Analysis of Cryptographic Protocols in Mobile Banking Applications (part B)

Abstract

Throughout this thesis we have examined three banks operating in the Czech Republic and explore cryptography used in their mobile banking applications. Namely we have examined CREDITAS, Fio and mBank. We have examined the cryptographic protocols used in login, payment approval and account linking with the application scenarios all of which operate over the TLS layer. We have described these protocols, explained the investigation process and analysed the security of these protocols. We pointed out the flaws we have found and attacks to which those flaws lead. We proposed possible solutions to mitigate these attacks as well. We would like to emphasize that we did not examine security of the entire applications but only the security of the above mentioned protocols.

V této práci jsme se zaměřili na tři banky působící v České Republice. Budeme zkou- mat kryptografii použitou v jejich aplikacích pro smartbanking. jsme tři banky, CREDI- TAS, Fio a mBank. Zaměřili jsme se zejména na protokoly přihlášení, potvrzení platby a propojení účtu se zařízením, fungujícími nad TLS vrstvou. V práci jsme všechny proto- koly popsali, vysvětlili postup jejich zkoumání a nakonec analyzovali jejich bezpečnost z hlediska kryptografie. V průběhu práce jsme upozornili na nedostatky, které jsme nalezli během zkoumání a útoky, které tyto nedostatky mohou zneužít. Rovněž jsme navrhli možná řešení těchto problémů. Upozorňujeme, že v této práci nehodnotíme celkovou bez- pečnost aplikace, ale pouze bezepčnost výše zmíněných protokolů.