Реферат: Проблемы информационной безопасности банков

* Прямые расчеты, при которых два банка осуществляют связь непосредственно между собой с помощью счетов "лоро-ностро", возможно, при участии третьего лица, играющего организационную или вспомогательную роль. Естественно, объем взаимных операций должен быть достаточно велик для оправдания затрат на организацию такой системы расчетов. Обычно такая система объединяет несколько банков, при этом каждая пара может связываться непосредственно между собой, минуя посредников. Однако в этом случае возникает необходимость управляющего центра, занимающегося защитой взаимодействующих банков (рассылкой ключей, управлением, контролем функционирования и регистрацией событий).

В мире существует достаточно много таких систем - от небольших, связывающих несколько банков или филиалов, до гигантских международных, связывающих тысячи участников. Наиболее известной системой этого класса является SWIFT.

В последнее время появился третий вид электронных платежей - обработка электронных чеков (electronic check truncation), суть которого состоит в прекращении пути пересылки бумажного чека в финансовой организации, в которой он был предъявлен. В случае необходимости дальше «путешествует» его электронный аналог в виде специального сообщения. Пересылка и погашение электронного чека осуществляются с помощью АКП. [2, с.291]

В 1990 г. NACHA анонсировала первый этап тестирования национальной экспериментальной программы «Electronic Check Truncation». Ее целью является сокращение расходов на обработку огромного количества бумажных чеков.

Пересылка денег с помощью системы электронных платежей включает следующие этапы (в зависимости от конкретных условий и самой системы порядок может меняться):

1. Определенный счет в системе первого банка уменьшается на требуемую сумму.

2. Корреспондентский счет второго банка в первом увеличивается на ту же сумму.

3. От первого банка второму посылается сообщение, содержащее информацию о выполняемых действиях (идентификаторы счетов, сумма, дата, условия и т.д.); при этом пересылаемое сообщение должно быть соответствующим образом защищено от подделки: зашифровано, снабжено цифровой подписью и контрольными полями и т.д.

4. С корреспондентского счета первого банка во втором списывается требуемая сумма.

5. Определенный счет во втором банке увеличивается на требуемую сумму.

6. Второй банк посылает первому уведомление о произведенных корректировках счета; это сообщение также должно быть защищено от подделки способом, аналогичным защите платежного сообщения.

7. Протокол обмена фиксируется у обоих абонентов и, возможно, у третьего лица (в центре управления сетью) для предотвращения конфликтов.

На пути передачи сообщений могут быть посредники - клиринговые центры, банки-посредники в передаче информации и т.п. Основная сложность таких расчетов - уверенность в своем партнере, то есть каждый из абонентов должен быть уверен, что его корреспондент выполнит все необходимые действия.

Для расширения применения электронных платежей проводится стандартизация электронного представления финансовых документов. Она была начата в 70-х годах в рамках двух организаций [2, с. 298]:

1) ANSI (American National Standart Institute) опубликовал документ ANSI X9.2-1080, (Interchange Message Specification for Debit and Credit Card Message Exchange Among Financial Institute, Спецификация обменных сообщений для дебетных и кредитных карточек обмена между финансовыми организациями). В 1988 аналогичный стандарт был принят ISO и получил название ISO 8583 (Bank Card Originated Messages Interchange Message Specifications - Content for Financial Transactions);

2) SWIFT (Society for Worldwide Interbank Financial Telecommunications) разработало серию стандартов межбанковских сообщений.

В соответствии со стандартом ISO 8583 финансовый документ содержит ряд элементов данных (реквизитов), расположенных в определенных полях сообщения или электронного документа (электронной кредитной карточки, сообщения в формате Х.400 или документа в синтаксисе EDIFACT). Каждому элементу данных (ЭД) назначается свой уникальный номер. Элемент данных может быть как обязательным (то есть входить в каждое сообщение данного вида), так и необязательным (в некоторых сообщениях может отсутствовать).

Битовая шкала определяет состав сообщения (те ЭД, которые в нем присутствуют). Если некоторый разряд битовой шкалы установлен в единицу, это означает, что соответствующий ЭД присутствует в сообщении. Благодаря такому методу кодирования сообщений уменьшается общая длина сообщения, достигается гибкость в представлении сообщений со многими ЭД, обеспечивается возможность включения новых ЭД и типов сообщений в электронный документ стандартной структуры. [2, с. 299]

Существует несколько способов электронных межбанковских платежей. Рассмотрим два из них: оплата чеком (оплата после услуги) и оплата аккредитивом (оплата ожидаемой услуги). Другие способы, как например оплата с помощью платежных требований или платежных поручений, имеют сходную организацию.

Оплата чеком основана на бумажном или другом документе, содержащим идентификацию подателя. Этот документ является основанием для перевода определенной в чеке суммы со счета владельца на счет подателя. Платеж чеком включает следующие этапы :

- получение чека;

- представление чека в банк;

- запрос о переводе со счета владельца чека на счет подателя;

- перевод денег;

- уведомление о платеже.

Основными недостатками таких платежей являются необходимость существования вспомогательного документа (чека), который легко подделать, а также значительные затраты времени на выполнение платежа (до нескольких дней).

Поэтому в последнее время более распространен такой вид платежей как оплата аккредитивом. Он включает следующие этапы:

- уведомление банка клиентом о предоставлении кредита;

- уведомление банка получателя о предоставлении кредита и перевод денег;

- уведомление получателя о получении кредита.

Такая система позволяет осуществлять платежи в очень короткие сроки. Уведомление о предоставлении кредита можно направлять по (электронной) почте, на дискетах, магнитных лентах.

Каждый из рассмотренных выше видов платежей имеет свои преимущества и свои недостатки. Чеки наиболее удобны при оплате незначительных сумм, а также при нерегулярных платежах. В этих случаях задержка платежа не очень существенна, а использование кредита нецелесообразно. Расчеты с помощью аккредитива обычно используются при регулярной оплате и для значительных сумм. В этих случаях отсутствие клиринговой задержки позволяет экономить много времени и средств за счет уменьшения периода оборота денег. Общим недостатком этих двух способов является необходимость затрат на организацию надежной системы электронных платежей. [2, с. 300]

Вопросы безопасности электронных платежей.

Для определения общих проблем защиты систем ОЭД рассмотрим в прохождение документа при ОЭД. Можно выделить три основных этапа:

- подготовка документа к отправке;

- передача документа по каналу связи;

- прием документа и его обратное преобразование.

С точки зрения защиты в системах ОЭД существуют следующие уязвимые места:

1. Пересылка платежных и других сообщений между банками или между банком и клиентом;

2. Обработка информации внутри организаций отправителя и получателя;

3. Доступ клиента к средствам, аккумулированным на счете.

Одно из наиболее уязвимых мест в системе ОЭД - пересылка платежных и других сообщений между банками, или между банком и банкоматом, или между банком и клиентом. При пересылке платежных и других сообщений возникают следующие проблемы:

- внутренние системы организаций Получателя и Отправителя должны быть приспособлены к получению/отправке электронных документов и обеспечивать необходимую защиту при их обработке внутри организации (защита оконечных систем);

- взаимодействие Получателя и Отправителя документа осуществляется опосредованно - через канал связи. Это порождает три типа проблем: 1) взаимного опознавания абонентов (проблема установления аутентификации при установлении соединения); 2) защиты документов, передаваемых по каналам связи (обеспечение целостности и конфиденциальности документов); 3) защиты самого процесса обмена документами (проблема доказательства отправления/доставки документа);

- в общем случае Отправитель и Получатель документа принадлежат к различным организациям и друг от друга независимы. Этот факт порождает проблему недоверия - будут ли предприняты необходимые меры по данному документу (обеспечение исполнения документа).

С технической точки зрения эти проблемы решаются с помощью нескольких механизмов, отвечающих за обеспечение адекватной безопасности электронных банковских систем. Работа большинства этих механизмов обеспечивается службами сети с расширенным набором услуг (Value-Added Network, VAN). Службы, реализующие ОЭД, должны выполнять следующие функции:

- обеспечить защиту от случайных и умышленных ошибок;

- обеспечить адаптацию к частым изменениям количества пользователей, типов оборудования, способов доступа, объемов трафика, топологии;

- поддерживать различные типы аппаратного и программного обеспечения, поставляемого различными производителями;

- осуществлять управление и поддержку сети для обеспечения непрерывности работы и быстрой диагностики нарушений;

- реализовывать полный спектр прикладных задач ОЭД, включая электронную почту;

- реализовывать максимально возможное число требований партнеров;

- включать службы резервного копирования и восстановления после аварий.

В системах ОЭД должны быть реализованы следующие механизмы, обеспечивающие реализацию функций защиты на отдельных узлах системы ОЭД и на уровне протоколов высокого уровня:

- равноправная аутентификацию абонентов;

- невозможность отказа от авторства сообщения/приема сообщения;

- контроль целостности сообщения;

- обеспечение конфиденциальности сообщения;

- управление доступом на оконечных системах;

- гарантии доставки сообщения;

- невозможность отказа or принятия мер по сообщению;

- регистрация последовательности сообщений;

- контроль целостности последовательности сообщений;

- обеспечение конфиденциальности потока сообщений.

Полнота решения рассмотренных выше проблем сильно зависит от правильного выбора системы шифрования. Система шифрования (или криптосистема) представляет собой совокупность алгоритмов шифрования и методов распространения ключей. Правильный выбор системы шифрования помогает:

- скрыть содержание документа от посторонних лиц (обеспечение конфиденциальности документа) путем шифрования его содержимого;

- обеспечить совместное использование документа группой пользователей системы ОЭД путем криптографического разделения информации и соответствующего протокола распределения ключей. При этом для лиц, не входящих в группу, документ недоступен;

- своевременно обнаружить искажение, подделку документа (обеспечение целостности документа) путем введения криптографического контрольного признака (имитовставки);

- удостовериться в том, что абонент, с которым происходит взаимодействие в сети является именно тем, за кого он себя выдает (аутентификация абонента/источника данных).

Следует отметить, что при защите систем ОЭД большую роль играет не столько шифрование документа, сколько обеспечение его целостности и аутентификация абонентов (источника данных) при проведении сеанса связи. Поэтому механизмы шифрования в таких системах играют обычно вспомогательную роль.

Надежность всей криптосистемы в целом во многом зависит от механизмов рассылки (распределения) ключей между участниками взаимодействия. Проблема рассылки ключей в настоящее время не имеет общих решений. В каждом конкретном случае она должна решаться с учетом особенностей функционирования всей защищаемой АСОИБ. Существует много различных подходов к решению этой проблемы. Не вдаваясь в тонкости каждого из них, поскольку это выходит далеко за рамки обсуждаемого предмета, кратко опишем основные: [2, с.305]

* Метод базовых/сеансовых ключей.

Суть метода состоит в том, что вводится иерархия ключей (главный ключ (ГК)/ключ шифрования ключей (КК)/ключ шифрования данных (КД).

Иерархия может быть двухуровневой (КК/КД) или трехуровневой (ГК/КК/КД). При этом старший ключ в иерархии распространяется между участниками взаимодействия неэлектронным образом, исключающем его перехват и/или компрометацию. Стандарт определяет три способа распространения ключей: непосредственная передача, передача с использованием центра распространения и передача с использованием центра трансляции ключей. Стандарт не применяется для распространения ключей между специализированными банковскими устройствами, такими как банкоматы и устройства расчета в точке продажи;

* Метод открытых ключей. Основан на односторонних преобразованиях, при которых часть ключа остается открытой и может быть передана по линиям связи в открытом виде. Это избавляет от дорогостоящей процедуры распространения ключей шифрования неэлектронным способом;

* Метод выведенного ключа, применяется для защиты информации, передаваемой между терминалом системы расчета в точке продажи и компьютером банка. При этом методе ключ для шифрования каждой следующей транзакции вычисляется путем одностороннего преобразования предыдущего ключа и параметров транзакции;

* Метод ключа транзакции. Также применяется для защиты информации, передаваемой между терминалом системы расчета в точке продажи и компьютером банка. Он отличается от метода выведенного ключа тем, что при вычислении ключа для следующей транзакции не используются ее параметры.

Жестким ограничением на реализацию мер по защите информации накладываются требования уже существующих стандартов ОЭД. Поскольку абсолютно неуязвимых систем не бывает, каждая организация должна самостоятельно решать вопрос об уровне защищенности собственной системы ОЭД: что лучше - затратить дополнительные средства на организацию и поддержание защиты или сэкономить и работать в условиях постоянного риска.

Необходимость поддержки электронных банковских услуг с помощью специальных банковских и других сетей, а также с помощью национальных клиринговых систем, радикально изменила отношения между банками и их клиентами. Только за последнее десятилетие стали доступны, а сейчас используются повсеместно, различные клиринговые системы, осуществляющие весь спектр банковских операций. Данные и инструкции вводятся, распределяются и обрабатываются в них в режиме реального времени.

Безопасность операций с наличностью и расчетных услуг требует принятия тех же общих мер, которые необходимы для защиты любой электронной финансовой услуги. Особое внимание необходимо обратить на защиту терминалов, подключенных к системам электронных платежей.

Если банк выполняет операции повышенного риска, то реализуемые процедуры обеспечения безопасности должны включать парольную защиту, многоуровневую авторизацию пользователей, контроль операций, ведение системного журнала. Также следует осуществлять разграничение доступа пользователей к терминалам и другим внешним устройствам, которые должны быть защищены физически. Для обеспечения безопасности данных, передаваемых по линиям связи, необходимо использовать криптографические методы.

Система безопасности центральной АСОИБ должна включать многоуровневый контроль доступа к периферийным устройствам и центральной базе данных.

Если операции повышенного риска не выполняются, некоторые требования к безопасности могут быть ослаблены или ликвидированы совсем. Задачи по обеспечению безопасности определяются для каждого конкретного случая индивидуально в процессе анализа риска.

В настоящее время в мире существует большое количество систем электронных платежей. Наиболее известные из них: [2, с.312]

- S.W.I.F.T. (The Society for Worldwide Inter-bank Financial Telecommunication) - бесприбыльное кооперативное международное сообщество, целью которого является организация межбанковских расчетов по всему миру.

- FedWire - самая крупная система американских межбанковских коммуникаций, соединяющая головные конторы округа Federal Reserve, ветви банков Federal Reserve и более 500 других банков с помощью центра коммутации в Вирджинии.

- CHAPS (Clearing Houses Automated Payment System) - система поддержки электронных платежей между сравнительно небольшой (около 300) группой банков Лондона, большинство из которых отделения иностранных банков, использующих Лондон в качестве расчетного центра.

- CHIPS (Clearing Houses Interbank Payment System) - клиринговая система США, организованная Нью-йоркской ассоциацией клиринговых палат (New York Clearing House Association - NYCHA) (см. [1]).

Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21