Інформаційні системи і технології в банках - Страхарчук А.Я. - Безпека в системі Internet-banking - iBank 2 UA

Питання організації безпеки під час створення та експлуатації систем дистанційного банківського обслуговування традиційно мають найважливіше значення.

Упровадження технологій ДБО вимагає комплексного підходу для вирішення технічних та організаційних питань інформаційної безпеки. Можна виділити два основні напрями інформаційної безпеки - безпека в системі ДБО та загальна інформаційна безпека банку.

Захист систем ДБО як мінімум має забезпечувати:

• однозначну ідентифікацію суб'єктів, що взаємодіють із системою (клієнта і банку);

• шифрування переданої фінансової інформації;

• безпеку каналів передачі інформації, захист носіїв інформації.

Сьогодні розв'язання цих проблем забезпечується професійними засобами захисту, що їх використовують як у західних, так і у вітчизняних системах ДБО.

Основні механізми забезпечення загальної інформаційної безпеки банку та безпеки в системі ДБО розглянемо на прикладі побудови системи безпеки Internet-banking - iBank 2 VA.

Безпека в системі Internet-banking - iBank 2 UA

Для забезпечення інформаційної безпеки в Internet-banking використовують такі механізми:

1. Електронний цифровий підпис {ЕЦП) під електронними документами - для забезпечення цілісності та автентичності (підтвердження авторства) інформації. ЕЦП клієнта використовується як аналог особистого підпису. Для формування ЕЦП клієнта використовують такі криптографічні алгоритми:

• ГОСТ 34.310-95 - процедура формування ЕЦП клієнта;

• ГОСТ 34.311 -95 - процедура обчислення хеш-функції.

У процесі попередньої реєстрації генерується пара ключів ЕЦП клієнта (секретний і відкритий). Генерація ключів відбувається з використанням криптографічного генератора псевдовипадкових чисел SecureRandorn.

Секретний ключ ЕЦП клієнта використовується для формування електронного цифрового підпису клієнта під його фінансовими документами та іншими розпорядженнями. Секретний ключ ЕЦП клієнта зберігається у файлі зашифрованим на паролі.

Відкритий ключ ЕЦП клієнта банк використовує для автентифікації клієнта і для перевірки ЕЦП клієнта під фінансовим документом. Перевірка ЕЦП клієнта здійснюється Сервером застосувань у момент підписання клієнтом документів, а також Шлюзом під час вивантаження документів у САБО банку. Відкриті ЕЦП клієнтів зберігаються в банку в Сервері БД системи iBank 2 UA у формі Сертифікатів відкритих ключів ЕЦП клієнтів, завірених банківським адміністратором.

2, Механізм криптографічної автентифікації сторін - для забезпечення захищеної взаємодії через Internet. Забезпечення криптографічної автентифікації сторін досягається внаслідок використання захищеного протоколу 551 під час установлення з'єднання між Web-сервером банку і клієнтом. Для підтвердження справжності Web-сервера здійснюється порівняння доменного імені сайта банку, що завантажується, з указаним у сертифікаті Web-сервера.

3. Шифрування даних - для забезпечення конфіденційності інформації, що передається через Internet. Шифрування інформації здійснюється за допомогою сесійних ключів, що генеруються на етапі встановлення з'єднання між клієнтом і Сервером застосувань. Для шифрування інформації використовують такі алгоритми:

• RSA - 1024 - асиметричний криптографічний алгоритм із модулем N довжиною 1024 біти. Використовується в процедурі узгодження сеансових ключів шифрування і контролю унікальності сесії';

• ГОСТ 28147-89 - симетричний алгоритм шифрування. Використовується Сервером застосувань для шифрування даних, що передаються.

В Internet-banking, як правило, ведуться контрольні архіви, в яких зберігаються всі електронні документи з ЕЦП для вирішення конфліктних ситуацій. У системі ведеться історія документів - ким і коли документ був створений, відредагований, підписаний, виконаний або відхилений. У системі iBank 2 UA також ведуться журнали обліку доступу клієнтів по всіх сервісах, у яких зберігається інформація про IP-адресу клієнта, час доступу, ідентифікатор ключа ЕЦП, що був використаний, проведені операції тощо.

Загальні питання IP-безпеки

При впровадження Internet-banking водночас проводять зміни поточної політики /Р-безпеки банку. Сервери системи Internet-banking, як правило, розміщують в окремому мережевому сегменті з доступом з мережі Internet, що контролюється на міжмережевому екрані (Firewall), і з внутрішньої захищеної мережі банку.

АРМ Адміністратор, АРМ Операціоніст і Шлюз для інтеграції Internet-banking із САБО розміщують у внутрішній захищеній мережі банку, де розташований сервер САБО,

На міжмережевому екрані додають такі права доступу:

• для обслуговування клієнтів дозволено вхідні з'єднання з мережі Internet тільки на ТСР-порти Web-сервера Internet-banking (протокол HTTPS) і Сервера застосувань Internet-banking (протокол ІВТР);

• для роботи АРМ Операціоніст дозволено вхідні з'єднання з внутрішньої захищеної мережі банку тільки на ТСР-порти Web-сервера Internet-banking (протокол HTTPS) і Сервера застосувань Internet-banking (протокол ІВТР);

• для роботи Шлюзу і АРМ Адміністратор дозволяються вихідні з'єднання з внутрішньої захищеної мережі банку тільки на ТСР-порти Сервера БД системи Internet-banking;

• заборонено всі вхідні з'єднання з мережі Internet і з внутрішньої захищеної мережі банку до сегменту із серверами Internet-banking для всіх інших TCP-портів та інших IP-протоколів;

• заборонено всі вихідні з'єднання зі сегментів із серверами Internet-banking;

• заборонено всі вхідні з'єднання у внутрішню захищену мережу банку, де розташований сервер САБО (це загальне правило, що не залежить від наявності системи Internet-banking).

Під час упровадження системи в банку здійснюється ретельне настроювання операційних систем на серверах Internet-banking - вилучається підтримка протоколів, що не використовуються, мережевих сервісів та служб. Повністю виключається мережевий доступ до файлової системи, задіюються вбудовані в ОС механізми аудиту.