персонализация карта

Zashita informasii_7 ГЛАВА 9. ЗАЩИТА ИНФОРМАЦИИ В ЭЛЕКТРОННЫХ ПЛАТЕЖНЫХ СИСТЕМАХ Современную практику банковских операций, торговых сделок персонализация карта взаимных платежей невозможно представить без расчетов с применением пластиковых карт. Благодаря надежности, универсальности персонализация карта удобству пластиковые карты завоевали прочное место среди других платежных средств персонализация карта обещают занять лидирующее положение по отношению к наличным платежам уже к 2000 г. 9.1. Принципы функционирования электронных платежных систем Электронной платежной системой называют совокупность методов персонализация карта реализующих их субъектов, обеспечивающих в рамках системы использование банковских пластиковых карт в качестве платежного средства [52]. Пластиковая карта-это персонифицированный платежный  инструмент, предоставляющий пользующемуся этой картой лицу возможность безналичной оплаты товаров персонализация карта услуг, персонализация карта также получения наличных средств в банковских автоматах персонализация карта отделениях банков. Предприятия торговли персонализация карта сервиса персонализация карта отделения банков, принимающие карту в качестве Платежного инструмента, образуют приемную сеть точек обслуживания карты. При создании платежной системы одной из основных решаемых задач является выработка персонализация карта соблюдение общих правил обслуживания карт, выпущенных входящими в платежную систему эмитентами, проведения взаиморасчетов персонализация карта платежей. Эти правила охватывают как чисто технические аспекты операций с картами - стандарты данных, процедуры авторизации, спецификации на используемое оборудование персонализация карта другие, так и финансовые аспекты обслуживания карт-процедуры расчетов с предприятиями торговли и сервиса, входящими в состав приемной сети, правила взаиморасчетов между банками и т.д. С организационной точки зрения ядром платежной системы является ассоциация банков, объединенная договорными обязательствами. Кроме того, в состав электронной платежной системы входят предприятия торговли персонализация карта сервиса, образующие сеть точек обслуживания. Для успешного функционирования платежной системы необходимы персонализация карта специализированные организации, осуществляющие техническую поддержку обслуживания карт: процессинговые персонализация карта коммуникационные центры, центры технического обслуживания персонализация карта т. п. Обобщенная схема функционирования электронной платежной системы представлена на рис. 9.1. Банк, заключивший соглашение с платежной системой персонализация карта получивший соответствующую лицензию, может выступать в двух качествах - как банк-эмитент персонализация карта как банк-эквайер. Банк-эмитент выпускает пластиковые карты персонализация карта гарантирует выполнение финансовых обязательств, связанных с использованием этих карт как платежных средств. Банк-эквайер обслуживает предприятия торговли персонализация карта сервиса, принимающие к оплате карты как платежные средства, персонализация карта также принимает эти платежные средства к обналичиванию в своих отделениях персонализация карта через принадлежащие ему банкоматы. Основными неотъемлемыми функциями банка-эквайера являются финансовые операции, связанные с выполнением расчетов персонализация карта платежей точками обслуживания. Технические атрибуты деятельности банка-эквайера (обработка запросов на авторизацию; перечисление на расчетные счета точек средстве за товары персонализация карта услуги, предоставленные по картам; прием, сортировка персонализация карта пересылка документов, фиксирующих совершение сделок с использованием карт персонализация карта т. п.) могут быть делегированы эквайером процессинговым центрам.                 Неавтоматизированная процедура приема платежа с помощью карты сравнительно проста [61]. В первую очередь кассир предприятия должен убедиться в подлинности пластиковой карты по ряду признаков, указанных в §9.2. При оплате предприятие должно перенести реквизиты пластиковой карты клиента на специальный чек с помощью копировальной машины-импринтера, занести в чек  сумму, на которую была совершена покупка или оказана услуга, и  получить подпись клиента. Оформленный подобным образом чек называют слипом.                       В целях обеспечения безопасности операций платёжной системы рекомендуется не превышать нижние лимиты сумм для различных регионов персонализация карта видов бизнеса, по которым можно проводить расчеты без авторизации. При превышении лимитной суммы или в случае возникновения сомнения в личности клиента предприятие должно проводить процедуру авторизации. При авторизации предприятие фактически получает доступ к информации о состоянии счета клиента персонализация карта может установить  принадлежность карты клиенту персонализация карта его платежную способность в размере суммы сделки. Одна копия слипа остается на предприятии, вторая передается клиенту, третья доставляется в банк-эквайер персонализация карта служит основанием для возмещения суммы платежа предприятию со счета клиента.                       В последние годы широкую популярность приобрели автоматизированные торговые POS-терминалы (Point-Of-Sale-оплата в точке продажи) персонализация карта банкоматы. При использовании POS-терминалов нет необходимости в заполнении слипов. Реквизиты пластиковой карты считываются с ее магнитной полосы на встроенном в POS-терминал считывателе. Клиент вводит в терминал свой PIN-код (Personal Identification Number-персональный идентификационный номер), известный только ему. Элементы PIN-кода включаются в общий алгоритм шифрования записи на магнитной полосе и служат электронной подписью владельца карты. На клавиатуре POS-терминала набирается сумма сделки.             Если сделка осуществляется в отделении банка персонализация карта в ее процессе происходит выдача клиенту наличных денег, помимо банковских POS-терминалов может быть использован электронный кассир банкомат. Конструктивно он представляет автоматизированный сейф со встроенным POS-терминалом. Терминал через встроенный модем обращается за авторизацией в соответствующую платежную систему. При этом используются мощности процессингового центра, услуги которого предоставляются торговцу банком-эквайером. Процессинговый центр [33] представляет собой специализированную сервисную организацию, которая обеспечивает обработку поступающих от банков-эквайеров или непосредственно из точек обслуживания запросов на авторизацию персонализация карта протоколов транзакций фиксируемых данных о произведенных посредством пластиковых карт платежах персонализация карта выдачах наличными. Для этого процессинговый центр ведет базу данных, которая, в частности, содержит данные о банках-членах платежной системы персонализация карта держателях пластиковых карт. Процессинговый центр хранит сведения о лимитах держателей карт персонализация карта выполняет запросы на авторизацию в том случае, если банк эмитент не ведет собственной базы данных (off-line банк). В противном случае (on-line банк) процессинговый центр пересылает полученный запрос в банк-эмитент авторизируемой карты. Очевидно, что процессинговый центр обеспечивает персонализация карта пересылку ответа банку-эквайеру. Выполнение банком-эквайером своих функций влечет за собой расчеты с банками-эмитентами. Каждый банк-эквайер осуществляет перечисление средств точкам обслуживания по платежам держателей карт банков-эмитентов, входящих в данную платежную систему. Поэтому соответствующие средства  должны быть затем перечислены банку-эквайеру банками-эмитентами. Оперативное проведение взаиморасчетов между эквайерами и эмитентами обеспечивается наличием в платежной системе расчетного банка (одного или нескольких), в котором банки-члены системы открывают корреспондентские счета. На основании, накопленных за операционный день протоколов транзакций процессинговый центр готовит персонализация карта рассылает итоговые данные для проведения взаиморасчетов между банками-участниками платежной системы, персонализация карта также формирует персонализация карта рассылает банкам-эквайерам персонализация карта непосредственно в точки обслуживания стоп-листы (перечни карточек, операции по которым по разным причинам приостановлены). Процессинговый центр может также обеспечивать потребности банков-эмитентов в новых картах, осуществляя их заказ на заводах персонализация карта последующую персонализацию. Особенностью продаж и выдач наличных по пластиковым картам является то, что эти операции осуществляются магазинами персонализация карта банками "в долг", т.е. товары персонализация карта наличные предоставляются клиентам сразу, персонализация карта средства на их возмещение поступают на счета обслуживающих предприятий через некоторое время (не более нескольких дней). Гарантом выполнения платежных обязательств, возникающих в процессе обслуживания пластиковых карт, является выпустивший их банк-эмитент. Характер гарантий банка-эмитента зависит от платежных полномочий, предоставляемых клиенту и фиксируемых видом карточки. По виду расчетов, выполняемых с помощью пластиковых карт,  различают кредитные персонализация карта дебетовые карты. Кредитные карты являются наиболее распространенным видом пластиковых карт. К ним относятся карты общенациональных систем США Visa персонализация карта MasterCard, American Express персонализация карта ряда других. Эти карты предъявляют на предприятиях торговли персонализация карта сервиса для оплаты товаров персонализация карта услуг. При оплате с помощью кредитных карт банк покупателя открывает ему кредит на сумму покупки, персонализация карта затем   через некоторое время (обычно 25 дней) присылает счет по почте.   Покупатель должен вернуть оплаченный чек (счет) обратно в банк. Естественно, подобную схему банк может предложить только наиболее состоятельным и проверенным из своих клиентов, которые имеют хорошую кредитную историю перед банком или  солидные вложения в банк в виде депозитов, ценностей или недвижимости. Держатель дебетовой карты должен заранее внести на свой  счет в банке-эмитенте определенную сумму. Размер этой суммы определяет лимит доступных средств. При осуществлении расчетов с использованием этой карты соответственно уменьшается персонализация карта лимит. Контроль лимита выполняется при проведении авторизации, которая при использовании дебетовой карты является обязательной. Для возобновления или увеличения лимита держателю карты необходимо вновь внести средства на свой счет. Для страхования временного разрыва между моментом осуществления платежа и моментом получения банком соответствующей информации на счете клиента должен поддерживаться неснижаемый остаток. Как кредитная, так и дебетовая карты могут быть не только персональными, но персонализация карта корпоративными. Корпоративные карты предоставляются компанией своим сотрудникам для оплаты командировочных или других служебных расходов. Корпоративные карты компании связаны с каким-либо одним ее счетом. Эти карты могут иметь разделенный или неразделенный лимит. В первом случае каждому из держателей корпоративных карт устанавливается индивидуальный лимит. Второй вариант больше подходит небольшим компаниям персонализация карта не предполагает разграничения лимита. В последние годы все большее внимание привлекают к себе электронные платежные системы с использованием микропроцессорных карт. Принципиальным отличием микропроцессорных карт от всех перечисленных выше является то, что они непосредственно несут информацию о состоянии счета клиента, поскольку являются в сущности транзитным счетом. Все транзакции совершаются в режиме off-line в процессе диалога карта-терминал или карта клиента - карта торговца. Такая система является почти полностью безопасной благодаря высокой степени защищенности кристалла с микропроцессором персонализация карта полной дебетовой схеме расчетов. Кроме того, хотя карта с микропроцессором дороже обычной, платежная система оказывается дешевле в эксплуатации за счет того, что в режиме off-line нет нагрузки на телекоммуникации. Для обеспечения надежной работы электронная платежная система должна быть надежно защищена. С точки зрения информационной безопасности в системах электронных платежей существуют следующие уязвимые места: • пересылка платежных персонализация карта других сообщений между банком персонализация карта клиентом персонализация карта между банками; • обработка информации внутри организаций отправителя персонализация карта получателя сообщений; • доступ клиентов к средствам, аккумулированным на счетах. Одним из наиболее уязвимых мест в системе электронных, платежей является пересылка платежных и других сообщений между банками, между банком персонализация карта банкоматом, между банком и клиентом. Пересылка платежных персонализация карта других сообщений связана со следующими особенностями [22] • внутренние системы организаций отправителя и получателя должны быть приспособлены для отправки персонализация карта получения электронных документов персонализация карта обеспечивать необходимую защиту при их обработке внутри организации (защита оконечных систем); • взаимодействие отправителя персонализация карта получателя электронного документа осуществляется опосредовано-через канал связи. Эти особенности порождают следующие проблемы: • взаимное опознавание абонентов (проблема установления взаимной подлинности при установлении соединения); • защита электронных документов, передаваемых по каналам связи (проблемы обеспечения конфиденциальности персонализация карта целостности документов); • защита процесса обмена электронными документами (проблема доказательства отправления персонализация карта доставки документа); • обеспечение исполнения документа (проблема взаимного недоверия между отправителем персонализация карта получателем из-за их принадлежности к разным организациям персонализация карта взаимной независимости). Для обеспечения функций защиты информации на отдельных узлах системы электронных платежей должны быть реализованы следующие механизмы защиты; • управление доступом на оконечных системах; • контроль целостности сообщения; • обеспечение конфиденциальности сообщения; • взаимная аутентификация абонентов; • невозможность отказа от авторства сообщения; • гарантии доставки сообщения; • невозможность отказа от принятия мер по сообщению; • регистрация последовательности сообщений; • контроль целостности последовательности сообщений. Качество решения указанных выше проблем в значительной мере определяется рациональным выбором криптографических средств при реализации механизмов защиты. 9.2. Электронные пластиковые карты Применение POS-терминалов персонализация карта банкоматов возможно при использовании некоторого носителя информации, который мог бы идентифицировать пользователя персонализация карта хранить определенные учетные данные. В качестве такого носителя информации выступают пластиковые карты. Пластиковая карта представляет собой пластину стандартных размеров (85,6x53,9x0,76 мм), изготовленную из специальной, устойчивой к механическим персонализация карта термическим воздействиям пластмассы. Одна из основных функций пластиковой карты-обеспечение идентификации использующего ее лица как субъекта платежной системы. Для этого на пластиковую карту наносят логотипы банка-эмитента персонализация карта платежной системы, обслуживающей эту карту, имя держателя карты, номер его счета, срок действия карты персонализация карта т.п. Кроме того, на карте может присутствовать фотография держателя и его подпись. Алфавитно-цифровые данные-имя, номер счета персонализация карта др. могут быть эмбоссированы, т.е. нанесены рельефным шрифтом. Это дает возможность при ручной обработке принимаемых к оплате карт быстро перенести данные на чек с помощью специального устройства-импринтера, осуществляющего "прокатывание" карты (аналогично получению второго экземпляра при использовании копировальной бумаги). По принципу действия различают пассивные персонализация карта активные пластиковые карты. Пассивные пластиковые карты всего лишь хранят информацию на том или ином носителе. К ним относятся пластиковые карты с магнитной полосой. Карты с магнитной полосой являются на сегодняшний день наиболее   распространенными - в   обращении   находится   свыше двух миллиардов карт подобного типа. Магнитная полоса располагается на обратной стороне карты персонализация карта в соответствии со стандартом ISO 7811, состоит из трех дорожек. Из них первые две предназначены для хранения идентификационных данных, персонализация карта на третью дорожку можно записывать информацию (например, текущее значение лимита дебетовой карты). Однако из-за невысокой надежности многократно повторяемого процесса записи персонализация карта считывания запись на магнитную полосу обычно не практикуется, персонализация карта такие карты используются только в режиме считывания информации. Карты с магнитной полосой относительно уязвимы для мошенничества. Например, в США в 1992г. общий ущерб от махинаций с кредитными картами с магнитной полосой (без учета потерь с банкоматами) превысил один миллиард долларов. Тем не менее развитая инфраструктура существующих платежных систем и, в частности, мировых лидеров в области "карточного" бизнеса-компаний Visa и  MasterCard/Europay является причиной интенсивного |использования карте магнитной полосой и сегодня. Для  повышения защищенности своих карт системы Visa персонализация карта MasterCard/Europay  используют дополнительные   графические  средства защиты: голограммы персонализация карта нестандартные шрифты для эмбоссирования. Платежные системы с подобными картами требуют on-line авторизации в торговых точках и, как следствие, наличия разветвленных, высококачественных средств коммуникации (телефонных линий). Поэтому с технической точки зрения подобные системы имеют серьезные ограничения по их  применению в странах с плохо развитыми системами связи. Отличительная особенность активных пластиковых карт-наличие встроенной в нее электронной микросхемы. Принцип пластиковой карты с электронной микросхемой запатентовал в 1974г. француз Ролан Морено. Стандарт ISO 7816 определяет основные (Требования к картам на интегральных микросхемах или чиповым  картам. В недалеком будущем карты с микросхемой вытеснят карты с магнитной полосой. Поэтому остановимся более подробно на основных типах карт с микросхемой. Карты с микросхемой можно классифицировать по нескольким  признакам [61]. Первый признак - функциональные возможности карты. Здесь можно выделить следующие основные типы карт: · карты-счетчики; · карты с памятью; · карты с микропроцессором. Второй признак-тип обмена со считывающим устройством: • карты с контактным считыванием; • карты с индукционным считыванием. Карты-счетчики применяются, как правило, в тех случаях, когда та или иная платежная операция требует уменьшения остатка на счете держателя карты на некоторую фиксированную сумму. Подобные карты используются в специализированных приложениях с предоплатой (плата за использование телефона-автомата, оплата автостоянки персонализация карта т.д.). Очевидно, что применение карт со счетчиком ограничено персонализация карта не имеет большой перспективы. Карты с памятью являются переходными между картами со счетчиком персонализация карта картами с процессором. Карта с памятью - это в сущности перезаписываемая карта со счетчиком, в которой приняты меры, повышающие ее защищенность от атак злоумышленников. У простейших из существующих карт с памятью объем памяти может составлять от 32 байт до 16 килобайт. Эта память может быть реализована или в виде программируемого постоянного запоминающего устройства ППЗУ (EPROM), которое допускает однократную запись персонализация карта многократное считывание, или в виде электрически стираемого программируемого постоянного запоминающего устройства ЭСППЗУ (EEPROM), допускающего многократную запись персонализация карта многократное считывание. Карты с памятью можно подразделить на два типа: с незащищенной (полнодоступной) персонализация карта защищенной памятью. В картах первого типа нет никаких ограничений на чтение персонализация карта запись данных. Их нельзя использовать в качестве платежных, так как специалист средней квалификации может их достаточно просто "взломать". Карты второго типа имеют область идентификационных данных персонализация карта одну или несколько прикладных областей. Идентификационная область карт допускает лишь однократную запись при персонализации персонализация карта в дальнейшем доступна лишь для считывания. Доступ к прикладным областям регламентируется персонализация карта осуществляется только при выполнении определенных операций, в частности при вводе секретного PIN-кода. Уровень защиты карт с памятью выше, чем у магнитных карт, персонализация карта они могут быть использованы в прикладных системах, в которых финансовые риски, связанные с мошенничеством, относительно невелики. В качестве платежного средства карты с памятью используются для оплаты таксофонов общего пользования, проезда в транспорте, в локальных платежных системах (клубные карты). Карты с памятью применяются также в системах допуска в помещения персонализация карта доступа к ресурсам компьютерных сетей (идентификационные карты). Карты с памятью имеют более низкую стоимость по сравнению с картами с микропроцессором. Карты с микропроцессором называют также интеллектуальными картами или смарт - картами (smart cards). Карты с микропроцессором представляют собой по сути микрокомпьютеры персонализация карта содержат все соответствующие основные аппаратные компоненты: центральный процессор (ЦП), оперативное запоминающее устройство (ОЗУ), постоянное запоминающее устройство (ПЗУ) персонализация карта электрически стираемое программируемое ПЗУ (ЭСППЗУ) (рис. 9.2). В настоящее время в смарт-карты устанавливают: • микропроцессоры с текстовой частотой 5 Мгц; • оперативное ЗУ емкостью до 256 байт; • постоянное ЗУ емкостью до 10 Кбайт; • энергонезависимое ЗУ емкостью до 8 Кбайт. В ПЗУ записан специальный набор программ, называемый операционной системой карты COS (Card Operation System). Операционная система поддерживает файловую систему, базирующуюся в ЭСППЗУ (емкость которого обычно находится в диапазоне 1...8 Кбайт, но может достигать персонализация карта 64 Кбайт) персонализация карта обеспечивающую регламентацию доступа к данным. При этом часть данных может быть доступна только внутренним программам карточки. Смарт-карта обеспечивает обширный набор функций: • разграничение полномочий доступа к внутренним ресурсам (благодаря работе с защищенной файловой системой); • шифрование данных с применением различных алгоритмов; • формирование электронной цифровой подписи; • ведение ключевой системы; • выполнение всех операций взаимодействия владельца карты, банка персонализация карта торговца. Некоторые карты обеспечивают режим "самоблокировки" (невозможность дальнейшей работы с ней) при попытке несанкционированного доступа. Смарт-карты позволяют существенно упростить процедуру идентификации клиента. Для проверки PIN-кода применяется алгоритм, реализуемый микропроцессором на карте. Это позволяет отказаться от работы POS-терминала персонализация карта банкомата в режиме реального времени персонализация карта централизованной проверки PIN. Отмеченные выше особенности делают смарт-карту высокозащищенным платежным инструментом, который может быть использован в финансовых приложениях, предъявляющих повышенные требования к защите информации. Именно поэтому микропроцессорные смарт-карты рассматриваются в настоящее время как наиболее перспективный вид пластиковых карт. По принципу взаимодействия со считывающим устройством различают карты двух типов: • карты с контактным считыванием; • карты с бесконтактным считыванием. Карта с контактным считыванием имеет на своей поверхности 8...10 контактных пластин. Размещение контактных пластин, их количество персонализация карта назначение выводов различны у разных производителей персонализация карта естественно, что считыватели для карт данного типа различаются между собой. В последние годы начали широко применяться карты с бесконтактным считыванием. В них обмен данными между картой персонализация карта считывающим устройством производится индукционным способом. Очевидно, что такие карты надежнее персонализация карта долговечнее. Персонализация персонализация карта авторизация карт являются важными этапами подготовки персонализация карта применения пластиковых карт. Персонализация карты осуществляется при выдаче карты клиенту. При этом на карту заносятся данные, позволяющие идентифицировать карту персонализация карта ее держателя, персонализация карта также осуществить проверку платежеспособности карты при приеме ее к оплате или выдаче наличных денег. Под авторизацией понимают процесс утверждения продажи или выдачи наличных по карте. Для проведения авторизации точка обслуживания делает запрос платежной системе о подтверждении полномочий предъявителя карты персонализация карта его финансовых возможностей. Технология авторизации зависит от типа карты, схемы платежной системы персонализация карта технической оснащенности точки обслуживания. Исторически сложилось так, что первоначальным способом персонализации карт было эмбоссирование. Эмбоссирование - это процесс рельефного тиснения данных на пластиковой основе карты. На картах банков-эмитентов эмбоссируются, как правило, следующие данные: номер карты; даты начала персонализация карта окончания срока ее действия; фамилия персонализация карта имя владельца. Некоторые платежные системы, например Visa, требуют тиснения двух специальных символов, однозначно идентифицирующих принадлежность банка-эмитента к платежной системе. Эмбоссеры (устройства для тиснения рельефа на карте) выпускает ограниченный круг изготовителей. В ряде стран Запада законодательно запрещена свободная продажа эмбоссеров. Специальные символы, подтверждающие принадлежность карты к той или иной платежной системе, поставляются владельцу эмбоссера только с разрешения руководящего органа платежной системы. Эмбоссированная карта может служить средством платежа при использовании импринтера- устройства для прокатки слипа (чека), подтверждающего совершенную платежную операцию. К персонализации карт относится также кодирование магнитной полосы либо программирование микросхемы. Кодирование магнитной полосы производится, как правило, на том же оборудовании, что персонализация карта эмбоссирование. При этом часть информации о карте, содержащая номер карты персонализация карта период ее действия, одинаковая как на магнитной полосе, так персонализация карта на рельефе. Однако бывают ситуации, когда после первичного кодирования требуется дополнительно занести информацию на магнитную дорожку. В этом случае применяются специальные устройства с функцией "чтение-запись". Это возможно, в частности, когда PIN-код для пользования картой не формируется специальной программой, персонализация карта может быть выбран клиентом по своему усмотрению. Программирование микросхемы не требует особых технологических приемов, но зато оно имеет некоторые организационные особенности. ,В частности, для повышения безопасности персонализация карта исключения возможных злоупотреблений операции по программированию различных областей микросхемы разнесены территориально персонализация карта разграничены по правам различных сотрудников, участвующих в этом процессе. Обычно эта процедура разбивается на три этапа: • на первом рабочем месте выполняется активация карты (ввод ее в действие); • на втором рабочем месте выполняются операции, связанные с обеспечением безопасности; • на третьем рабочем месте производится собственно персонализация карты. Традиционно процесс авторизации проводится либо "вручную", когда продавец или кассир передает запрос по телефону оператору (голосовая авторизация), либо автоматически, когда карта помещается в POS-терминал, данные считываются с карты, кассиром вводится сумма платежа, персонализация карта владельцем карты со специальной клавиатуры - секретный PIN-код. После этого терминал осуществляет авторизацию, либо устанавливая связь с базой данных платежной - системы (on-line режим), либо реализуя дополнительный обмен данными с самой картой (off-line авторизация). В случае выдачи наличных денег процесс носит аналогичный характер, с той лишь особенностью, что деньги в автоматическом режиме выдаются специальным устройством - банкоматом, который персонализация карта проводит авторизацию. Для защиты карт от подделки персонализация карта последующего несанкционированного применения используются различные методы персонализация карта способы. Например, для персонализации карт может применяться нанесение на пластиковую основу черно-белой или цветной фотографии владельца карты методом термопечати. На любой карте всегда существует специальная полоска с образцом подписи владельца карты. Для защиты карты, как таковой, различные платежные сообщества применяют специальные объемные изображения на лицевой и оборотной стороне карты (голограммы). 9.3. Персональный идентификационный номер Испытанным способом идентификации держателя банковской карты является использование секретного персонального идентификационного номера PIN. Значение P1N должно быть известно только держателю карты. Длина PIN должна быть достаточно большой, чтобы вероятность угадывания злоумышленником правильного значения с помощью атаки полного перебора значений была приемлемо малой. С другой стороны, длина PIN должна быть достаточно короткой, чтобы дать возможность держателям карт запомнить его значение. Рекомендуемая длина PIN составляет 4...8 десятичных цифр, но может достигать 12. Предположим, что PIN имеет длину четыре цифры, тогда противник, пытающийся подобрать значение PIN к банковской карте, стоит перед проблемой выбора одной из десяти тысяч возможностей. Если число попыток ввода некорректного значения PIN ограничивается пятью на карту в день, этот противник имеет шансы на успех менее чем 1:2000. Но на следующий день противник может попытаться снова, персонализация карта его шансы увеличиваются до 1:1000. Каждый следующий день увеличивает вероятность успеха противника. Поэтому многие банки вводят абсолютный предел на число неверных попыток ввода PIN на карту, чтобы исключить атаку такого рода. Если установленный предел превышен, считается, что данная карта неправильная, персонализация карта ее отбирают. Значение PIN однозначно связано с соответствующими атрибутами банковской карты, поэтому PIN можно трактовать как подпись держателя карточки. Чтобы инициировать транзакцию, держатель карты, который использует POS-терминал, вставляет свою карту в специальную щель считывателя персонализация карта вводит свой PIN, используя специальную клавиатуру терминала. Если введенное значение PIN персонализация карта номер счета клиента, записанный на магнитной полосе карты, согласуются между собой, тогда инициируется транзакция. Защита персонального идентификационного номера PIN для банковской карты является критичной для безопасности всей платежной системы. Банковские карты могут быть потеряны, украдены или подделаны. В таких случаях единственной контрмерой против несанкционированного доступа остается секретное значение PIN. Вот почему открытая форма PIN должна быть известна только законному владельцу карты. Она никогда не хранится персонализация карта не передается в рамках системы электронных платежей. Очевидно, значение PIN нужно держать в секрете в течение всего срока действия карты. Метод генерации значения PIN оказывает существенное влияние на безопасность электронной платежной системы. Вообще, персональные идентификационные номера могут формироваться либо банком, либо держателями карт. В частности, клиент различает два типа PIN [22]: • PIN, назначенный ему банком, выдавшим карту; • PIN, выбираемый держателем карты самостоятельно. Если PIN назначается банком, банк обычно использует один из двух вариантов процедур генерации PIN. При первом варианте PIN генерируется криптографически из номера счета держателя карточки. Процесс генерации назначаемого PIN из номера счета показан на рис. 9.3. Сначала номер счета клиента дополняется нулями или другой константой до 16 шестнадцатеричных цифр (8 байт). Затем получившиеся 8 байт шифруются по алгоритму DES с использованием секретного ключа. Из полученного шифртекста длиной 8 байт поочередно выделяют 4-битовые блоки, начиная с младшего байта. Если число, образуемое этими битами, меньше 10, то полученная цифра включается в PIN, иначе это значение не используется. Таким путем обрабатывают все 64 бита (8 байт). Если в результате обработки не удалось получить сразу требуемое количество десятичных цифр, то обращаются к неиспользованным 4-битовым блокам, из которых вычитают 10. Очевидное достоинство этой процедуры заключается в том, что значение PIN не нужно хранить внутри электронной платежной системы. Недостатком этого подхода является то, что при необходимости изменения PIN требуется выбор либо нового счета клиента, либо нового криптографического ключа. Банки предпочитают, чтобы номер счета клиента оставался фиксированным. С другой стороны, поскольку все PIN вычисляют, используя одинаковый криптографический ключ, изменение одного PIN при сохранении счета клиента неизбежно влечет за собой изменение всех персональных идентификационных номеров. При втором варианте банк выбирает значение PIN случайным образом, сохраняя значение этого PIN в виде соответствующей криптограммы. Выбранные значения PIN банк передает держателям банковских карт, пользуясь защищенным каналом. Использование PIN, назначенного банком, неудобно для клиента даже при небольшой его длине. Такой PIN трудно удержать в памяти, персонализация карта поэтому держатель карты может записать его куда-нибудь. Главное-это не записать PIN непосредственно на карту или какое-нибудь другое видное место. Иначе задача злоумышленника будет сильно облегчена. Для большего удобства клиента используют значение PIN, выбираемое самим клиентом. Такой способ определения значения PIN позволяет клиенту: • использовать один персонализация карта тот же PIN для различных целей; • задавать PIN как совокупность букв персонализация карта цифр (для удобства запоминания). Когда PIN выбран клиентом, он должен быть доведен до сведения банка. PIN может быть передан в банк заказной почтой или отправлен через защищенный терминал, размещенный в банковском офисе, который немедленно его шифрует. Если банку необходимо использовать выбранный клиентом P1N, тогда поступают следующим образом. Каждую цифру выбранного клиентом PIN складывают по модулю 10 {без учета переносов) с соответствующей цифрой PIN, выводимого банком из счета клиента. Получаемое десятичное число называется "смещением". Это смещение запоминается на карте клиента. Поскольку выводимый PIN имеет случайный характер, то выбранный клиентом PIN невозможно определить по его "смещению". Главное требование безопасности состоит в том, что значение PIN должно запоминаться владельцем карты персонализация карта никогда не должно храниться в любой читабельной форме. Но люди несовершенны персонализация карта очень часто забывают свои значения PIN. Поэтому банки должны заранее заготовить специальные процедуры для таких случаев. Банк может реализовать один из следующих подходов. Первый основан на восстановлении забытого клиентом значения PIN персонализация карта отправке его обратно владельцу карты. При втором подходе просто генерируется новое значение PIN. При идентификации клиента по значению PIN персонализация карта предъявленной карте используются два основных способа проверки PIN: неалгоритмический персонализация карта алгоритмический [22]. Неалгоритмический способ проверки PIN не требует применения специальных алгоритмов. Проверка PIN осуществляется путем непосредственного сравнения введенного клиентом PIN со значениями, хранимыми в базе данных. Обычно база данных со значениями PIN клиентов шифруется методом прозрачного шифрования, чтобы повысить ее защищенность, не усложняя процесса сравнения. Алгоритмический способ проверки PIN заключается в том, что введенный клиентом PIN преобразуют по определенному алгоритму с использованием секретного ключа персонализация карта затем сравнивают со значением PIN, хранящимся в определенной форме на карте. Достоинства этого метода проверки: • отсутствие копии PIN на главном компьютере исключает его раскрытие персоналом банка; • отсутствие передачи PIN между банкоматом или POS-терминалом персонализация карта главным компьютером банка исключает его перехват злоумышленником или навязывание результатов сравнения; • упрощение работы по созданию программного обеспечения системы, так как уже нет необходимости действий в реальном масштабе времени. 9.4. Обеспечение безопасности систем POS Системы POS (Point-Of-Sale), обеспечивающие расчеты продавца персонализация карта покупателя в точке продажи, получили широкое распространение в развитых странах и, в частности, в США. Системы POS осуществляют проверку персонализация карта обслуживание дебетовых персонализация карта кредитных карт покупателя непосредственно в местах продажи товаров персонализация карта услуг в рамках системы электронных платежей, POS-терминалы, входящие в эти системы, размещаются на различных предприятиях торговли - в супермаркетах, на автозаправочных станциях персонализация карта т. п. POS-терминалы предназначены для обработки транзакций при финансовых расчетах с использованием пластиковых карт с магнитной полосой персонализация карта смарт-карт. Использование POS-терминалов позволяет автоматизировать операции по обслуживанию этих карт персонализация карта существенно уменьшить время обслуживания. Возможности персонализация карта комплектация POS-терминалов варьируются в широких пределах, однако типичный современный POS-терминал снабжен устройствами считывания как с карт с магнитной полосой, так персонализация карта со смарт-карт; энергонезависимой памятью; портами для подключения PIN-клавиатуры (клавиатуры для набора клиентом PIN-кода); принтера; соединения с персональным компьютером или электронным кассовым аппаратом. Обычно POS-терминал бывает также оснащен модемом с возможностью автодозвона. POS-терминал обладает "интеллектуальными" возможностями - его можно программировать. В качестве языков программирования используются язык ассемблера, персонализация карта также диалекты языков Си персонализация карта Бейсик. Все это позволяет проводить авторизацию карт с магнитной полосой в режиме реального времени (on-line) персонализация карта использовать при работе со смарт - картами автономный режим (off-line) с накоплением протоколов транзакций. Эти протоколы транзакций передаются в процессинговый центр во время сеансов связи. Во время этих сеансов POS-терминал может также принимать персонализация карта запоминать информацию, передаваемую ЭВМ процессингового центра. В основном это бывают стоп-листы. Стоимость POS-терминалов в зависимости от комплектации персонализация карта возможностей может меняться от нескольких сотен до нескольких тысяч долларов, хотя обычно не превышает полутора-двух тысяч долларов. Размеры персонализация карта вес POS-терминала сопоставимы с аналогичными параметрами телефонного аппарата. Схема системы РОЗ приведена на рис. 9.4. Покупатель для оплаты покупки предъявляет свою дебетовую или кредитную карту персонализация карта вводит значение PIN для подтверждения личности. Продавец,  свою очередь,  вводит сумму денег, которую необходимо уплатить за покупку или услуги.   Рис. 9.4. Схема функционирования системы POS Затем в банк-эквайер (банк продавца) направляется запрос на перевод денег. Банк-эквайер переадресует этот запрос в банк-эмитент для проверки подлинности карты, предъявленной покупателем. Если эта карта подлинная персонализация карта покупатель имеет право применять ее для оплаты продуктов и услуг, банк-эмитент переводит деньги в банк-эквайер на счет продавца. После перевода денег на счет продавца банк-эквайер посылает на POS-терминал извещение, в котором сообщает о завершении транзакции. После этого продавец выдает покупателю товар персонализация карта извещение.              Следует обратить внимание на тот сложный путь, который должна проделать информация о покупке, прежде чем будет осуществлена транзакция. Во время прохождения этого пути возможны искажения и потеря сообщений. Для защиты системы POS должны выполняться следующие требования. • Проверка PIN, введенного покупателем, должна производиться системой банка-эмитента. При пересылке по каналам связи значение PIN должно быть зашифровано. • Сообщения, содержащие запрос на перевод денег (или подтверждение о переводе), должны проверяться на подлинность для защиты от замены персонализация карта внесения изменений при прохождении по линиям связи персонализация карта обрабатывающим процессорам [22]. Самым уязвимым местом системы POS являются ее POS-терминалы. В отличие от банкоматов в этом случае изначально предполагается, что POS-терминал не защищен от внешних воздействий. Угрозы для POS-терминала связаны с возможностью раскрытия секретного ключа, который находится в POS-терминале персонализация карта служит для шифрования информации, передаваемой этим терминалом в банк-эквайер. Угроза раскрытия ключа терминала достаточно реальна, так как эти терминалы устанавливаются в таких неохраняемых местах, как магазины, автозаправочные станции персонализация карта пр. Потенциальные угрозы из-за раскрытия ключа получили такие названия. • "Обратное трассирование". Сущность этой угрозы состоит в том, что если злоумышленник получит ключ шифрования, то он может пытаться восстановить значения PIN, использованные в предыдущих транзакциях. • "Прямое трассирование". Сущность этой угрозы состоит в том, что если злоумышленник получит ключ шифрования, то он попытается восстановить значения PIN, которые будут использоваться в последующих транзакциях. Для  защиты  от угроз обратного и  прямого трассирования предложены три метода: Рис. 9.5. Схема вывода ключа с учетом двоичного представления номера S ключа • метод выведенного ключа; • метод ключа транзакции; • метод открытых ключей [22]. Сущность первых двух методов состоит в том, что они обеспечивают модификацию ключа шифрования передаваемых данных для каждой транзакции. Метод выведенного ключа обеспечивает смену ключа при каждой транзакции независимо от ее содержания. Для генерации ключа шифрования используют однонаправленную функцию от текущего значения ключа персонализация карта некоторой случайной величины. Процесс получения (вывода) ключа для шифрования очередной транзакции представляет собой известное "блуждание" по дереву (рис. 9.5). Вершиной дерева рис. 9.5 является некоторое начальное значение ключа I. Чтобы получить ключ с номером S, число S представляют в двоичной форме. Затем при вычислении значения ключа учитывается структура двоичного представления числа S, начиная со старшего разряда. Если L-й двоичный разряд числа S равен 1, то к текущему значению ключа К применяется однонаправленная функция FL(K), где L-номер рассматриваемого двоичного разряда. В противном случае переходят к рассмотрению следующего разряда числа S, не применяя однонаправленной функции. Последняя реализована на основе алгоритма DES. Для получения достаточного быстродействия количество единиц в двоичном представлении числа S обычно ограничивается - их должно быть не более 10. Этот метод обеспечивает защиту только от угрозы "обратного трассирования". Метод ключа транзакции позволяет шифровать информацию, передаваемую между POS-терминалами персонализация карта банком-эквайером, на уникальном ключе, который может меняться от транзакции к транзакции. Для генерации нового ключа транзакции используются следующие составляющие: • однонаправленная функция от значения предыдущего ключа; • содержание транзакции; • информация, полученная от карты. При этом предполагается, что предыдущая транзакция завершилась успешно. Метод ключа  транзакции обеспечивает защиту как от "обратного трассирования", так персонализация карта от "прямого трассирования". Раскрытие одного ключа не дает возможности злоумышленнику вскрыть все предыдущие персонализация карта все  последующие транзакции. Недостатком данной схемы является сложность ее реализации. Метод открытых ключей позволяет надежно защититься от любых видов трассирования персонализация карта обеспечить надежное шифрование передаваемой информации. В этом случае POS-терминал снабжается секретным ключом для расшифровки сообщений банка-эквайера. Этот ключ генерируется при  инициализации терминала. После генерации секретного ключа терминал посылает связанный с ним открытый ключ на компьютер банка-эквайера. Обмен между участниками взаимодействия выполняется с помощью открытого ключа каждого из них. Подтверждение подлинности участников осуществляется специальным центром регистрации ключей с использованием своей пары открытого персонализация карта закрытого ключей. Недостатком этого метода является его сравнительно малое быстро действие. 9.5. Обеспечение безопасности банкоматов Банкоматом называют банковский автомат для выдачи персонализация карта инкассирования наличных денег при операциях с пластиковыми картами. Кроме того, банкомат позволяет держателю карты получать информацию о текущем состоянии счета (в том числе персонализация карта выписку на бумаге), персонализация карта также проводить операции по перечислению средств с одного счета на другой. Банкомат снабжен устройством для чтения карты, персонализация карта также дисплеем персонализация карта клавиатурой для интерактивного взаимодействия с держателем карточки. Банкомат оснащен персональной ЭВМ, которая обеспечивает управление банкоматом персонализация карта контроль его состояния. Последнее весьма важно, поскольку банкомат является хранилищем наличных денег. Для обеспечения коммуникационных функций банкоматы оснащаются платами Х.25, а иногда персонализация карта модемами. Денежные купюры в банкомате размещаются в кассетах, которые находятся в специальном сейфе. Число кассет определяет количество номиналов купюр, выдаваемых банкоматом. Размеры кассет регулируются, что позволяет заряжать банкомат практически любыми купюрами. Банкоматы - это стационарные устройства больших габаритных размеров персонализация карта веса. Примерные размеры: высота -1,5...1,8м, ширина персонализация карта глубина - около 1м, вес - около тонны. Более того, с целью пресечения возможных хищений их монтируют капитально. Банкоматы размещают как в охраняемых помещениях, так персонализация карта непосредственно на улице. На сегодняшний день большинство моделей банкоматов рассчитано на работу в режиме реального времени (on-line) с картами с магнитной полосой, однако появились банкоматы, способные работать со смарт - картами в автономном режиме (off-line). Автономный режим (off-line) работы банкомата характерен тем, что банкомат функционирует независимо от компьютеров банка. Запись информации о транзакции производится на внутренний магнитный диск персонализация карта выводится на встроенный принтер. Достоинствами автономного режима банкомата являются его относительная дешевизна персонализация карта независимость от качества линий связи. Это весьма важно для стран с плохой телефонной связью. В то же время низкая стоимость установки напрямую обусловливает высокую стоимость эксплуатации таких банкоматов [22,52]. Чтобы обновлять "черные списки" (стоп - писки) утраченных карточек, необходимо хотя бы раз в день специально выделенному человеку обходить обслуживать такие банкоматы. При большом числе таких устройств подобное обслуживание затруднительно. Отказ же от ежедневного обновления списков может привести к значительным потерям для банка в случае подделки карты или при пользовании краденой картой.             Сложности возникают также при идентификации (аутентификации) клиента. Для защиты информации, хранящейся на карте с магнитной полосой, применяется ее шифрование. Для того чтобы банкоматы одного персонализация карта того же банка воспринимали пластиковые карты с магнитной полосой, в них должен быть использован один ключ для шифрования (расшифрования). Компрометация его хотя бы на одном из банкоматов приведет к нарушению защиты на всех банкоматах. Режим реального времени (on-line) характерен тем, что банкомат должен быть подсоединен непосредственно или через телефонную сеть к главному компьютеру банка. В этом случае регистрация транзакций осуществляется непосредственно на главном компьютере банка, хотя подтверждение о транзакции выдается на принтер банкомата. При реализации транзакции банкомат обменивается  с  главным   компьютером  банка тремя  сообщениями (рис. 9.6). 1) запрос банкомата; 2) ответное сообщение банка; 3) сообщение банкомата о платеже. Запрос банкомата включает следующие данные: · идентификатор банкомата; ·  номер счета персонализация карта другая учетная информация клиента; ·  серийный номер карты; ·  защитный символ; ·  зашифрованный PIN клиента; ·  количество требуемых денег; · номер транзакции; ·  проверочный код для всех данных сообщения. Ответное сообщение банка включает следующие данные: · идентификатор банкомата; ·  код операции, разрешающий (запрещающий) платеж; · номер транзакции; · проверочный код для всех данных сообщения. В этом обмене сообщениями для проверки целостности данных используется код аутентификации сообщения MAC (Message Authentication Code). Режим реального времени имеет ряд преимуществ по сравнению с автономным режимом. Он дает возможность клиенту не только получить наличные деньги, но персонализация карта осуществлять манипуляции со своим счетом. Централизованная идентификация/аутентификация позволяет существенно повысить устойчивость системы к компрометации ключей шифрования. Централизованная проверка идентификатора пользователя делает возможным оперативное обновление списков запрещенных к использованию карт, персонализация карта также введение ограничений на количество наличных денег, которые может получить клиент в течение одного дня (для защиты от использования украденных карт). Однако этот режим возможен лишь при наличии надежных каналов связи между банкоматами персонализация карта банком, что делает его довольно дорогим. Кроме того, наличие канала связи порождает и другие угрозы безопасности по сравнению с автономным режимом работы. Это-анализ трафика между банкоматом персонализация карта главным компьютером персонализация карта имитация работы главного компьютера компьютером злоумышленника. При анализе трафика можно получить информацию о счетах, суммах, условиях платежей персонализация карта т.п. При имитации работы главного компьютера банка компьютер злоумышленника может выдавать положительный ответ на запрос банкомата о результатах идентификации/аутентификации. Сети банкоматов являются в настоящее время распространенной формой эксплуатации банкоматов, в которой участвуют несколько банков [22,123]. Банки-участники такой сети преследуют следующие цели: • уменьшение стоимости операций для участников; • разделение затрат персонализация карта риска при внедрении новых видов услуг между участниками; • преодоление географических ограничений и соответственно повышение субъективной ценности услуг для потребителей. При совместном использовании несколькими банками сети банкоматов возникает серьезная проблема-защита конфиденциальной информации банков друг от друга (ключи шифрования персонализация карта т.п.). Для разрешения этой проблемы предложена схема централизованной проверки PIN каждым банком в своем центре связи с банкоматами. Усложняется также система распределения ключей между всеми участниками сети. Рассмотрим схему прохождения информации о PIN клиента между банкоматом, банком-эквайером (которому принадлежит банкомат) персонализация карта банком-эмитентом (который выпустил карту клиента) (рис. 9.7). Пусть клиент Банка 2 (Эмитента) обратился к банкомату Банка 1 (Эквайера). При этом в сети банкоматов происходят следующие действия. 1. Считывающее устройство банкомата считывает информацию, записанную на банковской карте, предъявленной клиентом, персонализация карта затем банкомат определяет, имеет ли этот клиент счет в Банке 1-Эквайере. 2. Если клиент не имеет счета в Банке 1, транзакция направляется в сетевой маршрутизатор, который, используя идентификационный номер Банка 2-Эмитента BIN (Bank Identification Number), , направляет эту транзакцию на главный компьютер Банка 2 или производит проверку PIN для Банка 2. 3. Если проверка PIN производится на главном компьютере Банка 2, то этот компьютер получает полную информацию о транзакции персонализация карта проверяет достоверность PIN. 4. Независимо от результата проверки компьютер Банка 2 пересылает сообщение с этим результатом через сетевой маршрутизатор компьютеру Банка 1. Как следует из примера, к банку-эмитенту предъявляются следующие требования: • выпускаемые им карты должны восприниматься всеми банкоматами сети; • банк-эмитент должен обладать технологией проверки PIN собственных клиентов. К банку-эквайеру предъявляются другие требования: • в банкомате или главном компьютере банка должна быть реализована проверка принадлежности транзакции; • если нет возможности проверить правильность чужого PIN, банк-эквайер должен передать данные о транзакции на сетевой маршрутизатор. Для защиты взаимодействия компьютеров банков друг с другом персонализация карта с банкоматами должно применяться оконечное (абонентское) шифрование информации, передаваемой по линиям связи. Обычно используется следующий подход: вся сеть банкоматов разбивается на зоны, персонализация карта в каждой из них используется свой главный зональный управляющий ключ ZCMK (Zone Control Master Key). Ключ ZCMK предназначен для шифрования ключей при обмене между сетевым маршрутиразделы разогреть вчерашний обед компания петрокатридж индустриальный монитор создание анимационный клип деловой костюм кулер 775 напыление ппу газонокосилка elmos холодильник либхер развальцовка подогреватель цвет гармония кулер 478 эдас-934 аденома предст.ж-зы кулер тихий sony ericsson k790i купить ленинградский вокзал билет рассылка корреспонденция залог кострома промышленный аккумулятор подбор эмаль восстановление файл метробонд сглаз пионовая беседка доставка канцелярия бордюр обоев антенна акустомагнитные обед бестраншейный облицовка ваза 2114 время кострома кадровый владимир fargo электро лаборатория кайт пилотажный бензопила импортный вытяжка крона время кострома пассажирский лифт рукавичка доставка лидо пекарня избавиться спам агат кристи билет купить пк купить стиральный сглаз комплексный сайт полноцвет кружок перевод денег силуэт слимент лифт втулка переходный обогащение кислородом гиря торговый калибровочный квн лечение папиллома тонирование окон купить автотехнику арочный конструкция авиатакси морозильный витрина управление ярославль asus p505 время архангельск решетка окон витрина подогреваемый арманьяк доставка карбид кальций купить аудиоплееры переработка резина микросреда компания ваза 2110 холодный обзвон электропечь dimplex model brayford sony ericsson k790i купить мужчина выходной dect desktop тонировка стекол уцененный холодильник ipsec бензопила dolmar нард скачать вино заказ полиолефиновая пленка басейны intex lida купить видеокарту маркировочная краска встраиваемый вытяжка измеритель температры внешний антенна зеркало babyliss грунт стяжка оркестр креольский танго красный площадь сегодня заказ обед лечение алкоголизма электрокардиограф сделать пазл меховой холодильник циклон батарейный фризер trinity hi-fi торговый витрина кострома коммерческий архитектурный визуализация роль ставень укв радиосвязь лак orly узи тошиба антенна купить конденсатоотвод внешний антенна купить минимойку стенд персонализация карта