Отчет
по лабораторной работе №9
Выполнил
студент группы ВВБ-2 факультета ВШУБ
Рында
Дмитрий Сергеевич
1.
Сущность удаленного банкинга (Homebanking) и
характеристика основных этапов его развития (телефонный банкинг, PC-банкинг,
Клиент-банк; Internet-банкинг, sms-банкинг, мобильный банкинг); Преимущества,
ограничения, недостатки, перспективы развития системы удаленного банкинга в
Республике Беларусь.
Дистанционное банковское обслуживание — общий термин
для технологий предоставления банковских услуг на основании распоряжений,
передаваемых клиентом удаленным образом (то есть без его визита в банк), чаще
всего с использованием компьютерных и телефонных сетей.
Согласно оценкам аналитиков, число пользователей услуг
дистанционного банковского обслуживания в мире в 2008 году составляло 200 млн
человек. По прогнозам Всемирного банка, к 2010 году эта цифра вырастет до 300
млн, а уровень проникновения услуги в экономически развитых странах превысит
90%.
С точки зрения способов оказания услуг дистанционного
банковского обслуживания можно выделить следующие виды:
- Интернет-банкинг - оказание услуг ДБО на основе
банковской системы платежей через интернет;
- мобильный банкинг - оказание услуг ДБО на основе
мобильных технологий;
- внешние сервисы - киоски, банкоматы, ATM;
- телефонный банкинг - оказание услуг ДБО на основе
банковской системы голосовых сообщений;
- классический «Банк-Клиент».
Наиболее востребованный и распространенный на
сегодняшний день вид ДБО в мире - интернет-банкинг. В США практически все
крупнейшие банки оказывают услуги интернет-банкинга, в том числе Citicorp, Bank
of America, Wells Fargo, Bank One, First Union, а количество пользователей
насчитывает порядка 80 млн человек. По данным онлайнового опроса US
Synergistics Research, в 2008 году почти пятая часть (18%) всех американских
семей, подключенных к Интернету, осуществляла платежи через Интернет - оплату
счетов, денежные переводы, погашение кредитов и оплату покупок. В Европе, по данным исследовательской
компании Berg Insight, количество пользователей интернет-банкинга в 2008 году
превысило 100 млн человек.
В РБ в данный момент услуги ДБО находятся на стадии
внедрения. Российский рынок дистанционного банковского обслуживания пока
значительно отстает от рынка Европы и США. При этом данный сегмент достаточно
активно развивается и эксперты прогнозируют по мере введения различных
онлайновых услуг значительное увеличение клиентской базы.
«Интернет-Банк» — это система удаленного доступа к
управлению своими счетами через Интернет прямо на сайте банка. Подключение и
обслуживание в этих системах, как правило, бесплатное. Клиент оплачивает только
стандартные банковские комиссии за проведение платежей. И то не всегда. Обычно
оплата связи и коммунальных платежей через Интернет бесплатна. И часто снижены
сами комиссии за перевод.
Если сравнивать системы «Интернет-Банк» и
«Банк-Клиент», то последняя — это "толстая" система, которая требует
установки дополнительного программного обеспечения на компьютер клиента, на
котором и ведется база данных. Связь с Интернетом нужна только для
приема/передачи информации. «Интернет-Банк» — это "тонкая" система,
появившаяся позже «Банк-Клиента», для использования которой нужен только
компьютер с выходом в Интернет.
Можно сказать, что «Интернет-Банк» вырос из системы
"Банк-Клиент».
Существуют некоторые различия между системами в разных
банках. Прежде всего, в вопросах скорости обновления информации и, собственно,
в количестве доступных операций, но в целом подобные системы могут позволять:
• проверить состояние
счета и получить выписку за любой промежуток времени, делать переводы на счета
юридических и физических лиц переводить деньги между своими счетами, а также
осуществить перевод между счетами в разной валюте в режиме онлайн производить
управление паями УК, оплату кредита (осуществив перевод с текущего счета),
посмотреть список операций по кредитной карте и др.
С помощью Интернет-Банков в частности можно оплатить:
•
коммунальные платежи, электроэнергию, местную телефонную связь,
междугороднюю и международную телефонную связь, мобильную связь, Интернет и
коммерческое телевидение, страховые взносы, налоги, автомобильные штрафы и
др.
Все системы Интернет-Банкинга работают по одинаковому
принципу. С клиентом заключается договор, после чего ему дают логин и пароль, с
помощью которых можно войти на сайте банка в свой "личный кабинет".
Там заполняются параметры платежа (ФИО, номер договора на обслуживание, код
коммунального платежа и т. п.) и указывается требуемая сумма. Никаких специальных
навыков не нужно. Плюс ко всему, интерфейс Интернет-Банков, ориентируясь на
удобство и простоту в использовании, становится все проще.
Сдерживающим фактором развития мобильного банкинга на
данный момент являются опасения пользователей в части его безопасности.
Эксперты утверждают, что в настоящее время клиенты Интернет-Банкинга рискуют не
больше владельцев карточек, пользующихся банкоматами. Прежде чем получить
доступ к системе любой клиент проходит идентификацию и аутентификацию.
Безопасность достигается, главным образом, с помощью пароля или электронной
подписи. Применяются также переменные коды и карты доступа, дополнительно
страхующие компьютеры клиентов. Но при этом следует осознавать, что риск стать
жертвой электронных мошенников все равно существует. Фишинг — на сегодняшний
день самая распространенная мошенническая схема. Фишеры проводят массовую
рассылку под видом службы безопасности банков, в которых содержится просьба
пройти авторизацию на сайте. Интернет-ресурс, на который ведет ссылка, в
точности копирует дизайн сайта банка. Таким образом, конфиденциальная
информация попадает к злоумышленникам, а средства исчезают со счетов.
Возмещение убытков от деятельности фишеров лежит на банках.
Система дистанционного банковского обслуживания («Клиент-Банк»)
позволяет Клиенту контролировать банковские счета, обмениваться электронными
документами с банком, осуществлять операции со счетами, не покидая рабочего
места. Вам больше не придется ездить в банк, чтобы получить выписку или отвезти
платежные поручения. Для холдингов это прекрасная возможность управления
финансовыми потоками дочерних организаций с одного рабочего места.
Для обеспечения максимальной безопасности при передаче информации по
каналам связи Банком используются самые совершенные технологии, современные
технические и программные средства, удовлетворяющие всем требованиям.
Система интернет-банкинга обеспечивает гарантированный уровень
безопасности, содержит механизм ЭЦП под финансовыми документами. Правомочность
электронных документов и конфиденциальность передаваемых данных обеспечивается
применением технологии криптографической защиты информации.
Система позволяет:
- формировать и передавать в Банк платежные документы в электронном
виде (как рублевые, так и валютные);
- передавать в Банк заявки на покупку и продажу валюты;
- получать из Банка выписки по счетам;
- получать из Банка полноформатные платежные поручения;
- получать из Банка в электронном виде платежные поручения с
исполнением;
- вести архив переданных в Банк платежных поручений.
Требования
к программно-техническому обеспечению:
Доступ в Интернет-Банк возможен с любого компьютера,
подключенного к сети интернет, на котором установлен интернет-браузер Internet
Explorer версии 6.0 или выше.
3. Назначение, функциональные
возможности, необходимые требования для работы системы дистанционного
обслуживания корпоративных клиентов (юридических лиц);
Интернет-Банк - это современная система дистанционного
банковского обслуживания и управления счетами через всемирную компьютерную сеть
интернет.
Система "Интернет-Банк" предоставляет
возможность получения самой оперативной информации о состоянии Ваших счетов и
позволяет Вам совершать банковские операции в режиме реального времени,
находясь в офисе или далеко от него. Даже если Вы отправляетесь за границу в
командировку или на отдых, Вы всегда сможете воспользоваться данной системой,
используя любой компьютер, подключенный к интернету.
Интернет-Банк экономит Ваше время благодаря
оперативному получению информации в режиме реального времени за один сеанс
связи!
В настоящее время для работы в системе
"Интернет-Банк" не требуется установка специального программного
обеспечения. Теперь Вы не привязаны к банку, офисному или домашнему компьютеру,
а можете работать со своими счетами в любое время, из любой точки земного шара.
С помощью Интернет-Банка Вы получаете доступ к
Торговой площадке Forex, где можно:
- получать курсы валют по сделкам Forex в режиме
реального времени;
- дистанционно заключать сделки по реально действующим
курсам.
Наличие в банке автоматически обновляемых справочников
уменьшает количество ошибок на этапе ввода документов в систему.
Чтобы войти в Интернет-Банк Вы должны ввести свой
логин и пароль. Для настройки и проведения операций система запрашивает
дополнительный авторизационный код.
Интернет-Банк функционально строится на системе
электронных платежей "Клиент-Банк". В банке эти системы имеют единое
ядро и обрабатывают информацию в единой автоматизированной банковской системе.
Поэтому Вы можете использовать и Клиент-Банк, и Интернет-Банк как
самостоятельные системы удаленного доступа к банковской и финансовой
информации.
С помощью системы «Интернет-Банк» Вы можете:
- узнавать остатки и получать выписки по счетам Вашей
организации из любой точки мира;
- оперативно получать курс покупки, продажи, конверсии
валют банком, принимать решение о заключении сделки с иностранной валютой в
Торговой площадке Forex (при этом курс иностранных валют в Интернет-Банке
формируется автоматически и он выгоднее, чем при Вашем личном обращении в
банк);
- работать с корпоративными карточками – просматривать
баланс и выписки по контракту и лицевым счетам.
Технические
требования
Для работы в системе необходимо иметь:
- Компьютер с доступом в Интернет
- Браузер для работы в системе со следующими
характеристиками:
Это должен быть Internet
Explorer 6.0 или выше.
Разрешить сохранение и
использование cookies.
JavaScript должен быть включен.
Браузер должен поддерживать SSL
3.0 (128 bit) или выше.
4. Перечень банков Республики Беларусь,
оказывающих услуги дистанционного обслуживания клиентов.
Возможность использования интернет-банкинга есть у 11
банков, но еще несколько банков планируют внедрить данную услугу в ближайшее время. Перечень доступных
операций через интернет-банкинг у всех примерно одинаков, а по способу
подключения услуги банки можно разделить на две группы: "Через отделение"
и "Через банкомат".
Через
отделение
В эту группу вошли банки, в которых для подключения
интернет-банкинга необходимо лично и с паспортом (документом, удостоверяющим
личность) обращаться в один из филиалов (отделений):
- Белагропромбанк
- нужно посетить филиал или отделение банка по месту открытия
карт-счета. Стоимость подключения к системе - Br5000
- БПС-Банк - можно обратиться в любое подразделение
банка. Стоимость подключения к системе - Br5000
- Беларусбанк - можно обратиться в любое подразделение
банка, но, кроме паспорта, понадобится еще и пластиковая карта. Стоимость
подключения к системе - Br14 000
- Приорбанк - заполняете регистрационную форму на
сайте банка, а затем идете в ближайший центр банковских услуг для подтверждения
регистрации. Подключение и использование системы до
- Паритетбанк - для регистрации необходимо заполнить
заявление (можно скачать на сайте банка), заплатить за пользование
интернет-банкингом (нужное вам количество месяцев по Br1500 за месяц), а затем
принести квитанцию об оплате и заявление в головной офис банка
- МТБанк - необходимо заполнить заявление (можно
скачать с сайта) и передать его в ближайшее отделение банка. Стоимость
подключения услуги - Br19 000
Через
банкомат
У этих банков активировать интернет-банкинг можно
через банкомат или инфокиоск с помощью своей пластиковой карточки:
- РРБ-Банк - для подключения услуги необходимо найти
банкомат или инфокиоск, обозначенный логотипом "СБС". Ежегодный
единовременный платеж за предоставление доступа к услуге - Br10 500
- Технобанк - для подключения услуги необходимо найти
банкомат или инфокиоск банка или банков-партнеров. Ежегодный единовременный
платеж за предоставление доступа к услуге - Br12 000
- Альфа-Банк - держатели карточек MasterCard и
IMaestro/Cirrus могут открыть доступ к интернет-банкингу в одном из устройств
банковского самообслуживания, обозначенном логотипом "СБС". Стоимость
подключения услуги - Br6000
- Банк Москва-Минск - активировать услугу можно в
любом из банкоматов (инфокиосков) банка или банков-партнеров, внеся годовую
плату за пользование интернет-банкингом - Br9000
- БелСвиссБанк - активировать услугу можно в любом из
банкоматов (инфокиосков) банка или банков-партнеров, обозначенном логотипом
"СБС". Ежегодный единовременный платеж за предоставление доступа к
услуге - Br15 000
5. Характеристика
систем дистанционного банковского обслуживания, используемых в Республике
Беларусь (компания – разработчик, назначение системы и модульная структура,
функциональные и системные требования, белорусские банки, в которых используется
система и др.).
Система дистанционного банковского обслуживания (СДБО)
«BS-Client»
Система дистанционного банковского обслуживания
BS-Client v. 3 — комплексное интегрированное решение, включающее в себя весь
спектр банковских услуг, предоставляемых за пределами офиса банка.
Технология BS-Client позволяет через единый банковский
сервер организовать обслуживание всех типов респондентов банка, включая
клиентов (физических и юридических лиц), подразделения банка (отделения,
филиалы, обменные пункты), корреспондентов банка и его клиентов. При этом под
обслуживанием подразумевается предоставление не только финансово-платежных, но
и информационных услуг, услуг электронной коммерции и пр.
Система позволяет осуществлять весь удаленный
документооборот любыми видами документов по различным каналам связи, имея при
этом возможность гибкой самостоятельной настройки всех параметров системы.
Каждая из входящих в BS-Client подсистем может функционировать самостоятельно.
Решаемые задачи:
- Построение по единым стандартам и на& единой
основе всего комплекса ДБО универсального банка.
- «Классический» банк-клиент для юридических и
физических лиц, банков;
- «Тонкий» Интернет/Интранет-клиент для юридических и
физических лиц, банков;
- Банковская телефония (а также факсимильное и
пейджинговое общение с клиентами);
- Построение расчетной системы банка (включая
отделения, филиалы, банки-корреспонденты) с использованием различных каналов
связи on line или off line;
- Построение произвольной «сети» расчетов, в т. ч.
организация на базе банка полного цикла электронной коммерции среди клиентов и
их предприятий-смежников. Интернет-расчеты;
- Казначейство и Казначейское исполнение бюджета как
самого банка с широкой филиальной сетью, так и его корпоративных клиентов.
Отличительные технические особенности:
- Привязка к учетным базам (АБС, карточная подсистема
и т.д.), администрирование и аудит — единые для всей системы;
- Максимальная производительность за счет оптимального
использования аппаратных ресурсов и многопоточности;
- Поддержка различных СУБД — в т.ч. Oracle, Sybase, MS
SQL, MS Access (возможно различных в банке и у клиента);
- Настройка произвольного жизненного цикла любого
документа, его статусов и внешнего вида (с использованием полной гаммы
возможностей Windows — шрифты, цвета, печать в формате RTF и пр.);
- Поддержка Интернет/Интранет-технологий в
«классическом» и «тонком» банк-клиентах;
- Использование произвольных (в т.ч. сертифицированных
специальными органами)) средств криптографической защиты информации в «тонком»
и «классическом» банк-клиентах (Crypto-ProCSP, MessagePRO (Сигнал-Ком),
Verba-OW, Крипто-Си и др.) для электронно-цифровой подписи и шифрования в «обе
стороны»;
- Наличие внутрисистемного предметно-ориентированного
языка программирования.
- Обслуживание большого числа удаленных клиентов,
масштабируемость
Поскольку в системе должен быть явным образом прописан
каждый удаленно обслуживаемый респондент — физическое и юридическое лицо,
филиал, банк-корреспондент и т.д., количество обслуживаемых респондентов, по сравнению
с обычной системой «банк-клиент», существенно больше.
Большой потенциал и «выносливость» системы при
увеличении числа обслуживаемых тем или иным способом респондентов
обеспечиваются следующими техническими возможностями:
Поддержка различных СУБД (в т.ч. Oracle, MS SQL, MS
Access, Sybase) обеспечивает масштабируемость системы и оптимальный выбор
параметра цена/производительность. Естественно, в банке и у клиентов могут
использоваться различные СУБД;
Система, реализованная в 32-разрядной Windows-архитектуре,
обеспечивает многозадачность и эффективное использование всех аппаратных
ресурсов, увеличение параметров которых приводит к увеличению мощности и
повышению быстродействия системы;
Хранение выписок (заголовков выписки вместе с
дебетовыми и кредитовыми приложениями) или других «сложных», но логически
целостных документов структурировано в одной записи «переменной длины». Такой
механизм обеспечивает не только логическую целостность передачи данных на
уровне баз, но и существенно ускоряет процесс работы, поскольку позволяет
работать со «сложным» документом как с одной записью в базе данных (вне
зависимости от количества документов в выписке), в то же время, оставляя для
пользователя возможность логической работы с составными частями такого
документа - например, со структурированной подокументной выпиской;
Многопоточная организация транспорта позволяет
распараллелить процесс удаленного обслуживания клиентов и максимально
эффективно использовать пропускную способность каналов связи.
Гибкость
системы
Спектр предоставляемых электронным образом услуг в
каждом банке имеет свои особенности. Это касается как собственно набора
документов, справочников и пр., так и правил работы с ними, не говоря уже о
внешнем виде документов. Безусловно, система ДБО должна иметь возможности и
средства относительно быстрой адаптации к требованиям и технологиям, принятым в
каждом конкретном банке. Система BS Client, обладая вспомогательными модулями,
не влияющими на повседневную работу системы, позволяет производить любые работы
по адаптации как силами разработчика, так и силами самого банка.
Система может быть установлена как в крупном банке и
использоваться в качестве инструмента разработки систем ДБО, так и в небольшом
банке без дополнительных настроек. BS-Client является открытой и гибкой по
отношению к пользователю структурой, уже заполненной стандартными типами
документов.
Ввод в обращение нового документа — сложная задача,
ведь помимо общих для всех банков задач формирования и обмена платежными
поручениями, выписками и произвольными текстовыми документами, ряд банков
использует, например, запросы клиента на различные конверсионные операции или
SWIFT-сообщения с банками-корреспондентами. Причем процедура ввода в обращение
нового документа должна автоматически осуществляться у всех клиентов без
визитов сотрудников банка к каждому из них.
В этом вопросе BS-Client также предоставляет широкие
возможности по модификации базового комплекта документов. Технология создания
нового документа в системе содержит следующие этапы:
Построение схемы документа и его статусов, а также
настройка статусов под выбранную маршрутизацию (любой сложности - например,
клиент-филиал-банк-банк-корреспондент) документа и используемую систему
коммуникации, а также интеграцию с АБС банка и бухгалтерией клиента
(опционально);
Формирование структур базы данных для нового
документа;
Настройка форм и схем (при необходимости) для
сопутствующих документу справочников;
Настройка экранных форм представления документа в
банке и у клиента, включая необходимые элементы — списки, иконки, рисунки, меню
(включая права доступа к документу или его частям, контроля документа при
вводе, редактировании или любом другом событии), панели инструментов и другая
масса интерфейсных и логических настроек, поддерживаемых «Построителем форм».
Настройка
печатных форм в формате *.rtf.
При необходимости, добавление части недостающей логики
средствами внутреннего языка BS-Script или внешними модулями *.dll и *.exe.
В системе BS-Client для разных банков уже реализовано
свыше 40 типов документов — от стандартных «платежных поручений» и выписок до
«заявлений об обмене ресурсами» и «запроса на ссуду (продление ссуды)
/извещения о выплате (досрочная выплата) суммы долга (процентов)».
Процесс обработки банком принятых документов также
может существенно различаться в каждом конкретном случае, причем этот процесс
обычно зависит от типа документа — от полностью автоматической обработки
платежных поручений до полностью ручной работы, допустим, с валютными
документами. Система позволяет настроить обработку любым требуемым образом,
например, по приходу в банк клиентского документа запустить исполнимую операцию
(или группу операций) по вашему выбору (в т.ч. с вызовом внешней,
соответствующей типу документа, отрабатывающей программы), что обеспечивает
автоматическую обработку документа.
Внешние программы могут быть написаны на любом языке в
виде *.dll, *.exe модулей, либо на встроенном внутрисистемном
предметно-ориентированном языке программирования BS-Script. Весь процесс
обработки документа может быть автоматическим, если обратиться к специальному
встроенному в систему механизму scheduler — любые системные процедуры и внешние
программы могут запускаться как по достижению определенного времени, так и по
определенному событию (например, по приему, отправке почты или простановке
ЭЦП). Документ может автоматически или вручную экспортироваться в заданный при
формировании данного документа формат.
Например, сразу по приходу платежных поручений
осуществляется их автоматическая проверка и печать на заданный принтер в
заданном количестве экземпляров и уведомление ответственных исполнителей, а
также выгрузка в отложенные документы АБС (в некоторых АБС — документы к
проводке) и последующая их квитовка. Архив всех документов, а также журнал их
обработки хранится в банке и у клиента, что дает возможность полностью контролировать
весь документооборот. Это справедливо и для рабочего места клиента (документы
от банка к клиенту), что позволяет клиенту самостоятельно в автоматическом или
ручном режимах создавать, например, выписку по любым счетам за любой период.
Таким образом, система BS-Client предоставляет
пользователю возможности модификации любой сложности, позволяя адаптировать
систему к любым технологиям и потребностям, в то же время оставаясь простой и
удобной в работе.
BS-Client
в Республике Беларусь
Компания БИ-ЛОДЖИК представляет в Беларуси интересы
компании Банк’с Софт Системс (BSS) (Россия): проводит адаптацию продуктов BSS
под требования белорусского законодательства и рынка, сертифицирует ее в
соответствующих государственных органах и осуществляет сопровождение системы на
территории Беларуси.
В настоящее время система BS-Client тесно
интегрирована со следующими АБС, которые используются банками Республики
Беларусь:
АБС «SC-BANK NT», разработанная компанией SoftClub.
АБС «Мебиус-банк», разработанная компанией «МебиусКБ».
Форматы платежных документов, реализованных в системе
BS-Client соответствуют требования руководящих документов РБ.
В настоящее время комплексная система BS-Client
эксплуатируются в следующих банках Республики Беларусь:
- ЗАО «Минский транзитный банк»:
BS-Client: Подсистема «Банк-Клиент»
BS-Client: Подсистема «Частный клиент»
- «Франсабанк» ОАО:
BS-Client: Подсистема «Банк-Клиент»
BS-Client: Подсистема «Оператор штрих-кодов»
- ОАО «БПС-Банк»:
BS-Client: Подсистема «Частный клиент»
BS-Client: Подсистема «Банк-Клиент»
BS-Client: Подсистема «Интернет-Клиент»
BS-Client: Подсистема «Оператор штрих-кодов»
- ОАО «Белагропромбанк»:
BS-Client: Подсистема «Частный клиент»
BS-Client: Подсистема «Банк-Клиент»
BS-Client: Подсистема «Оператор штрих-кодов»
- ОАО «Технобанк»:
BS-Client: Подсистема «Интернет-клиент»
BS-Client: Подсистема «Оператор штрих-кодов»
- Частное предприятие «ЕвроБанк»:
BS-Client: Подсистема «Интернет-клиент»
BS-Client: Подсистема «Банк-Клиент»
- ЗАО АКБ «БЕЛРОСБАНК»:
BS-Client: Подсистема «Интернет-клиент»
BS-Client: Подсистема «Оператор штрих-кодов»
- ЗАО «Цептер Банк»:
BS-Client: Подсистема «Банк-Клиент»
- ЗАО «Абсолютбанк»:
BS-Client: Подсистема «Оператор штрих-кодов»
- ОАО «Внешэкономбанк»:
BS-Client: Подсистема «Оператор штрих-кодов»
- ЗАО «ТК Банк»:
BS-Client: Подсистема «Банк-Клиент»
- ЗАО «Дельта Банк»
BS-Client: Подсистема «Банк-Клиент».
Сертификат соответствия
Сертификат (серия А №
6. Обеспечение безопасности в
системе удаленного банкинга.
Можно выделить следующие системы защиты, внедренные в
интерент-банкинг:
1.
Логин + Пароль
Клиент получает пароль при подключении и, как правило,
имеет право сменить его самостоятельно. К паролю предъявляется ряд требований:
минимальная длина, случайность используемых в пароле символов, периодическая смена
пароля.
Если рассматривать проблему защиты паролей в процессе
аутентификации, то можно выделить два основных подхода.
Первый подход состоит в защищенном хранении паролей на
сервере. При этом, в случае похищения базы с паролями, мошенник не сможет воспользоваться
этими данными непосредственно, ему понадобится произвести некоторое количество
преобразований, так как пароли преобразованы односторонней функцией, и узнать
их можно только «прогоняя» разные варианты паролей через эту функцию и
сравнивая результат; в данной ситуации, это - единственный способ
восстановления.
Очевидно, что при таком подходе пользователь обязан
предъявлять серверу пароль в открытом виде, чтобы сервер, произведя с паролем
соответствующее преобразование, сравнил полученный результат с записью в базе
паролей. Ну, а коль скоро пароль будет предъявлен в открытом виде, то возможен
его перехват при передаче по каналам связи. Следовательно, такой подход можно
применять только при условии использования защищенных каналов связи.
Второй подход направлен на невозможность перехвата
пароля при его передаче. В таком случае пользователь доказывает серверу, что
ему известен верный пароль, не путем предъявления его в открытом виде, а путем
вычисления над предложенным сервером числом некоей функции, зависящей также и
от пароля. В простом случае это может быть шифрование предложенного сервером
числа, используя в качестве ключа пароль. Естественно, что для проверки
значения функции, которое прислал пользователь, серверу необходимо повторить
данное преобразование, а для этого, он должен обладать паролем в открытом виде.
Схема схожая с предыдущей, изменяется только место вычисления односторонней
функции. Очевидно, что при таком способе осуществления аутентификации,
необходимо принимать меры по недопущению несанкционированного доступа к базе
паролей на сервере.
2.
Двухфакторная аутентификация (TFA)
Использование для аутентификации пароля
условно-постоянного действия не очень удобно для пользователя системы (пароль
нужно запомнить и периодически менять). Кроме того, такой пароль может быть
скомпрометирован и использован мошенником – к примеру, путем подсматривания или
с помощью клавиатурного шпиона.
Современные видеокамеры имеют малые размеры, что их
можно замаскировать под безобидный предмет и установить совсем незаметно.
Клавиатурный шпион, который имеет программную реализацию, может быть обнаружен
при применении надежных антивирусных средств. Однако, сейчас в соответствующем
сегменте рынка широко распространены относительно недорогие аппаратные устройства
различных модификаций. Это могут быть миниатюрные изделия в форме разъема,
включаемые между клавиатурой и ПК или тонкие накладки на клавиатуру. Итак, уже
после первого использования пароля нельзя быть на 100% уверенным, что он не
стал известен мошеннику.
Противостоять такой угрозе можно путем использования
одноразовых паролей. Самым простым способом реализации такого подхода является
печать и выдача пользователю карточек с набором паролей, каждый из которых
будет использован ровно один раз. Решение далеко не технологичное и довольно
затратное – банку необходимо организовать печать карточек и ввод
соответствующих таблиц в систему, а клиенту периодически наведываться в банк
для получения новой порции одноразовых паролей (и постараться не потерять карточку).
Удобным вариантом является выдача клиенту банка специального устройства
(токена), генерирующего пароли по определенному алгоритму, заданному банком.
Для защиты от кражи или потери токена, многие модели генерируют очередной
пароль только после ввода в них ПИН-кода.
Электронные токены
В результате мы получаем классическую схему
двухфакторной аутентификации, когда клиент должен обладать чем-то (токеном) и
знать секрет (ПИН-код). Обратите внимание, что в таком случае секрет (ПИН-код)
не попадает в не доверенную среду, а вводится лишь в надежное аппаратное
устройство, установка клавиатурного шпиона в которое практически невозможна.
Есть еще одна, достаточно оригинальная схема с
одноразовыми паролями. Поскольку мобильный телефон сейчас имеет практически каждый,
то очередной пароль может генерироваться в банке и высылаться клиенту в виде SMS-сообщения. Клиент заходит на сервер банка,
вводит свое имя и постоянный пароль, после чего сервер направляет на заранее
заданный клиентом номер очередной одноразовый пароль и просит ввести его в окне
браузера. Скептики могут возразить, что передача SMS-сообщений идет по открытому каналу, и уж точно к их
содержимому могут получить доступ сотрудники оператора сотовой связи. Во всяком
случае, у них имеется техническая возможность. Но безопасность этой схемы
основывается на том, что злоумышленник не сможет одновременно контролировать и
интернет-соединение клиента и его мобильный телефон, если, конечно, ему не
подконтрольны технические средства всех разведок мира.
Преимущества использования одноразовых паролей и схем
двухфакторной аутентификации на лицо – пароль используется только один раз, и
даже если злоумышленник его перехватит, он не будет иметь никакой ценности, ибо
действителен только для одного сеанса или даже одной операции.
Но необходимо обратить внимание на то, что
аутентификация при помощи паролей позволяет лишь установить, что сеанс
инициирован легитимным пользователем, но не обеспечивает целостность
передаваемой информации. Если злоумышленнику все-таки удалось «вклиниться» в
канал связи между клиентом и банком, то он может незаметно изменить
передаваемые данные. К примеру, клиент отправляет платеж на 100 рублей и в
качестве подтверждения вводит очередной одноразовый пароль, а злоумышленник
меняет сумму со 100 на 1000 рублей. При этом банк не заметит подмены, так как
приложенный к сообщению одноразовый пароль – правильный.
3.
Электронная цифровая подпись
Описанные выше проблемы могут быть решены при
использовании инфраструктуры открытых ключей (PKI, Public
Keys Infrastructure).
Инфраструктура открытых ключей - является сложным и
всеобъемлющим понятием, в основе которой лежит удостоверяющий центр (Certification Authority, CA) и набор приложений,
использующих цифровые сертификаты.
PKI основывается на использовании двухключевой
криптографии (криптографии с открытым ключом).
Самым популярным применением криптографии с открытым
ключом является электронная цифровая подпись (ЭЦП).
Электронная цифровая подпись (ЭЦП)— реквизит
электронного документа, предназначенный для защиты данного электронного
документа от подделки, полученный в результате криптографического
преобразования информации с использованием закрытого ключа электронной цифровой
подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а
также установить отсутствие искажения информации в электронном документе, а
также обеспечивает неотказуемость подписавшегося (Википедия).
Цифровая подпись обеспечивает:
•
удостоверение источника документа;
• защиту от
изменений документа;
•
невозможность отказа от авторства;
•
предприятиям и коммерческим организациям сдачу финансовой отчетности в
государственные учреждения в электронном виде;
•
организацию юридически значимого электронного документооборота.
Существуют следующие атаки на ЭЦП:
1. Подделка подписи. Получение фальшивой
подписи, не имея секретного ключа — задача практически нерешаемая даже для
очень слабых шифров и хэшей.
2. Подделка
документа (коллизия первого рода). Злоумышленник может попытаться подобрать
документ к данной подписи, чтобы подпись к нему подходила. Однако в подавляющем
большинстве случаев такой документ может быть только один.
3. Получение
двух документов с одинаковой подписью (коллизия второго рода). Куда более
вероятна атака второго рода. В этом случае злоумышленник фабрикует два
документа с одинаковой подписью, и в нужный момент подменяет один другим. При
использовании надёжной хэш-функции такая атака должна быть также вычислительно
сложной. Однако эти угрозы могут реализоваться из-за слабостей конкретных
алгоритмов хэширования, подписи, или ошибок в их реализациях. В частности,
таким образом можно провести атаку на SSL-сертификаты
и алгоритм хеширования MD5 (http://www.phreedom.org/research/rogue-ca).
4.
Социальные атаки - направлены на «слабое звено» криптосистемы — человека.
•
Злоумышленник, укравший закрытый ключ, может подписать любой документ от имени
владельца ключа.
•
Злоумышленник может обманом заставить владельца подписать какой-либо документ,
например используя протокол слепой подписи.
•
Злоумышленник может подменить открытый ключ владельца (см. управление ключами)
на свой собственный, выдавая себя за него.
При использовании PKI клиенту системы нет нужды предъявлять банковскому
серверу пароль. Клиент вводит свое имя, а сервер генерирует случайное число и
предлагает клиенту подписать его электронной цифровой подписью. Если проверка
подписи прошла успешно, значит, подключившийся субъект действительно тот, за
кого он себя выдает, если нет – происходит отказ в авторизации. В отличие от
аутентификации при помощи пароля, клиент имеет возможность проверить и
легитимность сервера, с которым он соединился, т.е. аутентификация является
взаимной. Эти проверки, как правило, происходят незаметно для пользователя,
т.к. являются стандартной частью процесса установления соединения в протоколах SSL (Secure Sockets Layer) и TLS
(Transport Layer Security), широко
используемых для организации защищенного обмена информацией в системах
электронной коммерции вообще, и в системах интернет-банкинга в частности.
При дальнейшем обмене все передаваемые сторонами
данные подписываются ЭЦП, что позволяет удостовериться в их целостности и
авторстве.
Следует отметить, что не во всех системах
интернет-банкинга возможности PKI
используются полностью. Очень часто SSL-соединение
используется только для обеспечения защиты передаваемого пароля и
устанавливается только с использованием открытого ключа сервера банка. Такое
соединение обеспечивает лишь безопасность в рамках данной конкретной сессии, но
к моменту установления соединения клиент еще не аутентифицирован – для этого
по-прежнему используется пароль. Отсутствие принудительной аутентификации
банковского сервера приводит к тому, что клиент может стать жертвой фишинга.
Впрочем, при полноценном использовании PKI остается ряд угроз. Клиент не может держать в
памяти криптографические ключи, он вынужден хранить их на носителе информации –
дискете, «флешке» и т.п. Украв или скопировав ключевой носитель, злоумышленник
получает возможность формировать ЭЦП от имени пользователя. На первый взгляд,
кажется, что проблема решается просто – достаточно установить пароль на доступ
к ключевому носителю. Но далеко не всегда ключевой носитель используется с
компьютером, в «чистоте» которого мы уверены. Вредоносные программы могут
перехватить ввод пароля и скопировать уже разблокированный ключ. В отличие от
обычных программ перехвата паролей, «комплексные» шпионы встречаются очень
редко. Это связано с тем, что «перехватчик паролей» - программа универсальная,
а для копирования ключей с паролем нужно учитывать особенности конкретной
системы. Однако, чисто технически, такая атака возможна (по данным OAO Банк Северная Казна, www.kazna.ru).
4. USB-токены
Работа с паролями - это настоящая проблема. Сотрудники
их забывают, администраторы рвут на себе волосы, чтобы не пропал ни один
пароль, а если он окажется записанным на бумаге, то это способно привести к
инфаркту любого эксперта по безопасности. Многие организации уже сейчас
пользуются для аутентификации токенами и смарт-картами, что позволяет им решать
довольно нестандартные задачи безопасности, но с другой стороны, эта технология
все еще находится на стадии становления. Сегодня на рынке можно найти множество
USB-токенов от разных производителей. Любой токен
легко помещается на цепочке с ключами и позволяет обойтись без считывателей,
которые должны быть установлены на каждом компьютере или точке доступа в сеть.
Клиенту достаточно подсоединить токен, ввести PIN-код, и он сразу получает доступ к сетевым ресурсам.
У USB-токенов
есть и другие превосходства. Во-первых, они позволяют следить за активностью
клиента на протяжении всего сеанса работы, а не только на этапе аутентификации.
Это позволяет получать детальные данные о действиях пользователя и ограничить
доступ к запрещенным ресурсам. Во-вторых, возможность использования разных
кодов позволяет администраторам более гибко управлять доступом к файлам и
приложениям.
Наконец, многие устройства используют одновременно
закрытые ключи и сертификаты, обеспечивая основу для двухфакторной
аутентификации. Одно устройство открывает доступ к локальной сети, Интернет, VPN-сети – пользователю достаточно иметь в
наличии само устройство и PIN-код.
Для доступа к различным учетным записям может использоваться система
однократной аутентификации, которая исключает необходимость в каждом случае
вводить имя пользователя, пароль и т. д.
5.
Виртуальная клавиатура
Виртуальная клавиатура - пароль набирается не
клавишами на клавиатуре ПК, а кликами курсора мыши по картинкам с буквами и
цифрами, что исключает возможность перехвата пароля программами-вирусами.
Виртуальная клавиатура распространена в иностранных банковских системах
интернет-банкинга, в странах же СНГ виртуальная клавиатура не используется.
6.
Протокол SSL
Для передачи логина, пароля и вообще всех данных
пользователя используется протокол SSL
(Secure Sockets Layer).
Протокол был разработан компанией Netscape в 1994 году. SSL
обеспечивает шифрование всей информации, передаваемой от компьютера клиента до
сервера банка.
Главным назначением SSL-протокола, является обеспечение приватного и
надежного способа обмена информацией между двумя удаленно взаимодействующими
приложениями.
Алгоритм работы SSL построен на принципе публичных ключей. Этот принцип
построен на использовании пары асимметричных ключей (публичном и приватном) для
кодирования/декодирования информации.
Широкое развитие эта технология получила благодаря
внедрению SSL- протокола в работу
всех современных браузеров.
SSL (Secure Socket Layer) - протокол, который позволяет через браузер
определить подлинность веб-сервера, а также обеспечить надежный
"персональный" канал связи между браузером пользователя и сервером,
на котором расположен сайт.
Благодаря серверам, поддерживающим этот протокол,
сертификатам SSL, пользователь,
загружающий сайт, может быть уверен как минимум в трех вещах:
•
Установление подлинности: сайт действительно принадлежит компании, которая
установила свидетельство.
•
Секретность сообщения: используя уникальный "ключ сессии", SSL зашифрует всю информацию, которой
обмениваются сайт и его клиенты (например, номер кредитной карточки или
персональные регистрационные данные). Это гарантирует, что передаваемые серверу
данные не могут быть просмотрены или перехвачены посторонними лицами.
•
Целостность сообщения: данные, передаваемые посредством этого протокола, не
могут быть частично потерянными или замененными третьими лицами.
7.
Нетрадиционные методы - SiteKey
Из нестандартных методов защиты следует отметить SiteKey, суть этого средства защиты состоит в том,
что клиент при входе в систему вводит логин и далее выбирает подписанное
изображение, соответствующее его логину не вводя при этом пароль, и только
после прохождения этого специфического вида авторизации клиент вводит пароль.
Метод эффективен как защита от фишинговых атак.
Успешную реализацию SiteKey получил в таком
крупном банке как Bank of America.
Классификация
систем интернет-банкинга по способам реализации
• Толстый
клиент. Для банка, работающего по системе «клиент-банк» такой способ является наименее
затратным, т.к. меняется только канал связи, программное же обеспечение – как
на стороне банка, так и на стороне клиента – остается практически без
изменений.
• Тонкий
клиент. Данный вариант не предусматривает предварительной установки на стороне
клиента специализированного программного обеспечения, функциональность рабочего
места клиента обеспечивается либо использованием штатных криптографических
библиотек браузера и операционной системы, либо путем загрузки web-браузером динамического кода (Java-аплета).
При этом безопасность загрузки и целостность кода
обеспечиваются встроенными функциями web-браузера,
но, для этого аплет должен быть подписан ключом разработчика, удостоверенным
одним из мировых центров сертификации открытых ключей электронной цифровой
подписи, чьи сертификаты, в свою очередь, поставляются со всеми
распространенными web-браузерами (VeriSign, Thawte, KeyWitness, GTE Cyber Trust и т.п.).
• Тонкий
клиент со вспомогательным ПО. Данное архитектурное решение является попыткой
совместить два рассмотренных варианта. С одной стороны, оно не подразумевает
инсталляции «тяжелого» комплекта программного обеспечения («толстого клиента»),
с другой стороны часть наиболее критичных функций выносится в отдельный
исполняемый модуль, который является единственным клиентским ПО, например,
прокси-сервер, запускаемый на клиентском компьютере и реализующий функции
шифрования трафика и электронной цифровой подписи.
Также возможна установка на клиентский компьютер
библиотечных модулей, реализующих необходимые криптографические функции, и
обращение к ним непосредственно из java-аплета.
Альтернативный путь использования криптографических библиотек - установка их в
виде CSP (Сrypto Service Provider) и вызов необходимых функций через
стандартный API, в том числе,
средствами web-браузера.
• Клиент на
базе аппаратных средств. На аппаратные средства возможно переложить часть
функций клиентского ПО, позволяющих осуществлять операции с криптографическими
ключами не в компьютере, а в подключаемом к нему внешнем устройстве: USB-токен, i-button и
смарт-карта. Имея достаточно мощный процессор и ОС, они позволяют не только
выполнять криптографические функции, но и безопасно хранить криптографические
ключи, пароли, PIN-коды и другую
конфиденциальную информацию, то они обеспечивают достаточно высокий уровень
защиты от получения информации «грубыми» методами (обратимая необратимая
блокировки устройства при многократном неправильном вводе PIN-кода).