Информационная безопасность

Аутентификация  - покупатели и продавцы должны быть уверены, что все стороны, участвующие в сделке, являются теми, за кого они себя выдают;

Доступность средств оплаты - возможность оплаты любыми доступными средствами;

Авторизация - процесс, в ходе которого требование на проведение транзакций одобряется или отклоняется платежной системой. Эта процедура позволяет определить наличие средств у покупателя;

Гарантии рисков продавца - осуществляя торговлю в сети Интернет, продавец подвержен множеству рисков, связанных с отказами от товара и недобросовестностью покупателя. Величина рисков должна быть согласована с провайдером платежной системы и другими организациями, включенными в торговые цепочки, посредством специальных соглашений (страхованием рисков);

Минимизация платы за транзакцию - плата за обработку транзакций заказа и оплаты товаров, естественно, входит в их стоимость, поэтому снижение цены транзакции увеличивает конкурентоспособность. Важно отметить, что транзакция должна быть оплачена в любом случае, даже при отказе покупателя от товара.

С учетом вышеизложенных требований рассмотрим принципы организации кредитной  Интернет-ориентированной системы электронной коммерции. Схема покупки и проведения платежей в режиме онлайн по технологии электронной коммерции приведена на рис.1.

В проведении платежей через  Интернет при совершении купли-продажи  товаров участвуют:

- покупатель - клиент, имеющий компьютер с Web-браузером и доступом в Интернет, кроме того в компьютере клиента должно присутствовать специальное программное обеспечение (ПО), реализующие процедуры идентификации, аутентификации и авторизации, а также некоторые другие функции защиты (ЭЦП, VPN и др.) в зависимости от установленной политики безопасности;

- магазин – под ним понимается веб-сервер электронной коммерции, на котором ведутся каталоги товаров и услуг и принимаются заказы клиентов на покупку. Кроме того, как это отмечалось выше (клиентское ПО), на веб-сервере также устанавливается специальное ПО, исходя из требований политики безопасности платежной системы;

- банк-эквайер – банк, обслуживающий магазин. Каждый магазин имеет единственный банк-эквайер, в котором держит свой расчетный счет, оперирующий в системе электронной коммерции;

- процессинговый центр – сервер организации, обеспечивающий информационное и технологическое взаимодействие участников традиционной кредитной платежной системы;

- платежная система Интернет – электронные компоненты и процессы, используемые в качестве посредников между участниками электронной коммерции.

Рассмотрим поэтапную  реализацию технологии электронной  коммерции в соответствии со схемой, приведенной на рис.1:

Покупатель с помощью  своего веб-браузера подключается к  веб-серверу магазина и формирует  перечень товаров (корзину), которые  он хочет купить (транзакция а).

Далее покупатель обращается в процессинговый центр платежной  системы с запросом на выдачу идентификатора I и в случае проверки его легитимности получает требуемый идентификатор (транзакции b и с).

Вместе с запросом на выставление  счета покупатель посылает параметр T (шаг 1 протокола доказательств, приведенного алгоритме Л. Гиллоу и Ж. Куискуотера). В зависимости от реализуемой политики безопасности, запрос на выставление счета может быть подписан ЭЦП покупателя (транзакция 1).

В соответствии с шагом 2 протокола доказательств магазин (веб-сервер) формирует параметр d и  вместе со счетом отправляет его покупателю (транзакция 2). В зависимости от реализуемой  политики безопасности транзакция 2  может быть подписана ЭЦП магазина. В счете указывается:

1. наименование товара (услуги);
2. стоимость товара (услуги);
3. код магазина;
4. время и дату совершения операции;
5. другое.

Покупатель проверяет  высланный магазином счет на наличие  товара и соответствие его объявленной  на сайте стоимости, вычисляет параметр D (шаг 3 протокола доказательств  Л. Гиллоу и Ж. Куискуотера), подписывает все это своей ЭЦП (если это предусмотрено заданной политикой безопасности) и отправляет сформированный таким образом чек в магазин (транзакция 3).

Получив таким образом сформированный магазином и покупателем электронный чек  и идентификационные параметры I и D производит заключительную аутентификационную процедуру (шаг 4 протокола доказательств Л. Гиллоу и Ж. Куискуотера). Если процедура аутентификации произошла успешно (T ≡ T’(mod n)) магазин формирует запрос в процессинговый центр на авторизацию (транзакция 4).

Процессинговый центр  производит проверку подписанного чека:

• проверяет наличие в системе магазина и покупателя (если это определено политикой безопасности);
• проверяет ЭЦП покупателя и магазина (если это определено политикой безопасности);
• сохраняет копию чека в базе данных.

В случае положительного результата проверки чек отправляется в банк покупателя (транзакция 5).

Банк покупателя (эмитент  кредитной карты) проверяет остаток  и лимиты средств на счете покупателя. В результате проверки формируется  разрешение или запрет проведения платежа. Банк покупателя передает результат  авторизации процессинговому центру платежной системы (транзакция 6).

При разрешении платежа:

• процессинговый центр передает магазину разрешение на оказание услуги (отпуск товара), транзакция 7+;
• банк покупателя переводит денежные средства со счета покупателя на счет магазина (транзакция 8, эмитент-эквайер);
• магазин оказывает услугу (отпускает товар), транзакция 10.

При запрете платежа:

• процессинговый центр передает магазину отказ от проведения платежа (транзакция  7+);
• покупатель получает отказ с описанием причины (транзакция  7-).

Следует подчеркнуть, что  в данной схеме покупатель полностью  контролирует процесс совершения покупки. Клиент имеет возможность проверять  свои платежи, сравнивать выписку по своему счету с результатами прохождения  платежей в магазинах. Для этого  он запрашивает выписку о состоянии  своего счета, подписав запрос собственной  цифровой подписью. Банк проверит код  покупателя и его подпись и, если все окажется в порядке, в защищенном виде направит выписку покупателю. Получив это сообщение, покупатель в свою очередь проверит подпись  банка и декодирует выписку. Это  гарантирует подлинность и конфиденциальность информации о состоянии счета.

Хотя перечисленные действия кажутся на первый взгляд слишком  сложными, однако, при более внимательном  рассмотрении становится ясно, что без тщательной проверки и контроля покупатели и продавцы не могут быть уверенны в безопасности электронных сделок. Именно боязнь мошенничества – главная причина, тормозящая развитие электронной коммерции.

4. Защита информации при электронной коммерции

Защита информации очень  важна для финансовых систем, независимо от того, основаны они на физических или на электронных транзакциях. В реальном мире уделяется много  внимания физической безопасности, а  в мире электронной коммерции  приходится заботиться о средствах  защиты данных, коммуникаций и транзакций. Имея дело с сетевыми компьютерами, следует помнить о существовании  нескольких вероятных угроз. Они  перечислены в таблице наряду с решениями, позволяющими организовать и значительно повысить защищенность информации, в том числе и в  ситуациях, не связанных с электронной  коммерцией, например, при отправке конфиденциальной информации по электронной  почте.

Все это говорит о необходимости  комплексной защиты. Реально защита часто ограничивается использованием криптографии (40-битной версии протокола SSL) для защиты информации между браузером клиента и сервером электронного магазина и фильтром на маршрутизаторе.

Комплексная система защиты должна строиться с учетом четырех  уровней любой информационной системы. Уровень прикладного программного обеспечения (ПО), отвечающий за взаимодействие с пользователем. Примером элементов этого уровня - текстовый редактор WinWord, редактор электронных таблиц Excel, почтовая программа Outlook, браузер Internet Explorer.

Уровень системы управления базами данных (СУБД), отвечающий за хранение и обработку данных информационной системы. Примером элементов этого  уровня - СУБД Oracle, MS SQL Server, Sybase и MS Access. Уровень операционной системы (ОС), отвечающий за обслуживание СУБД и прикладного программного обеспечения. Примеры - ОС M S Windows NT, Sun Solaris, Novell Netware. Уровень сети, отвечающий за взаимодействие узлов информационной системы. Примеры - протоколы TCP/IP, IPS/SPX и SMB/NetBIOS.

Система защиты должна эффективно работать на всех уровнях. Иначе злоумышленник  сможет реализовать атаку на ресурсы  электронного магазина. Опасны и внешние  и внутренние атаки. По статистике основная опасность исходит от внутренних пользователей электронного магазина (операторов системы). Для получения  несанкционированного доступа к  информации о заказах в базе данных есть следующие возможности. Прочитать  записи БД из MS Query, который позволяет получать доступ к записям многих СУБД при помощи механизма ODBC или SQL-запросов. Прочитать нужные данные средствами самой СУБД (уровень СУБД). Прочитать файлы базы данных непосредственно на уровне операционной системы. Отправить по сети пакеты со сформированными запросами на получение необходимых данных от СУБД. Или перехватить эти данные в процессе их передаче по каналам связи (уровень сети).

Обычно основное внимание уделяется нижним двум уровням - уровню сети и операционной системы. На уровне сети применяются маршрутизаторы и  межсетевые экраны. На уровне ОС - встроенные средства разграничения доступа. Этого  недостаточно. Представим, что злоумышленник  получил идентификатор и пароль пользователя базы данных магазина. Или  перехватил их в процессе передачи по сети или подобрал при помощи специальных программ. И межсетевой экран, и операционная система пропускает злоумышленника ко всем ресурсам из-за предъявленных идентификатора и пароля авторизованного пользователя. Это особенность функционирования экрана и системы.

Нужны новые средства и  механизмы защиты. Средствам обнаружения  атак в настоящий момент уделяется  много внимания во всем мире. По прогнозам  известных компаний объемы продаж этих средств до 900 миллионов долларов в 2003 году. Эти средства с одинаковой эффективностью функционируют внутри сети и снаружи, защищая от внешних  несанкционированных воздействий.

Эти средства позволяют своевременно обнаруживать и блокировать сетевые  атаки типа "отказ в обслуживании", направленные на нарушение работоспособности  электронного магазина. Одним из примеров средств обнаружения атак - система  RealSecure, разработанная компанией Internet Security Systems, Inc.

Любому программному обеспечению  присущи определенные уязвимости, которые  приводят к реализации атак. И уязвимости проектирования системы eCommerce (например, отсутствие средств защиты), и уязвимости реализации и конфигурации. Последние два типа уязвимостей самые распространенные и встречаются в любой организации. Перечислим несколько примеров. Ошибка переполнения буфера в браузерах Microsoft и Netscape, ошибка реализации демона IMAP и почтовой программы sendmail, использование пустых паролей и паролей менее 6 символов, запущенные, но не используемые сервисы, например, Telnet. Все это может привести к реализации различного рода атак, направленных на нарушение конфиденциальности и целостности обрабатываемых данных.

Необходимо своевременно обнаружить и устранить уязвимости информационной системы на всех уровнях. Помогут средства анализа защищенности и сканеры безопасности. Эти средства могут обнаружить и устранить  много уязвимостей на сотнях узлов, в том числе и удаленных на значительные расстояния. В этой области также лидирует компания Internet Security Systems со своим семейством SAFEsuite. Система включает функции поиска уязвимостей, работающих на всех четырех уровнях - Internet Scanner, System Scanner и Database Scanner. Совместное применение разных средств защиты на всех уровнях позволит построить надежную систему обеспечения информационной безопасности eCommerce. Такая система полезна и пользователям, и сотрудникам компании-провайдера услуг.

Она позволит снизить возможный  ущерб от атак на компоненты и ресурсы  электронного магазина.

Рекомендуется использовать дополнительные средства защиты. Такие  средства могут быть как свободно распространяемыми, так и коммерческими  продуктами. Какие из этих средств  лучше, решать в каждом конкретном случае по-своему. В случае нехватки денег  на приобретение средств защиты о приходится обращать внимание на бесплатные средства. Однако использование таких средств связано с некачественной защитой и отсутствием технической поддержки. Из коммерческих российских средств, реализующих большое число защитных функций можно назвать системы семейства SecretNet, разработанные предприятием "Информзащита". Вообще, чисто техническими средствами решить задачу построения комплексной системы защиты нельзя. Необходим комплекс организационных, законодательных, физических и технических мер.