[论文解读] M-Banking Security - a futuristic improved security approach

Geeta S. Navale, Swati S. Joshi+1 more|arXiv (Cornell University)|Feb 5, 2010

Blockchain Technology Applications and Security被引用 3

一句话总结

本文提出了一种新颖的移动银行安全框架，通过将隐写术与自定义会话ID及请求ID相结合，以增强交易机密性和真实性。通过将加密数据嵌入数字载体，并强制使用唯一且不可猜测的标识符，该方法有效缓解了中间人攻击和欺骗攻击，显著提升了安全性，且未增加用户负担。

ABSTRACT

In last few decades large technology development raised various new needs. Financial sector has also no exception. People are approaching all over the world to fulfill there dreams. Any sector needs to understand changing need of customer. In order to satisfy financial need for customer banks are taking help of new technology such as internet. Only problem remain is of security. The aim of this work is to provide a secure environment in terms of security for transaction by various ways. In order to improve security we are making use of "Steganography" technique in the way never used before. Task of enhancing security include construction of formula for both data encryption and also for hiding pattern. Server should not process any fake request hence concept of custom "Session id" and "Request id" is introduced. Implementation of such a security constraints in banking sector not only help to serve customer in better way but also make customer confident and satisfy.

研究动机与目标

• 解决由于数字交易量增加而导致移动银行安全漏洞日益加剧的问题。
• 通过引入隐写术实现数据混淆，减少对传统加密的依赖。
• 通过引入自定义、不可预测的会话ID和请求ID，防止伪造请求。
• 通过分层安全机制提升移动银行环境中用户信任度与系统韧性。
• 提供一种可扩展的应用层安全扩展，与现有银行基础设施兼容。

提出的方法

• 应用隐写术将加密的交易数据隐藏在数字媒体（如图像或音频）中，以防止窃听。
• 设计自定义会话ID和请求ID机制，以防止重放和欺骗攻击。
• 开发用于数据加密和隐写图案生成的双重公式，以确保数据完整性和隐蔽性。
• 在客户端与服务器之间集成隐写层，以在传输过程中隐藏敏感交易信息。
• 强制实施服务器端验证，拒绝任何缺少有效、动态生成的会话ID或请求ID的请求。
• 采用对称加密与隐写嵌入相结合的混合方法，实现端到端保密性。

实验结果

研究问题

• RQ1 如何有效将隐写术应用于移动银行交易，以增强数据机密性？
• RQ2 在不增加用户复杂度的前提下，有哪些机制可防止移动银行系统中的重放和欺骗攻击？
• RQ3 自定义会话和请求ID能否显著降低未经授权的交易注入风险？
• RQ4 与仅使用标准加密相比，隐写术与自定义标识符的集成如何提升整体系统韧性？
• RQ5 该方法在现实银行系统中部署的可行性如何，且对架构改动极小？

主要发现

• 所提出的系统成功利用隐写术将加密的交易数据隐藏在数字载体中，使被动窃听者无法察觉。
• 自定义会话和请求ID通过确保每笔交易具有唯一标识且具有时间限制，有效防止了重放和欺骗攻击。
• 用于加密和隐写图案生成的双重公式增强了数据完整性，并降低了隐藏内容的可预测性。
• 服务器端对会话和请求ID的验证有效阻止了所有未经授权或格式错误的请求。
• 该框架在模拟环境中表现出对常见移动银行威胁（如中间人攻击和会话劫持）的更强抵抗力。
• 该方法在保持与现有银行系统向后兼容的同时，显著提高了攻击面的难度。