Анализ электронных платежных систем

Из данной таблицы вытекают базовые требования, которым должна удовлетворять любая система  электронных платежей через Интернет:

Во-первых, система должна обеспечивать защиту данных платежных  поручений от несанкционированного изменения и модификации.

Во-вторых, система не должна увеличивать возможности злоумышленника по организации атак на компьютер  клиента.

В-третьих, система должна обеспечивать защиту данных, расположенных  на сервере от несанкционированного чтения и модификации.

В-четвертых, система должна обеспечивать или поддерживать систему  защиты локальной сети банка от воздействия  из глобальной сети.

В ходе разработки конкретных систем защиты информации электронных  платежей, данная модель и требования должны быть повергнуты дальнейшей детализации. Тем не менее, для текущего изложения  подобная детализация не требуется.

2.2 Технологии  защиты электронных платежных  систем

Некоторое время развитие WWW сдерживалось тем, что html-страницы, являющиеся основой WWW, представляют собой статический  текст, т.е. с их помощью сложно организовать интерактивный обмен информацией  между пользователем и сервером. Разработчики предлагали множество  способов расширения возможностей HTML в этом направлении, многие из которых  так и не получили широкого распространения. Одним из самых мощных решений, явившихся  новым этапом развития Интернет, стало  предложения компании Sun использовать в качестве интерактивных компонентов, подключаемых к HTML-страницам Java-апплетов.

Java-апплет представляют собой программу, которая написана на языке программирования Java, и откомпилирована в специальные байт-коды, которые являются кодами некоторого виртуального компьютера - Java-машины - и отличны от кодов процессоров семейства Intel. Апплеты размешаются на сервере в Сети и загружаются на компьютер пользователя всякий раз, когда происходит обращение к HTML-странице, которая содержит в себе вызов данного апплета.

Для выполнения кодов апплетов стандартный браузер включает в себя реализацию Java-машины, которая осуществляет интерпретацию байт-кодов в машинные команды процессоров семейства Intel (или другого семейства). Заложенные в технологию Java-апплетов возможности, с одной стороны, позволяют разрабатывать мощные пользовательские интерфейсы, организовывать доступ к любым ресурсам сети по URL, легко использовать протоколы TCP/IP, FTP и т.д., а, с другой стороны, лишают возможности осуществить доступ непосредственно к ресурсам компьютера. Например, апплеты не имеют доступа к файловой системе компьютера и к подключенным устройствам.

Аналогичным решением по расширению возможностей WWW является и технология компании Microsoft - Active X. Самыми существенными отличиями данной технологии от Java является то, что компоненты (аналоги апплетов) - это программы в кодах процессора Intel и то, что эти компоненты имеют доступ ко всем ресурсам компьютера, а также интерфейсам и сервисам Windows.

Еще одним менее распространенным подходом к расширению возможностей WWW является подход, основанный на использовании  технологии встраиваемых модулей Plug-in for Netscape Navigator компании Netscape. Именно эта технология и представляется наиболее оптимальной основой для построения систем защиты информации электронных платежей через Интернет. Для дальнейшего изложения рассмотрим, как с помощью данной технологии решается проблема защиты информации Web-сервера.

Предположим, что существует некоторый Web-сервер и администратору данного сервера требуется ограничить доступ к некоторой части информационного  массива сервера, т.е. организовать так, чтобы одни пользователи имели  доступ к некоторой информации, а  остальные нет.

В настоящее время предлагается ряд подходов к решению данной проблемы, в частности, многие операционные системы, под управлением которых  функционирует серверы сети Интернет, запрашивают пароль на доступ к некоторым  своим областям, т.е. требуют проведения аутентификации. Такой подход имеет  два существенных недостатка: во-первых, данные хранятся на самом сервере  в открытом виде, а, во-вторых, данные передаются по сети также в открытом виде. Таким образом, у злоумышленника возникает возможность организации  двух атак: собственно на сервер (подбор пароля, обход пароля и.т.) и атаки  на трафик. Факты реализации подобных атак широко известны Интернет-сообществу.

Другим известным подходом е решению проблемы защиты информации является подход, основанный на технологии SSL (Secure Sockets Layer). При использовании SSL между клиентом и сервером устанавливается защищенный канал связи, по которому передаются данные, т.е. проблема передачи данных в открытом виде по сети может считаться относительно решенной. Главная проблема SSL заключается в построении ключевой системы и контроле над ней. Что же качается проблемы хранения данных на сервере в открытом виде, то она остается нерешенной.

Еще одним важным недостатком  описанных выше подходов является необходимость  их поддержки со стороны программного обеспечения и сервера, и клиента  сети, что не всегда является возможным  и удобным. Особенно в системах ориентированных  на массового и неорганизованного  клиента.

Предлагаемый автором  подход основан на защите непосредственно html-страниц, которые являются основным носителем информация в Internet. Существо защиты заключается в том, что файлы, содержащие HTML-страницы, хранятся на сервере в зашифрованном виде. При этом ключ, на котором они зашифрованы, известен только зашифровавшему его (администратору) и клиентам (в целом проблема построения ключевой системы решается так же, как в случае прозрачного шифрования файлов).

Доступ клиентов к защищенной информации осуществляется с помощью  технологии встраиваемых модулей Plug-in for Netscape компании Netscape. Данные модули представляют собой программы, точнее программные компоненты, которые связаны с определенными типами файлов в стандарте MIME. MIME – это международный стандарт, определяющий форматы файлов в Интернет. Например, существуют следующие типы файлов: text/html, text/plane, image/jpg, image/bmp и т.д. Кроме того, стандарт определяет механизм задания пользовательских типов файлов, которые могут определяться и использоваться независимыми разработчиками.

Итак, используются модули Plug-ins, которые связаны с определенными MIME-типами файлов. Связь заключатся в том, что при обращении пользователя к файлам соответствующего типа, браузер запускает связанный с ним Plug-in и этот модуль выполняет все действия по визуализации данных файла и обработке действий пользователя с этим файлов.

В качестве наиболее известных  модулей Plug-in можно привести модули, проигрывающие видеоролики в формате avi. Просмотр данных файлов не входит в штатные возможности браузеров, но установив соответствующий Plug-in можно легко просматривать данные файлы в браузере.

Далее, все зашифрованные  файлы в соответствии с установленным  международным стандартом порядком определяются как файлы MIME типа. "application/x-shp". Затем в соответствии с технологией и протоколами Netscape разрабатывается Plug-in, который связывается с данным типом файлов. Этот модуль выполняет две функции: во-первых, он запрашивает пароль и идентификатор пользователя, а во-вторых, он выполняет работу по расшифрованию и выводу файла в окно браузера. Данные модуль устанавливается, в соответствии со штатным, установленным Netscape, порядком на браузеры всех компьютеров клиентов.

На этом подготовительный этап работы завершен система готова к функционированию. При работе клиенты  обращаются к зашифрованным html-страницам  по их стандартному адресу (URL). Браузер, определяет тип этих страниц и  автоматически запускает разработанный  нами модуль, передав ему содержимое зашифрованного файла. Модуль проводит аутентификацию клиента и при  успешном ее завершении расшифровывает и выводит на экран содержимое страницы.

При выполнении всей данной процедуры у клиента создается  ощущение “прозрачного” шифрования страниц, так как вся описанная  выше работа системы скрыта от его  глаз. При этом все стандартные  возможности, заложенные в html-страницах, такие как использование картинок, Java-апплетов, CGI-сценариев - сохраняются.

Легко видеть, что при  данном подходе решаются многие проблемы защиты информации, т.к. в открытом виде она находится только на компьютерах  у клиентов, по сети данные передаются в зашифрованном виде. Злоумышленник, преследуя цель получить информацию, может осуществить только атаку  на конкретного пользователя, а от данной атаки не может защитить ни одна системы защиты информации сервера.

В настоящее время, автором  разработаны две системы защиты информации, основанные на предлагаемом подходе, для браузера Netscape Navigator (3.x) и Netscape Communicator 4.х. В ходе предварительного тестирования установлено, что разработанные системы могут нормально функционировать и под управлением MExplorer, но не во всех случаях.

Важно отметить, что данные версии систем не осуществляют зашифрование ассоциированных с HTML-страницей объектов: картинок, апплетов сценариев и т.д.

Система 1 предлагает защиту (шифрование) собственно html-страниц, как  единого объекта. Вы создаете страницу, а затем ее зашифровываете и копируете  на сервер. При обращении к зашифрованной  странице, она автоматически расшифровывается и выводится в специальное  окно. Поддержки системы защиты со стороны программного обеспечения  сервера не требуется. Вся работа по зашифрованию и расшифрованию осуществляется на рабочей станции клиента. Данная система является универсальной, т.е. не зависит от структуры и назначения страницы.

Система 2 предлагает иной подход к защите. Данная система обеспечивает отображение в некоторой области  Вашей страницы защищенной информации. Информация лежит в зашифрованном  файле (не обязательно в формате  html) на сервере. При переходе к Вашей странице система защиты автоматически обращается к этому файлу, считывает из него данные и отображает их в определенной области страницы. Данные подход позволяет достичь максимальной эффективности и эстетической красоты, при минимальной универсальности. Т.е. система оказывается ориентированной на конкретное назначение.

Данный подход может быть применен и при построении систем электронных платежей через Интернет. В этом случае, при обращении к  некоторой странице Web-сервера происходит запуск модуля Plug-in, который выводит пользователю форму платежного поручения. После того как клиент заполнит ее, модуль зашифровывает данные платежа и отправляет их на сервер. При этом он может затребовать электронную подпись у пользователя. Более того, ключи шифрования и подписи могут считываться с любого носителя: гибких дисков, электронных таблеток, смарт-карт и т.д.

2.3 Анализ технологий  на соответствие базовым требованиям  к системам электронных платежей

Выше мы описали три  технологии, которые могут быть использованы при построении платежных систем через Интернет: это технология, основанная на Java-апплетах, компонентах Active-X и встраиваемых модулях Plug-in. Назовем их технологии J, AX и P соответственно.

Рассмотрим требование об неувеличении возможностей атак злоумышленника на компьютер. Для этого проанализируем один из возможных типов атак - подмену злоумышленником соответствующих клиентских модулей защиты. В случае технологии J - это апплеты, В случае AX - погружаемые компоненты, в случае P - это включаемые модули Plug-in. Очевидно, что у злоумышленника существует возможность подменить модули защиты непосредственно на компьютере клиента. Механизмы реализации данной атаки лежат за пределами данного анализа, тем не менее, необходимо отметить, что реализация данной атаки не зависит от рассматриваемой технологии защиты. И уровень защищенности каждой технологии совпадает, т.е. все они одинаково неустойчивы к данной атаке.

Самым уязвимым местом в  технологиях J и AX, с точки зрения подмены, является их загрузка из Интернет. Именно в этот момент злоумышленник  может осуществить подмену. Более  того, если злоумышленнику удается  осуществить подмену данных модулей  на сервере банка, то он получает доступ ко всем объемам информации платежной  системы, циркулирующие в Интернет.

В случае технологии P опасности  подмены нет, так как модуль не загружается из сети - он постоянно  хранится на компьютере клиента.

Последствия подмены различны: в случае J-технологии злоумышленник  может только похитить вводимую клиентом информацию (что является серьезной  угрозой), а в случае, Active-X и Plug-in злоумышленник может получить любую информацию, к которой имеет доступ, работающий на компьютере клиент.

В настоящее время автору неизвестны конкретные способы реализации атак по подмене Java-апплетов. Видимо данные атаки плохо развиваются, так как результирующие возможности по похищению информации практически отсутствуют. А вот атаки на компоненты Active-X широко распространены и хорошо известны.

Рассмотрим требование о  защите информации, циркулирующей в  системе электронных платежей через  Интернет. Очевидно, что в этом случае технология J уступает и P и AX в одном  очень существенном вопросе. Все  механизмы защиты информации основаны на шифровании или электронной подписи, а все соответствующие алгоритмы  основаны на криптографических преобразованиях, которые требуют введения ключевых элементов. В настоящее время  длина ключевых элементов составляет порядка 32-128 байт, поэтому требовать  введения их пользователем с клавиатуры практически невозможно. Возникает  вопрос как их вводить? Так как  технологии P и AX имеют доступ к ресурсам компьютера, то решение данной проблемы очевидно и хорошо известно - ключи  считываются из локальных файлов, с флоппи-дисков, таблеток или smart-карт. А вот в случае технологии J такой  ввод невозможен, значит приходится либо требовать от клиента ввода длинной  последовательности неосмысленной  информации, либо, уменьшая длину ключевых элементов, снижать стойкость криптографических  преобразований и следовательно  снижать надежность механизмов защиты. Причем данное снижение является очень  существенным.

Рассмотрим требование о  том, что система электронных  платежей должна организовывать защиту данных, расположенных на сервере  от несанкционированного чтения и модификации. Данное требование вытекает из того, что  система предполагает размещение на сервере конфиденциальную информацию, предназначенную для пользователя. Например, перечень отправленных им платежных  поручений с отметкой о результатах  обработки.