Контрольная работа: Алгоритми шифрування інформації
Контрольная работа: Алгоритми шифрування інформації
Державний вищий навчальний заклад
"Українська академія банківської справи
Національного банку України"
Кафедра економічної кібернетики
Контрольна робота
З дисципліни: “Платіжні системи"
Тема: Алгоритми шифрування інформації
Виконала:
студентка факультету банківських технологій
гр.
Перевірив: доц..
Суми 2008
Зміст
1. Принципи побудови захисту електронних банківських документів
2. Криптографічний захист інформації
3. Захист інформації та вирішення питань безпеки у СЕП
Список літератури
1. Принципи побудови захисту електронних банківських документів
Система захисту електронних банківських документів складається з комплексу апаратно-програмних засобів криптографічного захисту та ключової системи до них, технологічних і організаційних заходів щодо захисту нформації.
Система захисту електронних банківських документів в інформаційній мережі (далі - система захисту) включає:
а) усі етапи розроблення, упровадження та експлуатац програмно-технічного забезпечення в банківських установах, підключених до нформаційної мережі;
б) технологічні, апаратні, програмні засоби та організаційні заходи захисту;
в) чіткий розподіл відповідальності на кожному етапі підготовки, оброблення та виконання електронних банківських документів на всіх рівнях.
Система захисту забезпечує:
а) захист від несанкціонованого розшифрування та викривлення електронних банківських документів, появи фальсифікованих електронних банківських документів на будь-якому етапі оброблення;
б) автоматичне ведення протоколу оброблення електронних банківських документів з метою локалізації джерел появи порушень роботи програмно-технічних комплексів в інформаційній мережі;
в) захист від технічних порушень та збоїв апаратури {у тому числі збоїв та псування апаратних і програмних засобів, перешкод у каналах зв'язку);
г) належні умови для роботи програмно-технічних комплексів в інформаційній мережі, за яких фахівці банків - учасників СЕМП та Національного банку не можуть утручатись в оброблення електронних банківських документів після їх формування, та автоматичний контроль на кожному етапі їх оброблення.
Система захисту є єдиною для всіх інформаційних задач Національного банку і СЕМП. Для підвищення ступеня захисту міжбанківських електронних розрахункових документів у СЕМП використовуються додаткові засоби, уключаючи технологічний контроль. Технологічні та криптографічні засоби безпеки використовуються не лише в СЕМП, а й у всіх інформаційних задачах Національного банку.
Рекордна атака на платіжні системи. Картков шахраї щорічно викрадають близько 5 млрд. дол. Приблизно 2 млн. втрачають українці.
Інформація, що з’явилася минулого місяця в Інтернеті з посиланням на Associated Press, змусила вкотре серйозно задуматися про безпеку використання пластикових карток. Надбанням громадськості стали звістки про найбільшу за всю історію існування карткових платіжних систем атаку комп’ютерних шахраїв. За попередніми даними, комп’ютерним умільцям виявилася доступною інформація понад 40 млн. карткових рахунків. Чимало знайдеться й українських власників карток, що "засвітилися". Про масовість явища свідчить уже той факт, що шість чоловік (із близько 100 щасливих власників платіжних карток VISA, які працюють у відомій автору організації) були змушен звернутися до банку для перевипуску своїх карток. Напередодні ці люди зіштовхнулися з обмеженнями під час зняття готівки. "Укрсоцбанк", який емітував картки, не поспішав попередити клієнтів про можливі проблеми. Щоправда, після звернення в банк пластик, що "засвітився", перевипустили за рахунок емітента.
Ми припускаємо, хакер зламав сервер компан CardSystems Solutions, що опрацьовує трансакції по всьому світі, і впровадив у неї вірус, який певний час відстежував всі операції з картами, - цитують представника MasterСard Int. Джессіку Ентл інтернет-видання. Вірус передавав на сторону дані про ім’я власника картки, банк і номер рахунка. Представники компанії CardSystems Solutions Inc повідомили, що про наявність вірусу в системі їм стало відомо ще 22 травня. Інформацію ж про факт відтоку даних із сервера CardSystems оприлюднили лише через місяць після того, як було розпочато розслідування за цією справою. Скільки власників карток уже встигли постраждати з моменту зараження вірусом - невідомо.
Зламування баз даних, які зберігають конфіденційну інформацію власників пластикових карт, стало уже майже повсякденним явищем. Проте згадану аферу відрізняє як масштаб викрадено нформації, так і те, що вперше під загрозою опинилися гроші й наших власників пластику. Сервер, зламаний шахраями, опрацьовував усю інформацію, незалежно від типу операцій, тому в його базах даних були й ті картки, якими розраховувалися в Інтернеті, й ті, якими українці оплачували покупки в торговельних точках за кордоном. Навіть гордість виникає за наших співвітчизників. Кількість українців, які розплатилися за кордоном за допомогою пластику, становить не сотні, а десятки тисяч чоловік. Українські банки наприкінці минулого місяця вже отримали номери українських рахунків, які опинилися в списку потенційно розсекречених, і збираються перевипустити усі "засвічені" картки.
Зломщики комп’ютерів дістали доступ до нформації чотирьох платіжних систем. Найбільше потенційно постраждалих - серед власників карток системи VISA. Зловмисники отримали дані по 22 млн. карт. Постраждалих власників MasterCard менше - зловмисникам удалося скачати інформацію про 14 млн. карток цієї системи.4 млн. постраждалих використовували American Express або Discover Card.
Українці сьогодні користуються переважно картками двох перших платіжних систем. Хоч American Express і заявила нещодавно про вихід на український ринок, картки цієї елітної платіжної системи мають одиниці.
По всіх українських банках платіжними системами розіслані номери карт, що були в базі CardSystems й інформація з яких може перебувати в руках шахраїв. Ми радимо банкам перевіряти трансакції по цих картах і, якщо це можливо, то й перевипустити картки", - повідомив директор Української міжбанківської асоціації банків - членів Europay International Олександр Карпов.
Українські банки мають намір розв’язати проблему просто - вони готові перевипустити картки, що потрапили під підозру. Причому більшість банків згодні зробити це безплатно й у стислий термін. Деякі велик банки вже практично завершили цю процедуру. У заміні карток зацікавлений банк, і клієнт банку. Адже у разі надходження інформації про несанкціонован списання з рахунків щодо кожного випадку банки змушені проводити ретельне розслідування. Йдеться про опротестування конкретних сум, які відшкодовувати клієнту доведеться банку, після чого вимагати, щоб йому ці витрати покрила платіжна система. Залежно від складності ситуації розслідування може тривати від тижня до року. Тому банки вважають за краще переконувати клієнтів, чи карткові рахунки потрапили в списки розсекречених, у необхідності терміново заміни карток. Водночас банки радять про усякий випадок відкрити новий картковий рахунок усім, хто розраховувався пластиком за кордоном і знову збирається за кордон, незалежно від наявності номера його рахунка в списках, що надійшли. Правда, у цьому разі заміна відбуватиметься за рахунок власника картки.
Універсальна ж порада, запропонована банкірами, - підписатися на послуги sms-банкінгу, суть якої зводиться до нформування клієнта про кожну його трансакцію. Тоді клієнт дістає можливість відстежувати й оперативно припиняти спроби несанкціонованого використання сво платіжної картки.
В міру збільшення обсягів вітчизняного пластикового ринку проблема безпеки коштів на картках стає дедалі актуальнішою. В Україні емітуються досить дешеві карти й у масовому порядку. Ризик їхньо підробки при цьому, природно, зростає.
Офіційної статистики з діяльності карткових шахраїв в Україні нині не існує. Якщо банки і проводять роботу з моніторингу шахрайських операцій, то ця інформація є строго конфіденційною.
Відповідно до вимог Visa і Europay, збитки від діяльності карткових шахраїв не мають перевищувати 0,14% обсягу операцій із картами. Реально ж у країнах єврозони на частку шахраїв припадає 0,3% операцій, а в Україні, за неофіційними даними, - майже 1%, або 1-2 млн. доларів.
У світовому масштабі шахраї щорічно викрадають за допомогою пластикових карток систем Visa і Europay близько 5 млрд. дол. Світовий досвід показує, що кількість афер із картками залежить від "зрілості" ринку. Шахраї постійно шукають країни, які мають великі обсяги емісії карток, але ще не навчилися ефективно боротися з картковими зловживаннями. Сьогодні на українському ринку еквайрингу працює багато дрібних і середніх банків - еквайерів, не готових витрачати досить зусиль і коштів на безпеку й якість цієї послуги. У результаті рівень шахрайства з операцій із платіжними картками в Україн набагато вищий за світовий. Піклуватися ж про безпеку своїх грошей доводиться самому власнику картки.
КБ "Приватбанк" завершив дослідн випробування і приступив до промислової експлуатації системи моніторингу шахрайських операцій по платіжних картах, яка забезпечить більш високий рівень безпеки для власників пластикових карт, повідомляє "УНІАН" з посиланням на прес-службу банку.
Нова система моніторингу побудована на баз аналітичної системи TranzWare Data Warehouse і, зокрема, додатків TranzWare Fraud Analyzer, розроблених компанією Compass Plus.
За інформацією прес-служби, тепер всі основн потоки транзакцій, пов’язаних з операціями по платіжних картах банку, перевіряються системою моніторингу в реальному режимі.
Також банк проводить роботи по розширенню уточненню списку контролюючих правил (зараз система перевіряє операції за більш ніж 70 активними правилами).
За даними прес-служби, КБ "Приватбанк" планує використовувати і інші аналітичні додатки системи TranzWare Data Warehouse для подальшого дослідження нагромаджується в базі даних інформації по фінансових транзакціях, а також розширенню застосування розробленого упровадженого інструменту моніторингу на інші операції клієнтів банку.
КБ "Приватбанк" входить до числа найбільших українських банків. Національна мережа банківського обслуговування КБ "Приватбанк" включає 1 577 філіалів і відділень по всій територ України. На сьогоднішній день баком емітовано понад 5,3 млн. пластикових карток. В мережі обслуговування пластикових карт КБ "Приватбанк" працює 1 474 банкомати, 13 675 POS-терміналів. До кінця року банк планує збільшити сіть банкоматів до 2 300.
Компанія Compass Plus - російська компанія - розробник програмного забезпечення, рішень і технологій для систем електронних платежів. Створена в 1989 році. Продуктами компанії сімейства TranzWare оснащені більше 35 банків в Росії, країнах СНГ, Балтії, Європи і Азії.
2. Криптографічний захист інформації
Апаратно-програмні засоби криптографічного захисту інформації в СЕП забезпечують автентифікацію адресата та відправника міжбанківських електронних розрахункових документів і службових повідомлень СЕП, гарантують їх достовірність та цілісність у результаті неможливост підроблення або викривлення документів у шифрованому вигляді або за наявност ЕЦП.
Криптографічний захист інформації ма охоплювати всі етапи оброблення електронних банківських документів, починаючи з часу їх створення до зберігання в архівах банку. Використання різних криптографічних алгоритмів на різних етапах оброблення електронних банківських документів дає змогу забезпечити безперервний захист інформації в інформаційній мережі, а також відокремлене оброблення інформації стосовно різних задач нформатизації Національного банку.
Основною метою криптографічного захисту нформації є забезпечення конфіденційності та цілісності електронно банківської інформації, а також суворої автентифікації учасників СЕП і фахівців банківських установ, які беруть участь у підготовці та обробленні електронних банківських документів.
Для забезпечення розв'язання завдань суворо автентифікації банківських установ, підключених до інформаційної мережі, розроблено систему ідентифікації користувачів, яка є основою системи розподілу ключів криптографічного захисту.
Кожна банківська установа з точки зору захисту нформації має трибайтний ідентифікатор, перший знак якого є літерою відповідної території, на якій розташована ця банківська установа; другий та третій знаки є унікальним ідентифікатором банківської установи в межах ц території. Ці ідентифікатори узгоджені з адресами системи ЕП і є унікальними в межах банківської системи України.
Трибайтні ідентифікатори є основою для дентифікації робочих місць у банківських установах та ідентифікаторів ключ для всіх робочих місць банківської установи. Ідентифікатор ключів робочих місць складається з шести символів, з яких три перших є ідентифікаторами банківсько установи, четвертий символ визначає тип робочого місця (операціоніст, бухгалтер тощо), п'ятий та шостий символи - ідентифікатор конкретного робочого місця (тобто службової особи, яка відповідає за оброблення платіжної інформації на цьому робочому місці). Трибайтний ідентифікатор банківської установи вбудований у програму генерації ключів і не може бути змінений у банківській установі, що забезпечує захист від підроблення ключів від імені інших банківських установ.
Відповідні ідентифікатори ключів записуються в електронні картки, які є носіями ключової інформації для апаратного шифрування.
Для забезпечення захисту інформації від модифікації з одночасною суворою автентифікацією та безперервного захисту платіжної інформації з часу її формування система захисту СЕП та інших нформаційних задач включає механізми формування/перевірки ЕЦП на баз несиметричного алгоритму RSA.
Для забезпечення роботи цього алгоритму кожна банківська установа отримує від служб захисту інформації територіальних управлінь персональний генератор ключів із вбудованим ідентифікатором ц банківської установи. За допомогою цього генератора ключів банківська установа має змогу генерувати ключі для всіх робочих місць, які працюють з електронними банківськими документами. Для забезпечення захисту ключової інформації (а саме відкритих ключів) від викривлення та підроблення відкриті ключі ЕЦП мають надсилатися до служби захисту Інформації Національного банку для сертифікації (крім ключів для робочих місць операціоністів та інших, що використовуються лише в САБ).
Технологія накладання/перевірки ЕЦП у СЕП створена таким чином, щоб одна службова особа не мала змоги відіслати міжбанківський електронний розрахунковий документ. Під час формування міжбанківського електронного розрахункового документа на робочому місц операціоніста службова особа, яка формує цей документ, має накладати ЕЦП на документ за допомогою свого таємного ключа. Під час формування файла міжбанківських електронних розрахункових документів на робочому місці бухгалтера накладається ЕЦП на цей файл, що забезпечує захист від модифікації файла в цілому. Сформований таким чином платіжний файл обробляється АРМ-НБУ, де виконується перевірка ЕЦП операціоніста на кожному міжбанківському електронному розрахунковому документ та накладається ЕЦП АРМ-НБУ, який можуть перевірити всі банківські установи - учасники СЕП. Під час оброблення платіжних файлів на АРМ-2 виконується перевірка підписів на файлі в цілому та після формування файлів відповідних платежів накладається ЕЦП на файл у цілому за допомогою таємного ключа АРМ-2.
3. Захист інформації та вирішення питань безпеки у СЕП
Система захисту СЕП НБУ розроблялася разом з технологією та бухгалтерською моделлю. Під час експлуатації СЕП вона постійно аналізувалась і зміцнювалась. Захист електронних платіжних документів невід'ємною частиною програмно-апаратних комплексів СЕП, він не може бути виключений або змінений. Усі учасники електронних розрахунків у СЕП повинн мати відповідний дозвіл Національного банку України та дотримуватися всіх вимог безпеки. Крім того, кожний банк-учасник мусить мати систему захисту внутрішньобанківських розрахунків.
При розробці системи захисту були виділен такі завдання:
захист від злочинних дій (несанкціоноване розшифрування та викривлення платіжних повідомлень, поява фальсифікованих платежів на будь-якому етапі обробки - від клієнта банку до АРМ-1);
автоматичне ведення протоколу використання банківської мережі для локалізації джерел появи порушень роботи СЕП;
Страницы: 1, 2
