Для определения общих проблем защиты удаленных транзакций, можно выделить три основных этапа:
- подготовка документа к отправке;
- передача документа по каналу связи;
- прием документа и его обратное преобразование.
С точки зрения защиты в системах удаленных платежей существуют следующие уязвимые места [9]:
- пересылка платежных и других сообщений между банками или между банком и клиентом
- обработка информации внутри организаций отправителя и получателя;
- доступ клиента к средствам, аккумулированным на счете.
При пересылке платежных и других сообщений возникают следующие проблемы:
- внутренние системы организаций получателя и отправителя должны быть приспособлены к получению/отправке электронных документов и обеспечивать необходимую защиту при их обработке внутри организации (защита оконечных систем);
- взаимодействие получателя и отправителя документа осуществляется опосредованно - через канал связи. Это порождает такие виды проблем как взаимное опознавания абонентов (проблема установления аутентификации при установлении соединения), защиты документов, передаваемых по каналам связи (обеспечение целостности и конфиденциальности документов), защиты самого процесса обмена документами (проблема доказательства отправления/доставки документа);
- в общем случае отправитель и получатель документа принадлежат к различным организациям и друг от друга независимы. Этот факт порождает проблему недоверия - будут ли предприняты необходимые меры по данному документу (обеспечение исполнения документа).
Рассмотрим перечень угроз, возникающих при пересылке платежных и других сообщений:
- несанкционированный доступ к ресурсам и данным системы (подбор пароля, взлом систем защиты и администрирования, маскарад);
- перехват и подмена трафика (подделка платежных поручений, атака типа "человек посередине");
- IР-спуфинг (подмена сетевых адресов);
- отказ в обслуживании;
- атака на уровне приложений;
- сканирование сетей или сетевая разведка;
- использование отношений доверия в сети.
Причины, приводящие к появлению подобных уязвимостей:
- отсутствие гарантии конфиденциальности и целостности передаваемых данных;
- недостаточный уровень проверки участников соединения;
- недостаточная реализация или некорректная разработка политики безопасности;
- отсутствие или недостаточный уровень защиты от несанкционированного доступа (антивирусы, контроль доступа, системы обнаружения атак);
- существующие уязвимости используемых операционных систем (ОС), ПО, СУБД, веб-систем и сетевых протоколов;
- непрофессиональное и слабое администрирование систем;
- проблемы при построении межсетевых фильтров;
- сбои в работе компонентов системы или их низкая производительность;
- уязвимости при управлении ключами.
Наиболее часто информационное пространство банковской системы используется для передачи сообщений, связанных с движением финансов.
Основные виды атак на финансовые сообщения и финансовые транзакции:
- раскрытие содержимого;
- представление документа от имени другого участника;
- несанкционированная модификация;
- повтор переданной информации.
Существует четыре основные формы удаленного банковского обслуживания клиентов [5]:
- домашнее (телефонное) обслуживание;
- расчет с автоматическим кассовым аппаратом (банкоматом);
- расчет в точке продажи;
- финансовый сервис с использованием всемирной сети Интернет.
Домашнее банковское обслуживание позволяет клиентам получить доступ к банковским и информационным услугам не выходя из дома.
Достоинства этого вида обслуживания:
- для клиента - большая доступность данных и управление своими финансовыми делами;
- для банка - уменьшение стоимости обслуживания.
Ввод данных для платежа при голосовой связи (идентификатор, номер счета, размер платежа) производится клиентом либо с клавиатуры телефона либо голосом (что менее надежно с точки зрения безопасности, но более технически доступно).
Банковский автомат-кассир (АКА, банкомат) - специализированное устройство, предназначенное для обслуживания клиента в отсутствие банковского персонала. Это наиболее существенная часть банковской системы, предназначенная, в основном, для выдачи наличных денег. Помимо этой функции АКА может выполнять ряд дополнительных, а числе которых:
- проверка состояния счета клиента;
- изменение параметров счета клиента;
- осуществление различных платежей;
- предоставление информации о:
а) страховом полисе клиента;
б) котировках ценных бумаг на фондовом рынке;
в) покупке и продаже акций;
г) обменных курсах валют и т.д.
Системы, обеспечивающие расчеты продавца и покупателя в точке продажи, (point-of-sale, POS). В основном, все терминалы, подключенные к этим системам, размещены на предприятиях торговли. Большинство таких терминалов установлены в супермаркетах, так как там совершается большое количество покупок в течении дня, а также в других магазинах и на автозаправочных станциях.
Системы POS обеспечивают следующие услуги:
- проверку и подтверждение чеков;
- проверку и обслуживание дебетовых и кредитных карточек;
- использование системы электронных расчетов.
Банки, финансирующие систему расчетов в точке продажи, таким образом расширяют список своих клиентов путем предоставления им больших удобств для покупок в магазинах с использованием удаленных устройств. Торговля, в свою очередь, увеличивает количество клиентов, расширяет управление имуществом, сохраняет время клиентов и уменьшает риск потери наличных денег.
Существует два типа систем POS. Основной из них предполагает, что продавец и покупатель имеют счета в одном и том же банке. Данные, необходимые для платежа, передаются через терминалы системы POS банковскому компьютеру, производится платеж, и деньги переводятся со счета покупателя на счет продавца. В более сложной системе участвуют два или более банков. При платеже сначала вызывается банк покупателя, производится платеж и записывается на магнитную ленту для передачи в расчетную палату. Расчетная палата в свою очередь пересылает данные о платеже в банк продавца, который кредитует платеж.
2.4 Проблемы идентификации при удаленном обслуживании
Персональный номер (идентификатор) (Personal Identification Number, PIN) - это последовательность цифр, используемая для идентификации клиента. Для ввода PIN как в АКА, так и в терминалах систем POS предусмотрена цифровая клавиатура, аналогичная телефонной. По способу назначения можно выделить следующие типы PIN [3]:
- назначаемые выведенные PIN;
- назначаемые случайные PIN;
- PIN, выбираемые пользователем.
Клиент различает только два типа PIN: PIN, который назначен ему банком, выдавшим карточку, и PIN, который пользователь может выбирать себе самостоятельно.
В связи с тем, что PIN предназначен для идентификации и аутентификации клиента, его значение должно быть известно только клиенту. Однако на практике PIN трудно удержать в памяти и поэтому клиент банка куда-нибудь его запишет (иногда - на саму карточку). В результате задача злоумышленника бывает сильно облегчена.
Использование PIN, назначенных банком, неудобно даже при небольшом их количестве. Много цифр сложно удерживать в памяти их приходится записывать. Для большего удобства клиента используются PIN, выбираемые им самим. Такой способ определения PIN, во-первых, позволяет клиенту использовать один и тот же PIN для различных целей, и, во-вторых, позволяет задавать PIN как совокупность букв и цифр.
PIN обычно состоит из четырех или шести цифр. Следовательно, для его перебора в наихудшем (для защиты естественно) случае необходимо осуществить 10.000 комбинаций (четырехсимвольный PIN). Такой перебор возможен за короткое время. Поэтому в системах, использующих такой PIN , должны быть предусмотрены меры защиты от подбора PIN.
Всего существуют два основных способа проверки PIN: алгоритмический и неалгоритмический.
Алгоритмический способ проверки заключается в том, что у пользователя запрашивается PIN, который преобразуется по определенному алгоритму с использованием секретного ключа и затем сравнивается со значением PIN, хранившемся на карточке. Достоинством этого метода проверки является:
- отсутствие копии PIN на главном компьютере, что исключает его раскрытие персоналом банка;
- отсутствие передачи PIN между АКА и главным компьютером банка, что исключает его перехват злоумышленником или навязывание результатов сравнения;
- облегчение работы по созданию программного обеспечения системы, так как уже нет необходимости действий в реальном масштабе времени.
Неалгоритмический способ проверки PIN, как это следует из его названия, не требует применения специальных алгоритмов. Проверка PIN осуществляется путем прямого сравнения полученного PIN со значениями, хранимыми в базе данных. Часто сама база данных со значениями PIN шифруется прозрачным образом, чтобы не затруднять процесс сравнения, но повысить ее защищенность.
Идентификация клиента с использованием PIN работает только в следующих случаях:
- отсутствует перехват карточки и/или PIN при передаче от банка клиенту;
- банковские карточки не воруют, не теряют и их невозможно подделать;
- PIN невозможно узнать при доступе к системе другим пользователем;
- PIN иным образом не может быть скомпрометирован;
- в электронной системе банка отсутствуют сбои и ошибки;
- в самом банке нет мошенников.
В качестве альтернативы PIN предлагается применять устройства идентификации, основанные на биометрическом принципе. Их широкое применение сдерживается высокой стоимостью.
3. ВЫБОР И ОБОСНОВАНИЕ МЕТОДОВ ЗАЩИТЫ УДАЛЕННЫХ БАНКОВСКИХ ТРАНЗАКЦИЙ
3.1 Основные требования обеспечения безопасности удаленных транзакций
С технической точки зрения проблемы защиты удаленных транзакций решаются с помощью нескольких механизмов, отвечающих за обеспечение адекватной безопасности электронных банковских систем. Работа большинства этих механизмов обеспечивается службами сети с расширенным набором услуг (Value-Added Network, VAN). Службы, реализующие обмен электронными документами, должны выполнять следующие функции: