Методы защиты системы электронных платежей цифровые деньги. Защита информации в электронных платежных Internet-системах

Наличием электронных сбережений сложно кого-то удивить, ведь они давно вошли в обиход каждого человека и применяются для осуществления покупок в Сети, проведения переводов и конвертации средств. Популярность такой валюты объясняется удобством ее применения, а также минимальной комиссией. Отдельного внимания заслуживает вопрос безопасности денег. Обеспечение исправного функционирования стандартов и механизмов хранения виртуальных активов, как правило, обеспечивается платежными сервисами, но и пользователи обязаны соблюдать элементарную предосторожность при манипулировании последними.

С появлением интернет-банкинга, возможностей стало еще больше. Люди получили доступ к совершению покупок или проведению других транзакций, не выходя из дома. Для осуществления любой операции достаточно компьютера, смартфона или другого устройства, а также стабильного подключения к Сети.

Несмотря на ряд преимуществ, электронные деньги нуждаются в дополнительной защите со стороны пользователя. Это связано с появлением большого числа мошенников, умеющих взламывать личные аккаунты и получать необходимые пароли. Вот почему важно предпринять некоторые меры, направленные на обеспечение безопасности любой транзакции в Сети. Ведь схемы несанкционированного доступа к чужим виртуальным сбережениям прогрессируют, а весьма часто онлайн-мошенники опережают на шаг разработчиков защитных механизмов.

Существующие риски и основные способы защиты

В Интернете существует множество вариантов мошенничества, позволяющих злоумышленникам ловко обманывать людей, воровать личные данные, а впоследствии и деньги. К наиболее популярным разновидностям стоит отнести:

  • Фишинг - утонченный способ мошенничества, подразумевающий кражу личных данных, а именно паролей, банковских счетов, логинов, номеров пластиковых карточек. Сущность метода заключается в отправке письма по e-mail от имени какой-либо авторитетной организации, например, банковского учреждения. В тексте сотрудники псевдоорганизации рекомендуют обновить или передать какую-либо информацию под различным предлогом. Особенность фишинга заключается в детальной проработке мошеннической схемы. Для большей достоверности злоумышленники создают сайты, которые в точности копируют интернет-ресурс подставной организации. Следовательно, человек не подозревает об обмане, попадает на «крючок» и теряет деньги. Чтобы избежать подобных неприятностей, важно проявлять предельную бдительность и научиться вычислять поддельные сайты.
  • Скимминг - направление, подразумевающее применение специальных устройств, позволяющих считать необходимую информацию с магнитной ленты пластиковой карты. Алгоритм действий выглядит следующим образом. Сначала злоумышленник фиксирует скиммер на приемнике банкомата. Особенность этого устройства заключается в том, что оно почти не отличается от заводского разъема. В основе прибора лежит специальная схема, которая и обеспечивает считывание данных. Одновременно с этим к банкомату крепится видеокамера, целью которой является фиксация PIN-кода. На последнем этапе мошенник делает копию карточки и с помощью украденного кода снимает все средства.

Одним из преимуществ электронных денег является невозможность их подделки (в классическом понимании). Их нельзя напечатать, а после приобрести что-либо с применением поддельных банкнот. Виртуальная валюта имеет электронно-цифровую форму и используется только в Сети, но даже это гарантирует стопроцентную защиту. Как отмечалось выше, разработано множество вариантов мошенничества, позволяющих обманывать доверчивых людей.

Но существует несколько основных способов защиты денег, позволяющих уберечь электронные сбережения от злоумышленников:

  • Пароли. Практически каждый пользователь глобальной сети ежедневно сталкивается с необходимостью ввода специальных кодов для входа в личный кабинет того или иного сайта. Похожая система внедрена и в электронных платежных сервисах, многие из которых применяют этот способ в качестве основного метода обеспечения безопасности. На практике может использоваться не один, а сразу несколько паролей, которые бывают стационарными или меняющимися. В последнем случае код обновляется при каждом посещении ресурса. Новая комбинация приходит на e-mail или мобильный телефон. Контрольный пароль, как правило, вводится при проведении любой финансовой операции в Сети. Такая мера позволяет дополнительно защитить пользователя, который совершил транзакцию и временно отошел от компьютера. Другой человек уже без указания контрольного кода не сможет провести любую финансовую манипуляцию и воспользоваться чужими деньгами. Рассмотренная система имеет широкий спрос во многих платежных системах, в том числе в Яндекс.Деньги, Qiwi и другие (называется «Платежный пароль»). Вопрос безопасности денег отлично продуман в еще одном сервисе - Вебмани. Здесь одного пароля для входа в кошелек недостаточно - необходимо наличие файла ключей. Применение PIN-кода в качестве защиты характерно и для банковских карточек, о которых упоминалось вначале статьи. Он, как правило, состоит из четырех цифр, которые каждый пользователь задает индивидуально. Как показала практика, такой способ защиты электронных денег не отличается большой надежностью, а сама система безопасности подвержена взлому. Если же злоумышленник украл карту и пытается подобрать пароль, «пластик» блокируется после трех допущенных подряд ошибок. Из сказанного выше можно сделать вывод, что пароль является популярным путем обеспечения безопасности электронной валюты, и он присутствует практически во всех современных платежных системах. Единственным минусом является недостаточный уровень надежности, поэтому его рекомендуется комбинировать с другими способами защиты.
  • Файлы ключей. Рассматриваемый метод используется в Вебмани и обеспечивает дополнительную надежность. Его сущность в том, что после прохождения регистрации клиенту выдается специальный файл, внутри которого содержатся ключи от хранилища. Для получения доступа к накоплениям, пользователю необходимо иметь под рукой пароль, а также упомянутый выше документ. Кроме того, у файла кошелька предусмотрена своя защита, обеспечивающая безопасность денег. Здесь также необходимо ввести определенную комбинацию букв, цифр и символов. Для дополнительной защиты личных сбережений упомянутый выше файл рекомендуется хранить вне жесткого диска компьютера, например, на флешке. В иной ситуации после проникновения в ПК злоумышленник получает все необходимые данные для взлома кошелька. На случай потери этого файла желательно сделать его копию и сохранить на выносном носителе.
  • Набор символов на дисплее. Одним из способов защиты от различных червей, троянов и вирусов является экранная клавиатура. Такая методика применяется в одной из наиболее популярных систем EasyPay. В отличие от других ЭПС, ввод необходимых символов производится не с обычной клавиатуры, а через специальное изображение на экране монитора. Такая методика защиты имеет две стороны. В случае набора пароля другой человек может подсмотреть информацию, а впоследствии использовать ее для взлома. Если же внимательно подойти к этому моменту и производить набор, когда посторонние люди отсутствуют, можно защитить практически все виды электронных денег от клавиатурных шпионов. Последние представляют собой программы, которые проникают в компьютер пользователя и считывают специальный лог-файл (именно в нем хранится информация о введенных через клавиатуру символах). Но существуют и другие программы, которые фиксируют, а впоследствии воспроизводят любые действия пользователя, в том числе и перемещение мышкой. Следовательно, принимать решение об актуальности применения обычной или дисплейной клавиатуры необходимо индивидуально, с учетом текущей ситуации.
  • Специальная фраза. Для повышения уровня защиты своих средств, каждый пользователь должен придумать одно или несколько слов. Применение такой методики позволяет защититься от фишинга, о котором упоминалось в начале нашего повествования. После открытия операционной страницы сервиса, человек должен видеть установленную контрольную фразу. Если она не совпадает с оригиналом или ее нет вовсе, можно с уверенностью говорить о попытке мошенничества.
  • Блокировка счета. К этому шагу приходится прибегать в ситуации, когда рассмотренные выше способы не сработали или не могут обеспечить необходимый уровень защиты. Такое возможно, когда человек случайно потерял пароль, стал жертвой кражи данных с ПК или не может найти пластиковую карту. Итак, если основные способы защиты не сработали, пользователь отправляет SMS на определенный номер или совершает звонок с командой блокировки электронного счета. Эта мера подходит для крайних случаев, но именно она обеспечивает лучшую защиту электронных денег в чрезвычайной ситуации.

Рассмотренные выше способы по отдельности не гарантируют полную безопасность и должны использоваться исключительно в комплексе. Наиболее «слабым звеном» в этом вопросе является наличие человеческого фактора, который делает уязвимой даже надежную систему.

Простые способы защиты - мощное дополнение для основных методов

Каждый человек должен понимать, что сохранность электронных денег напрямую зависит от его внимания и следования некоторым рекомендациям:

  • Никогда не передавайте пароли другим людям, вне зависимости от объяснений. ПИН-код карточки или набор символов для входа в кошелек электронной платежной системы является личной информацией, которую нельзя никому доверять. Любые попытки выяснить эти факты должны настораживать, даже если персональные данные просит предоставить представитель службы поддержки. Игнорируя эту рекомендацию, вы нивелируете основные способы защиты, которые становятся попросту неэффективными. Особое подозрение должны вызывать попытки выманить личные данные через e-mail. В этом случае с большой вероятностью можно говорить об интернет-мошенничестве.
  • Если покупки в Сети являются обычным делом, желательно оформить отдельную банковскую карту и использовать ее в качестве платежного инструмента для оплаты услуг или товаров в Интернете. Не стоит расплачиваться различными карточками, ведь в этом случае снижается их степень конфиденциальности. Кроме того, желательно установить лимит, чтобы избежать потери крупной суммы в случае взлома «пластика» злоумышленником.
  • Перед снятием денег в банкомате желательно внимательно осмотреть аппарат на факт отсутствия специальных устройств для скимминга. Если заметны плохо прикрепленные элементы, стоит сообщить о проблеме представителям банка, а самому поискать другой аппарат для обналичивания средств.
  • Не пользуйтесь кошельками электронных платежных систем через общедоступные компьютеры в интернет-кафе или других подобных заведений. В этом случае злоумышленники могут с легкостью перехватить конфиденциальную информацию, после чего основные способы защиты денег оказываются бесполезными. Администратор такого заведения может с легкостью проверить историю каждого пользователя и изъять необходимую для себя информацию.
  • Не переходите по ссылкам, приходящим на e-mail, если нет уверенности в достоверности данных, и вы не знакомы с отправителем. Если проигнорировать рекомендации, можно «подцепить» вирус или троян, который будет собирать конфиденциальную информацию и отправлять ее создателю. Кроме того, не стоит на 100% доверять пользователям, которых вы знаете, ведь почтовый ящик мог быть взломан. Если ссылка подозрительная, лучше отдельно выяснить ее актуальность.
  • При оплате банковской карточкой в любом заведении, всегда держите «пластик» на виду. Если официант пропустит магнитную ленту через отдельное считывающее устройство, к нему в руки перейдут все необходимые данные.
  • Никогда не используйте один и тот же пароль на различных сервисах, ведь в случае взлома злоумышленник получает доступ ко всем деньгам. Кроме того, желательно использовать сложную комбинацию символов, чтобы сделать подбор невозможным.
  • При покупке товаров с помощью ЭПС или карты в Сети, желательно работать только с авторитетными интернет-магазинами. Не стоит переводить деньги сомнительным лицам, вне зависимости от предлагаемой выгоды.
  • Периодически проверяйте счет карты или платежной системы, чтобы оперативно обнаруживать пропажу и пользоваться блокировкой.
  • Поставьте надежный антивирус на ПК и регулярно его обновляйте. Кроме того, включите фаервол, который обеспечит дополнительную защиту от злоумышленников.

Любые виды электронных денег требуют внимания. Только от пользователя зависит, сможет ли он сохранить заработанные средства, или они достанутся мошенникам.

Некоторое время развитие WWW сдерживалось тем, что html-страницы, являющиеся основой WWW, представляют собой статический текст, т.е. с их помощью сложно организовать интерактивный обмен информацией между пользователем и сервером. Разработчики предлагали множество способов расширения возможностей HTML в этом направлении, многие из которых так и не получили широкого распространения. Одним из самых мощных решений, явившихся новым этапом развития Интернет, стало предложения компании Sun использовать в качестве интерактивных компонентов, подключаемых к HTML-страницам Java-апплетов.

Java-апплет представляют собой программу, которая написана на языке программирования Java, и откомпилирована в специальные байт-коды, которые являются кодами некоторого виртуального компьютера - Java-машины - и отличны от кодов процессоров семейства Intel. Апплеты размешаются на сервере в Сети и загружаются на компьютер пользователя всякий раз, когда происходит обращение к HTML-странице, которая содержит в себе вызов данного апплета.

Для выполнения кодов апплетов стандартный браузер включает в себя реализацию Java-машины, которая осуществляет интерпретацию байт-кодов в машинные команды процессоров семейства Intel (или другого семейства). Заложенные в технологию Java-апплетов возможности, с одной стороны, позволяют разрабатывать мощные пользовательские интерфейсы, организовывать доступ к любым ресурсам сети по URL, легко использовать протоколы TCP/IP, FTP и т.д., а, с другой стороны, лишают возможности осуществить доступ непосредственно к ресурсам компьютера. Например, апплеты не имеют доступа к файловой системе компьютера и к подключенным устройствам.

Аналогичным решением по расширению возможностей WWW является и технология компании Microsoft - Active X. Самыми существенными отличиями данной технологии от Java является то, что компоненты (аналоги апплетов) - это программы в кодах процессора Intel и то, что эти компоненты имеют доступ ко всем ресурсам компьютера, а также интерфейсам и сервисам Windows.

Еще одним менее распространенным подходом к расширению возможностей WWW является подход, основанный на использовании технологии встраиваемых модулей Plug-in for Netscape Navigator компании Netscape. Именно эта технология и представляется наиболее оптимальной основой для построения систем защиты информации электронных платежей через Интернет. Для дальнейшего изложения рассмотрим, как с помощью данной технологии решается проблема защиты информации Web-сервера.

Предположим, что существует некоторый Web-сервер и администратору данного сервера требуется ограничить доступ к некоторой части информационного массива сервера, т.е. организовать так, чтобы одни пользователи имели доступ к некоторой информации, а остальные нет.

В настоящее время предлагается ряд подходов к решению данной проблемы, в частности, многие операционные системы, под управлением которых функционирует серверы сети Интернет, запрашивают пароль на доступ к некоторым своим областям, т.е. требуют проведения аутентификации. Такой подход имеет два существенных недостатка: во-первых, данные хранятся на самом сервере в открытом виде, а, во-вторых, данные передаются по сети также в открытом виде. Таким образом, у злоумышленника возникает возможность организации двух атак: собственно на сервер (подбор пароля, обход пароля и.т.) и атаки на трафик. Факты реализации подобных атак широко известны Интернет-сообществу.

Другим известным подходом е решению проблемы защиты информации является подход, основанный на технологии SSL (Secure Sockets Layer). При использовании SSL между клиентом и сервером устанавливается защищенный канал связи, по которому передаются данные, т.е. проблема передачи данных в открытом виде по сети может считаться относительно решенной. Главная проблема SSL заключается в построении ключевой системы и контроле над ней. Что же качается проблемы хранения данных на сервере в открытом виде, то она остается нерешенной.

Еще одним важным недостатком описанных выше подходов является необходимость их поддержки со стороны программного обеспечения и сервера, и клиента сети, что не всегда является возможным и удобным. Особенно в системах ориентированных на массового и неорганизованного клиента.

Предлагаемый автором подход основан на защите непосредственно html-страниц, которые являются основным носителем информация в Internet. Существо защиты заключается в том, что файлы, содержащие HTML-страницы, хранятся на сервере в зашифрованном виде. При этом ключ, на котором они зашифрованы, известен только зашифровавшему его (администратору) и клиентам (в целом проблема построения ключевой системы решается так же, как в случае прозрачного шифрования файлов).

Доступ клиентов к защищенной информации осуществляется с помощью технологии встраиваемых модулей Plug-in for Netscape компании Netscape. Данные модули представляют собой программы, точнее программные компоненты, которые связаны с определенными типами файлов в стандарте MIME. MIME - это международный стандарт, определяющий форматы файлов в Интернет. Например, существуют следующие типы файлов: text/html, text/plane, image/jpg, image/bmp и т.д. Кроме того, стандарт определяет механизм задания пользовательских типов файлов, которые могут определяться и использоваться независимыми разработчиками.

Итак, используются модули Plug-ins, которые связаны с определенными MIME-типами файлов. Связь заключатся в том, что при обращении пользователя к файлам соответствующего типа, браузер запускает связанный с ним Plug-in и этот модуль выполняет все действия по визуализации данных файла и обработке действий пользователя с этим файлов.

В качестве наиболее известных модулей Plug-in можно привести модули, проигрывающие видеоролики в формате avi. Просмотр данных файлов не входит в штатные возможности браузеров, но установив соответствующий Plug-in можно легко просматривать данные файлы в браузере.

Далее, все зашифрованные файлы в соответствии с установленным международным стандартом порядком определяются как файлы MIME типа. "application/x-shp". Затем в соответствии с технологией и протоколами Netscape разрабатывается Plug-in, который связывается с данным типом файлов. Этот модуль выполняет две функции: во-первых, он запрашивает пароль и идентификатор пользователя, а во-вторых, он выполняет работу по расшифрованию и выводу файла в окно браузера. Данные модуль устанавливается, в соответствии со штатным, установленным Netscape, порядком на браузеры всех компьютеров клиентов.

На этом подготовительный этап работы завершен система готова к функционированию. При работе клиенты обращаются к зашифрованным html-страницам по их стандартному адресу (URL). Браузер, определяет тип этих страниц и автоматически запускает разработанный нами модуль, передав ему содержимое зашифрованного файла. Модуль проводит аутентификацию клиента и при успешном ее завершении расшифровывает и выводит на экран содержимое страницы.

При выполнении всей данной процедуры у клиента создается ощущение “прозрачного” шифрования страниц, так как вся описанная выше работа системы скрыта от его глаз. При этом все стандартные возможности, заложенные в html-страницах, такие как использование картинок, Java-апплетов, CGI-сценариев - сохраняются.

Легко видеть, что при данном подходе решаются многие проблемы защиты информации, т.к. в открытом виде она находится только на компьютерах у клиентов, по сети данные передаются в зашифрованном виде. Злоумышленник, преследуя цель получить информацию, может осуществить только атаку на конкретного пользователя, а от данной атаки не может защитить ни одна системы защиты информации сервера.

В настоящее время, автором разработаны две системы защиты информации, основанные на предлагаемом подходе, для браузера Netscape Navigator (3.x) и Netscape Communicator 4.х. В ходе предварительного тестирования установлено, что разработанные системы могут нормально функционировать и под управлением MExplorer, но не во всех случаях.

Важно отметить, что данные версии систем не осуществляют зашифрование ассоциированных с HTML-страницей объектов: картинок, апплетов сценариев и т.д.

Система 1 предлагает защиту (шифрование) собственно html-страниц, как единого объекта. Вы создаете страницу, а затем ее зашифровываете и копируете на сервер. При обращении к зашифрованной странице, она автоматически расшифровывается и выводится в специальное окно. Поддержки системы защиты со стороны программного обеспечения сервера не требуется. Вся работа по зашифрованию и расшифрованию осуществляется на рабочей станции клиента. Данная система является универсальной, т.е. не зависит от структуры и назначения страницы.

Система 2 предлагает иной подход к защите. Данная система обеспечивает отображение в некоторой области Вашей страницы защищенной информации. Информация лежит в зашифрованном файле (не обязательно в формате html) на сервере. При переходе к Вашей странице система защиты автоматически обращается к этому файлу, считывает из него данные и отображает их в определенной области страницы. Данные подход позволяет достичь максимальной эффективности и эстетической красоты, при минимальной универсальности. Т.е. система оказывается ориентированной на конкретное назначение.

Данный подход может быть применен и при построении систем электронных платежей через Интернет. В этом случае, при обращении к некоторой странице Web-сервера происходит запуск модуля Plug-in, который выводит пользователю форму платежного поручения. После того как клиент заполнит ее, модуль зашифровывает данные платежа и отправляет их на сервер. При этом он может затребовать электронную подпись у пользователя. Более того, ключи шифрования и подписи могут считываться с любого носителя: гибких дисков, электронных таблеток, смарт-карт и т.д.

Основные правила, которые стоит соблюдать покупателю

  1. Никогда никому не сообщайте ваш пароль, включая сотрудников платежных систем.
  2. Проверяйте, что соединение действительно происходит в защищенном режиме SSL — в правом нижнем углу вашего браузера должен быть виден значок закрытого замка;
  3. Проверяйте, что соединение установлено именно с адресом платежной системы или интернет-банка;
  4. Никогда не сохраняйте информацию о вашем пароле на любых носителях, в том числе и на компьютере. Если у вас возникли подозрения, что кто-либо получил доступ к вашему личному кабинету, смените пароль или заблокируйте ваш счет/аккаунт;
  5. После окончания работы обязательно нажимайте кнопку Выход;
  6. Убедитесь, что компьютер не поражен какими-либо вирусами. Установите и активизируйте антивирусные программы. Старайтесь их постоянно обновлять, так как действие вирусов может быть направлено на передачу третьим лицам информации о вашем пароле;
  7. Используйте программное обеспечение из проверенных и надежных источников, выполняйте регулярные обновления.

Статистика
По статистике, чаще всего подвергаются атакам следующие системы: терминалы (32%), сервера баз данных (30%), серверы приложений (12%), веб-серверы (10%). На рабочие станции, серверы аутентификации, серверы резервного копирования, файловые хранилища и прочее приходится только 10%. Из данной статистики наглядно видна актуальность безопасности именно сайтов и приложений , так как через их уязвимости чаще всего становится возможным получение доступа к данным.

Что обеспечивает безопасность платежных систем

Безопасные/зашифрованные интернет-соединения

  • В настоящее время наличие SSL сертификата на сайте не является достаточным условием для безопасного проведения интернет-платежей. Только комплексный подход, сертифицированный по современным международным стандартам, позволяет говорить о том, что безопасность обработки интернет-платежей обеспечивается на самом высоком уровне.

Клиентская защита

  • Логин/пароль доступа для входа в систему, который проходит тестирование на сложность;
  • Комбинация номера банковской карты, срока действия, имени держателя карты, CVV/CVC кодов;
  • Возможность создания , дублирующей основную, для проведения интернет-платежей;

Техническая защита

  • Привязка платежного сервиса к фиксированному IP-адресу и телефонному номеру клиента;
  • Осуществление клиентского доступа в систему по зашифрованному протоколу HTTPS/SSL;
  • Возможность использования виртуальной клавиатуры для набора данных идентификации (противодействие перехвату личных данных);
  • Разделение каналов формирования транзакций и канала авторизации транзакций:
    • авторизация транзакций осуществляется через специальный код, который при совершении платежа клиент получает от системы на свой мобильный телефон по SMS (случайная комбинация букв и цифр, действующая только в течение нескольких минут).

Защита пластиковых карт
Злоумышленники чаще всего пытаются получить . В отчетах исследований специалистов в области платежной безопасности - компаний Verizon и Trustwave указывается статистика: в 85-ти и 98-ми случаев из 100 соответственно, целью атаки были именно .

Сертификация платежных систем
Сертификация сервис-провайдеров и владельцев бизнеса (мерчантов) с количеством транзакций более 6 млн. в год подлежит сертификации Qualified Security Assessor (QSA), которые в России выдаются компаниями IBM , NVision Group , Deiteriy , Digital Security , TrustWave , ЕВРААС ИТ , Информзащита , Инфосистемы Джет , Крок Инкорпорейтед .

  1. Сертификат соответствия стандарту Payment Card Industry Data Security Standard (PCI DSS);
  2. Сертификат безопасности на соответствие международным требованиям к менеджменту информационной безопасности в сфере разработки, внедрения и сопровождения программных средств ISO/IEC 27001:2005;
  3. Использование электронно-цифровой подписи (ЭЦП);
  4. Лицензии на право осуществления деятельности по предоставлению, техническому обслуживанию, распространению шифровальных (криптографических) средств.

Начиная с 1 июля 2012 года использование несертифицированных приложений компаниями, попадающими под действие стандарта PCI DSS, будет запрещено.
PCI DSS стандарт защиты информации в индустрии платёжных карт был разработан международными платёжными системами Visa и MasterCard и представляет собой совокупность 12 детализированных требований по обеспечению безопасности данных о держателях платёжных карт, которые передаются, хранятся и обрабатываются в информационных инфраструктурах организаций. Принятие соответствующих мер по обеспечению соответствия требованиям стандарта подразумевает комплексный подход к обеспечению информационной безопасности данных платёжных карт.

Уязвимые места и способы защиты
С точки зрения информационной безопасности в системах электронных платежей существуют следующие уязвимые места:

  1. Пересылка платежных и других сообщений между банком и клиентом и между банками;
  2. Обработка информации внутри организаций отправителя и получателя сообщений;
  3. Доступ клиентов к средствам, аккумулированным на счетах.
  4. Одним из наиболее уязвимых мест в системе электронных платежей является пересылка платежных и других сообщений между банками, между банком и банкоматом, между банком и клиентом.

Защита при пересылке платежных сообщений:

  1. Внутренние системы организаций отправителя и получателя должны быть приспособлены для отправки и получения электронных документов и обеспечивать необходимую защиту при их обработке внутри организации (защита оконечных систем);
  2. Взаимодействие отправителя и получателя электронного документа осуществляется опосредовано – через канал связи.

Проблемы, решаемые при организации защиты платежей:

  • взаимное опознавание абонентов (проблема установления взаимной подлинности при установлении соединения);
  • защита электронных документов, передаваемых по каналам связи (проблемы обеспечения конфиденциальности и целостности документов);
  • защита процесса обмена электронными документами (проблема доказательства отправления и доставки документа);
  • обеспечение исполнения документа (проблема взаимного недоверия между отправителем и получателем из-за их принадлежности к разным организациям и взаимной независимости).

Обеспечение безопасности платежных систем
Для обеспечения функций защиты информации на отдельных узлах системы электронных платежей должны быть реализованы следующие механизмы защиты:

  • управление доступом на оконечных системах;
  • контроль целостности сообщения;
  • обеспечение конфиденциальности сообщения;
  • взаимная аутентификация абонентов;
  • невозможность отказа от авторства сообщения;
  • гарантии доставки сообщения;
  • невозможность отказа от принятия мер по сообщению;
  • регистрация последовательности сообщений;
  • контроль целостности последовательности сообщений.

Качество решения указанных выше проблем в значительной мере определяется рациональным выбором криптографических средств при реализации механизмов защиты.

Платежная система - это система взаимодействия участников
С организационной точки зрения ядром платежной системы является ассоциация банков, объединенная договорными обязательствами. Кроме того, в состав электронной платежной системы входят предприятия торговли и сервиса, образующие сеть точек обслуживания. Для успешного функционирования платежной системы необходимы и специализированные организации, осуществляющие техническую поддержку обслуживания карт: процессинговые и коммуникационные центры, центры технического обслуживания и т.п.

3. Защита электронных платежей

Проблема безопасности банков стоит особенно остро, так как банковская информация , во-первых, представляет собой реальные деньги, а во-вторых, затрагивает конфиденциальные интересы большого количества клиентов банка.

Объем рынка электронной коммерции в 2000 г.

Объем и характеристики рынка Оценка, долл.
Общая стоимость всех приобретений Internet-продуктов 4,5-6 млрд.
Общая стоимость всех приобретений на среднего покупателя 600-800
Стоимость среднего приобретения на Internet-транзакцию 25-35
Полный объем транзакций-приобретений по Internet 130-200 млн.
Доля приобретений продуктов on-line 60-70%
Доля приобретений доставляемых товаров 30-40%

Общая схема функционирования электронных платежных систем

Банк, заключивший соглашение с системой и получивший соответствующую лицензию, может выступать в двух качествах - как эмитент платежных средств данной системы, принимаемых к оплате всеми другими банками-участниками, и как банк-эквайрер, обслуживающий предприятия, принимающие к оплате платежные средства данной системы, выпущенные другими эмитентами, и принимающий эти платежные средства к обналичиванию в своих отделениях.
Процедура приема платежа достаточно проста. В первую очередь кассир предприятия должен убедиться в подлинности карты по соответствующим признакам.
При оплате предприятие должно перенести реквизиты карты клиента на специальный чек с помощью копировальной машины - импринтера, занести в чек сумму, на которую была совершена покупка или оказаны услуги, и получить подпись клиента.
Оформленный таким образом чек называют слипом. В целях безопасного проведения операций платежной системой рекомендуются нижние лимиты сумм для различных регионов и видов бизнеса, по которым можно проводить расчеты без авторизации. При превышении лимитной суммы или в случае возникновения сомнения в личности клиента предприятие обязано провести процесс авторизации.
Не останавливаясь на технических аспектах процедуры, укажем, что при авторизации предприятие фактически получает доступ к информации о статусе счета клиента и таким образом получает возможность установить принадлежность карты клиенту и его платежную способность в размере суммы сделки. Одна копия слипа остается в предприятии, вторая передается клиенту, третья доставляется в банк-эквайрер и служит основанием для возмещения суммы платежа предприятию со счета клиента.
В последние годы широкую популярность приобретают POS-терминалы, при использовании которых нет необходимости в заполнении слипов. Реквизиты карты считываются с магнитной полосы на встроенном в POS-терминал считывателе, с клавиатуры вводится сумма сделки, и терминал через встроенный же модем обращается за авторизацией в соответствующую платежную систему. При этом используются технические мощности процессингового центра, услуги которого предоставлены торговцу банком. В этом случае предприятие отчитывается перед банком копией кассовой ленты с образцом подписи клиента и батч-файлами, которые генерирует терминал по закрытии операционного дня.
В последние годы все большее внимание привлекают к себе банковские системы с использованием микропроцессорных карт . Внешне эти носители информации ничем не отличаются от обычных карт, кроме впаянного внутрь карты чипа памяти или микропроцессора и выведенных на ее поверхность лепестков контактных пластинок.
Принципиальным отличием этих карт от всех вышеперечисленных является то, что они непосредственно несут информацию о состоянии счета клиента, поскольку сами являются транзитным счетом. Понятно, что каждый пункт приема подобных карт должен быть оснащен специальным POS-терминалом (с чип-ридером).
Для того, чтобы иметь возможность пользоваться картой, клиент должен загрузить ее со своего счета на банковском терминале. Все транзакции совершаются в режиме OFF-LINE в процессе диалога карта - терминал или карта клиента - карта продавца.
Такая система является почти полностью безопасной ввиду высокой степени защищенности чипа и полной дебетовой схеме расчетов. Кроме того, хотя сама карта и существенно дороже обычной, система в процессе функционирования оказывается даже дешевле за счет того, что в режиме OFF-LINE не используется нагрузка на телекоммуникации.
Электронные платежи с использованием пластиковых банковских карт различных видов представляют собой достаточно гибкий и универсальный механизм расчетов в цепочке “Банк 1 - Клиент - Предприятие - Банк 2” и межбанковских расчетов типа “Банк 1 - ... - Банк N”. Однако именно универсальность этих платежных инструментов делает их особенно притягательным объектом для мошенничества. Ежегодная статья убытков, связанных со злоупотреблениями, составляет внушительную сумму, хотя и относительно небольшую по сравнению с общим оборотом.

Систему безопасности и ее развитие невозможно рассматривать в отрыве от методов незаконных операций с пластиковыми картами, которые можно поделить на 5 основных видов преступлений.

1. Операции с поддельными картами.
На этот вид мошенничества приходится самая большая доля потерь платежной системы. Ввиду высокой технической и технологической защищенности реальных карт, самодельные карты в последнее время используются редко и их можно определить с помощью простейшей диагностики.
Как правило, для подделки используют похищенные заготовки карт, на которые наносятся реквизиты банка и клиента. Будучи технически высоко оснащенными, преступники могут даже наносить информацию на магнитную полосу карты или копировать ее, словом, выполнять подделки на высоком уровне.
Исполнителями подобных акций являются, как правило, организованные преступные группировки, иногда вступающие в сговор с сотрудниками банков-эмитентов, имеющими доступ к информации о счетах клиентов, процедуре проведения транзакций. Отдавая должное международному преступному сообществу, надо отметить, что поддельные карты появились в России практически одновременно с началом развития этого сектора банковского рынка.

2. Операции с украденными/утерянными картами.
Нанести крупный ущерб по украденной карте можно лишь в том случае, если мошенник знает PIN-код клиента. Тогда становится возможным снятие крупной суммы со счета клиента через сеть электронных кассиров - банкоматов до того, как банк-эмитент украденной карты успеет поставить ее в электронный стоп-лист (список недействительных карт).

3. Многократная оплата услуг и товаров на суммы, не превышающие “floor limit” и не требующие проведения авторизации. Для проведения расчетов преступнику необходимо лишь подделать подпись клиента. Однако при данной схеме становится недоступен самый привлекательный объект злоупотреблений - наличные деньги . К этой категории можно отнести преступления с картами, похищенными во время их пересылки банком-эмитентом своим клиентам по почте.

4. Мошенничество с почтовыми/телефонными заказами.
Этот вид преступлений появился в связи с развитием сервиса доставки товаров и услуг по почтовому или телефонному заказу клиента. Зная номер кредитной карты своей жертвы, преступник может указать ее в бланке заказа и, получив заказ на адрес временного места жительства, скрыться.

5. Многократное снятие со счета.
Данные преступления, как правило, совершаются работниками юридического лица, принимающими платеж от клиента за товары и услуги по кредитной карте, и осуществляется путем оформления нескольких платежных чеков по одному факту оплаты. На основании предъявленных чеков на счет предприятия поступает больше денег, нежели стоимость проданного товара или оказанной услуги. Однако по совершении ряда сделок преступник вынужден закрыть или покинуть предприятие.

Для избежания подобных действий пользователям карты рекомендуется внимательнее относится к документам, подписываемым при совершении сделок (даже на незначительные суммы).

Применяемые подразделениями безопасности методы можно разделить на две основные категории. Первый и, пожалуй, самый важный уровень связан с технической защищенностью самой пластиковой карты. Сейчас с уверенностью можно сказать, что с точки зрения технологии карта защищена лучше, чем денежные знаки, и изготовить ее самому без применения сложнейших технологий практически невозможно.
Карты любой платежной системы удовлетворяют строго установленным стандартам. Карта имеет стандартную форму. Идентификационный номер банка в системе (BIN код) и номер счета клиента в банке, его имя и фамилия, срок действия карты эмбоссированы и размещены в строго установленных позициях на лицевой стороне карты. Там же располагается символ платежной системы, выполненный голографическим способом. Последние четыре цифры номера карты эмбоссированы (рельефно выдавлены) непосредственно на голографическом символе, что делает невозможным копирование голограммы или переэмбоссирование кода без разрушения символа.
На обратной стороне карты размещены магнитная полоса и область с образцом подписи владельца. На магнитной полосе в строго определенных позициях и с использованием криптографических алгоритмов записываются реквизиты самой платежной системы, защитные метки, символы, препятствующие копированию информации, и дублируется информация, нанесенная на лицевую сторону карты. Область образца подписи владельца имеет специальное покрытие. При малейшей попытке сделать подчистки или переправить подпись покрытие разрушается и проявляется подложка другого цвета с защитными символами платежной системы.
Остальная площадь поверхности карты предоставлена целиком в распоряжение банка-эмитента и оформляется произвольным образом символами банка, его рекламой и необходимой для клиентов информацией. Сама карта защищена знаками, которые видны только в ультрафиолетовом свете.
К техническим мерам защиты также относится защита коммуникаций банка, банковских сетей от незаконных вторжений, поломок и прочих внешних воздействий, приводящих к утечке или даже уничтожению информации. Защита осуществляется программно-аппаратными средствами и сертифицируется полномочными организациями платежной системы.
Ко второй категории мер защиты относятся меры по предотвращению утечки информации из банковских отделов по работе с пластиковыми картами. Основным принципом является четкое разграничение служебных обязанностей сотрудников и, в соответствии с этим, ограничение доступа к секретной информации в объеме, не превышающем необходимого минимума для работы.
Эти мероприятия снижают риск и возможность вступления в сговор преступников со служащими. C работниками проводятся тематические семинары для повышения квалификации. Платежные системы регулярно распространяют бюллетени безопасности, в которых публикуют служебный материал и статистику по преступлениям с картами, сообщают приметы преступников и признаки поддельных карт, поступающих в незаконное обращение. Посредством бюллетеней проводится обучение персонала и организуются профилактические и специальные мероприятия, направленные на снижение преступности.
Обращается особое внимание на кадровый отбор служащих отдела. Все вопросы безопасности находятся в ведении специального должностного лица из службы безопасности. Среди профилактических мер самое важное место занимает работа с клиентами, направленная на повышение культурного уровня обращения с “пластиковыми деньгами”. Внимательное и аккуратное обращение с картой существенно снижает вероятность стать жертвой преступления.

Анализ нарушений в системе электронных расчетов и платежей

В кругу специалистов хорошо известно, что быстрое падение Норвегии во второй мировой войне было в значительной степени обусловлено тем, что шифры Британского Королевского флота были раскрыты немецкими криптографами, которые использовали точно те же методы, что и специалисты подразделения “Комната 40” Королевского Флота использовали против Германии в предыдущей войне.
Начиная со второй мировой войны, над правительственным использованием криптографии спускается завеса секретности. Это не удивительно, и дело не только в холодной войне, но также и в нежелании бюрократов (в любой организации) признать свои ошибки.
Рассмотрим некоторые способы, с помощью которых фактически совершались мошенничества с банкоматами. Цель - проанализировать идеи проектировщиков, направленные на теоретическую неуязвимость их изделия и извлечь уроки из случившегося.
Начнем с нескольких простых примеров, которые показывают несколько типов мошенничеств, которые могут быть выполнены без больших технических ухищрений, а также банковские процедуры, которые позволили им случиться.
Хорошо известно, что магнитная полоса на карточке клиента должна содержать только его номер счета, а его персональный идентификационный номер (PIN-код) получается процедурой шифрования номера счета и взятия четырех цифр от результата. Таким образом, банкомат должен быть способен исполнять процедуру шифрования или выполнять проверку PIN-кода иным образом (например, интерактивным запросом).
Недавно Королевский суд Винчестера в Англии осудил двоих преступников, использовавших простую, но эффективную схему. Они стояли в очередях к банкоматам, подсматривали PIN-коды клиентов, подбирали отвергнутые банкоматом карточки и копировали номера счетов с них на незаполненные карточки, которые использовались для ограбления счетов клиентов.
Эта уловка использовалась (и об этом сообщалось) несколько лет назад в одном из банков Нью-Йорка. Преступником был уволенный техник по банкоматам, и ему удалось украсть 80 000 долларов, прежде чем банк, нашпиговав соответствующий район сотрудниками службы безопасности, не поймал его на месте преступления.
Эти нападения удались потому, что банки печатали на банковской карточке номер счета клиента полностью, и, кроме того, на магнитной полоске не имелось криптографической избыточности. Можно было бы подумать, что урок Нью-йоркского банка будет усвоен, но нет.
Другой тип технического нападения основывается на том, что во многих сетях банкоматов сообщения не шифруются и не выполняются процедуры подтверждения подлинности при разрешении на операцию. Это означает, что злоумышленник может делать запись-ответ из банка банкомату “разрешаю оплату” и затем повторно прокручивать запись пока банкомат не опустеет. Эта техника, известная как “потрошение”, используется не только внешними злоумышленниками. Известен случай, когда операторы банка использовали устройство управления сетью для “потрошения” банкоматов вместе с сообщниками.

Тестовые транзакции являются еще одним источником проблем

Для одного типа банкоматов использовалась четырнадцатизначная ключевая последовательность для тестовой выдачи десяти банкнот. Некий банк напечатал эту последовательность в руководстве по использованию удаленных банкоматов. Через три года внезапно начались исчезновения денег. Они продолжались, пока все банки, использующие данный тип банкомата, не включили исправления программного обеспечения, запрещающие тестовую транзакцию.
Наиболее быстрый рост показывают мошенничества с использованием ложных терминалов для сбора счетов клиентов и PIN-кодов. Нападения этого вида были впервые описаны в США в 1988 году. Мошенники построили машину, которая принимает любую карточку и выдает пачку сигарет. Данное изобретение было помещено в магазине, и PIN-коды и данные с магнитных карточек передавались посредством модема. Трюк распространился по всему миру.
Технические сотрудники также крадут деньги клиентов, зная, что их жалобы, скорее всего, будут проигнорированы. В одном банке в Шотландии инженер службы технической поддержки присоединил к банкомату компьютер и записывал номера счетов клиентов и их PIN-коды. Затем он подделал карточки и воровал деньги со счетов. И вновь клиенты жаловались в глухие стены. За такую практику банк подвергся публичной критике одним из высших юридических чинов Шотландии.
Цель использования PIN-кода из четырех цифр состоит в том, что если кто-то находит или крадет банковскую карточку другого лица, то имеется один шанс на десять тысяч случайного угадывания кода. Если позволяются только три попытки ввода PIN-кода, тогда вероятность снять деньги с украденной карточки меньше, чем одна трехтысячная. Однако некоторые банки ухитрились сократить разнообразие, даваемое четырьмя цифрами.
Некоторые банки не придерживаются схемы получения PIN-кода посредством криптографического преобразования номера счета, а используют случайно выбранный PIN-код (или позволяют заказчикам осуществлять выбор) с последующим криптопреобразованием его для запоминания. Помимо того, что клиент может выбрать PIN-код, который легко угадать, такой подход приводит к некоторым техническим ловушкам.
Некоторые банки держат зашифрованное значение PIN-кода в файле. Это означает, что программист может получить зашифрованное значение собственного PIN-кода и выполнить поиск в базе данных всех других счетов с таким же PIN-кодом.
Один большой банк Великобритании даже записывал зашифрованное значение PIN-кода на магнитной полосе карточки. Преступному сообществу потребовалось пятнадцать лет, чтобы осознать то, что можно заменить номер счета на магнитной полосе собственной карточки и затем использовать ее со своим собственным PIN-кодом для кражи с некоторого счета.
По этой причине, в системе VISA рекомендуется, чтобы банки комбинировали номер счета клиента с его PIN-кодом перед зашифрованием. Однако не все банки это делают.
Более изощренные нападения до сих пор были связаны с простыми ошибками реализации и рабочих процедур. Профессиональные исследователи проблем безопасности имели тенденцию рассматривать такие грубые ошибки как неинтересные и поэтому обращали основное внимание на нападения, основанные на разработке более тонких технических недоработок. В банковском деле также имеет место ряд слабых мест в системе безопасности.
Хотя атаки банковских систем, построенные на высоких технологиях, происходят достаточно редко, они интересны с общественной точки зрения, поскольку государственные инициативы, такие как Критерий оценки технологии информационной безопасности стран ЕС (ITSEC), имеют цель разработать набор продуктов, которые сертифицированы на отсутствие известных технических ошибок. Предложения, лежащие в основе этой программы состоят в том, что реализация и технологические процедуры соответствующих продуктов будут по существу свободны от ошибок, и что для нападения необходимо обладать технической подготовкой, сравнимой с подготовкой специалистов правительственных агентств безопасности. Видимо, такой подход более уместен для военных систем, чем для гражданских.
Чтобы понять, как осуществляются более изощренные нападения, необходимо рассмотреть банковскую систему безопасности более подробно.

Проблемы, связанные с модулями безопасности

Не все изделия, обеспечивающие безопасность, обладают одинаково высоким качеством, и лишь немногие банки имеют квалифицированных экспертов для отличия хороших продуктов от посредственных.
В реальной практике существуют некоторые проблемы с шифрующими изделиями, в частности, старым модулем безопасности 3848 фирмы IBM или модулями, рекомендуемыми в настоящее время банковским организациям.
Если банк не имеет аппаратно реализованных модулей безопасности, функция шифрования PIN-кода будет реализована в программном обеспечении с соответствующими нежелательными последствиями. Программное обеспечение модулей безопасности может иметь точки прерываний для отладки программных продуктов инженерами фирмы-производителя. На этот факт было обращено внимание, когда в одном из банков было принято решение о включении в сеть и системный инженер фирмы-производителя не смог обеспечить работу нужного шлюза. Чтобы все-таки выполнить работу, он использовал одну из этих уловок для извлечения PIN-кодов из системы. Существование таких точек прерывания делает невозможным создание надежных процедур управления модулями безопасности.
Некоторые производители модулей безопасности сами облегчают подобные нападения. Например, применяется метод генерации рабочих ключей на базе времени суток и, как следствие, реально используется только 20 битов ключа, вместо ожидаемых 56. Таким образом, согласно теории вероятностей, на каждые 1000 сгенерированных ключей два будут совпадать.
Это делает возможным некоторые тонкие злоупотребления, в которых злоумышленник управляет коммуникациями банка так, чтобы транзакции одного терминала подменялись бы транзакциями другого.
Программисты одного банка даже не стали связываться с неприятностями, сопряженными с введением ключей клиента в программы шифрования. Они просто установили указатели на значения ключа в область памяти, которая всегда обнулена при старте системы. Результатом данного решения явилось то, что реальные и тестовые системы использовали одни и те же области хранения ключей. Технические специалисты банка сообразили, что они могут получать клиентские PIN-коды на оборудовании для тестирования. Несколько человек из их числа связались с местными преступниками для подбора PIN-кодов к украденным банковским карточкам. Когда управляющий службой безопасности банка раскрыл происходящее, он погиб в автокатастрофе (причем местная полиция “потеряла” все соответствующие материалы). Банк не побеспокоился разослать новые карточки своим клиентам.
Одна из основных целей модулей безопасности состоит в том, чтобы предотвратить получение программистами и персоналом, имеющим доступ к компьютерам, ключевой информации банка. Однако секретность, которую обеспечивают электронные компоненты модулей безопасности, часто не выдерживает попыток криптографического проникновения.
Модули безопасности имеют собственные мастер-ключи для внутреннего использования, и эти ключи должны поддерживаться в определенном месте. Резервная копия ключа часто поддерживается в легко читаемой форме, такой, как память PROM, и ключ может читаться время от времени, например, при передаче управления по набору зональных и терминальных ключей от одного модуля безопасности к другому. В таких случаях банк оказывается полностью на милосердии экспертов в процессе выполнения данной операции.

Проблемы, связанные с технологиями проектирования

Кратко обсудим технологию проектирования банкоматов. В старых моделях код программ шифрования размещался в неверном месте - в устройстве управления, а не в модуле непосредственно. Устройство управления предполагалось размещать в непосредственной близости от модуля в определенной области. Но большое количество банкоматов в настоящее время не расположены в непосредственной близости от здания банка. В одном университете Великобритании банкомат был расположен в университетском городке и посылал незашифрованные номера счетов и PIN-коды по телефонной линии в устройство управления филиала, который был расположен на расстоянии нескольких миль от города. Любой, кто не поленился бы использовать устройство прослушивания телефонной линии, мог бы подделывать карточки тысячами.
Даже в тех случаях, когда покупается одно из лучших изделий, существует большое количество вариантов, при которых неправильная реализация или непродуманные технологические процедуры приводят к неприятностям для банка. Большинство модулей безопасности возвращают целый диапазон кодов возврата на каждую транзакцию. Некоторые из них, такие как “ошибка четности ключа”, дают предупреждение о том, что программист экспериментирует с реально используемым модулем. Однако лишь немногие банки побеспокоились, чтобы написать драйвер устройства, необходимый для перехвата этих предупреждений и соответствующих действий.
Известны случаи, когда банки заключали субподрядные договора на всю или часть системы обеспечения банкоматов с фирмами, “предоставляющими соответствующие услуги”, и передавали в эти фирмы PIN-коды.
Также отмечены прецеденты, когда PIN-коды разделялись между двумя или большим числом банков. Даже если весь обсуживающий персонал банка считать заслуживающим доверия, внешние фирмы могут не поддерживать политику безопасности, характерную для банков. Штат этих фирм не всегда проверен надлежащим образом, скорее всего, имеет низкую оплату, любопытен и опрометчив, что может привести к замыслу и исполнению мошенничества.
В основе многих из описанных управленческих ошибок лежит непроработанность психологической части проекта. Филиалы и компьютерные центры банка должны, завершая дневную работу, выполнять стандартные процедуры, но только те контрольные процедуры, чья цель очевидна, вероятно, будут соблюдаться строго. Например, разделение ключей от сейфа отделения между менеджером и бухгалтером хорошо понято: это защищает их обоих от захвата их семей в качестве заложников. Криптографические ключи не часто упаковываются в форме, удобной для пользователя, и поэтому они вряд ли будут использоваться правильно. Частичным ответом могли бы быть устройства, фактически напоминающие ключи (по образу криптографических ключей запалов ядерного оружия).
Можно было бы много написать относительно улучшения эксплуатационных процедур, но если цель состоит в предотвращении попадания любого криптографического ключа в руки того, кто обладает технической возможностью злоупотреблять им, тогда должна быть поставлена точная цель в руководствах и обучающих курсах. Принцип “безопасности за счет неясности” часто приносит больше вреда, чем пользы.

Распределение ключей

Распределение ключей представляет определенную проблему для филиалов банка. Как известно, теория требует, чтобы каждый из двух банкиров вводил свою компоненту ключа, так, что их комбинация дает главный ключ терминала. PIN-код, зашифрованный на терминальном мастер-ключе, посылается в банкомат при первой транзакции после технического обслуживания.
Если инженер, обслуживающий банкомат, получит обе компоненты ключа, он может расшифровать PIN-код и подделывать карточки. На практике менеджеры филиалов, которые хранят ключи, чуть ли не счастливы передать их инженеру, поскольку им не хочется стоять рядом с банкоматом, пока он обслуживается. Более того, ввод терминального ключа означает использование клавиатуры, что менеджеры старшего поколения считают ниже своего достоинства.
Обычной практикой является неверное управление ключами. Известен случай, когда инженеру из обслуживающего персонала были переданы обе микросхемы с мастер-ключами. Хотя процедуры двойного контроля в теории существовали, сотрудники службы безопасности передали микросхемы, так как последние ключи были использованы и никто не знал, что делать. Инженер мог бы не только подделывать карточки. Он мог бы уйти с ключами и прекратить все операции банка с банкоматами.
Не безынтересным является тот факт, что ключи чаще хранятся в открытых файлах, чем в защищенных. Это относится не только к ключам банкоматов, но и к ключам для систем взаиморасчетов между банками, такими как SWIFT, в которых совершаются транзакции, стоящие миллиарды. Было бы разумно использовать ключи инициализации, типа терминальных ключей и зональных ключей, только один раз, а затем их уничтожать.

Криптоаналитические угрозы

Криптоаналитики, вероятно, представляют наименьшую угрозу для банковских систем, но и они полностью не могут быть сброшены со счетов. Некоторые банки (включая большие и известные) все еще используют доморощенные криптографические алгоритмы, созданные в годы, предшествующие DES. В одной сети передачи данных блоки данных просто “скремблировались” добавлением константы. Этот метод не подвергался критике в течение пяти лет, несмотря на то, что сеть использовалась более чем 40 банками. Причем все эксперты по страхованию, аудиту и безопасности этих банков, видимо, читали спецификации системы.
Даже если используется “респектабельный” алгоритм, он может быть реализован с неподходящими параметрами. Например, некоторые банки реализовали алгоритм RSA с длиной ключа от 100 до 400 бит, несмотря на то, что длина ключа должна быть не менее 500 бит для того, чтобы обеспечить требуемый уровень безопасности.
Можно находить ключ и методом грубой силы, опробуя все возможные ключи шифрования, пока не найдется ключ, который использует конкретный банк.
Протоколы, используемые в международных сетях для шифрования рабочих ключей, с помощью зональных ключей делают легким такое нападение на зональный ключ. Если один раз зональный ключ был вскрыт, все PlN-коды, посылаемые или получаемые банком по сети, могут быть расшифрованы. Недавнее изучение вопроса экспертами Канадского банка показало, нападение такого рода на DES стоило бы около 30000 фунтов стерлингов на один зональный ключ. Следовательно, для подобного преступления вполне достаточно ресурсов организованной преступности, и такое преступление мог бы осуществить достаточно обеспеченный индивид.
Вероятно, необходимые для нахождения ключей специализированные компьютеры были созданы в спецслужбах некоторых стран, в том числе в странах, находящихся сейчас в состоянии хаоса. Следовательно, существует определенный риск того, что хранители этой аппаратуры могли бы использовать ее в целях личной наживы.

Все системы, и малые, и большие, содержат программные ошибки и подвержены ошибкам операторов. Банковские системы не являются исключением, и это осознает каждый, кто работал в промышленном производстве. Расчетные системы филиалов имеют тенденцию к укрупнению и усложнению, с множеством взаимодействующих модулей, которые эволюционируют десятилетиями. Некоторые транзакции неизбежно будут выполнены неверно: дебетование может быть дублировано, либо неправильно изменен счет.
Такая ситуация не является новостью для финансовых контролеров больших компаний, которые содержат специальный штат для согласования банковских счетов. Когда появляется ошибочное дебетование, эти служащие требуют для анализа соответствующие документы и, если документы отсутствуют, получают возмещение неверного платежа от банка.
Однако клиенты банкоматов не имеют такой возможности для погашения оспариваемых платежей. Большинство банкиров вне США просто говорят, что в их системах ошибок нет.
Такая политика приводит к определенному юридическому и административному риску. Во-первых, это создает возможность злоупотреблений, поскольку мошенничество конспирируется. Во-вторых, это приводит к слишком сложным для клиента доказательствам, что явилось причиной упрощения процедуры в судах США. В-третьих, это моральный ущерб, связанный с косвенным поощрением служащих банка к воровству, базирующемуся на знании, что они вряд ли будут пойманы. В-четвертых, это идейная недоработка, поскольку из-за отсутствия централизованного учета претензий клиентов отсутствует возможность правильно организованного контроля за случаями мошенничества.
Воздействие на деловую активность, связанное с потерями в банкоматах, довольно трудно точно оценить. В Великобритании Экономический Секретарь Казначейства (министр, ответственный за регулирование банковской деятельности) заявил в июне 1992 года, что подобные ошибки оказывают влияние по крайней мере на две транзакции из трех миллионов, совершаемых ежедневно. Однако под давлением судебных разбирательств последнего времени эта цифра была пересмотрена сначала до 1 ошибочной транзакции на 250 000, затем 1 на 100 000, и, наконец, 1 на 34 000.
Поскольку клиенты, которые обращаются с претензиями, обычно получают отпор со стороны сотрудников банка и большинство людей просто не в состоянии заметить одноразовое изъятие со счета, то наиболее реальное предположение состоит в том, что происходит около 1 неверной транзакции на 10 000. Таким образом, если средний клиент использует банкомат раз в неделю в течение 50 лет, мы можем ожидать, что один из четырех клиентов столкнется с проблемами использования банкоматов в течение своей жизни.

Проектировщики криптографических систем находятся в невыгодных условиях из-за недостатка информации о том, как происходят нарушения работы систем на практике, а не о том, как они могли бы произойти в теории. Этот недостаток обратной связи приводит к использованию неверной модели угроз. Проектировщики сосредоточивают усилия на том, что в системе может привести к нарушению, вместо того, чтобы сосредоточиться на том, что обычно приводит к ошибкам. Многие продукты настолько сложны и хитроумны, что они редко используются правильно. Следствием является том факт, что большинство ошибок связано с внедрением и сопровождением системы. Специфическим результатом явился поток мошенничеств с банкоматами, который не только привел к финансовым потерям, но и к судебным ошибкам и снижению доверия к банковской системе.
Одним из примеров реализации криптографических методов является криптографическая система защиты информации с использованием цифровой подписи EXCELLENCE.
Программная криптографическая система EXCELLENCE предназначена для защиты информации, обрабатываемой, хранимой и передаваемой между IBM-совместимыми персональными компьютерами, с помощью криптографических функций шифрования, цифровой подписи и контроля подлинности.
В системе реализованы криптографические алгоритмы, соответствующие государственным стандартам: шифрования - ГОСТ 28147-89. Цифровая подпись построена на основе алгоритма RSA.
Ключевая система со строгой аутентификацией и сертификацией ключей построена на широко применяемых в международной практике: протоколе X.509 и принципе открытого распределения ключей RSA.
Система содержит криптографические функции обработки информации на уровне файлов:

и криптографические функции работы с ключами:

Каждый абонент сети имеет свой секретный и открытый ключ. Секретный ключ каждого пользователя записан на его индивидуальную ключевую дискету или индивидуальную электронную карточку. Секретность ключа абонента обеспечивает защиту зашифрованной для него информации и невозможность подделки его цифровой подписи.

Система поддерживает два типа носителей ключевой информации:

Каждый абонент сети имеет защищенный от несанкционированного изменения файл-каталог открытых ключей всех абонентов системы вместе с их наименованиями. Каждый абонент обязан хранить свой секретный ключ в тайне.
Функционально система EXCELLENCE выполнена в виде программного модуля excell_s.exe и работает в операционной системе MS DOS 3.30 и выше. Параметры для выполнения функций передаются в виде командной строки DOS. Дополнительно поставляется интерфейсная графическая оболочка. Программа автоматически распознает и поддерживает 32-разрядные операции процессора Intel386/486/Pentium.
Для встраивания в другие программные системы реализован вариант системы EXCELLENCE, содержащий основные криптографические функции для работы с данными в оперативной памяти в режимах: память - память; память - файл; файл - память.

Прогноз на начало XXI века

Доля руководства банков, которая будет принимать действенные меры по решению проблемы информационной безопасности, должна возрасти до 40-80%. Основную проблему будет составлять обслуживающий (в том числе и бывший) персонал (от 40% до 95% случаев), а основными видами угроз - несанкционированный доступ (НСД) и вирусы (до 100% банков будут подвергаться вирусным атакам).
Важнейшими мерами обеспечения информационной безопасности будут являться высочайший профессионализм служб информационной безопасности. Для этого банки должны будут тратить до 30% прибыли на обеспечение информационной безопасности.
Несмотря на все перечисленные выше меры, абсолютное решение проблемы информационной безопасности невозможно. Вместе с тем, эффективность системы информационной безопасности банка полностью определяется величиной вкладываемых в нее средств и профессионализмом службы информационной безопасности, а возможность нарушения системы информационной безопасности банка целиком определяется стоимостью преодоления системы защиты и квалификацией мошенников. (В зарубежной практике считается, что имеет смысл “взламывать” систему защиты, если стоимость ее преодоления не превышает 25% стоимости защищаемой информации).

Какие действия предпринимаются в деле создания систем безопасных расчетов в сети Интернет и какие при этом используются технологические средства защиты? И почему, несмотря на якобы надежную защиту, продолжают процветать мошенничество и кражи в Интернете?

Лучше быть в безопасности, чем потом сожалеть.
Американская пословица

Не так давно автору довелось беседовать с одним из друзей, который в обычной застольной беседе внезапно заинтересовался, насколько же безопасны пластиковые карты вообще и использование их в расчетах при покупках в сети Интернет в частности. Попытки отмахнуться от него ставшей уже классической фразой «Полную гарантию может дать только страховой полис» ни к чему не привели. Подняв тему, он тут же запряг всю киплинговскую шестерку «Что? Почему? Когда? Как? Где? Кто?» и, пристегнув к ним своего любимца «А вот если?», этот друг, с детских лет отличающийся феноменально занудливой въедливостью, настроился услышать распространенные и доскональные ответы на все свои вопросы. Наверное, можно было бы ответить ему с большим усердием и постараться разложить все, как говорится, по полочкам, только вот интерес его был праздным…

Однако вопросы безопасности расчетов за товары и услуги в сети Интернет — вовсе не праздные, особенно с учетом широкого наступления электронной коммерции, залогом успеха которой становится постоянное увеличение числа пользователей Интернета, привлеченных более низкими ценами и отсутствием необходимости покидать дом или офис для приобретения товара или услуги. Как известно, жертвами онлайн-мошенников становятся не только держатели карт, пользующиеся услугами электронной коммерции, но и сами продавцы, предлагающие свои товары и услуги в сети Интернет.

Покупая в интернет-магазине и используя карту для оплаты покупки, держатель рискует потерять свои деньги, если данные его карты станут известны мошенникам, интернет-продавец же в свою очередь несет риск финансовых потерь, если товары или услуги были оплачены по украденной карте мошенником.

Эмитенты, эквайеры, крайние…

Напомним, что в платежных системах участники разделяются на банки-эмитенты, выпускающие карты для держателей, и банки-эквайеры (в частном случае эмитентом и эквайером может быть одна кредитная организация/банк), обеспечивающие прием выпущенных карт в точках продажи товаров и услуг. В соответствии с этим разделением строится следующая модель взаимодействия: обладатель карты осуществляет покупку в магазине, информация с магнитной полосы карты из магазина в форме запроса передается банку-эквайеру, обслуживающему этот магазин, оттуда, через сервисы самой платежной системы, — в банк-эмитент. Банк-эмитент производит проверку полученной информации о карте и держателе, а также состояния авторизационного лимита и по результатам проверки разрешает (или не разрешает) проведение транзакции. Положительный ответ банка-эмитента на авторизационный запрос является своего рода гарантией, что банк-эквайер получит средства и переведет их на счет магазина. По правилам международных платежных систем в традиционной торговле ответственность за мошеннические операции с картами распределяется приблизительно в равных пропорциях между банком-эмитентом и банком-эквайером, то есть в случае мошенничества держателю возвращает списанные средства либо эмитент (редкость в российских банках, где ответственность чаще перекладывается на держателя), либо эквайер за счет торгового предприятия. В интернет-коммерции же ответственность за мошеннические операции ложится уже однозначно на эквайера, который в свою очередь перекладывает ее на магазин, в итоге возврат средств обладателю карты осуществляется за счет интернет-магазина, через который прошла мошенническая транзакция. Отсюда следует, что наиболее незащищенным звеном в схеме совершения платежа в сети Интернет является онлайновая торговая точка, поскольку в конечном итоге именно за ее счет осуществляется возмещение убытков держателю карты. По описанной схеме работает значительное количество интернет-магазинов, принимающих к оплате карты, что предполагает наличие неких механизмов защиты, способных относительно успешно противостоять мошенничеству.

Протоколы и другие методы защиты

Меры, предпринимаемые участниками электронной коммерции для обеспечения безопасных расчетов в сети Интернет, всегда были достаточно многообразны.

Прежде всего, это обучение держателей карт минимальным навыкам для обеспечения собственной безопасности: пользование только знакомыми интернет-ресурсами, изучение порядка доставки товаров и предоставления услуг, проверка использования интернет-коммерсантом сертифицированных протоколов, гарантирующих безопасность передаваемой информации.

Кроме таких простых методов защиты от мошенничества, как воспитание держателей, безусловно, используются и технологические средства.

Широко используемый и ставший практически обязательным в интернет-торговле протокол SSL (Secure Socked Layer) позволяет всем участникам торговли спокойно передавать самую разную информацию. При попытке перехвата данных они будут закрыты шифром, взломать который за сколько-нибудь адекватный промежуток времени невозможно.

Грамотный держатель карты, пользующийся услугами интернет-ресурсов, осуществляющих продажу товаров и услуг, отнесется с предубеждением к отсутствию SSL у точки электронной коммерции. Протокол SSL использует технологию шифрования с открытым ключом и цифровые сертификаты для опознания сервера, участвующего в транзакции, и защиты информации в процессе ее передачи от одной стороны к другой по каналам Интернета. Транзакции протокола SSL не требуют идентификации клиента. Вначале клиент посылает сообщение серверу. Сервер отвечает и отправляет клиенту свой цифровой сертификат в качестве средства идентификации. Прежде чем продолжить транзакцию, клиент и сервер договариваются по поводу сеансовых ключей. Ключи сеанса — симметричные закрытые ключи — используются только в данной транзакции. Как только ключи выбраны, сеанс связи между клиентом и сервером продолжается, при этом используются ключи сеанса и цифровые сертификаты.

Итак, хотя протокол SSL надежно защищает информацию, передаваемую через Интернет, он не может уберечь частную информацию, хранимую на сервере продавца, — например, номера кредитных карт. Когда продавец получает данные кредитной карты вместе с заявкой на покупку, информация расшифровывается и сохраняется на сервере, пока заявка не будет выполнена. Если сервер не защищен и данные не зашифрованы, то возможен несанкционированный доступ к частной информации и дальнейшее использование ее в мошеннических целях.

В дополнение к использованию протокола шифрования передаваемых данных участники интернет-коммерции используют такие хорошо известные способы идентификации держателя карты, как проверка СVV2/СVK2-кодов (СVV2-код для карт платежной системы Visa и CVK2 — для MasterCard).

К способам идентификации стоит добавить проверку адреса AVS (Address Verification Service). Данная процедура в большей степени характерна для североамериканского рынка электронной коммерции, но, тем не менее, с ней приходилось сталкиваться и держателям карт российских банков, пытавшимся воспользоваться картами для оплаты товаров с доставкой на территории США.

Однако все эти меры безопасности явно недостаточны для обеспечения высокого уровня безопасности расчетов в сети Интернет.

Доля интернет-торговли неуклонно растет из года в год, увеличиваются обороты от продажи товаров и услуг в сети, пропорционально растет и количество мошеннических операций, но мало кто хочет отказываться от получаемых выгод, поэтому всех участников процесса все больше волнует безопасность проведения платежей и расчетов.

3-D — это не только захватывающие фильмы

Вопрос безопасности волнует не только держателя карты, производящего оплату товара в интернет-магазине, но и интернет-магазин, и эквайера, и эмитента, и больше всего — платежные системы, которые вкладывают огромные средства для обеспечения безопасности платежей и защиты от мошенничества.

Многочисленные попытки международных платежных систем сделать расчеты в области электронной коммерции максимально безопасными привели к появлению разработанного платежной системой Visa International протокола 3-D Secure.

Технология 3-D Secure представляет собой протокол аутентификации владельца карты при проведении покупок в сети Интернет, предназначенный для обеспечения безопасности интернет-платежей: проверка личности осуществляется в онлайн-режиме.

Основным действующим принципом технологии 3-D Secure стала гарантия безопасности проведения расчетов в системе электронной коммерции. Причем данная технология не только гарантирует сохранение в безопасности сведений о покупателях, но и в значительной степени способствует сохранению финансовых средств остальных участников платежа.

Реализуется технология 3-D Secure на основе трех доменов (что и заложено в ее названии), в которых начинается и завершается жизненный цикл транзакции. Это домен эмитента, в котором происходит аутентификация держателя, домен эквайера, включающий в себя банк-эквайер и интернет-магазин, и, наконец, домен взаимодействия, содержащий службы и сервисы платежной системы.

Цепочка, обеспечивающая безопасность 3-D Secure, состоит из таких звеньев, как:

— проверка личности владельца карты в реальном времени, которая начинается после ввода номера карты на платежной странице электронного магазина, откуда покупатель перенаправляется на сервер своего банка-эмитента. Для проверки используется пароль, известный только владельцу карты и банку;

— формирование банком-эмитентом по результатам проверки ответного сообщения, которое банк-эмитент защищает от несанкционированных изменений, используя цифровую пдпись;

— защита конфиденциальной информации пользователя, например номера карты, для чего используются защищенные страницы платежного сервера, на котором сохраняется введенная информация. Получатель платежа — электронный магазин — не имеет доступа к этой информации, что защищает от ее хищения.

Таким образом, 3-D Secure не только обеспечивает безопасное проведение платежа, но и разграничивает риски участников транзакции за счет четкого разделения функций при обработке платежной операции: банк-эмитент проверяет личность держателя карты, поскольку именно он располагает информацией о клиенте, а банк-эквайер автоматически организует связь с системой аутентификации эмитента, используя для этого сервисы платежных систем. Отметим, что, если мошенническая транзакция прошла через интернет-магазин, использующий технологию 3-D Secure, ответственность за нее, согласно правилам платежных систем, будет нести уже не эквайер, а эмитент, и при этом не имеет значения, использует эмитент технологию 3-D Secure или нет. Выгода использования протокола 3-D Secure для точки электронной коммерции понятна, а вот эмитенты попадают в сложную ситуацию, поскольку оказываются перед выбором: либо приобрести очень недешевое решение 3-D Secure и обезопасить своих клиентов и себя от мошенников, либо запретить держателям карт их использование в интернет-магазинах и потерять значительную часть клиентов, пользующихся интернет-коммерцией, либо ничего не делать и надеяться, что мошенничество не затронет их.

Можно с уверенностью сказать, что применение этого протокола гарантирует безопасность платежей через Интернет для всех пользователей в любых электронных магазинах.

В борьбе за безопасность интернет-платежей международные платежные системы действуют сообща, поэтому протокол 3-D Secure, предложенный Visa Int., был поддержан системой MasterCard Worldwide. Результатом сотрудничества в сфере безопасности интернет-расчетов стало появление программ Verified by Visa и MasterCard SecureCode. Обе программы для безопасных расчетов в Сети предлагают использовать технологию 3-D Secure.

В самом общем виде обе программы предлагают держателю карты для проведения интернет-платежей зарегистрироваться на сайте банка-эмитента и получить от него некое кодовое слово (число), которое потребуется ввести в всплывающем окне после решения держателя оплатить выбранный товар/услугу на сайте интернетпродавца. Именно по этому слову (числу), которое известно только банку-эмитенту и держателю, эмитент идентифицирует держателя и подтверждает возможность успешного проведения операции оплаты. Как вариант, кодовое слово или число может генерироваться единожды для каждой оплаты и высылаться SMS-сообщением на телефон держателя карты. В этом случае при регистрации держателю потребуется сообщить банку-эмитенту свой номер мобильного телефона, проконтролировать, чтобы на момент проведения операции телефон был в зоне действия оператора связи, и иметь положительный баланс на счете для успешного получения SMS-сообщения. Таким образом, проверкой введенной кодовой информации и отправкой банком-эмитентом ответного сообщения транзакция успешно завершается. Даны гарантии безопасности платежа и сохранности индивидуальной информации, эмитент и эквайер обеспечили проведение безопасного расчета, интернет-коммерсант продал товар, а держатель карты получил не только товар, но и новые преимущества от совершения покупки по 3-D Secure: в системе создается специальная регистрационная запись, фиксирующая платежи в Интернете, держателю не нужно иметь особую карту, чтобы оплачивать товары или услуги в сети Интернет. Кроме того, владельцам зарегистрированных карт Visa Int. предоставляет дополнительные удобства: возможность возврата денег, гарантированную защиту от мошенничества.

Прочитав все вышеизложенное, резонно задаться вопросом, почему же не все так хорошо, если все так хорошо? Почему продолжают встречаться случаи мошенничества и кражи персональных данных, почему Интернет кишит сообществами интернет-шоперов, делящихся информацией о потерянных деньгах и отказах в проведении платежей? Ответ прост — вся красивая модель работы 3-D Secure строится на непременном участии в этих программах и эмитента, и эквайера, и интернет-коммерсанта. Если держатель карты зайдет на сайт интернет-коммерсанта, участвующего в любой из программ Verified by Visa или MasterCard SecureCode, и получит отказ в проведении операции, это будет означать, что банк-эмитент, выдавший держателю карту, не присоединился к протоколу 3-D Secure.

По информации MasterCard Worldwide, в мире зарегистрировано более 470 тыс. интернет-магазинов, участвующих в программе MasterCard SecureCode, и примерно столько же участвующих в программе Verified by Visa.

А что в России?

В 2003 г. система ASSIST стала первой российской системой электронных платежей, сертифицированной Visa International по новой технологии 3-D Secure, что можно считать как значимым событием для самой компании, так и важным этапом в развитии электронной коммерции в России в целом. С этого времени система ASSIST выступает в качестве независимого провайдера аутентификации кард-холдера Verified by Visa.

Банки, принципиальные члены МПС, имеющие лицензию на интернет-эквайринг и заинтересованные в нем, могут подключать свои процессинговые центры к шлюзу ASSIST.

В деле обеспечения возможности участникам электронной коммерции принимать к оплате карты международных платежных систем активно стартовала компания PayOnline System — самая современная из российских систем интернет-платежей. Компания сертифицирована на соответствие PCI DSS и прошла сертификацию в международных платежных системах Visa International и MasterCard Worldwide.

Солидным игроком в области предоставления интернет-процессинга по банковским картам, работающим на российском рынке, является голландская компания CronoPay.

Интересным, на наш взгляд, явлением на российском рынке стала система HandyBank, которая представляет собой интернет-банковский сервис для пользователей — физических лиц. Этот сервис предоставляют банки — участники системы. HandyBank дает возможность клиенту банка круглосуточно с любого компьютера или мобильного телефона совершать интернет-платежи со счета своей банковской карты. Система только начинает свое развитие, но уже сейчас у нее есть ряд реальных преимуществ по сравнению с обычными карточными платежами в Интернете. Во-первых, высокий уровень безопасности: система позволяет совершать транзакции, не передавая в Интернет ни номера своей карты, ни ПИН-кода к ней, ни других ее реквизитов. Во-вторых, более широкий спектр платежных операций. Клиенты HandyBank могут оплачивать множество услуг в упрощенном режиме, совершать банковские переводы, платить налоги и штрафы (госплатежи), совершать интернет-покупки с банковской гарантией возврата денег при любых проблемах с поставкой товара. К дополнительным преимуществам можно отнести также мобильный банкинг и пополнение счета через терминальные сети.

Таким образом, у российской интернет-коммерции есть все необходимые ресурсы для того, чтобы привлечь к себе большое число интернет-покупателей, предоставив им широкий спектр предлагаемых товаров и услуг и продемонстрировав высокую степень защищенности расчетов.

***

По последним сообщениям, появившимся в СМИ, в кампанию по борьбе с интернет-мошенничеством включилась корпорация Microsoft. Как сообщает пресс-служба корпорации, Microsoft совместно с Национальной ассоциацией по борьбе с киберпреступностью (NCFTA) разработали систему Internet Fraud Alert, призванную противодействовать интернет-мошенникам. Инициативу поддержали eBay, система PayPal, Citizens Bank, а также американская Федеральная комиссия по торговле и некоторые другие организации.

Internet Fraud Alert позволяет создавать базу украденных данных о сетевых аккаунтах или кредитных картах. Информация будет максимально оперативно передаваться в организацию, обслуживающую владельца данных. Таким образом, банки и другие компании смогут обеспечить безопасность пользователя и, проанализировав механизм кражи данных, предотвратить новые случаи.

Все вышесказанное дает основания полагать, что защита платежей в сети Интернет есть краеугольный камень в деле дальнейшего развития электронной коммерции, и участие в этой работе таких монстров, как Visa International, MasterCard Worldwide и корпорация Microsoft, приведет к повышению безопасности производимых интернет-расчетов и, как следствие, к повышению уровня доверия держателей карт и пользователей интернет-коммерции.

Ну и, наконец, не забывайте о старом добром способе защиты — о страховом полисе, который в настоящее время предлагают в основном активные банки-эмитенты. Банки, заключая договоры со страховыми компаниями, предлагают держателям страхование рисков от мошеннических операций, а в связи с ростом количества таких операций страхование пластиковых карт становится все более востребованным как со стороны банков-эмитентов, так и со стороны держателей карт. Среди основных рисков, которые покрывает страховка карты, — получение мошенниками денег из АТМ с использованием украденной карты или поддельной карты, использование поддельной карты и поддельной подписи на платежных документах, совершение мошеннических операций по украденным данным карты в сети Интернет.

Банкам-эмитентам, которые хотят разрушить традицию перекладывания убытков по мошенническим операциям на держателей карт, следует серьезнее отнестись к этому перспективному способу защиты средств клиента и собственного имиджа.