Практический пример противодействия мошенничеству в системе ДБО

Василий Окулесский

к.т.н., начальник ОЗИ СБ ОАО "Банка Москвы"

Сергей
Потанин

заместитеть начальника ОЗИ СБ ОАО "Банка Москвы"

Безопасность систем интернет-банка – это возможно

Что такое интернет-банк сегодня? Это огромный, постоянно расширяющийся спектр услуг: вы получаете возможность просмотра информации по счетам, картам, депозитам и кредитам, а также управления своими счетами через Интернет; вы можете создавать, редактировать, сохранять, распечатывать, подписывать и отправлять в банк множество исходящих документов, число которых постоянно расширяется и качественно изменяется. Кроме того, соединение карточек и удаленного банкинга создает совершенно новое качество услуг, а следовательно, и еще большую привлекательность ИБК для мошенников разного рода.

Многие источники говорят о беспрецедентном увеличении числа мошенничеств в платежных и банковских системах. Только по одному случаю в августе 2010 г., по информации руководителя пресс-службы управления "К" МВД Ирины Зубаревой, когда МВД России разоблачило схему по обналичиванию денег с помощью поддельных пластиковых карт и с использованием системы ДБО, ущерб оценивается в 2 млрд руб. Группировку организовал руководитель отдела пластиковых карт одного из крупных банков. Злоумышленники обналичивали денежные средства  с  использованием  под дельных дебетовых банковских карт, которые оформлялись на утерянные паспорта. Таким образом, за 2 года, а именно столько действовала преступная группа, преступники подделали около тысячи карт и заработали свыше 200 млн руб.

И масштаб подобных действий будет постоянно увеличиваться.

Причины роста числа преступлений

• Недостаточная осведомленность клиентов об опасности использования интернет-среды для финансовых операций.
• Недостаточное внимание клиентов к обеспечению собственной безопасности в Интернете.
• Использование нелицензионного ПО.
• Использование неадекватных уровней безопасности в системах ДБО.
• Технологические ошибки в разработке систем ДБО.
• Использование в системах ДБО несертифицированных СКЗИ.

Разработчики вкладывают все больше и больше ума и денег в системы безопасности. Каждый новый виток мошенничеств порождает целые семейства новых механизмов безопасности.

Основные исторические вехи атак на ДБО

• Атаки на каналы передачи данных, атаки на передаваемые документы.
• Подложные документы по используемым каналам (фальшивые "Авизо").
• Компрометация таблиц переменных кодов и подделка платежных документов.
• Атака на компьютер через Интернет с целью кражи ЭЦП и пароля.
• Атака на компьютер через Интернет с целью захвата удаленного управления ресурсами компьютера.

В процессе борьбы за выживание системы ДБО породили вполне адекватные механизмы безопасности: логин и пароль обеспечивают авторизацию и аутентификацию доступа, но, к сожалению, они подвержены несанкционированному копированию с использованием троянов типа KEYLOGGER.

Основные средства безопасности

• Одноразовый пароль обеспечивает защиту от несанкционированного перехвата управления компьютером клиента, однако он не защищает от атаки на документ (скрытая подмена или модификация документа в момент его создания), а при использовании SMS-пароля также возможна преднамеренная или случайная блокировка SIM-карты, отсутствие зоны приема, ложное копирование SIM-карты, несанкционированное пользование телефоном.
• ЭЦП придает юридическую значимость ЭД, обеспечивает отказоустойчивость, а использование USB-токена защищает ЭЦП от кражи и копирования. При этом для файловых ключей актуальны кража или копирование носителя секретных ключей, несанкционированное копирование (кража) секретных ключей с использованием специальных троянских программ, а для USB-токена – захват и дистанционное управление компьютером клиента при помощи специальных программ.
• Виртуальная клавиатура должна была обеспечить защиту логина и пароля от кражи троянскими программами класса KEYLOGGER, но теперь она устарела – трояны стали намного умнее.
• Технология каптча должна защищать от автоматизированного подбора логинов и паролей. Но без счетчика числа попыток она неэффективна.
• Пользовательский индивидуальный интерфейс должен обеспечивать защиту сайта системы ИБК от фишинговых атак. Пока он работает при защите от массовых атак, для индивидуальной атаки на конкретного клиента не работает.
• SMS-информирование – пассивное средство безопасности. Работает всегда, но пассивно. На безопасность влияет косвенно, укорачивает время реакции клиента на несанкционированное списание и позволяет быстрее заблокировать атакуемый счет. Работает, пока функционирует телефон и позволяет сеть.
• Штатные средства Web, применение защищенных протоколов HTTPS и SSL и других штатных средств безопасности. Каждый из них работает в своей зоне ответственности.
• Антивирусные средства нужны всегда, но они помогают только тогда, когда к ним относятся внимательно и аккуратно.

Но враг не дремлет, и естественно, что тут же появилась новая напасть – атака на документ через Интернет с целью подмены настоящего документа подложным (скрытная замена или модификация документа в момент его формирования). И тут защитить систему можно только формированием документа или его ключевых полей в так называемой доверенной среде.

Как обеспечить надежную защиту?

Первый вариант решения
Можно использовать специализированное недорогое устройство, которое гарантированно защищает платежный документ от данного типа атак (скрытная замена или модификация документа в момент его формирования). Устройство должно формировать доверенную среду для создания платежного документа или его частей и предоставлять механизмы проверки целостности и авторства контролируемых частей документов на основе российских криптографических механизмов.

Как это работает? Сначала в платежном документе выбирают ключевые поля, которые необходимо контролировать, напрмер сумма и адрес платежа, но могут быть выбраны любые иные параметры (см. рис. 1).

Остальные поля заполняются с основной клавиатуры обычным образом (см. рис. 2).

Завершается ввод нажатием специальной клавиши (например "защита"), при этом запускается механизм вычисления контрольного параметра, который записывается в заранее выбранное текстовое поле (см. рис. 3). Контрольный параметр вычисляется на основе стандартизированных алгоритмов (в соответствии с ГОСТ серии 47ххх) и сеансового одноразового ключа, сгенерированного самим устройством. Извлечение или повторное использование ключа технологически невозможно. Само устройство защищено паролем (PIN-кодом) и может быть дополнительно оснащено защитой от вскрытия. Устройство, а также программы защищены от копирования применением специализированных комплектующих.

На приемной стороне устанавливается специализированный, защищенный от НСД сервер. Программа выгрузки из ИБК анализирует электронные ПП, если обнаруживается признак наличия контроля ПП, то передает на сервер значения ключевых полей и контрольного параметра. На основании анализа этих данных (при совпадении принятого и вычисленного контрольных параметров) принимается решение о правильности документа. Сервер возвращает в программу выгрузки результат проверки. При некорректной проверке ПП переводится в режим ручной обработки (см. рис. 4).

Спецустройство является программно-техническим комплексом, независимым от применяемой системы "Интернет–банк–клиент", и имеет возможность встраиваться в любую из существующих систем ДБО без их доработок.

По желанию заказчика в него может быть встроен любой механизм формирования электронной цифровой подписи на основе любого алгоритма или с использованием любого современного USB-хранилища неизвлекаемых ключей ЭЦП.

Такой класс устройств фактически закрывает самый изощренный на сегодняшний день вид атак на системы ДБО и позволяет сформировать действительно полностью закрытый контур системы безопасности.

Второй вариант решения
Особенностью предыдущего решения является практическая инвариантность прикладной системы. Это является, с одной стороны, большим достоинством, так это изделие может применяться практически в любой системе ДБО без ее кардинальной доработки. Недостатком решения является ограниченность применения в различных сервисах ДБО, то есть в таких сервисах, которые не связаны с вводом цифровых ключевых параметров.

Альтернативой, не имеющей этих особенностей, может быть способ создания доверенной среды на базе стандартного ПК при использовании USB-флешки и USB-порта для загрузки доверенной операционной системы, прикладных задач и хранения неизвлекаемых ключей ЭЦП. Но и в этом варианте решения тоже есть свое "но" – в данном случае, есть определенные сложности с интеграцией бухгалтерских приложений с данным способом создания доверенной среды.

Третий вариант решения
Комбинированный вариант первого и второго решения – предварительно проверенный на закладные (прошедший спецпроверку и специсследования) нетбук (без CD или  DVD)  c  перепрошитым
BIOS и загрузкой с внешнего доверенного устройства, то есть практически специализированный банковский терминал, но с одним отличием – он должен иметь возможность интегрироваться с бухгалтерскими приложениями клиента.

Очевидно, что каждое из предлагаемых решений имеет свою аудиторию. Первый вариант – специальное изделие ориентировано прежде всего на бухгалтеров юридических лиц и для крупных (финансово крупных) "физиков". Второй вариант – устройство доверенной загрузки – удел средних и мелких мобильных "физиков", а третий вариант – для вполне состоятельных клиентов, которые могут позволить личный переносной электронный терминал.

Кратко резюмируя сказанное, можно сделать вывод – любая проблема имеет решение, для этого просто нужно иметь желание, голову и немного денег.