Sistema de Acceso a Banca Electrónica Vía Internet (SABEVI)

Texto completo

(1)SISTEMA DE ACCESO A BANCA ELECTRÓNICA VIA INTERNET (SABEVI). 0 9 MAY 2007 ~e,e, TJCA. Tesis presentada. por. CARLOS ENR~QUE VEGA ALVAREZ. Presentada ante la Dirección Académica de la Universidad Virtual del Instituto Tecnológico y de Estudios Superiores de Monterrey como requisito parcial para optar al titulo de. MAESTRO EN CIENCIAS DE LA COMPUTACIÓN. Mayo de 1999.

(2) SISTEMA DE ACCESO A BANCA ELECTRÓNICA VIA INTERNET(SABEVI). Tesis presentada. por. CARLOS ENRIQUE VEGA ALVAREZ. Aprobada en contenido y estilo por:. Dr. José de Jesús Vázquez Gómez. Dr. Roberto Gómez Cárdenas. Dr. Angel Kuri Morales, Vocal. Dr. Martín López Maestría en Ciencias Computacionales.

(3) RESUMEN. SISTEMA DE ACCESO A BANCA ELECTRÓNICA VIA INTERNET (SABEVI). MAYO DE 1999. CARLOS ENRIQUE VEGA ALVAREZ. INGENIERO EN SISTEMAS ELECTRÓNICOS INSTITUTO TECNOLOGICO Y DE ESTUDIOS SUPERIORES DE MONTERREY CAMPUS MONTERREY. MAESTRA EN CIENCIAS DE LA COMPUTACIÓN INSTITUTO TECNOLOGICO Y DE ESTUDIOS SUPERIORES DE MONTERREY CAMPUS CIUDAD DE MEXICO. Dirigida por el Dr. Angel Kuri Morales. Los sistemas de banca electrónica que se ofrecen en la actualidad son de dos tipos: aquellos que se conectan desde las empresas a los bancos por medio de un módem y aquellos que se accesan vía Internet. Los primeros son muy flexibles y permiten a las empresas un buen manejo de sus cuentas al almacenar la mayoría de los datos en la computadora de la propia empresa, pero las instalaciones y actualizaciones del software consumen mucho tiempo y dinero, tanto en la parte del banco como en las empresas. Los segundos no presentan problemas de instalación y actualización pero sus funciones son muy limitadas, además, no se adecuan a las necesidades de las empresas, porque las operaciones se deben realizar en línea y toda la seguridad recae en una sola persona..

(4) SABEVI se presenta como una solución de banca electrónica que no presenta problemas, ya que combina lo mejor de los dos tipos de ambientes actuales. Proporciona un sistema que es flexible al permitir que las empresas puedan contar con seguridad en el manejo de sus cuentas porque permite generar un esquema de usuarios por empresa y emplea tarjetas inteligentes para guardar los privilegios, no tiene problemas de instalación ni de actualización porque está se realiza de forma automática lo que provee un ahorro en tiempo y dinero. Es un sistema que se conecta al banco vía Internet para la operación de las transacciones bancarias, pero que permite utilizar algunos módulos del sistema sin necesidad de estar conectado lo que proporciona una gran flexibilidad.. La implementación de SABEVI permite tener un servicio de banca electrónica con una conexión segura, seguridad en la parte de las empresas, fácil de actualizar, y con tiempos de respuesta aceptables en comparación con los sistemas actuales.. ¡¡.

(5) INDICE DE CONTENIDO RESUMEN ......................................................................................................................................................I INDICE DE CONTENIDO ............................................................................................................................. 111 INDICE DE GRÁFICAS O FIGURAS ...........................................................................................................VI. 1. INTRODUCCIÓN ...................:................................................................................................................... 1 2. ESTADO ACTUAL DE LA TECNOLOG(A ............................................................................................... 7 2.1 EL ALGORITMO RSA .............................................................................................................................. 7 2.2 TARJETA INTELIGENTE. ·························································································································· 8. 3. DESCRIPCIÓN DEL SISTEMA .................................................................................................................9 3.1. DEFINICIONES DE LOS ELEMENTOS DEL SABEVI .................................................................................. 11. 3.2. FUNCIONES DEL SABEVI .................................................................................................................... 14 3.3. PRIVILEGIOS UTILIZADOS EN SABEVI .................................................................................................. 15. 3.4. MODOS DE OPERACIÓN DEL SABEVI ................................................................................................... 17 3.4.1 Fuera de Linea ........................................................................................................................... 18 3.4.2. En Linea .................................................................................................................................... 19 3.5. CONFIGURACIONES ............................................................................................................................. 20. 3.6 FUNCIONAMIENTO DEL SISTEMA EN EL CLIENTE ...................................................................................... 23 3. 6. 1 Instalación del SABEVI............................................................................................................... 24. 3. 7 FUNCIONAMIENTO DEL SISTEMA EN EL BANCO ....................................................................................... 24 4. REQUERIMIENTOS PARA EL SISTEMA............................................................................................... 25 4.1. REQUERIMIENTOS PARA EL CLIENTE .................................................................................................... 25 4. 1. 1. Hardware ................................................................................................................................... 25 4.1.2 Software ..................................................................................................................................... 25. 4.2. REQUERIMIENTO PARA EL BANCO ........................................................................................................ 26 4.2.1 Hardware .................................................................................................................................... 26 4.2.2. Software .................................................................................................................................... 26. 5. ESPECIFICACIONES DEL HARDWARE Y SOFTWARE DE SABEVI .................................................. 27 5.1 BANCO ................................................................................................................................................ 27. 5. 1. 1 Configuración Básica del Banco ................................................................................................ 29. ¡¡¡.

(6) 5.1.2 Seguridad Interior/Exterior ......................................................................................................... 30 5.1.3 Servidor Web .............................................................................................................................. 45. 5. 1. 4 Banca Electrónica ...................................................................................................................... 46 5.2 CLIENTE ..........................................................................................................................."" ............... 47 5.2.1 Hardware .................................................................................................................................... 48 5.2.2 Software .....................................................,............................................................................... 50 6. SIMULADOR DEL HOST DE BASE DUAL ............................................................................................ 56. 6.1. CARACTERISTICAS DEL SIMULADOR ...................................................................................................... 56. 6.2 CASOS DEL SIMULADOR ..................... "" ............ """"'""" ..... """" .. """' ... """"""""'."" .................... 58 6. 2. 1 Caso uno .................................................................................................................................... 59 6.2.2 Caso dos .................................................................................................................................... 61 6.2.3 Caso Tres ................................................................................................................................... 63 6.2.4 Caso Cuatro ............................................................................................................................... 66 6.2.5 Caso Cinco ................................................................................................................................. 68 6. 2. 6 Caso Seis ................................................................................................................................... 70 6. 2. 7 Caso Siete .................................................................................................................................. 72 6.2.3 Caso Ocho ................................................................................................................................. 74 6.2.9 Caso Nueve................................................................................................................................ 76 6. 2. 1OCaso Diez ................................................................................................................................. 79. 6.3 CONCLUSIÓN ....................................................................................................................................... 82 6.3.1 Caso Once ................................................................................................................................. 83 6.3.2 Caso Doce.................................................................................................................................. 86 6.3.3 Caso Trece ................................................................................................................................. 88 6.3.4 Caso Catorce ............................................................................................................................. 90. 6.4 RESUMEN DE LOS CASOS ..................................................................................................................... 93 7. CONCLUSIONES .................................................................................................................................... 94 ANEXO A: ALGORITMO PARA EL CLIENTE TRANSACCIONAL ........................................................... 96 ANEXO B: ALGORITMO PARA EL SERVIDOR DINÁMICO.................................................................... 98 ANEXO C: ALGORITMO PARA EL ADMINISTRADOR DE BIBLIOTECAS ............................................ 99 ANEXO D: GLOSARIO DE TÉRMINOS ................................................................................................... 100 ANEXO E. CYCLIC REDUNDANCY CHECK (CRC) ............................................................................... 103. iv.

(7) ANEXO F: HIPER TEXT TRANSFER PROTOCOL SECURE (HTTPS) .................................................. 105 ANEXO G: LENGVAJE JAVA .•.•.•.••••••••••••••••••••••••••••••.••.....•.••...•••••.•••••••••••••••••••••••••••••••..•.•.••••••.•.•••••••.•. 107 ANEXO H: CODIGO DEL SIMULADOR •••••••.••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••• 109 REFERENCIAS •••••••••••••••••••••••••••.••••••••••••••••••.•••••••••••••••••••.•••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••• 124. BIBLIOGRAFIA •••.•••••.•••••••.•••.••.••••••••••••••••••••••••.••.•.•.•..••• ;•••••••••••.••••.•.•••••••••••••••.••...••••••••••••••••••••••.•.••••••••• 125. V.

(8) INDICE DE GRÁFICAS O FIGURAS. FIGURA 1. SISTEMA DE ACCESO A BANCA ELECTRÓNICA VÍA INTERNET (SABEVI) .................... 10 FIGURA 2. TARJETA INTELIGENTE ......................................................................................................... 12 FIGURA 3. MODO "STAND ALONE" ........................................................................................................ 21 FIGURA 4. MODO MULTIUSUARIO .......................................................................................................... 22 FIGURA 5. CONFIGURACIÓN DEL BANCO............................................................................................. 29 FIGURA 6. CONFIGURACIÓN DEL BANCO A DETALLE ........................................................................ 30 FIGURA 7. DETALLE DEL HOST DE BASE DUAL .................................................................................. 33 FIGURA 8. FLUJO DE INFORMACIÓN DINÁMICA................................................................................... 37 FIGURA 9 .- FLUJO DE INFORMACIÓN DINÁMICA ................................................................................ 39 GRÁFICA 1.-PETICIONES DEL CASO UNO ............................................................................................. 60 GRÁFICA 2.-TIEMPOS DE ATENCIÓN, CASO UNO ................................................................................ 61 GRÁFICA 3.-PETICIONES DEL CASO DOS ............................................................................................. 62 GRÁFICA 4.-TIEMPOS DE RESPUESTA, CASO DOS ............................................................................. 63 GRÁFICA 5.-PETICIONES DEL CASO TRES ........................................................................................... 64 GRÁFICA &.-TIEMPOS DE RESPUESTA, CASO TRES ........................................................................... 65 GRÁFICA 7.-PETICIONES DEL CASO CUATR0 ...................................................................................... 66 GRÁFICA 8.-TIEMPOS DE RESPUESTA, CASO CUATRO..................................................................... 68 GRÁFICA 9.-PETICIONES DEL CASO CINCO ......................................................................................... 69 GRÁFICA 10.-TIEMPOS DE RESPUESTA, CASO CINCO ....................................................................... 70. vi.

(9) GRÁFICA 11.- PETICIONES DEL CASO SEIS .......................................................................................... 71 GRÁFICA 12.-TIEMPOS DE ATENCIÓN, CASO SEIS .............................................................................. 72 GRÁFICA 13.-PETICIONES DEL CASO SIETE ......................................................................................... 73 GRÁFICA 14.-TIEMPOS DE RESPUESTA, CASO SIETE ........................................................................ 74 GRÁFICA 15.-PETICIONES DEL CASO OCHO ........................................................................................ 75 GRÁFICA 16.-TIEMPOS DE RESPUESTA, CASO OCHO ........................................................................ 76 GRÁFICA 17.-PETICIONES DEL CASO NUEVE ....................................................................................... 77 GRÁFICA 18.-TIEMPOS DE RESPUESTA, CASO NUEVE...................................................................... 79 GRÁFICA 19.-PETICIONES DEL CASO DIEZ ........................................................................................... 80 GRÁFICA 20.-TIEMPOS DE RESPUESTA, CASO DIEZ........................................................................... 81 GRÁFICA 21.-PETICIONES DEL CASO ONCE ......................................................................................... 84 GRÁFICA 22.-TIEMPOS DE ATENCIÓN, CASO ONCE ............................................................................ 85 GRÁFICA 23.-PETICIONES DEL CASO DOCE ......................................................................................... 86 GRÁFICA 24.-TIEMPOS DE ATENCIÓN, CASO DOCE ............................................................................ 88 GRÁFICA 25.-PETICIONES DEL CASO TRECE ....................................................................................... 89 GRÁFICA 26.-TIEMPOS DE ATENCIÓN, CASO TRECE .......................................................................... 90 GRÁFICA 27.-PETICIONES DEL CASO CATORCE ................................................................................. 91 GRÁFICA 28.-TIEMPOS DE ATENCIÓN, CASO CATORCE ....................................................................,92. vii.

(10) 1. INTRODUCCIÓN. La banca mexicana ha experimentado en las últimas dos décadas cambios radicales en la forma de atender a sus clientes. En los setentas todavía algunos bancos manejaban las tarjetas de ahorro en las cuales se imprimía el saldo de la cuenta por medio de la caja registradora, o bien, para lograr hacer una transferencia de fondos entre sucursales foráneas, era necesario esperar hasta 72 horas y el beneficiario debía pasar por varios trámites para obtener el dinero.. Conforme ha ido avanzando la tecnología informática, los bancos la han ido aceptando aunque cada vez con mayor precaución debido a los constantes fraudes que se han presentado. Por lo que el ofrecimiento de servicios vía sistemas de cómputo ha ido creciendo con lentitud debido muchas veces al temor de tener un medio de acceso del exterior hacia los sistemas internos del banco.. En los ochentas, Bancomer1 comenzó a ofrecer servicios de banca un poco restringidos y de una manera muy rudimentaria con el sistema Bancomer SI, el cual era una emulación de una terminal por medio de la cual las empresas podían realizar consultas de movimientos, traspasos, pagos a terceros.. Este sistema fue adoptado. poco a poco por las empresas debido en parte a la desconfianza de no obtener un recibo por cada transacción que se realiza y al costo de la inversión.. En la actualidad Bancomer y Banamex principalmente compiten por el mercado de la banca electrónica. Los dos consorcios han lanzado productos en ambiente Windows, con la posibilidad de realizar ordenes de pago nacionales e internacionales, traspasos, manejo de cuentas en dólares, compra y venta de inversiones, pago de. 1. Bancomer. Institución de Banca Múltiple Grupo Financiero Bancomer, S. A.. 1.

(11) nóminas automáticos, cobranza automática y todo desde la comodidad de su empresa y muchas veces en horarios ampliados. Las empresas lo han visto con buenos ojos ya que la inversión en equipo es mínima. Solo se necesita de una computadora personal y un módem, equipo que la mayoría de las empresas tienen. Además, los sistemas son bastante amistosos, y por el hecho de que se realiza una conexión directa con un módem del banco, se establece un grado de seguridad. Los bancos ofrecen un alto grado de seguridad en el manejo de la información al enviarla encriptada (Ver Anexo D).. En la actualidad la banca electrónica ha sido aceptada por la mayoría de las empresas las cuales mueven millones de pesos en solo cuestión de segundos y a un costo insignificante por operación para las empresas.. Bancomer desarrollo Cash Windows 1 , este sistema fue desarrollado (en su etapa inicial) en un lapso de dos años. En esta etapa formé parte del equipo de desarrollo.. El sistema se divide en dos: la parte del cliente (la cual esta desarrollada en Visual C++ versión 1.52 de Microsoft) que es el software (Ver Anexo D) que se instala en las empresas en una o varias computadoras personales con sistema operativo Windows 3.1 de Microsoft y Windows 95 de Microsoft, y la parte del Host (que está desarrollada en Cobol 2 de IBM) que es el software que se reside en Bancomer en una mainframe (Ver anexo D) con sistema operativo MVS (Multiple Virtual Sesion) de IBM versión 4.2. Entre las dos partes se ha logrado tener un alto nivel de seguridad en las transacciones y una velocidad del servicio bastante aceptable aún en momentos de carga máxima, como lo son los días de quincena, lo cual implica que el cambio de plataforma que sufre la información, al pasar de los sistemas operativos Windows a MVS, no afecta el comportamiento del sistema. El mundo de la banca electrónica. 1. Cash Windows. Es el nombre del software actual de banca electrónica de Bancomer. 2.

(12) parece perfecto, pero el gran problema que está enfrentando Bancomer, es la instalación y actualización de las versiones de software. Actualmente es necesario que Bancomer envíe personal a cada una de las empresas a realizar las instalaciones iniciales. Esto, muchas veces, genera problemas ya que los usuarios no disponen de tiempo para permitir la instalación del software, además del alto costo de enviar a personal de la institución bancaria a las oficinas del cliente.. El problema de actualizar versiones, en un principio, era algo bastante complicado ya que se seguía un procedimiento similar a una nueva instalación. Esto significaba un gran costo para Bancomer por el personal que tenían que desplegar. Además, cada vez que cambiaban de versión llegaban a tener dos sistemas corriendo al mismo tiempo: el que soportaba la versión anterior y el que soportaba la nueva versión. Esto permanecía así mientras se terminaban de realizar las actualizaciones, lo cual provocaba errores, desconfianza entre los usuarios porque en algunas ocasiones tenían que consultar vía telefónica el estado de sus operaciones, y pérdida de tiempo, ya que, en ciertas ocasiones, se tenían que realizar dos veces los procesos.. Para dar solución al problema de las actualizaciones tuve a mi cargo el desarrollo de un módulo de actualización automática de versiones, es decir, automatiza el cambio de una versión a otra. Este módulo se desarrolló en un período de cuatro meses y se utilizó la misma plataforma de Visual C++ versión 1.52 de Microsoft, con su contraparte en Cobol 2.. El módulo de actualización permite que los usuarios, por medio de un menú obtengan la versión actualizada del software y la instalen. Con esto se evitaron costos de enviar personal a que realizara las operaciones además de que los clientes pueden realizar el cambio en el momento que quieran o puedan. Sin embargo, el módulo de actualización no evita que el banco tenga que mantener dos versiones del sistema. 3.

(13) corriendo. Además, debido a que Cash Windows no es lo suficientemente modular, un cambio mínimo implica el mismo tiempo de actualización que un cambio mayor.. Bancomer actualiza en promedio su software dos veces por año. Esto implica que Bancomer mantiene dos versiones del producto casi todo el año, ya que los procesos de actualización duran hasta cuatro meses dependiendo de la cantidad de clientes con los que se cuenta.. Con este software Bancomer maneja el sistema a nivel nacional mas seguro y amigable de banca electrónica con conexión directa al banco. El único inconveniente son los procesos de instalación y actualización.. El desarrollo tecnológico ha evolucionado rápidamente de tal forma que hoy el uso de Internet es muy común. Desafortunadamente, al principio los bancos no lo vieron como un medio para ofrecer servicios, sino como un medio de publicidad que era poco promovido.. La banca mexicana en su mayoría utiliza Internet como un tríptico electrónico en el cual pueden mostrar todos los servicios con los que cuenta el banco, pero todavía es necesario acudir al banco para realizar dichos servicios.. Debido a lo anterior, el presente trabajo propone la implementación de un Sistema de Acceso a Banca Electrónica Vía Internet (SABEVI), ya que la mayoría de las empresas, que utilizan servicios de banca electrónica(Ver Anexo D), cuentan con acceso a Internet. Es decir, ya tienen una inversión de equipo de cómputo que soporta Internet y capacitación sobre su uso.. El beneficio de un desarrollo en Internet utilizando la implementación de Applets de Java en la parte aplicativa, es que se tendría la última versión de los Applets en el. 4.

(14) servidor del banco. Un cambio de versión solo significaría actualizar los Applets del servidor y de esta forma todos los usuarios quedan actualizados al momento. Con esto Bancomer no tendría que soportar dos versiones al mismo tiempo ya que el cambio se podría realizar durante la noche en la parte del banco y hacer pruebas como actualmente se realiza. Los usuarios obtendrían el cambio tan pronto como se conecten. También significaría un ahorro en el personal, puesto que tampoco es necesario enviarlos a que realicen las actualizaciones.. Además, Bancomer lograría una mejor imagen como banco de vanguardia tecnológica, porque son pocos los bancos que han incursionado en la banca electrónica vía Internet y sobre todo con la seguridad que ofrece SABEVI.. En Estados Unidos la mayoría de los bancos ofrecen consultas de saldos únicamente. El Chase Manhattan Bank que es uno de los más grandes y antiguos bancos del mundo proporciona un servicio de banca electrónica vía Internet. Este sistema ofrece un encriptamiento en las transacciones lo que las hace más seguras. Desafortunadamente, la seguridad del acceso al servicio depende de que el usuario no permita que alguien obtenga su password ya que si esto llegara a pasar las cuentas del usuario quedarían comprometidas. SABEVI proporciona un alto grado de seguridad en la parte del usuario. El Security First Network Bank ofrece servicios de banca ',. electrónica un poco más seguros en sus transmisiones y la parte del cliente se protege un poco más que en el caso anterior, debido que el acceso es controlado por medio de un password y un disquete. Este último contiene una llave privada y un certificado de autenticidad. El problema es que el disquete puede ser copiado y de esta forma comprometer el sistema. SABEVI proporciona tecnología de punta para evitar este tipo de fallas de seguridad.. En México Banamex ofrece un producto denominado BancaNet el cual permite hacer operaciones bancarias vía Internet. Desafortunadamente, la clave de acceso es. 5.

(15) fácil de comprometer y el acceso al servidor no esta bien vigilado ya que permite abandonar el sistema desde cualquier punto y posteriormente regresar por medio del navegador sin necesidad de firmarse de nuevo. Esto compromete mucho las cuentas del cliente. Otro banco es Bital que ofrece Línea Bital. Al igual que Banamex la clave de acceso es muy fácil de comprometer (pero además Banamex no maneja bien la navegación dentro de su servidor lo cual desprotege mas al usuario).. En ambos países los servicios de banca electrónica son muy rígidos, ya que no se tiene control del lado del usuario. Esto no permite su uso intensivo porque requieren que una sola persona maneje todo el sistema y además lo debe realizar en línea. SABEVI en contraste permite definir las funciones que puede realizar una persona y permite trabajar fuera de línea.. Por todo lo anterior y como se verá a lo largo de este trabajo, SABEVI es un sistema amigable, completo y cuenta con una gran seguridad tanto en la parte del banco, como en las transmisiones y en la parte del cliente. Además, proporciona una gran flexibilidad al permitir que el usuario use el sistema en ciertas áreas sin necesidad de estar conectado al banco que en los casos de los demás bancos esto es un requisito.. 6.

(16) 2. ESTADO ACTUAL DE LA TECNOLOGÍA La tecnología computacional ha evolucionada mucho en los últimos años.. Desde que surgieron las computadoras, la información ha sido fundamental. Debido a esto se comenzaron a desarrollar técnicas para evitar que alguien pudiese leer información sin la debida autorización. Desde entonces siempre ha existido una carrera entre aquellos que quieren proteger la información y aquellos que quieren leerla sin ésta.. En los años setentas se desarrollo el DES. 0Jer anexo. D), este se pensaba que. era seguro, pero siempre levanto polémica el porque el Gobierno de Estados Unidos había reducido el tamaño de la llave1 [8]. Debido a que muchos científicos (Diffie y Hellman) han hecho la observación de que no se requiere mucho poder de cómputo para descifrarlo.. En la actualidad se utilizan sistemas de encripción de llave publica 2• Estos sistemas se basan en el uso de dos llaves que en realidad son dos números primos. Una de las llaves se denomina publica y es con la que se realiza la encripción y otra es la llave privada, con la que se realiza la desencripción.. 2.1 EL ALGORITMO RSA El Algoritmo RSA fue desarrollado por tres matemáticos, River, Shamir y Adleman y es el más utilizado para encripciones basadas en llaves. Este algoritmo, no garantiza seguridad desde el punto de vista teórico, pero para descubrir la llave de un. DES utiliza un número primo muy largo para hacer las operaciones matemáticas y lograr la encripción ha este número se le conoce como llave. 2 ldem 1. 7.

(17) sistema RSA! (con una longitud de 128 bits) es necesario efectuar 225 MIPS1 durante un año. Es decir, que requiere tener una computadora con una capacidad de 225 MIPS dedicada durante un año [9]. Lo anterior hace de RSA un algoritmo muy popular.. 2.2 TARJETA INTELIGENTE.. Las tarjetas inteligentes se comenzaron a utilizar a principios de los noventas. Estas tarjetas tienen la capacidad de almacenar información con la diferencia de que cuentan con un sistema operativo el cual encripta y desencripta la información de tal forma que la información que se guarda no se puede leer fácilmente.. Existen dos tipos de tarjeta inteligente: Las que requieren de hacer contacto con una lectora y las que transmiten la información por medio de antenas integradas en la tarjeta. El primer tipo se utiliza para guardar datos de cuentas bancarias u otros datos y es muy confiable. El segundo tipo es utilizado para acceso a oficinas, o servicios con prepago.. Las tarjetas utilizadas con fines bancarios utilizan el método llamado triple DES 0Jer Anexo D), que es una versión mas actualizada del DES original.. 1. MIPS. Millones de Instrucciones por Segundo.. 8.

(18) 3. DESCRIPCIÓN DEL SISTEMA. El Sistema de Acceso a Banca Electrónica Vía Internet (SABEVI), es un sistema de banca electrónica empresarial en Internet 0Jer anexo D).. El sistema se ejecuta en un browser de HTML con capacidad de ejecutar aplicaciones de JAVA. 0Jer Anexo. D) y ofrecerá un buen nivel de seguridad. La parte. de instalación la podrá realizar el mismo cliente. Las actualizaciones de versiones serán transparentes para el usuario, por lo que se presenta como una solución a los problemas que en la actualidad tiene Bancomer en sus procesos de instalación y actualización de su software de banca electrónica. Se podrá tener un enlace desde cualquier empresa hacia el banco vía Internet, permitiendo un proceso de actualización instantáneo. Esto significa que los cambios de versión se reflejarán en el sistema en cuanto se establezca una conexión con el banco, así como una comunicación segura y confiable (ver figura 1) gracias a los protocolos de encripción y la configuración de hardware del SABEVI.. El desarrollo de SABEVI no es muy costoso en términos de tiempo. El tiempo de desarrollo es poco en relación con un desarrollo nuevo y, por tanto, tampoco lo es en el aspecto económico. Aprovechará los conocimientos adquiridos por el propio personal de Bancomer encargado del desarrollo de sus sistemas de banca electrónica actuales.. Tampoco la migración de usuarios actuales de Cash Windows significará un gasto en hardware para las empresas ya que se utiliza el mismo hardware y el uso es muy similar por lo que el cambio será suave.. SABEVI mejora la seguridad que se tiene en el sistema actual, sobre todo en la parte que se encuentra instalada en las empresas. Y cubre los nuevos puntos sensibles 9.

(19) propios del SABEVI, aunque la implementación en la parte del banco sí tendrá un impacto económico debido al nuevo Hardware que se debe comprar. y el desarrollo de. las políticas del nuevo sistema.. Empresa. Banco. Figura 1. Sistema de Acceso a Banca Electrónica Vía Internet (SABEVI). El SABEVI proporcionara a Bancomer ahorros inmediatos,. al eliminar los. siguientes gastos:. o El costo del uso de un servicio de Lada 800, para sus clientes que no residan en la ciudad de México. Esto es porque ahora los clientes tendrán que conectarse con un proveedor local de Internet y por tanto se elimina la necesidad de una llamada de larga distancia. Los proveedores de Internet se localizan en la misma ciudad que la empresa, por lo que le proporcionan un número local por medio del cual podrá acceder a la computadora del proveedor y de esta forma conectarse a Internet.. o El costo del personal disperso por todo el país para realizar instalaciones, ya que con el centro de atención telefónica será suficiente para resolver dudas de cómo operar el sistema.. El SABEVI también proporcionara una mejor imagen al: 10.

(20) CJ. No tener problemas de saturación de sus números telefónicos en fechas y horas pico, ya que ahora cada usuario podrá elegir al proveedor de Internet que más se adecué a sus necesidades y, en caso de no quedar satisfecho, podrá optar por otro. Por lo anterior la carga de usuarios quedará dispersa entre los diversos proveedores de Internet y no solo en Bancomer.. CJ. Permitir a las empresas realizar las instalaciones con personal propio, en lugar de tener que estar concertando una cita con el equipo de instalación y esperar a que éstos terminen. A diferencia de Cash Windows que requiere se realice una instalación en cada computadora que utilizará el sistema, SABEVI solo requiere ser instalado desde una computadora y que otras que están unidas por la misma red lo puedan utilizar.. CJ. Realizar las actualizaciones de manera transparente para el usuario. Esto implica que el usuario solo comenzará a utilizar los nuevos cambios sin necesidad de realizar alguna operación para obtener la actualización de tal forma que el usuario no deberá de preocuparse por actualizar su software(Ver Anexo D), y Bancomer no tendrá que preocuparse por presionar a sus clientes para que lleven a cabo la actualización del software, debido a que éstos quedaran actualizados tan pronto como se conecten al Banco.. 3.1. DEFINICIONES DE LOS ELEMENTOS DEL SABEVI. Los elementos del SABEVI son:. 1) Los usuarios. Son aquellas personas que interactuan o manejan el SABEVI en cada una de las empresas que contrata el servicio, por lo que cada empresa puede tener 11.

(21) uno o varios usuarios según la necesidad de la misma. El sistema contempla dos tipos de usuarios:. a) El Operador. Este tipo de usuario será el que utilice propiamente el sistema. El tipo de operaciones de bancarias que pueda realizar dependerá de los privilegios que el Administrador le asigne, al igual que los montos que podrá operar.. b) El Administrador. Este tipo de usuario tiene los privilegios necesarios para administrar a los Operadores del sistema. Es decir, los podrá dar de alta, cambiar sus privilegios, o dar de baja. También cuenta con los privilegios necesarios para compactar las bases de datos del sistema, hacer respaldos y depuraciones sobre las bases de datos. Pero no podrá realizar operaciones bancarias de ningún tipo.. 2) Tarjeta Inteligente. Esta tarjeta es similar a una tarjeta telefónica (ver figura 2), pero con la diferencia de que es programable y cuenta con un pequeno sistema operativo que maneja el algoritmo de Data Encryption Standard (DES) [1] ,Yer Anexo D) para guardar la información encriptada y tiene una capacidad de 64kbytes de memoria para guardar datos.. Figura 2. Tarjeta Inteligente. 12.

(22) a) Las bases de datos del cliente serán desarrolladas en Access 97 de Microsoft, y servirán para guardar los datos sobre las operaciones bancarias realizadas, bitácora de operaciones por usuario, datos de los usuarios que no comprometan la seguridad del sistema. Se utiliza Access 97 debido a que la mayoría de las empresas cuentan con el conjunto de programas Office 97 de Microsoft, el cual incluye Access 97. Este manejador de bases de datos presenta una seguridad de nivel C1 de acuerdo al libro naranja.. 0Jer Anexo D).. b) Las bases de datos del Banco se dividen en dos de acuerdo a su ubicación y su DBMS. 0Jer. anexo D) y son: las del servidor de Internet que estarán. desarrolladas en SQL Server versión 6.0 de Microsoft y las del la Mainframe desarrolladas en DB2 versión para OS/390 versión 5.0 de IBM.. 4) Applets de Java (Ver Anexo G). Son aplicaciones desarrollados en lenguaje Java, que se ejecutan en un browser. 0Jer. Anexo D) que cuenta con la capacidad de. complementar las aplicaciones desarrolladas en lenguaje JAVA. Estas aplicaciones se ejecutan dentro del mismo browser. En el caso del sistema, estas aplicaciones se encargarán de validar operaciones, accesar las bases de datos, realizar actualizaciones y otras funciones.. 5) Archivos de HTML. Estos son archivos similares a un texto normal, pero cuentan con parámetros que servirán para desplegar la información del sistema en el browser (Navegador de Internet) del Cliente en forma de una página.. 6) Módulos operacionales. SABEVI cuenta con dos módulos principales.. 13.

(23) a) El Cliente. Se denominará así al Software que se encuentre instalado en la empresa que contrató el servicio. Este software se compone de las bases de datos, Applets de Java, archivos de HTML.. b) El Banco. Se denominará así al Software que se encuentre instalado en Bancomer.. 7) Peticiones al Banco. El sistema identifica dos tipos distintos de petición, los cuales se identifican por el tipo de información requerida.. a) Componentes Fijos. Esta petición se refiere al hecho de que el sistema del cliente solicita le sea enviada una nueva versión de algún applet que pertenezca al módulo del "cliente" o bien de un archivo de HTML.. b) Componentes Dinámicos. Esta petición se refiere que el sistema "cliente" envía una transacción bancaria, la cual deberá ser procesada por el sistema de banca electrónica y deberá regresar una respuesta al "cliente". 3.2. FUNCIONES DEL SABEVI. El sistema cuenta con las siguientes funciones:. [J. Captura de operaciones Bancarias (Traspasos, Ordenes de Pago, Cobro. Electrónico, Pago Electrónico). Es el" proceso de ingresar los datos de las operaciones que se quieren realizar dentro del SABEVI. Estas operaciones pueden ser capturadas individualmente o importadas desde un archivo en forma de grupo. Es posible capturar un grupo de forma manual.. 14.

(24) o Autorización de operaciones. Este proceso se efectúa posteriormente al de captura y consiste en autorizar las operaciones previamente ingresadas al sistema. Esta operación la realiza un usuario con los privilegios necesarios de acuerdo al tipo de operación por autorizar. La autorización puede ser individual, por grupo o por medio de selección de rangos.. o Envío de operaciones. Una vez autorizadas las operaciones éstas podrán ser enviadas al Banco. Las operaciones se pueden enviar individualmente, por grupo o por selección de rangos.. o Consultas. Esta función permite solicitar saldos, estados de cuenta, situación de operaciones.. o Administración de usuarios. Este es el módulo de seguridad en la parte "Cliente", que se replica en la parte del "Banco". Aquí se podrán hacer altas, bajas o cambios de los usuarios del sistema y tendrá el apoyo del hardware en su parte de tarjeta inteligente. Todas las operaciones quedarán grabadas en la bitácora que se guarda en la base de datos que radica en la parte del Cliente. Esta bitácora podrá ser consultada por el administrador. Además, todos los cambios de privilegios y montos, se grabaran en las tarjetas inteligentes y no en las bases de datos del "Cliente", pero si en las del "Banco", Esto implica que la información se encuentra replicada.. 3.3. PRIVILEGIOS UTILIZADOS EN SABEVI. Los privilegios se refieren a que el usuario del SABEVI solamente podrá efectuar la operación que el privilegio indica. Un usuario puede tener uno o varios privilegios de acuerdo a las políticas de cada empresa.. 15.

(25) Estos privilegios son otorgados por un administrador y son grabados en la tarjeta del usuario al cual se le están asignando. Los privilegios utilizados en SABEVI son:. 1) Captura. Permite ingresar los datos de las operaciones bancarias a las bases de datos del SABEVI y éstas pueden ser de dos tipos. a) Traspasos. Cuando se transfieren fondos de una cuenta a otra, y ambas cuentas pertenecen a la misma empresa que contrató el servicio de SABEVI y se encuentran en el mismo banco. b) Ordenes de pago. Cuando se transfieren fondos de una cuenta propia de la empresa a otra cuenta que no es de la empresa o bien se encuentra en otro banco. 2) Autorización. Permite autorizar las operaciones previamente capturadas por cualquier usuario y que se encuentran en las bases de datos. Este privilegio se compone de dos subcategorias: a) Traspasos. Permite autorizar solo operaciones de traspasos. b) Ordenes de pago. Permite autorizar solo operaciones de Ordenes de Pago.. 3) Consulta. Permite el solicitar al banco información financiera sobre las cuentas. a) Estados de cuenta. Permite solicitar los movimientos de una o varias cuentas en un período de tiempo, el cual es definido por el usuario. b) Saldos. Permite solicitar los saldos al momento de la petición de una o varias cuentas. 4) Impresión. Permite imprimir el contenido de la página que se encuentra en pantalla, siempre y cuando esta información se encuentre salvada en el sistema. Si la página es de captura esta no podrá ser impresa, la información debe estar en una página de consulta. a) Traspasos. Permite imprimir solo operaciones de traspasos. b) Ordenes de pago. Permite imprimir solo operaciones de Ordenes de Pago. c) Estados de cuenta. Permite imprimir los movimientos de una o varias cuentas en un periodo de tiempo, el cual es definido por el usuario. 16.

(26) d) Saldos. Permite imprimir los saldos al momento de la petición de una o varias cuentas. 5) Envío. Permite el enviar operaciones previamente autorizadas, del cliente al banco. a) Traspasos. Permite enviar solo operaciones de traspasos. b) Ordenes de pago. Permite enviar solo operaciones de Ordenes de Pago. 6) Administración. Permite identificar si es un administrador o un usuario normal. Debido a lo sensible de este privilegio, es otorgado por Bancomer al momento de emitir la tarjeta y no puede ser alterado por ningún usuario ni administrador, únicamente puede ser consultado. 7) Montos de operación. Permite especificar los montos máximos por operación que un usuario puede capturar, así como los montos máximos que puede enviar y autorizar, un usuario por día entre todas las operaciones que maneje en un día. Una vez que el usuario ha alcanzado el monto máximo no podrá seguir efectuando operaciones y tendrá que esperar hasta el siguiente día. a) Traspasos. Especifica el monto máximo para operaciones de Traspaso. b) Ordenes de pago. Especifica el monto máximo para operaciones de Ordenes de Pago. Los privilegios hacen de SABEVI un sistema flexible, al permitir que una empresa designe que una persona capture las operaciones pero que no las pueda autorizar y tal vez enviarlas, esto permite que la persona que autoriza las operaciones como puede ser un contador general no pierda tiempo capturando y enviando y solo tenga que verificar que la información capturada sea correcta.. 3.4. MODOS DE OPERACIÓN DEL SABEVI El sistema cuenta con dos modos distintos de operar. El uso de algunas de las funciones del SABEVI depende de que modo se este utilizando. Los modos son: Fuera de Línea y En Línea.. 17.

(27) 3.4.1 Fuera de Línea. Este modo de operar implica que no se tiene una conexión con el banco vía Internet, y puede ser utilizado para las operaciones de captura y autorización. Estas quedarán grabadas en la base de datos que reside en la parte del cliente.. La ventaja de este modo de operar es el hecho de que puede ser utilizado cuando el usuario lo determine sin importar el día ni la hora, ya que no depende de que el banco se encuentre en operación. Dentro de este modo toda la "ayuda" será proporcionada basándose en los archivos de HTML que se encuentran en el servidor de banca electrónica.. Este modo permite que una persona capture un día antes todas sus operaciones y ese mismo día se autorizadas y se envíen al siguiente día en horario de funcionamiento del Banco.. Las operaciones que se pueden realizar en este modo por sus características de operación son:. a Captura de operaciones Bancarias (Traspasos,. Ordenes de Pago,. Cobro. Electrónico, Pago Electrónico). Esta captura se realiza en la base de datos del "Cliente".. a Autorización de operaciones. Este concepto se refiere al proceso que sigue a la captura de las operaciones. La captura de operaciones en el sistema puede ser realizado por cualquier persona. Sin embargo, las operaciones quedarán cargadas en el sistema con un estado de "Sin Autorizar", razón por la cual el sistema no enviará la operación al banco. Un Operador con privilegios deberá autorizar la. 18.

(28) operación para que ésta quede con estado "Autorizada". Estas operaciones autorizadas se conservan en las bases de datos del "Cliente".. CJ. Administración de usuarios. En este módulo solo se podrán realizar las operaciones de cambios de los datos de los usuarios, _así como impresiones de la bitácora y reportes en general. Pero no se podrán cambiar privilegios.. 3.4.2. En Línea. Este modo de operar implica que existe una conexión con el banco por medio de Internet y debe ser utilizado para las operaciones de Envío y Consultas, aunque permite también las operaciones de Captura y Autorización.. Dentro de este modo toda la "ayuda" será proporcionada basándose en los archivos de HTML que se encuentran en el servidor del banco y se actualizarán los que hayan cambiado.. Las operaciones que se pueden realizar en este modo por sus características de operación son:. CJ. Envío de operaciones. Este concepto se refiere a realizar la conexión con el banco y. enviar las operaciones previamente autorizadas. Es decir todas aquellas que cuenten con un estado "Autorizada". El envío puede realizarse de manera grupal o individual. El sistema recibe un resultado por parte del banco y éste es grabado en la base de datos del Cliente.. CJ. Consultas. Esta operación tiene la función de solicitar informes al banco. (Estados. de cuenta, saldos). Esta información queda grabada en la base de datos del Cliente.. 19.

(29) 1J. Administración de usuarios. _En este módulo solo se podrán hacer altas, bajas o cambios de los usuarios del sistema tanto de los privilegios como de los datos, impresión de la bitácora y reportes en general.. ,2.Cor'iE,8 BIBLIOTECA. 3.5. CONFIGURACIONES. Multiusuario. Estas configuraciones se refieren a la cantidad de computadoras que estarán corriendo el SABEVI así como a la localización de cada uno de sus componentes. Desde el punto de vista del usuario éstas se operan de forma similar.. La configuración utilizada dependerá de las necesidades y posibilidades de cada empresa, ya que el costo puede variar dependiendo de la configuración elegida debido principalmente a que una involucra más hardware que otra como a continuación se detalla.. La configuración. 11. Stand Alone" (ver figura 3) se utiliza en aquellos caso en los. que el sistema en su módulo del Cliente se quiere tener centralizado por parte de la empresa. Es decir, que todos los componentes del SABEVI residan en una sola estación de trabajo, o bien no se cuenta con muchos recursos económicos y computacionales por parte de la empresa que contrató el servicio. Esta configuración se considera como la mínima necesaria para trabajar con SABEVI.. En esta configuración, las bases de datos, los Applets de Java y los archivos. HTML, residen en la misma computadora en la cual se opera el SABEVI.. 1 Stand Alone. Termino en inglés que significa por separado. En este caso significa que va a trabajarse en una sola máquina y que. no se compartirán archivos con ninguna otra.. 20.

(30) Figura 3. Modo "Stand Alone". Esta configuración requiere que todos los procesos de captura, autorización y envío, así como las consultas se realicen en la misma estación de trabajo, lo cual implica que una sola persona debe realizar todos los procesos o que las personas involucradas, deberán movilizarse hasta la estación de trabajo para realizar los procesos que tengan a su cargo; no podrá haber mas de una persona utilizando el sistema al mismo tiempo. Todo lo anterior se puede resumir en pérdida de tiempo para la empresa, no se recomienda utilizar esta configuración.. En cualquiera de las configuraciones la estación de trabajo que contenga en su disco duro las bases de datos y archivos de ayuda, será denominada "Servidor de Banca Electrónica". El servidor de banca electrónica puede ser cualquiera de las estaciones de trabajo o puede ser un servidor que no se utilice como estación de trabajo dentro de la misma red de la empresa.. 21.

(31) En esta configuración la misma estación de trabajo es el seividor de banca electrónica, lo cual es un riesgo potencial en caso de que la computadora sufriera algún desperfecto. Todo el sistema quedaria bloqueado y no se contaría con el seivicio hasta que fuera reparada.. La configuración Multiusuario (ver figura 4), permite que el cliente sea accesado desde varios puntos de la empresa.. Red Interna. Figura 4. Modo Multiusuario. En esta configuración las bases de datos, los Applets y los archivos HTML, residen en el seividor de banca electrónica. La conexión a Internet puede realizarse vía el seividor de banca electrónica o desde cualquier estación de trabajo o seividor de comunicaciones que tenga la empresa. Este tipo de configuración permite que varios usuarios usen el sistema al mismo tiempo, pudiéndose dar el caso en que algunos lo usen en modo ªFuera de Unean mientras que otros lo usen en modo ªEn Línea", pudiendo realizar varias operaciones al mismo tiempo. 22.

(32) mientras que otros lo usen en modo "En Línea", pudiendo realizar varias operaciones al mismo tiempo.. La configuración Multiusuario proporciona un nivel más cómodo y seguro para el manejo del sistema, ya que las operaciones de captura, autorización y envío, pueden ser realizadas por diferentes personas en diferentes estaciones de trabajo. O bien, varias personas pueden realizar diferentes tareas al mismo tiempo sobre el sistema desde diferentes puntos. La elección de la configuración dependerá de las necesidades y recursos de las empresas, para lo que se deberá considerar lo siguiente:. CJ. Número de personas que requieren utilizar el SABEVI.. CJ. Ubicación de las personas.. CJ. Privilegios de cada usuario.. CJ. Número de computadoras disponibles en la empresa.. CJ. Presupuesto de la empresa para la implantación del SABEVI. 3.6 FUNCIONAMIENTO DEL SISTEMA EN EL CLIENTE. El sistema se utilizara accesando las páginas de HTML que componen el sistema, esto se hará por medio de un browser, mientras se este utilizando el modo Fuera de Línea, todos los accesos serán a archivos locales, incluso si se utiliza el modo En Línea todos los accesos continuaran siendo locales excepto aquellos que involucren conexión con el banco, para los cuales será necesario utilizar accesos al servidor del banco. De cualquier forma la navegación y la obtención de las páginas son manejadas porSABEVI.. Durante el uso del sistema se debe tener tanto la lectora de tarjeta inteligente como la tarjeta inteligente, cuando se entra al sistema los datos son verificados contra los de la tarjeta, posteriormente para permitir la navegación se verificara la presencia de la tarjeta de tal forma que si el usuario se tiene que ausentar y no desea salirse del. 23.

(33) sistema solo tendrá que llevarse su tarjeta y el sistema entrara en un estado de bloqueo, hasta que la tarjeta sea ingresada nuevamente.. Toda vez que se pida al usuario su password este no será visible para evitar que esta pudiese quedar comprometida, en lugar de los caracteres que el usuario teclee aparecerán asteriscos.. 3.6.1 Instalación del SABEVI.. La instalación la podrá efectuar cualquier administrador accesando la página correspondiente, que Bancomer designe. El proceso es muy simple ya que es muy similar a la instalación de cualquier software donde se solicita al usuario indique el destino de los archivos y el programa de instalación se ocupa del resto. Para realizar la instalación será necesaria una conexión a Internet.. 3.7 FUNCIONAMIENTO DEL SISTEMA EN EL BANCO La navegación dentro del Banco es estrictamente lineal y secuencial, es decir no se permitirá utilizar la opción goto del browser y una vez que el usuario abandone el sistema, este deberá comenzar por la primera pantalla.. 24.

(34) 4. REQUERIMIENTOS PARA EL SISTEMA Este capítulo expone de forma general los elementos de Hardware y Software para cada uno de los módulos operacionales del SABEVI. Estos elementos se analizarán con mayor profundidad en el capitulo cinco.. 4.1. REQUERIMIENTOS PARA EL CLIENTE. Este componente es el que reside en la empresa, en la computadora o computadoras que el usuario haya designado para operar el SABEVI de acuerdo a la configuración que se haya elegido, cuenta con componentes de Hardware (ver Anexo D) y Software.. 4.1.1. Hardware El Hardware estará compuesto por:. a Una tarjeta inteligente por cada usuario que vaya a utilizar el sistema, Esta deberá ser personal e intransferible, ya que todas las operaciones que se hagan con ella quedarán registradas en el sistema con el nombre del usuario.. a Una lectora de tarjetas inteligentes por cada estación de trabajo que se destine al servicio de banca electrónica.. a El equipo necesario para tener acceso a Internet.. 4.1.2 Software. 25.

(35) El Software en la parte del cliente está compuesto de tres bases de datos, varios Applets de Java (Ver anexo D), archivos de HTML (Ver anexo D) y JDBC 1•. La ubicación de cada uno de los componentes dependerá de la configuración que se seleccione para cada empresa.. 4.2. REQUERIMIENTO PARA EL BANCO. Este componente reside en el banco, y tiene una parte de Hardware y una de. Software.. 4.2.1 Hardware. Contará con un servidor conectado a Internet, un Servidor o Host de Base dual, un ruteador de selección, y toda la infraestructura actual del banco dedicada a banca electrónica.. 4.2.2. Software. Contará con tres programas principales para el intercambio de datos entre Internet y el Banco, así como todos los programas y servidores que componen el sistema de Banca electrónica actual. Por ejemplo los de cheques (que maneja las cuentas), el servidor de speua2 (que sirve para transferencias interbancarias nacionales), el servidor internacional (que sirve para transferencia interbancarias con otros bancos del extranjero).. 1. 2. JDBC. Java Data Base Control. Es la utilería de control de acceso a las bases de datos de Java. SPEUA. Es el sistema electrónico que utiliza la banca mexicana para transferencias entre cuentas de diferentes bancos.. 26.

(36) 5. ESPECIFICACIONES DEL HARDWARE Y SOFTWARE DE SABEVI. Este capítulo describe en detalle cada uno de los elementos necesarios de software y hardware, para proporcionar la seguridad en las operaciones, tanto en la parte del banco como en la parte del cliente.. 5.1 BANCO. Esta Sección describe los elementos necesarios para garantizar un flujo de información segura entre el banco y las empresas que contratan el servicio de SABEVI. La parte interna del banco no será analizada a profundidad, debido a que sería muy difícil abarcar todos los puntos por los que se puede accesar a los sistemas de Bancomer para los cuales existen políticas propias que se supone garantizan la información dentro del banco. Sin embargo, se cubren todos aquellos puntos generados por SABEVI.. Bancomer deberá contar con una conexión dedicada a Internet la cual deberá ser exclusiva para el uso del SABEVI, con el fin de maximizar el tiempo de respuesta del sistema, No tendrá que competir por el uso de la línea con otros sistemas.. Bancomer deberá contar con un servidor exclusivo para el uso del SABEVI, ya que de lo contrario la seguridad del sistema quedaría comprometida. De igual forma, la velocidad de respuesta podría ser afectada por la presencia de otros sistemas: Competiría por los recursos del servidor en lugar de tenerlos todo el tiempo a su disposición.. 27.

(37) Bancomer cuenta actualmente con una infraestructura de cableado estructurado con tcp; al menos. un servidor para cada cambio de plataforma que se deba que. realizar y una IBM®1 3090 como hosf a la cual se encuentran conectados los diversos servidores bancarios.. Bancomer maneja una gran variedad de sistemas. Estos han sido desarrollados en diversas plataformas debido a cuestiones de seguridad o tecnología disponible a la fecha del desarrollo de cada sistema. Sin embargo, la mayoría de estos sistemas requieren comunicarse entre si para compartir información. Bancomer ha desarrollado un estándar para la comunicación interplataforma definido por la Intercomunicación Aplicativa (ICA).. La Intercomunicación Aplicativa (ICA) fue creada con el fin de mantener control sobre los métodos utilizados para llevar a cabo los intercambios de información entre plataformas y sistemas con el fin de evitar un posible ataque interno o una desestandarización de las comunicaciones intersistemas.. La Intercomunicación Aplicativa (ICA) manda la información utilizando los formatos definidos por el Bloque de Intercomunicación Aplicativa (BIA). Estos bloques son de una longitud de 4 kilobytes y cuentan con un encabezado fijo de 96 bytes. El resto de los bytes3 pueden ser utilizados conforme cada aplicación los requiera pero deberán ser fijos una vez establecidos.. El software de banca electrónica en su parte operativa principal dentro de Bancomer se encuentra desarrollado en Cobol 2, y se ejecuta sobre CICS (Customer lnformation Control System) versión 4. Este reside en una IBM®1 3090, aunque requiere de otros servidores especializados del banco.. 1. IBM. lntemational Business Machines Host. Es el nombre coloquial con el que se conoce al equipo IBM 3090 en Bancomer. 3 Bytes. Se maneja el termino en ingles por simplicidad. Se utiliza para denominar al conjunto de 8 bits.. 2. 28.

(38) La seguridad de cada uno de los sistemas que interactuán con el sistema de banca electrónica así como el acceso dentro de la red Bancomer esta garantizada por las políticas propias de Bancomer, por lo que no se analizan en el presente trabajo y se consideran seguros.. Los componentes del software de SABEVI, que proporcionan la seguridad en la conexión del banco con el mundo exterior (Internet) así como el hardware, y sus configuraciones se describen a continuación.. 5.1.1 Configuración Básica del Banco. La configuración básica del banco (ver figura 5), está compuesta de dos principales módulos: Seguridad Interior/Exterior y Banca Electrónica. Los cuales se analizarán en detalle más adelante.. Seguridad Interior/Exterior. Banca Electronica Figura 5. Configuración del banco.. 29.

(39) 5.1.2 Seguridad Interior/Exterior. Este módulo es el contacto con el mundo exterior (Internet) y se compone tanto de. Hardware como de Software que son necesarios para garantizar un flujo de. operaciones seguro entre el banco y el cliente sin comprometer la seguridad del resto de los sistemas del Banco.. 5.1.2.1 HARDWARE. Son muy importante los componentes de hardware requeridos en la parte del banco (ver figura 6), así como la topología de la red se apegue estrictamente a lo estipulado. Esto es para asegurar la seguridad del banco hacia el exterior (Internet).. Host de base dual Router de Selección. ~~ <:?". .---+--.-c:::::i. C). e:. _p>v~. Red del Banco Figura &. Configuración del Banco a Detalle. 30. ~.

(40) 5.1.2.1.1 ROUTER1 DE SELECCIÓN. Este dispositivo se utiliza para conectar la red de Bancomer con Internet y además, para verificar las direcciones origen y destino de todos los paquetes provenientes del exterior a nivel de encabezado del Protocolo de Control de Transferencia (TCP). Deberá contar con las siguientes políticas de seguridad:. 1. Dejar pasar aquella información procedente del exterior hacia el Host de base dual que no vaya al puerto 21 2 •. 2. Dejar pasar aquella información procedente del exterior hacia el Host de base dual que no vaya al puerto 233. 3. Dejar pasar toda la información procedente del Host de base dual hacia el exterior. 4. Dejar pasar toda la información procedente del exterior hacia el Host de base dual que vaya al puerto 4434. Estas serían las reglas mínimas de filtración del router necesarias para tener un control sobre la información, utilizando la filosofía de "lo que no esta explícitamente autorizado debe ser negado". Por ello todos los paquetes que no cumplan con las especificaciones. deberán. ser. rechazados. tan. pronto. como. se. detecte. su. incumplimiento.. La metodología necesaria para la implantación de las reglas en el router de selección dependerá del fabricante del mismo. Pero lo más común es que se utilice un. 1. Router.(Ver anexo D). El puerto 21 en una petición TCP es designado para el servicio de FTP. 3 El puerto 23 en una petición TCP es designado para el servicio de Telnet. 4 El puerto 443 es el puerto para una petición SSL. (Ver anexo F). 2. 31.

(41) software de configuración y las reglas queden almacenadas en tablas dentro del mismo router. Es un requisito indispensable que el router cuente con un modo de trabajo estático. Esto quiere decir que, una vez definidas las tablas, estas no podrán ser modificadas por medio de software, a menos que se dé de baja el dispositivo y se vuelva a programar. Por ello el proceso deberá ser realizado de manera minuciosa.. 5.1.2.1.2 HOST DE BASE DUAL. El Host de base dual, es un caso especial del host de base múltiple, y tiene las siguientes características:. a Dos interfaces de red, lo que implica que solo une a dos redes. En este caso en especifico la externa (Internet) y la interna (red Bancomer).. a Sus funciones de enrutamiento están inhabilitadas.. Debido a estas características, el host de base dual, proporciona aislamiento del tráfico de red entre las dos redes a las cuales está conectado. Cada una de las redes todavía podrán tener acceso al. host de base dual, por medio de su propio. enrutamiento, además de tener comunicación entre ambas por medio de emisores de aplicación.. Se puede observar un detalle del host de base dual (ver figura 7), dentro del cual residen tres emisores de aplicación denominados: "Cliente transaccional", "Servidor dinámico" y "Administrador de bibliotecas".. Los emisores de aplicación son programas residentes que se encargan de establecer comunicaciones con una aplicación en particular. Esta puede estar en el mismo servidor o en otro diferente.. 32.

(42) Host de Base dual Servidor Dinámico. Dinámica Cliente Transaccional Zona de datos Estática Administrador de biblioteca Red del Banco. Figura 7. Detalle del host de base dual. También se cuenta con dos zonas de datos denominadas: "zona de datos de biblioteca" y "zona de datos dinámica", en las cuales los emisores de aplicación guardarán y obtendrán información para procesarla de acuerdo a la función de cada uno de los emisores de aplicación.. Las zonas de datos manejarán un estado para cada operación. De esta forma los emisores de aplicación sabrán cuándo les corresponde ejecutar una acción sobre cierto registro. Los estados son:. a Pendiente. Implica que la operación ingreso al sistema y todavía no ha sido procesada.. a Atendida. Implica que la operación ya fue procesada por el banco y el resultado deberá ser enviado al cliente.. 33.

(43) El "Cliente transaccional" tendrá acceso a las dos zonas de datos, debido a que es el que se encarga de recibir las peticiones de exterior, clasificarlas de acuerdo al tipo y generar las peticiones hacia el interior del banco; depositándolas en la base de datos correspondiente, esperar por la respuesta de los sistemas internos en la base de datos correspondiente, enviar la respuesta al usuario y, por último, limpiar las bases de datos.. El "administrador de bibliotecas" tendrá acceso únicamente a la "zona de datos de biblioteca". Permanecerá monitoreando esta zona de datos hasta que encuentre una nueva operación con estado de pendiente, obtendrá los datos de la operación, procederá a enviarla hacia el banco y, cuando obtenga la respuesta, la insertará dentro de la misma zona de datos con estado de "Atendida".. El "Servidor dinámico" tendrá acceso únicamente a la "zona de datos dinámica", estará llevando a cabo un monitoreo constante de esta zona de datos y, cuando encuentre una operación con estado "Pendiente", procederá a tomar los datos que la componen y procesarla. Posteriormente, volverá a ingresar el resultado de la operación en la misma zona de datos dinámica pero con estado de "Atendida".. Bajo este esquema, cada uno de los programas no tendrá conocimiento de la existencia del otro ni de sus funciones.. 5.1.2.2 SOFTWARE. Para el desarrollo del sistema en la parte del banco debemos considerar dos tipos de información:. lJ. Información dinámica. Son todos los datos que varían de operación en operación. Es decir, son todas las transacciones bancarias que ejecuta el usuario. Se denominan así porque envían un conjunto de datos los cuales una vez procesados 34.

(44) en el "Banco" regresan un resultado de la operación al "Cliente", y el resultado no es el mismo para todos los "Clientes".. 1J. Información estática. Son todos aquellos datos que permanecen sin cambio aún después de realizada la operación y que no afectan otras operaciones. Estos datos son los archivos HTML fijos como los correspondientes a la ayuda y navegación del sistema. También se compone de los Applets que operan en modo Fuera de Línea. Se denominan estáticos porque la respuesta es la misma para una misma petición. Es decir que todos los "Clientes" reciben el mismo resultado para una petición similar.. Los tres emisores de aplicación en la parte del banco son independientes del software de banca electrónica que radica en el host. Estarán sujetos a horarios independientes, por lo que deberán ser activados y desactivados por medio del "scheduler",. y son: Cliente Transaccional, Servidor Dinámico y Administrador de. Bibliotecas. 5.1.2.2.1 EL "CLIENTE TRANSACCIONAL". Este programa residirá en el host de base dual. Su función principal es la recibir las peticiones del exterior (Internet) y vaciarlas en la zona de datos correspondiente dependiendo del tipo de operación que se trate. Si es una petición de datos fijos utilizará la zona de datos de biblioteca. En caso de ser una operación utilizará la zona de datos dinámica.. Independientemente del tipo de operación de que se trate, ésta se dejará en la base de datos correspondiente con un estado de pendiente. El cliente transaccional realizará un proceso de monitoreo constante sobre las dos zonas datos para detectar cuándo un registro esté en estado de "Atendido".. 35.