Аутентификационный центр -решение для интернет-банкинга

Содержание
Типовые угрозы в реальной среде
Механизмы защиты
Способы аутентификации
Аутентификационный центр
Архитектура решения
Пример EMV-аутентификации
Подпись транзакции
Свойства решения
Вопросы

Типовые угрозы в реальной среде
Работа в открытой среде Интернет
Компьютер клиента не является доверенной средой
Вся передаваемая информация не тайна
Вся передаваемая информация может быть изменена по пути
Выманивание информации с использованием методов социальной инженерии
Фишинг
Подставные сайты
Специально разработанные вирусы – трояны
Угрозы для серверной части
Инсайд, коммерческий подкуп, шантаж …

Фишинг
Попытка мошенническим путем получить важную информацию, такую как имя пользователя, пароли или данные о параметрах платежных карт, путем представления мошенника в качестве заслуживающей доверия организации с использованием электронных каналов
А также:
Голосовой фишинг
SMS фишинг
Вмешательство в работу DNS серверов

Примеры выуживания паролей

Шпионское ПО
Попытка незаконным путем получить доступ к важной информации, как-то: имена пользователей, пароли, номера платежных карт путем скрытого перехвата информации, передаваемой во время информационного обмена

Механизмы защиты
Строгая Аутентификация пользователей
Действительно ли перед нами тот кто мы думаем?
Проверка целостности транзакций
Соответствует ли пришедшая транзакция запрошенной клиентом?
Аудит операций
Кто, когда, какую выполнял операцию и по какому праву?

Множество механизмов аутентификации
Простой пароль - однозначно нет
Одноразовые пароли на основе времени/события
Запрос – ответ, обеспечение целостности транзакции
EMV механизмы, CAP
На основе несимметричных алгоритмов (PKI)
Специфические механизмы привязки к мобильным устройствам

Механизмы аутентификации
Risk
Цифровой сертификат
Смарт карта
Биометрия
Безопасность
Стоимость
Пароль через SMS
Мобильный аплет
Шифрованный пароль
Носимый токен
Шифрованный пароль

Аутентификационный центр
Универсальное решение строгой многофакторной аутентификации!
Решение обеспечивает выполнение трех наиболее важных требований:
Реализацию разнообразных механизмов строгой многофакторной аутентификации;
Контроль целостности транзакций;
Ведение аудит-журналов для юридического подтверждения операций.
“Best use of
B2B e-Commerce”
“Online Security solution of the year”

DMZ
Сотрудники
или клиенты
банка
Разная реализация Front для HTTP, SMS и т.д.
Сервер аутентификации
Архитектура решения
Интерфейс с
Front
Application
Интернет-Банк
SafeSign Crypto Module
SSAS Database

Сотрудники
или клиенты
банка
Сервер аутентификации
EMV-аутентификация (режим «Запрос-Ответ»)
Интерфейс с
Front
Application
Интернет-Банк
SafeSign Crypto Module
SSAS Database
Пользователь заходит на сайт. Еще не аутентифицирован
Сервер генерирует Запрос и сохраняет его в качестве сессионной информации
Сервер отправляет Запрос приложению

Сотрудники
или клиенты
банка
Сервер аутентификации
EMV-аутентификация (режим «Запрос-Ответ»)
Интерфейс с
Front
Application
Интернет-Банк
SafeSign Crypto Module
SSAS Database
Пользователь использует карточку и кардридер, чтобы получить Ответ
Вводит Логин и ответ на web-странице и отправляет на сервер
ENTER PIN
* * * *
CHALLENGE
2948 2039
RESPONSE
1736 5564

Сотрудники
или клиенты
банка
Сервер аутентификации
EMV-аутентификация (режим «Запрос-Ответ»)
Интерфейс с
Front
Application
Интернет-Банк
SafeSign Crypto Module
SSAS Database
Логин, Запрос и Ответ посылаются на SSAS
SSAS проверяет параметры верификации для данного логина в базе данных
Если находит, то Запрос отправляется на SSCM
SSCM отвечает положительно или отрицательно на запрос аутентификации

Сотрудники
или клиенты
банка
Сервер аутентификации
EMV-аутентификация (режим «Запрос-Ответ»)
Интерфейс с
Front
Application
Интернет-Банк
SafeSign Crypto Module
SSAS Database
Если ответ положительный, то пользователь получает доступ к своей странице в интернет-банке

ENTER PIN
* * * *
DATA
1234 5000
MAC
2942 8613
9876 5432 1234
5000
2942 8613
Подпись транзакции
Вводятся данные транзакции на Web-странице
Пользователь использует токен для подписи транзакции. Вводится ПИН
Вводятся данные транзакции в токен
Токен вычисляет MAC по данным с использованием секретного ключа токена
MAC вводится на Web-странице

?
9876 5432 1234
5000
2942 8613
Подпись транзакции
Данные транзакции и MAC отправляются на сервер аутентификации
Сервер аутентификации заново вычисляет MAC по данным транзакции и сравнивает с полученным.
Если они совпадут, то транзакция принимается
9876 5432 1234 5000 ….. 2942 8613
1234 5000
2942 8613
2942 8613
=

Аппаратная защищенность
Все криптографические преобразования и операции выполняются внутри аппаратного криптографического модуля HSM - SafeSign Crypto Module сертифицированного в соответствии с жесткими требованиями стандарта FIPS 140-2 Level 3;
Безопасное хранение ключей и сертификатов;
Защита аудит логов;
Состоит из 2х модулей для отказоустойчивой кластеризации и балансировки нагрузки;

Отказоустойчивая кластеризация и балансировка нагрузки
Нет единой точки отказа
Прозрачно для приложений
Статическая балансировка нагрузки
Автоматическое опр. отказов
App/WebServer 1
App/WebServer 2
DNS mapping
App
App
Host 1
Host 2
Crypto Module Cluster
Crypto Module Cluster
SSAS Server
SSAS Server
Browser/Client
Browser/Client
Browser/Client
Crypto Module
App
Browser/Client
Browser/Client
Browser/Client

Свойства решения
Представленное решение является универсальной единой платформой аутентификации в рамках всей интернет системы банка
Соответствует настоящим и будущим потребностям в строгой многофакторной аутентификации
Защита от мошенничества, в том числе со стороны сотрудников банка
Основные Преимущества
Широкая гамма токенов и механизмов аутентификации
Защищенный аудит-лог
Высокая масштабируемость
Отказоустойчивость и балансировка нагрузки
Легкая интеграция с существующими и новыми системами
Легкое управление
Квалифицированная команда разработки и внедрения