Протоколы и стандарты безопасности

Описанные выше методы обеспечения безопасности являются основой построения большинства Интернет-систем. Это могут быть системы обмена информацией или платежные системы. Важность вопросов безопасности для их организации очень велика. Так, согласно проводимым исследованиям, одной из основных причин медленного роста электронной коммерции сегодня остается озабоченность покупателей надежностью средств, применяемых при расчетах в Интернете. Основные причины обеспокоенности связаны со следующими факторами.

· Отсутствие гарантии конфиденциальности — кто-либо может перехватить передаваемые данные и попытаться извлечь ценную информацию, например, данные о кредитных картах. Это может произойти как во время передачи информации, так и непосредственно после совершения покупки через торговые web-сайты.

· Недостаточный уровень проверки (аутентификации) участников операции — покупатель, посещая электронный магазин, не уверен, что представленная на нем компания именно та, за кого она себя выдает, а у продавца нет возможности проверить, что покупатель, сделавший заказ, является законным обладателем кредитной карты.

· Нет гарантии целостности данных — даже если отправитель данных может быть идентифицирован, то третья сторона может изменить их во время передачи.

Наиболее распространенными механизмами, призванными устранить указанные факторы и обеспечить безопасность проведения электронных платежей через Интернет сегодня являются:

· протокол SSL (Secure Socket Layer), обеспечивающий шифрование передаваемых через Интернет данных;

· стандарт SET (Secure Electronic Transactions), разработанный компаниями Visa и MasterCard и обеспечивающий безопасность и конфиденциальность совершения сделок при помощи пластиковых карт.

Протокол SSL и стандарт SET

Протокол SSL — один из существующих протоколов обмена данными, обеспечивающий шифрование передаваемой информации. В настоящее время это наиболее распространенный метод защиты электронных транзакций в Интернете.

Протокол SSL является стандартом, основанным на криптографии с открытыми ключами. Протокол обеспечивает защиту данных, передаваемых в сетях TCP/IP по протоколам приложений за счет шифрования и аутентификации серверов и клиентов. Это означает, что шифруется вся информация, передаваемая и получаемая web-браузером, включая URL-адреса, все отправляемые сведения (такие, как номера кредитных карт), данные для доступа к закрытым web-сайтам (имя пользователя и пароль), а также все сведения, поступающие с web-серверов.

Протокол SSL позволяет решить часть названных проблем безопасности, однако его роль в основном ограничивается обеспечением шифрования передаваемых данных. Поэтому для комплексного решения перечисленных выше проблем была разработана спецификация и создан набор протоколов, известные как стандарт SET (Secure Electronic Transaction) — безопасные электронные транзакции.

Официальной датой рождения стандарта SET является 1 февраля 1996 г. В этот день Visa International и MasterCard International совместно с рядом технологических компаний объявили о разработке единого открытого стандарта защищенных расчетов через Интернет с использованием пластиковых карт. В декабре 1997 г. была создана некоммерческая организация SETCo LLC, призванная координировать работы по развитию стандарта и осуществлять тестирование и сертификацию предлагаемого на рынке программного обеспечения для обеспечения контроля над соответствием этого программного обеспечения спецификациям SET.

Благодаря использованию цифровых сертификатов и технологий шифрования, SET позволяет как продавцам, так и покупателям производить аутентификацию всех участников сделки. Кроме того, SET обеспечивает надежную защиту номеров кредитных карт и другой конфиденциальной информации, пересылаемой через Интернет, а открытость стандарта позволяет разработчикам создавать решения, которые могут взаимодействовать между собой. Также важным фактором, обеспечивающим продвижение SET, является его опора на существующие карточные системы, ставшие привычным финансовым инструментом с отлаженной технологией и правовым механизмом.

В основе системы безопасности, используемой SET, лежат стандартные криптографические алгоритмы DES и RSA. Инфраструктура SET построена в соответствии с инфраструктурой открытого ключа (Public Key Infrastructure, PKI) на базе сертификатов, соответствующих стандарту X.509, утвержденному организацией по стандартизации (ISO).

Главная особенность SET — регламентация использования системы безопасности, которая устанавливается международными платежными системами. Требования Visa и Europay к центру обработки на основе SET включают, во-первых, традиционные требования к обработке пластиковых карт (защита помещений, контроль над доступом, резервное энергоснабжение, аппаратная криптография и т. п.), и, во-вторых, специфические дополнения — межсетевые экраны (firewalls) для защиты каналов Интернета. Такой подход позволяет использовать единые методики оценки рисков при проведении электронных платежей вне зависимости от способа аутентификации клиента (традиционная карта с магнитной полосой, смарт-карта или цифровой сертификат). Это позволяет участникам платежной системы разрешать спорные ситуации по отработанным механизмам и сконцентрироваться на развитии своего электронного бизнеса.

SET обеспечивает следующие требования защиты операций электронной коммерции:
· секретность данных оплаты и конфиденциальность информации заказа, переданной вместе с данными об оплате;
· сохранение целостности данных платежей, которая обеспечивается при помощи цифровой подписи;
· специальную криптографию с открытым ключом для проведения аутентификации;
· аутентификацию держателя кредитной карты, которая обеспечивается применением цифровой подписи и сертификатов держателя карты;
· аутентификацию продавца и его возможности принимать платежи по пластиковым картам с применением цифровой подписи и сертификатов продавца;
· подтверждение того, что банк продавца является действующей организацией, которая может принимать платежи по пластиковым картам через связь с обрабатывающей системой, что обеспечивается с помощью цифровой подписи и сертификатов банка продавца;
· готовность оплаты транзакций в результате аутентификации сертификата с открытым ключом для всех сторон;
· безопасность передачи данных посредством использования криптографии.

SET позволяет сохранить существующие отношения между банком, держателями карт и продавцами, и объединяется с действующими системами, опираясь на открытость, международные стандарты платежных систем, лежащие в его основе, а также технологии и правовые механизмы, существующие в финансовой отрасли.

Для получения информации о распространении SET, включая информацию о банках, имеющих сертификаты Visa и Europay/MasterCard, и торговых/сервисных компаниях, принимающих платежи через SET, можно обратиться на сайт set-sites.com или сайты международных платежных систем.

Дата добавления: 2015-11-16