Access Control Proxy for PSD2-Based Payment Services

Revidirana europska uredba PSD2 o elektroničkim platnim uslugama sadrži propise o novim uslugama kojima će upravljati pružatelji platnih usluga treće strane u ime korisnika platnih usluga. Banke se obvezuju da izlože svoje platne usluga i podatke licenciranim trećim stranama. U ovome radu će se proučiti PSD2 uredba i sve njezine odredbe. Posebna pažnja će se posvetiti novim inovacijama i sigurnosnim specifikacijama PSD2 uredbe. Proučit će se postojeće API specifikacije kao što su PolishAPI, Berlin Group NextGenPSD2, Open Banking UK i STET PSD2 API. Analizirat će prilagođenost hrvatskih banaka PSD2 europskoj uredbi. Izlaganjem svojih platnih usluga i podataka trećim stranama banke su postale potencijalna meta raznih hakerskih napada i prevara. Rješenje koje se nametnulo je izrada posrednika koji bi nadzirao pristup elektroničkim platnim uslugama izloženim putem programskog sučelja PSD2. Osnovni cilj ovog rada je oblikovati i tehnički ostvariti takav posrednik. Posrednik ima mogućnost presretanja, analize i izmjene mrežnog prometa između sudionika. Na takav način potencijalno štiti od mogućih napada i prevara. Temelji se na mikroservisnoj arhitekturi. Komunikacija između neovisnih komponenti je ostvarena pomoću redova poruka i distribuiranog posrednika RabbitMQ. Izvođenja je moguće u računalnom oblaku kao nezavisna komponenta ili kao komponenta integrirana u informacijski sustav platne institucije. Analizom tehnologija za implementaciju komponenti sustava odabrano je okruženje za izvođenje programskog jezika JavaScript, Node.js s njegovim aplikacijskim okvirom Express.js. Također, posebna pažnja je posvećena automatiziranom generiranju pristupnih programa na osnovi javno dostupnih opisa programskog sučelja PSD2. Na kraju rada posrednika je ispitan uz pomoć zaštićenih okruženja Erste i RBA banke.Revised European directive PSD2 about electronic payments contains regulations about new services which will be managed by the third-party providers in the name of the payment service users. Banks are obligated to make their payment services and data visible to licensed third-party companies. This thesis studies the PSD2 regulation and all of its directives. Within that, innovations and security specifications are studied in detail. Some of the existing API specifications are described, such as: PolishAPI, Berlin Group NextGenPSD2, Open Banking UK and STET PSD2 API. The adaptation of the croatian banks to the PSD2 will be analyzed. With exposing its payment services and data to third-parties, the banks have become a potential target to various hacking attacks. The solution which presents itself is developing a proxy that will supervise the access to the payment services exposed through PSD2. The main goal of this thesis is to design and develop that access control proxy. The proxy will have an ability to intercept, analyze and change the network traffic between participants. In that way, it protects the bank from possible hacking attacks. The agent is based on the microservice architecture. The communication between the independent components is achieved with messages queues and distributed message queue system RabbitMQ. Running of the proxy is possible from the cloud as an independent component or it can be integrated in the IT system of the bank. After analyzing the technologies used for the implementation of the system components, JavaScript runtime environment Node.js with its framework Express.js was chosen. Special attention was dedicated to the automated generation of the access programs based on the publicly available documentation of the PSD2. In the end, the proxy was tested using the Erste and RBA bank sandbox