[論文レビュー] M-Banking Security - a futuristic improved security approach

Geeta S. Navale, Swati S. Joshi+1 more|arXiv (Cornell University)|Feb 5, 2010

Blockchain Technology Applications and Security被引用数 3

ひとこと要約

本稿は、ステガノグラフィーとカスタムセッションIDおよびリクエストIDを統合した、モバイルバンキングのセキュリティフレームワークを提案する。暗号化されたデータをデジタルメディアに埋め込み、一意で予測不能な識別子を適用することにより、MITM攻撃やスプーフィングを軽減し、従来の方法に比べてユーザー負担を増さずに、取引の機密性と真正性を大幅に向上させる。

ABSTRACT

In last few decades large technology development raised various new needs. Financial sector has also no exception. People are approaching all over the world to fulfill there dreams. Any sector needs to understand changing need of customer. In order to satisfy financial need for customer banks are taking help of new technology such as internet. Only problem remain is of security. The aim of this work is to provide a secure environment in terms of security for transaction by various ways. In order to improve security we are making use of "Steganography" technique in the way never used before. Task of enhancing security include construction of formula for both data encryption and also for hiding pattern. Server should not process any fake request hence concept of custom "Session id" and "Request id" is introduced. Implementation of such a security constraints in banking sector not only help to serve customer in better way but also make customer confident and satisfy.

研究の動機と目的

• 増加するデジタル取引の流れに伴い深刻化するモバイルバンキングにおけるセキュリティ脆弱性に対処すること。
• データの隠蔽にステガノグラフィーを導入することで、従来の暗号化に依存するのを減らすこと。
• 予測不能なカスタムセッションIDおよびリクエストIDの導入により、偽のリクエストを防止すること。
• レイヤードセキュリティメカニズムを通じて、mバンキング環境におけるユーザーの信頼性とシステムのレジリエンスを高めること。
• 既存のバンキングインfra構造と互換性がある、スケーラブルなアプリケーションレベルのセキュリティ拡張を提供すること。

提案手法

• 盗聴を防ぐために、取引データを暗号化し、それをデジタルメディア（例：画像や音声）に隠すステガノグラフィーの適用。
• リプレイ攻撃やスプーフィング攻撃を防ぐために、カスタムセッションIDおよびリクエストIDのメカニズムを設計。
• データ整合性と隠蔽性を確保するため、暗号化とステガノグラフィックパターン生成のための二重式の開発。
• クライアントとサーバーの間にステガノグラフィック層を統合し、送信中の機密取引情報を隠蔽すること。
• 有効で動的に生成されたセッションIDまたはリクエストIDを欠如するすべてのリクエストを拒否するサーバーサイドの検証を強制。
• 対称暗号化とステガノグラフィック埋め込みを組み合わせたハイブリッドアプローチにより、エンドツーエンドの機密性を確保。

実験結果

リサーチクエスチョン

• RQ1 どのようにしてステガノグラフィーをモバイルバンキング取引に効果的に適用し、データ機密性を向上させることができるか？
• RQ2 ユーザーの複雑さを増さずに、mバンキングシステムにおけるリプレイ攻撃やスプーフィング攻撃を防ぐメカニズムは何か？
• RQ3 カスタムセッションIDおよびリクエストIDは、不正な取引インジェクションのリスクを著しく低減できるか？
• RQ4 ステガノグラフィーとカスタム識別子の統合は、標準的な暗号化のみに比べて、全体のシステムレジリエンスをどのように向上させるか？
• RQ5 このアプローチは、最小限のアーキテクチャ変更で、実世界のバンキングシステムにどの程度展開可能か？

主な発見

• 提案されたシステムは、ステガノグラフィーを用いて暗号化された取引データをデジタルメディアに効果的に隠蔽し、受動的盗聴者には検出不可能であることを確認した。
• カスタムセッションIDおよびリクエストIDにより、各取引が一意に識別可能かつ時刻に束縛されることで、リプレイ攻撃やスプーフィング攻撃が防止された。
• 暗号化とステガノグラフィックパターン生成のための二重式は、データ整合性を高めるとともに、隠されたコンテンツの予測可能性を低減した。
• サーバーサイドでのセッションIDおよびリクエストIDの検証により、不正または不正な形式のリクエストがすべて効果的にブロックされた。
• 模擬環境において、MITM攻撃やセッションハイジャックに対する本フレームワークの耐性が著しく向上したことが示された。
• 本アプローチは、既存のバンキングシステムと後方互換性を保ちつつ、攻撃面の困難さを顕著に高めた。