Securing a mobile-based transaction system
Sécurisation d'un système de transactions sur terminaux mobiles
Résumé
Mobile-based transactions have driven growing attention for the past few years. This thesis focuses on mobile-based transaction systems which are managed by a mobile network operator. In such a context, transactions are carried out with electronic money emitted by the operator by the subscribers of the service only. This thesis addresses the problem of securing such services. We propose an architecture which achieves end-to-end security between the payment platform and the payment application in the mobile device. Is is based on a Secure Element (SE) and a Trusted Execution Environment. Several types of transactions were considered such as payments or transfers as well as di erent modes based on the connection availability of the various actors. The protocols proposed were formally veri ed. Their performances were also taken into account. Several classi cation algorithms were compared to be adapted to the fraud detection problem in mobile-based systems. To achieve this, the payment platform and the user's behavior were modeled to create a synthetic data generator. The latter is preliminarily validated in the thesis. The originality of this simulator is that it is based on data from an existing system.
Les transactions sur mobile suscitent depuis quelques années un intérêt grandissant. Cette thèse se place dans le contexte d'un tel service géré par un opérateur de téléphonie mobile. Les transactions sont réalisées entre souscrivants du service uniquement à l'aide de monnaie électronique privative émise par l'opérateur. Le problème de cette thèse réside dans la sécurisation de ces types de services. Nous proposons dans cette thèse une architecture permettant de garantir une sécurité de bout-en-bout entre l'application et la plateforme de paiement. Celle-ci est basée sur l'utilisation conjoint d'un élément de sécurité SE et d'un environnement d'exécution sécu risée TEE. Différentes transactions ont été considérées, paiement marchand et transferts entre particuliers, ainsi que différents modes, tout-connecté, déconnecté ou semi-connecté. Les protocoles proposés ont été vérifiés formellement et leurs performances ont été étudiées. Une étude comparative entre différents algorithmes de classification est également réalisée pour les adapter à la détection de la fraude. A cet effet, le système de paiement et le comportement de ses utilisateurs a été modélisé pour créer un générateur de données synthétiques. Une validation préliminaire de ce simulateur a été réalisée. L'originalité du simulateur est qu'il se base sur l'exploitati on de données provenant d'un service déployé sur le terrain.
Mots clés
mobile commerce
electronic funds transfers electronic data
processing departments
security measures
computer crimes
fraud
services mobiles de données
commerce mobile
monnaie électronique
systèmes informatiques
mesures de sûreté
criminalité informatique
fraude
paiement sur terminaux mobiles
sécurité de bout-en-bout
classification
détection de fraude
terminaux mobiles
élément sécurisé
environnement d'exécution sécurisée
simulation
modélisation
données synthétiques
Domaines
Cryptographie et sécurité [cs.CR]
Loading...