О безопасности в системе Банк - Клиент
«БАНК - КЛИЕНТ» - современная банковская услуга, позволяющая управлять счетом (получать выписки, отправлять платежи) с любого компьютера с браузером, поддерживающим JAVA 2, подключенного к Всемирной компьютерной сети ИНТЕРНЕТ.
Система «БАНК - КЛИЕНТ» работает в режиме реального времени, что позволяет ускорить выполнение платежных операций между Банком и Клиентом и улучшить качество контроля за операциями. Ускорение документооборота достигается за счёт замены бумажных платёжных документов на электронные с возможностью быстрой передачи последних по каналам связи, а также полной автоматизации их обработки.
Электронные документы, применяемые в системе «БАНК - КЛИЕНТ», аутентичны бухгалтерским документам на бумажных носителях, используемым в соответствии с нормативными актами Центрального Банка Российской Федерации, и являются основанием для осуществления бухгалтерских записей. Однако, сегодня уже нельзя считать компьютер абсолютно безопасной доверенной средой. Антивирусы, персональные межсетевые экраны и средства защиты от несанкционированного доступа, безусловно, должны использоваться и своевременно обновляться. Но все эти механизмы не гарантируют защиту от постоянно модифицируемых вредоносных программ, нацеленных на хищение (копирование) секретного ключа Электронно-цифровой подписи (ЭЦП).
Хранение ЭЦП в файле на жестком диске компьютера, флешке, на дискете или на диске также не является безопасным, поскольку в этом случае возникает угроза копирования файла с ключом ЭЦП третьими лицами. Злоумышленники, имеющие постоянный, ограниченный или даже единовременный доступ к носителю, на котором записан файл с ЭЦП, могут легко его скопировать и использовать по своему усмотрению.
Радикальный и действенный способ борьбы с вредоносными программами и злоумышленниками, похищающими секретные ключи ЭЦП, - исключить все операции с секретными ключами на компьютере. Секретный ключ не должен попадать в персональный компьютер.
Вся работа с секретными ключами ЭЦП должна быть вынесена с компьютера в отдельную компактную доверенную среду.
Такой доверенной средой является персональный аппаратный крипто-провайдер, реализованный в виде USB-токена, обеспечивающий неизвлекаемость (невозможность считывания, копирования) секретного ключа ЭЦП. Другой вид персонального аппаратного криптопровайдера – это Смарт-карта «iBank 2 Key», выполненная на базе карточного криптографического микроконтроллера.
Как и в USB-токене, в криптографическом микроконтроллере смарт-карты при производстве масочным методом «прошита» карточная операционная система со встроенным криптомодулем, сертифицированным ФСБ РФ.
Защитный комплекс дополняет ОТП-токен, который является генератором одноразовых паролей для работы в системе «Банк - Клиент», а также новый дополнительный сервис "SMS-Банкинг" предназначен для информирования корпоративных клиентов посредством SMS-сообщений. Модуль поддерживает два взаимодополняющих режима рассылки клиентам SMS-сообщений:
- По расписанию
- По событию
- Об отвержении документа
- О поступлении в банк документа
- О входящих банковских письмах
- О движении средств по счету
- О входе в систему
- О текущих остатках
- Выписка по счету
Подводя определенные итоги, можно сказать, что вредоносные программы достигали своих целей путём перехвата нажатий клавиш при вводе данных авторизации в контексте веб-браузера, открытого на странице интернет-банка, или (чаще) в контексте всей операционной системы. Электронные средства защиты исключают такие возможности, не давая мошенникам добраться до заветного кода ЭЦП и, своевременно информируя клиента, посредством SMS-сообщений, о работе с его платежными документами, давая возможность отменить (если код все-таки попал в чужие руки) не санкционированные транзакции! Печатную версию можно скачать здесь.
Но, все же, необходимо помнить, что единственным фундаментальным решением для защиты онлайн-банкинга является его полная изоляция, обеспечивающая невозможность проникновения на компьютер вредоносного кода и установки троянских перехватов. Это решение реализуется путём размещения системы банк-клиента на отдельном физическом компьютере или загрузочном диске, защищённом от записи. Желательно, чтобы с этого компьютера, планшетника или КПК не производился «серфинг» по интернету, где существует вероятность заражения персонального устройства перехватывающими, троянскими и вирусными программами.
АКИБ «ОБРАЗОВАНИЕ» (ЗАО) ежедневно отводит большое количество рабочего времени на совершенствование систем безопасности, обучению сотрудников, установке самых современных антивирусных и антишпионских программ. Но безопасная работа возможна, только если и клиент будет также надежно защищен. Банк «Образование» настоятельно рекомендует пользоваться своим клиентам современными способами электронной защиты и криптографии, которые включают в себя смарт-карты, отп и usb-токены и sms-информирование, чтобы исключить любое незаконное и мошенническое проникновение к Вашим денежным средствам!
