Transcript Archivo Adjunto

La autenticación robusta en el
Discount Bank – el inicio de una
realidad en América Latina?
CL@B2007 - Agosto 23 de 2007
Expositores:
Sr. José Pedro Ferrer - Gerente de IT de Discount Bank Latin America
Ing. Leonardo Berro - CISSP - Director de Security Advisor
Discount Bank L.A.
MultiDiscount.NET
Implementacion Doble
Autenticación
Nuestra Misión
Desarrollar con cada uno de nuestros clientes una
relación a largo plazo, brindándoles los múltiples
productos y servicios financieros que necesiten en
las distintas etapas de su vida.
Para ello, nos basaremos en nuestra gente, a la que
apoyaremos en su desarrollo profesional y personal,
en un ambiente de trabajo en equipo que reconoce el
valor de cada una de las personas involucradas.
Nuestra adhesión a la misión nos permitirá maximizar
el valor para nuestros accionistas, clientes y la
sociedad en su conjunto, lo que permitirá el contínuo
desarrollo del Discount Bank LA.
Nuestra Visión
Ser reconocido como el banco que mejor
satisface las necesidades de sus clientes,
por la calidad de sus servicios, su atención
profesional y personalizada, por su
capacidad de innovación y aprovechamiento
del rápido desarrollo tecnológico.
Breve Historia
 1958
Fundado como una sucursal del
Discount Bank (Overseas) Limited.
 1977
Pasa a ser subsidiario de IDB New York
y cambia el nombre a Discount Bank
(Latin America) – “DBLA”
 2006
“AA” establecido por S&P (Apr/06)
Conformación
 232 Empleados
 12 sucursales estratégicamente ubicadas en
Montevideo y Maldonado
 Al servicio de más de 40.000 clientes
Conformación
 Personal Banking (Residentes & No Residentes)
 Características: Segmento Medio - Alto (Colectividad Judía,
Profesionales, Jóvenes, Empresarios, etc.)
 Corporate Banking (Residentes & No Residentes)
 Características: Pequeñas y Medianas Empresas (Importaciones &
Exportaciones, Empresas: Comerciales, Industriales y de Servicios)
 Servicios a empresas Argentinas, Brasileras y Chilenas
principalmente.
 Private Banking (Residentes & No Residentes)
 Se ofrecen instrumentos de inversión, brindando asesoramiento
integral al cliente.
MultiDiscount.NET
 1er. Servicio de Windows Home Banking de Uruguay (1997)
 26% de la cartera de Clientes activos en el servicio. El 5% de
esta cartera accede por día a su información por este medio.
 +2000 Accesos Diarios de Clientes
 mas de 60.000 Transacciones Mensuales
 Sistema MultiCuenta ( 1 Usuario – N Cuentas habilitadas )
 Multi-Idioma
 Administración de Sub-Usuarios y Permisos
Seguridad Pre
Autenticación Robusta
 Seguridad basada en Niveles de Usuarios
 Administración de Permisos por parte del
Banco
 Falta de seguridad de algunos Clientes
para operativas que afectan movimientos
de fondos
Ayer en Home Banking
Doble autenticación
 Capa de Windows
 Gran cantidad de usuarios en Active Directory
 Imposibilidad de que el usuario cambiara su clave
 Capa de la Aplicación
 Mantenimiento de usuarios en Bases de Datos
 Encripción de claves en Base de datos
Ayer en Home Banking
Problemas
 Doble juego de Usuario/password
 Usuario memorizaba password en cache
 Problemas al borrar el cache
 Almacenamiento de usuario y passwords en PC
públicos
 Alto costo de administración de usuarios
 Olvido de password
 Generación de nuevas claves
 Verificación de usuario válido ante bloqueos por
errores
 Gran cantidad de llamadas al Call Center
Solución con Autenticación
Robusta (TOKEN)
 Flexibilidad para el Cliente
 Auto-Administración por parte del Cliente de sus
permisos y perfiles de usuarios dependientes
 Mecanismos de Seguridad adicional no
tradicional (basado en conocimiento de una clave
conocida)
 Sin acceso al Token no se puede confirmar una
operativa
MultiDiscount con TOKEN
La implementación de la tecnología Token
requirió los siguientes puntos:
 En el BackEnd
 La Integración de los Tokens en la Administración de
Usuarios del Sistema
 En el FrontEnd
 Integración del mecanismo de autenticación
mediante Token en las operativas seleccionadas
Perfil de Usuarios
Nivel Limitado
Consultas, Solicitud de Chequeras y Compra Venta de Moneda
Nivel Básico
Nivel Limitado más Traspasos de fondos entre cuentas del usuario,
Traspasos a terceros dentro del Discount Bank
Nivel Básico c/Transferencias
Nivel Básico más Transferencias a Bancos de Uruguay o del
Exterior limitado por un tope máximo diario
Nivel Avanzado
Consultas, Solicitud de Chequeras, Compra Venta de Moneda,
Traspasos de fondos entre cuentas del usuario, Traspasos a
terceros dentro del Discount Bank, Transferencias sin límite
MultiDiscount
BackEnd
Se integró al sistema de administración de usuarios, la gestión
del stock de Tokens del Banco.
Con ello se permite al momento de afiliar un cliente o cambiar
su perfil, preguntarle con qué cuentas de su grupo desea
operar con el Token.
Se almacena una tupla que identifica para cada cuenta del
cliente:
NOMBRE DE USUARIO + CUENTA HABILITADA + NRO. DE SERIE DEL
TOKEN
Seguidamente se corre un proceso de inicialización de Token que lo
deja operativo.
Hoy en Home Banking
 Autenticación con Usuario y password sólo para
consultas básicas (igual a otros servicios)
 Requerimiento de Token sólo para transacciones críticas
(manejo de fondos)
 Ventajas





Claves dinámicas, únicas e irrepetibles
Mínimo período de validez del código generado
Fácil de usar (solo oprimir un botón)
No es necesario recordar códigos ni claves
Fácil y rápida implementación e integración a aplicaciones ya
existentes
 Permite autenticar desde la propia aplicación mediante el llamado
de rutinas encapsuladas
 Integrable a distintas plataformas
 Elimina posibilidades de PHISHING
Pantalla de
bienvenida a
MultiDiscount.NET
una vez autenticado
el cliente
Ejemplo de
Operativa de
Transferencias
al Exterior
mediante uso
de TOKEN
MultiDiscount.NET
FrontEnd
Cuando un cliente accede a una operativa definida por el banco, para
que requiera autenticación adicional mediante Token, se le presenta
una pantalla similar a la siguiente :
MultiDiscount.NET
En caso de no ingresar un código válido, se puede reintentar
hasta un máximo de 3 veces.
Seguidamente luego del 3er. reintento , se bloquea
administrativamente el usuario, el cual debe contactar al Banco
para su reactivación.
Problemas
Lectura
Posición correcta
342601
Lectura
Posición errónea
1092hE
Transacciones via Fax
La operativa
Los clientes envían faxes, los mismos son digitalizados
automáticamente y de la misma forma ingresan a un
Workflow.
El problema
Los niveles de autenticación e integridad, se degradan,
como consecuencia de los cambios tecnológicos
La Solución
El Token es la solución, que permitirá autenticar al
usuario y garantizará la integridad del contenido del
documento enviado.
La Operativa:
El cliente envía por fax, una carta orden.
A la misma le agrega una clave que
autentique el origen del mismo.
CLIENTE
El problema
El nivel de autenticación es muy bajo, ya que es una
clave creada a partir de una tabla fija y tampoco
garantiza que el contenido no fue modificado.
VERIFICA
Ingreso
WorkFlow
OFFICER
Token con Firma
Electrónica
•Autenticación robusta.
•Teclado reducido.
•Fácil de utilizar.
•Generador de Firma Electrónica a partir de múltiples campos.
El dispositivo consta de un teclado numérico, en el cual se pueden
ingresar como parámetro del hash, los campos involucrados en la
transacción, que pueden ser por ejemplo: número de cuenta que
se debita, número de cuenta a ser acreditada, importe de la
operación, fecha o fecha valor y un número fijo o PIN.
¿ Consultas ?
¡ Gracias !