Подавляющая часть банков имеет в своем арсенале системы дистанционного банковского обслуживания. При этом многие кредитные организации нередко делают ставку на удаленное обслуживание клиентов, считая интернет-банкинг непременным фактором конкурентоспособности и уровня развития предоставляемых сервисов. Наряду с развитием систем ДБО растет и степень подготовки киберпреступников, действия которых направлены на кражу средств с банковских счетов пользователей удаленных сервисов.

При современном характере угроз привычная всем пара «логин – пароль» уже не может обеспечить требуемый уровень безопасности. Учитывая, что большинство пользователей работают с системами ДБО из недоверенной среды, наиболее безопасным, удобным и надежным способом подтверждения совершаемых платежей является использование ЭП, аппаратно реализованной на смарт-карте или USB-токене с неизвлекаемым закрытым ключом.

В 2013 году компания «Аладдин Р.Д.» вывела на рынок новую линейку смарт-карт, USB- и Secure MicroSD-токенов JaCarta для строгой аутентификации и квалифицированной электронной подписи, которая стала основой для новой технологической платформы.

Линейка JaCarta выполнена на новейших смарт-карточных чипах Secure by design (сконструированы как безопасные и для целей обеспечения безопасности), которые имеют встроенную защиту от клонирования, взлома и других специальных атак (что крайне важно при создании средств строгой аутентификации и ЭП), соответствуют международному профилю безопасности Smart Card Protection Profile, прошли сертификацию CAST и EMVCo, а также поддерживают полный набор западной и сертифицированной отечественной криптографии. 

Еще одна особенность продуктов JaCarta – поддержка на всех современных платформах Windows, Mac OS X, а также на мобильных устройствах на базе Apple iOS, Android, Windows 8.  Кроме того, JaCarta является единственным средством, сертифицированным для платформы Linux (все сертифицированные в России дистрибутивы).

Компания представляет на рынке два семейства продуктов – JaCarta PKI, которая предназначена для строгой двух- и трехфакторной аутентификации пользователей в корпоративных и государственных системах, и JaCarta ГОСТ, служащая для обеспечения юридической значимости действий пользователей при работе с различными электронными сервисами, в том числе с системами ДБО.

В декабре 2013 года продукты семейства JaCarta ГОСТ были сертифицированы ФСБ России, что дает возможность использовать изделия для реализации функций строгой аутентификации и усиленной квалифицированной электронной подписи (создание ключа электронной подписи, создание ключа проверки электронной подписи, автоматическое создание и проверка электронной подписи) в соответствии с Федеральным законом от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи».

JaCarta уже используется в ряде проектов: в ноябре 2013 года компания iSimpleLab с помощью продуктов «Аладдин Р.Д.» обеспечила безопасность системы ДБО для юридических лиц – клиентов Крайинвестбанка. Для удобного использования интернет-банка на мобильных платформах внедрено приложение iSimple СЕО. Приложение разработано на основе решения JC-Mobile, служащего  для интеграции электронных ключей JaCarta в системы, функционирующие на платформах Apple iOS. Решение реализует  полноценный высокоуровневый интерфейс на iOS для работы как со смарт-картами и российской криптографией, так и с инфраструктурой открытых ключей (PKI) и удостоверяющими центрами, аккредитованными в соответствии с ФЗ № 63. 

Приложение предоставляет возможность получения оперативной информации о состоянии счетов, просмотра выписок, а также подписи как отдельных, так и групп электронных документов при помощи планшета или смартфона.

Еще одним проектом, реализуемым с помощью решений на базе продуктов JaCarta, стал InterBank Mobile, разработанный компанией R-Style Softlab. Система позволяет внедрить в банке информационный и платежный сервисы для корпоративных клиентов, предоставляющие пользователям кроме оперативного отслеживания счетов через приложения для планшетов и смартфонов надежный и удобный инструмент для осуществления платежей.

В то же время клиенты банков, как правило, работают с системами ДБО из недоверенной среды, что подразумевает расширение спектра угроз, например подмену подписываемых платежных поручений или перехват управления. Повысить уровень доверия к среде, в которой работает пользователь, можно с помощью ряда различных мер – установка антивирусного ПО, поддержка антивирусных баз в актуальном состоянии, установка и корректная настройка межсетевого экрана, корректная настройка процессов обновления системного и прикладного ПО, установка аппаратного модуля доверенной загрузки.

Однако реализация комплекса таких мер дорога и неудобна для пользователей. Более того, несмотря на некоторое снижение рисков безопасности, указанные меры, как правило, не могут обеспечить приемлемый уровень безопасности при работе пользователей через Интернет. Антивирусное ПО не может дать гарантий отсутствия вредоносного ПО, а клиентский ПК и операционная система могут иметь закладки.

Для защиты от подмены подписываемых документов были изобретены ридеры токенов с функцией визуализации (отображения и подтверждения подписываемых данных). Но при их использовании сохраняется риск того, что разметка передаваемых на визуализацию данных будет сбита вредоносным ПО, устройство отобразит не те данные и подписан будет подмененный документ. Более того, обычные устройства визуализации не защищают от перехвата PIN-кода токена, что создает угрозу перехвата управления токеном. 

Проанализировав большинство предлагаемых на рынке решений, компания «Аладдин Р.Д.» совместно с Vasco разработала «Антифрод-терминал» – решение, основанное на понимании того, что невозможно обеспечить на 100% защиту от перехвата управления и подмены платежных поручений в недоверенной среде на ПК пользователя при условии применения только устройств визуализации. 

«Антифрод-терминал» представляет собой не просто устройство визуализации, он состоит из совокупности взаимодополняющих технологий, позволяющих при их одновременном использовании обеспечить реальную безопасность работы с электронной подписью в недоверенной среде. Преимущества: аппаратно реализованная ЭП с неизвлекаемым ключом; визуализация и подтверждение подписываемых данных на доверенном «Антифрод-терминале»; технология SWYX (Sign What You eXecuted), реализуемая «Антифрод-терминалом» на клиентском ПК; аутентификация «Антифрод-терминала» на сервере ДБО; проверка сервером ДБО действительности намерений пользователя подписать присланный на исполнение документ; безопасный ввод PIN-кода и защита от перехвата управления.

Таким образом, совокупность технологий, реализованных с помощью «Антифрод-терминала» и линейки продуктов  JaCarta, позволяют обеспечить максимальный уровень безопасности для работы с электронной подписью в недоверенной среде, предоставляя гибкие возможности для реализации различных сценариев работы.