Файл: Екатеринбург 2018 Ст преподаватель кафедры Информационные системы и технологии Крутин Ю. В.pdf

Ст. преподаватель кафедры «Информационные системы и технологии» Крутин Ю.В.
89
выявления структуры потребления некоего лица или определения его источников дохода. С помощью кодирования всех сообщений, которыми обмениваются участники финансовой операции, можно сделать содержание транзакции недоступным для посторонних, и в большинстве случаев этого вполне достаточно. С другой стороны, такой подход обеспечивает также анонимность и невозможность отслеживания личности продавца. Если анонимность является ключевым требованием, расходы на отслеживание транзакции должны превышать ценность информации, которую можно получить в результате такого отслеживания.
С развитием Интернет требования, предъявляемые к электронным системам оплаты, будут также расти. Платежная система должна быть выстроена таким образом, чтобы увеличение числа покупателей и продавцов не привело к снижению эффективности. Для повышения устойчивости следует отдавать предпочтение распределенным системам, когда серверы, участвующие в процессе оплаты через Интернет, размещаются в разных точках Сети; так повышается уровень отказоустойчивости системы в случае прерывания одного из соединений или выхода из строя одного из серверов.
Инфраструктура системы оплаты должна поддерживать существующие
Интернет-приложения через программируемый интерфейс, чтобы не вносить изменения в приложения или, если без изменений все же не обойтись, ограничиться минимальными.
Классификация типов мошенничества в электронной коммерции
Международные платежные системы приводят следующую классификацию возможных типов мошенничества через Интернет:
- транзакции, выполненные мошенниками с использованием правильных реквизитов карточки (номер карточки, срок ее действия и т. п.);

Ст. преподаватель кафедры «Информационные системы и технологии» Крутин Ю.В.
90
- компрометация данных (получение данных о клиенте через взлом баз данных (БД) торговых предприятий или путем перехвата сообщений покупателя, содержащих его персональные данные) с целью их использования в мошеннических целях;
- магазины, возникающие, как правило, на непродолжительное время для того, чтобы исчезнуть после получения от покупателей средств за несуществующие услуги или товары;
- злоупотребления торговых предприятий, связанные с увеличением стоимости товара по отношению к предлагавшейся покупателю цене или повторными списаниями со счета клиента;
- магазины и торговые агенты (Acquiring Agent), предназначенные для сбора информации о реквизитах карт и других персональных данных покупателей.
Коротко остановимся на перечисленных типах мошенничества в отдельности. Как уже отмечалось, первый тип мошенничества является наиболее массовым. Для совершения транзакции мошеннику обычно достаточно знать только номер карты и срок ее действия. Такая информация попадает в руки мошенников различными путями.
Наиболее распространенный способ получения мошенниками реквизитов карт — сговор с сотрудниками торговых предприятий (ТП), через которые проходят сотни и тысячи транзакций по пластиковым картам. Результатом сговора становится передача информации о реквизитах карт в руки криминальных структур.
Другой способ получения информации о реквизитах карт, ставший популярным в последнее время, — кража баз данных карточек в ТП. Еще одним способом генерации правильного номера карты являются специальные программы. Программа генерирует правильные номера карт, эмитированных некоторыми банками, используя для генерации номеров тот же алгоритм, что и банк-эмитент.

Ст. преподаватель кафедры «Информационные системы и технологии» Крутин Ю.В.
91
Достаточно распространенным является способ, когда криминальные структуры организуют свои магазины, главной целью которых является получение в свое распоряжение значительных наборов реквизитов карт.
Другая функция подобных магазинов состоит в их использовании для
«отмывания» полученных реквизитов карт. Через подобные сайты
«прокачиваются» сотни тысяч и даже миллионы украденных реквизитов карт.
Наконец, существует и еще один способ узнать правильные реквизиты карт. Точнее не узнать, а эмпирически вычислить. Дело в том, что Интернет представляет собой прекрасный плацдарм для проведения различного рода
«испытаний» с целью определения правильных реквизитов карт. Например, если мошеннику известен номер карты, но не известен срок ее действия, то определить этот параметр карты не составляет большого труда.
Действительно, пластиковая карта обычно выпускается сроком на два года.
Параметр «срок действия карты» определяет месяц и последние две цифры года, когда действие карты заканчивается. Таким образом, мошеннику требуется перебрать всего лишь 24 возможных варианта этого параметра. В реальном мире сделать это не просто. В виртуальном мире решение подобной задачи не составляет труда. Мошеннику нужно отправить не более 24 авторизационных запросов для того, чтобы со 100%-й вероятностью определить верный срок действия карты. После этого воспользоваться известными реквизитами карты можно различными способами. Проще всего совершить транзакцию. Более эффективный способ воспользоваться добытым знанием — изготовить поддельную карту с вычисленными реквизитами карты и использовать ее для оплаты покупок в реальных ТП. В этом случае такое мошенничество попадет в разряд «подделанная карта» (Counterfeit).
Остановимся на третьем типе мошенничества — магазинах-бабочках, открывающихся с целью «отмывания» украденных реквизитов карт. После того как в руках криминальных структур появляются украденные реквизиты карт, возникает задача ими воспользоваться. Один из способов — организация

Ст. преподаватель кафедры «Информационные системы и технологии» Крутин Ю.В.
92
виртуального ТП, «торгующего» программным обеспечением или другими информационными ресурсами (программы телевизионных передач, подписка на новости и т. д.). В действительности, такое ТП, как правило, имеет свой сайт, но ничем реально не торгует. При этом в обслуживающий банк регулярно направляются авторизационные запросы, использующие украденные номера карт. Следовательно, магазин регулярно получает от обслуживающего банка возмещения за совершенные в нем «покупки». Так продолжается до тех пор, пока уровень chargeback (отказов от платежей), от эмитентов украденных реквизитов карт не станет свидетельством того, что имеет место мошенничество. Обычно к этому моменту и сами магазины, почувствовав запах жаренного, исчезают и становятся предметом поиска для правоохранительных органов.
Магазины-бабочки обычно выбирают две крайние стратегии своей работы. Выбор стратегии определяется размером украденной БД карточек.
Если размер украденной БД достаточно большой (десятки тысяч карт), то выбирается стратегия, в соответствии с которой транзакции делаются на небольшие суммы (порядка $10 США). Основная идея такой стратегии заключается в том, что действительный владелец кар ты заметит небольшую потерю средств на своем счете далеко не сразу и в результате за имеющееся в распоряжении мошенников время (как правило, 1-3 месяца) можно на подобных небольших транзакциях украсть сотни тысяч долларов.
Наоборот, когда в распоряжении мошенников несколько десятков карт, выбирается стратегия выполнения транзакций на крупные суммы (несколько тысяч долларов). В этом случае активная жизнь магазина- бабочки составляет несколько недель, после чего магазин исчезает.

Ст. преподаватель кафедры «Информационные системы и технологии» Крутин Ю.В.
93
Способы решения проблемы безопасности в электронной
коммерции
С самого начала внедрения электронной коммерции (ЭК) стало очевидно, что методы идентификации владельца карты, применяемые в обычных транзакциях, являются неудовлетворительными для транзакций ЭК.
Действительно, при совершении операции покупки в физическом магазине продавец имеет возможность рассмотреть предъявляемую для расчетов пластиковую карту на предмет ее соответствия требованиям платежным системам (в частности, проверить наличие голограммы, специальных секретных символов, сверить подпись на панели подписи и торговом чеке и т. п.). Кроме того, продавец может потребовать от покупателя документ, удостоверяющий его личность. Все это делает мошенничество по поддельной карте достаточно дорогим мероприятием.
В случае транзакции в ЭК все, что требуется от мошенника — знание реквизитов карты. Затраты, связанные с изготовлением поддельной физической карты, в этом случае не требуются. Безусловно, это не может не привлечь внимание криминала к этому типу коммерции.
В мире пластиковых карт с магнитной полосой самым надежным способом защиты транзакции от мошенничества является использование
PINкода для идентификации владельца карты его банком-эмитентом.
Секретной информацией, которой обладает владелец карты, является PIN-код.
Он представляет собой последовательность, состоящую из 4-12 цифр, известную только владельцу карты и его банку-эмитенту. PIN-код применяется всегда при проведении транзакций повышенного риска, например при выдаче владельцу карты наличных в банкоматах. Выдача наличных в банкоматах происходит без присутствия представителя обслуживающего банка (ситуация похожа на транзакцию в ЭК). Поэтому обычных реквизитов карты для защиты операции «снятие наличных в

Ст. преподаватель кафедры «Информационные системы и технологии» Крутин Ю.В.
94
банкомате» недостаточно и используется секретная дополнительная информация, т.е. PIN-код.
Более того, общая тенденция развития платежных систем — более активное использование PIN-кода для операций «покупка» по дебетовым картам. Казалось бы, использование подобного идентификатора могло бы помочь решить проблему безопасности в ЭК, однако это не так. К сожалению, в приложении к ЭК этот метод в классическом виде неприменим.
Действительно, использование PIN-кода должно производиться таким образом, чтобы этот секретный параметр на всех этапах обработки транзакции оставался зашифрованным (PIN-код должен быть известен только владельцу карты и ее эмитенту). В реальном мире это требование реализуется за счет использования в устройствах ввода транзакции специальных физических устройств, называемых PIN - PAD и содержащих Hardware Security Module — аппаратно-программные устройства, позволяющие хранить и преобразовывать некоторую информацию весьма надежным способом. Эти устройства хранят специальным способом защищенный секретный коммуникационный ключ, сгенерированный обслуживающим банком данного
ТП. Когда владелец карты вводит значение PIN-кода, оно немедленно закрывается (шифруется) коммуникационным ключом и отправляется внутри авторизационного запроса на хост обслуживающего банка. Точнее говоря, шифруется не сам PIN-код, а некоторый электронный «конверт», в который код помещается. На хосте обслуживающего банка зашифрованный идентификационный код перекодируется внутри Hardware Security Module хоста (хост обслуживающего банка также имеет свое устройство шифрования) в блок, зашифрованный на коммуникационном ключе платежной системы, и передается в сеть для дальнейшего предъявления эмитенту. По дороге к эмитенту PIN-код будет преобразовываться еще несколько раз, но для понимания процесса это неважно. Важно другое — для того, чтобы следовать классической схеме обработки PIN-кода, каждый владелец карты должен

Ст. преподаватель кафедры «Информационные системы и технологии» Крутин Ю.В.
95
хранить криптограммы коммуникационных ключей всех обслуживающих банков, что на практике невозможно.
Классическую схему можно было бы реализовать с помощью применения асимметричных алгоритмов с шифрованием PIN-кода владельца карты открытым ключом ТП. Однако для представления PIN-кода в платежную сеть его необходимо зашифровать, как это принято во всех платежных системах, симметричным ключом. Однако в настоящее время неизвестно ни одного стандартного Hardware Security Module, способного выполнить трансляцию
PIN-кода, зашифрованного с помощью асимметричного криптоалгоритма, в PIN-код, зашифрованный на симметричном алгоритме шифрования.
Существует другое, неклассическое решение по использованию
PINкода. Например, можно на компьютере владельца карты шифровать PIN- код плюс некоторые динамически меняющиеся от транзакции к транзакции данные на ключе, известном только эмитенту и владельцу карты. Такой подход потребует решения задачи распределения секретных ключей. Эта задача является весьма непростой (очевидно, что у каждого владельца карты должен быть свой индивидуальный ключ), и если уж она решается, то использовать ее решение имеет смысл для других, более эффективных по сравнению с проверкой PIN-кода методов аутентификации владельца карты.
В то же время идея проверки PIN-кода была реализована для повышения безопасности транзакций в ЭК по картам, БД которых хранится на хосте процессора STB CARD. В общих чертах STB CARD реализует следующую схему. Владельцы карт, эмитенты которых держат свою БД карточек на хосте
STB CARD, могут получить дополнительный PIN-код, называемый PIN2. Этот код представляет собой последовательность из 16 шестнадцатеричных цифр, которая распечатывается в PIN-конверте, передаваемом владельцу карты
(специальный бумажный конверт, используемый банком-эмитентом для хранения в нем секретной информации, относящейся к эмитированной карте),

Ст. преподаватель кафедры «Информационные системы и технологии» Крутин Ю.В.
96
и вычисляется эмитентом с помощью симметричного алгоритма шифрования, примененного к номеру карты и использующего секретный ключ, известный только эмитенту карты.
Далее во время проведения транзакции в ЭК на одном из ТП, обслуживаемом банком STB CARD, у владельца карты в процессе получения данных о клиенте запрашивается информация по PIN2. Клиент вводит значение кода PIN2 в заполняемую форму и возвращает ее ТП.
Здесь нужно сделать важное замечание относительно сказанного ранее.
Владелец карты в действительности ведет диалог в защищенной SSL-cecсии не с ТП, а с виртуальным POS-сервером, через который работает ТП (система
STB CARD в настоящее время использует сервер Assist).
Защита от подставки (если форма, запрашивающая PIN2, предоставляется владельцу карты не ТП, а мошенником, желающим узнать значение PIN2) основана на надежности аутентификации клиентом сервера
ТП, а также на подписании апплета секретным ключом сервера ТП. Поскольку нарушение обеих защит приводит только к появлению на экране монитора владельца карты соответствующего предупреждения, сопровождаемого вопросом — продолжить сессию или нет, то особенно доверять этим формам защиты не стоит. Обеспечить надежную защиту от подставки можно с помощью электронного бумажника клиента (специального программного обеспечения, которое клиент может «скачать» на свой компьютер с некоторого сайта), заменяющего по своей функциональности Java-апплет в форме ТП. Такой электронный бумажник может использовать сколь угодно мощные средства шифрования данных. Секретные ключи владельца карты могут держаться в порядке повышения надежности их хранения на диске компьютера, дискете или микропроцессорной карте. Доступ к электронному бумажнику должен производиться по паролю его владельца.