Системы POS обеспечивают следующие услуги:
- проверку и подтверждение чеков;
- проверку и обслуживание дебетовых и кредитных карточек;
- использование системы электронных расчетов.
Банки, финансирующие систему расчетов в точке продажи, таким образом расширяют список своих клиентов путем предоставления им больших удобств для покупок в магазинах с использованием удаленных устройств. Торговля, в свою очередь, увеличивает количество клиентов, расширяет управление имуществом, сохраняет время клиентов и уменьшает риск потери наличных денег.
Существует два типа систем POS. Основной из них предполагает, что продавец и покупатель имеют счета в одном и том же банке. Данные, необходимые для платежа, передаются через терминалы системы POS банковскому компьютеру, производится платеж, и деньги переводятся со счета покупателя на счет продавца. В более сложной системе участвуют два или более банков. При платеже сначала вызывается банк покупателя, производится платеж и записывается на магнитную ленту для передачи в расчетную палату. Расчетная палата в свою очередь пересылает данные о платеже в банк продавца, который кредитует платеж.
2.4 Проблемы идентификации при удаленном обслуживании
Персональный номер (идентификатор) (Personal Identification Number, PIN) - это последовательность цифр, используемая для идентификации клиента. Для ввода PIN как в АКА, так и в терминалах систем POS предусмотрена цифровая клавиатура, аналогичная телефонной. По способу назначения можно выделить следующие типы PIN [3]:
- назначаемые выведенные PIN;
- назначаемые случайные PIN;
- PIN, выбираемые пользователем.
Клиент различает только два типа PIN: PIN, который назначен ему банком, выдавшим карточку, и PIN, который пользователь может выбирать себе самостоятельно.
В связи с тем, что PIN предназначен для идентификации и аутентификации клиента, его значение должно быть известно только клиенту. Однако на практике PIN трудно удержать в памяти и поэтому клиент банка куда-нибудь его запишет (иногда - на саму карточку). В результате задача злоумышленника бывает сильно облегчена.
Использование PIN, назначенных банком, неудобно даже при небольшом их количестве. Много цифр сложно удерживать в памяти их приходится записывать. Для большего удобства клиента используются PIN, выбираемые им самим. Такой способ определения PIN, во-первых, позволяет клиенту использовать один и тот же PIN для различных целей, и, во-вторых, позволяет задавать PIN как совокупность букв и цифр.
PIN обычно состоит из четырех или шести цифр. Следовательно, для его перебора в наихудшем (для защиты естественно) случае необходимо осуществить 10.000 комбинаций (четырехсимвольный PIN). Такой перебор возможен за короткое время. Поэтому в системах, использующих такой PIN , должны быть предусмотрены меры защиты от подбора PIN.
Всего существуют два основных способа проверки PIN: алгоритмический и неалгоритмический.
Алгоритмический способ проверки заключается в том, что у пользователя запрашивается PIN, который преобразуется по определенному алгоритму с использованием секретного ключа и затем сравнивается со значением PIN, хранившемся на карточке. Достоинством этого метода проверки является:
- отсутствие копии PIN на главном компьютере, что исключает его раскрытие персоналом банка;
- отсутствие передачи PIN между АКА и главным компьютером банка, что исключает его перехват злоумышленником или навязывание результатов сравнения;
- облегчение работы по созданию программного обеспечения системы, так как уже нет необходимости действий в реальном масштабе времени.
Неалгоритмический способ проверки PIN, как это следует из его названия, не требует применения специальных алгоритмов. Проверка PIN осуществляется путем прямого сравнения полученного PIN со значениями, хранимыми в базе данных. Часто сама база данных со значениями PIN шифруется прозрачным образом, чтобы не затруднять процесс сравнения, но повысить ее защищенность.
Идентификация клиента с использованием PIN работает только в следующих случаях:
- отсутствует перехват карточки и/или PIN при передаче от банка клиенту;
- банковские карточки не воруют, не теряют и их невозможно подделать;
- PIN невозможно узнать при доступе к системе другим пользователем;
- PIN иным образом не может быть скомпрометирован;
- в электронной системе банка отсутствуют сбои и ошибки;
- в самом банке нет мошенников.
В качестве альтернативы PIN предлагается применять устройства идентификации, основанные на биометрическом принципе. Их широкое применение сдерживается высокой стоимостью.
3. ВЫБОР И ОБОСНОВАНИЕ МЕТОДОВ ЗАЩИТЫ УДАЛЕННЫХ БАНКОВСКИХ ТРАНЗАКЦИЙ
3.1 Основные требования обеспечения безопасности удаленных транзакций
С технической точки зрения проблемы защиты удаленных транзакций решаются с помощью нескольких механизмов, отвечающих за обеспечение адекватной безопасности электронных банковских систем. Работа большинства этих механизмов обеспечивается службами сети с расширенным набором услуг (Value-Added Network, VAN). Службы, реализующие обмен электронными документами, должны выполнять следующие функции:
- обеспечить защиту от случайных и умышленных ошибок
- обеспечить адаптацию к частым изменениям количества пользователей, типов оборудования, способов доступа, объемов трафика, топологии
- поддерживать различные типы аппаратного и программного обеспечения, поставляемого различными производителями
- осуществлять управление и поддержку сети для обеспечения непрерывности работы и быстрой диагностики нарушений
- реализовывать полный спектр прикладных задач ОЭД, включая электронную почту
- реализовывать максимально возможное число требований партнеров
- включать службы резервного копирования и восстановления после аварий.
В системах обмена электронными документами должны быть реализованы следующие механизмы, обеспечивающие реализацию функций защиты на отдельных узлах системы и на уровне протоколов высокого уровня [4]:
- равноправная аутентификацию абонентов;
- невозможность отказа от авторства сообщения/приема сообщения;
- контроль целостности сообщения;
- обеспечение конфиденциальности сообщения;
- управление доступом на оконечных системах;
- гарантии доставки сообщения;
- невозможность отказа от принятия мер по сообщению;
- регистрация последовательности сообщений;
- контроль целостности последовательности сообщений;
- обеспечение конфиденциальности потока сообщений.
Полнота решения проблем защиты обмена электронными документами сильно зависит от правильного выбора системы шифрования. Система шифрования (или криптосистема) представляет собой совокупность алгоритмов шифрования и методов распространения ключей. Правильный выбор системы шифрования помогает:
- скрыть содержание документа от посторонних лиц (обеспечение конфиденциальности документа) путем шифрования его содержимого;
- обеспечить совместное использование документа группой пользователей системы обмена электронных документов путем криптографического разделения информации и соответствующего протокола распределения ключей. При этом для лиц, не входящих в группу, документ недоступен;
- своевременно обнаружить искажение, подделку документа (обеспечение целостности документа) путем введения криптографического контрольного признака;
- удостовериться в том, что абонент, с которым происходит взаимодействие в сети, является именно тем, за кого он себя выдает (аутентификация абонента/источника данных).
Следует отметить, что при защите систем обмена электронными данными большую роль играет не столько шифрование документа, сколько обеспечение его целостности и аутентификация абонентов (источника данных) при проведении сеанса связи. Поэтому механизмы шифрования в таких системах играют обычно вспомогательную роль.
В общедоступных сетях распространены нападения хакеров. Это высококвалифицированные специалисты, которые направленным воздействием могут выводить из строя на длительное время серверы АБС (DоS-атака) или проникать в их системы безопасности. Практически все упомянутые угрозы способен реализовать хакер-одиночка или объединенная группа. Хакер может выступать как в роли внешнего источника угрозы, так и в роли внутреннего (сотрудник организации).
Для предотвращения проникновения в систему безопасности используются следующие средства защиты:
- шифрование содержимого документа;
- контроль авторства документа;
- контроль целостности документа;
- нумерация документов;
- ведение сессий на уровне защиты информации;
- динамическая аутентификация;
- обеспечение сохранности секретных ключей;
- надежная процедура проверки клиента при регистрации в прикладной системе;
- использование электронного сертификата клиента;
- создание защищенного соединения клиента с сервером.
Также необходимо применять комплекс технических средств защиты интернет-сервисов:
- брандмауэр (межсетевой экран) - программная и/или аппаратная реализация
- системы обнаружения атак па сетевом уровне;
- антивирусные средства;
- защищенные ОС, обеспечивающие уровень В2 но классификации защиты компьютерных систем и дополнительные средства контроля целостности программ и данных;
- защита на уровне приложений: протоколы безопасности, шифрования, ЭЦП, цифровые сертификаты, системы контроля целостности;
- защита средствами системы управления БД;
- защита передаваемых но сети компонентов программного обеспечения;
- мониторинг безопасности и выявление попыток вторжения, адаптивная защита сетей, активный аудит действий пользователей;
- обманные системы;
- корректное управление политикой безопасности.
Для проведения безопасных банковских транзакций должны выполняться:
Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17
