Mag ik even afrekenen? Betalen via Internet
Betalen over Internet is een onderwerp waar veel over te doen is. Wie alle verhalen gelooft, krijgt de indruk dat legioenen hackers op de loer liggen om de credit-card gegevens van argeloze gebruikers te onderscheppen om daarmee hun rekeningen te plunderen. Toch is de electronische betaling met de credit-card de populairste manier om artikelen via Internet te kopen. Ondertussen worden steeds meer alternatieven ontwikkeld om via Internet af te kunnen rekenen.
Inhoudsopgave
Betalen via Internet
Wie in de winkel iets afrekent, heeft direct contact met de verkoper en kan zien wat er met zijn geld of kaart gebeurt. Bij een PIN-automaat moet op een knop worden gedrukt om akkoord te gaan met de transactie, en bij een betaling met credit-card is de handtekening van de kaarthouder vereist. Maar bij een betaling via Internet gaat dit anders. Koper en verkoper kennen elkaar niet, en bevinden zich misschien op twee verschillende continenten. Alle contacten lopen via een netwerkverbinding. Ook de gegevens die nodig zijn voor het afrekenen, worden op deze manier verzonden.
De meest gebruikelijke manier is dat de koper de gegevens van zijn credit-card (meestal het kaartnummer, de verloopdatum en de naam van de houder) naar de Website van de verkoper stuurt. Deze controleert de gegevens met de credit-card maatschappij, en als alles in orde is, wordt de transactie uitgevoerd en krijgt de koper zijn spullen thuisgestuurd. Er zijn nu twee gevaren. Ten eerste bestaat de mogelijkheid dat een derde meeluistert over het netwerk en zo de kaartgegevens van de koper te pakken krijgt. Ten tweede weet de koper niet wat de verkoper gaat doen met de kaartgegevens.
Hackers
Het eerste gevaar, de meeluisterende hacker, is waarschijnlijk het meest bekend. Het is in theorie mogelijk dat een derde de netwerkverbinding kan aftappen en zo de datapakketten met de credit-card gegevens te pakken kan krijgen. Met deze gegevens kan hij dan later zich voordoen als de eigenaar. Om de eigenaar hiertegen te beschermen, wordt vaak gebruik gemaakt van encryptie. De hacker krijgt dan alleen de versleutelde pakketjes te pakken en omdat hij de sleutel niet weet, kan hij de gegevens niet achterhalen.
Op het moment dat de klant nu wil afrekenen, start zijn browser een beveiligde verbinding met de server. Dit gebeurt meestal via SSL of via S-HTTP. Essentieel hierbij is dat de code in de browser en in de server geen fouten bevat. Een vroege versie van Netscape bevatte bijvoorbeeld een fout waardoor de pakketjes eenvoudig ontsleuteld konden worden, omdat altijd dezelfde sleutels gebruikt werden.
En ook als alles correct verloopt, is het systeem niet altijd zo veilig als het lijkt. Vanwege exportregels in de VS is het aan Amerikaanse bedrijven niet toegestaan om software met onkraakbare encryptie uit te voeren. Zij leveren daarom hun software aan niet-Amerikanen met sleutels die slechts 40 bits lang zijn. Dergelijke sleutels zijn te achterhalen door alle mogelijke combinaties uit te proberen, wat hoogstens een paar dagen rekentijd kost. Een 128-bits sleutel is op deze manier niet te raden, maar dergelijke sleutels zijn alleen beschikbaar in de Amerikaanse versie van Internetbrowsers. Het pakket Fortify kan de internationale versie van Netscape aanpassen zodat het de onkraakbare encryptiesleutels aankan.
Vals gevoel van veiligheid
Het gebruik van encryptie geeft echter een vals gevoel van veiligheid. De gegevens mogen dan wel veilig aankomen bij de verkoper, maar op wat er daarna gebeurt heeft de koper geen enkel zicht. De koper moet vertrouwen hebben in de integriteit van de verkoper, en in diens expertise op het gebied van beveiliging.
Het is voor een hacker immers veel aantrekkelijker om de site van een Internetwinkel te hacken, dan om verbindingen van willekeurige gebruikers af te luisteren in de hoop dat er een credit-card voorbij komt. De winkel heeft immers een grote hoeveelheid credit-card gegevens in zijn bestand, dus als je die kunt achterhalen, is de kans op winst veel groter. Het bekendste voorbeeld hier is waarschijnlijk wel Kevin Mitnick, de beruchte hacker, die er in slaagde het klantenbestand van Internetprovider Netcom te kopieren. Hierin bevonden zich credit-card gegevens van zo'n tienduizend klanten. Had hij dit gewild, dan had Mitnick al deze gegevens kunnen misbruiken om zichzelf te verrijken. De beveiliging op het klantenbestand was minimaal, en het bestand was bovendien opgeslagen op een systeem dat direct via Internet toegankelijk was.
Betaalwijzen
In Nederland is het gebruik van credit-cards niet erg populair. De meeste Internetwinkels zijn van Amerikaanse bedrijven, waar vrijwel iedereen zo'n stukje plastic heeft. Het is dan ook niet verbazingwekkend dat vrijwel alle Internetwinkels het liefst een betaling via de credit-card verrichten. Het is ook de meest eenvoudige manier op dit moment; je vult een paar cijfers in en een maand later wordt het bedrag van de rekening afgeboekt.
Een ander systeem is I-Pay, een initiatief van de Nederlandse banken en credit-card maatschappijen. Bij I-Pay kunnen gebruikers afrekenen via hun bankrekening of credit-card. Winkels die I-Pay willen accepteren, moeten met de bank een contract tekenen, en krijgen dan van de bank een certificaat (zie Hier tekenen alstublieft - digitale handtekeningen en CA's) Met dat certificaat kan een gebruiker zien dat de winkel bekend is bij de bank, en hij kan er dan op vertrouwen dat zijn betaling zonder problemen zal verlopen.
Ook de kopers krijgen een certificaat van de bank. Hiermee weet de verkoper wie hij voor zich heeft en hoeft hij niet bang te zijn dat het gaat om een gestolen credit-card of een oplichter. Alle communicatie tussen koper en verkoper gebeurt versleuteld, waardoor afluisteren van de verbinding geen zin heeft. Zolang de verkoper dus maar zorgvuldig omgaat met zijn klantenbestand, kunnen hier geen problemen ontstaan.
Een ander systeem is Rabo Direct van de Rabobank. Hierbij geeft de gebruiker de winkel zijn Rabo-rekeningnummer en identificeert hij zich met een soort calculator. Dit apparaat plaatst een digitale handtekening op een code die de winkelier opgeeft. De winkelier weet dan dat hij de echte houder van die rekening voor zich heeft, en kan dan het aankoopbedrag afboeken.
Privacy van de koper
Al deze systemen zijn technisch goed beveiligd, en bieden de koper en de verkoper het nodige vertrouwen over het goed verlopen van de transactie. Maar hoe zit het nu met de privacy van de koper? Bij I-Pay is afgesproken wie welke gegevens ontvangt, en zolang alle deelnemers zich daaraan houden, blijft de privacy van de koper gegarandeerd.
Het Digicash-systeem, ontwikkeld door David Chaum, benadert het probleem vanuit een andere kant. Het is zo opgezet dat niemand het koopgedrag van de kopers kan achterhalen, omdat de betalingen volledig anoniem kunnen geschieden. De koper kan "electronisch contant geld" opnemen bij zijn bank. Van dit geld is alleen bekend dat het rechtmatig door de bank is uitgegeven. Op dit moment weet de bank niet welk geld bij welke rekeninghouder hoort. Als de koper het besteedt, geeft de winkeler het serienummer van het bestede geld door aan de bank. Deze controleert of dat serienummer nog niet eerder is uitgegeven, en als dat zo is, wordt de transactie goedgekeurd en het nummer opgeschreven. Hierdoor kan de eigenaar van het geld het slechts e'e'n keer uitgeven. De bank weet echter nooit wat de eigenaar met zijn geld doet, en de verkoper ook niet, tenzij de koper zijn adres opgeeft.
