Безопасность электронных платежных систем

Основные правила, которые стоит соблюдать покупателю

1. Никогда никому не сообщайте ваш пароль, включая сотрудников платежных систем.
2. Проверяйте, что соединение действительно происходит в защищенном режиме SSL – в правом нижнем углу вашего браузера должен быть виден значок закрытого замка;
3. Проверяйте, что соединение установлено именно с адресом платежной системы или интернет-банка;
4. Никогда не сохраняйте информацию о вашем пароле на любых носителях, в том числе и на компьютере. Если у вас возникли подозрения, что кто-либо получил доступ к вашему личному кабинету, смените пароль или заблокируйте ваш счет/аккаунт;
5. После окончания работы обязательно нажимайте кнопку Выход;
6. Убедитесь, что компьютер не поражен какими-либо вирусами. Установите и активизируйте антивирусные программы. Старайтесь их постоянно обновлять, так как действие вирусов может быть направлено на передачу третьим лицам информации о вашем пароле;
7. Используйте программное обеспечение из проверенных и надежных источников, выполняйте регулярные обновления.

Статистика
По статистике, чаще всего подвергаются атакам следующие системы: терминалы (32%), сервера баз данных (30%), серверы приложений (12%), веб-серверы (10%). На рабочие станции, серверы аутентификации, серверы резервного копирования, файловые хранилища и прочее приходится только 10%. Из данной статистики наглядно видна актуальность безопасности именно сайтов и приложений, так как через их уязвимости чаще всего становится возможным получение доступа к данным.

Что обеспечивает безопасность платежных систем

Безопасные/зашифрованные интернет-соединения

• В настоящее время наличие SSL сертификата на сайте не является достаточным условием для безопасного проведения интернет-платежей. Только комплексный подход, сертифицированный по современным международным стандартам, позволяет говорить о том, что безопасность обработки интернет-платежей обеспечивается на самом высоком уровне.

Клиентская защита

• Логин/пароль доступа для входа в систему, который проходит тестирование на сложность;
• Комбинация номера банковской карты, срока действия, имени держателя карты, CVV/CVC кодов;
• Возможность создания виртуальной карты, дублирующей основную, для проведения интернет-платежей;

Техническая защита

• Привязка платежного сервиса к фиксированному IP-адресу и телефонному номеру клиента;
• Осуществление клиентского доступа в систему по зашифрованному протоколу HTTPS/SSL;
• Возможность использования виртуальной клавиатуры для набора данных идентификации (противодействие перехвату личных данных);
• Разделение каналов формирования транзакций и канала авторизации транзакций:
• авторизация транзакций осуществляется через специальный код, который при совершении платежа клиент получает от системы на свой мобильный телефон по SMS (случайная комбинация букв и цифр, действующая только в течение нескольких минут).

Защита пластиковых карт
Злоумышленники чаще всего пытаются получить доступ к карточным данным. В отчетах исследований специалистов в области платежной безопасности — компаний Verizon и Trustwave указывается статистика: в 85-ти и 98-ми случаев из 100 соответственно, целью атаки были именнокарточные данные.

Сертификация платежных систем
Сертификация сервис-провайдеров и владельцев бизнеса (мерчантов) с количеством транзакций более 6 млн. в год подлежит сертификации Qualified Security Assessor (QSA), которые в России выдаются компаниями IBM, NVision Group, Deiteriy, Digital Security, TrustWave, ЕВРААС ИТ, Информзащита,Инфосистемы Джет, Крок Инкорпорейтед.

1. Сертификат соответствия стандарту Payment Card Industry Data Security Standard (PCI DSS);
2. Сертификат безопасности на соответствие международным требованиям к менеджменту информационной безопасности в сфере разработки, внедрения и сопровождения программных средств ISO/IEC 27001:2005;
3. Использование электронно-цифровой подписи (ЭЦП);
4. Лицензии на право осуществления деятельности по предоставлению, техническому обслуживанию, распространению шифровальных (криптографических) средств.

Начиная с 1 июля 2012 года использование несертифицированных приложений компаниями, попадающими под действие стандарта PCI DSS, будет запрещено.
PCI DSS стандарт защиты информации в индустрии платёжных карт был разработан международными платёжными системами Visa и MasterCard и представляет собой совокупность 12 детализированных требований по обеспечению безопасности данных о держателях платёжных карт, которые передаются, хранятся и обрабатываются в информационных инфраструктурах организаций. Принятие соответствующих мер по обеспечению соответствия требованиям стандарта подразумевает комплексный подход к обеспечению информационной безопасности данных платёжных карт.

Уязвимые места и способы защиты
С точки зрения информационной безопасности в системах электронных платежей существуют следующие уязвимые места:

1. Пересылка платежных и других сообщений между банком и клиентом и между банками;
2. Обработка информации внутри организаций отправителя и получателя сообщений;
3. Доступ клиентов к средствам, аккумулированным на счетах.
4. Одним из наиболее уязвимых мест в системе электронных платежей является пересылка платежных и других сообщений между банками, между банком и банкоматом, между банком и клиентом.

Защита при пересылке платежных сообщений:

1. Внутренние системы организаций отправителя и получателя должны быть приспособлены для отправки и получения электронных документов и обеспечивать необходимую защиту при их обработке внутри организации (защита оконечных систем);
2. Взаимодействие отправителя и получателя электронного документа осуществляется опосредовано – через канал связи.

Проблемы, решаемые при организации защиты платежей:

• взаимное опознавание абонентов (проблема установления взаимной подлинности при установлении соединения);
• защита электронных документов, передаваемых по каналам связи (проблемы обеспечения конфиденциальности и целостности документов);
• защита процесса обмена электронными документами (проблема доказательства отправления и доставки документа);
• обеспечение исполнения документа (проблема взаимного недоверия между отправителем и получателем из-за их принадлежности к разным организациям и взаимной независимости).

Обеспечение безопасности платежных систем
Для обеспечения функций защиты информации на отдельных узлах системы электронных платежей должны быть реализованы следующие механизмы защиты:

• управление доступом на оконечных системах;
• контроль целостности сообщения;
• обеспечение конфиденциальности сообщения;
• взаимная аутентификация абонентов;
• невозможность отказа от авторства сообщения;
• гарантии доставки сообщения;
• невозможность отказа от принятия мер по сообщению;
• регистрация последовательности сообщений;
• контроль целостности последовательности сообщений.

Качество решения указанных выше проблем в значительной мере определяется рациональным выбором криптографических средств при реализации механизмов защиты.

Платежная система — это система взаимодействия участников
С организационной точки зрения ядром платежной системы является ассоциация банков, объединенная договорными обязательствами. Кроме того, в состав электронной платежной системы входят предприятия торговли и сервиса, образующие сеть точек обслуживания. Для успешного функционирования платежной системы необходимы и специализированные организации, осуществляющие техническую поддержку обслуживания карт: процессинговые и коммуникационные центры, центры технического обслуживания и т.п.

Безопасность электронных платежных систем

Современную практику банковских операций, торговых сделок и взаимных платежей невозможно представить без расчетов с применением пластиковых карт.

Система безналичных расчетов с помощью пластиковых карт называется электронной платежной системой.

Для обеспечения нормальной работы электронная платежная система должна быть надежно защищена.

C точки зрения информационной безопасности в системах электронных платежей существуют следующие уязвимые места:

• пересылка платежных и других сообщений между банками, между банком и банкоматом, между банком и клиентом;
• обработка информации внутри огранизаций отправителя и получателя сообщений;
• доступ клиентов к средствам, аккумилированным на счетах.

Пересылка платежных и других сообщений связана с такими особенностями:

• внутренние системы организаций отправителя и получателя должны обеспечивать необходимую защиту при обработке электронных документов (защита оконечных систем);
• взаимодействие отправителя и получателя электронного документа осуществляется опосредовано - через канал связи.

Эти особенности порождают следующие проблемы:

• взаимное опознание абонентов (проблема установления взаимной подлинности при установлении соединения);
• защита электронных документов, передаваемых по каналам связи (проблема обеспечения конфиденциальности и целостности документов);
• защита процесса обмена электронными документами (проблема доказательства отправления и доставки документа);
• обеспечение исполнения документа (проблема взаимного недоверия между отправителем и получателем из-за их принадлежности к разным оррганизациям и взаимной независимости).

Для обеспечения функций защиты информации на отдельных узлах системы электронных платежей должны быть реализованы следующие механизмы защиты:

• управление доступом на оконечных системах;
• контроль целостности сообщения;
• обеспечение конфиденциальности сообщения;
• взаимная аутентификация абонентов;
• невозможность отказа от авторства сообщения;
• гарантии доставки сообщения;
• невозможность отказа от принятия мер по сообщения;
• регистрация последовательности сообщений;
• контроль целостности последовательности сообщений.

Итак, в качестве платежного средства в электронной платежной системе используются электронные пластиковые карты.

Электронная пластиковая карта - это носитель информации, который идентифицирует владельца и хранит определенные учетные данные.

Различают кредитные и дебетовые карты.

Кредитные карты являются наиболее распространенным видом пластиковых карт. К ним относятся карты общенациональных систем США Visa и MasterCard, American Express и ряда других. Эти карты предъявляют для оплаты товаров и услуг. При оплате с помощью кредитной карты банк покупателя открывает ему кредит на сумму покупки, а затем через некоторое время (обычно 25 дней) присылает счет по почте. Покупатель должен вернуть оплаченный чек (счет) обратно в банк. Естественно, подобную схему банк может предложить только наиболее состоятельным и проверенным из своих клиентов, которые имеют хорошую кредитную историю перед банком или солидные вложения в банк в видедепозитов, ценностей или недвижимости.

Владелец дебетовой карты должен заранее внести на свой счет в банке-эмитенте определенную сумму. Размер этой суммы определяет лимит доступных средств. При осуществлении расчетов с использованием этой карты соответственно уменьшается и лимит. Для возобновления или увеличения лимита владелец должен вновь внести деньги на свой счет. Для страхования временного разрыва между моментом осуществления платежа и моментом получения банком соответствующей информации на счете клиента должен поддерживаться неснижаемый остаток.

Как кредитная, так и дебетовая карты могут быть не только персональными, но и корпоративными. Корпоративные карты предоставляются компанией своим сотрудникам для оплаты командировочных или других служебных расходов. Корпоративные карты компании связаны с каким-либо одним ее счетом. Эти карты могут иметь разделенный или неразделенный лимит. В первом случае каждому из держателей корпоративных карт устанавливается индивидуальный лимит. Второй вариант больше подходит небольшим компаниям и не предполагает разграничения лимита.

Пластиковая карта представляет собой пластину, изготовленную из специальной пластмассы, устойчивой к механическим и термическим воздействиям. По стандарту ISO 9001 все пластиковые карты имеют размеры 85.6×53.9×0.76 мм.

Для идентификации владельца на пластиковую карту наносятся:

• логотип банка-эмитента;
• логотип платежной системы, обслуживающей эту карту;
• имя владельца карты;
• номер счета владельца карты;
• срок действия карты и т.п.

Кроме того, на карте может присутствовать фотография владельца и его подпись.

Алфавитно-цифровые данные (имя, номер счета и др.) могут быть эмбоссированы, т.е. нанесены рельефным шрифтом. Это дает возможность при ручной обработке принимаемых к оплате карт быстро перенести данные на чек с помощью специального устройства - импринтера, осуществляющего "прокатывание" карты.

По принципу действия различают пассивные и активные пластиковые карты. Пассивные пластиковые карты всего лишь хранят информацию. К ним относятся пластиковые карты с магнитной полосой.

Карты с магнитной полосой являются пока наиболее распространенными - в обращении находится свыше двух миллиардов карт подобного типа. Магнитная полоса располагается на обратной стороне карты и, в соответствии со стандартом ISO 7811, состоит из трех дорожек. Из них первые две предназначены для хранения идентификационных данных, а на третью дорожку можно записывать информацию (например, текущее значение лимита дебетовой карты). Однако из-за невысокой надежности многократно повторяемого процесса записи/считывания запись на магнитную полосу обычно не практикуется.

Карты с магнитной полосой относительно уязвимы для мошенничества. Для повышения защищенности своих карт системы Visa и MasterCard/Europay используют дополнительные графические средства защиты: голограммы и нестандартные шрифты для эмбоссирования. Эмбоссеры (устройства для тиснения рельефа на карте) выпускает ограниченный круг изготовителей. В ряде стран Запада законодательно запрещена свободная продажа эмбоссеров. Специальные символы, подтверждающие принадлежность карты к той или иной платежной системе, поставляются владельцу эмбоссера только с разрешения руководящего органа платежной системы.

Платежные системы с подобными картами требуют on-line авторизации в торговых точках и, как следствие, наличия разветвленных, высококачественных средств коммуникации (телефонных линий).

Отличительная особенность активной пластиковой карты - наличие встроенной в нее электронной микросхемы. Принцип пластиковой карты с электронной микросхемой запатентовал в 1974 г. француз Ролан Морено. Стандарт ISO 7816 определяет основные требования к картам на интегральных микросхемах или чиповым картам.

Карты с микросхемой можно классифицировать по двум признакам.

Первый признак - принцип взаимодействия со считывающим устройством. Основные типы:

• карты с контактным считыванием;
• карты с бесконтактным (индукционным) считыванием.

Карта с контактным считыванием имеет на своей поверхности от 8 до 10 контактных пластин. Размещение контактных пластин, их количество и назначение выводов различны у разных производителей и естественно, что считыватели для карт данного типа различаются между собой.

Обмен данными между картой с бесконтактным считыванием и считывающим устройством производится индукционным способом. Очевидно, что такие карты надежнее и долговечнее.

Второй признак - функциональные возможности карты. Основные типы:

• карты-счетчики;
• карты с памятью;
• карты с микропроцессором.

Карты-счетчики применяются, как правила, в тех случаях, когда та или иная платежная операция требует уменьшения остатка на счете держателя карты на некоторую фиксированную сумму. Подобные карты используются в специализированных приложения с предоплатой (плата за использование телефона-автомата, отлата автостоянки и т.д.). Очевидно, что применение карт со счетчиком ограничено и не имеет большой перспективы.

Карты с памятью являются переходными между картами-счетчиками и картами с микропроцессором. Карта с памятью - это перезаписываемая карта-счетчик, в которой приняты меры, повышающие ее защищенность от атак злоумышленников. Простейшие карты с памятью имеют объем памяти от 32 байт до 16 Кбайт. Эта память может быть организована в виде:

• программируемого постоянного запоминающего устройства ППЗУ (EPROM), которое допускает однократную запись и многократное считывание;
• электрически стираемого программируемого постоянного запоминающего устройства ЭСППЗУ (EEPROM), которое допускает моногократную запись и многократное считывание.

Карты с памятью можно подразделить на два типа:

• с незащищенной (полнодоступной) памятью;
• с защищенной памятью.

В картах первого типа нет никаких ограничений на чтение и запись данных. Эти карты нельзя использовать в качестве платежных, так как их достаточно просто "взломать".

Карты второго типа имеют область идентификационных данных и одну или несколько прикладных областей. Идентификационная область допускает лишь однократную запись при персонализации и дальше доступна только для считывания. Доступ к прикладным областям регламентируется и осуществляется только при выполнении определенных операций, в частности при вводе секретного PIN-кода.

Уровень защиты карт с памятью выше, чем у магнитных карт. В качестве платежного средства карты с памятью используются для оплаты таксофонов общего пользования, проезда в транспорте, в локальных платежных системах (клубные карты). Карты с памятью применяются также в системах допуска в помещения и доступа к рресурсам компьютерных сетей (идентификационные карты).

Карты с микропроцессором называют также интеллектуальными картами или смарт-картами. Это по сути микрокомпьютеры, которые содержат все основные аппаратные компоненты:

• микропроцессор с тактовой частотой 5Мгц;
• оперативное ЗУ емкостью до 256 байт;
• постоянное ЗУ емкостью до 10 Кбайт;
• энергонезависимое ЗУ емкостью до 8 Кбайт.

Смарт-карта обеспечивает широкий набор функций:

• разграничение полномочий доступа к внутренним ресурсам;
• шифрование данных с применением различных алгоритмов;
• формирование электронной цифровой подписи;
• ведение ключевой системы;
• выполнение всех операций взаимодействия владельца карты, банка и торговца.

Некоторые смарт-карты обеспечивают режим "самоблокировки" при попытке несанкционированного доступа.

Все это делает смарт-карту высокозащищенным платежным инструментом, который может быть использован в финансовых приложениях, предъявляющих повышенные требования к защите информации. Именно поэтому смарт-карты являются наиболее перспективным видом пластиковых карт.

Важными этапами подготовки и применения пластиковой карты являются персонализация и авторизация.

Персонализация осуществляется при выдаче карты клиенту. При этом на карту заносятся данные, позволяющие идентифицировать карту и ее владельца, а также осуществить проверку платежеспособности карты при приеме ее к оплате или выдаче наличных денег. Первоначальным способом персонализации было эмбоссирование.

К персонализации относятся также кодирование магнитной полосы и программирование микросхемы.

Кодирование магнитной полосы производится, как правило, на том же оборудовании, что и эмбоссирование. При этос часть информации о карте, содержащая номер карты и период ее действия, одинаковая как на магнитной полосен, так и на рельефе. Однако бывают ситуации, когда после первичного кодирования требуется дополнительно занести информацию на магнитную полосу. В этом случае применяются специальные устройства с функцией "чтение-запись". Это возможно, в частности, когда PIN-код для пользования картой не формируется специальной программой, а выбирается клиентом по своему усмотрению.

Программирование микросхемы не требует особых технологических приемов, но зато имеет некоторые организационные особенности. Так операции по программированию отдельных областей микросхемы разнесены территориально и разграничены по правам различных сотрудников. Обычно эта процедура разбивается на три этапа:

• на первом рабочем месте выполняется активация карты (ввод ее в действие);
• на втором рабочем месте выполняются операции, связанные с обеспечением безопасности;
• на третьем рабочем месте производится собственно персонализация.

Такие меры повышают безопасность и исключают возможные злоупотребления.

Авторизация - это процесс утверждения продажи или выдачи наличных по карте. Для проведения авторизации точка обслуживания делает запрос платежной системе о подтверждении полномочий предъявителя карты и его финансовых возможностей. Технология авторизации зависит от типа карты, схемы платежной системы и технической оснащенности точки обслуживания.

Авторизация проводится либо "вручную", либо автоматически. В первом случае осуществляется голосовая авторизация, когда продавец или кассирпередает запрос оператору по телефону. Во втором случае карта помещается в автоматизированный торговый POS-терминал (Point-Of-Sale - оплата в точке продажи), данные считываются с карты, кассир вводит сумму платежа, а владелец карты - PIN-код (Personal Identication Number - персональный идентификационный номер). После этого терминал осуществляет авторизацию, устанавливая связь с базой данных платежной системы (on-line режим), либо реализуя дополнительный обмен данными с самой картой (off-line режим). При выдаче наличных денег процесс имеет аналогичный характер, с той лишь особенностью, что деньги в автоматическом режиме выдаются банкоматом, который и проводит авторизацию.

Испытанным способом идентификации владельца пластиковой карты является использование секретного персонального идентификационного номераPIN. Значение PIN должно быть известно только владельцу карты. С одной стороны, PIN должен быть достаточно длинным, чтобы вероятность угадывания с помощью полного перебора была приемлемо малой. С другой стороны, PIN должен быть достаточно коротким, чтобы владелец мог его запомнить. Обычно длина PIN колеблется от 4 до 8 десятичных цифр, но может достигать 12.

Значение PIN однозначно связано с соответствующими атрибутами пластиковой карты, поэтому PIN можно трактовать как подпись владельца карты.

Защита персонального идентификационного номера PIN для пластиковой карты является критичной для безопасности всей платежной системы. Пластиковые карты могут быть могут быть потеряны, украдены или подделаны. В таких случаях единственной контрмерой против несанкционированного доступа остается секретное значение PIN. Поэтому открытая форма PIN должна быть известна только законному владельцу карты. Она никогда не хранится и не передается в рамках системы электронных платежей.

Метод генерации значения PIN оказывает существенной влияние на безопасность электронной платежной системы. Вообще, персональные идентификационные номера могут формироваться либо банком, либо владельцами карт.

Если PIN назначается банком, то обычно используется один из двух вариантов.

При первом варианте PIN генерируется криптографически из номера счета владельца карточки. Шифрование проводится по алгоритму DES с использованием секретного ключа. Достоинство: значение PIN не нужно хранить внутри электронной платежной системы. Недостаток: при необходимости изменения PIN надо менять либо номер счета клиента, либо криптографический ключ. Но банки предпочитают, чтобы номер счета клиента оставался фиксированным. А с другой стороны, поскольку все PIN вычисляют, используя один ключ, изменение одного PIN при сохранении счета клиента влечет за собой изменение всех персональных идентификационных номеров.

При втором варианте банк выбирает PIN случайным образом, сохраняя это значение в виде криптограммы. Выбранные значения PIN передается владельцам карт по защищенному каналу.

Использование PIN, назначенного банком, неудобно клиентам даже при небольшой его длине. Такой PIN трудно удержать в памяти, и поэтому владелец карты может записать его куда-нибудь. Главное - это не записывать PIN непосредственно на карту или другое видное место. Иначе задача злоумышленников будет сильно облегчена.

Для большего удобства клиента используют значение PIN, выбираемое самим клиентом. Такой способ определения PIN позволяет клиенту:

• использовать один и тот же PIN для различных целей;
• задавать в PIN не только цифры, но и буквы (для удобства запоминания).

Выбранный клиентом PIN может быть передан в банк заказной почтой или отправлен через защищенный терминал банковского офиса, который немедленно его шифрует. Если банку необходимо использовать выбранный клиентом PIN, то поступают следующим образом. Каждую цифру выбранного клиентом PIN складывают по модулю 10 (без учета переносов) с соответствующей цифрой PIN, выводимого банком из счета клиента. Получаемое десятичное число называется "смещением". Это смещение запоминается на карте клиента. Поскольку выводимый PIN имеет случайный характер, то выбранный клиентом PIN невозможно определить по его смещению.

Главное требование безопасности состоит в том, что значение PIN должно запоминаться владельцем карты и никогда не должно храниться в любой читабельной форме. Но люди несовершенны и очень часто забывают свои PIN. Поэтому для таких случаев предназначены специальные процедуры: восстановление забытого PIN или генерация нового.

При идентификации клиента по значению PIN и предъявленной карте используются два основных способа проверки PIN: неалгоритмический и алгоритмический.

Неалгоритмический способ осуществляется путем непосредственного сравнения введенного клиентом PIN со значениями, хранимыми в базе данных. Обычно база данных со значениями PIN клиентов шифруется методом прозрачного шифрования, чтобы повысить ее защищенность, не усложняя процесса сравнения.

Алгоритмический способ проверки PIN заключается в том, что введенный клиентом PIN преобразуют по определенному алгоритму с использованием секретного ключа и затем сравнивают со значением PIN, хранящимся в определенной форме на карте. Достоинства этого метода проверки:

• отсутствие копии PIN на главном компьютере исключает его раскрытие персоналом банка;
• отсутствие передачи PIN между банкоматом или POS-терминалом и главным компьютером банка исключает его перехват или навязывание результатов сравнения;
• Упрощение работы по созданию программного обеспечения системы, так как уже нет необходимости действий в реальном масштабе времени.