Если в качестве платежной используются карты с одной защищенной областью памяти, и банк, и магазин будут работать с одной и той же областью, применяя одинаковые ключи защиты, Если банк, как эмитент карты, может ее дебетовать (например, е банкоматах), то магазин права кредитовать карту не имеет. Однако такая возможность ему дана — поскольку в силу необходимости дебетования карты при покупках он знает ключ стирани* защищенной зоны. То обстоятельство, что и кредитор карты, vее дебитор (в общем случае — разные лица) пользуются однихключом, нарушает сразу несколько основных принципов по защите информации (в частности, принципы разделения полномочий и минимальных полномочий). Это рано или поздно приведет к мошенничеству. Не спасают ситуацию и криптографические способы защиты информации, о чем уже говорилось выше.
Кроме того, важной особенностью карт с точки зрения их защищенности является наличие специальных средств, характерных для микропроцессорных карт (см. ниже). Так, некоторые карты необратимо блокируется по записи после предъявления неверного ПИН-кода более трех раз подряд, причем последовательное предъявление неверного ПИН-кода фиксируется картой и учитывается при ее блокировке. Таким образом, даже при относительно короткой длине ПИН-кода (например, из пяти цифр) «вскрыть» карту путем систематического подбора ее секретного ключа практически невозможно.
Сервисные команды. Карты обеспечивают различный спектр сервисных команд. Для нас наиболее интересные из них — это средства ведения электронных платежей. Вместо двух областей в некоторых картах для ведения электронных платежей создается специальный файл, недоступный по чтению/записи с помощью обычных команд управления файловой системой. Над этим файлом можно производить только операции зачисления (кредитование) или списания (дебетование) финансовых средств Операция кредитования может быть проведена только при предъявлении двух секретных кодов — кода клиента и кода банка. Операция списания проводится только по предъявлению к эда клиента.
Примером подобной карты является карта PCOS фирмы GEMPLUSCardInternational. Механизм защиты в карте PCOSдостаточно изощрен — так, не разрешено дебетование отрицательным числом (в некоторых картах, в принципе, можно уменьшить дебет, путем возврата платежа на карту). Кроме того, карта PCOS обеспечивает безопасное удаленное кредитование карты в режиме on-line, что, безусловно, очень удобно клиентам — можно занести средства на карту в ближайшем магазине, не заходя в банк. Удаленное кредитование возможно за счет встроенных криптографических средств.
Специальные средства. К специальным функциональным средствам относится возможность блокировки карты. Различается два вида блокировки: при предъявлении неправильного транспортного кода и при несанкционированном доступе.
Суть транспортной блокировки состоит в том, что доступ к карточке невозможен без предъявления специального «транспортного» кода. Этот механизм необходим для защиты от нелегального использования карт при хищении во время пересылки карты от производителя к потребителю.
Суть блокировки при несанкционированном доступе состоит в том, что если при доступе к информации несколько раз неправильно был предъявлен код доступа, то карта вообще перестает быть работоспособной. При этом, в зависимости от установленного режима, карта может быть впоследствии либо активизирована при предъявлении специального кода, либо нет. В последнем случае карта становится непригодной для дальнейшего использования.
Карты оптической памяти. Карты оптической памяти имеют большую емкость, чем карты памяти, но данные на них могут быть записаны только один раз. В таких картах используется WORM-технология (однократная запись — многократное чтение). Лазер прожигает в каждой ячейке памяти значение, равное 0 или 1 (подобным образом записывается музыка на цифровых компакт-дисках). Обычная карта может хранить от 2 до 16 мегабайт информации. Такие карты обычно используются в приложениях, где необходимо хранить большие объемы данных, не подлежащих изменению, например, медицинские записи.
Микропроцессорные карты
Внешне микропроцессорные карты похожи на карты памяти, однако их микросхемы содержат микропроцессоры, что делает эти карты интеллектуальными, по-английски — «smart». Электронная «начинка» карты представляют собой полные микроконтроллеры (микрокомпьютеры) и содержит следующие компоненты:
• ЦП (CPU) - центральный процессор - устройство для обработки инструкций карты;
• ОЗУ (RAM) - оперативное запоминающее устройство -память для временного хранения данных, например, результатов вычислений, произведенных процессором;
• ПЗУ (ROM) - постоянное запоминающее устройство - память для постоянного хранения инструкций карты, исполняемых процессором, а также других данных, которые не изменяются. Информация в ПЗУ записывается в процессе производства карты;
• ППЗУ (EPROM) - программируемое постоянное запоминающее устройство - память, которая может быть прочитана много раз, но записана только однократно производителем. В ППЗУ организация, выпускающая карту в обращение, записывает данные о ее владельце;
• РПЗУ (EEPROM) - репрограммируемое постоянное запоминающее устройство - память, которая может быть перезаписана и считана многократно. В РПЗУ хранятся изменяемые данные владельца карты ( ППЗУ и РПЗУ не теряют данные при отключении питания);
• устройство ввода/вывода - устройство, обеспечивающее обмен данными с внешним миром;
• операционная система (ОС) или программное обеспечение (ПО) карты - инструкции для процессора (хранятся в ПЗУ);
• система безопасности встроенная система безопасности для защиты данных с возможностью их шифрования.
Микропроцессорная карта, в дальнейшем - смарт-карта, в действительности представляет собой небольшой компьютер, способный выполнять расчеты подобно персональному компьютеру. Наиболее мощные современные смарт-карты имеют мощность, сопоставимую с мощностью персональных компьютеров начала восьмидесятых. Операционная система, хранящаяся в ПЗУ смарт-карты, принципиально ничем не отличается от операционной системы персонального компьютера. РПЗУ используется для хранения данных пользователя, которые могут считываться, записываться и модифицироваться, также, как данные на жестком диске персонального компьютера.
Смарт-карты имеют различную емкость, однако типичная современная карта имеет ОЗУ объемом 128 байт, ПЗУ - 2-6 кбайт и РПЗУ - 1-2 кбайт. Некоторые смарт-карты также содержат магнитную полоску, что обеспечивает их совместимость с системами на базе магнитных карт. Смарт-карты дороже карт памяти, и так же, как в случае карт памяти, их стоимость определяется стоимостью микросхемы, которая прямо зависит от объема памяти. Смарт-карты обычно используются в приложениях, требующих высокой степени защиты информации, например, в финансовой практике.
Суперсмарт-карты. Примером может служить многоцелевая карта фирмы Toshiba, используемая в системе Visa. В дополнение ко всем возможностям - обычной смарт-карты, эта карта также имеет небольшой дисплей и вспомогательную клавиатуру для ввода данных. Эта карта объединяет в себе кредитную, дебетную и смешанную карты, а также выполняет функции часов, календаря, калькулятора, осуществляет конвертацию валюты, может служить записной книжкой и т.д. Из-за высокой стоимости суперсмарт-карты не имеют сегодня широкого распространения, но их использование будет, вероятно, расти, поскольку они являются весьма перспективными.
Формы использования пластиковых карт
На рис.4.1 приведена структурная схема карточной платежной системы.
Рассмотрим вначале, как действует платежная система, основанная на использовании карты с магнитной полосой. С этой картой знакомо наибольшее количество людей в мире. Кредитные карты всегда содержат имя владельца, номер карты и дат) окончания ее действия, которые напечатаны рельефными буквами на лицевой стороне карты, а также подпись владельца на обороте. Рельефная печать необходима для того, чтобы карта могла «читаться» на ручных обрабатывающих машинах. Карта вставляется в обрабатывающую машину, сверху кладутся 3 копии счета, бланки которых напечатаны на специальной копировальной бумаге, и рукоятка обрабатывающей машины вручнук перемещается по ним. Рельефная надпись на карточке отпечатывается на трех копиях чека, покупатель подписывает их, и продавец сверяет подпись с подписью на обороте карты.
Клиент сохраняет одну копию чека, продавец сохраняе'1 вторую, а третья копия предназначена для компании, выпустив шей кредитные карты в обращение. Продавец может по желанию позвонить в местный офис компании, выпустившей кредитную карту для того, чтобы проверить, не украдена ли карта и ж