В рубрику "Компании" | К списку рубрик | К списку авторов | К списку публикаций
В последнее время участились сообщения о случаях утечки конфиденциальных данных, имевшие место в международных платежных системах. Подобный ход событий следует признать закономерным, поскольку концепция защиты информации в этих системах была заложена в период их формирования (еще в 60-е годы прошлого века) и не претерпела существенного изменения.
Значительно повысить защищенность информации в действующих платежных системах можно, по нашему мнению, с помощью технологии добавленной (added) безопасности, элементы которой были применены при создании комплекса аппаратуры SEGMENT-RU. Основным элементом здесь является Российский модуль безопасности (РМБ). Отечественные криптографические стандарты реализованы в качестве второго (добавленного) контура в процедурах авторизации платежных транзакций, хранения в базе данных процессинговых систем ключевых данных и персональных данных владельцев карт.
Точки уязвимости
Анализ уровня защищенности поставляемого импортного оборудования позволил выявить ряд уязвимых с точки зрения безопасности точек.
Выход из положения найден
В условиях имеющихся ограничений действующей платежной системы были предложены следующие решения: создано АРМ ЦВРК, в котором технически исключается возможность формирования, обработки и хранения открытой ключевой информации и PIN-кодов вне приборов РМБ; хранение ключевой информации вне РМБ только в виде шифрограмм, создаваемых с применением алгоритма по ГОСТ 28147-89; доведение ключевой информации по открытым каналам связи только в виде шифрограмм, создаваемых с применением алгоритма шифрования (ГОСТ 28147-89); хранение ключевой информации в банкоматах и терминалах в памяти микропроцессоров РИК с использованием механизмов защиты от несанкционированного доступа, реализованных в них; обеспечение достоверности и целостности ключевой информации и специального программного обеспечения РМБ, влияющих на защиту информации, за счет алгоритмов цифровой подписи (ГОСТ-Р 34.10-94) и хэш-функции (ГОСТ 28147-89); защита транзакций в модифицированном сегменте с использованием как применяемых в системах VISA и MasterCard алгоритмов (DES, Triple DES), так и наложенных отечественных алгоритмов криптографической защиты (ГОСТ 28147-89).
Волшебные карты
Устройства РМБ-Б и РМБ-Т реализованы на базе РИК с ОС «ОСКАР». Они представляют собой полноформатную карту, устанавливаемую в ридер чип-карт, подключаемый по интерфейсу RS-232 внутри банкомата. Приложение, выполняемое ОС «ОСКАР», имеет следующие функции: активизация загруженного на АРМ ЦВРК мастер-ключа; генерация (выработка) рабочего ключа; шифрование и расшифровывание данных в режиме простой замены по ГОСТ 28147-89; формирование и проверка имитов-ставки на ключе по ГОСТ 28147-89; проверка предъявленного рабочего пароля и блокировка при восьмикратном неверном предъявлении.
Комплекс аппаратных средств РМБ независим от программного обеспечения процессинговой системы и может быть использован с иными типами информационных систем.
Опубликовано: Журнал "Information Security/ Информационная безопасность" #4, 2005