Защита систем дистанционного банковского обслуживания (ДБО)

Невозможно представить сегодня современный банк без услуг дистанционного обслуживания как розничных, так и корпоративных клиентов по самым разнообразным каналам. 

Это может быть классический интернет-банк, телефонный банк (call-центр), мобильный банк. Услуги дистанционного банковского обслуживания  востребованы и популярны, они существенно упрощают жизнь клиентов банка, одновременно снижая затраты банка на транзакционную деятельность, освобождая персонал отделений и ресурсы банка для проведения таких операций, которые трудно провести без непосредственного присутствия клиента, например, автокредитование, ипотечное кредитование  и подобные операции. К сожалению,  системы дистанционного банковского обслуживания (ДБО) стали излюбленным местом атак  для различного рода мошенников, которые используют уязвимости в системах аутентификации, применяемых в системах ДБО. 

Применяются весьма изощренные схемы незаконного получения аутентификационных данных и искажения легитимных транзакций для воровства денег с банковских счетов клиентов: 

  • фишинг; 
  • подставные сайты; 
  • специально разработанные вирусы, трояны, кейлоггеры и т.д.; 
  • постоянно совершенствуются схемы атак «man-in-the-middle» (MITM),  «man-in-the-browser» (MITB); 
  • используются методы социальной инженерии; 
  • существуют угрозы и для серверной части (инсайд, коммерческий подкуп, шантаж).

Использование статического пароля  стало просто опасным. Требуемую защиту сегодня могут обеспечить только решения, поддерживающие строгие механизмы многофакторной аутентификации.

Способы аутентификации пользователей и обеспечения безопасности транзакций:

  • одноразовые пароли на основе времени/события;
  • одноразовые пароли на основе механизма «запрос – ответ»;
  • различные механизмы подписи транзакции на базе симметричных криптографических механизмов (например,  технологии EMV-CAP, OATH, проприетарных  механизмов);
  • механизмы на основе несимметричных алгоритмов (PKI);
  • специфические механизмы привязки к мобильным устройствам;
  • биометрия.

Выбор аутентификационного решения определяется тремя ключевыми факторами: требованием к защищенности системы, удобством использования и общей стоимостью владения.

При этом всегда следует помнить:

  • степень потенциальной угрозы зависит от функциональных возможностей системы и объема обращающихся в ней средств;
  • защита должна быть адекватна угрозе и одинаково надежна в каждой точке.

Решение

Сегодня на российском рынке представлен ряд продуктов, позволяющих с различной степенью успеха добавлять один-два механизма аутентификации в решение для систем ДБО и электронной коммерции. Компания CSM предлагает универсальное решение по многофакторной аутентификации для систем дистанционного банковского обслуживания «Аутентификационный центр».  Решение может быть создано с использованием сервера аутентификации ведущих поставщиков – Gemalto, VASCO Data Security, Thales e-Security.

«Аутентификационный центр» надежно решает вопросы аутентификации, контроля целостности информации и обеспечения безотзывности операций для любых типов аутентификационных устройств и множества различных приложений.

Решение «Аутентификационный центр» обеспечивает:

  • реализацию разнообразных механизмов строгой многофакторной аутентификации;
  • контроль целостности транзакций/информации;
  • ведение аудит-журналов для юридического подтверждения операций.

Взаимодействие клиента с защищаемым ресурсом происходит в такой последовательности:

1. Пользователь вводит аутентификационные данные и отправляет запрос на доступ к своей странице интернет-банка.
2. Фронтальное приложение (ФП) перехватывает запрос и передает аутентификационную информацию на проверку серверу аутентификации SafeSign.
3. Сервер SafeSign выполняет проверку подлинности аутентификационной информации и передает результаты проверки приложению. Проверка осуществляется с использованием аппаратного криптографического модуля SafeSign Crypto Module.
4. В случае успешного прохождения процедуры аутентификации пользователь получает доступ к своей странице в интернет-банке.

Свойства

Аппаратная безопасность

В решении «Аутентификационный центр» реализованы меры, полностью исключающие мошенничество, в том числе, со стороны сотрудников, обслуживающих систему:

  • все криптографические преобразования и операции выполняются внутри аппаратного криптографического модуля, сертифицированного в соответствии с жесткими требованиями стандарта FIPS 140-2 Level 3;
  • критически важные внутренние операции сервера аутентификации и взаимодействие с внешними приложениями защищены криптографическими механизмами;
  • выполняемые операции протоколируются для целей аудита, а целостность каждой записи журнала контролируется криптографическими средствами.

Юридическая достоверность, аудит операций

Решение ведет юридически значимый взломоустойчивый аудит-лог, содержащий записи всех аутентификаций, верификаций подписей и проверки MAC-кодов.
Кроме того, решение прослеживает историю транзакции, что позволяет:

  • убедиться в завершенности транзакции;
  • знать, кто провел транзакцию;
  • убедиться в том, что данные по транзакции не были изменены.

Широкая гамма токенов и механизмов аутентификации

Решение поддерживает разнообразные механизмы аутентификации и токены большинства мировых производителей. Это позволяет подобрать свои механизмы аутентификации для разных пользователей и приложений на основе анализа имеющихся для них рисков и предпочтений.

Поддерживаемые технологии:

  • автономные аппаратные токены (токены OATH,  VASCO,  ActivIdentity, Aladdin);
  • автономные и подключаемые кардридеры EMV/CAP/PLA;
  • PKI-карты, цифровые сертификаты или USB-токены;
  • аутентификация с использованием мобильного телефона (эмуляторы аппаратных токенов, SMS-аутентификация).
Простая интеграция «Аутентификационный центр» легко интегрируется с внутренними системами банка.

«Аутентификационный центр» легко интегрируется с решениями полного цикла банковского обслуживания клиентов. Гибкость и легкость встраивания вызовов сервера достигается исчерпывающим набором API:

  • Java RMI, JNDI или JavaBean интерфейс;
  • Web Services XML или SOAP с поддержкой для Web Services Security (WS-S);
  • Microsoft.NET интерфейс.

Встроенные инструменты управления и мониторинга сервера SSAS прозрачно интегрируются с общеизвестными продуктами IBM Tivoli и HP OpenView для обеспечения централизованного контроля и управления ИТ-инфраструктурой.

Масштабируемость и высокая надежность

Решение хорошо масштабируется и легко адаптируется к меняющимся потребностям бизнеса.

Различные варианты комплектации «Аутентификационного центра» позволяют использовать это решение для аутентификации как в небольших проектах, так и в проектах масштаба страны и континента (например, единая система Европейских электронных платежей, или объединенная система банковского обслуживания Швеции). 

Серверная архитектура спроектирована с учетом высоких требований по надежности, включающих аппаратную и программную балансировку нагрузки и отказоустойчивую кластеризацию.