На главную страницу  
+7 (499) 124-62-26
О компании Продукты Демо-версии Купить Цены Контакты Решения
Защита персональных данных
Защита web-сайта
Интернет-банк
Трансграничный файловый обмен
Терминальный доступ
VPN
Электронная подпись
Доверенное время
Рутокен-Криптотуннель
Ideco МагПро ГОСТ-VPN
Защита электронной почты
Встраивание СКЗИ

Конкурентные преимущества Интернет-банка

Сегодня невозможно себе представить серьезную финансово-кредитную организацию, не имеющую современного Интернет-банка для обслуживания клиентов. В свою очередь информационная система, претендующая на роль "современного" Интернет-банка, должна обладать тремя конкурентными преимуществами.

Простота использования

  Услуга должна быть технически доступна любому клиенту банка, независимо от его уровня владения компьютером. Не должна отпугивать потенциального потребителя  своей технической сложностью. Не должна требовать изучения объемных технических руководств.

Мобильность

  Необходимым и достаточным условием для использования Интернет-банка должно являться наличие под рукой у клиента любого компьютера, подключенного к Интернет. Это условие предъявляет жесткие требования к работе программного обеспечения Интернет-банка на различных операционных системах. Ведь сегодня компьютер клиента - это вовсе не обязательно Microsoft Windows. Набирают популярность различные "дружелюбные к пользователю" версии Linux. Или же можно попасть в неприятную ситуацию, когда любимый ноутбук клиента производства фирмы Apple окажется несовместим с вашим Интернет-банком.

Кроме того, программное обеспечение Интернет-банка не должно требовать установки на компьютер клиента с правами системного Администратора.

Безопасность

  Необходимость защиты данных при использовании Интернет-банка закреплена в российском законодательстве. Клиент должен быть уверен, что при проведении операций через Интернет-банк его деньги и персональные данные не будут украдены третьими лицами. Банк же в свою очередь должен быть уверен, что операции действительно производятся клиентом и не смогут быть им впоследствии отменены через суд.

В РФ гарантировать такую уверенность может только использование сертифицированных в ФСБ средств криптографической защиты информации (СКЗИ).

Современные операционные системы не содержат таких средств, поэтому их требуется покупать отдельно и интегрировать в программное обеспечение Интернет-банка. Нередко подобная интеграция приводит к существенному усложнению Интернет-банка и к потере мобильности, то есть лишает его двух первых конкурентных преимуществ. Можно ли добиться того, чтобы Интернет-банк был одновременно простым в использовании, мобильным и безопасным? Попробуем ответить на этот вопрос.


Безопаcность в современном Интернет-банке

Интернет-банк является распределенной системой. В этой системе центральный сервер или же группа серверов обслуживают множество клиентов.

Очевидно, что современный Интернет-банк должен быть построен на основе web-технологий: представлять собой web-портал, доступ на который клиент осуществляет с помощью браузера. Решения, сделанные в виде отдельных программ заведомо хуже с точки зрения простоты использования и мобильности. Браузер привычен большинству людей и имеется в любой операционной системе по умолчанию, в то время как отдельной программой еще нужно научиться пользоваться.

У каждого клиента на сайте имеется свой “личный кабинет”, для доступа в который клиент некоторым образом аутентифицирует себя. Все банковские операции проводятся через этот личный кабинет.

Защита обмена данными

Протокол доступа к web-сайту (HTTP), по которому браузер взаимодействует с сайтом Интернет-банка, не предусматривает защиты данных и аутентификации участников обмена данными. Поэтому возможна ситуация, при которой эти данные могут быть перехвачены злоумышленником и подменены им. Кроме того, злоумышленник может проникнуть в “личный кабинет” клиента и проводить операции от его имени.

Для решения подобных проблем существует протокол HTTPS. Протокол HTTPS обеспечивает:

  • строгую криптографическую аутентификацию сайта Интернет-банка;
  • строгую криптографическую аутентификацию клиента для доступа в его "личный кабинет";
  • шифрование данных, которыми обмениваются браузер и сайт.

Сегодня все браузеры и все web-сервера поддерживают протокол HTTPS. Но использование встроенного HTTPS не обеспечивает достаточного уровня защиты с точки зрения регуляторов (ФСБ, ФСТЭК). Для того чтобы решение устроило регуляторов, в качестве "криптографического ядра" протокола HTTPS браузеры и web-сервера обязаны использовать сертифицированное СКЗИ, реализующее алгоритмы ГОСТ.

Организация рабочего места пользователя

Пользователь для доступа в Интернет-банк использует браузер. Добавление российской криптографии в браузер может быть осуществлено двумя способами.

Одним из решений является использование криптопровайдеров CSP. Основными недостатками данной технологии являются следующие факторы:

  • данная технология “родная” только для операционных систем Microsoft Windows.
  • даже на Microsoft Windows данная технология позволяет поддержать сертифицированный HTTPS далеко не во всех браузерах (обычно можно пользоваться только Internet Explorer)
  • требуется установка на компьютер с обязательными правами системного администратора
  • привязка к одному компьютеру. Для установки на другой следует покупать еще один CSP
  • CSP достаточно сложен в установке и настройке

Отсюда следует, что при использовании криптопровайдеров CSP в качестве СКЗИ Интернет-банк проигрывает в простоте использования и в мобильности. То есть теряет два из трех конкурентных преимуществ.

Альтернативное решение для поддержки сертифицированного HTTPS в браузерах реализовано нами в продукте МагПро КриптоТуннель. Данный продукт:

  • является кроссплатформенным, так как не завязан на специфику операционной системы
  • позволяет использовать любой браузер для доступа в Интернет-банк
  • не требует установки на компьютер пользователя и прав администратора для работы
  • для того, чтобы браузер начал поддерживать сертифицированный HTTPS следует просто запустить МагПро КриптоТуннель, например с флешки. Запуск производится одним кликом мыши по иконке
  • не имеет привязки к одному компьютеру

Таким образом, использование данного СКЗИ в Интернет-банке обеспечивает безопасность при обмена данными, но при этом не снижает его мобильность и не делает более сложным в использовании.

Организация сервера

Для организации HTTPS с поддержкой российской криптографии на стороне сервера мы рекомендуем использовать продукт МагПро КриптоСервер. КриптоСервер поддерживает работу с любым web-сервером: Apache, IIS, nginx и т.д.

Электронная подпись

ЭП в интернет-банке должна производиться под каждой операцией, которую клиент проводит через интернет-банк. Как организовать данную процедуру таким образом, чтобы она имела юридическую силу и при этом была простой в техническом исполнении?

Каждая операция представляет собой некоторый набор данных, которые клиент вводит в специальную форму ввода и отправляет на сервер. Факт принятия этих данных на сервере запускает транзакцию, результатом которой является исполнение операции. Для того чтобы операция имела юридическую силу, введенные клиентом данные должны быть преобразованы в осмысленный текст и этот текст должен быть подписан ЭП.

Например, клиент через Интернет-банк оплачивает услуги своего Интернет-провайдера. Для этого на странице он выбирает провайдера из списка и вводит сумму к оплате. Введенные данные после этого должны быть преобразованы в текст: "Я, Иван Иванов, поручаю банку ИнкомФинанс оплатить услуги интернет-провайдера Телеком на сумму 1000 рублей средствами с моего личного счета №123232438". Данный текст должен быть подписан ЭП и отправлен на сервер.

МагПро КриптоТуннель производит данную операцию абсолютно прозрачно для клиента. При этом происходит ознакомление клиента с конечным текстом с просьбой подписать этот текст перед отправкой на сервер. Кроме того, МагПро КриптоТуннель позволяет подписывать файл произвольного формата при загрузке его на сервер. Это может быть нужно при подаче заявок, отчетов, различных документов в электронном виде в банк.

Для внедрения ЭП на основе МагПро КриптоТуннель

  • не требуется установки на компьютер клиента CSP или какого-либо иного программного обеспечения
  • не требуется установки и использования на web-странице никаких ActiveX

Резюме

МагПро КриптоТуннель - это сертифицированное решение
  • отвечающее всем требованиям регуляторов
  • не требующее установки
  • работающее с обычной флэшки
  • работающее на любом компьютере, подключенном к Интернет
  • работающее с любым браузером
  • позволяющее с легкостью выполнять ЭП под текстом и файлом.
Идеально подходит для обеспечения безопасности в Интернет-банке.
 
Copyright © ООО "Криптоком". 2001-2016. All Rights Reserved.