit cards. Dit geeft de leverancier de garantie dat hij betaald wordt voor zijn product, en levert de klant de garantie dat hij zijn geld terugkrijgt als het product niet geleverd wordt. Twee systemen zijn hiervoor in gebruik.

Secure Electronic Transactions (SET) - ontwikkeld door VISA en MasterCard - is een complex systeem voor het veilig verwerken van credit card transacties. Belangrijkste eigenschap van dit systeem is dat de verkoper nooit het credit card nummer van de koper krijgt te zien, terwijl de bank of credit card instelling niet te weten komt wat de koper nu eigenlijk gekocht heeft. Uit privacy en veiligheidsoverwegingen zijn dit zeer aantrekkelijke eigenschappen. Immers een database van credit card nummers bij de verkoper is een aantrekkelijk doelwit voor hackers. Echter, SET is een complex protocol, en om SET te gebruiken moet de klant extra software installeren. Bovendien gebruiken leverantiers vaak het credit card nummer van hun klanten als index in hun databases. SET is voor hen dus niet aantrekkelijk.

Het Secure Socket Layer (SSL) protocol wordt op dit moment door de meeste web browsers en web servers gebruikt voor het beveiligen van de communicatie tussen de browser en de web server. SSL garandeert de integriteit en de vertrouwelijkheid van de uitgewisselde gegevens. Bovendien biedt SSL de mogelijkheid om de identiteit van zowel de gebruiker als de web server op een redelijk betrouwbare wijze vast te stellen. SSL biedt dus de garantie dat het credit card nummer enkel en alleen bij de juiste leverancier terecht komt (ook al wordt wegens export bepalingen vaak een zwakkere vorm van 40 bits vercijfering gebruikt). Wat er echter verder bij die leverancier met het credit card nummer gebeurt is niet gespecificeerd. Als de leverancier onzorgvuldig met deze gegevens omgaat - wat toch nog regelmatig voorkomt - liggen deze gegevens binnen de kortste keren op straat. SSL lost dus slechts een deel van het probleem op.

Om de identiteit van gebruikers en systemen in een wereldwijd netwerk betrouwbaar vast te stellen wordt gebruik gemaakt van een zogenaamde Public Key Infrastructure (PKI). Deze bestaat uit een aantal Certification Authorities (CA) die verantwoordelijk zijn voor de uitgifte van certificaten waarmee (elektronisch) de identiteit van een gebruiker of systeem bepaald kan worden. Verisign is een bekend voorbeeld van een CA die al operationeel is. Ook dit systeem heeft echter zo zijn tekortkomingen.

• Ten eerste wordt een grote verantwoordelijkheid voor het controleren van certificaten bij gebruikers gelegd. Voor de meeste browsers geldt bijvoorbeeld dat om de herkomst van een veilige web pagina te controleren een aantal extra handelingen moet worden verricht (die dus door de meeste gebruikers worden overgeslagen) om vervolgens een alleen voor beveiligingsexperts te begrijpen informatiescherm te presenteren.
• Ten tweede is het ontwerpen van een schaalbare implementatie van een PKI die wereldwijd door honderden miljoenen mensen dagelijks gebruikt kan worden een probleem.
• Ten derde is het bij de meeste transacties maar de vraag of je werkelijk in de identiteit van de koper dan wel de verkoper geinteresseerd bent. Waar het om gaat is of je elkaar kunt vertrouwen. Dit vertrouwen kan deels gebaseerd zijn op elkaars identiteit. Meer voor de hand ligt het echter om dit vertrouwen te baseren op eerdere ervaringen met dezelfde partners, of op een door een inhoudelijk betrokken instelling uitgegeven (digitaal) keurmerk.

Voorwaarden

We hebben gezien dat voor een aantal belangrijke obstakels voor invoer van ecommerce technische oplossingen zijn bedacht, die echter maar ten dele voldoen. Bovendien is lang niet aan alle voorwaarden voor veilig zakendoen over het Internet voldaan. Op een aantal van die voorwaarden gaan we wat dieper in.

1. Veilige opslag en transport van informatie

Een allereerste vereiste voor veilige ecommerce is dat informatie veilig opgeslagen en getransporteerd wordt. Bij ecommerce wordt immers veelvuldig gebruik gemaakt van bedrijsgevoelige of commercieel waardevolle informatie. Bovendien stelt ook de wet minimale eisen, e.g. de privacy wetgeving of de wet computer criminaliteit (WCC). Wat betreft het transport van data over netwerken wordt dit probleem middels SSL of het nieuwe Internet protocol (IPv6) opgelost.

2. Veilig betalen

Om veilig te kunnen handelen moet tenminste ook veilig, en liefst snel, betaald kunnen worden. Van belang zijn vooral die systemen waarmee de leverancier direct bij het binnenkomen van een order betaling van die order zeker kan stellen, en zo de order eventueel direct kan weigeren.

Onderscheid wordt gemaakt tussen macro-payment systemen en micro-payment systemen. Macro-payment systemen worden gebruikt voor eenmalige betalingen van bedragen boven de 5-10 gulden, bijvoorbeeld voor het bestellen van een boek of CD. De basis van deze systemen vormt meestal de credit card (wat deze systemen ook ongeschikt maakt voor lagere bedragen). Ook bestaan er systemen die direct ten laste van een bankrekening afrekenen (zoals bijvoorbeeld I-Pay).

Micro-payment systemen worden gebruikt voor het kort na elkaar betalen van kleine bedragen gedurende de tijd dat een bepaalde dienst wordt afgenomen. Dit is dus vergelijkbaar met hoe voor een telefoongesprek in een telefooncel middels tikken wordt betaald. Hoewel er veel potentiele toepassingen voor micropayments zijn (denk aan on-line pay-while-viewing, informatie en database access, etc.), bestaan er nog maar weinig systemen die micro-payments ondersteunen. Probleem is dat al snel de kosten van de transactieverwerking hoger liggen dan het bedrag van de transactie zelf.

3. Vertrouwen en betrouwbaarheid

Het Internet wordt vaak voorgesteld als het Mekka van de criminele hacker die ongezien allerlei gegevens kan verzamelen, of van de frauduleuze handelaar die in een korte periode een hoge omzet genereert om dan met de noorderzon te vertrekken zonder aan zijn verplichtingen te voldoen. Dit is slechts ten dele werkelijkheid. Toch bestaan er op dit moment te weinig middelen om op het Internet het onderling vertrouwen te verhogen en de betrouwbaarheid te waarborgen.

Deels wordt vertrouwen opgebouwd door gewoon handel te drijven en op basis van opgedane ervaringen aangepast. Deels wordt vertrouwen opgebouwd middels zogenaamde trusted third parties (TTP's). Dergelijke TTP's fungeren als onpartijdige derde in het aangaan en afwikkelen van transacties als de beide partners elkaar nog niet (volledig) vertrouwen, en geven garanties in het geval een van de partijen onbetrouwbaar blijkt te zijn. Banken zullen hier - net als vroeger - een belangrijke rol gaan spelen.

Ons inziens zal ook een belangrijke rol zijn weggelegd voor instellingen die, op basis van inhoudelijke kennis en regelmatige controle, een digitaal keurmerk aan bedrijven en organisaties kunnen uitdelen en ook weer intrekken. Te denken valt aan een digitale versie van het ANVR keurmerk in het reiswezen. Zo'n keurmerk is onvervalsbaar en voor iedereen controleerbaar, en lijkt wat dat betreft dus sterk op certificaten die identiteiten aan personen koppelen.

4. Fijnmazige toegansgcontrole

Eerder is al opgemerkt dat ecommerce ook gebaseerd is op de mogelijkheid om direct invloed op de bedrijfsprocessen van andere bedrijven uit te oefenen, voor zover dit toegestaan is. Steeds vaker is het echter zo dat bedrijven snel van alliantie wisselen, en zo kan de partner van gisteren de concurrent van vandaag zijn. Sterker nog, bedrijven als Microsoft en IBM bestrijden elkaar op het ene marktsegment terwijl ze partners zijn op andere marktsegmenten. Dit gegeven wordt ook wel co-opetitie genoemd, en stelt zeer zware eisen aan de manier waarop de toegang tot de eigen bedrijfsprocessen wordt gecontroleerd en beheerd.

5. Ondersteunen van transacties

In complexere situaties voldoet het simpele model van bestellen en betalen niet meer. Soms moeten bijvoorbeeld gegevens tegelijkertijd worden uitgewisseld (denk bijvoorbeeld aan het uitwisselen van contracten). In andere gevallen is men slechts geinteresseerd in het aankopen van een pakket aan diensten, die niet noodzakelijkerwijs door één instelling worden aangeboden. Ieder onderdeel uit het pakket is in principe waardeloos zonder de andere onderdelen. Als voorbeeld kunnen we een reisburo nemen dat voor een klant een vlucht boekt, een hotel boekt en een huurauto reserveert. De klant is duidelijk niet bereid om te betalen voor de vlucht als het hotel volgeboekt blijkt te zijn. De systemen voor het ondersteunen van dergelijke transacties zullen complex zijn.

6. Onweerlegbaarheid

Onweerlegbaarheid (in het engels non-repudiation genoemd) van transacties is ook een belangrijke voorwaarde voor ecommerce. Immers, als een opdrachtgever later kan ontkennen een bepaalde transactie te zijn aangegaan, kan dit tot grote verliezen bij de opdrachtnemer leiden. In de digitale wereld is onweerlegbaarheid moeilijk te garanderen. Digitale documenten zijn immers veel eenvoudiger te vervalsen of te veranderen dan papieren documenten. Het gebruik van digitale handtekeningen kan hiervoor deels een oplossing bieden. Waterdichte systemen voor onweerlegbaarheid bestaan echter (nog) niet.

7. Niet technische eisen

Net zo belangrijk als de voorgaande eisen van technische aard zijn de volgende eisen op het gebied van wetgeving en bestuur. Rechtsgeldigheid van digitale handtekeningen is bijvoorbeeld noodzakelijk voor het digitaal opstellen en tekenen van contracten. Minstens zo belangrijk is de voor iedereen volledig vrije beschikbaarheid van sterke cryptografie om zo de infrastructuur voor iedereen maximaal te kunnen beveiligen.

Tenslotte dient er ook veel meer aandacht geschonken te worden aan de bescherming van de privacy op het Internet. Klantgegevens zijn zo waardevol dat een bedrijf een dief van zijn eigen portemonnee is als hij niet probeert het maximaal haalbare te verzamelen. Echter: `Privacy lost cannot be regained', en daarom dient de overheid het maximaal toelaatbare duidelijk vast te leggen én af te dwingen. Voorkomen is echter beter dan genezen, en technische oplossingen die de privacy beschermen verdienen dan ook de voorkeur.

Conclusies

Er wordt inmiddels al volop op het Internet gehandeld, of er nu een goede infrastructuur voor ligt of niet. Meer complexere vormen van ecommerce komen echter niet van de grond, ondanks de grote voordelen die dit kan opleveren. Dit komt onder meer omdat aan een aantal voorwaarden voor veilige invoering slechts ten dele is voldaan. Ook is de markt niet altijd even goed bekend met de beschikbare oplossingen. Het is dus zaak om, waar nodig, nieuwe oplossingen voor de geschetste problemen te ontwikkelen, zowel op de korte als op de lange termijn, en de beschikbare kennis aan de markt over te dragen.

Een waarschuwing is echter op zijn plaats. Met alleen technische oplossingen zijn we er nog niet. Duidelijk mag zijn dat ook de organisatie (en de mentaliteit) van een bedrijf volledig op ecommerce moet zijn ingericht. Bovendien dient de overheid minimale randvoorwaarden (bijvoorbeeld aangaande de beschikbaarheid van sterke cryptografie en de rechtsgeldigheid van digitale handtekeningen) te garanderen.

---

Last Version - e1e3326.
(Note: changeover from CVS to dotless svn version numbers on Jan 19, 2008, and changeover to GIT versioning on May 30, 2013.)
Maintained by Jaap-Henk Hoepman
Email: jhh@cs.ru.nl