Peer-to-Peer Payment via NFC

115 Pages·2012·5.35 MB·German

by  Stefan Gfrörer

Eberhard-Karls-Universität Tübingen
Fakultät für Informations- und Kognitionswissenschaften
Wilhelm-Schickard-Institut für Informatik
Arbeitsbereich für Theoretische Informatik / Formale Sprachen
Peer-to-Peer Payment via NFC
Diplomarbeit
im Fachgebiet Informatik
Stefan Gfrörer
20. April 2012
Betreuer:
Dr. Bernd Borchert
Prof. Dr. Klaus Reinhardt

Peer-to-Peer Payment via NFC
Zusammenfassung
DievorliegendeArbeiterforschtdieUmsetzungeinesmobilenBezahlsystemsmittels
dem eKaay Verfahren. Es soll direkte Transaktionen zwischen zwei Benutzern von
Smartphones ermöglichen und dabei einen guten Kompromiss aus Sicherheit und
Benutzerfreundlichkeit bieten. Die Sicherheit muss in einer Analyse nachgewiesen
und mit weiteren Verfahren verglichen werden. Beide Ziele wurden erreicht. Dabei
ist es gelungen neben dem Bezahlverfahren auch eine Erweiterung für Online Shop
Systeme zu entwickeln. Die Analyse ergab eine Reihe von ähnlichen Problemen und
LösungsansätzeninverschiedenenmobilenPeer-to-PeerBezahlsystemen.Ausdiesen
Gemeinsamkeiten konnten verschiedene Empfehlungen für die Entwicklung weiterer
Verfahren abgeleitet werden.
© Stefan Gfrörer

Peer-to-Peer Payment via NFC
Eidesstattliche Erklärung
Ich, Stefan Gfrörer, versichere hiermit, dass ich meine Diplomarbeit mit dem The-
ma
Peer-to-Peer Payment via NFC
selbständig verfasst und keine anderen als die angegebenen Quellen und Hilfsmittel
benutzt habe, wobei ich alle wörtlichen und sinngemäßen Zitate als solche gekenn-
zeichnet habe. Die Arbeit wurde bisher keiner anderen Prüfungsbehörde vorgelegt
und auch nicht veröffentlicht.
Tübingen, den 20. April 2012
Stefan Gfrörer
© Stefan Gfrörer
Peer-to-Peer Payment via NFC
Inhaltsverzeichnis
Inhaltsverzeichnis
Abkürzungsverzeichnis V
Abbildungsverzeichnis VII
Tabellenverzeichnis XI
Verzeichnis der Listings XIII
1. Einleitung 1
1.1. Motivation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.2. Ziel der Arbeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.3. Verwandte Arbeiten . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.4. Voraussetzungen zum Verständnis der Arbeit . . . . . . . . . . . . . 3
1.5. Aufbau der Arbeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
2. Grundlagen und Hintergründe 5
2.1. eKaay . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2.2. Near Field Communication (NFC) . . . . . . . . . . . . . . . . . . . 9
2.3. Android . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
2.4. Mobile Payment (MP) . . . . . . . . . . . . . . . . . . . . . . . . . . 12
3. Peer-to-Peer Payment mit eKaay 17
3.1. Formulierung der Ziele . . . . . . . . . . . . . . . . . . . . . . . . . . 17
3.2. Entwurf einer Testumgebung . . . . . . . . . . . . . . . . . . . . . . 18
3.3. Entwurf von eKaayCash . . . . . . . . . . . . . . . . . . . . . . . . . 19
3.3.1. Verfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
3.3.2. Peer-to-Peer Kommunikation . . . . . . . . . . . . . . . . . . 21
3.3.3. Verbesserung der Sicherheit . . . . . . . . . . . . . . . . . . . 24
3.4. Erweiterung für Online Shop Systeme . . . . . . . . . . . . . . . . . 25
3.5. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
4. Analyse bestehender mobiler Bezahlsysteme 29
4.1. Vorgehen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
4.1.1. Auswahl der Verfahren und Kriterien . . . . . . . . . . . . . . 29
4.1.2. Ablauf . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
I © Stefan Gfrörer
Peer-to-Peer Payment via NFC
Inhaltsverzeichnis
4.2. Mögliche Angriffspunkte in Mobile Payment Lösungen . . . . . . . . 31
4.3. eKaayCash . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
4.3.1. Sicherheitsanalyse . . . . . . . . . . . . . . . . . . . . . . . . 40
4.3.1.1. eKaayCash . . . . . . . . . . . . . . . . . . . . . . . 40
4.3.1.2. Erweiterung für Online Shop Systeme . . . . . . . . 42
4.3.2. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
4.4. PayPal Mobile Payments. . . . . . . . . . . . . . . . . . . . . . . . . 43
4.4.1. Beschreibung des Verfahrens . . . . . . . . . . . . . . . . . . 43
4.4.2. Technische Umsetzung . . . . . . . . . . . . . . . . . . . . . . 45
4.4.3. Verbreitung und Akzeptanz durch Benutzer . . . . . . . . . . 46
4.4.4. Sicherheitsanalyse . . . . . . . . . . . . . . . . . . . . . . . . 47
4.4.5. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
4.5. Google wallet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
4.5.1. Beschreibung des Verfahrens . . . . . . . . . . . . . . . . . . 49
4.5.2. Technische Umsetzung . . . . . . . . . . . . . . . . . . . . . . 51
4.5.3. Verbreitung und Akzeptanz durch Benutzer . . . . . . . . . . 52
4.5.4. Sicherheitsanalyse . . . . . . . . . . . . . . . . . . . . . . . . 52
4.5.5. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
4.6. Bitcoins . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
4.6.1. Beschreibung des Verfahrens . . . . . . . . . . . . . . . . . . 54
4.6.2. Technische Umsetzung . . . . . . . . . . . . . . . . . . . . . . 55
4.6.3. Verbreitung und Akzeptanz durch Benutzer . . . . . . . . . . 57
4.6.4. Sicherheitsanalyse . . . . . . . . . . . . . . . . . . . . . . . . 57
4.6.5. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
4.7. „A 2D Barcode-Based Mobile Payment System“ . . . . . . . . . . . 59
4.7.1. Beschreibung des Verfahrens . . . . . . . . . . . . . . . . . . 59
4.7.2. Technische Umsetzung . . . . . . . . . . . . . . . . . . . . . . 60
4.7.3. Verbreitung und Akzeptanz durch Benutzer . . . . . . . . . . 62
4.7.4. Sicherheitsanalyse . . . . . . . . . . . . . . . . . . . . . . . . 62
4.7.5. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
4.8. „A Wireless Payment System“ . . . . . . . . . . . . . . . . . . . . . 64
4.8.1. Beschreibung des Verfahrens . . . . . . . . . . . . . . . . . . 64
4.8.2. Technische Umsetzung . . . . . . . . . . . . . . . . . . . . . . 64
4.8.3. Verbreitung und Akzeptanz durch Benutzer . . . . . . . . . . 66
4.8.4. Sicherheitsanalyse . . . . . . . . . . . . . . . . . . . . . . . . 66
4.8.5. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67
4.9. Entwurf einer Smartphone basierten Geldkarte . . . . . . . . . . . . 68
4.9.1. Beschreibung des Verfahrens . . . . . . . . . . . . . . . . . . 68
4.9.2. Technische Umsetzung . . . . . . . . . . . . . . . . . . . . . . 69
4.9.3. Verbreitung und Akzeptanz durch Benutzer . . . . . . . . . . 70
© Stefan Gfrörer II
Peer-to-Peer Payment via NFC
Inhaltsverzeichnis
4.9.4. Sicherheitsanalyse . . . . . . . . . . . . . . . . . . . . . . . . 70
4.9.5. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
4.10.Weitere Mobile Payment Lösungen . . . . . . . . . . . . . . . . . . . 71
4.10.1. „Secure Mobile Payment via Trusted Computing“ . . . . . . 71
4.10.2. ISIS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72
4.11.Zusammenfassung . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72
4.12.Diskussion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72
4.13.Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74
5. Implementierung von eKaayCash 77
5.1. Erzeugung einer Überweisung . . . . . . . . . . . . . . . . . . . . . . 77
5.2. Erweiterung der eKaay App . . . . . . . . . . . . . . . . . . . . . . . 78
5.3. Server/Client Kommunikation . . . . . . . . . . . . . . . . . . . . . . 79
6. Schluss 81
6.1. Zusammenfassung . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
6.2. Ausblick . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
Literaturverzeichnis 85
A. Anhang i
III © Stefan Gfrörer

Peer-to-Peer Payment via NFC
Abkürzungsverzeichnis
Abkürzungsverzeichnis
AES ............... Advanced Encryption Standard
API ................ Application Programming Interface (engl. für Programmier-
schnittstelle)
ASK ............... Amplitude Shift Keying
C2C ................ Consumer-to-Consumer
CNP ............... Card not present transaction
ECC ............... Elliptic Curve Cryptography (engl. für Elliptische-Kurven-
Kryptographie)
EDGE ............. Enhanced Data Rates for GSM Evolution
EMV ............... Europay, MasterCard, Visa
GSM ............... Global System for Mobile Communications
HMAC ............. Keyed-Hash Message Authentication Code
ID ................. Identification (engl. für Identifikator oder Kennung)
IMEI ............... International Mobile Equipment Identity
LTE ................ Long Term Evolution
MITM ............. Man-in-the-middleattack(engl.fürMan-in-the-middle-Angriff)
MP ................ Mobile Payment
NDEF ............. NFC Data Exchange Format
NFC ............... NearFieldCommunication(engl.fürNahfeld-Kommunikation)
P2P ................ Peer-to-Peer oder Person-to-Person
PIN ................ Personal Identification Number (engl. für Persönliche Identi-
fikationsnummer)
POS ............... Point of Sale
QR Code ........... Quick Response Code
RFID .............. Radio-Frequency Identification
SDP ............... Service Discovery Protocol
SE ................. Secure Element
SMS ............... Short Message Service (engl. für Kurznachrichtendienst)
SSL ................ Secure Sockets Layer
V © Stefan Gfrörer