Подавляющая часть банков сегодня имеет в своем арсенале системы дистанционного банковского обслужива­ния. При этом многие кредитные организации нередко делают ставку на уда­ленное обслуживание клиентов, считая интернет-банкинг непременным фак­тором конкурентоспособности и уровня развития предоставляемых сервисов. Наряду с развитием систем ДБО растет и степень подготовки киберпреступников, действия которых направлены на кражу средств с банковских счетов пользователей удаленных сервисов.

При современном характере угроз при­вычная всем пара «логин - пароль» уже не может обеспечить требуемый уровень безопасности. Учитывая, что большин­ство пользователей работают с система­ми ДБО из недоверенной среды, наибо­лее безопасным, удобным и надежным способом подтверждения совершаемых платежей является использование ЭП, аппаратно реализованной на смарт-карте или USB-токене с неизвлекаемым закрытым ключом.

В 2013 году компания «Аладдин Р.Д.» вывела на рынок новую линейку смарт-карт, USB-  и Secure MicroSD-токенов JaCarta для строгой аутентификации и квалифицированной электронной под­писи, которая стала основой для новой технологической платформы.

Линейка JaCarta выполнена на но­вейших смарт-карточных чипах Secure by design (сконструированы как безопас­ные и для целей обеспечения безопас­ности), которые имеют встроенную за­щиту от клонирования, взлома и других специальных атак (что крайне важно при создании средств строгой аутентифика­ции и ЭП), соответствуют международ­ному профилю безопасности Smart Card Protection Profile, прошли сертификацию CAST и EMVCo, а также поддерживают полный набор западной и сертифициро­ванной отечественной криптографии.

Еще одна особенность продуктов JaCarta - поддержка на всех современных платформах Windows, Mac OS X, а также на мобильных устройствах на базе Apple iOS, Android, Windows 8. Кроме того, на сегодняшний день JaCarta является един­ственным средством, сертифицирован­ным для платформы Linux (все сертифи­цированные в России дистрибутивы).

В данный момент компания пред­ставляет на рынке два семейства продук­тов - JaCarta PKI, которая предназначе­на для строгой двух- и трехфакторной аутентификации пользователей в корпо­ративных и государственных системах, и JaCarta ГОСТ, служащая для обеспече­ния юридической значимости действий пользователей при работе с различными электронными сервисами, в том числе с системами ДБО.

В декабре 2013 года продукты семей­ства JaCarta ГОСТ были сертифицирова­ны ФСБ России, что дает возможность использовать изделия для реализации функций строгой аутентификации и уси­ленной квалифицированной электрон­ной подписи (создание ключа электрон­ной подписи, создание ключа проверки электронной подписи, автоматическое создание и проверка электронной подпи­си) в соответствии с Федеральным зако­ном от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи».

Новая линейка продуктов JaCarta уже используется в ряде проектов: в ноябре 2013 года компания iSimpleLab с помощью продуктов «Аладдин Р.Д.» обеспечила безопасность системы ДБО для юридических лиц - клиентов Крайинвестбанка. Для удобного использова­ния интернет-банка на мобильных плат­формах внедрено приложение iSimple СЕО. Приложение разработано на осно­ве решения JC-Mobile, служащего для интеграции электронных ключей JaCarta в системы, функционирующие на плат­формах Apple iOS. Решение реализует полноценный высокоуровневый интер­фейс на iOS для работы как со смарт-картами и российской криптографией, так и с инфраструктурой открытых клю­чей (PKI) и удостоверяющими центра­ми, аккредитованными в соответствии с ФЗ № 63.

Приложение предоставляет возмож­ность получения оперативной информа­ции о состоянии счетов, просмотра выпи­сок, а также подписи как отдельных, так и групп электронных документов при помощи планшета или смартфона. В настоящее время приложение находит­ся на рассмотрении в магазине приложе­ний AppStore.

Еще одним проектом, реализуемым с помощью решений на базе продук­тов JaCarta, стал InterBank Mobile, раз­работанный компанией R-Style Softlab. Система позволяет внедрить в банке информационный и платежный сервисы для корпоративных клиентов, предо­ставляющие пользователям кроме опе­ративного отслеживания счетов через приложения для планшетов и смартфо­нов надежный и удобный инструмент для осуществления платежей.

В то же время клиенты банков, как правило, работают с системами ДБО из недоверенной среды, что подразумевает расширение спектра угроз, например под­мену подписываемых платежных пору­чений или перехват управления. Повы­сить уровень доверия к среде, в которой работает пользователь, можно с помощью ряда различных мер - установка анти­вирусного ПО, поддержка антивирусных баз в актуальном состоянии, установка и корректная настройка межсетевого экрана, корректная настройка процессов обновления системного и прикладного ПО, установка аппаратного модуля дове­ренной загрузки.

Однако реализация комплекса таких мер дорога и неудобна для пользовате­лей. Более того, несмотря на некоторое снижение рисков безопасности, указан­ные меры, как правило, не могут обеспе­чить приемлемый уровень безопасности при работе пользователей через Интер­нет. Антивирусное ПО не может дать гарантий отсутствия вредоносного ПО, а клиентский ПК и операционная систе­ма могут иметь закладки.

Для защиты от подмены подписы­ваемых документов были изобретены ридеры токенов с функцией визуали­зации (отображения и подтверждения подписываемых данных). Но при их использовании сохраняется риск того, что разметка передаваемых на визуали­зацию данных будет сбита вредоносным ПО, устройство отобразит не те данные и подписан будет подмененный документ. Более того, обычные устройства визуа­лизации не защищают от перехвата PIN-кода токена, что создает угрозу перехвата управления токеном.

Проанализировав большинство пред­лагаемых на рынке решений, компания «Аладдин Р.Д.» совместно с Vasco раз­работала «Антифрод-терминал» - реше­ние, основанное на понимании того, что невозможно обеспечить на 100% защиту от перехвата управления и под­мены платежных поручений в недоверенной среде на ПК пользователя при условии применения только устройств визуализации.

«Антифрод-терминал» представ­ляет собой не просто устройство визу­ализации, он состоит из совокупности взаимодополняющих технологий, позво­ляющих при их одновременном исполь­зовании обеспечить реальную безопас­ность работы с электронной подписью в недоверенной среде. Преимущества: аппаратно реализованная ЭП с неизвлекаемым ключом;визуализация и под­тверждение подписываемых данных на доверенном «Антифрод-терминале»; тех­нология SWYX (Sign What You eXecuted), реализуемая «Антифрод-терминалом» на клиентском ПК; аутентификация «Антифрод-терминала» на сервере ДБО; проверка сервером ДБО действительно­сти намерений пользователя подписать присланный на исполнение документ; безопасный ввод PIN-кода и защита от перехвата управления.

Таким образом, совокупность техно­логий, реализованных с помощью «Антифрод-терминала» и линейки продуктов JaCarta, позволяют обеспечить макси­мальный уровень безопасности для рабо­ты с электронной подписью в недове­ренной среде, предоставляя гибкие воз­можности для реализации различных сценариев работы.