12.6.Надежность и безопасность пластиковых карт

Пластиковые карты обладают достаточной механической прочностью в интервале температур от –20 до +70 ºС. Выдерживают 1000 циклов (по 30 циклов в минуту) перекручивания на 30 градусов в обе стороны. Время хранения информации порядка 10 лет, минимальное число перезаписей около 10000.

Информационная безопасность пластиковых карт основывается на криптографических методах, а также на использовании специальных безопасных микрокомпьютеров. Конструктивной и алгоритмической основой безопасного микрокомпьютера является невозможность доступа к его внутренним состояниям через входные и выходные порты системы.

Обычно на карте имеется несколько зон памяти:

• открытая зона (свободная от контроля),

• защищенная зона (для доступа к записи необходим пароль, а чтение свободное),

• конфиденциальная зона (требующая пароль для чтения),

• секретная зона (содержащая пароли и ключи).

Смарт-карты реализуются на основе особой технологии (MOS), которая исключает возможность микроскопического считывания содержимого памяти и внутреннего состояния при механическом вскрытии карт.

13.Электронные платежи в Интернет

13.1.Электронные платежи с использованием пластиковых карт

Известно, что согласно решению Международного союза электросвязи (сектор по стандартизации телекоммуникаций, МСЭ-Т) эталонная модель взаимодействия открытых систем (OSI) состоит из 7 уровней: физический, канальный, сетевой, транспортный, сеансовый, представительский, прикладной. При взаимодействии карты клиента с терминалом на каждом уровне модели OSI выполняется определенный набор функций. Каждая функция реализуется с помощью стандартного протокола взаимодействия. Логическая безопасность реализуется в высших уровнях модели (сеансовом и представительском).

Наиболее распространенным протоколом при построении систем электронной коммерции в Интернет (свыше 90% транзакций по оценкам на 2001 г.) является протокол SSL (Secure Sockets Layer). Он реализуется между транспортным и сеансовым уровнем и может функционировать в трех режимах:

• полная аутентификация,

• односторонняя аутентификация (анонимность одной из сторон),

• отсутствие аутентификации (полная анонимность).

Для целей электронной коммерции обычно используется второй вариант

Широкое распространение протокола SSL объясняется тем, что он является составной частью всех известных Интернет-браузеров и Web-серверов. Поэтому любой владелец карты, пользуясь стандартными средствами доступа в Интернет, может провести транзакцию с использованием SSL.

Защищенность данного протокола заключается в проверке сертификата торгового представительства (ТП) (сертификат, в частности, содержит открытый ключ ТП), выборе наилучшего метода шифрования (из IDEA, RC4, Triple-DES и др.), поддерживаемого обеими сторонами, выработки ключа шифрования, выбора метода подтверждения целостности передаваемых данных MAC (на основе хеш-алгоритмов MD5, SHA-1).

Достоинство протокола заключается в частности в том, что в процессе передачи данных используются только симметричные алгоритмы для шифрования и обеспечения целостности, скорость которых на 2 – 3 порядка выше асимметричных алгоритмов.

В то же время у протокола SSL имеются серьезные недостатки. Так при аутентификации он использует центры сертификации Интернет, а не банки: эмитенты или посредники. В результате сертификат, получаемый клиентом, может содержать только имя ТП и сетевой адрес, что недостаточно для аутентификации клиента Интернет-магазином (т.е. наличие такого сертификата не доказывает наличия договорных отношений между ТП и банком). Протокол SSL не поддерживает цифровой подписи, хотя она и используется в процессе установления сессии. Следовательно, доказательство выполнения транзакции затруднено. Все это создает угрозу мошенничества разного рода.