Master- Arbeit - Lehrstuhl für Technische Informatik - Universität ...

Eberhard Karls Universität Tübingen 

Mathematisch-Naturwissenschaftliche Fakultät 

Wilhelm-Schickard-Institut für Informatik 

Master Thesis Informatik 

Online Bezahlung mit NFC Smartphone und 

NFC Geldkarte 

Lei Huang 

2. Juni 2013 

Reviewers 

Dr. Bernd Borchert 

(Informatik) 


Universität Tübingen 

Prof. Klaus Reinhardt 

(Informatik) 


Universität Tübingen

Huang, Lei: 

Online Bezahlung mit NFC Smartphone und NFC Geldkarte 

Master Thesis Informatik 

Eberhard Karls Universität Tübingen 

Bearbeitungszeitraum: Januar 2013 - Juni 2013

i 

Abstrakt 

Mobile Bezahlung und NFC (Near Field Comminication) spielen heutzutage 

eine große Rolle. Bei NFC handelt es sich um eine kontaktlose Kommunikationstechnologie, 

die schon in zahlreichen Smartphones implementiert wurde. Mit 

zunehmender Nutzungsakzeptanz wird die mobile Zahlung mittels NFC noch 

an größerer Bedeutung gewinnen. Doch dieser Hype für NFC bestand nicht 

schon immer. Vor der Anwendungmöglichkeit, mittels NFC mobile Zahlungen 

vornehmen zu können, nutzte man diese Technologie bereits in anderen 

Bereichen. Dort begegnete man dieser Methode mit großer Skepsis, was sogar 

dazu geführt hatte, dass sie ganz in Vergessenheit geraten war. Diese Arbeit 

beschäftigt sich mit den verschiedenen Prozessen der Online-Bezahlung mittels 

NFC, das als Medium ein Smartphone oder eine Geldkarte nutzt. Darüber 

hinaus wird die Entwicklung einer Applikation vorgestellt, die für eine erfolgreiche 

mobile Bezahlung mit den verschiedenen Transaktionsstationen kommunizieren 

kann. Hierfür wird ein B2C Onlineshop generiert, der sich dank 

eines Servers mit der Kunden- und der Händler-Station verständigt. Es wird 

in allen einzelnen Prozessen sowohl die Bedienbarkeit, also auch die Sicherheit 

berücksichtigt, um die Entwicklung und somit auch die Akzeptanz dieser 

neuen Kommunikationstechnologie zu fördern.

ii 

Danksagung 

Für die Mitwirkung an dieser Studie möchte ich an dieser Stelle allen betroffenen 

Personen meinen Dank aussprechen: 

Besonderen Dank gilt Herrn Borchert, der mir als Ansprechpartner und 

als Erstprüfer im Institut betreuend zur Seite stand. Ebenso danke ich Herrn 

Prof. Reinhardt in seiner Funktion als Zweitkorrektor. 

Ohne die verständnisvolle Unterstützung meiner Familie und Freunde, die 

mir während der Abschlussarbeit die notwendige emotionale Unterstützung 

gegeben haben und mich auch in anstrengenden Phasen stets motivieren konnten, 

hätte ich kaum in der geplanten Zeit so zügig mein Ziel erreichen können, 

weswegen ich Ihnen hierfür sehr dankbar bin. 

Zum Schluss möchte ich allen Mitarbeitern an der Universität Tübingen, 

die es mir ermöglicht haben, mein ausländisches Studium erfolgreich abschließen 

zu können, meinen besonderen Dank ausdrücken. Während meines 

dreijährigen Studiums habe ich eine sehr schöne Zeit in Tübingen verbringen 

dürfen, die mir immer in Erinnerung bleiben wird. 

Tübingen, den 2. Juni 2013 

Lei Huang

Inhaltsverzeichnis 

List von Figures 

List von Tables 

Abkürzungsverzeichnis 

vii 

ix 

xi 

1 Einleitung 1 

1.1 Überblick . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 

1.2 Ziel der Arbeit . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 

1.3 Aufbau der Arbeit . . . . . . . . . . . . . . . . . . . . . . . . . 2 

1.4 Technologie und Programmierungssprache . . . . . . . . . . . . 3 

2 E-Commerce und Online Bezahlung 5 

2.1 Beschreibung E-Commerce . . . . . . . . . . . . . . . . . . . . . 5 

2.2 Organisatorische E-Commerce Struktur . . . . . . . . . . . . . . 5 

2.3 Beschreibung Online Shop . . . . . . . . . . . . . . . . . . . . . 6 

2.4 Online Bezahlungsmethode . . . . . . . . . . . . . . . . . . . . . 6 

2.5 Entwicklungsidee von Online Shop . . . . . . . . . . . . . . . . 8 

2.5.1 Die Funktionen des Online Shops . . . . . . . . . . . . . 8 

2.5.2 Datenbank von Online Shop . . . . . . . . . . . . . . . . 8 

3 Relevante Technologie über NFC 11 

3.1 NFC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 

3.1.1 Sicherheitsanalyse von NFC . . . . . . . . . . . . . . . . 12 

iii

iv 

INHALTSVERZEICHNIS 

3.2 NFC-Geldkarte . . . . . . . . . . . . . . . . . . . . . . . . . . . 13 

3.3 NFC-Geräte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 

3.4 Secure Element (SE) . . . . . . . . . . . . . . . . . . . . . . . . 16 

3.5 NFC Relay Technik . . . . . . . . . . . . . . . . . . . . . . . . . 16 

3.5.1 Ortsabhängige Transaktion . . . . . . . . . . . . . . . . . 17 

3.5.2 Online Transaktion . . . . . . . . . . . . . . . . . . . . . 17 

3.5.3 Entwicklungsbeschreibung . . . . . . . . . . . . . . . . . 19 

3.5.4 Sicherheitsanalyse von NFC Relay . . . . . . . . . . . . . 22 

3.6 Der spezifisch erweiterte Relay Attack . . . . . . . . . . . . . . 23 

4 Relevante Technologie über QR-Code 25 

4.1 Grundlage der QR-Code . . . . . . . . . . . . . . . . . . . . . . 26 

4.2 Die QR-Code Erzeugung . . . . . . . . . . . . . . . . . . . . . . 29 

4.3 QR-Code in Android . . . . . . . . . . . . . . . . . . . . . . . . 30 

4.3.1 Kamara Kontrollieren in Android . . . . . . . . . . . . . 30 

4.3.2 Decodiereung QR-Code in Android . . . . . . . . . . . . 31 

4.4 Sicherheitsanalyse von QR-Code . . . . . . . . . . . . . . . . . . 32 

4.5 Zusammenfassung . . . . . . . . . . . . . . . . . . . . . . . . . . 32 

5 NFC Online Bezahlungssystem 35 

5.1 Abschnitte des Online Zahlungssystems . . . . . . . . . . . . . . 35 

5.1.1 1.Abschnitt (Kunden-Station) . . . . . . . . . . . . . . . 35 

5.1.2 2.Abschnitt (Server-Station) . . . . . . . . . . . . . . . . 36 

5.1.3 3.Abschnitt (Verkäufer-Station) . . . . . . . . . . . . . . 36 

5.2 Kommunikationsprotokoll . . . . . . . . . . . . . . . . . . . . . 36 

6 Anwendung und Implementierung 39 

6.1 Applikationseigenschaften . . . . . . . . . . . . . . . . . . . . . 39 

6.2 Implementierung und Einleitung der Applikation . . . . . . . . 39 

6.2.1 Start der Applikation . . . . . . . . . . . . . . . . . . . . 41 

6.2.2 Erfassung des QR-Codes . . . . . . . . . . . . . . . . . . 42

INHALTSVERZEICHNIS 

v 

6.2.3 Erfassung der Geldkarte . . . . . . . . . . . . . . . . . . 42 

6.2.4 Datenbank . . . . . . . . . . . . . . . . . . . . . . . . . . 42 

6.2.5 Erfolg Transaktion . . . . . . . . . . . . . . . . . . . . . 43 

7 Sicherheitsanalyse von NFC Zahlungssystem 45 

7.1 Die sicherheitstechnischen Bedenken . . . . . . . . . . . . . . . . 45 

7.2 Mögliche Maßnahmen . . . . . . . . . . . . . . . . . . . . . . . . 46 

7.2.1 Gefahrenherd: Kunden-Station . . . . . . . . . . . . . . . 46 

7.2.2 Gefahrenherd: Datenübertragung . . . . . . . . . . . . . 46 

7.2.3 Gefahrenherd: Verkäufer-Station . . . . . . . . . . . . . . 46 

8 Zusammenfassung 49 

Bibliography 51

vi 

INHALTSVERZEICHNIS

Abbildungsverzeichnis 

2.1 Bezahlung Transaktion mit Geldkarte . . . . . . . . . . . . . . . 7 

2.2 Struktur der Datenbank von Online Shop . . . . . . . . . . . . . 9 

3.1 Die Struktur von Operation . . . . . . . . . . . . . . . . . . . . 12 

3.2 NFC Chip von Sparkassen . . . . . . . . . . . . . . . . . . . . . 14 

3.3 Ortsabhängige Transaktion . . . . . . . . . . . . . . . . . . . . . 17 

3.4 Ortsunabhängige Transaktion . . . . . . . . . . . . . . . . . . . 18 

3.5 Transaktionsinformation auf Kunden Handy . . . . . . . . . . . 19 

3.6 Intent System mit drei verschiedener Priorität . . . . . . . . . . 21 

3.7 Relay scenario 1 . . . . . . . . . . . . . . . . . . . . . . . . . . . 24 

3.8 Relay scenario 2 . . . . . . . . . . . . . . . . . . . . . . . . . . . 24 

4.1 QR-Code . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26 

4.2 Struktur von QR-Code . . . . . . . . . . . . . . . . . . . . . . . 27 

4.3 Die QR-Code Erzeugung . . . . . . . . . . . . . . . . . . . . . . 29 

4.4 Decodierte Information von QR-Code . . . . . . . . . . . . . . . 30 

5.1 Drei Abschnitte des Online Zahlungssystems . . . . . . . . . . . 36 

5.2 Bezahlungsprotokoll . . . . . . . . . . . . . . . . . . . . . . . . 37 

6.1 Bestellungsinformation und QR-Code . . . . . . . . . . . . . . . 40 

6.2 NFC ePayment . . . . . . . . . . . . . . . . . . . . . . . . . . . 41 

6.3 Go to Software . . . . . . . . . . . . . . . . . . . . . . . . . . . 41 

6.4 Bestellungsinformation auf Handy . . . . . . . . . . . . . . . . . 42 

vii

viii 

ABBILDUNGSVERZEICHNIS 

6.5 Datenbank . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43 

6.6 Erfolg Transaktion, Rückmeldung . . . . . . . . . . . . . . . . . 43

Tabellenverzeichnis 

2.1 Lösungen für Online Bezahlung . . . . . . . . . . . . . . . . . . 6 

ix

x 

TABELLENVERZEICHNIS

Abkürzungsverzeichnis 

AEE 

APDU 

API 

B2B 

B2C 

C2C 

DB 

HF 

IEC 

ISO 

LLCP 

NDEF 

NFC 

QR Code 

RFID 

SE 

SSL 

TEE 

Anwendung Execution Environment 

Application Protocol Data Unit 

Application Programming Interface 

Business to Business 

Business to Consumer 

Consumer to Consumer 

Daten Bank 

Hochfrequenz 

International Electrotechnical Commission 

International Organization for Standardization 

Logical Link Controll Protocol 

NFC Forum Data Format 

Near Field Communication (Nahfeldkommunikation) 

Quick Response Code 

Radio Frequency Identification 

Secure Element 

Secure Sockets Layer 

Trusted Execution Environment 

xi

xii 

Abkürzungsverzeichnis

Kapitel 1 

Einleitung 

1.1 Überblick 

Es gibt über 61 Millionen Menschen in Deutschland, die ein eigenes Handy 

besitzen, und die Zahl der Smartphone-Nutzer steigt tendenziell weiter an. 

Aufgrund dieses zunehmenden Nutzungsverhaltens ist besonders, bedeutend 

in diese Technologie weiter zu investieren und zu forschen. “Mobile Commerce”und 

“Near Field Communication”sind sehr attraktive Anwendungsbereiche, 

deren Vorzüge noch bei weitem nicht ausgeschöpft wurden. 

Dabei soll “Mobile Commerce”als Weiterentwicklung des bisherigen Onlineshopangebots 

angesehen werden. Trotz immer größer werdenden Touchscreens 

ist es für Anwendung dennoch immer wieder aufwendig, Zahlungsdaten 

manuell einzeln einzugeben, weswegen “Near Field Communication”hierbei 

einen besonderen Nutzungskomfort anbietet. Mobiles Bezahlen kann für unsere 

Zwecke wie folgt definiert werden: Ein mobiles Endgerät initiiert den 

Zahlungsvorgang, daraufhin erfolgt die Authentifizierung, während im Hintergrund 

der Austausch der finanziellen Werte bzw. Dienstleistungen erfolgt. 

NFC (Near Field Communication) ist eine kontaktlose Kommunikationstechnologie, 

die in vielen Smartphones bereits angeboten wird. Bisher wird 

die Dienstleistung “mobiles Bezahlen”noch selten genutzt, aber sie gewinnt an 

zunehmende Bedeutung. Kunden zeigen eine höhere Kaufbereitschaft, je komfortabler 

der Bestell- und Zahlungsvorgang ist. Jeder Verkäufer hat ein großes 

Interesse, in NFC zu investieren, wenn deren Attraktivität seine Kunden zu 

mehr und schnelleren Einkäufen bewegt. Die mittlerweile relativ preisgünstigen 

Monatspauschalen für mobiles Internet und die große Zahl an verfügbaren 

Endgeräten (Smartphones, Tablets und sogenannte Phablets) sind massgeblich 

für den bevorstehenden Erfolg von mobiler Bezahlung. 

In meiner Thesis befasse ich mich mit mobiler Bezahlung mittels NFC. Hierbei 

muss man den Bezahlvorgang in drei verschiedene Abschnitte unterteilen. 

Zunächst muss eine sichere Transaktionsplattform gewährleistet sein, es muss 

1

2 KAPITEL 1. EINLEITUNG 

ein effektives servergestütztes Kommunikationsprotokoll zwischen Smartphone 

und Onlineshop gegeben sein, und zuletzt muss der gesamte Bezahlungsvorgang 

sicherheitstechnisch analysiert werden. [10] 

1.2 Ziel der Arbeit 

Finanzielle Transaktionen, die über NFC ausgeführt werden, bieten im Vergleich 

zu den bisher angewandten Zahlungssystemen den Vorteil, dass die 

Bezahlung selbst nicht mittels Geheimzahl oder Unterschrift durch den Zahlenden 

selbst legitimiert werden muss. 

In der vorliegenden Arbeit soll vollständig die Entwicklung eines NFC 

Zahlungssystem vorgestellt werden, welches aus drei unterschiedlichen Stationen 

besteht. Jede Einheit führt ihre spezifischen Funktionen aus und kommuniziert 

ihre Ergebnisse dann an die nächste weiter. Im Bereich des mobilen 

Onlineshoppings lassen sich die Vorteile dieser Zahlungsweise dank ihres ortsungebunden 

Einsatzes am besten verdeutlichen. 

Sobald Geld von einem Sender an einen Empfänger übertragen wird, muss 

man grundsätzlich auch alle Sicherheitsrisiken im Vorfeld abschätzen, um dann 

dem Missbrauch erfolgreich entgegenwirken zu können. Eine verschlüsselte 

servergestützte Kommunikation zwischen Käufer und Verkäufer, die mittels 

einer spezifischen Android Applikation seitens des Kunden initiiert wird, soll 

diesem hoch erwünschte Sicherheitsbedürfnis gerecht werden. 

1.3 Aufbau der Arbeit 

In Kapitel 2 werden die wesentliche Grundlagen des E-Commerce erläutet. 

Es werden drei Arten von E-Commerce vorgestellt, worunter die Geldkarten 

Zahlfunktion in dieser Arbeit selbst zur Anwendung kommt. In Kapitel 3 werden 

dann die verschiedene Grundlagen der Technologien und ihre Anwendungsfelder 

aufgezeigt. Ferner steht der Entwurf eines Kommunikationsprotokoll 

und die Sicherheitsanalyse der Near Field Communation Technologie im Mittelpunkt 

der Betrachtung. Die Implikation oder Einleitung dieser Applikation 

wird schließlich in Kapitel 4 veranschaulicht. 

Diese Thesis ist wie folgt unterteilt: 

• Technische Durchführung des mobilen Bezahlungsvorgangs mittels NFC 

• Entwicklung eines relativ sicheren Kommunikationsprotokolls 

• Entwicklung einer dazu passenden Android Applikation 

• Abschließende Transaktionssicherheitsanalyse

1.4. TECHNOLOGIE UND PROGRAMMIERUNGSSPRACHE 3 

1.4 Technologie und Programmierungssprache 

Die folgenden zwei Technologien stehen in dieser Arbeit im Fokus: NFC und 

QR-Code. Beide Systeme dienen der automatischen Datenübertragung, die 

dem Nutzer eine müheselig manuelle Eingabe von Informationen erspart. 

Während es sich bei “Near Field Communivaton”, kurz “NFC”, um einen 

genormte kontakt- und drahtlose Transfertechnologie handelt, bei dem Sender 

und Empfänger jeweils nur wenige Zentimenter entfernt zueinander zugeführt 

werden müssen, wird beim QR-Code Daten optisch eingescannt. 

Als Hersteller- und Geräteübergreifendes Betriebssystem wurde Android 

ausgewählt. Die darin entwickelte Applikation soll eine reibungslose Kommunikation 

zwischen Online Shop, Kunde und Bank ermöglichen. Der Online- 

Shop selbst wurde mit PHP, Javascript und HTML programmiert und fasst 

die Auswahl des Warenkorbs gegen Ende als QR-Code zusammen, um diese 

bequem auf das Smartphone übertragen zu können. Dort erfolgt schließlich 

der Zahlungsvorgang, indem die Transaktion zwischen Applikation und NFC- 

Kartenmedium initialisiert wird. Jede Station hat eigen mit SQL programmierte 

Datenbank. [11]

4 KAPITEL 1. EINLEITUNG

Kapitel 2 

E-Commerce und Online 

Bezahlung 

2.1 Beschreibung E-Commerce 

E-Commerce steht für Electronic Commerce. E-Commerce ist ein Begriff für 

alle Arten von Geschäften oder kommerziellen Transaktionen, bei der eine 

Informationsübertragung online erfolgt. Somit ist das Internet bei den verschiedensten 

Unternehmen, die diesen Geschäftsweg bereits nutzen, gar nicht 

mehr wegzudenken. 

E-Commerce ermöglicht Verbrauchern einen orts- und zeitunabhängigen 

Einkauf von Waren oder Dienstleistungen. Seit fünf Jahren wird dieser Bereich 

ständig ausgebaut und weiterentwickelt. [18] 

2.2 Organisatorische E-Commerce Struktur 

Im Bereich E-Commerce finden sich die verschiedensten Bezeichnungen: B2B, 

B2C und C2C. 

B2B steht für “Business to Business”. Hier werden Geschäfte zwischen zwei 

Firmen abgewickelt. [21] 

B2C steht für “Business to Consumer”. Es unterscheidet sich von B2B 

darin, dass hier Endkundenverkäufe stattfinden. Entweder verkauft hierbei der 

Hersteller seine Produkte direkt an den Kaufinteressenten, oder aber ein Zwischenhändler 

übernimmt diese Verkäuferposition. [17] 

C2C ist die Abkürzung für Consumer-to-Consumer-E-Commerce. Hier 

verkaufen Kunden direkt an andere Kunden ihre Waren. Drittanbieter wie zum 

Beispiel Auktionsplattformen ermöglichen hierbei die Kommunikation und den 

Verkauf zwischen den Verbrauchern. 

5

6 KAPITEL 2. E-COMMERCE UND ONLINE BEZAHLUNG 

2.3 Beschreibung Online Shop 

Beim Online-Shopping kauft der Kunde seine Ware online beim Verkäufer oder 

direkt vom Hersteller. 

Im Vergleich mit traditionellem Commerce hat E-Commerce (Online Shop) 

viele Vorteile. 

• Bequemlichkeit: Orts- und zeitungebunden können Kunden Ihre 

Waren einkaufen. 

• Preisvergleich: Suchmaschinen ermöglichen einen direkten Preisvergleich 

binnen weniger Sekunden, wovon Kunde und Wettbewerb profitieren. 

• Übersichtlichkeit: Kunden können dank Kategorien und Suchbegriffen 

schneller ihre gesuchten Waren finden. 

2.4 Online Bezahlungsmethode 

Lange Warteschlangen, wie Sie in Supermärkten üblich sind, sind beim Online 

Kauf passé. Jeder Kunde kann direkt nach Warenauswahl mit wenigen 

Eingaben seine Bezahlung abschließen. Die folgende Tabelle verschafft einen 

Überblick über die bisherigen Varianten der Online-Bezahlung. 

Lösung 

E Wallet 

Geldkarte 

PingPing 

Typ 

Digital Kredit Konto 

Digital Cash 

Digital Accumulating Balance Payment 

Tabelle 2.1: Tabelle zeigt verschiedene Lösungen für Online Bezahlung, die 

mehre Bequemlichkeit für Kunden bringen können 

E-Wallet Bei E-Wallet handelt es sich um eine Software Komponente, 

die ein Benutzer auf seinen Desktop herunterlädt und in welcher Kreditkartennummern 

und andere persönliche Informationen gespeichert werden. Wenn ein 

Kunde Produkte bei einem Geschäft kauft , das E-Wallet akzeptiert, klickt 

er auf den E-Wallet-Button und alle Formulare werden auftomatisch mit den 

notwendigen Informationen ausgefüllt. [15] 

Geldkarte Hier muss Geld digital auf dem Speicherchip der Geldkarte 

hinterlegt sein. Am häufigsten zahlt man hiermit im öffentlich Personennahverkehr 

oder Online. [15]

2.4. ONLINE BEZAHLUNGSMETHODE 7 

Das Kundenkonto wird um den entsprechenden Betrag belastet, der Betrag 

auf einen gemeisamen Geldbörse Verrechnungskonto hinterlegt und und diese 

Information auf dem Mikrochip der Karte aufgezeichnet. [15] 

Im nächsten Bild 2.1 zeigt die Zahlung mit der Geldkarte. Ohne Authentifizierung 

wird der Betrag vom Guthaben des Kunden abgezogen und auf das 

mit dem Chip des Verkäufers hinterlegten Verrechnungskonto gutgeschrieben. 

Abbildung 2.1: Bezahlung Transaktion mit Geldkarte 

PingPing PingPing ist eine weitere Dienstleistung der mobilen 

Bezahlung, die durch SMS oder NFC Tags umgesetzt wird. 

Bei NFC-Zahlung, scannen sich zwei mobile Endgeräte, um die spezifische 

Kundenanforderung initiieren zu können. Dazu muss der Verkäufer online 

gehen, um die Kundeninformationen zu überprüfen und die Transaktion abschliessen 

zu können. 

Bei SMS-Zahlung sendet der Kunde eine spezifische Kurznachricht an eine 

spezielle Empfängernummer. Diese Mitteilung kann dann variable abgerechnet 

werden. Als Bestätigung bekommt der Kunde eine Nachweis Zahlung per SMS 

aufs Handy zurückgeschickt.

8 KAPITEL 2. E-COMMERCE UND ONLINE BEZAHLUNG 

2.5 Entwicklungsidee von Online Shop 

Diese Arbeit beschäftigt sich mit der Weiterentwicklung des B2C Online Commerce 

Types. Dank des B2C Online-Shop-Systems werden bereits heute eine 

große Masse an Kunden optimal bedient. Neben diesen Händlervorteil profitiert 

ebenso der Kunde. Er kann zeit- und ortsungebunden einkaufen und 

mit wenig Aufwand schnelle Preisvergleiche starten. Ferner kann der Händler 

dem Kunden Preisrabatte gewähren, die der stationären Handel aufgrund der 

höheren Standorts- und Personalkosten nicht an den Kaufinteressenten weiterreichen 

kann. 

2.5.1 Die Funktionen des Online Shops 

Der Nutzungsaspekt für den Händler 

Ein B2C Onlineshop soll dem Verkäufer den Umgang mit Transaktionen erleichtern. 

Hier können Händler ihre Artikel einfach in einer Datenbank hinterlegen 

und Beschreibungen und Verfügbarkeiten online zeitnah auch nachträglich 

modifizieren. Die Kunden selbst haben ebenfalls den Vorteil, dort alle für sie 

wichtigen Informationen sortiert auffinden zu können. 

Nach Warenanforderung durch den Kunden hat so auch der Verkäufer die 

Möglichkeit, seinen Warenbestand dementsprechend anzupassen. [6] 

Der Nutzungsaspekt für den Kunden 

Die zentralen Vorteile für den Kunden sind die Übersichtlichkeit aller angebotenen 

Produkte und die Möglichkeit, durch Nutzung von datenbankbasierten 

Merk- und Kauflisten seinen gewünschten Einkaufskorb beliebig zu befüllen 

oder abzuändern. 

Nach der Artikelauswahl wird ein passender QR-Code erzeugt. 

2.5.2 Datenbank von Online Shop 

Die Datenbank eines Online Shops besteht aus insgesamt vier Komponenten 

wie Bild 2.2 zeigt. 

• customers 

• order 

• order detail

2.5. ENTWICKLUNGSIDEE VON ONLINE SHOP 9 

Abbildung 2.2: Struktur der Datenbank von Online Shop 

• products 

In der Datenbank sind innerhalb der Tabelle vier Spalten, die wie folgt 

benannt werden, aufgeführt: “customers”, “order”, “order detail ”und “products”. 

Die Interaktion der einzelnen Spalten zueinander kann im Bild 2.2 eingesehen 

werden. 

Die Spalte “customers”enthält Informationen über den Kunden selbst, 

beispielsweise die Daten “Kunden-Name”, “Transaktion ID”und “serial”. 

Während es sich bei “serial”um eine aufsteigend numeriende Ordnungszahl 

handeln, verwendet man bei “Transaktion ID”zufällige Zahlen. 

Die Spalte “order”umfasst die folgenden Datenwerte: “serial”, “customid”und 

“date”. Der “customid”-Wert steht in direkter Abhängikeit vom 

“serial”-Wert aus der Spalte “customers”. Der “date”-Wert enthält das 

Transaktionsdatum. 

Die Spalte “order detail”setzt sich aus den folgenden Variablen zusammen: 

“orderid”, “price”, und “productid”. Hierbei steht der Datenwert “orderid”in 

Relation zum “customid”-Wert aus der Spalte “order”. 

Die Spalte “products”fasst die Informationen zu den verkauften Produkten 

zusammen: “serial”, “name”und “price”. Dabei ist der Datenwert “serial”vom 

“productid”-Wert der Spalte “order detail”abhängig. 

Tabelle “cumsters”speichert die Informationen von Kunden. zum Beispiel, 

“serial”, “Kunden Name”und “Transaktion ID”. “serial”ist eine nartürliche 

Zahl und erzeugt für jede Produkt nach der Transaktion. “Transaktion ID”ist 

auch eine zufällige nartürliche Zahl und erzeugt für jede Transaktion. 

Tabelle “order”speichert die Informationen von bestellten Datum. zum Bespiel, 

“serial”, “customid”und “date”. “customid”ist abhängig von “serial”von 

Tabelle “cumsters”. “date”speichert Datum von erfolgreichen Transation. 

Tabelle “order detail”speichert die bestellte Informationen. zum Beispiel, 

“orderid”, “price”, und “productid”. dabei ist “orderid”ist abhängig von “customid”in 

Tabelle “order”. 

Tabelle “products”speicher die Informationen von verkäufte Produkte. zum 

Beispiel, “serial”, “name”und “price”. “serial”ist abhängig von “productid”in 

Tabelle “order detail”.

10 KAPITEL 2. E-COMMERCE UND ONLINE BEZAHLUNG

Kapitel 3 

Relevante Technologie über 

NFC 

Bei NFC handelt es sich um einen international anerkannten Standard für die 

einfache Übertragung von Informationen über kleine Distanzen. Diese Technik 

ermöglicht zwei mobilen Geräten die Kontaktaufnahme, die für Transaktionen 

wie die unmittelbare Zahlung verschiedener Produkte oder Dienstleistungen 

(beispielsweise für Tickets im ÖPNV) erforderlich sind. 

Bei vielen Kontrolle von Zugangsberechtigung zum Beispiel wie am 

Flughafen oder beim Zutritt für Firmen wird die RFID Technologie verwendet 

und wird somit den Benutzungskomfort erhöhen. 

3.1 NFC 

Die Near Field Communication (NFC) ist eine Short-Range RFID-Technologie, 

die bei 13,56 MHz Hochfrequenz-(HF)-Band genutzt und in der ISO 18092/EC- 

MA 340 beschrieben wird. Es wird als ein kontaktloses System druch ISO 

14443, ISO 15693 und FeliCa spezifiziert. [8] 

Für NFC gibt es drei Modes der Operation. 

• Card Emulation Mode kann die Funtionalität der bestehenden kontaktlosen 

Chipkarten ersetzen. 

• Reader Write Mode kann verwedet werden, um Information von NFC- 

Tags gelesen zu werden. 

• Im Peer-to-Peer-Mode ist ein direkter Nachrichtenaustausch aller 

beteiligten NFC-Geräte möglich. 

Die Struktur von Operation wie Bild 3.1 soll mobile Geräte mit einem Kontaktlosen 

Kommunikationskanal ausstatten. 

11

12 KAPITEL 3. RELEVANTE TECHNOLOGIE ÜBER NFC 

Abbildung 3.1: Die Struktur von Operation 

Type 1 ist auf Topaz von Broadcom Corporation, Typ 2 auf MIRARE 

Ultralight von NXP Semiconductors, Typ 3 auf Sony Felica konform mit der 

japanischen Basis Industriestandard, Typ 4 auf Tags nach ISO/IEC 14443 [7] 

3.1.1 Sicherheitsanalyse von NFC 

NFC ist eine transparente Technologie, die es ermöglicht, zwischen zwei oder 

mehreren dafür kompatible Geräten eine Verbindung herzustellen, sobald sie 

sich in unmittelbarer Nähe befinden. 

Hierbei kommen zwei wesentliche Vorteile zum Vorschein: Einerseits einmal 

kann der Nutzer auf intensive Dateneingaben verzichten, andererseits profitiert 

er zudem von der Schnelligkeit und Sicherheit dieser Datenübertragungsform. 

Obwohl man für einen erfolgreichen Datenaustausch mindesten 4 Inches 

Abstand zwischen den Geräten benötigt, gibt es Schwachstellen in der Sicherheit 

der dafür genutzten Applikationen. Unter all den bisher genutzten kontaktlosen 

Kommunikationsformen steht besonders die NFC-Technologie hin-

3.2. NFC-GELDKARTE 13 

sichtlich ihrer Sicherheitsstandards im Focus des Interesses. Denn sollten die zu 

übertragenen Informationen während des Transfers abgehört werden können, 

würde dem Missbrauch Tor und Tür öffnen. [9] 

Folgende drei Schwachstellen werden dargestellt: 

• Der Lauschangriff 

Die Radiofrequenzwellen (RF-Wave), die zur Kommunikation zweier 

NFC-Geräte genutzt werden, können mit einem handelsüblichen Radioscanner 

abgehört werden. Hierfür bedarf es allerdings einen speziellen 

dafür geeigneten Decoder und einer kompatiblen Antenne. Während beide 

NFC-Geräte Kontakt zueinander aufnehmen, indem eines im aktiven 

Modus sein Gegenüber im passiven Modus sucht, ist der Radioscanner in 

der Lage in einer Distanz von 10 m ihre Kommunikation protokollieren. 

Um einem solchen Angriff wirksam entgegentreten zu können, benötigt 

man einen sicheren Kommunikationskanal. [9] 

• Störung der Daten Integrität (Data corruption) 

(Angreifer stören eine Kommunikationskanal zwischen Sender und 

Empfänger Geräte durch eine geeignete Häufigkeit der Daten in einer 

richtiger Zeit. Das führt eine DoS und sendet falsche Daten an Empfänger 

Gerät. Angreifer kann durch Überprüfung des RF-Felds während der 

Transmission verhindert werden. [9] 

• Daten Modifikation 

Der Angreifer ist in der Lage, die gültigen Daten in der Übertragung 

zu identifizieren und eigenmächtig zu verändern. Diese Manipulation ist 

abhängig von ihrer Amplitude. Auch hiergegen wäre ein sichere Kommunikationskanal 

von großer Bedeutung. [9] 

• Datenmitschnitt 

Ein Angreifer antwortet Nachricht an Sender, bevor eine richtige 

Emfänger Nachricht an Sender zurück schickt.Sofern allerding die Datenübertragung 

extrem schnell und/oder speziell kodiert erfolgt, ist das 

Zeitfenster für einen Lauschangriff zu klein, für eine erfolgreiche Attacke. 

[9] 

3.2 NFC-Geldkarte 

Die Zahlungsfunktion via Geldkarte ist heute im Handel nicht mehr wegzudenken. 

Hierbei werden größere Summen meist per girocard (Lastschrift oder 

ec Cash) und kleinere Beträge meist per Smartcard direkt vor Ort bezahlt. [3] 

Eine Weiterentwicklung dieser Zahlart ist die kontaktlose Variante, die 

sowohl offline, als auch online ihre Anwendung findet. NFC-fähige Geldkarten


oder mittlerweile auch Smartphone sind in der Lage in einer kurzen Distanz 

von etwa 10 cm Transaktionsinformationen zu übertragen. Diese neue 

Zahlweise wird derzeit von zahlreichen Sparkassen unterstützt und schrittweise 

in die dafür notwendige Technologie, ein immer aktiver mit NFC-Chip, in 

neue Bankkarten implementiert (Bild 3.2). Auf diese Weise sind Nutzer in 

der Lage ohne eine zusätzlich Legitimation mittels PIN-Eingabe oder Unterschrift 

gewünschte Zahlungen vorzunehmen. Von den hierbei 15 letzten erfolgten 

Transaktionen, die automatisch auf dem Chip selbst protokolliert werden, 

sind die letzten drei jederzeit unverschlüsselt einsehbar. Um einen potentiellen 

Missbrauch vorzubeugen, sind Zahlungen hierbei auf maximal 20 EUR pro 

Vorgang beschränkt. Bis 2015 sollen die Bankkarten aller Sparkassenkunden 

für NFC ausgetauscht worden sein. [1] 

Abbildung 3.2: NFC Chip von Sparkassen 

Datenschützer hingegen hegen große Bedenken gegen diesen neuen 

Trend, schnell und bequem Zahlungen zu tätigen. Die Tatsache, dass 

Zahlungsvorgänge keine Authentifizierung erfordern und die dabei ausgetauschten 

Daten ohne spezielle Zugriffsberechtigung abgerufen werden können 

bergen die große Gefahr, dass Unbefugte davon missbräuchlich Gebrauch 

machen könnten. [2] [3] 

3.3 NFC-Geräte 

Ein NFC-Gerät ist eine passives kontaktloses Token, das durch ein kontaktlosen 

Leser gelesen und weiterverabeitet werden kann. 

Alternativ kann ein NFC-Gerät auch als ein kontaktlose Token Leser gehandelt 

werden. NFC-Geräte können sich auch untereinander im “Peer-to-Peer- 

Modus”ansprechen. NFC ist keine neue Technologie. Sie wurde schon vor 10 

Jahre erfunden und wurde seit 2004 im NFC Forum gefördert. NFC steht 

in zahlreichen Studien auf der Welt im Mittelpunkt, aber ein großflächiger

3.3. NFC-GERÄTE 15 

Einsatz wurde aufgrund mangelnden Standards im NFC Aufbau und seinem 

Applikation Management verhindert. 

Dennoch wurden im Jahr 2011 zahlreiche NFC-fähige Smartphones, 

darunter auch das Nokia C7, RIM Blackberry 9900/9930 oder das Galaxy 

Nexus S hergestellt. Spätestens nachdem Google sich um eine Integration von 

NFC in seinem Google Wallet System bemühte, begann sich NFC zu einer 

Mainstream-Anwendung zu entwickeln, für die sich daraufhin noch weitere 

Zahlungssysteme interessierten. 

Es findet dabei sowohl “aktiv”als auch “passiv”Verwendung. Der passive 

Betrieb entspricht dem Betrieb von herkömmlichen kontaktlosen Systemen. 

Vom Token geht ein Signal aus, was der Leser verarbeitet, ähnlich einem 

Türschlosssystem. Interaktion findet hingegen im aktiven Modus statt. Die 

beiden Geräte tauschen sich im Peer-to-Peer-Modus Informationen aus und 

ermöglichen so eine Aktivität. In diesem aktiven Betrieb schaltet sich das 

Geräte ein, um RF-Feld zu übertragen. z. B. Gerät 1 schaltet das HF-Feld 

ein und überträgt Daten an Gerät 2, daraufhin schaltet Gerät 1 das HF-Feld 

wieder aus, während Gerät 2 es wieder einschaltet und somit erfolgt dann die 

Datenübertragung zu Gerät 1. 

Peer-to-Peer-Relay fanden bereits in früheren Veröffentlichungen Verwendung. 

Man geht davon aus, dass NFC seinen Einsatz in bestehenden kontaktlosen 

Anwendungen finden wird, wie z.B. bei Zahlungen, Ticketing, 

Zutrittskontrolle, Identifizierung und Logistik. NFC in Verbindung mit der 

zusätzlichen Funktionalität der Host-Plattform könnte auch zusätzliche Anwendungen 

ermöglichen, wie zum Beispiel einer der frühen Vorschläge mit 

NFC für schnelles Pairing zwischen Bluetooth-Geräten. 

Heute gibt es eine Reihe von NFC-fähigen Geräten, aber Handys gelten als 

Hauptinteresse in der Industrie. Es gibt zwei wesentliche Komponenten, die 

eine NFC-fähiges Handy-Plattform umfassen. [12] 

• Anwendung Execution Environment (AEE): Hier erfolgt die 

Datenspeicherung- und -verarbeitung für grundlegende Dienste im 

Mobiltelefon. [20] 

• Trusted Execution Environment (TEE): Die TEE wird in der Regel durch 

den Einsatz eines sicheren Element (SE) realisiert und ermöglicht daher 

eine stabile Datenspeicherung, Durchführung und Application Management. 

Beim SE handelt es sich um eine Smartcard, die Java Card 2.2.1 

Global Platform (Java Card Open Platform) wie auch ausgewählte ältere 

Produkte wie die Mifare Classic Emulation unterstützt. [20]


3.4 Secure Element (SE) 

Eine SE wird am häufigsten als eingebettetes Modul implementiert, d.h. es 

ist eine surface mounted-Modul und wird in das Telefon gelötet. Somit wird 

es zu einer Komponente auf der SIM-Karte (Universal / Subscriber Identity 

Module) integriert oder man nutzt einen Wechseldatenträger als sicheren 

Speicher-Token. [22] 

SE verfügen über die gleichen hohen Sicherheitsstandards wie regelmäßige 

Smartcards. Eine SE bietet sichere Lagerung, eine sichere Umgebung zur 

Ausführung und Hardware-basierte Unterstützung für kryptographische Operationen 

an. Sichere Element Chips werden gegen verschiedene Angriffe, die auf 

Manipulation der gespeicherten Daten und verarbeiteten Operationen zielen. 

[12] 

Eine ganz neue Fortentwicklung ist das Konzept eines “Soft-SE”, das 

man innerhalb des Handyanwendungsgebiets konzipieren kann. Die “Soft- 

SE”kann im Gegensatz zu früheren SE-Module, die für einen Fortentwicklung 

entriegelt werden mussten, einfach weiterentwickelt werden. Kommt allerdings 

eine Unlock-Anwendung für Entwicklungszwecke zum Einsatz, kann die Vertrauenswürdigkeit 

der Anwendung nicht mehr garantiert werden. 

Ein NFC Handy verwendet eine oder mehrere der folgenden SE Implementierungen: 

[9] 

• NFC-Controller (Low-Level-Stacks): Die NFC-Controller ermöglicht das 

physische Senden und Empfangen von Daten über die HF-Schnittstelle. 

• Die “Karte-Emulation-Stack”, der “Leser/Schreiber-Stack”und das 

“Peer-to-Peer-Stack”erlauben die Kommunikation zwischen dem Controller 

und dem AEE/TEE. Reader- und Peer-to-Peer-Operationen 

werden durch eine Applikation in einer AEE kontrolliert. Die Karte- 

Emulation durch eine Applikation in einer TEE. Abschliessend werden 

alle Komponenten in einer SE durchgeführt. 

Die NFC-Spezifikation und -Standards geben Entwickeler eine Sicherheitumgebung 

für Applikation mit Ausnahmen von Applikation Management, 

das auf SE basiert. 

3.5 NFC Relay Technik 

Die NFC Relay Technik ermöglicht das kontaktlose schnelle Bezahlen von 

Waren. Der ortsunabhängige Bestellvorgang beim Onlineeinkauf wird durch 

den ortsunabhängigen Bezahlungsvorgang mittels NFC sinnvoll ergänzt.

3.5. NFC RELAY TECHNIK 17 

3.5.1 Ortsabhängige Transaktion 

Für direkt vor Ort ausgwählte Waren, die vom Verkäufer in der Summe erfasst 

werden und deren Bezahlung ebenfalls durch das Einführen einer Geldkarte in 

ein dafür bereit gestelltes Terminal (POS Maschine) lokal erfolgt (Supermarkt, 

Tankstellen u. v. a.) wird nicht zwingend der Einsatz der NFC Relay Technik 

vorausgesetzt. 

In Bild 3.3 wird eine solche ortsabhängige Transaktion per Geldkarte und 

Teminal im Detail dargestellt. 

Abbildung 3.3: Ortsabhängige Transaktion 

3.5.2 Online Transaktion 

Diese ortsabhängige Zahlungsweise ist allerdings für den Onlinehandel 

ungeeignet, da hierbei zwischen Verkäufer und Kunden meist große Distanzen 

liegen. 

Für diesen Handelsweg bedarf es eines neuen Zahlungssystems, das das 

physische Einführen einer Geldkarte mittels eines kontaktlosen Registrierung 

eines NFC-Chips simuliert. Hierbei können Medien wie Zahlungskarten oder 

spezielle NFC-Sticks als Chipträger-Sender dienen, die mit einem NFClesbaren 

Smartphone als Empfänger in Kontakt gebracht werden. 

Bild 3.4 zeigt die ortsunabhängige Zahlungsweise mit NFC Technik. 

Die ortsunabhängigen Zahlungsweise umfasst folgende vier wichtige Komponenten.: 

• Kunden-Geldkarte


Abbildung 3.4: Ortsunabhängige Transaktion 

• Kunden-Handy 

• Verkäufer-Handy 

• Verkäufer-Terminal 

Wie man Bild 3.4 entnehmen kann, lässt sich der Relay Prozess in drei 

Abschnitte aufteilen. 

Der im Medium integrierte für die Zahlung vorbereitete NFC-Chip des 

Kunden wird dank NFC-fähigen Smartphones erfasst. 

Zwei mit dem Internet verbundene Smartphones (Kunden Handy (links) 

und andere Verkäufer Handy (rechts)) dienen als Gateway für die Datenübertragung. 

Währendessen befindet sich das Kunden-Handy im Relay- und 

das Verkäufer-Handy im Proxy-Mode. Nach erfolgreichem Verbindungsaufbau 

werden die Kundendaten von der Geldkarte online an das Smartphone des 

Verkäufers übermittelt: 

TAG: 0x10 0x05 0x99 0xe8 

PCD: 0x00 0xa4 0x04 0x00 0x0e 0x32 0x50 0x41... 

TAG: 0x6f 0x25 0x84 0x0e 0x32 0x50 0x41 0x59... 

PCD: 0x00 0xa4 0x04 0x00 0x09 0xd2 0x76 0x00... 

TAG: 0x6f 0x18 0x84 0x09 0xd2 0x76 0x00 0x00...


TAG: 0x10 0x05 0x99 0xe8 

PCD: 0x00 0xa4 0x04 0x00 0x0e 0x32 0x50 0x41... 

TAG: 0x6f 0x25 0x84 0x0e 0x32 0x50 0x41 0x59... 

PCD: 0x00 0xa4 0x04 0x00 0x09 0xd2 0x76 0x00... 

TAG: 0x6f 0x18 0x84 0x09 0xd2 0x76 0x00 0x00... 

TAG bedeuetet Relay von Credit Karte, und PCD bedeutet Relay von 

Reader. Die erste Zeile “TAG: 0x10 0x05 0x99 0xe8”ist die ID Nummer der 

Geldkarte. 

Sobald alle Informationen erfolgreich ausgetauscht wurden, wird dies dem 

Kunden im Display seines Handys bestätigt. Wie Bild 3.5 gezeigt. 

Abbildung 3.5: Transaktionsinformation auf Kunden Handy 

Auf diesem Bild 3.5 erhält man Einblick in die Zusammenfassung. Die 

Extra ID ist hierbei bei beiden Handelspartnern identisch. 

3.5.3 Entwicklungsbeschreibung 

Die NFC Relay Techink benutzt eine wichtige Android API von NFC, welche 

“android.nfc.tech.IsoDep”genannt wird. Sie bietet den Zugriff auf ISO-DEP 

(ISO 14443-4) Eigenschaften und I/O Operation auf Tag. [12] 

Die wichtige Operation von ISO-DEP I/O ist die Folgende:


t r a n s c e i v e ( byte [ ] ) ; 

Die Applikationen müssen ihre eigenen Protokoll-Stack auf der Oberseite des 


implementieren. 

p u b l i c byte [ ] t r a n s c e i v e ( byte [ ] data ){} 

Diese Funktion sendet ISO-DEP Daten auf den Tag und erhältet daraufhin eine 

Antwort. Hierbei müssen die Applikationen nur INF Payload senden: Die initiierenden 

und abschliessenden Indikatoren des Rahmen müssen hierbei nicht 

gleichzeitig übermittelt werden. Da das Payload durch 


automatisch fragmentiert und defragmentiert wird, müssen die Applikationen 

hierfür nicht extra genutzt werden. 

Android System für NFC 

Auf die Registrierung eines NFC-Tags reagiert das Android-System mit einer 

entsprechenden Aktivität. 

Android selbst bietet hierfür zwei Systeme an, um eine erfolgreiche NFC- 

Tag Verarbeitung zu ermöglichen: 

• Intent System 

• Fronded foreground dispath System 

In dieser Arbeit findet das Intent System Verwendung. Das Intent System 

überprüft die Intent filters aller Aktivitäten, bis die richtige Aktivität für das 

zu verarbeitete Tag gefunden wird. 

Intent System 

Intent System spezifiziert dabei drei verschiedene Prioritäten für Intent. 

• NDEF DISCOVERD 

• TEC DISCOVERED 

• TAG DISCOVERED 

Wenn ein NFC-Tag gefunden wurde, wird das Intent System gestartet. 

Das Bild 3.6 zeigt die drei verschiedene Prioritäten für Intent und zeigt 

auch wie diese drei unterschiedliche Intenten in einer Reihfolge laufen. [4] 

NDEF DISCOVERED hat dabei die höchste Priorität und wird auch wie 

folgt im AndroidMainfest.xml definiert:


Abbildung 3.6: Intent System mit drei verschiedener Priorität 

1 

2 

3 

4 

5 

6 

Das System ist in der Lage, die eingescannten Tag-Daten mit den 

definierten Daten 

 

auf ihre Richtigkeit hin automatisch zu überprüfen. Wenn beide Daten identisch 

sind, kann das Intent System NDEF gestartet werden und TEC und 

Tag werden abgeschlossen. Wenn beide Daten nicht identisch sind, wird Intent 

System TEC gestartet. 

NFC Tag Lesen 

Sobald ein NFC Tag in die Nähe eines NFC-Geräts gebracht wird, wird ein 

entsprechender Intent automatisch erstellt und der Tag verarbeitet. 

Durch die folgende Funktion wird das Lesen des NFC Tags ermöglicht:


1 p r i v a t e S t r i n g getTagInfo ( I n t e n t i n t e n t ) { 

2 Tag extraTag = i n t e n t . g e t P a r c e l a b l e E x t r a ( 

NfcAdapter .EXTRA TAG) ; 

3 extraTag . getId ( ) ; 

4 S t r i n g [ ] t e c h L i s t = extraTag . getTechList ( ) ; 

5 . . . 

6 } 

Durch 

Tag extraTag = i n t e n t . g e t P a r c e l a b l e E x t r a ( NfcAdapter .EXTRA TAG) ; 

wird die Information von Tag erhalten. Durch 

getId ( ) ; 

kann man die ID von Geldkarte bekommen, wie Bild 3.5 gezeigt. 

3.5.4 Sicherheitsanalyse von NFC Relay 

Sicherheitsanalyse 

NFC birgt auch viele potentielle Risiken. Einer dieser so genannten Gefahren 

ist der Relay Attack. Hierbei wird eine auf Kurzdistanz initiierte Kontaktaufnahme 

zweier kommunizierender Geräte fingiert, während tatsächlich die Datenübertragung 

via Proxy in großer Entfernung erfolgt. [13] 

Obwohl das Application Layer Sicherheitsprotokolls auf stark kryptographischen 

Regeln aufgebaut wurde, kann es im NFC Relay Attack nachweislich 

umgangen werden. So zum Beispiel kann der Angreifer sich einfach um 

das Authentifizierungsprotokoll herumdrücken, dadurch dass er legitime Token 

einfach weiterleitet. Das dort angesprochene Token gibt die zu erwartende 

richtige Antwort wieder und kann selbst auch wiederum weitergeleitet werden. 

Hierbei ist es unwesentlich, ob es sich um Protokolle der Anwendungsschicht 

oder des Sicherheits Algorithmus handelt. Der Angreifer selbst muss hierbei 

keine Vorkenntnissse über die weitergeleiteten Daten haben, sondern stellt nur 

sicher, dass der Leser (Terminal) und der Token stets die zu erwartenden Werte 

erhält. [13] 

Bei einem solchen Überfall werden zwei Geräte, eins als Relay- und eins als 

Proxy-Modul verwendet. Mittels eines geeigneten Kommunikationskanal werden 

dann die Daten über eine lange Distanz hinweg übertragen. Man platziert 

den Proxy Modul nahe des Terminals, während das Relay Modul mit reale 

Geldkarte kommuniziert. 

Alle Informationen, die im Terminal gezeigt werden, stammen aus dem 

Proxy Modul und werden vom Relay Modul übertragen. Auf diese Weise

3.6. DER SPEZIFISCH ERWEITERTE RELAY ATTACK 23 

misslingt es dem Terminal, zwischen realer Geldkarte und Proxy Modul zu 

unterscheiden. 

Lösung 

Zwar vermögen kryptographische Protokolle den Relay Attack nicht zu verhindern, 

dennoch existieren einige Methoden, die den besagten Überfall abwehren 

können: [13] 

• Man kann die Karte der Radiofrequenz-Schnittstelle, bei 

vorübergehender Nichtnutzung mittels Abschirmung (Faradayischer 

Käfig) schützen. 

• Mittels einer zusätzliche Schaltung vermag man die Karte physikalisch 

ein- und auszuschalten. 

• Die Authentifizierung kann mittels eines PIN Codes extra geschützt werden. 

3.6 Der spezifisch erweiterte Relay Attack 

Bisher musste eine physikalische Nähe von weniger als einen Meter zum Angriffsgerät 

gegeben sein, um einen erfolgreichen Überfall zu gewährleisten. 

Das vollständige Relay System besteht aus den folgenden vier Teilen: 

• Ein Smartphone (mit Android System) 

• Eine Relay Software 

• Einen Card Emulator 

• Ein Reader Gerät 

Die Relay-Software wird auf dem Handy des Opfers installiert. Sie 

überträgt im Netzwerk APDU (Application Protocol Data Unit) zwischen SE 

und Card Emulator. Der Karte Emulator täuscht eine Kontaktlose Smartcard 

vor und fordert das Point of Sale Terminal zur Interaktion auf. [19] 

Alle APDU Befehle, die aus dem Point of Sale Terminal stammen, werden 

von dem Card Emulator über die Netzwerkschnittstelle zur Relay Software von 

Opfers übertragen, die diese wiederum dem Leser übergibt. 

Damit der Angreifer Zugang zum SE erhält, welche für eine erfolgreiche 

Kommunikation über das Netzwerk vorausgesetzt werden muss, muss zuvor 

die Relay Software auf dem Handy des Opfers installiert sein. Die dafür erforderlichen 

Berechtigungen können entweder ausdrücklich oder mittels eines


Abbildung 3.7: Relay scenario 1 

Privilege-Escalation-Attack erhalten werden. Die Relay Anwendung empfängt 

die APDU-Befehle auf einem Netzwerk-Socklet und leitet es daraufhin dem 

sicheren Element zu. Die darauf folgenden Antworten werden ebenfalls an das 

Netzwerk-Socket übertragen. 

Der Card-Emulator täuscht mittels Software die physische Präsenz einer 

Smartcard vor. Der damit in Kontakt gebrachte Smartcard-Reader vermag 

diese Manipulation nicht zu unterscheiden. Alle APDU-Befehle werden hierbei 

zwischen Netzwerk-Socket und die Hardware des Emulator-RFID/NFC ausgetauscht. 

[20] 

Abbildung 3.8: Relay scenario 2 

Das Bild 3.8 zeigt den Verlauf der Smartkarte-Befehle (APDUs) zwischen 

dem Smartkarte-Reader und dem SE. Die Befehle APDUs (C-APDUs) aus Terminal 

werden durch den Card-Emulator oder via kabellosen Netzwerk an das 

Opel Geräte geroutet. Die Relay-Applikation tauscht dabei den Befehl APDUs 

(C-APDU) zum SE. Der Rückmeldungsbefehl wird durch das SE generiert und 

zum Terminal zurück ausgetauscht. [20]

Kapitel 4 

Relevante Technologie über 

QR-Code 

Im Online Zahlungssystem findet nicht nur NFC, sondern auch der QR-Code 

Verwendung. Die QR-Code Nutzung erspart uns das aufwendig manuelle korrekte 

Eingeben von Daten. Hierfür nutzt man ein Java-fähiges Handy oder 

Smartphone, welches mit einer Kamera ausgestattet sein muss. 

Der QR-Code ist ein Matrix-Code, im Jahr 1994 in Tokio von der Toyota- 

Tochter Denso Wave entwickelt wurde. Damals sollte er dazu dienen, die Logistik 

bei der Produktion von Fahrzeugteilen zu optimieren. Doch erst vor kurzem 

erreichte diese Kodierungstechnologie im öffentlichen Bereich den wirklichen 

Durchbruch. 

Quick Response Codes oder QR-Codes, sind im industriellen Bereich 

während den letzten zehn Jahren zuvor schon Gang und Gebe gewesen. Sowohl 

im Marketing, in der Lagerverwaltung, als auch in der Fertigung nutzte man 

auch in Europa diese Technik. 

Die Lesbarkeit der damals eingesetzen eindimensionalen Barcodes fiel 

wesentlich geringer aus wie die der zweidimensionalen Barcodes. 1D-Barcodes 

sind sehr einfach strukturiert. Durch das Scannen der Linien und deren Abstände 

werden Informationen übertragen. 2D-Barcodes hingegen sind für das 

Auge nicht mehr einfach als Symbol erfassbar. Als ausschliesslich maschinenlesbare 

Zeichen sind sie allerdings hinsichtlich ihrer Lesetreffersicherheit den 

1D-Barcodes insoweit überlegen, dass ihr erfolgreicher Scanwinkel weitaus flexibel 

ist. 

QR-Codes sind zweidimensionale (2D)-Matrix-Barcodes, die 7.089 und 

4.296 alphanumerische Zeichen enthalten können. Abgesehen von ihrer praktisch 

überlegenen Benutzerfreundlichkeit ermöglichen sie ebenfalls mehr Daten 

aufzunehmen wie ihre Vorgänger, die 1D-Barcodes. Mit QR-Codes sind 

ebenfalls zahlreiche automatisierte Aktivitätsverknüpfungen (Browser, Telefonie, 

Messaging) möglich. Auch die Erstellung solcher QR-Codes ist mittels 

25

26 KAPITEL 4. RELEVANTE TECHNOLOGIE ÜBER QR-CODE 

passender Applikationen (QR-Code-Generatoren) denkbar einfach. [16] 

4.1 Grundlage der QR-Code 

Aufgrund ihrer hohen Lesegenauigkeit und dem damit verbundenen Komfort 

erfreuen sich QR-Codes großer Popularität. Das folgende Bild zeigt einen QR- 

Code, der für eine Transaktion bedeutende Daten enthält. 

Abbildung 4.1: QR-Code 

Ein vollständiger QR-Code besteht aus insgesamt 8 Elementen. [16] 

• Finder Pattern (1) 

• Begrenzungszeichen (2) 

• Zeitmuster (3) 

• Justierungsmuster (4) 

• Format Informationen (5) 

• Daten (6) 

• Fehlerkorrektur (7) 

• Restbits (8)

4.1. GRUNDLAGE DER QR-CODE 27 

Abbildung 4.2: Struktur von QR-Code 

Finder Pattern 

Das Finder Muster besteht aus drei identischen Strukturen, die sich in vier allen 

Ecken des QR-Codes mit Ausnahme des rechten unteren Abschnitts befinden. 

Jedes Muster wird auf einem 3x3-Matrix abgebildet, das aus schwarzen 

und weißen Modulen besteht, die sich gegenseitig umfassen und umschließen. 

(von schwarzen Modulen von weißen Module wieder schwarz Module umgeben 

basiert.) Die Finder Muster gestatten es der Decoder-Software die korrekte 

Ausrichtung zum Erfassen des QR-Codes zu bestimmen. 

Begrenzungszeichen 

Begrenzungszeichen heißt auch Seperator auf Englisch. Die weißen Begrenzungszeichen 

haben eine Breite von einem Pixel und verbessern Erkennbarkeit 

der Finder Muster, die inhaltlich und formal von den eigentlichen Daten getrennt 

sind.


Zeitmuster 

Zeitmuster ist time patterns auf englisch. Die Decoder-Software nutzt die 

einzeln im Wechsel abgebildeten schwarzen und weißen Module dazu, die Breite 

eines jedes freistehenden Moduls zu bestimmen. 

Justierungsmuster 

Justierungsmuster ist alignment patterns auf englisch. Sollten moderate Bildverzerrungen 

die Erfassung beeinträchtigen, wirken Justierungsmuster als 

Kompensierung dieser Interferenz entgegen. QR-Codes haben ursprünglich 

keine Justierungsmuster, allerdings implementiert man solche bei zunehmender 

Größe des QR-Codes. 

Format Informationen 

Die Formation Informationen bestehen aus 15 Bits und befinden sich neben 

den Begrenzungszeichen. Sie speichern Daten über die Fehlerkorrektur Ebene 

des QR-Codes und über das ausgewählte Maskierungsmusters. 

Daten 

Die Daten werden in einen Bitstrom umgewandelt und in 8-Bit-Komponenten 

(genannt Codewörter) in dem Datenabschnitt gespeichert. 

Fehlerkorrektur 

Fehlerkorrektur-Codes werden ebenfalls als 8-Bit-Komponenten hinterlegt. 

Restbits 

Wenn die Daten- und Fehlerkorrektur-Bits nicht ohne einen Rest in 8-Bit- 

Komponenten aufgeteilt werden können, bleibt dieser Abschnitt bestehend aus 

leeren Bits.

4.2. DIE QR-CODE ERZEUGUNG 29 

QR-Codes enthalten Informationen sowohl in den vertikaler als auch in 

horizontaler Ausrichtung. Darin können verschiedene Datenarten gespeichert 

werden. In meinem Thesis werden Text (String) und Zahlen (Int) abgespeichert. 

• Text: Als Text können einfache Sätze oder ganze Textabsätze genutzt 

werden, wie beispielsweise Produktnamen. 

• Zahlen: Hier sind numerische Werte möglich, wie z.B. Transaktionsnummern 

oder Preise. 

4.2 Die QR-Code Erzeugung 

Das Generieren eines QR-Codes umfasst zwei Prozesse: die des Verschlüsselns 

und Codierens wie Bild 4.3. Mittels einer dafür geeignete Applikation kann 

der Kunde durch einen kurzen Klick viele für die Transaktion bedeutende 

Informationen wie Produktname, Preis und Transaktion ID symbolisch und 

für das menschliche Auge nicht wahrnehmbar verschlüsseln. 

Abbildung 4.3: Die QR-Code Erzeugung 

In dieser Arbeit wird QR-Code durch google online erzeugt. 

”” 

Wenn die Kunden auf Website einen QR-Code entdecken, können sie mit 

der Kamera eines Java-fähigen Handys oder Smartphones den Code, wie im 

folgenden Bild 4.4 dargestellt, einscannen.


Abbildung 4.4: Decodierte Information von QR-Code 

4.3 QR-Code in Android 

4.3.1 Kamara Kontrollieren in Android 

Bevor ein Android-Smartphone einen QR-Code einscannt, muss dieses zuerst 

seine Kamera aktvieren. Durch Android API 

open ( i n t ) ; 

erhält man Kontrolle über die Kamerafunktion. Diese Funktion 

open ( i n t ) ; 

muss in 

p u b l i c void openDriver ( SurfaceHolder holder ) ; 

verwendet werden, 

openDrive ( SurfaceHolder holder ) ; 

startet den Kamera-Betrieb und initialisiert die Parameter der Hardware. 

1 p u b l i c void openDriver ( SurfaceHolder holder ) throws 

IOException {

4.3. QR-CODE IN ANDROID 31 

2 i f ( camera == n u l l ) { 

3 camera = Camera . open ( ) ; 

4 i f ( camera == n u l l ) { 

5 throw new IOException ( ) ; 

6 } 

7 camera . setPreviewDisplay ( holder ) ; 

8 

9 i f ( ! i n i t i a l i z e d ) { 

10 i n i t i a l i z e d = true ; 

11 configManager . initFromCameraParameters ( camera ) ; 

12 } 

13 configManager . setDesiredCameraParameters ( camera ) ; 

14 FlashlightManager . e n a b l e F l a s h l i g h t ( ) ; 

15 } 

16 } 

4.3.2 Decodiereung QR-Code in Android 

Nach dem erfolgreichen Scanvorgang muss das Smartphone die QR-Code decodieren: 

Mit der 

p u b l i c void handleDecode ( Result r e s u l t , Bitmap barcode ) ; 

Funktion wird der ausgelesene QR-Code entschlüsselt und der geheime Text 

ausgeben. Zum Schluss wird as Ergebnis auf Handy angezeigt. 

1 p u b l i c void handleDecode ( Result r e s u l t , Bitmap barcode ) 

{ 

2 i n a c t i v i t y T i m e r . onActivity ( ) ; 

3 playBeepSoundAndVibrate ( ) ; 

4 S t r i n g r e s u l t S t r i n g = r e s u l t . getText ( ) ; 

5 i f ( r e s u l t S t r i n g . e q u a l s 

(””) ) { 

6 Toast . makeText ( CaptureActivity . 

t h i s , ”Scan f a i l e d ! ” , Toast . 

LENGTH SHORT) . show ( ) ; 

7 } e l s e { 

8 I n t e n t r e s u l t I n t e n t = new I n t e n t 

( ) ; 

9 Bundle bundle = new Bundle ( ) ; 

10 bundle . putString (” r e s u l t ” , 

r e s u l t S t r i n g ) ; 

11 r e s u l t I n t e n t . putExtras ( bundle ) ;


12 t h i s . s e t R e s u l t (RESULT OK, 

r e s u l t I n t e n t ) ; 

13 } 

14 CaptureActivity . t h i s . f i n i s h ( ) ; 

15 } 

4.4 Sicherheitsanalyse von QR-Code 

Bevor ein Android Smartphone einen QR-Code erfassen kann, muss es seine 

Kamerafunktion aktiviert werden. 

Der QR-Code selbst gilt auch nicht als absolut sicher. Im September 2011 

entdeckt Kaspersky Lab ein first-of-its-kind bösartigen QR-Code. Hier wird 

der ahnungslose Nutzer auf eine Website weitergeleitet und startet unwissend 

zugleich einen riskanten Download. [14] 

Durch eine sorgfältige Prüfung der Transaktionsdaten kann dieses Risiko 

allerdings vermieden werden. 

4.5 Zusammenfassung 

NFC-Technologie und QR-Codes stellen zwei Schwerpunkte meiner Thesis dar. 

Beide Technologien finden heutzutage in der Online Bezahlung ihre Anwendung. 

Es folgt eine Analyse der Risiken und Probleme beide Kommunikationsformen, 

sowie Lösungsangebote. 

Da finanzielle Daten, die hierbei ausgetauscht werden, hoch sensible sind 

müssen diese gegen Missbrauch geschützt werden. QR-Codes sind hierbei 

sicherheitsanfälliger wie die NFC-Technologie. 

Benutzerberechtigungen, werden für die Kameranutzung zur Erfassung von 

QR-Codes vorausgesetzt. Hierbei besteht allerdings auch die Gefahr, dass weitere 

Daten zeitgleich beispielsweise GPS-Informationen, Browserverläufe o. a. 

ausgelesen werden und von betrügerischen Websites und Schadprogrammen 

missbraucht werden. 

Da man als Nutzer nie sicher sein kann, dass der angebotene QR-Code von 

einer vertrauenswürdigen Quelle entworfen wurde und somit auch die Zahl aller 

genehmigten Zugriffe bekannt sind, ist das Sicherheitsrisiko allgegenwärtig. 

Der komplexe Aufbau der NFC-Technologie erschwert es vergleichsweise 

Hackern eher, diese Kommunikationsform für Ihre Attacken zu missbrauchen. 

Zusammenfassend kann man die Sicherheitsrisiken im Umgang mit QR- 

Codes und Near Field Communication Technologie wie folgt auflisten: Datenmanipulation; 

Lauschangriff; Identitätsdiebstahl; Implementierung von Spy-

4.5. ZUSAMMENFASSUNG 33 

ware und Trackingcodes; erschlichene Zugangsparameter zu finanziellen und 

persönlichen Informationen. 

Die Sicherheitsvorkehrungen im Umgang mit der Möglichkeit der kontaktlosen 

Zahlungen ähneln sehr die des Kredikartenzahlungsverkehrs. Hier wurden 

bisher erfolgreiche Maßnahmen unternommen, um in sicheren Netzwerken, 

persönliche Daten vor Augen unbefugter Dritter zu schützen und unberechtigte 

Zugriffe durch hohe Authentifizierungskritierien zu verhindern. 

Wichtig ist es aber ebenfalls, dass der Verbraucher NFC implementierte Medien 

wie Zahlungskarten, Schlüsselanhänger oder ähnliches niemals unbeaufsichtigt 

Dritten zur Verfügung stellt. 

Wenn ein Missbrauch von Dritten stattfindet, verhindert immer ein PIN 

oder ein Passwort, dass persönliche Daten freigegeben werden. 

Ferner ist es ratsam, dass jeder Zugriff auf mobile Website, bei welchem 

persönliche Daten ausgetauscht werden, stets verschlüsselt erfolgt und man 

behutsam und sparsam mit Informationen über die eigene Identität auf unbekannten 

Geräten, Gebieten und in Gegenwart fremder QR-Codes umgeht. 

Begrenzen Sie die persönlichen Daten, die Sie auf ungesicherten oder unbekannte 

Gebiete teilen, die durch nicht identifizierte QR-Codes abgerufen 

können. [14]

34 KAPITEL 4. RELEVANTE TECHNOLOGIE ÜBER QR-CODE

Kapitel 5 

NFC Online Bezahlungssystem 

Im folgenden Abschnitt wird die NFC Mobile Transaktion und das Authentifizierung 

Protokoll genauer erläutert. Für eine gute Kommunikation zwischen 

Verkäufer und Kunden muss ein Transaktionsformat geschaffen werden, das ein 

sicheres Protokoll gewährleistet. 

Nach der Beschreibung der einzelnen Komponenten des Online 

Bezahlungssystems folgt eine Darstellung der Vorteile der ortsunabhängigen 

Zahlungsmöglichkeit. Durch die Kombination der NFC-Technologie mit der 

Nutzungsmöglich des QR-Codes, welcher eine schnelle und komfortable Informationseingabe 

verspricht, kann man einen hohen Bedienbarkeitskomfort für 

jeden Käufer erzielen. 

5.1 Abschnitte des Online Zahlungssystems 

Das Online Zahlungssystem wie Bild 5.1 gezeigt läßt sich in folgende drei 

Abschnitte aufteilen: 

• 1.Abschnitt: Kunden-Station (für Kunden sichtbar) 

• 2.Abschnitt: Server-Station (unabhängige Station, als Kontrollinstanz 

zwischen Kunden und Verkäufer) 

• 3.Abschnitt: Verkäufer-Station (für Verkäufer sichtbar) 

5.1.1 1.Abschnitt (Kunden-Station) 

Hier kann der Kunde mittels Internetzugriff auf einer Website angebotenen 

Produkte zugreifen. Während des Auswahlprozesses werden die daraus resutltierenden 

Informationen mit einer vom Verkäufer im Hintergrund laufenden 

Datenbank (DB1) abgeglichen. Zeitnahe Änderungen des Warenbestands 

35

36 KAPITEL 5. NFC ONLINE BEZAHLUNGSSYSTEM 

Abbildung 5.1: Drei Abschnitte des Online Zahlungssystems 

lassen sich ebenfalls über die Datenbank im öffentlich sichtbaren Onlineshop 

des Verkäufers vornehmen. 

5.1.2 2.Abschnitt (Server-Station) 

Da in diesem Bereich alle Kontrollprozesse der Transaktion ausgeführt werden, 

stellt es den wichtigsten Teil des Online Zahlungssystems dar. Hier werden 

nicht nur die Kundeneingaben mit den Verkäufendaten synchronisiert (DB1), 

sondern auch alle richtigen Transaktionsinformationen (DB2) hinterlegt. 

Die Überprüfung der Information ist die wichtigste Funktion der zweiten 

Station. Ein eigenständiges PHP-Programm überprüft hier die Kunden- und 

Verkäuferdaten und ordnet jede Transaktion dem jeweiligen Kunden für eine 

erfolgreiche Zahlung zu. 

5.1.3 3.Abschnitt (Verkäufer-Station) 

Der Verkäufer erhält hier einen tabellarischen Überblick aller erfolgreich erfolgten 

Transaktionen (DB2) in Form einer für ihn intern einsehbaren Website. 

5.2 Kommunikationsprotokoll 

Für das Online Zahlungssystem wurde ein sicheres Kommunikationsprotokoll 

entwickelt, welches den Datenschutz der sensiblen Transaktionsinformationen 

gewährleisten soll. Hierbei wird die Transmission in drei Abschnitte 

untergliedert.[15] 

Das folgendes Bild 5.2 zeigt die Verlauf der Kommunikation. 

Wie im UML Diagramm gezeigt, kann das vollständige Kommunikationsprotokoll 

in drei Phasen aufgeteilt werden:

5.2. KOMMUNIKATIONSPROTOKOLL 37 

Abbildung 5.2: Bezahlungsprotokoll 

• 1.Phase 

Der Kunde scannt mittels seines Smartphone den QR-Code und 

überprüft im Anschluss die eingegebenen Bestellinformationen. Diesem 

Auftrag wird eine zufällig ausgewählte Transaktionsnummer zugeordnet. 

Alle Informationen werden in mehrere mit ID versehenen Datenpaketen 

verpackt und vom Smartphone des Kunden versandt. 

Der Inhalt eines jeden Datenpaket besteht aus: 

– Preis 

– Transaktionsnummer 

– Inhalt der bestellten Produkte 

Daraufhin erfolgt die Kodierung der Datenpakete. 

• 2.Phase 

Nachdem der Server die verschlüsselten Daten empfangen hat, überprüft 

dieser ausgewählte übertragenen Datenpakete und sendet draufhin diese 

erneut verschlüsselt an den Kunden zurück.

38 KAPITEL 5. NFC ONLINE BEZAHLUNGSSYSTEM 

• 3.Phase 

Der Kunde öffnet mittels seines öffentlichen Schlüssels die an ihn 

zurückgesandten kodierten Daten und überprüft erneut ihre Signatur. 

Daraufhin werden die Daten erneut an den Verkäufer geschickt, der auch 

die Signatur des Servers kontrolliert. Erst wenn Kunde und Verkäufer die 

Serversignaturen erfolgreich überprüft haben, wird der Zahlungsvorgang 

nach dem NFC-Relay fortgesetzt.

Kapitel 6 

Anwendung und 

Implementierung 

In diesem Abschnitt wird die Applikation selbst beschrieben. Sie wird für die 

Transaktion selbst benötigt und sorgt mit ihren Protokollen für den Datenaustausch 

zwischen den 3 beschriebenden Stationen. 

6.1 Applikationseigenschaften 

• Hoher Nutzungskomfort 

Dank weniger und schneller Bedienungsschritte ermöglicht dieses Programm 

bietet dieses Programm einen hohe Anwenderfreundlichkeit für 

den Kunden, der online einkaufen will. 

• Sicherheit 

Dieses Programm bietet Sicherheitsstandards an, die die sensiblen Daten 

während der Transaktion vor Hackern schützt. 

6.2 Implementierung und Einleitung der Applikation 

Die Applikation NFC ePayment wurde in Java programmiert um eine sichere 

und einfache Online Zahlung zu ermöglichen. Ihre Grundfunktionen lassen sich 

wie folgt zusammenfassen: 

• Erfassung des QR-Codes, der der die Informationen über Produkte, 

Preise und TransaktionsID enthält. 

• Übertragung der eingescannten Daten via mobilem Netzwerk an deren 

Server (Technisch realisiert mit WebView von Android). 

39

40 KAPITEL 6. ANWENDUNG UND IMPLEMENTIERUNG 

• Registrierung der NFC-unterstützten Geldkarte des Kunden und mobiler 

Verbindungsaufbau zum Handy des Verkäufers. 

• Prüfung aller eingehender Informationen und gegebenfalls Freigabe der 

Zahlungsanforderung. 

Im Online Shop offeriert der Verkäufer seinen Kunden seine Produkte. Dort 

können Kaufinteressenten ihre Artikel auswählen und sie im Warenkorb ablegen. 

Dann kann der Kunde durch einen Button namens “QR Code Producer”, 

den gesamten Warenkorbauswahl in einen sicheren QR-Code zusammenfassen. 

Neben diesen offenen Informationen ist allerdings ebenfalls eine Transaktions 

ID enthalten. Dann startet der Kunde seine Smartphone Applikation und scannt 

diesen angezeigten QR-Code ein. Als Feedback erhält er das folgende Bild 

6.1. 

Abbildung 6.1: Bestellungsinformation und QR-Code

6.2. IMPLEMENTIERUNG UND EINLEITUNG DER APPLIKATION 41 

6.2.1 Start der Applikation 

Die Applikation “NFC ePayment”, wie Bild 6.2 zeigt, wird auf dem Smartphone 

initialisiert. 

Abbildung 6.2: NFC ePayment 

Nachdem innerhalb der Softwareumgebung der Button “To the Software”angewählt 

wurde, wird das folgende Bild 6.3 ausgegeben: 

Abbildung 6.3: Go to Software

42 KAPITEL 6. ANWENDUNG UND IMPLEMENTIERUNG 

6.2.2 Erfassung des QR-Codes 

Um den entsprechenden QR-Code einscannen zu können, muss der Kunde 

“open camera”auswählen und die das Fotoobjektiv seines Smartphones auf den 

Computerbildschirm ausrichten. Im Anschluß ist der Kunde in der Lage, alle 

Eingaben nochmals zu überprüfen und den Zahlungsvorgang durch Betätigen 

des “To Scan your Bankcard”Buttons zu starten. 

Abbildung 6.4: Bestellungsinformation auf Handy 

6.2.3 Erfassung der Geldkarte 

Kunden- und Verkäufer-Handy werden online miteinander verbunden, so dass 

daraufhin die NFC-Geldkarte des Kunden eingescannt werden kann. 

6.2.4 Datenbank 

Alle verarbeiteten Kundeninformationen werden, wie hier Bild 6.5 abgebildet, 

in DB1 hinterlegt. Im Kapitel 2 wird näher, auch bildlich, auf die Struktur der 

verwendeten Datenbanken eingegangen.

6.2. IMPLEMENTIERUNG UND EINLEITUNG DER APPLIKATION 43 

Abbildung 6.5: Datenbank 

6.2.5 Erfolg Transaktion 

Erfolg Transaktion werden auch in Verkäufer Seite als Liest gezeigt. wie Bild 

6.6. 

Abbildung 6.6: Erfolg Transaktion, Rückmeldung

44 KAPITEL 6. ANWENDUNG UND IMPLEMENTIERUNG

Kapitel 7 

Sicherheitsanalyse von NFC 

Zahlungssystem 

Ein funktionsfähiges NFC-Zahlungssystem umfasst wie bereits erwähnt 3 Abschnitte. 

Die einzelnen Stationen arbeiten voneinander autark, so dass sie nicht 

in der Lage sind, die zu empfangenen Daten auf ihre Authentizität hin zu 

überprüfen. 

7.1 Die sicherheitstechnischen Bedenken 

Die sicherheitstechnischen Bedenken lassen sich wie folgt zusammenfassen: 

• Während der Kunde die Auswahl seiner Waren mittels eines QR-Codes 

umsetzt, muss er sich dessen Vertrauenswürdigkeit sicher sein können. 

Anderensfalls würde er durch dessen Registrierung softwarebasierten 

Trojanern und Viren Tor und Tür öffnen, ohne sich dessen überhaupt bewusst 

sein zu können. Ferner kann eine darauf anschließende Umleitung 

zur Händleradresse auch abgezweigt werden und sensible Kundendaten 

dann Betrügern in die Hände fallen übertragen werden. 

• Bei der Registierung der NFC-Kartenmediums, die keinerlei Authentifizierung 

erfordert, können ebenfalls Kundendaten von Dritten unbemerkt 

abgerufen werden. Mit dem entsprechenden Equipment ist man 

hierbei nicht mal mehr auf die Kurzdistanz angewiesen und man kann 

aus relativ weiter Entfernung einen Zugriff auf dem Medium hinterlegten 

Daten erhalten. 

• Auch via Near Field Communication ist es möglich Schadsoftware in 

Umlauf zu bringen. Hierzu genügt es, den beispielsweise in einem Plakat 

angepriesenen Original-Chip mit einem infizierten Klebe-Tag zu versehen, 

somit vor dem Kunden abzuschirmen. Die im Fälschungs-Chip 

45

46KAPITEL 7. SICHERHEITSANALYSE VON NFC ZAHLUNGSSYSTEM 

implimentierten Daten können im Smartphone Programme (Malware) 

unbemerkt installieren und aktivieren, die zum kriminellen Zweck dann 

genutzt werden.[23] 

7.2 Mögliche Maßnahmen 

Mögliche Maßnahmen zur Vermeidung der oben genannten Sicherheitsrisiken: 

7.2.1 Gefahrenherd: Kunden-Station 

• Die Nutzung einer sicheren Verschlüsselung aller auszutauschenden Informationen 

würde einen Datendiebstahl erheblich erschweren. 

• Eine RFID NFC Schutzhülle kann den ungenehmigten externen Datenzugriff 

auf das NFC-Medium erfolgreich verhindern. 

• In einer sichere Ausführungsumgebung (Trusted Execution Environment 

- TEE) sorgt SE für eine sichere Datenspeicherung. Sie kann 

sowohl hardware-, also auch softwarebasiert realisiert werden. Da Letztere 

allerdings auch im AEE ausgeführt werden müsste, wäre sie daher 

gegen Angriffe weniger geschützt. 

7.2.2 Gefahrenherd: Datenübertragung 

Unverschlüsselte genutzte WLAN-Netzwerke können leicht von Dritten 

abgehört werden. Durch SSL Technologie kann man diese Problem vermeiden. 

SSL steht für Secure Socket Layer, SSL ist ein Protokoll, das der Authentisierung 

und Verschlüsselung von Internetverbindungen dient. SSL schiebt 

sich als eigene Schicht zwischen TCP und den Protokollen der Anwendungsund 

Darstellungsschicht. Ein typisches Beispiel für den Einsatz von SSL ist 

der gesicherte Abruf von vertraulichen Daten über HTTP und die gesicherte 

Übermittlung von vertraulichen Daten an den HTTP-Server. In der Regel 

geht es darum, die Echtheit des kontaktierten Servers durch ein Zertifikat zu 

garantieren und die Verbindung zwischen Client und Server zu verschlüsseln.[5] 

7.2.3 Gefahrenherd: Verkäufer-Station 

Ein möglicher Betrugsversuch könnte ebenfalls durch fingierte Kunden- und 

Zahlungsdaten während des Bestell- und Zahlungsvorgangs unternommen werden. 

Serverseitig könnten falsche Zahlungsvorgänge bestätigt werden oder aber 

die Zahlungsausführende hat nichts mit dem zu beliefernden Besteller zu tun,

7.2. MÖGLICHE MASSNAHMEN 47 

so dass trotz erfolgreicher Transaktion mit einem Zahlungsrückruf zu rechnen 

ist. 

Nachdem der Server alle ein- und ausgehenden Daten kontrolliert hat, 

muss der Verkäufer auch dazu berechtigt sein, den Kontakt mit dem 

zahlungsausführenden Bankensystem aufbauen zu können, um die vom Server 

übermittelten Informationen auf ihre Echtheit hin überprüfen zu können.

48KAPITEL 7. SICHERHEITSANALYSE VON NFC ZAHLUNGSSYSTEM

Kapitel 8 

Zusammenfassung 

Zentrales Thema dieser Arbeit ist das onlinebasierte Zahlungssystem. Hierfür 

wird inhaltlich und technisch auf den Aufbau eines Onlineshops, den NFCgestützten 

Dialog zwischen den beteiligten mobilen Endgeräten, das Kommunikationsprotokoll 

des Zahlungssystem und die Entwicklung einer dazu 

passenden Android-Applikation näher eingegangen. Besondere Beachtung wird 

hierbei den Verfahrensweisen der Near Field Communication (NFC), deren 

dazu genutzen Relay Technik, sowie des QR-Codes gewidmet. Neben eine umfassenden 

Umschreibung erfolgt ebenso eine Analyse der sicherheitsrelevanten 

Aspekte und entsprechend daraus abgeleitete Entwicklungsvorschläge. Der 

Online-Shop fungiert als B2C-Medium zwischen Verkäufer und Kunde. Eine 

dazu passenden in SQL programmierten Datenbank gewährt dem Verkäufer 

und Kunden produktbezogene Modifikationenmöglichkeiten, die daraufhin dynamisch 

umgesetzt werden können. Somit weiss der Kunde, was noch verfügbar 

und der Verkäufer was ausgeliefert oder noch nachbestellt werden muss. Die 

Eingabe der für den Warenkorb ausgewählten Produkte wird durch das Einscannen 

eines dafür generierten QR-Codes dem Kunden benutzerfreundlich 

erleichtert. Hierbei besitzt das Endgerät des Kunden mittels Android API 

die Fähigkeit die von googleweb erzeugten QR-Codes in eine entsprechende 

Bestellinformation zu dekodieren, die der Käufer abschliessend nochmals 

auf seinem Display überprüfen kann. Die Datenübertragung erfolgt hierbei 

anonymisiert servergestützt, um ein hohes Mass an Datenschutz sicherstellen 

zu können. Um potentielle Hackerangriffe vorzubeugen, wird das gesamte Kommunikationsprotokoll 

signaturbasierend verschlüsselt. Erst nach diesem erfolgreich 

ausgeführten Sicherheitsstandard erfolgt dann die eigentliche Zahlung. 

Hierbei ist Kunde und Verkäufer orts- und zeitunabhängig. Während des 

Zahlungsprozesses wird die Geldkarte des Kunden emuliert und es erfolgt daraufhin 

eine mobile Datenverbindung zum Verkäufer, um die entsprechende 

finanziellen Informationen erfolgreich austauschen zu können. 

Zwar erhöht die bereits oben erwähnte Dateneingabe via QR-Code Erfassung 

den Nutzungskomfort für den Kunden, allerdings muss man auch hier- 

49

50 KAPITEL 8. ZUSAMMENFASSUNG 

bei potentielle Sicherheitsrisiken im Vorfeld abschätzen und entgegenwirken: 

Der Nutzer kann aufgrund der ihm nicht mit dem Auge ersichtlichen symbolischen 

kodierten Informationen niemals Gewissheit über Menge und Art 

der übertragenen Daten haben. Auch der Einsatz der NFC-Technologie muss 

kritisch hinterfragt werden: Denn mittels der Relay Technik sind Angreifer 

in der Lage, dem Zahlungssystem die eigentlich auf kurze Distanz gedachte 

Präsenz einer Geldkarte selbst von Weitem vorzutäuschen. Ebenfalls besteht 

die Gefahr, dass Teile des Datenverkehrs im RF-Feld mitgeschnitten und 

daraufhin missbräuchlich weiter verwendet werden. Dafür angepasste Sicherheitsanalysen 

sollen die soeben genannten Risiken beider Verwahrungsweisen 

gerecht werden. NFC-basierte Medien finden zunehmend immer weitere Anwendung 

und stehen damit im öffentlichen Interesse. Derzeit rüsten neben der 

Mobilfunkbranche auch zahlreiche Banken Zahlungskarten mit NFC aus, so 

dass diese Arbeit hier als ein wesentlichen Baustein für die fortführende Entwicklung 

dieser Verfahrensweise erachtet werden kann. [9]

Literaturverzeichnis 

[1] Kontaktlose nfc-karten und die angst vor google. Website, 2010. http: 

//www.pc-max.de/news/mobilfunk/sparkasse. 

[2] Sparkassen wollen einführung von nfc beschleunigen. Website, 2010. http: 

//www.pc-max.de/news/mobilfunk/sparkasse. 

[3] Datenschützer warnen vor sparkassen-karten. Website, 

2011. http://www.wiwo.de/technologie/digitale-welt/ 

nfc-chips-datenschuetzer-warnen-vor-sparkassen-karten/ 

6751072.html. 

[4] Nfc tag dispatch system in android. Website, 2012. http://ibadrinath. 

blogspot.de/2012/03/nfc-tag-dispatch-system-in-android.html. 

[5] Nfc: Wie sicher ist der kontaktlose datenaustausch? Website, 2012. 

[6] Kathleen Kaye Acosta. Online Payment Process. Preprint 5, University of 

Cambridge, Computer Laboratory JJ Thomson Avenue, Cambridge CB3 

0FD, UK, January 2009. 

[7] Simon Burkard. Identification cards — Contactless integrated circuit(s) 

cards — Proximity cards — Part 4:Transmission protocol. Technical report, 

INTERNATIONAL STANDARD. 

[8] Simon Burkard. Near Field Communication in Smartphones. Technical 

report, Dep. of Telecommunication Systems, Service-centric Networking 

Berlin Institute of Technology, Germany. 

[9] Dolgorsuren Byambajav. SECURE NFC ENABLED MOBILE 

PHONE PAYMENTS USING ELLIPTIC CURVE CRYPTOGRAPHY 

(SNFCMP). Technical report, August 2011. 

[10] Peter Stamm Franz Büllingen. Mobile Commerce via Smartphone Analyse 

und Prognose des zukünftigen Marktes aus Nutzerperspektive . Technical 

report, WIK Wissenschaftliches Institut für Infrastruktur und Kommunikationsdienste 

GmbH, November 2012. 

51

52 LITERATURVERZEICHNIS 

[11] Marko Gargenta. Learing Android. OREILLY. 

[12] Gerhard Hancke. A Practical Relay Attack on ISO 14443 Proximity Cards. 

Preprint 5, University of Cambridge, Computer Laboratory JJ Thomson 

Avenue, Cambridge CB3 0FD, UK, January 2005. 

[13] Keith Mayes Konstantinos Markantonakis Lishoy Francis, Gerhard 

Hancke. Practical Relay Attack on Contactless Transactions by Using 

NFC Mobile Phones. Preprint 5, Information Security Group, Smart 

Card Centre Royal Holloway University of London, January 2010. 

[14] Juan de Dios Sanchez-Lopez Elitania Jimenez-Garcia Christian Navarro- 

Cota Mabel Vazquez-Briseno, Francisco I. Hirata* and Juan Ivan Nieto- 

Hipolito. Using RFID/NFC and QR-Code in Mobile Phones to Link the 

Physical and the Digital World. Technical report, Autonomous University 

of Baja California. 

[15] Nuno Fuentecilla Maia Ferreira Neves Norman Sadeh. NFC AND 

MOBILE PAYMENTS TODAY. Preprint 5, MESTRADO EM 

SEGURANÇA INFORMÁTICA, November 2011. 

[16] Martin Mulazzani Lindsay Munroe Sebastian Schrittwieser-Mayank Sinha 

Edgar Weippl Peter Kieseberg, Manuel Leithner. QR Code Security. 

Preprint 5, QR Code Security, February 1998. 

[17] Martin Wiedmann Prof. Dr. Manfred Kirchgeorg. B2C Trendstudie: Perspektiven, 

Potenziale und Positionierung von Publikumsmessen. Technical 

report, Lehrstuhl für Marketingmanagement der HHL Leipzig Graduate 

School of Management. 

[18] Ulrich Riehm. E-Commerce Begriff, Geschichte, aktueller Stand und Ausblick 

. Technical report. 

[19] Michael Roland. Software Card Emulation in NFC-enabled Mobile 

Phones: Great Advantage or Security Nightmare? Technical report, University 

of Applied Sciences Upper Austria. 

[20] Michael Roland. Applying recent secure element relay attack scenarios to 

the real world Google Wallet Relay Attack. Technical report, University 

of Applied Sciences Upper Austria, March 2013. 

[21] Svenja Hagenhoff Stefan Christmann. Mobiles Internet im Business-to- 

Business- Bereich - Eine Fallstudienuntersuchung. Technical report, Arbeitsbericht 

des Instituts für Wirtschaftsinformatik.

LITERATURVERZEICHNIS 53 

[22] THOMAS ZEFFERER. SECURE ELEMENTS AM BEISPIEL 

GOOGLE WALLET. Technical report, Zentrum für sichere Informationstechnologie 

– Austria. 

[23] Thomas Zefferer. NFC-Basierter Zahlungssysteme. Technical report, Zentrum 

für sichere Informationstechnologie – Austria, August 2012.

54 LITERATURVERZEICHNIS

Selbständigkeitserklärung 

Hiermit versichere ich, dass ich die vorliegende Masterarbeit selbständig und 

nur mit den angegebenen Hilfsmitteln angefertigt habe und dass alle Stellen, 

die dem Wortlaut oder dem Sinne nach anderen Werken entnommen sind, 

durch Angaben von Quellen als Entlehnung kenntlich gemacht worden sind. 

Diese Masterarbeit wurde in gleicher oder ähnlicher Form in keinem anderen 

Studiengang als Prüfungsleistung vorgelegt. 

Ort, Datum 

Unterschrift

Master- Arbeit - Lehrstuhl für Technische Informatik - Universität ...

Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.

Template löschen?

Als Template speichern?