Поделиться
SSL: Защита с гарантией в 1 млн. долларов
С развитием банковской деятельности и конкуренции в банковской сфере предоставление онлайн-доступа к своим услугам стало для игроков рынка необходимым условием удержания позиций. Но как гарантировать безопасность при проведении транзакций через интернет? Как избежать искажения данных и кражи паролей? Часть проблем может быть успешно решена с помощью стандартных средств протокола HTTPS – SSL-сертификатов.Некоторые компании ограничиваются полумерами, используя самоподписанные SSL-сертификаты. Отличие последних в том, что они позволяют шифровать данные, но не обеспечивают проверку их подлинности. При посещении сайта, где установлен подобный сертификат, браузер выдает предупреждающее сообщение.
Для регистрации SSL-сертификата необходимо направить запрос (CSR), в котором указываются криптографические ключи сайта и информация о нем. Сертификационный центр анализирует данные и осуществляет цифровую подпись предоставленной информации, после чего результат возвращается обратно. В дальнейшем полученный подписанный сертификат можно использовать в системе.
Долгий путь к SSL
Системы удаленного доступа к банковским системам возникли давно. Для повышения удобства пользователей, а заодно и для большей автоматизации банковской деятельности были придуманы системы клиент-банк, идеей которых было прямое взаимодействие клиента с банком посредством каналов связи. Чтобы клиент мог, не выходя из дома или офиса, в любой момент дня или ночи получить банковскую выписку, отправить перевод или сделать другие действия со своими счетами.
Система сертификатов и подписей использует математический метод шифрования данных на основе технологии открытых и закрытых ключей
В первое время, когда сети интернет еще не было, основным средством соединения банка и клиента была прямая телефонная связь с модемным пулом банка, а авторизация пользователя производилась по паролю в терминальном режиме. При этом сам канал связи не шифровался, и в принципе перехватить информацию было достаточно просто (по крайней мере, это стоило несравнимо меньше, чем возможный “доход” от воровства денег со счетов).
Потом на смену терминальному доступу пришли клиент-серверные приложения, устанавливаемые на компьютер пользователя. Многие из них в качестве транспорта использовали технологию и программное обеспечение любительской компьютерной сети FIDONet в качестве транспортного уровня, сами же данные шифровались с использованием разнообразнейших алгоритмов и систем хранения ключевой информации (дискеты, разнообразные устройства, которые подключались к компьютеру и т.д.). Основным недостатком такого решения были жесткие требования к операционной системе и аппаратному обеспечению, установленной на компьютере клиента. Причем требования зачастую такие, что даже при смене версии Windows ПО клиент-банка отказывалось работать.
Все изменилось с приходом эры Интернет. Получил развитие интернет-банкинг, система клиент-банк стала представлять собой веб-сайт, на котором клиентская часть зашита в Java-апплеты. Такой подход произвел революцию в этой области. Для того, чтобы работать с клиент-банком, пользователю теперь достаточно иметь доступ к сети интернет и веб-браузеру. А эти условия реализуемы практически в любой точке земного шара 24 часа в сутки, 7 дней в неделю. Для связи с банком можно использовать самые разные устройства, от рабочего персонального компьютера до терминала в интернет-кафе или даже мобильного телефона или PDA. Наличие стандартного средства шифрования и идентификации сайтов, которым являются SSL-сертификаты, значительно облегчает жизнь пользователям, да и самим компаниям.
| Учебный курс «Информационная безопасность компании» 26 -27 февраля |
Естественно, даже самые надежные системы защиты пасуют перед человеческой беспечностью. Компании, выдающие SSL-сертификаты, готовы нести материальную ответственность за ущерб, причиненный вследствие взлома или подделки сертификата, причем гарантированные суммы могут составлять миллионы долларов. Но только пользователь отвечает за собственные действия и решает, обратить ли внимание на предупреждение системы, разрешить ли безопасное соединение с сайтом, на котором нет SSL-сертификата.
Александр Радаев / CNews
Поделиться
Короткая ссылка
