Рутокен PINPad

Всевозможные решения на базе токенов нашли применение, в частности, в целях обеспечения безопасности удаленных банковских транзакций. "Рутокен PINPad" выделяется среди них достаточно редким сочетанием пользовательского юзабилити с высоким уровнем защиты против традиционных и современных видов угроз. Одним из наиболее эффективных его применений разработчик "Рутокен PINPad", – компания "Актив", – видит в сегменте СМБ.

Специалисты по информационной безопасности (ИБ) полагают, что способ аутентификации пользователя при помощи набора PIN-кода уже не может в наши дни считаться достаточно надежным, поскольку нажатия на клавиатуру (реальную или виртуальную) можно зафиксировать достаточно простым способом – при помощи кейлоггера. Еще проще получить несанкционированный доступ к файлу с ключом, хранящемся в незашифрованном виде на жестком диске или же на недостаточно защищенном съемном носителе. Аппаратный токен также не сможет защитить пользователя в том случае, если злоумышленнику уже удалось тем или иным способом получить удаленный доступ к компьютеру с установленным на нем "банк-клиентом". Пользователю достаточно оставить компьютер с забытым USB-токеном на непродолжительное время, предоставив тем самым возможность подписать с его помощью платежное поручение и отправить через систему "банк-клиент" на исполнение. Еще одна современная схема хищений средств с расчетного счета компании построена на том, что пользователь лишен реальной возможности непосредственно контролировать, какой документ он на самом деле заверяет в данный момент при помощи системы банк-клиент. Это дает возможность незаметно осуществить подмену одного платежного поручения другим.

Безусловно, случаи, описанные выше, являются скорее исключением, чем правилом. Тем не менее они происходят ежедневно: счет по одной только Москве давно идет на десятки, причем статистика по разным видам хищений безналичных денежных средств ползет вверх. Пострадать может не только крупная компания с большими средствами на расчетном счете, привлекающими мошенников. Жертвой злоумышленников вполне может стать и относительно небольшой бизнес: за ИБ здесь по ряду причин могут следить менее тщательно, чем на крупном предприятии, а последствия неожиданного обнуления счета в банке для СМБ могут быть более чем ощутимыми. Заранее понятно, например, к чему потенциально могут привести действия бухгалтера небольшой дистрибуторской компании, чередующего отправку платежных заверенных поручений с посещением различных сайтов с одного и того же, недостаточно защищенного компьютера.Рано или поздно может случиться так, что однократное хищение накопившейся за месяц выручки за товар придется потом покрывать суммой прибыли, полученной за год.

Предсказать действия добросовестного предпринимателя, внезапно превратившегося из процветающего, уверенного в завтрашнем дне бизнесмена в человека, на котором висит огромная сумма долга, несложно: скорее всего, он обратится за помощью и в обслуживающий банк, и в полицию. Чем это закончится на практике? Раскрываемость по данному виду преступлений низкая. Действия же банка можно заранее спрогнозировать, внимательно прочитав условия своего договора на ДБО. Выдавая защищенный токен и диск с дистрибутивом для пользования ДБО, банк достаточно справедливо полагает, что снабжает своего клиента одним из наиболее современных на сегодня средств защиты, остальную же часть работы по обеспечению нужного уровня безопасности для удаленных банковских транзакций клиент банка должен проделать уже самостоятельно. Скорее всего, соображения примерно такого плана, сформулированные юридическим языком, и будут предусмотрительно зафиксированы в договоре на удаленное обслуживание. Всерьез же обвинять коммерческий банк в том, что он не берет на себя всю полноту ответственности за произошедшее на компьютере клиента, пожалуй, не стоит: в конце концов, он тоже должен как-то защищать свои интересы.

С технической точки зрения он представляет собой подключаемое к компьютеру небольшое устройство с сенсорным экраном, позволяющим ввести PIN-код, а также визуально просмотреть содержимое документа, перед тем как заверить его электронной подписью при помощи "Рутокен ЭЦП", вставляемого в USB-порт на корпусе самого PINPad-а. Подпись формируется аппаратно при помощи неизвлекаемого ключа "Рутокен ЭЦП", а PINPad гарантирует, что банковский документ был просмотрен бухгалтероми отправлен в банк именно путем нажатия виртуальной кнопки на экране.

Применение "Рутокен PINPad", в частности, позволит эффективно бороться со всеми современными видами угроз, подстерегающими клиентов банка, пользующихся ДБО. Суть в том, что платежное поручение не может уйти в банк без окончательного одобрения самого пользователя, который всякий раз просматривает "платежку" при помощи PINPad-а, и только после этого отсылает (или отклоняет) платеж нажатием соответствующих кнопок на сенсорном экране. При этом, какие бы привилегии ни присвоил себе "забравшийся" в компьютерную систему злоумышленник, он будет лишен возможности не только самостоятельно инициировать платеж, но и совершить подмену платежного поручения.

Пожалуй, такое решение будет интересно практически всем. Для крупных клиентов ,помимо прочего, предусмотрена дополнительная возможность контролировать и производить массовые платежи своим многочисленным доверенным контрагентам; для банков – появляется новый способ предоставить своим клиентам более надежный банковский сервис (вместо того, чтобы разбираться с претензиями); для ведущих разработчиков систем банк-клиент, совместно с которыми компания "Актив" и будет продвигать "Рутокен PINPad" на рынок, интеграция с этим аппаратным решением даст убедительное конкурентное преимущество, позволит привлечь новых покупателей.

Рутокен PINPad - единственное сертифицированное ФСБ России решение класса TrustScreen, позволяющее визуализировать подписываемый документ в доверенной среде непосредственно перед созданием электронной подписи. Устройство защищает от поддельных сайтов (фишинга), атак при помощи средств удаленного управления, подмены содержимого документа при передаче на подпись (атака Man-in- the-middle).

Реализация

Рутокен PINPad — это решение, способное защитить пользователей систем дистанционного банковского обслуживания от проблем, связанных с применением злоумышленниками удаленного управления компьютером и подменой платежной информации вредоносным программным обеспечением.

При осуществлении транзакций клиент банка получает возможность гарантированного визуального контроля платежной информации, отправляемой на сервер системы ДБО. Ввод PIN-кода и подтверждение выполнения платежа производится на сенсорном дисплее устройства.

Рутокен PINPad позволяет осуществлять строгую аутентификацию пользователей для доступа к системе дистанционного банковского обслуживания на базе электронной подписи, а также обеспечивает визуальный контроль.

Для аутентификации может использоваться протокол ISO Public-Key Two-Pass Unilateral Authentication Protocol. Протокол построен на асимметричной криптографии, использует всего две транзакции (пересылки данных) и предназначен для односторонней аутентификации. В процессе аутентификации у пользователя запрашивается PIN-код для доступа к Рутокен ЭЦП, который необходимо набрать на сенсорном дисплее Рутокен PINPad.

Защита от подмены платежной информации осуществляется путем визуального контроля платежного документа на экране устройства и подтверждения корректности информации путем нажатия кнопки «Подписать».

Безопасность этого решения основана на том, что клиент-банк отправляет на подпись не хеш платежного поручения, а сам документ в специальном формате. Рутокен PINPad отображает полученную информацию, запрашивает подтверждение у пользователя, и только получив согласие пользователя, отправляет документ в Рутокен ЭЦП для вычисления хеш-функции и подписи документа. Такой подход гарантирует невозможность использования Рутокен ЭЦП для осуществления несанкционированного платежа.

Функциональные возможности

• Доверенный ввод PIN-кода для доступа к криптографическим возможностям USB-токена.
• Просмотр содержания подписываемых документов в доверенной среде. Индивидуальное форматирование и возможность пролистывания больших документов.
• Кеширование PIN-кода внутри Рутокен PINPad для удобства пользователей. Код вводится один раз при аутентификации, далее при подписи серии платежных документов не нужно вводить его повторно.
• Пользователь просматривает каждый из документов и нажимает кнопку «Подписать».

2013:Group-IB провела анализ защищенности устройства Рутокен PINPad

В январе 2013 года компания Group-IB объявила о завершении исследования защищенности устройства Рутокен PINPad, выпускаемого компанией «Актив» для систем защиты дистанционного банковского обслуживания. Рутокен PINPad относится к классу устройств Trust Screen, которые позволяют повысить защищенность клиента ДБО при работе в недоверенной среде, в частности защищают от угроз модификации платежных поручений.

В рамках мероприятий по анализу защищенности, проводимых специалистами департамента аудита и консалтинга Group-IB, исследовалась возможность компрометации устройства с учетом следующих векторов атак:

• применение вредоносного кода с целью хищения ключей электронной подписи из локального окружения;
• применение вредоносного кода с целью хищения ключей электронной подписи из оперативной памяти;
• реализация атак с использованием удаленного подключения к USB-порту (USB-over-IP);
• атака при помощи средств удаленного управления компьютером клиента;
• подмена содержимого электронного документа при передаче его на подпись;
• атаки на уязвимости WEB-приложений при осуществлении сетевой коммуникации по прикладным протоколам передачи данных.

Результаты тестирования показали высокий уровень защищенности Рутокен PINPad и подтвердили соответствие всем необходимым техническим условиям, предъявляемым к устройствам класса Trust Screen. Устройства данного класса оснащены экраном для отображения информации с целью верификации отправляемых платежных поручений на стороне пользователя.

«Применение подобных устройств может существенно повысить защищенность клиентов банка при осуществлении транзакций. Trusted Screen успешно используются за рубежом в отношении как физических, так и юридических лиц, позволяя на практике предотвращать мошенничества с использованием удаленного управления компьютером», — прокомментировал результаты тестирования Андрей Комаров, директор департамента аудита и консалтинга Group-IB.

Рутокен PINPad осуществляет полный цикл обработки документа, отправляемого на подпись. В устройстве аппаратно реализованы механизмы отображения, хеширования и подписи платежных поручений. Платежные документы отображаются на сенсорном экране устройства Рутокен PINPad, и в случае подтверждения пользователем корректности информации осуществляется подпись данных непосредственно в устройстве. Все криптографические операции выполняются в соответствии с российскими стандартами.