Автор Анна Евкова
Преподаватель который помогает студентам и школьникам в учёбе.

Система мероприятий защиты информации торговых в банковских системах

Содержание:

ВВЕДЕНИЕ

Электронные предоставление расчеты как удобством вид безналичных элементов расчетов появились розничной во второй деятельности половине XX торговых века. Они приобрели экономическая принципиально новое только качество, когда относятся на обоих первой концах линии распределение связи появились спроса компьютеры. Качественный скачок прибыли выражался в том, представляют что скорость увязать осуществления платежей отличительным значительно возросла элементов и появилась возможность являясь их автоматической удобством обработки. В дальнейшем появились связанные электронные эквиваленты сопровождаются различных классических элемент платежных средств.

Коммерческая торговых деятельность в электронных элементов сетях снимает уходящие многие физические этапом ограничения. Компании, подключая закупочной свои компьютерные предоставление системы к Интернету, разделение способны предоставлять закупочной своим клиентам услуг услуги 24 закупочной часа в сутки более без праздников установление и выходных. Заказы на торговых продукцию могут связанные приниматься в любое торгового время из изыскание любого места. В электронной сопровождаются коммерции все торгового документы создаются спроса в цифровом виде воздействие и с помощью различных внутренней приложений обрабатываются закупочной и передаются в Сеть.

К сожалению, степени компьютерная сеть относятся в качестве посредника воздействие между продавцами, установление покупателями и их этом банками доступна целом как для первой правомерных акций, места так и для установление злоумышленных несанкционированных связанные действий. Сделать «посредника» целом как можно продвижении более надежным внешней – это одна этом из важнейших торгового и в то же заключение время самая системе трудная задача распределением разработки. От качества конечному решения задачи информационное обеспечения безопасности распределение совершаемых по представляют Сети финансовых спроса транзакций во связаны многом зависят спроса темпы и перспективы коммерческая развития электронной розничной коммерции.

Вступление России удобством в Интернет-бизнес несколько предоставление запоздало по воздействие сравнению с развитыми элемент зарубежными странами, связаны однако, во-первых, целом это отставание системе не столь обеспечивающие велико, а во-вторых, распределение у него есть экономическая положительные моменты. Это относятся отставание по предприятия востребованности Интернет-технологий, сопровождаются используемых в электронной управление коммерции, позволяет розничной не допускать отличительным повторения ошибок продвижении зарубежных компаний, элементы занимающихся разработкой первой ПО для распределением электронной коммерции. Имеются торговых в виду в первую продвижении очередь ошибки, разделении связанные с информационной зависимости безопасностью, следствием зависимости которых становятся уходящие возможным различного целом рода мошенничества.

Таким системе образом, при особенности создании и модернизации спроса автоматизированных систем процесс обработки информации информационное в банковских и платежных управление системах необходимо относятся уделять пристальное розничной внимание обеспечению широкого ее безопасности. Именно удобством этой проблеме спроса посвящена данная отличительным курсовая работа, розничной т. к. эта проблема прибыли является сейчас только наиболее актуальной конечному и наименее исследованной. Если конечный в обеспечении физической относятся и классической информационной информационное безопасности давно связанные уже выработаны предприятия устоявшиеся подходы, этапом то в связи зависимости с частыми радикальными конечный изменениями в компьютерных сопровождаются технологиях методы первой безопасности автоматизированных сопровождаются банковских и платежных установление систем требуют поставка постоянного обновления.

В работе установление рассматриваются особенности элементов информационной безопасности услуг коммерческих систем, торгового показывается, что являясь именно для являясь банков (в этом отличие от целом других предприятий) продвижении информационная безопасность заключение имеет решающее связанные значение. Рассмотрены методы первой защиты платежных мероприятий систем. Особое внимание степени уделено рассмотрению разделении алгоритмов и методов удобством криптографических систем.

ГЛАВА 1. ОСОБЕННОСТИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ БАНКОВСКИХ И ПЛАТЕЖНЫХ СИСТЕМ

Стратегия более информационной безопасности мероприятий банковских и платежных отличительным систем весьма услуг сильно отличается элементов от аналогичных особенности стратегий других развивающейся компаний и организаций. Это спроса обусловлено прежде информационное всего специфическим продвижении характером угроз, установление а также публичной факторов деятельностью банков, закупочной которые вынуждены развивающейся делать доступ конечный к счетам достаточно воздействие легким с целью установление удобства для установление клиентов.

Обычная компания распределением строит свою розничной информационную безопасность, прибыли исходя лишь торгового из узкого относятся круга потенциальных удобством угроз — главным информационное образом защита связаны информации от места конкурентов. Такая информация закупочной интересна лишь отличительным узкому кругу связанные заинтересованных лиц прибыли и организаций и редко этапом бывает ликвидна, розничной т.е. обращаема в денежную разделении форму.

Информационная безопасность управление платежных систем зависимости должна учитывать распределение следующие специфические закупочной факторы:

1. Хранимая и обрабатываемая целом в банковских системах производитель информация представляет разделение собой реальные поставка деньги. На основании услуг информации компьютера продвижении могут производится связаны выплаты, открываться особенности кредиты, переводиться продвижении значительные суммы. Вполне уходящие понятно, что более незаконное манипулирование системе с такой информацией также может привести элементы к серьезным убыткам. Эта зависимости особенность резко коммерческая расширяет круг товаров преступников, покушающихся особенности именно на элемент банки (в разделении отличие от, сопровождаются например, промышленных первой компаний, внутренняя внешней информация которых поставка мало кому предоставление интересна).

2. Информация в банковских связаны и платежных системах более затрагивает интересы факторов большого количества особенности людей и организаций системы — клиентов банка. Как также правило, она заключение конфиденциальна, и банк распределение несет ответственность товаров за обеспечение элементы требуемой степени деятельности секретности перед воздействие своими клиентами. Естественно, воздействуют клиенты вправе экономическая ожидать, что целом банк должен коммерческая заботиться об широкого их интересах, изыскание в противном случае представлено он рискует заключение своей репутацией также со всеми широкого вытекающими отсюда процесс последствиями.

3. Конкурентоспособность банка факторов зависит от предприятия того, насколько услуг клиенту удобно разделении работать с банком, коммерческая а также насколько более широк спектр разделение предоставляемых услуг, распределением включая услуги, прибыли связанные с удаленным изыскание доступом. Поэтому клиент этом должен иметь мероприятий возможность быстро прибыли и без утомительных торгового процедур распоряжаться являясь своими деньгами. Но управление такая легкость информационное доступа к деньгам экономическая повышает вероятность воздействуют преступного проникновения этом в банковские системы.

4. Информационная активную безопасность банка более (в отличие заключение от большинства системы компаний) должна предприятия обеспечивать высокую внутренней надежность работы первой компьютерных систем торгового даже в случае информационное нештатных ситуаций, сопровождаются поскольку банк мероприятий несет ответственность спроса не только товаров за свои распределением средства, но активную и за деньги экономическая клиентов.

5. Банк хранит установление важную информацию информационное о своих клиентах, элементов что расширяет разделении круг потенциальных конечному злоумышленников, заинтересованных представляют в краже или степени порче такой экономическая информации.

Преступления в банковской деятельности сфере также также имеют свои производитель особенности [2]:

  • Многие производитель преступления, совершенные экономическая в финансовой сфере предоставление остаются неизвестными мероприятий для широкой конечный публики в связи системе с тем, что экономическая руководители банков процесс не хотят уходящие тревожить своих места акционеров, боятся информационное подвергнуть свою закупочной организацию новым закупочной атакам, опасаются товаров подпортить свою увязать репутацию надежного предприятия хранилища средств удобством и, как элемент следствие, потерять первой клиентов.
  • Как правило, распределение злоумышленники обычно широкого используют свои только собственные счета, деятельности на который этом переводятся похищенные являясь суммы. Большинство преступников этапом не знают, розничной как «отмыть» управление украденные деньги. Умение связаны совершить преступление поставка и умение получить конечный деньги — это распределение не одно также и то же.
  • Большинство связаны компьютерных преступлений факторов — мелкие. Ущерб от установление них лежит услуг в интервале от представляют $10.000 до $50.000.
  • Успешные активную компьютерные преступления, внутренней как правило, управление требуют большого воздействие количества банковских изыскание операций (до спроса нескольких сотен). Однако спроса крупные суммы внешней могут пересылаться управление и всего за услуг несколько транзакций.
  • Большинство продвижении злоумышленников — клерки. Хотя внешней высший персонал широкого банка также этом может совершать увязать преступления и нанести изыскание банку гораздо розничной больший ущерб торгового — такого рода услуг случаи единичны.
  • Многие предприятия злоумышленники объясняют мероприятий свои действия места тем, что внутренней они всего зависимости лишь берут целом в долг у банка разделение с последующим возвратом. Впрочем внешней «возврата», как сопровождаются правило, не производитель происходит.

Специфика защиты розничной автоматизированных систем установление обработки информации элементов банков (АСОИБ) розничной обусловлена особенностями предприятия решаемых ими элемент задач:

  • Как правило особенности АСОИБ обрабатывают торгового большой поток услуг постоянно поступающих розничной запросов в реальном прибыли масштабе времени, первой каждый из этапом которых не информационное требует для торговых обработки многочисленных предоставление ресурсов, но розничной все вместе производитель они могут места быть обработаны увязать только высокопроизводительной распределение системой;
  • В АСОИБ хранится более и обрабатывается конфиденциальная заключение информация, не более предназначенная для продвижении широкой публики. Ее информационное подделка или торговых утечка могут активную привести к серьезным степени (для банка коммерческая или его степени клиентов) последствиям. Поэтому сопровождаются АСОИБ обречены более оставаться относительно связанные закрытыми, работать мероприятий под управлением этом специфического программного разделение обеспечения и уделять процесс большое внимание разделении обеспечению своей воздействие безопасности;
  • Другой особенностью развивающейся АСОИБ является представляют повышенные требования торговых к надежности аппаратного информационное и программного обеспечения. В силу представлено этого многие внутренней современные АСОИБ обеспечивающие тяготеют к так воздействуют называемой отказоустойчивой отличительным архитектуре компьютеров, торговых позволяющей осуществлять относятся непрерывную обработку внутренней информации даже удобством в условиях различных факторов сбоев и отказов.

Можно экономическая выделить два распределение типа задач, товаров решаемых АСОИБ:

1. Аналитические. К этому экономическая типу относятся заключение задачи планирования, коммерческая анализа счетов информационное и т.д. Они не обеспечивающие являются оперативными воздействие и могут требовать системы для решения широкого длительного времени, управление а их результаты относятся могут оказать представлено влияние на элементов политику банка увязать в отношении конкретного факторов клиента или зависимости проекта. Поэтому подсистема, элементов с помощью которой коммерческая решаются аналитические особенности задачи, должна заключение быть надежно обеспечивающие изолирована от этапом основной системы системы обработки информации. Для представлено решения такого экономическая рода задач степени обычно не товаров требуется мощных элемент вычислительных ресурсов, широкого обычно достаточно системы 10-20% мощности уходящие всей системы. Однако закупочной ввиду возможной степени ценности результатов товаров их защита особенности должна быть связаны постоянной.

2. Повседневные. К этому типу поставка относятся задачи, первой решаемые в повседневной широкого деятельности, в первую конечный очередь выполнение поставка платежей и корректировка заключение счетов. Именно они обеспечивающие и определяют размер связаны и мощность основной торгового системы банка; широкого для их закупочной решения обычно распределение требуется гораздо экономическая больше ресурсов, конечному чем для зависимости аналитических задач. В то связаны же время связанные ценность информации, управление обрабатываемой при обеспечивающие решении таких торгового задач, имеет особенности временный характер. Постепенно торгового ценность информации, особенности например, о выполнении разделение какого-либо платежа, розничной становиться не изыскание актуальной. Естественно, это торгового зависит от особенности многих факторов, элементов как-то: суммы информационное и времени платежа, только номера счета, места дополнительных характеристик развивающейся и т.д. Поэтому, обычно обеспечивающие бывает достаточным увязать обеспечить защиту системе платежа именно отличительным в момент его воздействие осуществления. При этом удобством защита самого закупочной процесса обработки также и конечных результатов внешней должна быть спроса постоянной.

Можно сделать внешней следующие выводы распределением об особенностях информационное защиты информации более в финансовых системах также [2]:

  • Главное в защите разделении финансовых организаций места — оперативное и по розничной возможности полное целом восстановление информации продвижении после аварий распределением и сбоев. В основном, защита относятся информации от связаны разрушения достигается внутренней созданием резервных представлено копий и их спроса внешним хранением, коммерческая использованием средств представляют бесперебойного электропитания являясь и организацией «горячего» спроса резерва аппаратных розничной средств.
  • Следующая по информационное важности для широкого финансовых организаций внутренней проблема — это системы управление доступом продвижении пользователей к хранимой разделение и обрабатываемой информации. Здесь относятся широко используются распределение различные программные более системы управления заключение доступом, которые внутренней иногда могут места заменять и антивирусные воздействуют программные средства. В основном места используются приобретенные элементы программные средства представлено управления доступом. Причем закупочной в финансовых организациях внутренней особое внимание увязать уделяют такому также управлению пользователей системе именно в сети.
  • К отличиям уходящие организации защиты услуг сетей ЭВМ элементов в финансовых организациях элементы можно отнести изыскание широкое использование распределением стандартного (т.е. адаптированного, экономическая но не представляют специально разработанного связанные для конкретной торгового организации) коммерческого товаров программного обеспечения предприятия для управления деятельности доступом к сети, факторов защита точек спроса подключения к системе заключение через коммутируемые представлено линии связи. Скорее места всего это активную связано с большей элементы распространенностью средств внешней телекоммуникаций в финансовых факторов сферах и желание отличительным защититься от разделение вмешательства извне. Так воздействие же используются разделении другие способы услуг защиты, такие продвижении как применение обеспечивающие антивирусных средств, воздействие оконечное и канальное предоставление шифрование передаваемых конечный данных, аутентификация этапом сообщений.
  • Большое внимание элементы в финансовых организациях первой уделяется физической воздействуют защите помещений, заключение в которых расположены степени компьютеры. Это означает, особенности что защита элементы ЭВМ от представляют доступа посторонних заключение лиц решается продвижении не только представлено с помощью программных поставка средств, но целом и организационно-технических (охрана, этом кодовые замки представлено и т.д.).

Можно сделать отличительным важный вывод: обеспечивающие защита финансовых торговых организаций строится управление несколько иначе, увязать чем обычных торговых коммерческих и государственных связанные организаций. Следовательно для этом защиты АСОИБ разделении нельзя применять прибыли те же экономическая самые технические сопровождаются и организационные решения, торговых которые были процесс разработаны для закупочной стандартных ситуаций. Нельзя разделении бездумно копировать предприятия чужие системы процесс — они разрабатывались представляют для иных закупочной условий.

ГЛАВА 2. БЕЗОПАСНОСТЬ  ЭЛЕКТРОННЫХ ПЛАТЕЖЕЙ

2.1. Электронные связанные платежи в банке

Специфической активную чертой электронных только банковских систем этапом является специальная внутренней форма обмена распределением электронными данными элемент - электронных платежей, прибыли без которых экономическая ни один изыскание современный банк коммерческая не может распределение существовать.

Обмен электронными прибыли данными (ОЭД) заключение — это межкомпьютерный этом обмен деловыми, относятся коммерческими, финансовыми розничной электронными документами. Например, производитель заказами, платежными конечный инструкциями, контрактными предприятия предложениями, накладными, предоставление квитанциями и т.п.

ОЭД розничной обеспечивает оперативное товаров взаимодействие торговых увязать партнеров (клиентов, системы поставщиков, торговых конечный посредников и др.) на элементов всех этапах этапом подготовки торговой экономическая сделки, заключения более контракта и реализации целом поставки. На этапе производитель оплаты контракта уходящие и перевода денежных факторов средств ОЭД только может приводить обеспечивающие к электронному обмену внешней финансовыми документами. При услуг этом создается только эффективная среда конечному для торгово-платежных спроса операций: [4]

        • Возможно розничной ознакомление торговых системе партнеров с предложениями обеспечивающие товаров и услуг, только выбор необходимого заключение товара/услуги, уточнение первой коммерческих условий первой (стоимости и сроков изыскание поставки, торговых конечный скидок, гарантийных услуг и сервисных обязательств) более в реальном масштабе коммерческая времени;
  • Заказ товара/услуг удобством или запрос информационное контрактного предложения более в реальном масштабе относятся времени;
  • Оперативный контроль элементов поставки товара, поставка получение по установление электронной почте связаны сопроводительных документов элементов (накладных, фактур, разделении комплектующих ведомостей широкого и т.д.);
  • Подтверждение завершения особенности поставки товара/услуги, торгового выставление и оплата степени счетов;
  • Выполнение банковских розничной кредитных и платежных представляют операций.

К достоинствам ОЭД только следует отнести:

  • Уменьшение обеспечивающие стоимости операций торговых за счет торгового перехода на более безбумажную технологию. Эксперты товаров оценивают стоимость управление обработки и ведения элементы бумажной документации прибыли в 3-8% от внутренней общей стоимости разделение коммерческих операций широкого и доставки товаров;
  • Повышение системе скорости расчета установление и оборота денег;
  • Повышение товаров удобства расчетов.

Банки конечному в США и Западной факторов Европе уже обеспечивающие осознали свою воздействуют ключевую роль степени в распространении ОЭД товаров и поняли те этапом значительные преимущества, деятельности которые дает процесс более тесное широкого взаимодействие с деловыми системе и личными партнерами. ОЭД только помогает банкам внутренней в предоставлении услуг только клиентам, особенно этом мелким, тем, этом которые ранее продвижении не могли торговых позволить себе элемент ими воспользоваться продвижении из-за их элементы высокой стоимости.

Частным воздействие случаем ОЭД особенности являются электронные информационное платежи - обмен воздействие финансовыми документами предприятия между клиентами воздействие и банками, между целом банками и другими широкого финансовыми и коммерческими уходящие организациями.

Суть концепции элементов электронных платежей этом заключается в том, заключение что пересылаемые услуг по линиям степени связи сообщения, продвижении должным образом производитель оформленные и переданные, системе являются основанием широкого для выполнения товаров одной или увязать нескольких банковских информационное операций. Никаких бумажных особенности документов для уходящие выполнения этих представляют операций в принципе этом не требуется торговых (хотя они мероприятий могут быть производитель выданы). Другими словами, воздействие пересылаемое по воздействие линиям связи закупочной сообщение несет также информацию о том, представлено что отправитель торговых выполнил некоторые изыскание операции над розничной своим счетом, деятельности в частности над активную корреспондентским счетом отличительным банка-получателя (в спроса роли которого деятельности может выступать конечному клиринговый центр), системы и что получатель элементы должен выполнить системы определенные в сообщении связаны операции. На основании мероприятий такого сообщения внутренней можно переслать распределением или получить распределение деньги, открыть уходящие кредит, оплатить факторов покупку или мероприятий услугу и выполнить степени любую другую увязать банковскую операцию. Такие увязать сообщения называются продвижении электронными деньгами, увязать а выполнение банковских воздействуют операций на системы основании посылки установление или получения прибыли таких сообщений установление - электронными платежами. Естественно, удобством весь процесс управление осуществления электронных отличительным платежей нуждается торгового в надежной защите. Иначе воздействие банк и его разделении клиентов ожидают целом серьезные неприятности.

Электронные предоставление платежи применяются связаны при межбанковских, связаны торговых и персональных внутренней расчетах.

Межбанковские и торговые степени расчеты производятся этапом между организациями спроса (юридическими лицами), широкого поэтому их удобством иногда называют представлено корпоративными. Расчеты с участием разделении физических лиц-клиентов конечному получили название экономическая персональных.

Большинство крупных распределение хищений в банковских конечный системах прямо обеспечивающие или косвенно процесс связано именно только с системами электронных этом платежей.

Любая организация, представлено которая хочет заключение стать клиентом первой какой-либо системы элементов электронных платежей, степени либо организовать установление собственную систему, спроса должна отдавать предприятия себе в этом уходящие отчет. Для надежной закупочной работы система первой электронных платежей факторов должна быть информационное хорошо защищена.

Торговые разделении расчеты производятся степени между различными информационное торговыми организациями. Банки мероприятий в этих расчетах обеспечивающие участвуют как информационное посредники при активную перечислении денег управление со счета зависимости организации-плательщика на распределением счет организации-получателя. Торговые этом расчеты чрезвычайно также важны для зависимости общего успеха системы программы электронных разделении платежей. Объем финансовых отличительным операций различных розничной компаний обычно распределение составляет значительную установление часть общего более объема операций воздействуют банка.

Виды торговых закупочной расчетов сильно торговых различаются для внешней разных организаций, степени но всегда элемент при их конечный осуществлении обрабатывается активную два типа системе информации: платежных установление сообщений и вспомогательная торговых (статистика, сводки, производитель уведомления). Для финансовых разделении организаций наибольший поставка интерес представляет, также конечно, информация мероприятий платежных сообщений предоставление - номера счетов, этом суммы, баланс являясь и т.д. Для торговых особенности организаций оба только вида сведений коммерческая одинаково важны особенности – первый дает связанные ключ к финансовому предоставление состоянию, второй места – помогает при розничной принятии решений конечному и выработке политики.

2.2. Вопросы закупочной безопасности электронных воздействуют платежей.

Для определения особенности общих проблем системе защиты систем разделение ОЭД рассмотрим факторов в прохождение документа деятельности при ОЭД. Можно предприятия выделить три элемент основных этапа:

  • подготовка закупочной документа к отправке;
  • передача розничной документа по поставка каналу связи;
  • прием элементы документа и его являясь обратное преобразование.

С точки коммерческая зрения защиты особенности в системах ОЭД услуг существуют следующие разделении уязвимые места:

  1. Пересылка изыскание платежных и других увязать сообщений между элементов банками или особенности между банком элементов и клиентом;
  2. Обработка информации связанные внутри организаций распределение отправителя и получателя;
  3. Доступ распределением клиента к средствам, отличительным аккумулированным на экономическая счете.

Одно из факторов наиболее уязвимых информационное мест в системе степени ОЭД – пересылка прибыли платежных и других предприятия сообщений между более банками, или факторов между банком распределение и банкоматом, или распределением между банком заключение и клиентом. При пересылке элементы платежных и других степени сообщений возникают места следующие проблемы:

  • внутренние относятся системы организаций относятся Получателя и Отправителя конечный должны быть прибыли приспособлены к получению/отправке спроса электронных документов первой и обеспечивать необходимую только защиту при этом их обработке этом внутри организации увязать (защита оконечных установление систем);
  • взаимодействие Получателя воздействуют и Отправителя документа удобством осуществляется опосредованно обеспечивающие – через канал факторов связи. Это порождает закупочной три типа товаров проблем:
    1. взаимного опознавания воздействуют абонентов (проблема элементы установления аутентификации распределением при установлении коммерческая соединения);
    2. защиты документов, разделении передаваемых по торговых каналам связи процесс (обеспечение целостности закупочной и конфиденциальности документов);
    3. защиты этапом самого процесса элементы обмена документами закупочной (проблема доказательства степени отправления/доставки документа);

в общем торгового случае Отправитель степени и Получатель документа розничной принадлежат к различным разделение организациям и друг разделении от друга системы независимы. Этот факт этом порождает проблему товаров недоверия – будут изыскание ли предприняты целом необходимые меры конечный по данному связанные документу (обеспечение экономическая исполнения документа).

В системах целом ОЭД должны представляют быть реализованы уходящие следующие механизмы, поставка обеспечивающие реализацию связанные функций защиты торгового на отдельных активную узлах системы предприятия ОЭД и на установление уровне протоколов внутренней высокого уровня:

  • равноправная более аутентификацию абонентов;
  • невозможность заключение отказа от воздействие авторства сообщения/приема управление сообщения;
  • контроль целостности розничной сообщения;
  • обеспечение конфиденциальности увязать сообщения;
  • управление доступом особенности на оконечных также системах;
  • гарантии доставки предприятия сообщения;
  • регистрация последовательности связанные сообщений;
  • контроль целостности первой последовательности сообщений;
  • обеспечение места конфиденциальности потока деятельности сообщений.

Полнота решения особенности рассмотренных выше связаны проблем сильно обеспечивающие зависит от сопровождаются правильного выбора целом системы шифрования. Система продвижении шифрования (или розничной криптосистема) представляет конечному собой совокупность только алгоритмов шифрования этапом и методов распространения особенности ключей. Правильный выбор сопровождаются системы шифрования поставка помогает:

  • скрыть содержание системы документа от управление посторонних лиц представлено (обеспечение конфиденциальности конечному документа) путем закупочной шифрования его особенности содержимого;
  • обеспечить совместное экономическая использование документа системы группой пользователей распределением системы ОЭД предприятия путем криптографического производитель разделения информации уходящие и соответствующего протокола прибыли распределения ключей. При элементы этом для факторов лиц, не конечному входящих в группу, уходящие документ недоступен;
  • своевременно активную обнаружить искажение, связаны подделку документа системы (обеспечение целостности первой документа) путем розничной введения криптографического увязать контрольного признака;
  • удостовериться относятся в том, что деятельности абонент, с которым заключение происходит взаимодействие элементов в сети является обеспечивающие именно тем, факторов за кого отличительным он себя изыскание выдает (аутентификация удобством абонента/источника данных).

Следует изыскание отметить, что конечный при защите заключение систем ОЭД развивающейся большую роль отличительным играет не информационное столько шифрование производитель документа, сколько внешней обеспечение его поставка целостности и аутентификация процесс абонентов (источника торгового данных) при конечный проведении сеанса услуг связи. Поэтому механизмы услуг шифрования в таких производитель системах играют разделение обычно вспомогательную также роль.

ГЛАВА 3. МЕТОДЫ ЗАЩИТЫ ИНФОРМАЦИИ В ПЛАТЕЖНЫХ И БАНКОВСКИХ СИСТЕМАХ. КРИПТОГРАФИЧЕСКИЕ МЕТОДЫ ЗАЩИТЫ

Современная криптография более включает в себя более следующие основные воздействие разделы:

  • криптосистемы с секретным внешней ключом (классическая воздействуют криптография);
  • криптосистемы с открытым зависимости ключом;
  • криптографические протоколы.

3.1. Оценка более надежности криптоалгоритмов

Все поставка современные шифры сопровождаются базируются на увязать принципе Кирхгофа места [1], согласно конечный которому секретность также шифра обеспечивается также секретностью ключа, конечному а не секретностью услуг алгоритма шифрования. В некоторых предприятия ситуациях нет экономическая никаких причин степени делать общедоступным розничной описание сути распределением криптосистемы. Сохраняя такую особенности информацию в тайне, факторов можно дополнительно уходящие повысить надежность распределением шифра. Однако полагаться разделение на секретность отличительным этой информации спроса не следует, производитель так как связанные рано или факторов поздно она прибыли будет скомпрометирована. При коммерческая создании или воздействуют при анализе заключение стойкости криптосистем конечному не следует воздействие недооценивать возможностей производитель противника.

Методы оценки конечный качества криптоалгоритмов, воздействие используемые на продвижении практике:

  • Всевозможные попытки также их вскрытия. В этом только случае многое товаров зависит от процесс квалификации, опыта, являясь интуиции криптоаналитиков заключение и от правильной заключение оценки возможностей обеспечивающие противника.
  • Анализ сложности также алгоритмов дешифрования. Оценку относятся стойкости шифра деятельности заменяют оценкой конечному минимальной сложности представляют алгоритма его закупочной вскрытия.
  • Оценка статической торговых безопасности шифра. Должна изыскание отсутствовать статическая конечный зависимость между развивающейся входной и выходной розничной последовательностью.

3.2. Классификация методов услуг шифрования информации

Основные поставка объекты изучения широкого классической криптографии воздействие показаны на экономическая рис. 1, где установление А – законный пользователь, внешней W – противник или связаны криптоаналитик.

Рис.1. Криптографическая защита розничной информации

Процедуры зашифрования являясь Е (encryption) и расшифрования торговых D (decryption) можно элемент представить в следующем также виде:

C = E(M) = Ke{M},

M = D(C) системе = Kd{C},

где M (message) заключение и C (ciphertext) – открытый факторов и зашифрованный тексты, розничной Ke и Kd закупочной – ключи зашифрования предоставление и расшифрования.

Различают два распределением типа алгоритмов предприятия шифрования – симметричные информационное (с секретным представляют ключом) и асимметричные увязать (с открытым обеспечивающие ключом). В первом случае торговых обычно ключ конечный расшифрования совпадает удобством с ключом зашифрования, элементов т.е

Ke = Kd представлено =K,

либо знание внутренней ключа зашифрования уходящие позволяет легко этапом вычислить ключ спроса расшифрования. В асимметричных алгоритмах места такая возможность деятельности отсутствует: для управление зашифрования и расшифрования спроса используются разные управление ключи, причем сопровождаются знание одного этапом из них распределение не дает розничной практической возможности обеспечивающие определить другой. Поэтому, элементов если получатель представляют А информации сохраняет прибыли в секрете ключ связаны расшифрования KdA особенности = SKA, ключ особенности зашифрования KeA коммерческая = PKA может более быть сделан факторов общедоступным (SK элементов – secret key, конечному PK – public сопровождаются key).

В процессе шифрования элементов информация делится заключение на порции управление величиной от изыскание одного до системы сотен бит. Как места правило, поточные спроса шифры оперируют информационное с битами открытого элементы и закрытого текстов, экономическая а блочные – с блоками элементов фиксированной длины. Главное внешней отличие между поставка этими двумя внешней методами заключается воздействие в том, что экономическая в блочных шифрах поставка для шифрования только всех порций связанные используется один уходящие и тот же системе ключ, а в поточных закупочной – для каждой установление порции используется факторов свой ключ поставка той же системе размерности.

3.3. Абсолютно стойкий разделение шифр. Гаммирование.

Простейшей и в то спроса же время конечному наиболее надежной внешней из всех этом систем шифрования внешней является так производитель называемая схема системе однократного использования. Формируется закупочной m-разрядная случайная степени двоичная последовательность факторов – ключ шифра, сопровождаются известный отправителю более и получателю сообщения. Отправитель только производит побитовое целом сложение по представлено модулю 2 ключа относятся и m-разрядной двоичной внешней последовательности, соответствующей производитель пересылаемому сообщению:

Ci представлено = Ki (+) места Mi,

где Mi, обеспечивающие Ki и Ci конечный – очередной i-й обеспечивающие бит соответственно степени исходного сообщения, закупочной ключа и зашифрованного предоставление сообщения, m – число предоставление битов открытого внешней текста. Процесс расшифрования услуг сводится к повторной отличительным генерации ключевой элементов последовательности и наложению услуг ее на более зашифрованные данные. Уравнение торговых расшифрования имеет активную вид:

Mi = Ki этапом (+) Ci, элемент i = 1..m.

К. Шенноном доказано, элемент что, если экономическая ключ является связанные фрагментом истинно торгового случайной двоичной широкого последовательности с равномерным представлено законом распределения, внутренней причем его товаров длина равна товаров длине исходного целом сообщения и используется этапом этот ключ конечный только один услуг раз, после управление чего уничтожается, представлено такой шифр элементы является абсолютно предоставление стойким, его мероприятий невозможно раскрыть, продвижении даже если элементов криптоаналитик располагает предоставление неограниченным запасом установление времени и неограниченным также набором вычислительных деятельности ресурсов. Действительно, противнику связанные известно только поставка зашифрованное сообщение предприятия С, при элемент этом все установление различные ключевые более последовательности К возможны этапом и равновероятны, а значит, целом возможны и любые прибыли перемещения М, представляют т.е. криптоалгоритм не зависимости дает никакой распределением информации об услуг открытом тексте.

Необходимые разделении и достаточные условия предприятия абсолютной стойкости установление шифра:

  • полная случайность конечный ключа;
  • равенство длин элементы ключа и открытого производитель текста;
  • однократное использование развивающейся ключа.

Абсолютная стойкость представлено рассмотренной схемы услуг оплачивается слишком этом большой ценой, разделение она чрезвычайно распределением дорогая и непрактичная. Основной целом ее недостаток сопровождаются – это равенство разделении объема ключевой розничной информации и суммарного внутренней объема передаваемых розничной сообщений. Применение схемы деятельности оправдано лишь мероприятий в нечасто используемых процесс каналах связи изыскание для шифрования распределением исключительно важных более сообщений.

Таким образом, заключение построить эффективный широкого криптоалгоритм можно, также лишь отказавшись экономическая от абсолютной деятельности стойкости. Возникает задача управление разработки такого прибыли теоретически нестойкого товаров шифра, для уходящие вскрытия которого закупочной противнику потребовалось уходящие бы выполнить факторов такое число системе операций, которое товаров неосуществимо на представляют современных и ожидаемых представлено в ближайшей перспективе конечному вычислительных средствах товаров за разумное увязать время. В первую очередь поставка следует иметь целом схему, которая предприятия использует ключ элементы небольшой разрядности, предоставление который в дальнейшем продвижении выполняет функцию относятся «зародыша», порождающего представлено значительно более уходящие длинную ключевую более последовательность.

Данный результат относятся может быть поставка достигнут при предоставление использовании гаммирования. Гаммированием установление называют процедуру управление наложения на деятельности входную информационную воздействуют последовательность гаммы торговых шифра, т. е. последовательности связанные с выходов генератора отличительным псевдослучайных последовательностей более (ПСП) [1]. Последовательность связанные называется псевдослучайной, управление если по товаров своим статистическим торгового свойствам она управление неотличима от спроса истинно случайной элементы последовательности, но первой в отличие от изыскание последней является только детерминированной, т. е. знание внешней алгоритма ее увязать формирования дает представлено возможность ее конечному повторения необходимое закупочной число раз. Если увязать символы входной элемент информационной последовательности первой и гаммы представлены процесс в двоичном виде, удобством наложение чаще представляют всего реализуется связанные с помощью операции также поразрядного сложения распределение по модулю управление два. Надежность шифрования разделение методом гаммирования внешней определяется качеством услуг генератора гаммы.

3.4. Поточные системе шифры

Так как первой поточные шифры, системы в отличие от системы блочных, осуществляют представляют поэлементное шифрование торговых потока данных удобством без задержки воздействуют в криптосистеме, их степени важнейшим достоинством конечный является высокая розничной скорость преобразования, удобством соизмеримая со поставка скоростью поступления внутренней входной информации. Таким также образом, обеспечивается отличительным шифрование практически особенности в реальном масштабе связанные времени вне этапом зависимости от системы объема и разрядности спроса потока преобразуемых первой данных.

В синхронных поточных закупочной шифрах гамма прибыли формируется независимо зависимости от входной разделении последовательности, каждый системе элемент (бит, являясь символ, байт зависимости и т. п.) которой таким информационное образом шифруется элементов независимо от отличительным других элементов. В синхронных сопровождаются поточных шифрах изыскание отсутствует эффект только размножения ошибок, услуг т.е. число искаженных деятельности элементов в расшифрованной представляют последовательности равно предоставление числу искаженных сопровождаются элементов зашифрованной прибыли последовательности, пришедшей воздействие из канала деятельности связи. Вставка или товаров выпадение элемента увязать зашифрованной последовательности также недопустимы, так продвижении как из-за предоставление нарушения синхронизации широкого это приведет представлено к неправильному расшифрованию места всех последующих конечный элементов.

В самосинхронизирующихся поточных распределение шифрах осуществляется представлено гаммирование с обратной закупочной связью – гамма особенности зависит от коммерческая открытого текста, конечному иначе говоря, разделении результат шифрования широкого каждого элемента закупочной зависит не удобством только от этапом позиции этого разделение элемента (как особенности это происходит обеспечивающие в случае синхронного закупочной поточного шифрования), конечному но и от первой значения всех целом предыдущих элементов конечному открытого текста. Свойство целом самосинхронизации объясняется конечный отсутствием обратной относятся связи на конечному принимающей стороне, связаны в то время мероприятий как в случае продвижении синхронного поточного степени шифрования схемы прибыли за- и расшифрования воздействуют идентичны.

ГЛАВА 4. ИДЕНТИФИКАЦИЯ И ПРОВЕРКА ПОДЛИННОСТИ

4.1. Основные зависимости понятия и концепции

Идентификация только объекта – одна элементов из функций только подсистемы защи­ты. Эта увязать функция выполняется мероприятий в первую очередь, активную когда объект продвижении де­лает попытку системы войти в сеть. Если широкого процедура идентификации широкого завер­шается успешно, процесс данный объект разделении считается законным сопровождаются для данной деятельности сети.

Следующий шаг системе – аутентификаций объекта прибыли (проверка подлин­ности разделение объекта). Эта процедура распределением устанавливает, является мероприятий ли данный внешней объект именно более таким, каким коммерческая он себя предприятия объявляет.

При защите активную каналов передачи конечный данных подтверждение коммерческая под­линности (аутентификация) розничной объектов означает внутренней взаимное уста­новление торговых подлинности объектов, распределение связывающихся между зависимости собой по услуг линиям связи. Процедура целом подтверждения подлинности степени выполняет­ся обычно места в начале сеанса розничной в процессе установления розничной соединения абонентов. Цель разделение данной процедуры экономическая – обеспечить уверенность, коммерческая что соединение широкого уста­новлено с законным мероприятий объектом и вся относятся информация дойдет этом до места торговых назначения.

После того услуг как соединение розничной установлено, необходимо развивающейся обеспе­чить выполнение сопровождаются требований защиты более при обмене изыскание сообщениями [3]:

  1. получатель целом должен быть уходящие уверен в подлинности конечный источника
    данных;
  2. получатель должен воздействуют быть уверен распределение в подлинности передаваемых
    данных,
  3. отправитель розничной должен быть только уверен в доставке розничной данных получателю;
  4. отправитель внутренней должен быть продвижении уверен в подлинности представлено доставленных
    данных.

Для выполнения целом требований 1 и 2 средством предоставление защиты явля­ется удобством цифровая подпись. Для спроса выполнения требований системы 3 и 4 от­правитель должен этапом получить уведомление факторов о вручении с помощью внутренней удостоверяющей почты. Средством целом защиты в такой более процедуре является сопровождаются цифровая подпись внутренней подтверждающего ответно­го закупочной сообщения, которое удобством в свою очередь факторов является доказательством представлено пересылки исходного места сообщения.

4.2. Особенности применения представляют пароля для системы аутентификации пользователя

Традиционно воздействуют каждый законный представляют пользователь компьютерной торговых системы получает предприятия идентификатор и/или мероприятий пароль. В начале сеанса этапом работы пользователь спроса предъявляет свой связаны идентификатор системе, товаров которая затем активную запрашивает у пользователя уходящие пароль.

Простейший метод элементов подтверждения подлинности факторов с использова­нием пароля торговых основан на разделение сравнении представляемого предоставление пользовате­лем пароля элементы РA с исходным конечному значением РA′, деятельности хранящимся в компью­терном информационное центре (рис. 2), связаны где К – аутентифицирующий сопровождаются информация пользователя, связаны которая может закупочной изменяться и служит изыскание для аутентификации. Поскольку конечный пароль должен услуг храниться в тайне, деятельности он должен отличительным шифроваться перед степени пересылкой по информационное незащищен­ному каналу. Если процесс значения РА изыскание и РA′ совпадают, прибыли то пароль предприятия РА счита­ется этом подлинным, а пользователь заключение – законным.

Рис.2. Схема простой являясь аутентификации с помощью распределением пароля

Если кто-нибудь, также не имеющий этапом полномочий для предприятия входа в систе­му, закупочной узнает каким-либо внешней образом пароль внешней и идентификационный но­мер воздействуют законного пользователя, удобством он получает отличительным доступ в систему.

Иногда сопровождаются получатель не прибыли должен раскрывать экономическая исходную открытую коммерческая форму пароля. В этом изыскание случае отправитель конечный должен пересылать внешней вместо открытой продвижении формы пароля услуг отображение пароля, системе получаемое с использованием конечный односторонней функции более α(∙) пароля. Это изыскание преоб­разование должно розничной гарантировать невозможность отличительным раскрытия про­тивником внешней пароля по установление его отображению, предоставление так как удобством противник наталки­вается продвижении на неразрешимую предприятия числовую задачу.

Например, разделении функция α(∙) мероприятий может быть этапом определена следующим сопровождаются образом

α(Р) = ЕР(ID),

где представляют Р – пароль отправителя; конечному ID – идентификатор конечный отправителя; ЕP разделение – процедура шифрования, розничной выполняемая с использованием зависимости паро­ля Р в качестве воздействуют ключа.

Такие функции продвижении особенно удобны, разделении если длина производитель пароля и ключа целом одинаковы. В этом случае увязать подтверждение подлинности этом с помощью пароля первой состоит из элемент пересылки получателю предприятия отображения α(Р) элементов и сравнения его информационное с предварительно вычисленным распределение и хранимым экви­валентом удобством α'(Р).

На практике распределение пароли состоят распределение только из представляют нескольких букв, воздействуют чтобы дать зависимости возможность пользователям конечному запомнить их. Короткие степени пароли уязвимы отличительным к атаке полного поставка перебора всех экономическая вариантов. Для того зависимости чтобы предотвратить коммерческая такую атаку, элементы функцию α (Р) распределением определяют иначе, торгового а именно:

α(Р) = ЕР(+)К(ID),

где более К и ID-соответственно ключ услуг и идентификатор отправителя.

Очевидно, элементов значение α(Р) обеспечивающие вычисляется заранее разделение и хранится в виде заключение α'(Р) в идентификационной связанные таблице у получателя сопровождаются (рис. 3). Подтверждение подлинности зависимости состоит из представляют сравнения двух особенности отображе­ний пароля уходящие α(РА) и α '(РА) внешней и признания пароля факторов РА, если воздействие эти отображения продвижении равны. Конечно, любой, предоставление кто получит товаров доступ к идентификаци­онной коммерческая таблице может зависимости незаконно изменить целом ее содержимое, управление не опа­саясь, закупочной что эти представлено действия будут поставка обнаружены.

Рис. 3. Схема аутентификации продвижении с помощью пароля удобством с использованием идентификационной деятельности таблицы

4.3. Взаимная проверка системе подлинности пользователей

Обычно поставка стороны, вступающие также в информационный обмен, услуг нуждаются во продвижении взаимной проверке связаны подлинности (аутентификации) экономическая друг друга.

Для розничной проверки подлинности являясь применяют следующие экономическая способы:

  • механизм запроса-ответа;
  • механизм внешней отметки времени спроса ("временной штемпель").

Механизм этапом запроса-ответа состоит широкого в следующем. Если пользо­ватель отличительным А хочет быть степени уверенным, что установление сообщения, получаемые предприятия им от системы пользователя В, продвижении не являются особенности ложными, он процесс включает в посылае­мое увязать для В сообщение развивающейся непредсказуемый элемент-запрос увязать X (на­пример, некоторое продвижении случайное число). При факторов ответе пользователь конечный В должен выполнить степени над этим распределением элементом некоторую экономическая операцию (на­пример, внутренней вычислить некоторую поставка функцию f(X)). Это процесс невозможно осу­ществить внешней заранее, так увязать как пользователю только В неизвестно какое производитель слу­чайное число представлено X придет в запросе. Получив производитель ответ с результатом элементов действий В, разделение пользователь может продвижении быть уверен, производитель что В - подлинный. Недостаток степени этого метода распределение – возможность установления закупочной закономер­ности между этом запросом и ответом.

Механизм разделение отметки времени процесс подразумевает регистрацию розничной вре­мени для этом каждого сообщения. В этом услуг случае каждый поставка пользователь сети установление может определить, заключение насколько "устарело" связанные пришедшее сообще­ние, конечному и решить не внутренней принимать его, более поскольку оно торгового может быть также ложным.

В обоих случаях широкого для защиты продвижении механизма контроля являясь следует применять этом шифрование, чтобы относятся быть уверенным, разделение что ответ факторов послан не распределение злоумышленником.

4.4. Протоколы идентификации элементы с нулевой передачей предприятия знаний

Широкое распространение этапом интеллектуальных карт коммерческая (смарт-карт) для разделение разнообразных коммерческих, удобством гражданских и военных внешней приме­нений (кредитные относятся карты, карты услуг социального страхования мероприятий карты доступа отличительным в охраняемое помещение, целом компьютерные пароли только и ключи и т.п.) потребовало конечный обеспечения безопасной этом идентификации таких элементов карт и их места владельцев. Во многих являясь приложениях главная спроса проблема заключается экономическая в том, чтобы коммерческая при предъявлении разделении интеллектуальной карты представляют оперативно обнаружить представлено обман и отказать только обманщику в допуске, обеспечивающие ответе или системе обслуживании.

Для безопасного активную использование интеллектуальных производитель карт раз­работаны также протоколы идентификации мероприятий с нулевой передачей спроса знаний. Секретный ключ закупочной владельца карты этом становится неотъемлемым разделении признаком его коммерческая личности. Доказательство знания более этого секретного системы ключа с нулевой факторов передачей этого внутренней знания служит деятельности доказательством подлинности обеспечивающие личности владельца представлено карты.

4.5. Упрощенная схема установление идентификации с нулевой только передачей знаний

Рассмотрим факторов сначала упрощенный этапом вариант схемы степени идентифи­кации с нулевой производитель передачей знаний воздействие для более торгового четкого выявления относятся ее основной уходящие концепции. Прежде всего элементы выбирают случайное первой значе­ние модуля производитель n, который этапом является произведением связанные двух больших процесс простых чисел. Модуль мероприятий n должен иметь изыскание длину 512..1024 внешней бит. Это значение факторов n может быть заключение представлено группе активную пользователей, кото­рым сопровождаются придется доказывать торгового свою подлинность. В процессе торговых иденти­фикации участвуют товаров две стороны:

  • сторона управление А, доказывающая элемент свою подлинность,
  • сторона системы В, проверяющая закупочной представляемое стороной системе А доказа­тельство.

Для того услуг чтобы сгенерировать элементов открытый и секретный зависимости ключи для связанные стороны А, степени доверенный арбитр факторов (Центр) выбирает отличительным некоторое число элементов V, которое распределением является квадратичным представлено вычетом по элементы модулю n. Иначе элемент говоря, выбирается услуг такое число коммерческая V, что сопровождаются сравнение

х2 ≡ V(mod воздействие n)

имеет решение конечный и существует целое прибыли число

V-1 mod изыскание n.

Выбранное значение системе V является открытый широкого ключом для воздействие А. Затем вычисляют представлено наименьшее значение особенности S, для установление которого

S ≡ sqrt (V-1)(mod воздействуют n)

Это значение заключение S является секретным конечный ключом для этапом А.

Теперь можно сопровождаются приступить к выполнению закупочной протокола иденти­фикации.

  1. Сторона зависимости А выбирает некоторое информационное случайное число мероприятий r, r < n. За­тем закупочной она вычисляет

x=r2mod представляют n

и отправляет х стороне первой В.

  1. Сторона В посылает представлено А случайный бит элемент b.
  2. Если b = 0, системе тогда А отправляет элементов r стороне В. Если конечный b = 1, то развивающейся А
    отправляет стороне процесс В

у = r * S mod n.

4. Если изыскание b = 0, сторона воздействуют В проверяет, что

х = r2 установление mod n,

чтобы распределением убедиться, что деятельности А знает sqrt(x). Если сопровождаются b = 1, сторона связаны В про­веряет, что

х = у2 разделение * V mod n,

чтобы производитель быть уверенной, распределение что А знает только sqrt(V-1).

Эти шаги торговых образуют один распределение цикл протокола, установление называемый аккре­дитацией. Стороны торговых А и В повторяют этот связаны цикл t раз торгового при разных воздействуют случайных значениях этапом r и b до тех экономическая пор, пока места В не убедится, уходящие что А знает торговых значение S.

Если связанные сторона А не внутренней знает значения мероприятий S, она торгового может выбрать установление та­кое значение разделении r, которое розничной позвонит ей степени обмануть сторону спроса В, если связанные В отправит ей b = 0, либо А может выбрать такое r, которое позволит обмануть В, если В отправит ей b = 1. Но этого невозможно сде­лать в обоих случаях. Вероятность того, что А обманет В в одном цикле, составляет 1/2. Вероятность обмануть В в t циклах равна (1/2)t.

Для того чтобы этот протокой работал, сторона А никогда не должна повторно использовать значение r. Если А поступила бы таким образом, а сторона В отправила бы стороне А на шаге 2 другой случайный бит b, то В имела бы оба ответа А. После это­го В может вычислить значение S, и для А все закончено.

4.6. Схема идентификации Гиллоу-Куискуотера

В алгоритме, разра­ботанном Л. Гиллоу и Ж Куискуотером, обмены между сторонами А и В и аккредитации в каждом обмене доведены до абсолютного минимума – для каждого доказательства требуется только один обмен с одной аккредита­цией [3].

Пусть сторона А – интеллектуальная карточка, которая долж­на доказать свою подлинность проверяющей стороне В. Иденти­фикационная информация стороны А представляет собой бито­вую строку I, которая включает имя владельца карточки, срок дей­ствия, номер банковского счета и др. Фактически идентифика­ционные данные могут занимать достаточно длинную строку, и то­гда их хэшируют к значению I.

Строка I является аналогом открытого ключа. Другой откры­той информацией, которую используют все карты, участвующие в данном приложении, являются модуль n и показатель степени V. Модуль n является произведением двух секретных простых чисел.

Секретным ключом стороны А является величина G, выби­раемая таким образом, чтобы выполнялось соотношение

I * Gv ≡ 1(mod n).

Сторона А отправляет стороне В свои идентификационные данные I. Далее ей нужно доказать стороне В, что эти идентифи­кационные данные принадлежат именно ей. Чтобы добиться этого, сторона А должна убедить сторону В, что ей известно значение G.

Вот протокол доказательства подлинности А без передачи стороне В значения G:

  1. Сторона А выбирает случайное целое r, такое, что 1 < r ≤ n-1. Она вычисляет

Т = rv mod n

и отправляет это значение стороне В.

  1. Сторона В выбирает случайное целое d, такое, что 1 < d ≤ n-1, и отправляет это значение d стороне А.
  2. Сторона А вычисляет

D = r * Gd mod n

и отправляет это значение стороне В.

  1. Сторона В вычисляет значение

T′ = DVId mod n.

Если

T ≡ T′ (mod n),

То проверка подлинности успешно завершена.

Математические выкладки, использованные в этом протоколе, не очень сложны:

T′ = DVId = (rGd)V Id = rVGdVId = rV(IGV)d = rV ≡ T (mod n);

поскольку G вычислялось таким образом, чтобы выполнялось соотношение

IGV ≡ 1(mod n).

ГЛАВА 5. ЭЛЕКТРОННАЯ ЦИФРОВАЯ ПОДПИСЬ

5.1. Проблема аутентификации данных и электронная цифровая подпись.

При обмене электронными документами по сети связи сущест­венно снижаются затраты на обработку и хранение документов, убыстряется их поиск. Но при этом возникаем проблема аутентификации автора документа и самого документа, т. е. установления подлинности автора и отсутствия изменений в полученном доку­менте. В обычной (бумажной) информатике эти проблемы решают­ся за счет того, что информация в документе и рукописная подпись автора жестко связаны с физическим носителем (бумагой). В элек­тронных документах на машинных носителях такой связи нет.

Целью аутентификации электронных документов является их защита от возможных видов злоумышленных действий, к которым относятся:

  • активный перехват – нарушитель, подключившийся к сети, пере­хватывает документы (файлы) и изменяет их;
  • маскарад-абонент С посылает документ абоненту В от имени абонента А;
  • ренегатство – абонент А заявляет, что не посылал сообщения абоненту В, хотя на самом деле послал;
  • подмена – абонент В изменяет или формирует новый документ и заявляет, что получил его от абонента А;
  • повтор – абонент С повторяет ранее переданный документ, кото­рый абонент А посылал абоненту В.

Эти виды злоумышленных действий могут нанести сущест­венный ущерб банковским и платежным структурам, приме­няющим в своей деятельности компьютерные информационные технологии.

При обработке документов в электронной форме совершенно непригодны традиционные способы установления подлинности по рукописной подписи и оттиску печати на бумажном документе. Принципиально новым решением является электронная цифровая подпись (ЭЦП).

Электронная цифровая подпись используется для аутенти­фикации текстов, передаваемых по телекоммуникационным кана­лам. Функционально она аналогична обычной рукописной подписи и обладает ее основными достоинствами:

  • удостоверяет, что подписанный текст исходит от лица, поставившего подпись;
  • не дает самому этому лицу возможности отказаться от обяза­тельств, связанных с подписанным текстом;
  • гарантирует целостность подписанного текста.

Цифровая подпись представляет собой относительно неболь­шое количество дополнительной цифровой информации, переда­ваемой вместе с подписываемым текстом.

Система ЭЦП включает две процедуры: 1) процедуру поста­новки подписи; 2) процедуру проверки подписи. В процедуре поста­новки подписи используется секретный ключ отправителя сообще­ния, в процедуре проверки подписи – открытый ключ отправителя.

При формировании ЭЦП отправитель прежде всего вычисляет хэш-функцию h(М) подписываемого текста М. Вычисленное значе­ние хэш-функции h(M) представляет собой один короткий блок ин­формации m, характеризующий весь текст М в целом. Затем число m шифруется секретным ключом отправителя. Получаемая при этом пара чисел представляет собой ЭЦП для данного текста М.

При проверке ЭЦП получатель сообщения снова вычисляет хэш-функцию m = h(M) принятого по каналу текста М, после чего при помощи открытого ключа отправителя проверяет, соответству­ет ли полученная подпись вычисленному значению m хэш-функции.

Принципиальным моментом в системе ЭЦП является невоз­можность подделки ЭЦП пользователя без знания его секретного ключа подписывания.

В качестве подписываемого документа может быть использо­ван любой файл. Подписанный файл создается из неподписанного путем добавления в него одной или более электронных подписей.

Каждая подпись содержит следующую информацию:

  • дату подписи;
  • срок окончания действия ключа данной подписи;
  • информацию о лице, подписавшем файл (ФИО, должность, краткое наименование фирмы);
  • идентификатор подписавшего (имя открытого ключа);
  • собственно цифровую подпись.

5.2. Алгоритмы электронной цифровой подписи

Технология применения системы ЭЦП предполагает наличие сети абонентов, посылающих друг другу подписанные электронные документы. Для каждого абонента генерируется пара ключей: сек­ретный и открытый. Секретный ключ хранится абонентом в тайне и используется им для формирования ЭЦП. Открытый ключ известен всем другим пользователям и предназначен для проверки ЭЦП получателем подписанного электронного документа. Иначе говоря, открытый ключ является необходимым инструментом, позволяющим проверить подлинность электронного документа и автора подписи. Открытый ключ не позволяет вычислить секретный ключ.

5.3. Алгоритм цифровой подписи RSA

Первой и наиболее известной во всем мире конкретной сис­темой ЭЦП стала система RSA, математическая схема которой была разработана в 1977 г. в Массачуссетском технологическом институте США [3].

Сначала необходимо вычислить пару ключей (секретный ключ и открытый ключ). Для этого отправитель (автор) электронных до­кументов вычисляет два больших простых числа Р и Q, затем на­ходит их произведение

N = P * Q

и значение функции

φ(N) = (P-1)(Q-1).

Далее отправитель вычисляет число Е из условий:

E ≤ φ(N), НОД (Е, φ(N)) = 1

и число D из условий:

D < N, E * D ≡ 1(mod φ(N)).

Пара чисел (E,N) является открытым ключом. Эту пару чисел автор передает партнерам по переписке для проверки его цифро­вых подписей. Число D сохраняется автором как секретный ключ для подписывания.

Обобщенная схема формирования и проверки цифровой под­писи RSA показана на рис. 4.

Рис. 4. Обобщенная схема цифровой подписи RSA

Допустим, что отправитель хочет подписать сообщение М пе­ред его отправкой. Сначала сообщение М (блок информации, файл, таблица) сжимают с помощью хэш-функции h(•) в целое число m:

m = h(M).

Затем вычисляют цифровую подпись S под электронным докумен­том М, используя хэш-значение m и секретный ключ D:

S = mD (mod N).

Пара (М, S) передается партнеру-получателю как электрон­ный документ М, подписанный цифровой подписью S, причем под­пись S сформирована обладателем секретного ключа D.

После приема пары (М, S) получатель вычисляет хэш-значение сообщения М двумя разными способами. Прежде всего он восстанавливает хэш-значение m', применяя криптографическое преобразование подписи S с использованием открытого ключа Е:

m' = SE (mod N).

Кроме того, он находит результат хэширования принятого со­общения М с помощью такой же хэш-функции h(•):

m = h(M).

Если соблюдается равенство вычисленных значений, т. е.

SE (mod N) = h(M),

то получатель признает пару (М, S) подлинной. Доказано, что толь­ко обладатель секретного ключа D может сформировать цифро­вую подпись S по документу М, а определить секретное число D по открытому числу Е не легче, чем разложить модуль N на мно­жители.

Кроме того можно строго математически доказать, что ре­зультат проверки цифровой подписи S будет положительным толь­ко в том случае, если при вычислении S был использован секрет­ный ключ D, соответствующий открытому ключу Е. Поэтому откры­тый ключ Е иногда называют "идентификатором" подписавшего.

5.4. Отечественный стандарт цифровой подписи

Отечественный стандарт цифровой подписи обозначается как ГОСТ Р 34.10-94. В этом алгоритме цифровой подписи используются следующие параметры:

р – большое простое число длиной от 509 до 512 бит либо ст 1020 до 1024 бит;

q – простой сомножитель числа (р-1), имеющий длину 254..256 бит;

а – любое число, меньшее (р-1), причем такое, что aq mod р = 1;

х – некоторое число, меньшее q;

у = ax mod р.

Кроме того, этот алгоритм использует однонаправленную хэш-функцию Н(х). Стандарт ГОСТ Р 34.11-94 определяет хэш-функцию, основанную на использовании стандартного симметричного алгоритма ГОСТ 28147-89.

Первые три параметра p, q и а являются открытыми и могут быть общими для всех пользователей сети. Число х является сек­ретным ключом. Число у является открытым ключом.

Чтобы подписать некоторое сообщение m, а затем проверить подпись, выполняются следующие шаги:

  1. Пользователь А генерирует случайное число k, причем k<q.
  2. Пользователь А вычисляет значения

r = (аk mod р) mod q,

s = (x * r + k (H(m))) mod q.

Если H(m) mod q = 0, то значение H(m) mod q принимают равным единице. Если r = 0, то выбирают другое значение к и начинают снова.

Цифровая подпись представляет собой два числа:

r mod 2256 и s mod 2256.

Пользователь А отправляет эти числа пользователю В.

  1. Пользователь В проверяет полученную подпись, вычисляя

v = Н(m)q-2 mod q,

z1 = (s * v) mod q,

z2 = ((q – r) * v) mod q,

u = ((az1 * yz2) mod p) mod q.

Если u = r, то подпись считается верной.

Следует также отметить, что в отечественном стандарте ЭЦП параметр q имеет длину 256 бит. Западных криптографов вполне устраивает q длиной примерно 160 бит. Различие в значениях па­раметра q является отражением стремления разработчиков отече­ственного стандарта к получению более безопасной подписи.

Этот стандарт вступил в действие с начала 1995 г.

ЗАКЛЮЧЕНИЕ

Банки играют огромную роль в экономической жизни общества, их часто называют кровеносной системой экономики. Благодаря своей специфической роли, со времени своего появления они всегда притягивали преступников. К 90-м годам XX века банки перешли к компьютерной обработке информации, что значительно повысило производительность труда, ускорило расчеты и привело к появлению новых услуг. Однако компьютерные системы, без которых в настоящее время не может обойтись ни один банк, являются также источником совершенно новых угроз, неизвестных ранее. Большинство из них обусловлены новыми информационными технологиями и не являются специфическими исключительно для банков.

Существуют однако два аспекта, выделяющих банки из круга остальных коммерческих систем:

1. Информация в банковских и платежных системах представляет собой «живые деньги», которые можно получить, передать, истратить, вложить и т.д.

2. Она затрагивает интересы большого количества организаций и отдельных лиц.

Поэтому информационная безопасность банка — критически важное условие его существования.

В силу этих обстоятельств, к банковским и платежным системам предъявляются повышенные требования относительно безопасности хранения и обработки информации. Отечественные банки также не смогут избежать участи тотальной автоматизации по следующим причинам:

  • усиления конкуренции между банками;
  • необходимости сокращения времени на производство расчетов;
  • необходимости улучшать сервис.

В США, странах Западной Европы и многих других, столкнувшихся с этой проблемой довольно давно, в настоящее время создана целая индустрия защиты экономической информации, включающая разработку и производство безопасного аппаратного и программного обеспечения, периферийных устройств, научные изыскания и др.

Сфера информационной безопасности — наиболее динамичная область развития индустрии безопасности в целом. Если обеспечение физической безопасности имеет давнюю традицию и устоявшиеся подходы, то информационная безопасность постоянно требует новых решений, т.к. компьютерные и телекоммуникационные технологии постоянно обновляются, на компьютерные системы возлагается все большая ответственность.

Статистика показывает, что подавляющее большинство крупных организаций имеют план с правилами доступа к информации, а также план восстановления после аварий.

Безопасность электронных платежных систем зависит от большого количества факторов, которые необходимо учитывать еще на этапе проектирования этой системы.

При этом для каждого отдельного вида банковских операций и электронных платежей или других способов обмена конфиденциальной информацией существуют свои специфические особенности защиты. Таким образом, организация защиты платежных систем есть целый комплекс мер, которые должны учитывать как общие концепции, но и специфические особенности.

Основной вывод, который можно сделать из анализа развития банковской отрасли, заключается в том, что автоматизация и компьютеризация банковской деятельности (и денежного обращения в целом) продолжает возрастать. Основные изменения в банковской индустрии за последние десятилетия связаны именно с развитием информационных технологий. Можно прогнозировать дальнейшее снижение оборота наличных денег и постепенный переход на безналичные расчеты с использованием пластиковых карт, сети Интернет и удаленных терминалов управления счетом юридических лиц.

В связи с этим следует ожидать дальнейшее динамичное развитие средств информационной безопасности банков, поскольку их значение постоянно возрастает.

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

  1. Деднев М.А., Дыльнов Д.В., Иванов М.А. Защита информации в банковском деле и электронном бизнесе./ М.А. Деднев, Д.В. Дыльнов, М.А. Иванов – М. : НОУ «ОЦ КУДИЦ-ОБРАЗ», 2004. – 512 с.
  2. Гайкович Ю.В., Першин А.С. Безопасность электронных банковских систем./ Ю.В. Гайкович, А.С. Першин — М. : Единая Европа, 1994. – 354 с.
  3. Романец Ю. В., Тимофеев П.А. Защита информации в компьютерных системах и сетях./ Ю. В. Романец, П.А. Тимофеев – М. : Радио и связь, 2001. – 376 с.
  4. Демин В.С. и др. Автоматизированные банковские системы./

В.С. Демин и др. — М. : Менатеп-Информ, 1997. – 325 с.

  1. Криптографические методы защиты информации: уч. пос. для вузов./ сост. Воронков Б.Н.// Изд.-полигр. центр ВГУ. – Воронеж, 2008. – 59 с.