» Правило 3-2-1″ и как обеспечить защиту данных в электронной коммерции

Безопасность электронной коммерции

Интерес к электронной коммерции растет и продолжает расти. Российские компании
стремятся догнать по объемам продаж зарубежных коллег. По электронной коммерции
проводят семинары и конференции, пишут статьи и обзоры. Особое внимание уделяют
безопасности и защите электронных транзакций. Для компаний важно доверие пользователя
к электронным сделкам. Кратко рассмотрим этапы приобретения продуктов и услуг
через Internet.

Заказчик выбирает продукт или услугу через сервер электронного магазина и
оформляет заказ.

Заказ заносится в базу данных заказов магазина. Проверяется доступность продукта
или услуги через центральную базу данных. Если продукт не доступен, то заказчик
получает об этом уведомление. В зависимости от типа магазина, запрос на продукт
может быть перенаправлен на другой склад. В случае наличия продукта или услуги
заказчик подтверждает оплату и заказ помещается в базу данных. Электронный
магазин посылает заказчику подтверждение заказа. В большинстве случаев существует
единая база данных для заказов и проверки наличия товаров. Клиент в режиме
online оплачивает заказ. Товар доставляется заказчику.

Рассмотрим основные угрозы, которые подстерегают компанию на всех этапах.
Подмена страницы Web-сервера электронного магазина. Основной способ реализации
— переадресация запросов пользователя на другой сервер. Проводится путем замены
записей в таблицах DNS-серверов или в таблицах маршрутизаторов. Особенно это
опасно, когда заказчик вводит номер своей кредитной карты. Создание ложных
заказов и мошенничество со стороны сотрудников электронного магазина. Проникновение
в базу данных и изменение процедур обработки заказов позволяет незаконно манипулировать
с базой данных. По статистике больше половины всех компьютерных инцидентов
связано с собственными сотрудниками. Перехват данных, передаваемых в системе
электронной коммерции. Особую опасность представляет собой перехват информации
о кредитной карте заказчика. Проникновение во внутреннюю сеть компании и компрометация
компонентов электронного магазина. Реализация атак типа «отказ в обслуживании» и
нарушение функционирования или выведение из строя узла электронной коммерции.

В результате всех этих угроз компания теряет доверие клиентов и теряет деньги
от несовершенных сделок. В некоторых случаях этой компании можно предъявить
иск за раскрытие номеров кредитных карт. В случае реализации атак типа «отказ
в обслуживании» на восстановление работоспособности тратятся временные
и материальные ресурсы на замену оборудования. Перехват данных не зависит от
используемого программного и аппаратного обеспечения.. Это связано с незащищенностью
версии протокола IP (v4). Решение проблемы — использование криптографических
средств или переход на шестую версию протокола IP. В обоих случаях существуют
свои проблемы. В первом случае применение криптографии должно быть лицензировано
в соответствующем ведомстве. Во втором случае возникают организационные проблемы.
Еще возможны несколько угроз. Нарушение доступности узлов электронной коммерции
и неправильная настройка программного и аппаратного обеспечения электронного
магазина.

Методы защиты.

Все это говорит о необходимости комплексной защиты. Реально защита часто ограничивается
использованием криптографии (40-битной версии протокола SSL) для защиты информации
между броузером клиента и сервером электронного магазина и фильтром на маршрутизаторе.

Комплексная система защиты должна строиться с учетом четырех уровней любой
информационной системы. Уровень прикладного программного обеспечения (ПО),
отвечающий за взаимодействие с пользователем. Примером элементов этого уровня
— текстовый редактор WinWord, редактор электронных таблиц Excel, почтовая программа
Outlook, броузер Internet Explorer.

Уровень системы управления базами данных (СУБД), отвечающий за хранение и
обработку данных информационной системы. Примером элементов этого уровня —
СУБД Oracle, MS SQL Server, Sybase и MS Access. Уровень операционной системы
(ОС), отвечающий за обслуживание СУБД и прикладного программного обеспечения.
Примеры — ОС M S Windows NT, Sun Solaris, Novell Netware. Уровень сети, отвечающий
за взаимодействие узлов информационной системы. Примеры — протоколы TCP/IP,
IPS/SPX и SMB/NetBIOS.

Система защиты должна эффективно работать на всех уровнях. Иначе злоумышленник
сможет реализовать атаку на ресурсы электронного магазина. Опасны и внешние
и внутренние атаки. По статистике основная опасность исходит от внутренних
пользователей электронного магазина (операторов системы). Для получения несанкционированного
доступа к информации о заказах в базе данных есть следующие возможности. Прочитать
записи БД из MS Query, который позволяет получать доступ к записям многих СУБД
при помощи механизма ODBC или SQL-запросов.Прочитать нужные данные средствами
самой СУБД (уровень СУБД). Прочитать файлы базы данных непосредственно на уровне
операционной системы. Отправить по сети пакеты со сформированными запросами
на получение необходимых данных от СУБД. Или перехватить эти данные в процессе
их передаче по каналам связи (уровень сети).

Обычно основное внимание уделяется нижним двум уровням — уровню сети и операционной
системы. На уровне сети применяются маршрутизаторы и межсетевые экраны. На
уровне ОС — встроенные средства разграничения доступа. Этого недостаточно.
Представим, что злоумышленник получил идентификатор и пароль пользователя базы
данных магазина. Или перехватил их в процессе передачи по сети или подобрал
при помощи специальных программ. И межсетевой экран, и операционная система
пропускает злоумышленника ко всем ресурсам из-за предъявленных идентификатора
и пароля авторизованного пользователя. Это особенность функционирования экрана
и системы.

Нужны новые средства и механизмы защиты. Средствам обнаружения атак в настоящий
момент уделяется много внимания во всем мире. По прогнозам известных компаний
объемы продаж этих средств до 900 миллионов долларов в 2003 году. Эти средства
с одинаковой эффективностью функционируют внутри сети и снаружи, защищая от
внешних несанкционированных воздействий.

Эти средства позволяют своевременно обнаруживать и блокировать сетевые атаки
типа «отказ в обслуживании», направленные на нарушение работоспособности
электронного магазина. Одним из примеров средств обнаружения атак — система
RealSecure, разработанная компанией Internet Security Systems, Inc.

Любому программному обеспечению присущи определенные уязвимости, которые приводят
к реализации атак. И уязвимости проектирования системы eCommerce (например,
отсутствие средств защиты), и уязвимости реализации и конфигурации. Последние
два типа уязвимостей самые распространенные и встречаются в любой организации.
Перечислим несколько примеров. Ошибка переполнения буфера в броузерах Microsoft
и Netscape, ошибка реализации демона IMAP и почтовой программы sendmail, использование
пустых паролей и паролей менее 6 символов, запущенные, но не используемые сервисы,
например, Telnet. Все это может привести к реализации различного рода атак,
направленных на нарушение конфиденциальности и целостности обрабатываемых данных.

Необходимо своевременно обнаружить и устранить уязвимости информационной системы
на всех уровнях. Помогут средства анализа защищенности и сканеры безопасности.
Эти средства могут обнаружить и устранить много уязвимостей на сотнях узлов,
в т.ч. и удаленных на значительные расстояния. В этой области также лидирует
компания Internet Security Systems со своим семейством SAFEsuite. Система включает
функции поиска уязвимостей, работающих на всех четырех уровнях — Internet Scanner,
System Scanner и Database Scanner. Совместное применение разных средств защиты
на всех уровнях позволит построить надежную систему обеспечения информационной
безопасности eCommerce. Такая система полезна и пользователям, и сотрудникам
компании-провайдера услуг.

Она позволит снизить возможный ущерб от атак на компоненты и ресурсы электронного
магазина.

Рекомендуется использовать дополнительные средства защиты. Такие средства
могут быть как свободно распространяемыми, так и коммерческими продуктами.
Какие из этих средств лучше, решать в каждом конкретном случае по-своему. В
случае нехватки денег на приобретение средств защиты о приходится обращать
внимание на бесплатные средства. Однако использование таких средств связано
с некачественной защитой и отсутствием технической поддержки. Из коммерческих
российских средств, реализующих большое число защитных функций можно назвать
системы семейства SecretNet, разработанные предприятием «Информзащита».
Вообще, чисто техническими средствами решить задачу построения комплексной
системы защиты нельзя. Необходим комплекс организационных, законодательных,
физических и технических мер.

Часто организации используют частичные подходы для решения проблем с защитой.
Эти подходы основаны на их восприятии рисков безопасности. Администраторы безопасности
имеют тенденцию реагировать только на те риски, которые им понятны. На самом
деле таких рисков может быть больше. Администраторы понимают возможное неправильное
использование ресурсов системы и внешних атаки, но зачастую плохо знают об
истинных уязвимостях в сетях. Постоянное развитие информационных технологий
вызывает целый ряд новых проблем. Эффективная система обеспечения безопасности
предполагает наличие хорошо тренированного персонала, который выполняет функции.
П ридерживается стандартизованного подхода к обеспечению безопасности, внедряет
процедуры и технические средства защиты, проводит постоянный контроль подсистем
аудита, обеспечивающих анализ потенциальных атак.

Непрерывное развитие сетевых технологий при отсутствии постоянного анализа
безопасности приводит к тому, что с течением времени защищенность сети падает.
Появляются новые неучтенные угрозы и уязвимости системы. Есть понятие — адаптивная
безопасность сети. Она позволяет обеспечивать защиту в реальном режиме времени,
адаптируясь к постоянным изменениям в информационной инфраструктуре. Состоит
из трех основных элементов — технологии анализа защищенности, технологии обнаружения
атак, технологии управления рисками. Технологии анализа защищенности являются
действенным методом, позволяющим проанализировать и реализовать политику сетевой
безопасности. Системы анализа защищенности проводят поиск уязвимостей, но наращивая
число проверок и исследуя все ее уровни. Обнаружение атак — оценка подозрительных
действий, которые происходят в корпоративной сети. Обнаружение атак реализуется
посредством анализа журналов регистрации операционной системы и прикладного
ПО и сетевого трафика в реальном времени. Компоненты обнаружения атак, размещенные
на узлах или сегментах сети, оценивают различные действия.

Как частный и наиболее распространенный случай применения систем обнаружения
можно привести ситуацию с неконтролируемым применением модемов. Системы анализа
защищенности позволяют обнаружить такие модемы, а системы обнаружения атак
— идентифицировать и предотвратить несанкционированные действия, осуществляемые
через них. Аналогично средствам анализа защищенности средства обнаружения атак
также функционируют на всех уровнях корпоративной сети. В качестве примера
также можно привести разработки компании ISS, как лидера в области обнаружения
атак и анализа защищенности.

Мошенничество в Интернете.

К сожалению, в Интернете высокие показатели уровня мошенничества являются сдерживающим фактором развития всей электронной коммерции. Потребители, торговля и коммерческие организации боятся использовать эту технологию из-за риска финансовых потерь. Интернет используется главным образом в качестве канала для получения информации. Лишь около 2% поисков по каталогам и базам данных Интернета заканчивается покупкой.

Существует множество типов мошенничества, от которых страдает безопасность электронной коммерции. Основные типы приведены ниже.

Транзакции и безналичный расчет. Выполненные мошенниками транзакции с использованием реквизитов карточки, передают им настоящие данные о карте и грозят полным опустошением счета без получения желаемых услуг или товаров.

Базы данных и личная переписка. Получение информации о клиенте через взлом баз данных торговых предприятий или путем несанкционированного доступа к личной переписке покупателя, содержащей его персональные данные.

Магазины-однодневки. Интернет-магазины, возникающие на непродолжительный период, созданные для получения средств от покупателей за несуществующие товары или услуги.

Ложная стоимость и повторные списания. Увеличение стоимости товаров по отношению к заявленной покупателю цене и повторные списания средств со счетов клиента.

Магазины-шпионы. Интернет-магазины и торговые агенты, предназначенные для сбора данных о реквизитах пластиковых карт и другой личной информации о клиенте.

Читать также: Каковы преимущества и недостатки электронной коммерции в 2021-2022 годах?

Таким образом, безопасность электронной коммерции, как для клиентов, так и для организаций, является основной проблемой, сдерживающей развитие электронной коммерции в интернете.

Задачи ИБ в e-commerce

• Обеспечить финансовую стабильность
• Обеспечение безопасности корпоративных ресурсов (информационная инфраструктура, веб-ресурсы);
• Защита конечных устройств;
• Защита чувствительной информации и персональных данных;
• Соответствие требованиям регуляторов;
• Предотвращение утечек информации;
• Выявление внутренних злоупотреблений и нелояльных сотрудников.

Сравнительные характеристики протоколов SSL и SET

Платежные системы являются наиболее критичной частью электронной коммерции и будущее их присутствия в сети во многом зависит от возможностей обеспечения информационной безопасности и других сервисных функций в Интернете. SSL и SET — это два широко известных протокола передачи данных, каждый из которых используется в платежных системах Интернета. Мы попытаемся сравнить SSL и SET и оценить их некоторые важнейшие характеристики.

Итак, рассмотрим важнейшую функцию аутентификации (проверки подлинности) в виртуальном мире, где отсутствуют привычные физические контакты. SSL обеспечивает только двухточечное взаимодействие. Мы помним, что, в процесс транзакции кредитной карточки вовлечены, по крайней мере, четыре стороны: потребитель, продавец, банк-эмитент и банк-получатель. SET требует аутентификации от всех участвующих в транзакции сторон.

SET предотвращает доступ продавца к информации о пластиковой карточке и доступ банка-эмитента к частной информации заказчика, касающейся его заказов. В SSL разрешается контролируемый доступ к серверам, директориям, файлам и другой информации. Оба протокола используют современную криптографию и системы цифровых сертификатов, удостоверяющих цифровые подписи взаимодействующих сторон. SSL предназначен преимущественно для защиты коммуникаций в Интернете. SET обеспечивает защиту транзакций электронной коммерции в целом, что обеспечивает юридическую значимость защищаемой ценной информации. При этом через SET транзакция происходит медленней, чем в SSL, и ее стоимость намного выше. Последняя характеристика весьма актуальна для сегодняшнего российского рынка, на котором пока не считают риски и эксплуатационные расходы.

Следует добавить, что, используя SSL, потребители подвергаются риску раскрытия реквизитов своих пластиковых карточек продавцу.

Внедрение и эксплуатация SET осуществляется много лет в нескольких десятках проектов во всем мире. Например, первая транзакция SET была проведена 30-го декабря 1996 в PBS (Датский банк) в совместном проекте IBM и MasterCard. Аналогичная работа проведена в 1997 г. в крупнейшем японском банке Fuji Bank, где пришлось адаптировать протокол к специфическому японскому законодательству. За прошедшее время подобные внедренческие проекты позволили отработать функции протокола и соответствующую документацию.

Кстати, IBM имеет полный набор продуктов, который охватывает все ключевые аспекты комплексного использования SET в целом и обеспечивает развитую инфраструктуру:

IBM Net.commerce Suite для продавцов, организующих интернет-магазины;
IBM Consumer Wallet для держателей карточек;
IBM Payment Gateway — шлюз платежей для банков;
IBM Net. Payment Registry — продукт для аутентификации и сертификации.

SET функционирует на разных вычислительных платформах таких компаний, как IBM, Hewlett Packard, Sun Microsystems и Microsoft.

В свою очередь SSL используется в основном в Web-приложениях и для защиты коммуникаций в Интернете. Существует также свободно распространяемая версия SSL, называемая SSLeay. Она содержит исходный код на C, который может быть встроен в такие приложения, как Telnet и FTP. Благодаря этим качествам SSL получил широкое распространение в корпоративных интранет-сетях и в системах с небольшим количеством пользователей.

Несмотря на технологическое совершенство протокола SET, его использование в мире весьма ограничено. Тому имеется множество причин, решающей среди которых является высокая стоимость внедрения системы электронной коммерции на базе протокола SET (стоимость SET-решения колеблется от $600 до 1500 тыс.

Протокол SSL обеспечивает лишь конфинденциальность данных транзакции при их передачи через сеть общего пользования, но при этом является существенно более дешевым для внедрения. В результате подавляющее число современных систем электронной коммерции используют протокол SSL.

Эксперты и разработчики протокола SET ошиблись, предсказывая быстрое и повсеместное внедрение этого стандарта. Более того, ведутся настойчивые разговоры о том, что протокол SET уже является вчерашним днем и его шансы на выживание ничтожны.

Такие разговоры начались еще летом 2000г. , когда VISA International сделала заявление, в соответствии с которым протокол 3D SET (разновидность SET) становится стандартом для стран Евросоюза, Латинской Америки и некоторых других европейских стран, включая Россию. В то же время на самом крупном американском рынке в качестве стандарта был провозглашен протокол 3D SSL (другое название протокола — 3D Payer).

Глава российского представительства Visa Int. Лу Наумовский согласен с тем, что SET не нашел спроса:

«Это очень хорошая технология. Но, судя по реакции банков, не только российских, но и зарубежных, — она дороговата. Банку-эмитенту, использующему протокол SET для отслеживания операций по картам, приходится самому держать базу данных банков-эквайреров и торговых точек. Мы пытались найти более дешевую альтернативу этому протоколу».

В мае 2001 г. были опубликованы спецификации на стандарт 3D Secure, претендующий на роль глобального стандарта аутентификации в платежной системе Visa. По решению Европейского союза в июле 2002 г. все интернет-магазины получили идентификацию на уровне этого протокола. Следовательно, банк-эквайрер таких интернет-магазинов должен иметь возможность предоставить им этот протокол. В случае отсутствия 3D Secure всю ответственность при спорных трансакциях несет он сам. Если он использует 3D Secure, а банк-эмитент нет, то ответственность берет на себя последний.

Принцип работы 3D Secure в том, что есть три различных домена — банка-эмитента, интернет-магазина и Visa, через домен которой идет сообщение между покупателем, продавцом и банками. Очень важно, что все сообщения идут через интернет. При этом Visa обеспечивает конфиденциальность информации. После того как покупатель нажимает на интернет-странице на лозунг Verified by Visa и вводит свой пароль, эта информация идет к банку-эмитенту и происходит идентификация. Банк-эмитент через домен Visa отправляет запрос в интернет-магазин, после чего этот магазин идентифицируется своим банком-эквайрером. Таким образом, данные держателя карты известны только банку-эмитенту. В то же время владелец карты уверен в том, что данный магазин имеет Verified by Visa, то есть сертифицирован Visa через банк-эквайрер. В том случае, если банк-эмитент не получит от домена Visa подтверждения, что магазин имеет Verified by Visa, транзакция не произойдет.

Конечно, владелец карты может сделать покупки и в других, не имеющих статуса Verified by Visa, интернет-магазинах. Тогда ответственность по спорным сделкам несет банк-эмитент, и он должен будет предупреждать своих клиентов об этом.

Протоколы TCP/IP нового поколения (IPv6) включают следующие новые черты: расширенное адресное пространство; улучшенные возможности маршрутизации; управление доставкой информации; средства обеспечения безопасности, использующие алгоритмы аутентификации и шифрования.

Спецификация IPsec, дополнительная по отношению к текущей версии протоколов TCP/IP и входящая в стандарт IPv6, разрабатывается Рабочей группой IP Security Тематической группы по технологии Интернет. В настоящее время IPsec включает 3 алгоритмо-независимых базовых спецификаций, опубликованных в качестве следующих RFC-документов.

Разработаный IETF протокол IPsec, предусматривает стандартный способ шифрования трафика на сетевом (третьем) уровне IP и обеспечивает защиту на основе сквозного шифрования. IPsec шифрует каждый проходящий по каналу пакет независимо от приложения. Это позволяет организации создавать в Интернет виртуальные частные сети. IPsec поддерживает DES, MD5 и ряд других криптографических алгоритмов. IPsec предназначен для работы поверх связных протоколов.

Преимущества обеспечения информационной безопасности на сетевом уровне с помощью IPsec включают:

поддержка немодифицированных конечных систем;
поддержка иных протоколов, чем ТСР;
поддержка виртуальных сетей в незащищенных сетях;
защита заголовка транспортного уровня от перехвата, т.е. более надежная защита от анализа трафика;
защита от атак типа «отказ в обслуживании».

IPsec имеет еще два важных преимущества — при его применении не требуется изменение промежуточных устройств в сети и рабочие места и серверы необязательно должны поддерживать IPsec.

IPsec — это система, использующая несколько различных методов для обеспечения комплексной информационной безопасности. Она использует:

обмен ключами через открытую сеть на основе криптографического алгоритма Диффи-Хеллмана;
применение цифровой подписи с использованием открытого ключа;
алгоритм шифрования, подобный DES, для шифрования передаваемых данных;
использование хэш-алгоритма для определения подлинности пакетов.

Протокол IPsec был разработан в рамках усилий по созданию средств защищенной передачи пакетов для IPv6, протокола IP следующего поколения сети Интернет — 2. Их спецификация продолжает совершенствоваться по мере выхода на рынок все новых и новых программных продуктов.

В нашей стране из различных стандартов по безопасности информационных технологий следует отметить ряд современных стандартов и документов, регламентирующих защиту взаимосвязи открытых систем (ВОС):

ГОСТ Р ИСО 7498-2-99 Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации;
ГОСТ Р ИСО/МЭК 9594-8-98 Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 8. Основы аутентификации;
ГОСТ Р ИСО/МЭК 9594-9-95 Информационная технология. Взаимосвязь открытых систем. Справочник. Часть 9. Дублирование;

К ним можно добавить нормативные документы по средствам, системам и критериям оценки защищенности средств вычислительной техники и автоматизированных систем, которыми являются:

руководящий документ ГОСТЕХКОММИССИИ «РД. СВТ. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации» (Гостехкомиссия России, 1997);
ГОСТ Р 50739-95 «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования»;
ГОСТ28147-89.Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования;
ГОСТ Р 34.10-94. Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной подписи на базе асимметричного криптографического алгоритма;
ГОСТ Р 34.11-94. Информационная технология. Криптографическая защита информации. Функция хэширования.

Последняя группа документов преимущественно ориентирована на защиту государственной тайны также как и многие ранее созданные зарубежные документы.

Следуя по пути интеграции, в 1990 году Международная организация по стандартизации (ИСО) начала создавать международные стандарты по критериям оценки безопасности информационных технологий для общего использования, названные «Common Criteria(CC)» или «Общие Критерии Оценки Безопасности Информационных Технологий(ОК)». В разработке Общих Критериев участвовали: Национальный институт стандартов и технологии и Агентство национальной безопасности (США), Учреждение безопасности коммуникаций (Канада), Агентство информационной безопасности (Германия), Агентство национальной безопасности коммуникаций (Голландия), Органы исполнения Программы безопасности и сертификации ИТ (Англия), Центр обеспечения безопасности систем (Франция), которые опирались на солидный задел.

Новые критерии адаптированы к потребностям взаимного признания результатов оценки безопасности ИТ в мировом масштабе и предназначены для использования в качестве основы для такой оценки. За десятилетие разработки лучшими специалистами мира ОК неоднократно редактировались. В результате был подготовлен Международный Стандарт ISO/IEC 15408. Текст документа ISO/IEC 15408 был опубликован как «Общие критерии оценки безопасности информационных технологий» (ОК) и в 1999 году утвержден. Ведущие мировые производители оборудования ИТ основательно подготовились к этому моменту и сразу стали поставлять заказчикам любые средства, полностью отвечающие требованиям ОК.

Читать также: Как принимать международные платежи. В обзоре методов международных платежей и решений для электронной коммерции

Подводя итог вышеизложенному, следует отметить, что для защиты интересов субъектов информационных отношений необходимо сочетать меры следующих уровней:

законодательного;
административного;
процедурного;
программно-технического.

В современном мире нормативно-правовая база должна быть согласована с международной практикой. Назрела необходимость приведения российских стандартов и сертификационных нормативов в соответствие с международным уровнем ИТ вообще и по критериям оценки безопасности информационных технологий в частности. Приведем основные причины:

необходимость защищенного взаимодействия с зарубежными организациями и зарубежными филиалами российских организаций;
доминирование аппаратно-программных продуктов зарубежного производства.

Обеспечение безопасности ИТ невозможно без разработки соответствующих законодательных актов и нормативно-технических документов. Новые критерии оценки безопасности информационных технологий занимают среди них особое место. Только стандартизованные отечественные критерии позволяют проводить сравнительный анализ и сопоставимую оценку продуктов ИТ.

Шифрование и электронно-цифровая подпись.

При помощи процедуры шифрования отправитель сообщения преобразует его из простого
сообщения в набор символов, не поддающийся прочтению без применения специального
ключа, известного получателю. Получатель сообщения, используя ключ, преобразует
переданный ему набор символов обратно в текст. Обычно алгоритмы шифрования
известны и не являются секретом. Конфиденциальность передачи и хранения зашифрованной
информации обеспечивается за счет конфиденциальности ключа. Степень защищенности
зависит от алгоритма шифрования и от длины ключа, измеряемой в битах. Чем длиннее
ключ, тем лучше защита, но тем больше вычислений надо провести для шифрования
и дешифрования данных. Основные виды алгоритмов шифрования – симметричные и
асимметричные. Симметричные методы шифрования удобны тем, что для обеспечения
высокого уровня безопасности передачи данных не требуется создания ключей большой
длины. Это позволяет быстро шифровать и дешифровать большие объемы информации.
Вместе с тем, и отправитель, и получатель информации владеют одним и тем же
ключом, что делает невозможным аутентификацию отправителя. Кроме того, для
начала работы с применением симметричного алгоритма сторонам необходимо безопасно
обменяться секретным ключом, что легко сделать при личной встрече, но весьма
затруднительно при необходимости передать ключ через какие-либо средства связи.
Схема работы с применением симметричного алгоритма шифрования состоит из следующих
этапов. Стороны устанавливают на своих компьютерах программное обеспечение,
обеспечивающее шифрование и расшифровку данных и первичную генерацию секретных
ключей.

Генерируется секретный ключ и распространяется между участниками информационного
обмена. Иногда генерируется список одноразовых ключей. В этом случае для каждого
сеанса передачи информации используется уникальный ключ. При этом в начале
каждого сеанса отправитель извещает получателя о порядковом номере ключа, который
он применил в данном сообщении. Отправитель шифрует информацию при помощи установленного
программного обеспечения, реализующего симметричный алгоритм шифрования, зашифрованная
информация передается получателю по каналам связи. Получатель дешифрует информацию,
используя тот же ключ, что и отправитель. Приведем обзор некоторых алгоритмов
симметричного шифрования.

DES (Data Encryption Standard). Разработан фирмой IBM и широко используется
с 1977 года. В настоящее время несколько устарел, поскольку применяемая в нем
длина ключа недостаточна для обеспечения устойчивости к вскрытию методом полного
перебора всех возможных значений ключа.

Triple DES. Это усовершенствованный вариант DES, применяющий для шифрования
алгоритм DES три раза с разными ключами. Он значительно устойчивее к взлому,
чем DES. Rijndael. Алгоритм разработан в Бельгии. Работает с ключами
длиной 128, 192 и 256 бит. На данный момент к нему нет претензий у специалистов
по криптографии. Skipjack. Алгоритм создан и используется Агентством национальной
безопасности США. Длина ключа 80 бит. Шифрование и дешифрование информации
производится циклически (32 цикла). IDEA. Алгоритм запатентован в США
и ряде европейских стран. Держатель патента компания Ascom-Tech. Алгоритм использует
циклическую обработку информации (8 циклов) путем применения к ней ряда математических
операций. RC4. Алгоритм специально разработан для быстрого шифрования больших
объемов информации. Он использует ключ переменной длины (в зависимости от необходимой
степени защиты информации) и работает значительно быстрее других алгоритмов.
RC4 относится к так называемым потоковым шифрам.

Электронная цифровая подпись (ЭЦП) является электронным эквивалентом собственноручной
подписи. ЭЦП служит не только для аутентификации отправителя сообщения, но
и для проверки его целостности. При использовании ЭЦП для аутентификации отправителя
сообщения применяются открытый и закрытый ключи. Процедура похожа на осуществляемую
в асимметричном шифровании, но в данном случае закрытый ключ служит для шифрования,
а открытый — для дешифрования.

Алгоритм применения ЭЦП состоит из ряда операций. Генерируется пара ключей
— открытый и закрытый. Открытый ключ передается заинтересованной стороне (получателю
документов, подписанных стороной, сгенерировавшей ключи). Отправитель сообщения
шифрует его своим закрытым ключом и передает получателю по каналам связи. Получатель
дешифрует сообщение открытым ключом отправителя.

По материалам отечественной прессы.

При помощи процедуры шифрования отправитель сообщения преобразует его из простого
сообщения в набор символов, не поддающийся прочтению без применения специального
ключа, известного получателю. Получатель сообщения, используя ключ, преобразует
переданный ему набор символов обратно в текст. Обычно алгоритмы шифрования
известны и не являются секретом. Конфиденциальность передачи и хранения зашифрованной
информации обеспечивается за счет конфиденциальности ключа. Степень защищенности
зависит от алгоритма шифрования и от длины ключа, измеряемой в битах. Чем длиннее
ключ, тем лучше защита, но тем больше вычислений надо провести для шифрования
и дешифрования данных. Основные виды алгоритмов шифрования – симметричные и
асимметричные. Симметричные методы шифрования удобны тем, что для обеспечения
высокого уровня безопасности передачи данных не требуется создания ключей большой
длины. Это позволяет быстро шифровать и дешифровать большие объемы информации. Вместе с тем, и отправитель, и получатель информации владеют одним и тем же
ключом, что делает невозможным аутентификацию отправителя. Кроме того, для
начала работы с применением симметричного алгоритма сторонам необходимо безопасно
обменяться секретным ключом, что легко сделать при личной встрече, но весьма
затруднительно при необходимости передать ключ через какие-либо средства связи. Схема работы с применением симметричного алгоритма шифрования состоит из следующих
этапов. Стороны устанавливают на своих компьютерах программное обеспечение,
обеспечивающее шифрование и расшифровку данных и первичную генерацию секретных
ключей.

Triple DES. Это усовершенствованный вариант DES, применяющий для шифрования
алгоритм DES три раза с разными ключами. Он значительно устойчивее к взлому,
чем DES. Rijndael. Алгоритм разработан в Бельгии. Работает с ключами
длиной 128, 192 и 256 бит. На данный момент к нему нет претензий у специалистов
по криптографии. Skipjack. Алгоритм создан и используется Агентством национальной
безопасности США. Длина ключа 80 бит. Шифрование и дешифрование информации
производится циклически (32 цикла). IDEA. Алгоритм запатентован в США
и ряде европейских стран. Держатель патента компания Ascom-Tech. Алгоритм использует
циклическую обработку информации (8 циклов) путем применения к ней ряда математических
операций. RC4. Алгоритм специально разработан для быстрого шифрования больших
объемов информации. Он использует ключ переменной длины (в зависимости от необходимой
степени защиты информации) и работает значительно быстрее других алгоритмов. RC4 относится к так называемым потоковым шифрам.

Протокол SET

Протокол выполнения защищенных транзакций SET является стандартом, разработанным компаниями MasterCard и VISA при значительном участии IBM, GlobeSet и других партнеров. Он позволяет покупателям приобретать товары через Интернет, используя самый защищенный на настоящее время механизм выполнения платежей. SET является открытым стандартным многосторонним протоколом для проведения безопасных платежей с использованием пластиковых карточек в Интернет. SET обеспечивает кросс-аутентификацию счета держателя карточки, продавца и банка продавца для проверки готовности оплаты товара, целостность и секретность сообщения, шифрование ценных и уязвимых данных. Поэтому SET можно назвать стандартной технологией или системой протоколов выполнения безопасных платежей с использованием пластиковых карточек через Интернет.

SET позволяет потребителям и продавцам подтвердить подлинность всех участников сделки, происходящей в Интернет, с помощью криптографии, применяя, в том числе, и цифровые сертификаты.

Объем потенциальных продаж в области электронной коммерции ограничивается достижением необходимого уровня безопасности информации, который обеспечивают вместе покупатели, продавцы и финансовые институты, обеспокоенные вопросами обеспечения безопасности платежей через Интернет. Как упоминалось ранее, базовыми задачами защиты информации являются обеспечение ее доступности, конфиденциальности, целостности и юридической значимости. SET, в отличии от других протоколов, позволяет решать указанные задачи защиты информации.

В результате того, что многие компании занимаются разработкой собственного программного обеспечения для электронной коммерции, возникает еще одна проблема. В случае использования этого ПО все участники операции должны иметь одни и те же приложения, что практически неосуществимо. Следовательно, необходим способ обеспечения механизма взаимодействия между приложениями различных разработчиков.

В связи с перечисленными выше проблемами компании VISA и MasterCard вместе с другими компаниями, занимающимися техническими вопросами (например IBM, которая является ключевым разработчиком в развитии протокола SET), определили спецификацию и набор протоколов стандарта SET. Эта открытая спецификация очень быстро стала де-факто стандартом для электронной коммерции. В этой спецификации шифрование информации обеспечивает ее конфиденциальность. Цифровая подпись и сертификаты обеспечивают идентификацию и аутентификацию (проверку подлинности) участников транзакций. Цифровая подпись также используется для обеспечения целостности данных. Открытый набор протоколов используется для обеспечения взаимодействия между реализациями разных производителей.

SET обеспечивает следующие специальные требования защиты операций электронной коммерции:

секретность данных оплаты и конфиденциальность информации заказа, переданной вместе с данными об оплате;
сохранение целостности данных платежей; целостность обеспечивается при помощи цифровой подписи;
специальную криптографию с открытым ключом для проведения аутентификации;
аутентификацию держателя по кредитной карточке, которая обеспечивается применением цифровой подписи и сертификатов держателя карточек;
аутентификацию продавца и его возможности принимать платежи по пластиковым карточкам с применением цифровой подписи и сертификатов продавца;
подтверждение того, что банк продавца является действующей организацией, которая может принимать платежи по пластиковым карточкам через связь с процессинговой системой; это подтверждение обеспечивается с помощью цифровой подписи и сертификатов банка продавца;
готовность оплаты транзакций в результате аутентификации сертификата с открытым ключом для всех сторон;
безопасность передачи данных посредством преимущественного использования криптографии.

Основное преимущество SET перед многими существующими системами обеспечения информационной безопасности заключается в использовании цифровых сертификатов (стандарт X. 509, версия 3), которые ассоциируют держателя карточки, продавца и банк продавца с рядом банковских учреждений платежных систем VISA и MasterCard.

SET позволяет сохранить существующие отношения между банком, держателями карточек и продавцами, и интегрируется с существующими системами, опираясь на следующие качества:

открытый, полностью документированный стандарт для финансовой индустрии;
основан на международных стандартах платежных систем;
опирается на существующие в финансовой отрасли технологии и правовые механизмы.

Кстати, совместный проект, реализованный компаниями IBM, Chase Manhattan Bank USA N. , First Data Corporation, GlobeSet, MasterCard и Wal-Mart позволяет владельцам карточек Wal-Mart MasterCard, выпущенных банком Chase, приобретать товары на сайте Wal-Mart Online, который является одним из крупнейших узлов электронной коммерции США.

Читать также: Каковы правила онлайн-покупок в Казахстане?

Рассмотрим более детально процесс взаимодействия участников платежной операции в соответствии со спецификацией SET, представленный на рисунке с сайта компании IBM:

Держатель карточки — покупатель делающий заказ.
Банк покупателя — финансовая структура, которая выпустила кредитную карточку для покупателя.
Продавец — электронный магазин, предлагающий товары и услуги.
Банк продавца — финансовая структура, занимающаяся обслуживанием операций продавца.
Платежный шлюз — система, контролируемая обычно банком продавца, которая обрабатывает запросы от продавца и взаимодействует с банком покупателя.
Сертифицирующая организация — доверительная структура, выдающая и проверяющая сертификаты.

Взаимоотношения участников операции показаны на рисунке непрерывными линиями (взаимодействия описанные стандартом или протоколом SET) и пунктирными линиями (некоторые возможные операции).

Динамика взаимоотношений и информационных потоков в соответствии со спецификацией стандарта SET включает следующие действия :

Участники запрашивают и получают сертификаты от сертифицирующей организации.
Владелец пластиковой карточки просматривает электронный каталог, выбирает товары и посылает заказ продавцу.
Продавец предъявляет свой сертификат владельцу карточки в качестве удостоверения.
Владелец карточки предъявляет свой сертификат продавцу.
Продавец запрашивает у платежного шлюза выполнение операции проверки. Шлюз сверяет предоставленную информацию с информацией банка, выпустившего электронную карточку.
После проверки платежный шлюз возвращает результаты продавцу.
Некоторое время спустя, продавец требует у платежного шлюза выполнить одну или более финансовых операций. Шлюз посылает запрос на перевод определенной суммы из банка покупателя в банк продавца.

Представленная схема взаимодействия подкрепляется в части информационной безопасности спецификацией Chip Electronic Commerce, созданной для использования смарт-карточек стандарта EMV в Интернете (www. emvco. com). Ее разработали Europay, MasterCard и VISA. Сочетание стандарта на микропроцессор EMV и протокола SET дает беспрецедентный уровень безопасности на всех этапах транзакции.

Компания «Росбизнесконсалтинг» 20 июня 2000 г. поместила на своем сайте сообщение о том, что одна из крупнейших мировых платежных систем VISA обнародовала 19 июня 2000 г. свои инициативы в области безопасности электронной коммерции. По словам представителей системы, эти шаги призваны сделать покупки в Интернете безопаснее для покупателей и продавцов. VISA полагает, что внедрение новых инициатив позволит сократить количество споров по транзакциям в Интернете на 50%. Инициатива состоит из двух основных частей. Первая часть — это Программа аутентификации платежей (Payment Authentication Program), которая разработана для снижения риска неавторизованного использования счета держателя карточки и улучшения сервиса для покупателей и продавцов в Интернете. Вторая — это Глобальная программа защиты данных (Global Data Security Program), цель которой — создать стандарты безопасности для компаний электронной коммерции по защите данных о карточках и их держателях.

Решения для безопасности в электронной коммерции

Подробнее разберем, как избежать проблем безопасности в электронной коммерции.

Защитите свои серверы и панели администратора

Не забывайте использовать сложные пароли и регулярно меняйте их, чтобы предотвратить взлом сайта.

Безопасность платежного шлюза

Следует особенно внимательно отнестись к безопасности платежных данных. Никогда не храните информацию о дебетовых и кредитных картах на своих серверах, убедитесь, что безопасность платежных шлюзов не находится под угрозой. Вы можете использовать сторонние системы обработки платежей.

Антивирусное программное обеспечение

Хакеры могут использовать украденную информацию по картам для размещения заказов. Антивирус или программное обеспечение для защиты от мошенничества может помочь с этой проблемой. Алгоритмы умеют распознавать вредоносные транзакции и оценивать риски мошенничества.

Еще одна эффективная рекомендация – использовать программное обеспечение брандмауэра и плагины, которые контролируют ненадежные сети и регулируют входящий и исходящий трафик, защищают от киберугроз.

Сертификаты уровня защищенных сокетов (SSL) – это файлы, которые связывают ключ с транзакциями по разным путям в сети. SSL-сертификаты шифруют данные, чтобы защитить платежную информацию от перехвата.

Кроме того, SSL предоставляет вам свидетельство о праве собственности, чтобы хакеры не могли подделать сайт для фишинга.

Используйте многоуровневую безопасность

Вы можете усилить свою безопасность, используя различные уровни: сеть доставки контента, двухфакторную аутентификацию и т.

Плагины – это простой способ обеспечить безопасность сайта. Они обеспечивают защиту от вредоносных ботов, внедрения зараженного кода и сотен других серьезных атак.

Сделайте резервную копию данных

Необходимо регулярного обновлять инструменты безопасности и плагины. Устанавливайте обновления и исправления сразу после их выпуска, потому что хакеры могут использовать ботов, которые определяют, на каких ресурсах установлено устаревшее программное обеспечение.

Выберите надежную платформу электронной коммерции

Важно выбрать безопасную платформу электронной коммерции, которая регулярно обновляется. Популярные платформы защищают вас от распространенных угроз.

Сотрудники должны знать о законах и политиках, касающихся защиты пользовательской информации. Персонал, имеющий доступ к данным клиентов, не должен предоставлять учетные данные для входа посторонним.

Обучайте своих клиентов

Проблемы в безопасности не всегда происходят на вашей стороне, ошибки могут допускать и клиенты – использовать легкие пароли, предоставлять конфиденциальную информацию на фишинговых сайтах и т.

Обучайте клиентов, рассказывайте о рисках и фишинге.

Протокол SSL предназначен для
решения традиционных задач обеспечения
защиты информационного взаимодействия,
которые в среде «клиент-сервер»
интерпретируются следующим образом:

• при подключении пользователь
и сервер должны быть взаимно уверены,
что они обмениваются информацией не с
подставными абонентами, не ограничиваясь
паролевой защитой;

• после установления соединения
между сервером и клиентом весь информационный
поток должен быть защищен от несанкционированного
доступа;

Протокол SSL

Протокол SSL предназначен для решения традиционных задач обеспечения защиты информационного взаимодействия:

пользователь и сервер должны быть взаимно уверены, что они обмениваются информацией не с подставными абонентами, а именно с теми, которые нужны, не ограничиваясь паролевой защитой;
после установления соединения между сервером и клиентом весь информационный поток между ними должен быть защищен от несанкционированного доступа;
и наконец, при обмене информацией стороны должны быть уверены в отсутствии случайных или умышленных искажений при ее передаче.

Протокол SSL позволяет серверу и клиенту перед началом информационного взаимодействия аутентифицировать друг друга, согласовать алгоритм шифрования и сформировать общие криптографические ключи. С этой целью в протоколе используются двухключевые (ассиметричные) криптосистемы, в частности, RSA.

Конфиденциальность информации, передаваемой по установленному защищенному соединению, обеспечивается путем шифрования потока данных на сформированном общем ключе с использованием симметричных криптографических алгоритмов (например, RC4_128, RC4_40, RC2_128, RC2_40, DES40 и др. Контроль целостности передаваемых блоков данных производится за счет использования так называемых кодов аутентификации сообщений (Message Autentification Code, или MAC), вычисляемых с помощью хэш-функций (например MD5).

Протокол SSL включает два этапа взаимодействия сторон защищаемого соединения:

установление SSL-сессии;
защита потока данных.

На этапе установления SSL-сессии осуществляется аутентификация сервера и (опционально) клиента, стороны договариваются об используемых криптографических алгоритмах и формируют общий «секрет», на основе которого создаются общие сеансовые ключи для последующей защиты соединения. Этот этап называют также «процедурой рукопожатия».

На втором этапе (защита потока данных) информационные сообщения прикладного уровня нарезаются на блоки, для каждого блока вычисляется код аутентификации сообщений, затем данные шифруются и отправляются приемной стороне. Приемная сторона производит обратные действия: расшифрование, проверку кода аутентификации сообщения, сборку сообщений, передачу на прикладной уровень.

Наиболее распространенным пакетом программ для поддержки SSL является SSLeay. Он содержит исходный код на C, который может быть встроен в такие приложения, как Telnet и FTP.

В SSL используется криптография с открытым (публичным) ключом, также известная как асимметричная криптография. Она использует два ключа: один — для шифрования, другой — для расшифровывания сообщения. Два ключа математически связаны таким образом, что данные, зашифрованные с использованием одного ключа, могут быть расшифрованы только с использованием другого, парного первому. Каждый пользователь имеет два ключа — открытый и секретный (приватный). Пользователь делает доступным открытый ключ любому корреспонденту сети. Пользователь и любой корреспондент, имеющий открытый ключ, могут быть уверены, что данные, зашифрованные с помощью открытого ключа, могут быть расшифрованы только с использованием секретного ключа.

Если два пользователя хотят быть уверенными, что информацию, которой они обмениваются, не получит третий, то каждый из них, должен передать одну компоненту ключевой пары (а именно открытый ключ), другому и хранит другую компоненту (секретный ключ). Сообщения шифруются с помощью открытого, расшифровываются только с использованием секретного ключа. Именно так сообщения могут быть переданы по открытой сети без опасения, что кто-либо сможет прочитать их.

Целостность и аутентификация сообщения обеспечиваются использованием электронной цифровой подписи.

Теперь встает вопрос о том, каким образом распространять свои публичные ключи. Для этого (и не только) была придумана специальная форма — сертификат. Сертификат состоит из следующих частей:

имя человека/организации, выпускающей сертификат;
субъект сертификата (для кого был выпущен данный сертификат);
публичный ключ субъекта;
некоторые временные параметры (срок действия сертификата и т.п.).

Сертификат «подписывается» приватным ключом человека (или организации), который выпускает сертификаты. Организации, которые производят подобные операции называются Certificate authority (CA). Если в стандартном Web-браузере, который поддерживает SSL, зайти в раздел security, то там можно увидеть список известных организаций, которые «подписывают» сертификаты. Технически создать свою собственную CA достаточно просто, но также необходимо уладить юридическую сторону дела, и с этим могут возникнуть серьезные проблемы.

SSL на сегодня является наиболее распространенным протоколом, используемым при построении систем электронной коммерции. С его помощью осуществляется 99% всех транзакций. Широкое распространение SSL объясняется в первую очередь тем, что он является составной частью всех браузеров и Web-серверов. Другое достоинство SSL — простота протокола и высокая скорость реализации транзакции.

В то же время, SSL обладает рядом существенных недостатков:

покупатель не аутентифицируется;
продавец аутентифицируется только по URL;
цифровая подпись используется только при аутентификации в начале установления SSL-сессии. Для доказательства проведения транзакции при возникновении конфликтных ситуаций требуется либо хранить весь диалог покупателя и продавца, что дорого с точки зрения ресурсов памяти и на практике не используется, либо хранить бумажные копии, подтверждающие получение товара покупателем;
не обеспечивается конфиденциальность данных о реквизитах карты для продавца.

Защищенные протоколы обмена Данными
в Интернет

В отличие от локальных
сетей, сеть Интернет является так называемой
«открытой» системой. Основана на открытых
стандартах, и фирмы используют ее для
продвижения продукции на мировой рынок. Под открытыми системами понимают совокупность
всевозможного вычислительного и телекоммуникационного
оборудования разного производства, совместное
функционирование которого обеспечивается
соответствием требованиям стандартов,
прежде всего международных. Термин «открытые»
подразумевает также, что если вычислительная
система соответствует стандартам, то
она будет открыта для взаимосвязи с любой
другой системой, соответствующей тем
же стандартам. Это, в частности, относится
и к криптографической защите информации
или к защите от несанкционированного
доступа к информации.