Информационная безопасность коммерческих систем

Можно сделать важный вывод: защита финансовых организаций строится несколько иначе, чем обычных коммерческих и государственных организаций. Следовательно для защиты АСОИБ нельзя применять те же самые технические и организационные решения, которые были разработаны для стандартных ситуаций. Нельзя бездумно копировать чужие системы — они разрабатывались для иных условий.

ГЛАВА 2. БЕЗОПАСНОСТЬ ЭЛЕКТРОННЫХ ПЛАТЕЖЕЙ

2.1. Электронные платежи в банке.

 

Специфической чертой электронных банковских систем является специальная форма обмена электронными данными - электронных платежей, без которых ни один современный банк не может существовать.

Обмен электронными данными (ОЭД) — это межкомпьютерный обмен деловыми, коммерческими, финансовыми электронными документами. Например, заказами, платежными инструкциями, контрактными предложениями, накладными, квитанциями и т.п.

ОЭД обеспечивает оперативное  взаимодействие торговых партнеров (клиентов, поставщиков, торговых посредников и др.) на всех этапах подготовки торговой сделки, заключения контракта и реализации поставки. На этапе оплаты контракта и перевода денежных средств ОЭД может приводить к электронному обмену финансовыми документами. При этом создается эффективная среда для торгово-платежных операций: [4]

• Возможно ознакомление торговых партнеров с предложениями товаров и услуг, выбор необходимого товара/услуги, уточнение коммерческих условий (стоимости и сроков поставки, торговых скидок, гарантийных и сервисных обязательств) в реальном масштабе времени;
• Заказ товара/услуг или запрос контрактного предложения в реальном масштабе времени;
• Оперативный контроль поставки товара, получение по электронной почте сопроводительных документов (накладных, фактур, комплектующих ведомостей и т.д.);
• Подтверждение завершения поставки товара/услуги, выставление и оплата счетов;
• Выполнение банковских кредитных и платежных операций.

К достоинствам ОЭД следует  отнести:

• Уменьшение стоимости операций за счет перехода на безбумажную технологию. Эксперты оценивают стоимость обработки и ведения бумажной документации в 3-8% от общей стоимости коммерческих операций и доставки товаров;
• Повышение скорости расчета и оборота денег;
• Повышение удобства расчетов.

Банки в США и Западной Европе уже осознали свою ключевую роль в распространении ОЭД и  поняли те значительные преимущества, которые дает более тесное взаимодействие с деловыми и личными партнерами. ОЭД помогает банкам в предоставлении услуг клиентам, особенно мелким, тем, которые ранее не могли позволить себе ими воспользоваться из-за их высокой стоимости.

Частным случаем ОЭД  являются электронные платежи - обмен  финансовыми документами между  клиентами и банками, между банками  и другими финансовыми и коммерческими организациями.

Суть концепции электронных  платежей заключается в том, что  пересылаемые по линиям связи сообщения, должным образом оформленные  и переданные, являются основанием для выполнения одной или нескольких банковских операций. Никаких бумажных документов для выполнения этих операций в принципе не требуется (хотя они могут быть выданы). Другими словами, пересылаемое по линиям связи сообщение несет информацию о том, что отправитель выполнил некоторые операции над своим счетом, в частности над корреспондентским счетом банка-получателя (в роли которого может выступать клиринговый центр), и что получатель должен выполнить определенные в сообщении операции. На основании такого сообщения можно переслать или получить деньги, открыть кредит, оплатить покупку или услугу и выполнить любую другую банковскую операцию. Такие сообщения называются электронными деньгами, а выполнение банковских операций на основании посылки или получения таких сообщений - электронными платежами. Естественно, весь процесс осуществления электронных платежей нуждается в надежной защите. Иначе банк и его клиентов ожидают серьезные неприятности.

Электронные платежи  применяются при межбанковских, торговых и персональных расчетах.

Межбанковские и торговые расчеты производятся между организациями (юридическими лицами), поэтому их иногда называют корпоративными. Расчеты с участием физических лиц-клиентов получили название персональных.

Большинство крупных  хищений в банковских системах прямо  или косвенно связано именно с  системами электронных платежей.

Любая организация, которая  хочет стать клиентом какой-либо системы электронных платежей, либо организовать собственную систему, должна отдавать себе в этом отчет. Для надежной работы система электронных платежей должна быть хорошо защищена.

Торговые расчеты производятся между различными торговыми организациями. Банки в этих расчетах участвуют  как посредники при перечислении денег со счета организации-плательщика  на счет организации-получателя. Торговые расчеты чрезвычайно важны для общего успеха программы электронных платежей. Объем финансовых операций различных компаний обычно составляет значительную часть общего объема операций банка.

Виды торговых расчетов сильно различаются для разных организаций, но всегда при их осуществлении обрабатывается два типа информации: платежных сообщений и вспомогательная (статистика, сводки, уведомления). Для финансовых организаций наибольший интерес представляет, конечно, информация платежных сообщений - номера счетов, суммы, баланс и т.д. Для торговых организаций оба вида сведений одинаково важны – первый дает ключ к финансовому состоянию, второй – помогает при принятии решений и выработке политики.

2.2. Вопросы безопасности электронных платежей.

 

Для определения общих  проблем защиты систем ОЭД рассмотрим в прохождение документа при ОЭД. Можно выделить три основных этапа:

• подготовка документа к отправке;
• передача документа по каналу связи;
• прием документа и его обратное преобразование.

С точки зрения защиты в системах ОЭД существуют следующие  уязвимые места:

1. Пересылка платежных  и других сообщений между банками  или между банком и клиентом;

2. Обработка информации  внутри организаций отправителя  и получателя;

3. Доступ клиента к  средствам, аккумулированным на  счете.

Одно из наиболее уязвимых мест в системе ОЭД – пересылка платежных и других сообщений между банками, или между банком и банкоматом, или между банком и клиентом. При пересылке платежных и других сообщений возникают следующие проблемы:

• внутренние системы организаций Получателя и Отправителя должны быть приспособлены к получению/отправке электронных документов и обеспечивать необходимую защиту при их обработке внутри организации (защита оконечных систем);
• взаимодействие Получателя и Отправителя документа осуществляется опосредованно – через канал связи. Это порождает три типа проблем:
1. взаимного опознавания абонентов (проблема установления аутентификации при установлении соединения);
2. защиты документов, передаваемых по каналам связи (обеспечение целостности и конфиденциальности документов);
3. защиты самого процесса обмена документами (проблема доказательства отправления/доставки документа);
• в общем случае Отправитель и Получатель документа принадлежат к различным организациям и друг от друга независимы. Этот факт порождает проблему недоверия – будут ли предприняты необходимые меры по данному документу (обеспечение исполнения документа).

В системах ОЭД должны быть реализованы следующие механизмы, обеспечивающие реализацию функций  защиты на отдельных узлах системы  ОЭД и на уровне протоколов высокого уровня:

- равноправная аутентификацию  абонентов;

- невозможность отказа  от авторства сообщения/приема  сообщения;

- контроль целостности  сообщения;

- обеспечение конфиденциальности  сообщения;

- управление доступом  на оконечных системах;

- гарантии доставки  сообщения;

- регистрация последовательности  сообщений;

- контроль целостности  последовательности сообщений;

- обеспечение конфиденциальности  потока сообщений.

Полнота решения рассмотренных  выше проблем сильно зависит от правильного  выбора системы шифрования. Система шифрования (или криптосистема) представляет собой совокупность алгоритмов шифрования и методов распространения ключей. Правильный выбор системы шифрования помогает:

• скрыть содержание документа от посторонних лиц (обеспечение конфиденциальности документа) путем шифрования его содержимого;
• обеспечить совместное использование документа группой пользователей системы ОЭД путем криптографического разделения информации и соответствующего протокола распределения ключей. При этом для лиц, не входящих в группу, документ недоступен;
• своевременно обнаружить искажение, подделку документа (обеспечение целостности документа) путем введения криптографического контрольного признака;
• удостовериться в том, что абонент, с которым происходит взаимодействие в сети является именно тем, за кого он себя выдает (аутентификация абонента/источника данных).

Следует отметить, что  при защите систем ОЭД большую  роль играет не столько шифрование документа, сколько обеспечение  его целостности и аутентификация абонентов (источника данных) при проведении сеанса связи. Поэтому механизмы шифрования в таких системах играют обычно вспомогательную роль.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

ГЛАВА 3. МЕТОДЫ ЗАЩИТЫ ИНФОРМАЦИИ В ПЛАТЕЖНЫХ И БАНКОВСКИХ СИСТЕМАХ. КРИПТОГРАФИЧЕСКИЕ МЕТОДЫ ЗАЩИТЫ

 

Современная криптография включает в себя следующие основные разделы:

• криптосистемы с секретным ключом (классическая криптография);
• криптосистемы с открытым ключом;
• криптографические протоколы.

 

3.1. Оценка надежности криптоалгоритмов

 

Все современные шифры  базируются на принципе Кирхгофа [1], согласно которому секретность шифра обеспечивается секретностью ключа, а не секретностью алгоритма шифрования. В некоторых ситуациях нет никаких причин делать общедоступным описание сути криптосистемы. Сохраняя такую информацию в тайне, можно дополнительно повысить надежность шифра. Однако полагаться на секретность этой информации не следует, так как рано или поздно она будет скомпрометирована. При создании или при анализе стойкости криптосистем не следует недооценивать возможностей противника.

Методы оценки качества криптоалгоритмов, используемые на практике:

• Всевозможные попытки их вскрытия. В этом случае многое зависит от квалификации, опыта, интуиции криптоаналитиков и от правильной оценки возможностей противника.
• Анализ сложности алгоритмов дешифрования. Оценку стойкости шифра заменяют оценкой минимальной сложности алгоритма его вскрытия.
• Оценка статической безопасности шифра. Должна отсутствовать статическая зависимость между входной и выходной последовательностью.

 

3.2. Классификация методов шифрования информации

 

Основные объекты изучения классической криптографии показаны на рис. 1, где А – законный пользователь, W – противник или криптоаналитик.

 

Рис.1. Криптографическая  защита информации

 

Процедуры зашифрования Е (encryption) и расшифрования D (decryption) можно представить в следующем виде:

 

C = E(M) = K_e{M},

M = D(C) = K_d{C},

 

где M (message) и C (ciphertext) – открытый и зашифрованный тексты, K_e и K_d – ключи зашифрования и расшифрования.

Различают два типа алгоритмов шифрования – симметричные (с секретным  ключом) и асимметричные (с открытым ключом). В первом случае обычно ключ расшифрования совпадает с ключом зашифрования, т.е

 

K_e = K_d =K,

 

либо знание ключа зашифрования позволяет легко вычислить ключ расшифрования. В асимметричных алгоритмах такая возможность отсутствует: для зашифрования и расшифрования используются разные ключи, причем знание одного из них не дает практической возможности определить другой. Поэтому, если получатель А информации сохраняет в секрете ключ расшифрования K_dA = SK_A, ключ зашифрования K_eA = PK_A может быть сделан общедоступным (SK – secret key, PK – public key).