3.2. Захист інформації у електронних платіжних системах

За останні тридцять років людська цивілізація заз­на­ла значних змін. Цей феномен переходу від пост­інду­стрі­ального до інформаційного суспільства торкнувся всіх га­лузей науки, техніки, та інших сфер діяльності.

Зрозуміло, що такий стан речей має вплив і на най­давнішу з комер­ційних галузей – торгівлю. По-перше висо­кі часові вимоги вимагають укла­дати угоди за дуже корот­кий термін. Комунікаційні засоби розширюють ринки збу­ту для продавців, збільшують пропозицію для покупців та при­швидшують обіг коштів. По-друге в інфор­ма­ційному суспільстві виник новий вид товару – інформація.

Треба відзначити, що електронні засоби не змінюють сутності комер­ційної угоди її основних атрибутів, вони ли­ше додають нові можливості. Ці можливості можна вико­ристовувати як за усталеними правилами, так і всупереч таким правилам. Тобто, електронне середовище відкриває як нові можливості для торгівлі, так і нові можливості для різних зловживань.

Історія розвитку засобів електронної комерції фак­тично є історією пізнання простої істини – із зростанням потужності обчислювальних засобів зростали можливості зловмисників, що, в свою чергу, вимагало побудови систем захисту від зловживань.

Виходом з цієї ситуації є використання системи елек­тронної комерції з інтегрованою підсистемою захис­ту. По­літика безпеки має бути однією з основних складо­вих час­тин системи починаючи ще з етапу проектування.

Гостро стоїть проблема аутентифікування суб’єк­тів ко­мер­ційних відно­син. На сьогодні не існує єдиного стан­дар­ту на способи побудови систем електронної комер­ції. Під час проектування таких систем авторами закла­дається не­надійна система безпеки, часто через недостатньо надій­не аутен­тифікування сторін. Відсут­ність систем сертифіку­вання клю­чів (а це є загаль­новизнаним надійним методом аутен­ти­фікування) відкриває простір для численних зло­вжи­вань (наприклад, відкриття фіктивних електронних ма­га­зи­нів, які ″продають повітря″).

У цивілізованому світі існує кілька систем розпов­сюд­ження сертифікатів відкритих ключів засобами елек­тронних криптосистем, наприклад, VeriSign – але вико­рис­тання таких систем є надто дорогим і практично недос­тупне для організацій України. Очевидно, що в Україні є актуальною потреба створення аналогічних систем.

3.2.1. Огляд та аналіз існуючих засобів систем електронної комерції

Переважна більшість систем електронної комерції, які забезпечують достатній рівень захищеності користу­ва­чів, є закритими системами. Це, по-перше, наражає корис­тувачів на ризик атаки з боку власника або оператора такої системи (з використанням ″люків″ або інших засобів зни­ження стій­кості захисту користувача в системі, які відомі тільки власникам або роз­робникам системи). По-друге – це фактично унеможливлює створення ана­логічної системи з використанням чужого досвіду побудови.

Для створення системи, в якій достеменно не буде різ­них ″запасних виходів″ та будь-яких інших способів об­ходу засобів безпеки, треба повністю спроектувати та від­тво­ри­ти цю систему. При цьому, починаючи від етапу про­ектування, враховувати інтегровані підсистеми захисту.

Крім технічних аспектів існують також правові. Однак, треба наголо­сити, що відсутність законів України, які регулювали б проблеми, що пов'язані з елек­т­ронними документами, відповідальністю за шахрайства в цій галузі діяльності, значно ускладнюють ситуацію з роз­витком но­віт­ніх технологій, у тому числі електронної ко­мерції.

Серед існуючих систем електронної комерції можна виділити такі основні групи:

• замовлення товару через мережу Internet з опла­тою ″класичними″ засобами;

• купівля товару через мережу Internet з оплатою за допомогою існуючих платіжних систем (платіжні картки, у тому числі мікропроцесорні, home banking тощо);

• купівля товару через мережу Internet з оплатою за допомогою власних платіжних систем.

Перший метод фактично не реалізовує систему елект­ронної комерції у повному обсязі – адже така система має надавати можливість укласти та виконати угоду лише свої­ми засобами (тут вважаємо, що платіжна система входить як складова частина до системи електронної комерції).

Останній з перелічених методів не дає такої гнуч­кості, яку надає система з використанням різних існуючих платіжних засобів. Але саме такі системи на сьогодні є найрозповсюдженішими у світі і в Україні. Тре­ба наго­ло­сити, що велику кількість таких систем було ство­рено без урахування суворих вимог до захищеності та безпеки – наприклад, багато систем використовують аутен­ти­фікуван­ня з використанням пароля, що є цілком непри­пус­тимим у системі з ризиками фінансових втрат.

Таким чином ці системи є потенційно небезпечними для участі у них як з боку продавця, так і з боку покупця.

Оператором системи може бути будь-яка організація, яка займатиметься підтримкою діяльності системи. Ця ор­га­нізація повинна стежити за цілісністю ієрархії розпов­сюдження сертифікатів відкритих ключів, підтри­мувати всі сервіси роботи із сертифікатами. Також необ­хід­но постій­но дотримуватись вимог забезпечення безпеки системи та провадити заходи з дотримання політики безпеки всіма учасниками системи.

Система має забезпечувати захищеність кожного учасника:

• покупець має бути впевненим, що продавець є дійсно продавцем і в змозі виконати свою частину угоди – доставити товари, надати послуги тощо;

• продавець має бути впевненим в тому, що покупець є здатним на оплату наданих товарів або послуг.

Таку впевненість може надати суворе аутентифіку­ван­ня сторін – тоді продавець буде впевненим, що по­ку­пець пла­тить із свого гаманця, а не з вкраденої кредитної картки, яку от-от заблокують, при цьому покупець може бути впевненим в тому, що він має справу з магазином, який пройшов реє­страцію та отримав відповідні дозволи у дер­жа­ви або упов­новажених органів.

Система має реалізовувати політику безпеки, яка ба­зу­ється на моделі взаємної недовіри. Це водночас забез­пе­чує безпеку кожного з учасників системи і чітко розме­жо­вує відповідальність за можливі втрати внаслідок пору­шен­­ня політики безпеки.