Структура та захист інформаційних потоків в платіжних системах банківських автоматів обслуговування пластикових платіжних карт

Моделювання ефективності комплексної системи захисту автоматизованих інформаційних ресурсів комерційного банку
Банківська таємниця (стаття 60) Планування захисту і керування системою захисту Довірче і адміністративне керування доступом Послуги безпеки Концепція диспетчера доступу Технологічні засоби безпеки в СЕП Основою криптографічного захисту є ключова інформація та ключі Вимоги до ПЦ НСМЕП Характеристика обчислювальної системи Характеристика діяльності АТЗТ “АК ПРОМІНВЕСТБАНК” за 2004 – 2009 роки Стисла структура АТЗТ «АК Промінвестбанк» та загроз виконання функціональних задач в АБС банку Внутрішні платіжні картки Промінвестбанку Структура та захист інформаційних потоків в центральній автоматизованій системі «Операційний день банку» Структура та захист інформаційних потоків в внутрішньобанківській міжфілійній платіжній системі Принципи побудови криптографічного захисту інформації Структура та захист інформаційних потоків в платіжних системах банківських автоматів обслуговування пластикових платіжних карт Системні ключі є єдиними ключами для всієї емітентної ВСКП «ПРОМІНВЕСТ» Шостий рівень (600) матриці контролю КСЗІ банку - «Впровадження та експлуатація вибраних засобів та технологій захисту інформації» Пропозиції по впровадженню програмного продукту «Модель системної інтеграції модулів захисту інформації в АБС банку» Рівень - 2.КЦД.3 = { КД-2, КА-2, КО-1, КК-1, ЦД-1, ЦА-3, ЦО-2, ДР-2, ДС-1, ДЗ-1, ДВ-2, НР-3, НИ-2, НК-1, НО-2, НЦ-3, НТ-2 } Рівень - 2.КЦД.3 = { КД-2, КА-2, КО-1, КК-1, ЦД-1, ЦА-3, ЦО-2, ДР-2, ДС-1, ДЗ-1, ДВ-2, НР-3, НИ-2, НК-1, НО-2, НЦ-3, НТ-2 }
367716
знаков
10
таблиц
48
изображений

2.6 Структура та захист інформаційних потоків в платіжних системах банківських автоматів обслуговування пластикових платіжних карт


Пластикова картка — це загальний термін, яким називають всі види карток, які можуть відрізнятись технічними можливостями, призначенням та видами наданих ними послуг. Пластикові картки набули широкого застосування в банківських системах. Пластикова картка — це ключ клієнта для отримання електронних банківських послуг. З точки зору банку — це можливість персоніфікувати картку і таким чином ідентифікувати клієнта і визначити, які послуги може надати йому банк.

Розпізнання картки чи її персоналізація виконуються за допомогою PIN-коду (персонального ідентифікаційного коду). PIN-код відповідно до стандартів ISO вміщує від 4 до 6 символів, іноді до 12 символів. Цей код призначається клієнту під час придбання ним картки і служить засобом безпеки і захисту інформації від несанкціонованого доступу в тих випадках, якщо картка загублена чи викрадена у клієнта. Тобто, перш ніж дати згоду на обслуговування, система спочатку розпізнає PIN-код клієнта і проводить ідентифікацію клієнта. Процес ідентифікації клієнта з використанням PIN-коду називається авторизацією платежу. При авторизації платежу виконується не лише ідентифікація клієнта, а й перевірка наявності відповідної суми на рахунку клієнта в банку та перевірка по стоп-файлу. Стоп-файл — це файл, до якого заноситься інформація про втрачені чи викрадені картки, згідно із заявами їхніх власників.

Існує два способи перевірки PIN-коду: алгоритмічний та неалгоритмічний. Суть алгоритмічного способу перевірки полягає в тому, що введений з клавіатури код обробляється з допомогою секретного ключа по певному алгоритму і звіряється з PIN-кодом, який зберігається на картці. Перевага цього способу полягає у відсутності PIN-коду в базі даних системи, що виключає розкриття його персоналом банку.

Неалгоритмічний спосіб перевірки полягає в тому, що введений з клавіатури PIN-код порівнюється з його копією, яка зберігається в базі даних. Такий спосіб звичайно менш захищений, ніж алгоритмічний, особливо це стосується карток з магнітною смужкою. Не виключене розкриття PIN-коду не лише в середині банку, а і зовні, якщо картка буде загублена чи викрадена, адже сучасні технічні можливості дають змогу досить легко виконати несанкціоноване читання інформації з магнітної смужки.

Картки з магнітною смугою — це пластикові картки, на зворотній стороні яких є магнітна смуга, де може вміщуватися близько 100 байт інформації, яка може бути прочитана спеціальним пристроєм. Інформація на магнітній смузі збігається з даними на титулі: ім’ям, номером рахунку власника картки, датою закінчення дії картки. Картки цього типу використовуються як кредитні (типу VISA, Master Card, EuroCard, American Express), як банківські дебетові картки, картки для банкоматів.

Незважаючи на масове розповсюдження цього типу карток, вузьким місцем у їх використанні як платіжного засобу є недостатній рівень захисту від підробок.

Картки з кодування на чіпах поділяються на картки пам’яті та смарт-карти.

Картки пам’яті — це картки з мікросхемою, яка вміщує лише запам’ятовуючий пристрій. Обсяг пам’яті для звичайних карток становить близько 256 байт, є картки з пам’яттю від 32 байт до
8 Кбайт. Рівень захисту в таких картках не дуже високий, тому вони використовуються в системах, в яких не ставляться високі вимоги щодо захисту. У деяких європейських країнах такі картки використовуються як телефонні.

Смарт-карти зовні дуже схожі на картки пам’яті, але мікросхема цих карток містить мікропроцесор, який може виконувати операції обробки даних. Тому ці картки називають «смарт-картками» (smart — інтелектуальна чи розумна). Мікропроцесор — це, по суті, маленький комп’ютер, запрог-рамований на взаємодію з іншими комп’ютерними системами. Він може вміщувати інформацію про банк-емітент, що видав цю картку, термін дії картки, інформацію про клієнта та про суму коштів, яку може використовувати клієнт для розрахунків.

Мікропроцесор може не тільки зберігати інформацію, а й шифрувати і захищати її. Він має систему захисту, яка при спробах проникнути в «чіп» здійснює його саморуйнування. Мікропроцесор може містити близько 65 Кбайт інформації.

За функціональною ознакою картки поділяються на кредитні та дебетні картки, а також картки типу «електронний гаманець» і «електронні гроші».

Схему взаємодії учасників платіжної системи з використанням пластикових карток наведено на рис. 2.11.

Є два режими взаємодії банку-емітента і процесингового центру off-line і on-line.

Режим off-line є найбільш простим і недорогим для банку-емітента та процесингового центру. Банк дозволяє процесинговому центру ведення бази даних по картках, рахунках і лімітах клієнтів банку. У встановлені домовленістю сеанси зв’язку банк передає в процесинговий центр доручення на внесення змін в базу даних процесингового центру. В свою чергу з процесингового центру банк отримує звіти щодо операцій клієнтів банку, виконаних по картках. Відповідальність за авторизацію по лімітах клієнтів банку лежить на процесинговому центрі. Доступ до рахунку клієнт має тільки за допомогою картки, а час від моменту внесення коштів на рахунок клієнта до моменту їх надходження в базу.


Моделювання ефективності комплексної системи захисту автоматизованих інформаційних ресурсів комерційного банку

Рис. 2.11. Схема взаємодії учасників карткового проекту


Дуги на рис. 2.21 позначають такі інформаційні процеси:

1 — оформлення і видача картки клієнту;

2 — надання картки для оформлення покупки чи оплати послуг;

3-4 — запит на авторизацію;

5-6 — результати авторизації;

7 — передача товару та чека на нього власнику картки;

8 — передача чеків на куплені товари;

9 — зарахування коштів за куплені товари на рахунок торговельного закладу;

10—13 — розрахунки банка-емітента з банком-еквайром за проведені трансакції;

14 — надання виписки про проведені трансакції;

15 — розрахунки власника картки з банком-емітентом.


При взаємодії банку з процесинговим центром в режимі on-line банк устатковується спеціальним обладнанням та програмним забезпеченням і підключається до мереж передачі даних або з’єднується з процесинговим центром виділеним каналом. Банк самостійно веде базу даних карток, рахунків та лімітів і виконує процес авторизації платежів. У цьому випадку банк має можливість керувати рахунками клієнтів і здійснювати їх дебетування в режимі реального часу. Крім того, банк оперативно може виконувати блокування карток і рахунків.

Банк-еквайр може взаємодіяти з процесинговою компанією також у двох режимах: off-line і on-line.

Смарт-картка — це пластикова картка з мікросхемою та мікропроцес-сором. На сьогодні використовуються п’ять основних типів мікросхем для пластикових карток.

До цих мікросхем належать такі:

1. Мікросхеми пам’яті, які підтримують операції запису та читання одиниць інформації. Ці мікросхеми можуть бути використані здебільшого в картках контролю доступу, картках-посвідченнях, медичних картках, електронних гаманцях та в картках, що використовуються в транспортних системах.

2. Мікросхеми захищеної пам’яті, які на відміну від попередніх, мають лічильник одиниць інформації. Вони використовуються переважно в телефонних картках.

3. Мікроконтролери — це мікросхеми з центральним процесором, які можуть самостійно проводити обчислення. Використовуються дуже широко в різних карткових проектах, зокрема в банківських системах.

4. Криптоконтролери відрізняються від мікроконтролерів наявністю співпроцесора, який підтримує криптографічні функції. Найбільш захищені на сьогодні пристрої для збереження та обробки інформації.

5. Безконтактні мікросхеми призначені для обміну інформацією з читаючим пристроєм без безпосереднього контакту. Безконтактні мікросхеми дають змогу не лише зчитування, а й запису інформації. Використовуються в транспортних системах та системах контролю доступу (зокрема автоматизованих прохідних та ін.). Безконтактна картка може бути багатофункціональною і використовуватись для кількох цілей, наприклад для контролю за доступом співробітників, для сплати за харчування в офісних автоматах та для фіксації в ній нарахованої заробітної плати.

У разі використання карток з магнітною смужкою для авторизації платежу необхідно в режимі on-line або по телефону зв’язатися з банком чи процесинговим центром для отримання дозволу на виконання трансакції. Основна проблема, що постає при цьому, — це забезпечення надійного, захищеного і недорогого зв’язку, що не завжди є можливим.

Перевагу тут мають смарт-картки, у яких для отримання дозволу на проведення платежу не потрібно зв’язуватись з банком-емітентом чи процесинговим центром. Дозвіл на платіж дає сама картка при її контакті з терміналом торговельного закладу. При цьому різко скорочуються витрати на забезпечення виконання платежів, оскільки в цьому разі засоби зв’язку не відіграють такої ролі, як у випадку з картками з магнітною смужкою. Схему розрахунків з використанням смарт-карток наведено на рис. 2.12.

Моделювання ефективності комплексної системи захисту автоматизованих інформаційних ресурсів комерційного банку

Рис.2.12. Схема розрахунків з використанням смарт-картки (СК) типу «електронний гаманець»


Для захисту інформації при картковій системі розрахунків застосовується повний набір апаратних, програмних і організаційних засобів для забезпечення керування всіма складовими системи, у тому числі інтелектуальними картками, терміналами, інкасацією трансакцій, клірингом, а також інтерфейсом та інтеграцією з банківськими системами.

Для технічного керування роботою системи використовуються два системних списки: так звані «зелений листок» та «стоп-листок».

«Зелений листок» містить список банків-емітентів учасників системи. Він є у всіх банках і терміналах. Коригує цей список і поширює його в системі ГПЦ.

«Стоп-листки» містять картки, які заборонені для обробки в системі.

Картки включаються в «стоп-листки» у разі втрати або крадіжок на підставі заяв клієнтів (письмових або телефоном). Іноді (у разі підозри щодо підробки) самі банки чи процесингові центри вдаються до таких дій.

«Стоп-листки» бувають двох видів: «стоп-листок» операцій, які виконуються в режимі прямого («он-лайн») доступу, та «стоп-листок» операцій непрямого («оф-лайн») доступу. Перший потрібен, щоб система емітента перевіряла картки під час їх завантаження та платежів із банківських рахунків. Він, по суті, захищає поточні рахунки клієнтів. Картки практично ніколи не вилучаються з цього списку (окрім випадків коли власник знаходить втрачену картку).

«Стоп-листок» непрямого доступу використовується при платіжних операціях у терміналах і захищає залишки на ЕГ та ЕЧ.

Захист даних у системі базується на використанні криптографічних методів при їх обробці, зберіганні та передаванні і передбачає розмежування доступу до інформації службових осіб.

Криптографічні методи захисту інформації гарантують незмінність її змісту та обмеження доступу до неї.

При захисті даних використовується також ключова система, яка передбачає наявність і використання системних і банківських ключів. Банки-учасники генерують свої ключі, самостійно застосовуючи модулі безпеки, які встановлюються під час запуску АКС.

У картках записують відразу кілька версій ключів (системних та банківських). Картка і система можуть переходити на іншу (старшу) версію ключів у плановому або позаплановому порядку.

Згідно « Положення про захист інформації в Національній системі масових карткових електронних платежів» [ ] в внутрішній картковій платіжній системи АКБ «Промінвестбанк» ВСКП застосовані основні принципи побудови захисту інформації :

1. Система захисту ВСКП «ПРОМІНВЕСТ» складається з комплексу апаратно-програмних засобів криптографічного захисту та ключової системи до них, технологічних і організаційних заходів щодо захисту інформації в ВСКП «ПРОМІНВЕСТ».

2. Питання захисту інформації в ВСКП «ПРОМІНВЕСТ» розглядаються на всіх етапах розроблення, впровадження та експлуатації програмно-техніч-ного забезпечення ВСКП «ПРОМІНВЕСТ» і включають чіткий розподіл відпо-відальності на кожному етапі підготовки, оброблення та виконання електрон-них банківських документів на всіх рівнях.

4. Частина інформації, що використовується та обробляється в ВСКП «ПРОМІНВЕСТ», відповідно до статті 61 Закону України "Про банки і банківську діяльність" є "банківською таємницею".

5. Основною метою криптографічного захисту інформації в ВСКП «ПРОМІНВЕСТ» є забезпечення конфіденційності та цілісності (захисту від несанкціонованої модифікації) електронної інформації, а також суворої автентифікації всіх учасників платіжних операцій, підготовки та оброблення електронних документів.

6. Для забезпечення захисту інформації від модифікації система захисту ВСКП «ПРОМІНВЕСТ» включає механізми формування/перевірки МАС на базі симетричного алгоритму DES із застосуванням режиму використання унікального сесійного ключа для кожного повідомлення.

7. Для забезпечення конфіденційності інформації, що циркулює в ВСКП «ПРОМІНВЕСТ», усі інформаційні пакети (телеграми), що містять конфідент-ційну інформацію, шифруються за допомогою симетричного алгоритму TDES із застосуванням того самого режиму використання сесійного ключа.

8. Для шифрування та обчислення МАС використовується програмно-апаратний модуль безпеки серверів ВСКП «ПРОМІНВЕСТ» та самі смарт-картки (як службові, так і платіжні).

9. Використання стандартизованих криптографічних алгоритмів у системі захисту інформації ВСКП «ПРОМІНВЕСТ», реалізованих апаратно, гарантує задану криптостійкість. Ключі, які використовуються для захисту інформації ВСКП «ПРОМІНВЕСТ», зберігаються в картках та МБ ВСКП «ПРОМІН-ВЕСТ», із гарантією їх захищеності.

10. За своїм функціональним призначенням та місцем використання всі ключі ВСКП «ПРОМІНВЕСТ» можна розбити на три різні типи: транспортні, системні та банківські ключі.

Побудову транспортних та системних ключів виконує управління захисту інформації Промінвестбанку. Побудову банківських ключів виконують банки-учасники та/або БПЦ ВСКП «ПРОМІНВЕСТ» за допомогою спеціального програмного забезпечення БЦГКІ, яке надається управлінням захисту інформації Промінвестбанку.

11. Для підвищення рівня захищеності ВСКП «ПРОМІНВЕСТ» відповідно до регламенту ВСКП «ПРОМІНВЕСТ» та/або за рішенням Платіжної організації ВСКП «ПРОМІНВЕСТ» здійснюється перехід на нові версії системних та банківських ключів. Періодичність зміни версії системних ключів - не рідше одного разу на рік.

12. Транспортні ключі генеруються системним ЦГКІ окремо для кожного учасника ВСКП «ПРОМІНВЕСТ» та використовуються для безпечного транспортування апаратно-програмних засобів захисту інформації карткової системи (модулі безпеки, платіжні та службові картки) від одного до іншого учасника ВСКП «ПРОМІНВЕСТ» відповідно до технології ВСКП «ПРОМІНВЕСТ».


Информация о работе «Моделювання ефективності комплексної системи захисту автоматизованих інформаційних ресурсів комерційного банку»
Раздел: Банковское дело
Количество знаков с пробелами: 367716
Количество таблиц: 10
Количество изображений: 48

Похожие работы

Скачать
135159
14
17

... бути: ·           частиною якого-небудь організаційного напряму діяльності комерційного банку; ·           самостійним напрямом діяльності комерційного банку; ·           інструментом координації та контролю всієї діяльності банківської установи. У практиці банківської діяльності можуть бути використані наступні типи організації маркетингової структури: ·           функції окремих працівник ...

Скачать
24503
0
1

... покращення роботи користувача, називаються прикладними. До прикладних програм також відносяться утиліти, що виконують прикладні функції, наприклад, упорядкування даних. 2. Роль інформаційних технологій та комп’ютерних програм у бізнес-моделюванні Відомо, що роль інформації в управлінському процесі надзвичайно велика. Циркуляція інформації в суспільстві це головний показник, завдяки якому ...

Скачать
259712
25
12

... та знизу ( нижній колонтитул ) у межах одного розділу або всього документа. Правильний вибір цієї інформації дає змогу читачеві краще орієнтуватися в документі. 5.4 Уведення інформації   Інформаційна система маркетингу – це сукупність інформації, апаратно-програмних і технологічних засобів, засобів телекомунікацій, баз і банків даних, методів і процедур, персоналу управління, які реалізують ...

Скачать
169115
8
16

... інформацією можна було скористатися при прийнятті кадрових і інших рішень, необхідно правильно організувати збереження інформації з результатів атестації. Розділ 2. Аналіз діючої системи управління персоналом в комерційному банку АКБ “Приватбанк” 2.1 Загальна характеристика інфраструктури АКБ “Приватбанк” Заснований 1992 року, комерційний банк ПриватБанк є банком, що розвивається найбі ...

0 комментариев


Наверх