Sicherheitsmerkmal ausdenken

[Florida Man]

Hallo Forum,

Kunden bekommen von mir eine Plastikkarte, mit der Sie später Leistungen abrufen können. Ich möchte einen einfachen Schutz implementieren, damit niemand Leistungen ohne Berechtigungen in Anspruch nimmt. Nötig ist das, weil meine Kunden die Plastikkarten weitergeben können, wenn Sie Leistungen z.B. an Partner verschenken wollen.

Da es nur um wenige Karten geht, sollte die Lösung einfach sein. Es ist auch kein Höchstmaß an Sicherheit notwendig.

Meine bisherige Idee: Ich kombiniere die Kundennummer mit einem Geheimwort und erzeuge daraus einen SHA-Hashwert. Den Hashwert wandle ich in einen QR-Code um, der auf die Karte gedruckt wird. Wenn ein Kunde Leistung in Anspruch nehmen will, muss er den QR-Code scannen und mir den Wert mitteilen. In meiner Tabelle vergleiche in die Werte dann.

Nachteil:

Kunde braucht einen QR Code Scanner oder eine App
Ich muss Exceltabellen pflegen :usad:

Hat noch jemand eine andere, evtl. bessere Idee? Ich bin gespannt.

[byola]

Watt?
Wie wird denn die Plastikkarte deiner Vorstellung nach "berechtigt benutzt"?

[Florida Man]

Warum ist das für Dich wichtig?

[Mosher]

Hallo Forum,

Kunden bekommen von mir eine Plastikkarte, mit der Sie später Leistungen abrufen können. Ich möchte einen einfachen Schutz implementieren, damit niemand Leistungen ohne Berechtigungen in Anspruch nimmt. Nötig ist das, weil meine Kunden die Plastikkarten weitergeben können, wenn Sie Leistungen z.B. an Partner verschenken wollen.

Da es nur um wenige Karten geht, sollte die Lösung einfach sein. Es ist auch kein Höchstmaß an Sicherheit notwendig.

Meine bisherige Idee: Ich kombiniere die Kundennummer mit einem Geheimwort und erzeuge daraus einen SHA-Hashwert. Den Hashwert wandle ich in einen QR-Code um, der auf die Karte gedruckt wird. Wenn ein Kunde Leistung in Anspruch nehmen will, muss er den QR-Code scannen und mir den Wert mitteilen. In meiner Tabelle vergleiche in die Werte dann.

Nachteil:

Kunde braucht einen QR Code Scanner oder eine App
Ich muss Exceltabellen pflegen :usad:

Hat noch jemand eine andere, evtl. bessere Idee? Ich bin gespannt.
Ehrlich gesagt habe ich das Konzept nicht ganz verstanden.

Woher kommt das Geheimwort?
Was hält deinen rechtmäßigen Kunden davon ab, die Karte an einen unbefugten Dritten weiterzugeben, der dann seinerseits den Code scannt und dir mitteilt?

Soll der QR-Code im Prinzip wie ein CVC (https://de.wikipedia.org/wiki/Card_Validation_Code) funktionieren?


Denkbar wäre evtl. auch sowas wie eine mobile TAN an die Mobilfunknummer des Kunden zu schicken.

[Florida Man]

Ich denke mir für jeden Kunden ein Geheimwort aus.

Vereinfacht:

Kunde Müller GmbH bekommt das Geheimwort "Sommer" und das kenne nur ich. Müller hat die Kundennummer 100. Jetzt Hashe ich "Sommer100". Der Hash kommt als QR Code auf die Karte.

Wird die Karte eingelöst, dann streiche ich ich den Hash von "Sommer100" aus meiner Liste. Da niemand außer mir die Geheimwörter kennt, kann sich auch niemand einen gültigen QR-Code ausenken.


Firma Schneider mit einer Kopie von Müllers Karte könnte sich also nicht legitimieren.

[RainingBlood]

Warum schreibst nicht einfach Müller 0000001 für die erste Karte. Oder darf da nicht der Kundenname drauf stehen? Selbst 000000001 würde reichen, wenn du in deiner Datenbank dieNummer mit dem Namen verknüpfst und bei Einlösung mit dem Namen des Kunden abgleichst.

also z.b.
Du "Wie lautet ihre Kartennummer und ihr Name?"
Kunde "00000001, Müller"
Du schaust in deiner Datenbank nach Müller oder 00000001, voila Übereinstimmung.
Du "Willkommen Herr Müller, Ihr Kuchen ist in einer viertel Stunde fertig." (Oder whatever du machst)

Problem der Legitimation bleibt immer bestehen, also Perso wird so oder so benötigt, auch bei der von dir erdachten Methode.
Weitergeben könnte die Karte so oder so jeder, da nützt es nichts, wenn du ihm das Sicherheitsmerkmal mitgibst.

[Morale]

Ich denke mir für jeden Kunden ein Geheimwort aus.

Vereinfacht:

Kunde Müller GmbH bekommt das Geheimwort "Sommer" und das kenne nur ich. Müller hat die Kundennummer 100. Jetzt Hashe ich "Sommer100". Der Hash kommt als QR Code auf die Karte.

Wird die Karte eingelöst, dann streiche ich ich den Hash von "Sommer100" aus meiner Liste. Da niemand außer mir die Geheimwörter kennt, kann sich auch niemand einen gültigen QR-Code ausenken.


Firma Schneider mit einer Kopie von Müllers Karte könnte sich also nicht legitimieren.
Du willst die Karte also nur einmal nutzbar machen, nicht die Weitergabe verhindern. Das geht ja weiterhin, aber halt einmalig.
Weißt du denn nicht wer die Karte einsetzt?

[Oid]

Ich verstehe noch immer nicht was das gehashe soll :D

Wo ist der Unterschied zu einer zufälligen Zeichenfolge auf der Karte, die du auch in deiner Liste hast und ausstreichen kannst? Oo Es kann sich so oder so jeder, der im Besitz der Karte ist, als Leistungsempfänger ausgeben, oder nicht?

[Spasstiger]

Einfach zufällige Nummern und die Kundennamen auf die Karten drucken und bei Einlösung in der Liste als verbraucht markieren.
Gegen unberechtigte Weitergabe schützt auch der Hashcode nicht.

[5tyle]

Kann man für sowas eine Art TAN-Verfahren verwenden, wie das die Banken machen? Wenn der Kunde eine Leistung will, bekommt er automatisch eine SMS (oder E-Mail in diesem Fall) zugesandt, wo er eine Passphrase eingeben kann, (theoretisch sollte auch ein autogenerierter Bestätigungslink reichen), die nur 5min gültig ist. Kann man natürlich alles verschlüsseln. (Wurde bereits erwähnt)
Oder was ist mit einem Chip auf der Karte? Damit sollte das doch auch funktionieren, oder? Wenn da kein Chip drauf ist, dann ist das natürlich schlecht.

[Mosher]

Kann man für sowas eine Art TAN-Verfahren verwenden, wie das die Banken machen? Wenn der Kunde eine Leistung will, bekommt er automatisch eine SMS (oder E-Mail in diesem Fall) zugesandt, wo er eine Passphrase eingeben kann, (theoretisch sollte auch ein autogenerierter Bestätigungslink reichen), die nur 5min gültig ist. Kann man natürlich alles verschlüsseln. (Wurde bereits erwähnt)
Oder was ist mit einem Chip auf der Karte? Damit sollte das doch auch funktionieren, oder? Wenn da kein Chip drauf ist, dann ist das natürlich schlecht.

Mobile TAN wäre auch mein Vorschlag gewesen.

Die Sache mit dem Code auf der Karte schützt doch nicht davor, die Karte einfach weiterzugeben, deswegen verstehe ich das Gehashe und die Zufallsgenerierung des Passworts auch nicht.

[Berni]

Ich würde auch vorschlagen, einen Zufallscode auszudenken und mit dem Namen/Kundennummer zusammen irgendwo zu erfassen. Um das Ganze dann noch professioneller erscheinen zu lassen könntest du den Zufallscode noch zum Abkratzen machen (so wie bei Rubbellosen) so dass man den Wert bei Weitergabe nicht kennt sondern erst beim Einlösen. Also sowas in der Art:
http://www.myplastikkarten.de/de/page/zusatzoptionen-rubbelfeld.html
(gibts aber viele Anbieter für)
Eine Mehrfacheinlösung kannst du nur durch Erfassung der eingelösten Karten verhindern (was auch so zu empfehlen ist um zu wissen wieviel Guthaben in der Gegend rumschwirrt), denn wenn die Leute das per Telefon bei dir einlösen kannst du ja selber quasi nichts sonst prüfen (kein sicherer Kanal vorhanden). Wenn die bei dir vorbeikommen würden könntest du natürlich ausgefeiltere Prüfungen nutzen wie z.B. über einen RFID-Chip.