Борботько Т.В. Защита информации в банковских технологиях

Подождите немного. Документ загружается.

121

Система CHAPS предоставляет своим пользователям полный комплекс услуг, обес-

печивающий надежное обращение электронных денег.

Обеспечение безопасности системы CHAPS

Основное внимание в защите CHAPS уделено аутентификации абонентов системы и

поддержанию конфиденциальности передаваемых сообщений.

Аутентификация абонентов в системе CHAPS осуществляется с помощью алгоритма

DES в режиме сцепления блоков. Шифрование реализовано аппаратно в защищенном от фи-

зического воздействия модуле, в котором также хранятся ключи шифрования.

Управление ключами отражает специфику системы CHAPS, которая должна обеспе-

чить конфиденциальность соединения между двумя любыми банками, входящими в ее со-

став. Существует два ключа шифрования: главный и сеансовый. Главный ключ предназначен

для шифрования сеансового ключа. Сеансовый ключ передается по линии связи между взаи-

модействующими банками.

Безопасность осуществления платежей в системе CHAPS достигается за счет аутен-

тификации сообщений в точке посылки и их верификации (проверки) в точке приема. Эти

функции выполняются участниками расчета.

Для контроля целостности потока сообщений применяется нумерация передаваемых

пакетов. Каждому пакету соответствует некоторый номер (authentication sequence number,

ASN). Для каждой пары отправитель-получатель нумерация пакетов уникальна. Последова-

тельности номеров различны для платежных и неплатежных сообщений. Последователь-

ность номеров должна быть инициализирована в момент смены сеансового ключа для опре-

деленной пары отправитель- получатель. Сама аутентификация и ее проверка осуществляют-

ся внутри модуля защиты от подделки CHAPS (CHAPS tamper resistant module; TRM).

11.3. PayCash (Яndex.Деньги)

PayСash и Webmoney позиционируются их разработчиками как системы электрон-

ной наличности, однако при ближайшем рассмотрении только Paycash может по праву пре-

тендовать на такой статус.

С технологической точки зрения PayСash (рис. 28, 29) обеспечивает практически

полную имитацию расчетов наличными. Из одного электронного кошелька (специализиро-

ванной программы, устанавливаемой клиентом на свой компьютер) деньги могут быть пере-

ведены в другой, при этом обеспечивается анонимность платежа по отношению к банку. Уз-

ким местом Paycash является процедура по перечислению денег в электронный кошелек. До

последнего времени единственный способ сделать это - пойти в отделение банка и перевести

деньги на счет системы. Правда, были и альтернативы - для пользователей системы «Теле-

банк» Гута-банка существовала возможность перевести деньги со счета в Гута-банке, не вы-

ходя из дома, но в ряде случаев, по всей видимости, проще переводить их непосредственно

на счет продавца - электронного магазина, не используя PayСash в качестве посредника.

Также можно было переводить деньги через Western Union или почтовым/телеграфным пе-

реводом, но привлекательность этого пути ограничивалась высоким уровнем комиссии.

Платежная Интернет-система PayCash - совместный проект банка «Таврический»,

ОАО «Корпорация «Аэрокосмическое оборудование» и группы компаний «Алкор».

Система позволяет производить экономичные, безопасные, мгновенные, приватные

и, несмотря на приватность, абсолютно доказуемые платежи посредством открытой сети Ин-

тернет.

На начало 2004 года к системе подключены и успешно функционируют более ста

проектов электронной коммерции и прочих компаний (в том числе OZON, Bolero,

Molotok.ru, и пр.), поставляющих различные товары и услуги. Реализован внешний процес-

синг платежной системы CyberPlat, являющейся партнером PayCash.

122

Рис. 28. Взаимодействие потребителя и виртуального банка на предварительном этапе в

системе PayСash

С 24 июля 2002 года платежная система PayCash осуществляет свою деятельность на

территории Российской Федерации под торговой маркой Яндекс.Деньги, являющейся совме-

стным проектом Интернет-портала Яндекс и платежной системы PayCash.

PayCash - первая российская платежная Интернет-система, основанная на классиче-

ской технологии цифровой наличности (digital cash).

Рис. 29. Прохождение коммерческой транзакции в системе PayСash

11.4. WebMoney Transfer

Учетная система WebMoney Transfer обеспечивает проведение расчетов в реальном

времени посредством учетных единиц - титульных знаков WebMoney (WM). Управление

движением титульных знаков осуществляется пользователями с помощью клиентской про-

граммы WM Keeper.

Системой поддерживается несколько типов титульных знаков, обеспеченных раз-

личными активами и хранящихся на соответствующих электронных кошельках:

WMR - эквивалент RUR - на R-кошельках,

WME - эквивалент EUR - на Е-кошельках,

WMZ - эквивалент USD - на Z-кошельках,

WMU - эквивалент UAH - на U-кошельках,

WM-C и WM-D - эквивалент WMZ для кредитных операций - на С- и D-кошельках.

123

При переводе средств используются однотипные кошельки, а обмен различных ти-

тульных знаков производится в обменных сервисах (http://www.exchanger.ra).

Гарантом по WMR-операциям является АНО «ВМ-Центр» - автономная некоммер-

ческая организация, представляющая WebMoney Transfer на территории России. Гарантом по

WMZ- и WME-операциям выступает компания Amstar Holdings Limited, S.A. Гарантом по

WMU-операциям выступает компания ООО «Украинское гарантийное агентство».

Для того чтобы стать участником системы WebMoney Transfer, достаточно устано-

вить на своем компьютере клиентскую программу WM Keeper и зарегистрироваться в систе-

ме, получив при этом WM-идентификатор и приняв соглашения системы. Процесс регистра-

ции также предусматривает ввод персональных данных и подтверждение их достоверности

посредством клиентской программы WM Keeper.

Хотя система и обладает всеми потребительскими свойствами электронных налич-

ных, на диске компьютера пользователя хранятся не сами электронные деньги, а всего лишь

закодированные записи о наличии денег у клиента. Деньги, в отличие от стопроцентных

цифровых наличных, при потере файла-кошелька не пропадают.

WebMoney дает своим клиентам возможность выбрать, какой статус WM будет для

них наиболее приемлем, и использует формы взаимоотношений, не требующие специального

разрешения или лицензирования. Одной из удобных форм работы с WM является их статус

как «обязательства, дающего права доступа в систему WMT». Это обязательство обладает

фиксированной ценностью и учитывается бухгалтерией «за балансом». Однако по желанию

клиента с ним может быть заключен договор, придающий WM любой другой законный ста-

тус, например договор займа.

Деньги в систему с кредитных карт вводить нельзя: мошенник, получивший элек-

тронные деньги по фальшивой карте, успеет их потратить, прежде чем мошенничество будет

обнаружено, и - оборотная сторона анонимности и конфиденциальности расчетов -

вычислить его, скорее всего, не удастся. Можно перевести деньги из системы на свою бан-

ковскую карту. Эта операция сводится к переводу содержимого кошелька на банковский

счет. Из WebMoney деньги можно перевести в любой банк мира.

У WebMoney минимальная сумма платежа составляет 0,01 WM (т.е. одну копейку

или один цент), минимальная величина комиссионных также 0,01 WM. Это значит, что пла-

теж в одну копейку обойдется вам в 50% комиссионных, платеж в 10 коп. - в 10%, а платеж в

50 коп. в 2%.

Идентификация. При регистрации участнику WebMoney Transfer присваивается

12-значный WM-идентификатор, необходимый для работы в системе. WM-идентификатор

служит уникальным обозначением участника.

Владелец WM-идентификатора самостоятельно назначает пароль и определяет место

для хранения файлов с секретным ключом и кошельками. Он может вносить в информаци-

онные поля программы, данные о себе и при необходимости изменять их.

Помимо идентификации пользователей при помощи WM-идентификатора в системе

осуществляется аутентификация на основании секретного ключа и пароля к нему. Секретный

ключ не должен передаваться третьим лицам, поскольку является собственностью владельца

WM-идентификэтора.

Для удостоверения личности владельца WM-идентификатора в системе действует

WM-аттестация.

Пользователям системы предоставляется возможность использования автоматизиро-

ванных средств для идентификации и аутентификации участников при построении собствен-

ных приложений.

Безопасность. Технология WebMoney Transfer разработана с учетом современных

требований безопасности, предъявляемых к системам управления информацией через Ин-

тернет. Для обеспечения высокого уровня защиты данных и средств пользователей в системе

поддерживается комплекс мер, эффективность которого подтверждена практикой многолет-

ней бесперебойной работы системы. Рассмотрим некоторые меры безопасности, применяе-

мые в системе.

124

Для входа в программу WM Keeper необходимо знание уникального 12-значного

WM-идентификатора пользователя, его личного пароля (назначается пользователем), а также

места расположения в памяти компьютера файлов с секретным ключом и кошельками.

Архитектура системы исключает несанкционированный доступ к WM-кошелькам

пользователей и не позволяет проводить расчеты с использованием WM-кошельков, на кото-

рых нет средств (этой защиты, лишены, в частности, системы оплаты с помощью кредитных

карт).

Все операции в системе - хранение WebMoney на кошельках, выписка счетов, расче-

ты между участниками, обмен сообщениями - совершаются в зашифрованном виде, с ис-

пользованием алгоритма, подобного RSA, с длиной ключа более 1040 бит. Для каждого сеан-

са используются уникальные сеансовые ключи, что обеспечивает гарантированную конфи-

денциальность совершения сделок и обмена информацией.

На системном уровне обеспечивается устойчивость по отношению к обрывам связи.

Если какая-либо операция не была успешно завершена, она не учитывается системой. При

совершении транзакции средства всегда находятся либо на WM-кошельке отправителя, либо

на WM-кошельке получателя. Промежуточного состояния в системе не существует. Таким

образом, принципиально не может возникнуть ситуации, когда WM-средства будут потеря-

ны.

Конфиденциальность. При желании с помощью настроек программы WM Keeper

можно закрыть персональные сведения (имя, фамилию, E-mail, почтовый адрес и т.п.) для

просмотра другими участниками WebMoney Transfer. В этом случае при совершении сделок

вторая сторона не сможет получить указанных сведений.

Если в дальнейшем ваш торговый партнер потребует указания некоторых из выше-

перечисленных личных сведений, и вы согласитесь с этим требованием, то настройки про-

граммы WM Keeper позволят сделать эту информацию доступной.

По вашему WM-идентификатору невозможно определить номера используемых ва-

ми WM-кошельков. При желании вы можете инсталлировать на своем компьютере любое

число версий WM Keeper и входить в систему под разными WM-идентификаторами.

125

ЛИТЕРАТУРА

1. С.И. Пупликов, М.А. Коноплицкая, С.С. Шмарловская. Банковские операции:

Учеб. пособие / Под общ. ред. С.И. Пупликова. – Минск.: Выш. шк., 2003. – 351 с.

2. Деднев М.А., Дыльнов Д.В., Иванов М.А. Защита информации в банковском деле

и электронном бизнесе. М.: Кудиц-образ, 2004. – 512 с.

3. Голдовский И. Безопасность платежей в Интернете. – СПб.: Питер, 2001. – 240 с.

4. В. Пярин. Безопасность электронного бизнеса. Издательство ―Гелиос АРВ‖, 2002.

– 432 с.

5. Лыньков Л.М., Маслакова Н.А., Подельщикова Г.В., Прудник А.М. Международ-

ная телекоммуникационная система SWIFT: Учеб. пособие. – Минск.: БГУИР, 2002. – 56 с.

6. Лыньков Л.М., Петров А.Ю., Подельщикова Г.В., Прудник А.М. Основные бан-

ковские операции и обеспечение безопасности: Учеб. пособие. – Минск.: БГУИР, 2002. –

66 с.

7. Петренко С.А. Курбатов В.А. Политики информационной безопасности. М.: Ком-

пания АйТи, 2006. – 400 с.

8. Петренко С.А. Управление информационными рисками. Экономически оправдан-

ная безопасность. М.: Компания АйТи; ДМК Пресс, 2005. – 485 с.