Первая страница
Наша команда
Контакты
О нас

    Головна сторінка



2 Інженерно-технічне забезпечення захисту

Скачати 380.15 Kb.

2 Інженерно-технічне забезпечення захисту




Скачати 380.15 Kb.
Сторінка1/2
Дата конвертації25.03.2017
Розмір380.15 Kb.
  1   2


2.3.Інженерно-технічне забезпечення захисту.

Система інженерно-технічного захисту СЕП НБУ розроблялася разом з технологією та бухгалтерською моделлю. Під час експлуатації вона постійно аналізувалась і зміцнювалась. Захист електронних платіжних документів є невід'ємною частиною програмно-апаратних комплексів, він не може бути виключений або змінений. Усі учасники електронних розрахунків у СЕП повинні мати відповідний дозвіл Національного банку України та дотримуватися всіх вимог безпеки.

Націона́льний банк Украї́ни (НБУ) - центральний банк України, особливий центральний орган державного управління, юридичний статус, завдання, функції, повноваження і принципи організації якого визначаються Конституцією України, Законом України «Про Національний банк України» та іншими законами України.

Крім того, кожний банк-учасник мусить мати систему захисту внутрішньобанківських розрахунків.

При розробці системи захисту були виділені такі завдання:


  • захист від злочинних дій (несанкціоноване розшифрування та викривлення платіжних повідомлень, поява фальсифікованих платежів на будь-якому етапі обробки — від клієнта банку до АРМ-1);

  • автоматичне ведення протоколу використання банківської мережі для локалізації джерел появи порушень роботи СЕП;

  • захист від технічних порушень апаратури: збоїв та псування апаратних і програмних засобів, перешкод у каналах зв'язку;

    Програ́мне забезпе́чення (програ́мні за́соби) (ПЗ; англ. software) - сукупність програм системи обробки інформації і програмних документів, необхідних для експлуатації цих програм.



  • створення умов роботи СЕП, при яких фахівці банків-учасників СЕП та Національного банку практично не мають змоги втручатися в обробку платіжних документів після їх формування;

  • забезпечення контролю на кожному етапі обробки.

Система захисту СЕП включає технологічні, апаратні, програмні засоби та організаційні заходи захисту, забезпечує чіткий розподіл відповідальності на кожному етапі підготовки, обробки та виконання платежів на всіх рівнях — від клієнта банку до АРМ-1.

Система безпеки СЕП є багаторівневою. Вона включає не лише засоби шифрування інформації, які, беззаперечно, є дуже важливими та надають можливість отримати достовірну інформацію на різних рівнях, а й цілий комплекс технологічних та бухгалтерських засобів контролю за проходженням платежів у СЕП.

Шифрува́ння - оборотне перетворення даних, з метою приховання інформації. Шифрування з'явилось близько 4 тис. років назад. Першим відомим зразком шифру вважається єгипетський текст, створений приблизно в 1900 р.

Такий технологічний та бухгалтерський контроль забезпечується програмним забезпеченням на всіх рівнях, що дозволяє персоналу РРП та ЦРП, учасникам розрахунків відстежувати порядок проходження платежів як протягом дня, так і за підсумками дня.

Технологічні засоби контролю включають:


  • механізм обміну квитанціями в режимі реального часу, який дозволяє однозначно ідентифікувати отримання адресатом конкретного пакета документів та достовірність інформації, що в ньому міститься;

    Бухгалтерський контроль - сукупність процедур, що забезпечують збереження активів підприємства та достовірність звітності, що складається службою бухгалтерського обліку на основі даних, отриманих від функціональних підрозділів.

    Реальний час - режим роботи автоматизованої системи обробки інформації і керування, при якому враховуються обмеження на часові характеристики функціювання.



  • механізм інформування банку-учасника СЕП про поточний стан його коррахунку за підсумками технологічних сеансів у РРП, який дозволяє банку відстежувати відповідність змін коррахунку та приймання/передачі пакетів платіжних документів;

  • взаємообмін між банком та РРП підсумковими документами на кінець банківського дня, програмну звірку підсумкових документів як у РРП, так і в банку;

  • програмний комплекс самодіагностики, який дозволяє виявити порушення цілісності та неузгодженість баз даних АРМ-2, що може виникнути внаслідок збою в функціонуванні системи, спроб несанкціонованого доступу до баз даних АРМ-2 або фізичного їх псування;

    Несанкціоно́ваний до́ступ до інформа́ції - доступ до інформації з порушенням посадових повноважень співробітника, доступ до закритої для публічного доступу інформації з боку осіб, котрі не мають дозволу на доступ до цієї інформації.



  • взаємообмін між АРМ-2 та АРМ-1 повідомленнями звітного характеру про функціонування СЕП у цілому;

  • механізм контролю програмних засобів для виявлення несанкціонованої модифікації модулів програмного забезпечення.

Усі технологічні засоби контролю вбудовані у програмне забезпечення, їх не можна вилучити, а в разі виникнення нестандартної ситуації або підозри на несанкціонований доступ вони негайно інформують працівників РРП та ЦРП, що дає можливість оперативно втручатися у таку ситуацію. Бухгалтерські засоби контролю включають:

  • комплект звітних документів, які отримуються в АРМ-2, містить повну технологічну та бухгалтерську інформацію, перехресні посилання та аналіз балансу;

  • комплект звітних форм АРМ-1, які містять бухгалтерську інформацію про стан СЕП в Україні;

  • засоби звірки взаємодії РРП в АРМ-1, які дозволяють виявити розбіжності в звітній інформації, що надає РРП;

  • засоби аналізу причин відсутності балансу в масштабах України.

Однак, застосування тільки технологічних та бухгалтерських засобів контролю у СЕП недостатньо, щоб забезпечити захист від зловживань при передачі платіжних документів у СЕП. До того ж, автоматичне ведення протоколу виконуваних дій у системі платежів має супроводжуватися також захистом цього протоколу від підробки та модифікації. Всі ці вимоги можуть бути виконані тільки за допомогою програмних та апаратних засобів шифрування.

Система захисту банківської інформації у СЕП включає комплекс заходів шифрування інформації, яка циркулює у платіжній системі. Шифруванню підлягають усі файли, що передаються між АРМ СЕП: як пакети початкових та відповідних платіжних документів, так і квитанції на них, всі інші технологічні файли.

Усі платіжні документи СЕП перед відправкою з банківської установи обробляються апаратними або програмними засобами захисту інформації, які забезпечують виконання ряду вимог безпеки інформації у СЕП, а саме:


  • закритість інформації, яка пересилається (повідомлення не може бути прочитане ніким, крім адресата);

    Зáхист інформáції (англ. Data protection) - сукупність методів і засобів, що забезпечують цілісність, конфіденційність і доступність інформації за умов впливу на неї загроз природного або штучного характеру, реалізація яких може призвести до завдання шкоди власникам і користувачам інформації.



  • цілісність (будь-яке, випадкове або зловмисне, викривлення повідомлення на етапі передавання буде виявлене при прийманні);

  • аутентичність відправника (при прийманні однозначно визначається, хто відправив конкретне повідомлення).

Крім цих основних вимог, виконується ряд додаткових, що дозволяє детальніше аналізувати можливі нестандартні ситуації:

  • засобами захисту інформації ведеться шифрований арбітражний журнал, який містить протокол обробки інформації, а також зміст оброблених файлів;

    Обробка інформації́ - вся сукупність операцій (збирання, введення, записування, перетворення, зчитування, зберігання, знищення, реєстрація), що здійснюються за допомогою технічних і програмних засобів, включаючи обмін по каналах передачі даних [6.



  • у шифроване повідомлення включені реквізити дати та часу обробки.

В основу роботи засобів захисту інформації у СЕП покладений алгоритм шифрування із закритими симетричними ключами за ГОСТ 28147-89. Згаданий метод характеризується високою стійкістю до дешифрування, але одночасно висуває високі вимоги до процедури транспортування та зберігання закритих ключів, секретність яких і визначає реальну стійкість системи шифрування в цілому. Щоб забезпечити секретність ключів при їх транспортуванні, зберіганні та використанні, застосовується комплекс технологічних і організаційних заходів.

Основними засобами захисту інформації у СЕП є апаратні засоби. В них секретність ключів забезпечується технологічно:



  • ключі зберігаються в спеціальній електронній картці, їх зчитування можливе лише у пам'яті спеціального блоку («шифроблоку»), який здійснює процес шифрування інформації. Зчитування ключів іншими засобами неможливе;

  • електронна картка видається конкретному банку з попередньою прив'язкою її до конкретного шифроблоку цього ж банку; якщо картку загублено або викрадено, то вона не буде працювати в іншому шифроблоці (наприклад, в апаратурі іншого банку);

  • на випадок викрадення одночасно блоку і картки у конкретного банку передбачений режим виключення цієї апаратури із списку користувачів СЕП; банк зможе продовжувати роботу у СЕП шляхом отримання нового комплекту, після вирішення юридичних та фінансових питань, пов'язаних із втратою апаратури.

Резервним засобом захисту у СЕП є програмне шифрування, яке реалізує такий самий алгоритм шифрування. Програмні засоби шифрування є невід'ємною частиною програмного забезпечення АРМ-1, АРМ-2, АРМ-3 СЕП.

Зберігання та використання засобів захисту повинно відповідати вимогам, які висуваються до інформації з грифом «Банківська таємниця». Задоволення цих вимог забезпечується організаційними заходами.

При роботі засобів криптування банківської інформації ведеться шифрований архів банківських платежів, де зберігаються всі зашифровані та відправлені, а також одержані та дешифровані платежі. Дешифрування повідомлень архіву можливе лише за наявності ключа, який знаходиться в Службі захисту електронних банківських документів Національного банку. Він використовується для надання інформаційно- арбітражних послуг, які надає Служба захисту електронних банківських документів Національного банку відповідно до «Положення про інформаційно-арбітражні послуги служби захисту електронних банківських документів у СЕП».

Арбітражна версія апаратно-програмного комплексу криптографічного захисту дає змогу Службі захисту електронних банківських документів Національного банку при наявності копій шифрованого архіву банківської установи-учасника СЕП дешифрувати всі повідомлення з цього архіву та з абсолютною достовірністю визначати:



  • ідентифікатор банку — учасника СЕП, який надіслав (зашифрував) електронний банківський документ;

  • ідентифікатор банку — учасника СЕП, якому адресовано електронний банківський документ;

  • дату, годину та хвилину виконання шифрування електронного банківського документа;

  • дату, годину та хвилину виконання, а також абонента, що виконав дешифрування електронного банківського документа;

  • відповідність усіх електронних цифрових підписів, якими був захищений від модифікації електронний банківський документ.

При використанні апаратних засобів захисту додатково визначається:

  • номер апаратури захисту, на якій виконувалось шифрування (дешифрування) електронного платіжного документа;

  • номер електронної картки, якою користувались під час шифрування (дешифрування) електронного платіжного документа.

Журнали реєстрації надходжень електронної пошти дають змогу володіти інформацією про шлях та час проходження електронного платіжного документа від однієї банківської установи до іншої через усі пункти мережі телекомунікації СЕП.

Апаратні та програмні засоби шифрування, які надає Служба захисту інформації НБУ, отримали позитивну експертну оцінку Служби безпеки України та рекомендовані для застосування з дотриманням деяких організаційних та технологічних запобіжних заходів.

Запобіжні заходи - це заходи забезпечення кримінального провадження, що полягають в тимчасовому обмеженні прав людини згідно кримінального процесуального законодавства, що мають на меті припинити та запобігти новим кримінальним правопорушенням, забезпечити виконання покладених на особу обов'язків та її належну поведінку.

Електро́нна по́шта (англ. e-mail, або email, скорочення від electronic mail) - популярний сервіс в інтернеті, що робить можливим обмін даними будь-якого змісту (текстові документи, аудіо-, відеофайли, архіви, програми).

Слу́жба за́хисту інформа́ції (СЗІ) - підрозділ організації, який забезпечує захист інформації шляхом управління комплексною системою захисту інформації.

Україна Украї́на (МФА: [ukrɑˈjinɑ]опис файлу) - держава у Східній Європі та частково в Центральній Європі, у південно-західній частині Східноєвропейської рівнини. Площа становить 603 628 км². Найбільша за площею країна з тих, чия територія повністю лежить у Європі, друга на європейському континенті, якщо враховувати Росію.

Додатково для захисту інформації у СЕП використовуються апаратні засоби шифрування в каналах телекомунікаційного зв'язку — апаратура захисту банківських даних (АЗБД). Ця апаратура забезпечує гарантований захист банківських електронних повідомлень від перехоплення, нав'язування, підробки та викривлення їх унаслідок зовнішнього впливу, підтримує абсолютну достовірність повідомлень, використовуючи електронні картки як носії ключової інформації. Такі засоби захисту «прозорі» для телекомунікаційних систем, сумісні зі стандартними протоколами зв'язку та працюють в автоматичному режимі.

З перших місяців роботи СЕП Службою захисту банківської інформації НБУ ведеться аналіз усіх порушень функціонування системи як з погляду надійності її роботи (апаратно-програмні збої, випадкові порушення технології тощо), так і з погляду безпеки.

Кожному банку-учаснику СЕП Службою захисту інформації НБУ надається програмне забезпечення, яке складається з трьох модулів:


    1. Власне модуля накладання/перевірки електронного цифрового підпису у вигляді бібліотеки об'єктних модулів, яка може бути вбудована в програмний комплекс «Операційний день банку» на будь-якому робочому місці підготовки платіжних документів.

      Електронний цифровий підпис Електро́нний цифрови́й пі́дпис (ЕЦП) (англ. digital signature) - вид електронного підпису, отриманого за результатом криптографічного перетворення набору електронних даних, який додається до цього набору або логічно з ним поєднується і дає змогу підтвердити його цілісність та ідентифікувати підписувача.



    2. Модуля генерації ключів для банку-учасника СЕП. Модуль генерації ключів надається у вигляді виконуваного модуля і виготовляється особисто для кожної установи — учасника СЕП. За допомогою такого генератора ключів учасник СЕП сам генерує пари таємного та відкритого ключів для всіх робочих місць підготовки платежів.

    3. Модуля поновлення таблиці відкритих ключів та незаповнених таблиць відкритих ключів на кожне робоче місце, який виконує коректне поновлення таблиць відкритих ключів, створює їх резервні копії і веде протокол виконаних дій.

При генерації ключів таємний ключ записується на дискету або на touch- memory. Відкриті ключі робочих місць, електронний цифровий підпис яких перевіряється у СЕП, а саме — відкриті ключі АРМ-3 та АРМ бухгалтера, записуються у вигляді файлів сертифікації до каталогу, який задається. Ці файли надсилаються до Служби захисту інформації НБУ для виконання їх сертифікації, що дає можливість перед розповсюдженням їх через СЕП переконатися в тому, що вони належать саме цьому учаснику СЕП, а не були згенеровані кимось іншим від імені цього учасника, і що для них виконані всі вимоги, які висуваються до відкритих ключів алгоритму RSA. Після успішного проходження сертифікації відкриті ключі учасника СЕП розсилаються у вигляді файлів змін таблиць відкритих ключів на робочі місця, обумовлені технологією перевірки електронного цифрового підпису (АРМ-3 та АРМ-2).

2.4.Криптографічний захист інформації.

Криптографічні засоби реалізуються в системах банківстких переказів у програмному вигляді, у випалку безпечних алгоритмів передачі, або в апаратному — у випадку аппаратних засобів шифрування. Як було сказано у попередньому розділі, програмне забезпечення надається Службою захисту інформації НБУ, кожному банку-учаснику СЕП. Криптогроафічні алгоритми використовувані системами міжнародних грошових переказів, були розглянуті у першій частині роботи, при описі систем переказів.

Грошови́й пере́каз - поширена форма переказу грошей у банківської або поштовій системі. У структурі грошового переказу завжди присутній відправник, одержувач та посередник, який стягує за свої послуги певну плату.

Криптографічні засоби захисту більш детально будуть розглянуті нижче.

Апаратно-програмні засоби криптографічного захисту інформації в СЕП забезпечують автентифікацію адресата та відправника міжбанківських електронних розрахункових документів і службових повідомлень СЕП, гарантують їх достовірність та цілісність у результаті неможливості підроблення або викривлення документів у шифрованому вигляді або за наявності ЕЦП.

Криптографічний захист Інформації має охоплювати всі етапи оброблення електронних банківських документів, починаючи з часу їх створення до зберігання в архівах банку. Використання різних криптографічних алгоритмів на різних етапах оброблення електронних банківських документів дає змогу забезпечити безперервний захист інформації в інформаційній мережі, а також відокремлене оброблення інформації стосовно різних задач інформатизації Національного банку.

Криптогра́фія (від грецького kryptós - прихований і gráphein - писати) - наука про математичні методи забезпечення конфіденційності, цілісності і автентичності інформації. Розвинулась з практичної потреби передавати важливі відомості найнадійнішим чином.

Основною метою криптографічного захисту інформації є забезпечення конфіденційності та цілісності електронної банківської інформації, а також суворої автентифікації учасників СЕП і фахівців банківських установ, які беруть участь у підготовці та обробленні електронних банківських документів.

Для забезпечення розв'язання завдань суворої автентифікації банківських установ, підключених до інформаційної мережі, розроблено систему ідентифікації користувачів, яка є основою системи розподілу ключів криптографічного захисту.

Кожна банківська установа з точки зору захисту інформації має трибайтний ідентифікатор, перший знак якого є літерою відповідної території, на якій розташована ця банківська установа; другий та третій знаки є унікальним ідентифікатором банківської установи в межах цієї території. Ці ідентифікатори узгоджені з адресами системи ЕП і є унікальними в межах банківської системи України.

Аспект (лат. aspectus - вигляд, погляд) - поняття філософії (онтології, теорії пізнання). У філософії аспект розглядається

Ба́нківська систе́ма Украї́ни - це складова економічної системи держави, що включає в себе Національний банк України; інші банки (резиденти та нерезиденти, зареєстровані у встановленому законодавством порядку на території України); небанківські фінансові установи, виключною діяльністю яких є прийняття вкладів, розміщення кредитів або ведення рахунків клієнтів; Фонд гарантування вкладів фізичних осіб; банківську інфраструктуру, а також зв'язки та взаємини між ними.

Трибайтні ідентифікатори є основою для ідентифікації робочих місць у банківських установах та ідентифікаторів ключі її для всіх робочих місць банківської установи. Ідентифікатор ключів робочих місць складається з шести символів, з яких три перших є ідентифікаторами банківської установи, четвертий символ визначає тип робочого місця (операцїоніст, бухгалтер тощо), п'ятий та шостий символи — ідентифікатор конкретного робочого місця (тобто службової особи, яка відповідає за оброблення платіжної інформації на цьому робочому місці). Трибайтний ідентифікатор банківської установи вбудований у програму генерації ключів і не може бути змінений у банківській установі, що забезпечує захист від підроблення ключів від імені інших банківських установ.

Відповідні ідентифікатори ключів записуються в електронні картки, які є носіями ключової інформації для апаратного шифрування.

Для забезпечення захисту інформації від модифікації з одночасною суворою автентифікацією та безперервного захисту платіжної інформації з часу її формування система захисту СЕП та інших інформаційних задач включає механізми формування/перевірки ЕЦП на базі несиметричного алгоритму RSA.

Для забезпечення роботи цього алгоритму кожна банківська установа отримує від служб захисту інформації територіальних управлінь персональний генератор ключів із вбудованим ідентифікатором цієї банківської установи. За допомогою цього генератора ключів банківська установа має змогу генерувати ключі для всіх робочих місць, які працюють з електронними банківськими документами. Для забезпечення захисту ключової інформації (а саме відкритих ключів) від викривлення та підроблення відкриті ключі ЕЦП мають надсилатися до служби захисту Інформації Національного банку для сертифікації (крім ключів для робочих місць операціоністів та інших, що використовуються лише в САБ).

Технологія накладання/перевірки ЕЦП у СЕП створена таким чином, щоб одна службова особа не мала змоги відіслати міжбанківський електронний розрахунковий документ. Під час формування міжбанківського електронного розрахункового документа на робочому місці операціоніста службова особа, яка формує цей документ, має накладати ЕЦП на документ за допомогою свого таємного ключа. Під час формування файла міжбанківських електронних розрахункових документів на робочому місці бухгалтера накладається ЕЦП на цей файл, що забезпечує захист від модифікації файла в цілому. Сформований таким чином платіжний файл обробляється АРМ-НБУ, де виконується перевірка ЕЦП операціоніста на кожному міжбанківському електронному розрахунковому документі та накладається ЕЦП АРМ-НБУ, який можуть перевірити всі банківські установи-учасники СЕП. Під час оброблення платіжних файлів на АРМ-2 виконується перевірка підписів на файлі в цілому та після формування файлів відповідних платежів накладається ЕЦП на файл у цілому за допомогою таємного ключа АРМ-2.



3.АНАЛІЗ КРИПТОГРАФІЧНОГО ЗАХИСТУ

ПЕРЕКАЗІВ. 3.1. Механізми роботи та специфікації SSL-протоколу.

Загальна інформація про протокол.

Протокол SSL призначений для вирішення традиційних завдань забезпечення захисту інформаційної взаємодії, які в середовищі клієнт/сервер інтерпретуються таким чином:



  • користувач, підключаючись до сервера, має бути упевнений, що він обмінюється інформацією не з підставним сервером.В багатьох реалізаціях необхідно також, щоб і сервер міг надійно ідентифікувати клієнта.;

  • після встановлення з'єднання між сервером і клієнтом весь інформаційний потік між ними має бути захищений від несанкціонованого доступу;

    Інформаційний потік - стабільний рух інформації, спрямований від джерела інформації до отримувача, визначений функціональними зв’язками між ними.



  • при обміні інформацією сторони мають бути упевнені у відсутності випадкових або умисних спотворень при її передачі.

Протокол SSL дозволяє серверу і клієнтові перед початком інформаційної взаємодії аутентифікувати один одного, узгодити алгоритм шифрування і сформувати загальні криптографічні ключі. З цією метою протокол використовує асиметричні криптосистеми, зокрема RSA.

Конфіденційність інформації, передаваної по встановленому захищеному з'єднанню, забезпечується шляхом шифрування потоку даних сформованим загальним ключем з використанням симетричних криптоалгоритмів (наприклад RC4_128, RC4_40, RC2_128, RC2_40, DES40 і ін.

Поті́к да́них (англ. data stream) в телекомунікаціях і програмуванні - це послідовність кодованих когерентних сигналів (пакетів даних) в цифровій формі, яка використовується, щоб передавати або отримати інформацію це знаходиться в передачі.

), а контроль цілісності передаваних блоків даних — за рахунок використання так званих кодів аутентифікації повідомлень (Message Autentification Code, MAC), що обчислюються за допомогою хеш-функцій (зокрема MD5).


Протокол SSL включає два етапи взаємодії сторін з'єднання, що захищається:

    1. Встановлення SSL-сесії;

    2. Захист потоку даних.

На етапі встановлення SSL-сесії здійснюється аутентифікація сервера і (опціонально) клієнта, сторони домовляються про використовувані криптографічні алгоритми і формують загальний "секрет", на основі якого створюються загальні сеансові ключі для подальшого захисту з'єднання. Цей етап називають також процедурою "рукостискання".

Сервер



2. Server hello

  • обрана версія SSL

  • ідентифікатор сесії

  • обрані шифри

  • обраний метод компресії

  • випадковий блок

    1. Відправлення свого

сертифікату

    1. Запит сертифікату

10. Finished

7. ChangeCipherSpec

(наступне повідомлення буде зашифрованим)









1. Client hello

підтримувана версія SSL ідентифікатор сесії підтримувані шифри підтримувані методи компресії випадковий блок

5. Перевірка сертифікату 6. Відправлення свого сертифікату 8. ChangeCipherSpec

(наступне повідомлення буде зашифрованим)

9. Finished






Клієнт

  1   2


Скачати 380.15 Kb.

  • Національного банку України
  • Служба захисту інформації
  • Загальна інформація про протокол.