6.3 Анализ технологий на соответствие базовым требованиям к платежным системам 

     Одна из возможных типов атак - подмена злоумышленником соответствующих клиентских модулей защиты. В случае технологии J - это апплеты, В случае AX - погружаемые компоненты, в случае P - это включаемые модули Plug-in. Очевидно, что у злоумышленника существует возможность подменить модули защиты непосредственно на компьютере клиента. Механизмы реализации данной атаки лежат за пределами данного анализа, тем не менее, необходимо отметить, что реализация данной атаки не зависит от рассматриваемой технологии защиты. И уровень защищенности каждой технологии совпадает, т.е. все они одинаково неустойчивы к данной атаке.

     Самым уязвимым местом в технологиях J и AX, с точки зрения подмены, является их загрузка из Интернет. Именно в этот момент злоумышленник может осуществить подмену. Более того, если злоумышленнику удается осуществить подмену данных модулей на сервере банка, то он получает доступ ко всем объемам информации платежной системы, циркулирующие в Интернет.

     В случае технологии P опасности подмены нет, так как модуль не загружается из сети - он постоянно хранится на компьютере клиента.

     Последствия подмены различны: в случае J-технологии злоумышленник может только похитить вводимую клиентом информацию (что  является серьезной угрозой), а в случае, Active-X и Plug-in злоумышленник может получить любую информацию, к которой имеет доступ, работающий на компьютере клиент.

     Требование о защите информации, циркулирующей в системе электронных платежей через Интернет. В этом случае технология J уступает и P и AX в одном очень существенном вопросе. Все механизмы защиты информации основаны на шифровании или электронной подписи, а все соответствующие алгоритмы основаны на криптографических преобразованиях, которые требуют введения ключевых элементов. В настоящее время длина ключевых элементов составляет порядка 32-128 байт, поэтому требовать введения их пользователем с клавиатуры практически невозможно. Возникает вопрос как их вводить? Так как технологии P и AX имеют доступ к ресурсам компьютера, то решение данной проблемы очевидно и хорошо известно - ключи считываются из локальных файлов, с флоппи-дисков, таблеток или smart-карт. А вот в случае технологии J такой ввод невозможен, значит приходится либо требовать от клиента ввода длинной последовательности неосмысленной информации, либо, уменьшая длину ключевых элементов, снижать стойкость криптографических преобразований и следовательно снижать надежность механизмов защиты. Причем данное снижение является очень существенным.

     Требование о том, что система электронных платежей должна организовывать защиту данных, расположенных на сервере от несанкционированного чтения и модификации. Данное требование вытекает из того, что система предполагает размещение на сервере конфиденциальную информацию, предназначенную для пользователя. Например, перечень отправленных им платежных поручений с отметкой о результатах обработки.

     В случае технологии P данные информация представляется с виде html-страниц, которые  зашифровываются и размещаются  на сервере. Все действия выполняются в соответствии с описанным выше (шифрование html-страниц) алгоритмом.

     В случае технологий J и AX данная информация может быть размещена в некотором  структурированном виде в файле  на сервере, а компоненты или апплеты  должны выполнять операции по считыванию и визуализации данных. Все это в целом приводит к увеличению суммарного размера апплетов и компонентов, и, следовательно, к уменьшению скорости загрузки соответствующих страниц.

     С точки зрения данного требования технология P выигрывает благодаря большей технологичности, т.е. меньших накладных расходах на разработку, и большей устойчивости к подмене компонентов при их прохождении по сети.

     Что же касается последнего требования о  защите банковской локальной сети, то оно выполняется за счет грамотного построения системы межсетевых экранов (брандмауэров) и от рассматриваемых технологий не зависит.

     Из  сравнительного анализа технологий J, AX и P вытекает, что технологию J следует применять в том случае, если сохранение степени защищенности компьютера клиента существенно важнее стойкости криптографических преобразований, использующихся в системах электронных платежей.

     Технология  Р представляется наиболее оптимальным  технологическим решением, лежащим  в основе систем защиты информации платежей, так как она сочетает в себе мощность стандартного приложения Win32 и защищенность от атак через сеть Интернет. Практической и коммерческой реализацией проектов с использованием данной технологией занимается, например, компания "Российские финансовые коммуникации".

     Что же касается технологии AX, то ее использование  представляется неэффективным и  неустойчивым к атакам злоумышленников. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

     Заключение

     Электронные деньги все более явно начинают становиться  нашей повседневной реальностью. Многие крупные фирмы предлагают оплату своих услуг и товаров через электронные расчеты. Потребителю же это значительно экономит время.

     Бесплатное  программное обеспечение для  открытия своего электронного кошелька и для всей работы с деньгами максимально  адаптировано для массовых компьютеров. Электронные деньги – деньги, получающие все более широкое распространение с каждым днем, открывающие все больше возможностей для человека, имеющего доступ в сеть.

     Цель курсовой работы выполнена, решены следующие задачи:

     1.  Определены основные задачи систем электронных платежей и принципы их функционирования, их особенности.

     2.    Проанализированы основные системы электронных платежей.

     3. Проанализированы угрозы, связанные с использованием электронных денег.

     4. Проанализированы средства защиты при использовании электронных платежных систем

     Список  используемых источников

1. Тайли Э.  Безопасность персонального компьютера / Пер. с англ.; Худ. обл. М.В.Драко. –  Мн.: ООО “Попурри”, 1997. – С.261.
2. Мельников В.В.  Защита информации в компьютерных системах. – М.: Финансы и статистика; Электроинформ, 1997. – С.85, 245.
3. Иконников А.  CyberPlat - первая в России система расчетов в Internet / Интернет-публикация. – www.citforum.ru.
4. Завалеев В. Пластиковая карточка как платежный инструмент (основные понятия) / Интернет-публикация – www.citforum.ru.
5. Лебедев А. Электронные деньги: миф или реальность / Интернет-публикация. – www.emoney.ru.
6. Вайнштейн В.  Ведение личных финансов, покупки и управление банковским счетом через Internet / Интернет-публикация. – www.citforum.ru.
7. Преображенский К.В. Платежные системы Интернет в России – первые ласточки / Интернет-публикация. – www.emoney.ru
8. Digital Cash выворачивает пустые карманы / Интернет-публикация. – www.emoney.ru.
9. Демидов А.  "Digital money - электронные деньги" // Деньги, 2006. - №3.
10. Эйснер Д.  Использование пластиковых карточек "Золотая Корона" в современных условиях / Интернет-публикация. – www.citforum.ru
11. Кузнецова И.М.  Локальные платежные системы - первая ступень в мир электронных денег / Интернет-публикация. – www.citforum.ru.
12. Пластиковые карты BashCard / Интернет-публикация. – www.bashcreditbank.com
13. Достов В.  Общее описание функционирования системы PayCash / Интернет-публикация. – www.demo.paycash.ru.

14. www.webmoney.ru.