<< Предыдущая

стр. 44
(из 48 стр.)

ОГЛАВЛЕНИЕ

Следующая >>

сети). В примере на рис. 11.15 можно предполагать следующую модельную настройку политики
безопасности:
• внешние абоненты имеют доступ в открытый сегмент, например, на корпоративный Web-сервер,
по определенному набору коммуникационных протоколов (фильтр 1);
• пользователи корпоративной сети имеют доступ к информации высшей критичности,
расположенной в сегменте серверов (фильтр 3), а также могут, используя proxy-сервис в открытом
сегменте, выходить в открытые сети (фильтры 2 и 1);
• администрирование безопасности производится дистанционно, обязательно с использованием
средств защиты трафика.
В данном примере для атакующей стороны из внешней сети наиболее критичный ресурс
(например, в сегменте серверов) может оказаться достижимым только при последовательной
компрометации двух эшелонов защиты: демилитаризованной зоны и сегмента рабочих мест
пользователей.

Программные продукты семейства ЗАСТАВА.
Компания ЭЛВИС+ разработала ряд программных продуктов для построения VPN
(защищенных корпоративных сетей) на основе стандарта IPSec.
Назначение продуктов данного ряда заключается в обеспечении гибкого, масштабируемого
решения для защиты и аутентификации трафика корпоративной сети и для защиты корпоративной
сети от несанкционированного доступа.
В состав этого ряда продуктов входят:
- клиентские агенты для защиты отдельных рабочих мест (персональных компьютеров);
- программные агенты для защиты серверных платформ;
- шлюзы для защиты входящего и исходящего трафика сегмента корпоративной сети.
Продукты работают на операционных платформах Windows 95, NT, Solaris (SPARC и Intel),
кроме того, обеспечена совместимость с платформами, соответствующими стандарту UNIX SVR 4.
В качестве шифраторов в этих продуктах, наряду с другими, используются программно-
аппаратные средства серии КРИПТОН.
ЗАСТАВА – Персональный клиент. Продукт является средством защиты рабочей станции,
находящейся в персональной эксплуатации. Эта программа содержит все средства
администрирования и конфигурирования, необходимые для взаимодействия этой программы с
любыми другими IPSec – совместимыми средствами защиты.
Функции продукта:
• защита и аутентификация трафика, реализация заданной дисциплины работы индивидуально для
каждого защищенного соединения, разрешение доступа в заданном режиме только для
санкционированных станций, контроль списка партнеров по взаимодействиям, защита от НСД из
сети;
• настройка политики безопасности при помощи графического интерфейса продукта и/или при
помощи внешне определенной конфигурации;
• сбор статистики и сигнализации.
ЗАСТАВА – Корпоративный клиент. Продукт является средством защиты рабочей станции
корпоративной сети. От предыдущего продукта эта программа отличается тем, что пользователь
защищаемой рабочей станции лишен возможности единолично определять политику безопасности (и,
следовательно, структуру сетевых соединений) для своей станции.
Политика безопасности полностью контролируется администратором безопасности
корпоративной сети и выдается пользователю как целостная структура данных на некотором
носителе. Данные, определяющие политику безопасности, могут загружаться с внешнего носителя
(дискета, пластиковая карта) и существуют в защищаемом компьютере только в течение сеанса его
работы, разрушаясь после прекращения работы компьютера.
ЗАСТАВА – Сервер. Продукт является функциональным аналогом продуктов семейства
ЗАСТАВА-Клиент для серверных платформ. Отличается расширенными ресурсами для поддержания
множественных соединений с клиентскими программными агентами.
ЗАСТАВА-Сервер поддерживает защищенные соединения с мобильными пользователями, не
имеющими фиксированных IP-адресов.
ЗАСТАВА-Офис – программный комплекс для коллективной защиты входящего и исходящего
трафика сегмента локальной сети, защиты этого сегмента от несанкционированного доступа из
внешней сети, а также для обеспечения защищенного взаимодействия с другими сегментами
локальных сетей путем туннелирования трафика.
Межсетевой экран ЗАСТАВА-Центр представляет собой программный комплекс,
предназначенный для контроля за входящей и/или исходящей информацией и защиты
автоматизированной системы предприятия от несанкционированного доступа с использованием
расширенной пакетной фильтрации на сетевом и транспортном уровнях.
Межсетевой экран ЗАСТАВА предназначен для работы в операционных системах Solaris 2.5,
2.6 или более поздних версиях.
Функциональные возможности продукта:
• фильтрация на основе сетевых адресов отправителя и получателя;
• фильтрация с учетом входного и выходного сетевого интерфейса как средство проверки
подлинности сетевых адресов;
• фильтрация с учетом любых значимых полей сетевых пакетов;
• фильтрация запросов на транспортном уровне на установление виртуальных соединений (при
этом учитываются транспортные адреса отправителя и получателя);
• фильтрация запросов на прикладном уровне к прикладным сервисам (при этом учитываются
прикладные адреса отправителя и получателя).
Межсетевой экран ЗАСТАВА обеспечивает возможность идентификации и аутентификации
входящих и исходящих запросов методами, устойчивыми к пассивному и/или активному
прослушиванию сети. Идентификация и аутентификация обеспечивается программными средствами
с поддержкой протокола SKIP.
Межсетевой экран ЗАСТАВА обеспечивает:
• возможность регистрации и учета фильтруемых пакетов (в параметры регистрации включаются
адрес, время и результат фильтрации);
• регистрацию и учет запросов на установление виртуальных соединений;
• локальную сигнализацию попыток нарушения правил фильтрации;
• идентификацию и аутентификацию администратора защиты при его локальных запросах на
доступ.

Применение продуктов семейства ЗАСТАВА для защиты корпоративной сети.
Ряд продуктов ОАО Элвис+ является функционально полным в том смысле, что решение
проблем защиты может быть распространено на всю корпоративную сеть предприятия или
организации любого масштаба.
При этом может быть обеспечено решение следующих задач (рис. 11.16):
• построение надежной и прозрачной системы защиты трафика от перехвата и фальсификации, как
для связи между локальными сетями удаленных подразделений, так и для входа в корпоративную
сеть уединенных удаленных (в том числе мобильных) пользователей, а также для построения
абонентских сетей;
• обеспечение контроля сетевого доступа к информации (вплоть до обеспечения
аутентифицированного доступа отдельных пользователей), построение эшелонированной
системы защиты от атак, осуществляемых методами сетевого доступа;
• построение, при необходимости, системы вложенных защищенных периметров, ориентированных
на работу с информацией различной степени конфиденциальности;
• построение системы событийного протоколирования и аудита с обеспечением возможности
оперативного мониторинга безопасности в масштабах корпоративной сети;
• обеспечение централизованного дистанционного управления средствами сетевой защиты.

Центральный Офис
Внутренний Защита от НСД из
защищенный открытых сетей
Сегмент
периметр Информационные
LAN IP ресурсы открытых
сетей
SKIP
IP
Сегмент IP
IP
Контролируемый
LAN
SKIP
доступ в открытые сети
IP SKIP
Сегмент
LAN
Мобильный
пользователь
Сегментирование локальной сети,
реализация межсегментной политики Тунеллирование
безопасности, выделение вложенных трафика в SKIP
защищенных периметров открытых сетях

Филиал (подразделение)
Удаленный
пользователь
SKIP SKIP
Сегмент IP
LAN


Взаимодействие с удаленными и
мобильными пользователями

Рис. 11.16. Пример схемы защищенной корпоративной сети.
ГЛАВА 12. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЛАТЕЖНЫХ СИСТЕМ
НА ОСНОВЕ СМАРТ-КАРТ И ПРОГРАММНО-АППАРАТНЫХ СРЕДСТВ
ФИРМЫ АНКАД

Одна из наиболее важных сфер применения средств серии КРИПТОН – обеспечение
безопасности платежных систем. Эта задача имеет комплексный характер. Рассмотрим один из ее
аспектов – защиту информации, циркулирующей в аппаратно-программных объектах платежной
системы.


12.1. Технические объекты платежной системы
К техническим объектам платежной системы относятся:
• платежная смарт-карта (карточка с однокристальным специализированным процессором,
имеющим долговременную защищенную память, стандартизированные размеры и интерфейс);
• устройство чтения/записи (отдельное интерфейсное устройство или устройство в составе
терминала, в которое вставляется смарт-карта, и взаимодействующие с смарт-картой
механические и электрические устройства);
• терминальное оборудование (торговые терминалы, кассовые аппараты, банкоматы и другое
оборудование), предназначенное для непосредственных операций со смарт-картой и передачи
информации в центр обработки транзакций;
• автоматизированное рабочее место (АРМ) персонализации смарт-карт (персональный компьютер
с устройством чтения/записи для записи на смарт-карты информации);
• АРМ операциониста банка (персональный компьютер с устройством чтения/записи);
• рабочая станция банка-эквайера, банка-эмитента, процессингового центра (персональный
компьютер с устройством чтения/записи);
• сервер банка-эквайера, банка-эмитента, процессингового центра;
• каналы связи, объединяющие указанные выше компоненты.
На платежной смарт-карте обычно размещается следующая информация:
• ключи шифрования и подписи (может быть несколько наборов ключей: ключ аутентификации,
ключи для связи с процессинговым центром, ключи для кредитования и дебетования и т.д );
• информация о наличии денег, о проведенных транзакциях и т.п.


12.2. Основные принципы обеспечения безопасности платежной
системы
Идентификация и аутентификация субъектов платежной системы. До начала проведения
любой операции устанавливаются: выпускающая смарт-карты организация, банк, торговая
организация, владелец смарт-карты.
Данные выпускающей смарт-карты организации и номер смарт-карты записываются в
однократно программируемую память и защищаются от изменения аппаратным способом.
Данные о банке и владельце смарт-карты могут быть изменены на смарт-карте в центре
персонализации банка-эмитента при предъявлении соответствующих полномочий (ключей).
Данные о торговой организации вносятся непосредственно в терминал сервисной
организации с соответствующих технологических смарт-карт вместе с ключами банков или со смарт-
карт кассиров и продавцов.
Идентификация и аутентификация должна осуществляться на основе методов симметричной
и асимметричной криптографии. Для решения этих задач фирма АНКАД предлагает библиотеки
функций шифрования и вычисления имитовставки (ГОСТ 28147-89), хеширования (ГОСТ Р 34.11-94)
и электронной цифровой подписи (ГОСТ Р 34.10-94), реализованные программным и аппаратным
способами.
Проверка целостности данных. Система должна гарантировать, что данные в системе или
на смарт-карте не будут изменены неправомочными пользователями неправомочным образом.
Целостность данных в системе с шифрованием можно подтвердить имитовставкой, вычисленной на
секретных ключах банков. Целостность информации о проведенных операциях (транзакциях)
подтверждается имитовставками, вычисленными на секретных ключах участников операции (клиента,
кассира и продавца). Для систем с электронной подписью вместо имитовставки можно использовать
ЭЦП с проверкой ее достоверности сертифицированными ранее открытыми ключами. Можно
комбинировать оба способа в зависимости от возможностей используемых устройств.
Проверка целостности данных может осуществляться с помощью библиотек (см. табл. 11.1).
Определение происхождения информации. Все сделки и данные системы должны
сопровождаться информацией, идентифицирующей их происхождение и назначение. При
выполнении каждой операции фиксируются дата и время ее проведения, участвующие в ней
субъекты и объекты. Информация об операции подтверждается сертификатами каждого участника
(имитовставкой или электронной подписью). Действительность операции можно проверить на
основании соответствующих ключей ее участников. Эти ключи знает участник и банк.
Для проверки происхождения информации предназначены те же самые библиотеки.
Обеспечение секретности данных. Система должна гарантировать конфиденциальность
данных. Только допущенный к системе пользователь имеет возможность просмотра данных.
Секретность гарантируется применением шифрования как в каналах связи, так и внутри устройств.
Для ограничения доступа к оборудованию на базе ПК предлагаются системы защиты от
несанкционированного доступа КРИПТОН-ВЕТО или КРИПТОН-ЗАМОК. Защита ПК со стороны сети и
каналов связи осуществляется с помощью "прозрачно" шифрующих коммуникационных программ или
криптошлюзов и криптомаршрутизаторов.
Защита кредитных операций. Кредитные операции должны выполняться непосредственно в
банке или в режиме on-line. Разрешается их проводить и в режиме off-line для определенных сумм
кредита. Система должна защищать проведение кредитных операций (перевод денег со счета на
смарт-карту) путем:
• проверки банком действительности смарт-карты;
• проверки действительности терминала банка;
• определения владельца карточки по PIN коду;
• создания подтверждающего электронного сертификата;
• подтверждения сертификатом проведенной операции;
• вывода смарт-карты из обращения при попытке мошенничества с возможностью восстановления.
Сумма кредита подписывается специальным ключом банка (создание сертификата), если
терминалы, работающие в режиме off-line, умеют проверять электронную подпись. Иначе
формируется имитовставка на все данные банка и клиента, включая и сумму кредита.
Подтверждение сертификатом проведенной операции выполняется в виде электронной подписи
работника банка.
Для решения приведенных выше задач предлагается использовать библиотеки
криптографических функций фирмы АНКАД.
Защита дебитных операций. При приобретении товаров или услуг производятся:
• проверка терминалом торгового предприятия действительности смарт-карты;
• проверка картой действительности торгового терминала;
• определение владельца смарт-карты по PIN коду;
• проверка наличия средств на смарт-карте;
• создание подтверждающего электронного сертификата;
• подтверждение сертификатом проведенной операции;
• вывод смарт-карты из обращения при попытке мошенничества с возможностью восстановления.
Все проверки выполняются аналогично операции кредитования, только в качестве работника
банка выступает кассир магазина. Проверка наличия средств на смарт-карте производится путем
сравнения суммы услуг с остатком средств на смарт-карте. На смарт-карте записывается с
нарастанием сумма истраченных средств. Она сравнивается с предоставленной суммой кредита.
Последняя может быть изменена только банком-эмитентом.
Согласование проведенных операций. Все кредитные и дебетовые операции, проведенные
в течение дня в каждом магазине, собираются, согласовываются и передаются в банк. При этом:
• удостоверяется действительность торгового терминала;
• проверяется подлинность сделки;
• проверяется целостность данных о сделке.
Проверки должны производиться на основе оценки сертификатов сделок с помощью
библиотеки криптографических функций.
Обеспечение безопасности смарт-карты. Обеспечение безопасности смарт-карты должно
осуществляться на всех этапах ее жизненного цикла – от производства кристалла, транспортировки,
персонализации до защиты информации на ней от самого владельца карты. При производстве и
транспортировке могут быть искажены или модифицированы характеристики карты с целью
последующего получения доступа к ресурсам платежной системы или нарушения ее
функционирования.
Для определения качества карточки, выходящей из производства, используется выборочный
контроль на соответствие топологии кристалла и содержимого ОС эталонным образцам. При этом
только применение отечественной смарт-карты в достаточной степени может гарантировать
надежность контроля.
Основная опасность утечки конфиденциальной информации о владельце карты существует
на этапе персонализации карты. Рабочее место для персонализации карт должно иметь надежную
систему защиты от НСД, в качестве которой может быть использована система КРИПТОН-ВЕТО или
КРИПТОН-ЗАМОК.
Защита конфиденциальной информации на карточке от ее владельца или постороннего
злоумышленника (при краже карты) обеспечивается использованием физико-технологических
методов защиты от НСД к кристаллу и ОС, а также механизмом аутентификации владельца.
Защита оборудования и программного обеспечения. Все оборудование и программное
обеспечение, используемое в системе, должно подвергаться проверке, с тем чтобы оно не могло
быть использовано в недобросовестных целях. Все терминалы должны быть защищены от

<< Предыдущая

стр. 44
(из 48 стр.)

ОГЛАВЛЕНИЕ

Следующая >>