2510 (Анализ электронных платежных систем), страница 3

2. СРЕДСТВА ЗАЩИТЫ СИСТЕМ ЭЛЕКТРОННЫХ ПЛАТЕЖЕЙ

2.1 Угрозы, связанные с использованием систем электронных платежей

Рассмотрим возможные угрозы разрушающих действий злоумышленника по отношению к данной системе. Для этого рассмотрим основные объекты нападения злоумышленника. Главным объектом нападения злоумышленника являются финансовые средства, точнее их электронные заместители (суррогаты) - платежные поручения, циркулирующие в платежной системе. По отношению к данным средствам злоумышленник может преследовать следующие цели:

1. Похищение финансовых средств.

2. Внедрение фальшивых финансовых средств (нарушение финансового баланса системы).

3. Нарушение работоспособности системы (техническая угроза).

Указанные объекты и цели нападения носят абстрактный характер и не позволяют провести анализ и разработку необходимых мер защиты информации, поэтому в таблице 4 приводится конкретизация объектов и целей разрушающих воздействий злоумышленника.

Таблица 4 Модель возможных разрушающих действий злоумышленника

Из данной таблицы вытекают базовые требования, которым должна удовлетворять любая система электронных платежей через Интернет:

Во-первых, система должна обеспечивать защиту данных платежных поручений от несанкционированного изменения и модификации.

Во-вторых, система не должна увеличивать возможности злоумышленника по организации атак на компьютер клиента.

В-третьих, система должна обеспечивать защиту данных, расположенных на сервере от несанкционированного чтения и модификации.

В-четвертых, система должна обеспечивать или поддерживать систему защиты локальной сети банка от воздействия из глобальной сети.

В ходе разработки конкретных систем защиты информации электронных платежей, данная модель и требования должны быть повергнуты дальнейшей детализации. Тем не менее, для текущего изложения подобная детализация не требуется.

2.2 Технологии защиты электронных платежных систем

Некоторое время развитие WWW сдерживалось тем, что html-страницы, являющиеся основой WWW, представляют собой статический текст, т.е. с их помощью сложно организовать интерактивный обмен информацией между пользователем и сервером. Разработчики предлагали множество способов расширения возможностей HTML в этом направлении, многие из которых так и не получили широкого распространения. Одним из самых мощных решений, явившихся новым этапом развития Интернет, стало предложения компании Sun использовать в качестве интерактивных компонентов, подключаемых к HTML-страницам Java-апплетов.

Java-апплет представляют собой программу, которая написана на языке программирования Java, и откомпилирована в специальные байт-коды, которые являются кодами некоторого виртуального компьютера - Java-машины - и отличны от кодов процессоров семейства Intel. Апплеты размешаются на сервере в Сети и загружаются на компьютер пользователя всякий раз, когда происходит обращение к HTML-странице, которая содержит в себе вызов данного апплета.

Для выполнения кодов апплетов стандартный браузер включает в себя реализацию Java-машины, которая осуществляет интерпретацию байт-кодов в машинные команды процессоров семейства Intel (или другого семейства). Заложенные в технологию Java-апплетов возможности, с одной стороны, позволяют разрабатывать мощные пользовательские интерфейсы, организовывать доступ к любым ресурсам сети по URL, легко использовать протоколы TCP/IP, FTP и т.д., а, с другой стороны, лишают возможности осуществить доступ непосредственно к ресурсам компьютера. Например, апплеты не имеют доступа к файловой системе компьютера и к подключенным устройствам.

Аналогичным решением по расширению возможностей WWW является и технология компании Microsoft - Active X. Самыми существенными отличиями данной технологии от Java является то, что компоненты (аналоги апплетов) - это программы в кодах процессора Intel и то, что эти компоненты имеют доступ ко всем ресурсам компьютера, а также интерфейсам и сервисам Windows.

Еще одним менее распространенным подходом к расширению возможностей WWW является подход, основанный на использовании технологии встраиваемых модулей Plug-in for Netscape Navigator компании Netscape. Именно эта технология и представляется наиболее оптимальной основой для построения систем защиты информации электронных платежей через Интернет. Для дальнейшего изложения рассмотрим, как с помощью данной технологии решается проблема защиты информации Web-сервера.

Предположим, что существует некоторый Web-сервер и администратору данного сервера требуется ограничить доступ к некоторой части информационного массива сервера, т.е. организовать так, чтобы одни пользователи имели доступ к некоторой информации, а остальные нет.

В настоящее время предлагается ряд подходов к решению данной проблемы, в частности, многие операционные системы, под управлением которых функционирует серверы сети Интернет, запрашивают пароль на доступ к некоторым своим областям, т.е. требуют проведения аутентификации. Такой подход имеет два существенных недостатка: во-первых, данные хранятся на самом сервере в открытом виде, а, во-вторых, данные передаются по сети также в открытом виде. Таким образом, у злоумышленника возникает возможность организации двух атак: собственно на сервер (подбор пароля, обход пароля и.т.) и атаки на трафик. Факты реализации подобных атак широко известны Интернет-сообществу.

Другим известным подходом е решению проблемы защиты информации является подход, основанный на технологии SSL (Secure Sockets Layer). При использовании SSL между клиентом и сервером устанавливается защищенный канал связи, по которому передаются данные, т.е. проблема передачи данных в открытом виде по сети может считаться относительно решенной. Главная проблема SSL заключается в построении ключевой системы и контроле над ней. Что же качается проблемы хранения данных на сервере в открытом виде, то она остается нерешенной.

Еще одним важным недостатком описанных выше подходов является необходимость их поддержки со стороны программного обеспечения и сервера, и клиента сети, что не всегда является возможным и удобным. Особенно в системах ориентированных на массового и неорганизованного клиента.

Предлагаемый автором подход основан на защите непосредственно html-страниц, которые являются основным носителем информация в Internet. Существо защиты заключается в том, что файлы, содержащие HTML-страницы, хранятся на сервере в зашифрованном виде. При этом ключ, на котором они зашифрованы, известен только зашифровавшему его (администратору) и клиентам (в целом проблема построения ключевой системы решается так же, как в случае прозрачного шифрования файлов).

Доступ клиентов к защищенной информации осуществляется с помощью технологии встраиваемых модулей Plug-in for Netscape компании Netscape. Данные модули представляют собой программы, точнее программные компоненты, которые связаны с определенными типами файлов в стандарте MIME. MIME – это международный стандарт, определяющий форматы файлов в Интернет. Например, существуют следующие типы файлов: text/html, text/plane, image/jpg, image/bmp и т.д. Кроме того, стандарт определяет механизм задания пользовательских типов файлов, которые могут определяться и использоваться независимыми разработчиками.

Итак, используются модули Plug-ins, которые связаны с определенными MIME-типами файлов. Связь заключатся в том, что при обращении пользователя к файлам соответствующего типа, браузер запускает связанный с ним Plug-in и этот модуль выполняет все действия по визуализации данных файла и обработке действий пользователя с этим файлов.

В качестве наиболее известных модулей Plug-in можно привести модули, проигрывающие видеоролики в формате avi. Просмотр данных файлов не входит в штатные возможности браузеров, но установив соответствующий Plug-in можно легко просматривать данные файлы в браузере.

Далее, все зашифрованные файлы в соответствии с установленным международным стандартом порядком определяются как файлы MIME типа. "application/x-shp". Затем в соответствии с технологией и протоколами Netscape разрабатывается Plug-in, который связывается с данным типом файлов. Этот модуль выполняет две функции: во-первых, он запрашивает пароль и идентификатор пользователя, а во-вторых, он выполняет работу по расшифрованию и выводу файла в окно браузера. Данные модуль устанавливается, в соответствии со штатным, установленным Netscape, порядком на браузеры всех компьютеров клиентов.

На этом подготовительный этап работы завершен система готова к функционированию. При работе клиенты обращаются к зашифрованным html-страницам по их стандартному адресу (URL). Браузер, определяет тип этих страниц и автоматически запускает разработанный нами модуль, передав ему содержимое зашифрованного файла. Модуль проводит аутентификацию клиента и при успешном ее завершении расшифровывает и выводит на экран содержимое страницы.

При выполнении всей данной процедуры у клиента создается ощущение “прозрачного” шифрования страниц, так как вся описанная выше работа системы скрыта от его глаз. При этом все стандартные возможности, заложенные в html-страницах, такие как использование картинок, Java-апплетов, CGI-сценариев - сохраняются.

Легко видеть, что при данном подходе решаются многие проблемы защиты информации, т.к. в открытом виде она находится только на компьютерах у клиентов, по сети данные передаются в зашифрованном виде. Злоумышленник, преследуя цель получить информацию, может осуществить только атаку на конкретного пользователя, а от данной атаки не может защитить ни одна системы защиты информации сервера.

В настоящее время, автором разработаны две системы защиты информации, основанные на предлагаемом подходе, для браузера Netscape Navigator (3.x) и Netscape Communicator 4.х. В ходе предварительного тестирования установлено, что разработанные системы могут нормально функционировать и под управлением MExplorer, но не во всех случаях.

Важно отметить, что данные версии систем не осуществляют зашифрование ассоциированных с HTML-страницей объектов: картинок, апплетов сценариев и т.д.

Система 1 предлагает защиту (шифрование) собственно html-страниц, как единого объекта. Вы создаете страницу, а затем ее зашифровываете и копируете на сервер. При обращении к зашифрованной странице, она автоматически расшифровывается и выводится в специальное окно. Поддержки системы защиты со стороны программного обеспечения сервера не требуется. Вся работа по зашифрованию и расшифрованию осуществляется на рабочей станции клиента. Данная система является универсальной, т.е. не зависит от структуры и назначения страницы.

Система 2 предлагает иной подход к защите. Данная система обеспечивает отображение в некоторой области Вашей страницы защищенной информации. Информация лежит в зашифрованном файле (не обязательно в формате html) на сервере. При переходе к Вашей странице система защиты автоматически обращается к этому файлу, считывает из него данные и отображает их в определенной области страницы. Данные подход позволяет достичь максимальной эффективности и эстетической красоты, при минимальной универсальности. Т.е. система оказывается ориентированной на конкретное назначение.

Данный подход может быть применен и при построении систем электронных платежей через Интернет. В этом случае, при обращении к некоторой странице Web-сервера происходит запуск модуля Plug-in, который выводит пользователю форму платежного поручения. После того как клиент заполнит ее, модуль зашифровывает данные платежа и отправляет их на сервер. При этом он может затребовать электронную подпись у пользователя. Более того, ключи шифрования и подписи могут считываться с любого носителя: гибких дисков, электронных таблеток, смарт-карт и т.д.

2.3 Анализ технологий на соответствие базовым требованиям к системам электронных платежей

Выше мы описали три технологии, которые могут быть использованы при построении платежных систем через Интернет: это технология, основанная на Java-апплетах, компонентах Active-X и встраиваемых модулях Plug-in. Назовем их технологии J, AX и P соответственно.

Рассмотрим требование об неувеличении возможностей атак злоумышленника на компьютер. Для этого проанализируем один из возможных типов атак - подмену злоумышленником соответствующих клиентских модулей защиты. В случае технологии J - это апплеты, В случае AX - погружаемые компоненты, в случае P - это включаемые модули Plug-in. Очевидно, что у злоумышленника существует возможность подменить модули защиты непосредственно на компьютере клиента. Механизмы реализации данной атаки лежат за пределами данного анализа, тем не менее, необходимо отметить, что реализация данной атаки не зависит от рассматриваемой технологии защиты. И уровень защищенности каждой технологии совпадает, т.е. все они одинаково неустойчивы к данной атаке.