Arne Helme M&I/STELVIO, Amersfoort Arne.Helme@stelvio.nl |
Jaap-Henk Hoepman Faculteit Informatica, Universiteit Twente, Enschede hoepman@cs.utwente.nl |
Contents: | | |
Inleiding
In de afgelopen vijf jaar is het Internet geevolueerd van een datanetwerk dat
slechts universiteiten en onderzoeksinstellingen met elkaar verbond, tot een
wereldwijd informatie en communicatie netwerk dat nu ook (vooral!) wordt
gebruikt door honderdduizenden bedrijven en overheidinstellingen, en ruim
honderd miljoen mensen.
Dit alles is het directe gevolg van de ontwikkeling van het World Wide Web (WWW) en de (gratis) distributie van zeer gebruikersvriendelijke web browsers als Netscape Communicator en Microsoft Internet Explorer. Het WWW biedt een extreem toegankelijke infrastructuur voor het verspreiden en verzamelen van informatie. Daarnaast heeft er een explosie plaats gevonden in het gebruik van email voor zowel zakelijke als persoonlijke communicatie, en mogen ook chatrooms en icq zich in een hoge populariteit verheugen.
Inmiddels wordt ook steeds duidelijker dat zo'n groot aantal mensen en bedrijven aangesloten op één, snel groeiend, netwerk geweldige kansen biedt voor het handelen en zakendoen op afstand. Omdat bovendien bedrijven zelf ook steeds verdergaand geautomatiseerd worden, worden ook nieuwe manieren voor elektronisch zakendoen (ook wel electronic commerce of kortweg ecommerce genoemd) mogelijk, bijvoorbeeld door de klant - via het Internet - direct invloed te geven op het productie proces van de leverancier.
De eerste stappen hiertoe zijn reeds gezet. Het is echter nog steeds onduidelijk welke technologie voor het ondersteunen en beveiligen van ecommerce zal worden ingezet. Op dit moment bestaat er geen globale en veilige infrastructuur voor het afsluiten van transacties, het wederzijds selectief ontsluiten van bedrijfsprocessen, en het opbouwen van vertrouwen. Wel zijn er verschillende initiatieven genomen door de industrie, de banken en de academia om dergelijke systemen te ontwikkelen. Tot dusver zijn deze echter weinig succesvol of beperkt toepasbaar gebleken.
We laten een aantal van deze systemen kort de revue passeren voordat we ingaan
op de voorwaarden waaraan een veilige infrastructuur voor ecommerce in zijn
totaliteit moet voldoen.
Huidige situatie
Een lastig probleem blijkt bijvoorbeeld het betalen over het Internet te
zijn. De enige acceptabele oplossing, op dit moment, is gebruik te maken van
credit cards. Dit geeft de leverancier de garantie dat hij betaald wordt voor
zijn product, en levert de klant de garantie dat hij zijn geld terugkrijgt als
het product niet geleverd wordt. Twee systemen zijn hiervoor in gebruik.
Secure Electronic Transactions (SET) - ontwikkeld door VISA en MasterCard - is een complex systeem voor het veilig verwerken van credit card transacties. Belangrijkste eigenschap van dit systeem is dat de verkoper nooit het credit card nummer van de koper krijgt te zien, terwijl de bank of credit card instelling niet te weten komt wat de koper nu eigenlijk gekocht heeft. Uit privacy en veiligheidsoverwegingen zijn dit zeer aantrekkelijke eigenschappen. Immers een database van credit card nummers bij de verkoper is een aantrekkelijk doelwit voor hackers. Echter, SET is een complex protocol, en om SET te gebruiken moet de klant extra software installeren. Bovendien gebruiken leverantiers vaak het credit card nummer van hun klanten als index in hun databases. SET is voor hen dus niet aantrekkelijk.
Het Secure Socket Layer (SSL) protocol wordt op dit moment door de meeste web browsers en web servers gebruikt voor het beveiligen van de communicatie tussen de browser en de web server. SSL garandeert de integriteit en de vertrouwelijkheid van de uitgewisselde gegevens. Bovendien biedt SSL de mogelijkheid om de identiteit van zowel de gebruiker als de web server op een redelijk betrouwbare wijze vast te stellen. SSL biedt dus de garantie dat het credit card nummer enkel en alleen bij de juiste leverancier terecht komt (ook al wordt wegens export bepalingen vaak een zwakkere vorm van 40 bits vercijfering gebruikt). Wat er echter verder bij die leverancier met het credit card nummer gebeurt is niet gespecificeerd. Als de leverancier onzorgvuldig met deze gegevens omgaat - wat toch nog regelmatig voorkomt - liggen deze gegevens binnen de kortste keren op straat. SSL lost dus slechts een deel van het probleem op.
Om de identiteit van gebruikers en systemen in een wereldwijd netwerk betrouwbaar vast te stellen wordt gebruik gemaakt van een zogenaamde Public Key Infrastructure (PKI). Deze bestaat uit een aantal Certification Authorities (CA) die verantwoordelijk zijn voor de uitgifte van certificaten waarmee (elektronisch) de identiteit van een gebruiker of systeem bepaald kan worden. Verisign is een bekend voorbeeld van een CA die al operationeel is. Ook dit systeem heeft echter zo zijn tekortkomingen.
Onderscheid wordt gemaakt tussen macro-payment systemen en micro-payment systemen. Macro-payment systemen worden gebruikt voor eenmalige betalingen van bedragen boven de 5-10 gulden, bijvoorbeeld voor het bestellen van een boek of CD. De basis van deze systemen vormt meestal de credit card (wat deze systemen ook ongeschikt maakt voor lagere bedragen). Ook bestaan er systemen die direct ten laste van een bankrekening afrekenen (zoals bijvoorbeeld I-Pay).
Micro-payment systemen worden gebruikt voor het kort na elkaar betalen van kleine bedragen gedurende de tijd dat een bepaalde dienst wordt afgenomen. Dit is dus vergelijkbaar met hoe voor een telefoongesprek in een telefooncel middels `tikken' wordt betaald. Hoewel er veel potentiele toepassingen voor micropayments zijn (denk aan on-line pay-while-viewing, informatie en database access, etc.), bestaan er nog maar weinig systemen die micro-payments ondersteunen. Probleem is dat al snel de kosten van de transactieverwerking hoger liggen dan het bedrag van de transactie zelf.
Deels wordt vertrouwen opgebouwd door gewoon handel te drijven en op basis van opgedane ervaringen aangepast. Deels wordt vertrouwen opgebouwd middels zogenaamde trusted third parties (TTP's). Dergelijke TTP's fungeren als onpartijdige derde in het aangaan en afwikkelen van transacties als de beide partners elkaar nog niet (volledig) vertrouwen, en geven garanties in het geval een van de partijen onbetrouwbaar blijkt te zijn. Banken zullen hier - net als vroeger - een belangrijke rol gaan spelen.
Ons inziens zal ook een belangrijke rol zijn weggelegd voor instellingen die, op basis van inhoudelijke kennis en regelmatige controle, een digitaal keurmerk aan bedrijven en organisaties kunnen uitdelen en ook weer intrekken. Te denken valt aan een digitale versie van het ANVR keurmerk in het reiswezen. Zo'n keurmerk is onvervalsbaar en voor iedereen controleerbaar, en lijkt wat dat betreft dus sterk op certificaten die identiteiten aan personen koppelen.
Tenslotte dient er ook veel meer aandacht geschonken te worden aan de
bescherming van de privacy op het Internet. Klantgegevens zijn zo waardevol dat
een bedrijf een dief van zijn eigen portemonnee is als hij niet probeert het
maximaal haalbare te verzamelen. Echter: ``Privacy lost cannot be regained'',
en daarom dient de overheid het maximaal toelaatbare duidelijk vast te leggen
én af te dwingen. Voorkomen is echter beter dan genezen, en technische
oplossingen die de privacy beschermen verdienen dan ook de voorkeur.
Conclusies
Er wordt inmiddels al volop op het Internet gehandeld, of er nu een goede
infrastructuur voor ligt of niet. Meer complexere vormen van ecommerce komen
echter niet van de grond, ondanks de grote voordelen die dit kan opleveren. Dit
komt onder meer omdat aan een aantal voorwaarden voor veilige invoering slechts
ten dele is voldaan. Ook is de markt niet altijd even goed bekend met de
beschikbare oplossingen. Het is dus zaak om, waar nodig, nieuwe oplossingen
voor de geschetste problemen te ontwikkelen, zowel op de korte als op de lange
termijn, en de beschikbare kennis aan de markt over te dragen.
Een waarschuwing is echter op zijn plaats. Met alleen technische oplossingen zijn we er nog niet. Duidelijk mag zijn dat ook de organisatie (en de mentaliteit) van een bedrijf volledig op ecommerce moet zijn ingericht. Bovendien dient de overheid minimale randvoorwaarden (bijvoorbeeld aangaande de beschikbaarheid van sterke cryptografie en de rechtsgeldigheid van digitale handtekeningen) te garanderen.
Last Version - $Revision: 1.3 $ / $Date: 2003/10/28 10:14:21 $
Maintained by Jaap-Henk Hoepman
Email: