Сергей Потанин

Всем доброго дня, меня зовут Сергей – я один из соавторов обсуждаемой статьи.

Во-первых, хочу всех поздравить с наступающим нашим Великим праздником «Днем Победы». Этот Праздник, - мне, и, я думаю, многим другим гражданам нашей страны, позволяет гордиться свой Великой Родиной, согласитесь, что таких праздников в нашей жизни не так уж и много.
Вот выдалась свободная минутка, и я решил попытаться прокомментировать некоторые высказывания Д. Репана.

Начнем по порядку, вот высказывание:

"Предлагаемый авторами девайс давно существует - это MAC-токены. Устройства с клавиатурой для ввода значимых полей и вычислением внутри устройства контрольного кода.

Варианты исполнения также бывают разными.

Есть очень простые автономные устройства с клавиатурой, экранчиком и батарейкой внутри - Vasco Digipass 261.

Есть дорогие и многофункциональные MAC-токены с большим многопиксельным дисплеем, клавиатурой, USB-портом для подключения к компьютеру и встроенным ридером смарт-карт. Например, Vasco Digipass 865."

Все МАС – девайсы, на данный момент существующие на рынке у Vasco и у других производителей ( по крайней мере, которые мне известны, может уже появились новые, которые я не знаю, ну тогда обсуждаемый девайс становится лишь одним из вновь появившихся), требуют дублированного ввода всех контрольных полей в сам девайс, а потом переписывание полученного контрольного значения в WEB форму ПК. Повторный ввод и переписывание контрольного значения не очень удобно. И при этом возможны ошибки, это, согласитесь, уменьшает надежность работы всей системы в целом.
Наша клавиатура лишена данного недостатка, все атрибуты платежа вводятся только один раз, их сразу видно в WEB – форме, и если надо, то сразу можно исправить ошибку, согласитесь, это существенное отличие, и это, мне кажется, значительно удобней.

Следующее высказывание:

"Описываемый авторами вариант относится к самым простым MAC-токенам, при этом не содержит дисплея, не работает автономно и требует подключения к компьютеру по USB."

Абсолютно верно подмечено Д. Репаном, что задача разработки была именно упростить данный девайс (на самом деле этот девайс - просто дополнительная клавиатура с защищенными чипом и памятью и c урезанным ( однонаправленным, только выдает, но ничего не получает из ПК) USB- портом, этот девайс и распознается операционкой ПК, как дополнительная клавиатура, но с одним уточнением, это не МАС технология, а это скорее относится к типу защищенных интеллектуальных клавиатур.
Идеология данного устройства - его полная универсальность для любых существующих систем Дистанционного Банковского Обслуживания ( ДБО ), и это устройство полностью дружелюбно ко всем другим применяемым типам защиты, оно должно дополнять и усиливать безопасность любой существующей системы при дистанционной работе клиента со своими счетами в банке.
Этот тип защищенной клавиатуры просто заполняет пустующую на данный момент нишу, которую можно охарактеризовать, как «Различные дополнительные устройства повышающие безопасность обмена стандартизованными электронными документами».
Дисплей мы решили пока не делать, так как символы нажатых клавиш с клавиатуры должны выводиться на экран ПК, в контрольные поля. Искажать их злоумышленнику нет смысла, все равно контрольное значение будет считаться по символам, которые находятся в памяти клавиатуры, единственная атака, которая здесь может быть реализована, - это не дать пройти данному платежному документу, специально исказив контрольные поля в открытой WEB –форме, но, искажая, украсть уже не получится, и, следовательно, эта атака, на наш взгляд, не очень коммерчески эффективна. Мы решили, что дублировать ввод на мини экран клавиатуры в данном случае незачем, автономность блока клавиатуры нам не требуется, ну, если очень нужно, то мини экран привинчивается к устройству легко (образно говоря, за пару минут), автономная работа, как я уже говорил, для дополнительной клавиатуры не нужна. Способ подключения к ПК может быть любой - USB или Bluetooth, это не так важно, принципиально только одно, это должен быть канал односторонний, т.е. только выход символов из клавиатуры.

Следующее высказывание:

"Указанная авторами статьи стоимость подобной цифровой клавиатуры с USB-интерфейсом и возможностью последующей (в России) загрузки специализированного ПО при производстве в Китае - 8-10 $ USD (восемь-десять долларов США).

С доставкой в Россию самолетом, уплатой всех таможенных платежей, включая НДС 18%, и инициализацией (загрузка в девайс через штатный USB-интерфейс "прошивки" + секретных параметров) - получится не более 450 рублей.

Цена такого девайса для конечного пользователя - 650-700 рублей максимум.

При увеличении цены, резко снизится спрос.

Если Банк Москвы готов покупать MAC-токены в виде secure_keypad'а без дисплея, без возможности автономной работы, но с USB-интерфейсом по 800 руб. (восемьсот рублей) - компания "БИФИТ", как разработчик системы ДБО "iBank2" (а не "вроде ib-bank", как пишут уважаемые мною авторы), готова в течение трех месяцев поставить партию в необходимом банке количестве.

Указанная авторами цена 2000-3000 рублей за девайс при партии в десятки тысяч штук завышена как минимум в 3-5 раз.

Если в качестве алгоритма вычисления контрольного кода будет использоваться симметричная криптография (HMAC) на базе того же советского ГОСТа 28147-89, то данную "клавиатуру" возможно реализовать на одном 8-битном микроконтроллере (ценой до 1-1,5 $ USD) и минимальной обвязкой. Итоговая цена девайса у приличного контрактного сборщика микроэлектроники в Китае будет 6-8 $ USD.

Если перезаложиться и в качестве контрольного кода девайс будет формировать ЭЦП на эллиптических кривых по ГОСТ Р34.10-2001 - тогда вместо 8-битного микроконтроллера понадобится более производительный 32-битный микроконтроллер ARM-архитектуры (например, STM32F103) с USB-портом на борту стоимостью аж целых 2,5 $ USD. Обвязка в этом случае также будет самая минимальная. И цена девайса будет не более упоминаемых выше 8-10 $ USD.

Но не цена является главным критерием использования предлагаемого авторами решения."

Не могу комментировать данные подсчеты Д. Репана, не являюсь специалистом в этом вопросе. Указанная цена в статье 2000 – 3000 рублей является ценой, включающей затраты на разработку идеи, это просто грубое приближение, говорящее больше о возможной верхней ценовой границе. Но, что мне в этих рассуждениях у Д. Репана сразу бросилось в глаза, так это то, что он не совсем точно и полно (а может просто чуть - чуть лукавит) оценивает затраты на производство данного устройства, затраты реальные будут существенно выше. И, вообще, коммерческое значение и коммерческий результат применения данной технологии должен оценивать профессионал в данной области, а мне оценить сложно, только время и опытная эксплуатация, мне кажется, может это показать. А как снизить затраты, сроки производства – здесь как раз очень мог бы помочь опыт таких квалифицированных руководителей, каким является Д. Репан.
Для меня, как сотрудника информационной безопасности, значительно важней другой аспект данной задачи - как можно быстрей закрыть существующую уязвимость в системах ДБО, связанную с «недоверенной средой», в которой формируется платежный документ. Могу только сказать, что чем больше потребность в этих клавиатурах и чем больше заказ на эти клавиатуры будет, тем меньше будет их цена.
Могу еще добавить, что данная клавиатура должна позиционироваться, как дополнительная функция безопасности в системы ДБО, хочешь, - бери, не хочешь, - не бери, навязывать ее никому не стоит, обязательностью (навязыванием) можно отпугнуть клиентов банка.
Но, если клиента через ДБО обворовали, то клиенты банка должны четко понимать, что получившаяся данная ситуация,- это чисто результат только их личного выбора.
Уровень собственной электронной безопасности клиент банка должен определять сам, главное, что бы у него был выбор этих уровней.

Следующее высказывание:

"Главный критерий для пользователей - это удобство, отсутствие усложнений при работе с системой, отсутствие роста трудозатрат и времени при создании десятков платежек в день (обычная практика для юриков).

Авторы предлагают пользователям вводить в документ значимые поля через secure_keypad.

Основным документом для юрлиц является платежное поручение. Значимые поля для расчета HMAC'а, как минимум:
- расчетный счет получателя - 20 цифр
- БИК банка получателя - 9 цифр
- сумма платежа - 4-10 цифр (с копейками)

На практике клиенты редко забивают реквизиты получателя в платежку.

Вернее делают это только в одном случае - когда первый раз совершают платеж в пользу этого получателя.

Далее реквизиты получателя запоминаются системой ДБО в Справочнике получателей и в последующем пользователь при создании платежки либо пользуется справочником, либо копирует платежку из уже существующей платежки.

В итоге документы создаются реально быстро. Клиентам очень удобно работать.

Если же теперь заставить клиентов перебивать значимые поля в скопированной платежке, то:

а) создаются предпосылки для возникновения ошибки клиента при вводе расчетного счета получателя

б) существенно увеличивается время создания документа - ведь кроме ввода как минимум двух лишних полей (счета получателя и БИКа банка получателя), необходимо еще и вставить контрольный код в нужное поле.

В итоге - недовольство клиентов усложнением пользовательского интерфейса, увеличением времени на создание платежки, увеличением трудозатрат клиента."

Вопрос относительно того, удобно или неудобно пользоваться данной защищенной клавиатурой, я думаю, должен быть отнесен к каждому конкретному клиенту (к его индивидуальным способностям и к его психологическому состоянию и к его личным моторным реакциям, это не мой вопрос ). Клиент должен решать для себя это сам.
Данный вариант клавиатуры выполнен в формате (размерах) дополнительного блока стандартной клавиатуры не случайно, т.к. мы все понимаем, что форм фактор (размеры) данной клавиатуры может быть абсолютно любой, но он должен быть удобным для нажатия клавиш, и естественно, минимизированным для удобства хранения и переноски.
Могу из жизни привести пример, когда я проводил маленькое исследование - какой же размер клавиатуры выбрать, пробуя разные размеры клавиатур на знакомых бухгалтерах, то выяснил, что очень многие любят набирать цифры на дополнительном блоке клавиатуры, данный размер оказался им очень удобен для почти «слепого» набора цифр. А один бухгалтер, вообще мне сказал, что ей эта клавиатура очень нужна, ей приходится иногда работать с ноутбука, и она мучается, т.к. привыкла набирать цифры на дополнительном блоке клавиатуры, а этого блока в ноутбуке нет, и эта клавиатура ей существенно облегчит работу с ноутбуком.
Это интеллектуальная клавиатура, и, естественно, в ней решен и вопрос работы с шаблонами. Это значит, что если есть часто используемые атрибуты платежа, то для них создается шаблон в клавиатуре, и заполнение контрольных полей происходит нажатием всего нескольких клавиш, что является, как я думаю, не слишком сильным увеличением трудозатрат и усложнением в работе.
Для данного решения есть лишь одно естественное ограничение, хотя данный блок клавиатуры и защищен входным паролем, но все таки ее лучше беречь от чужих ручек, и также надежно, как свой кошелек с деньгами.

Следующее высказывание:

"Целесообразность описанного авторами девайса для меня, как разработчика системы ДБО, сомнительна. Банально не будет спроса. Даже при цене 650-700 рублей."

Будет спрос или не будет, время покажет, пусть клиент для себя это решает сам.
Могу только утверждать, что Д. Репан не может говорить и чувствовать за всех банковских клиентов.
Я лично, будучи клиентом банка (физиком), данную клавиатуру себе возьму обязательно, если технология будет внедрена в ДБО нашего банка, т.к. данная технология позволяет защитить мои платежи от искажения, и вероятность прохождения искажения равна десять в минус девятой степени, т.е. вероятность подделки моей платежки очень мала, и если надо, то эту вероятность можно и еще уменьшить до любого порога, если захочется.
Так же, отвечая на данную реплику, я подхожу к самому важному вопросу, который меня волнует, и который я хочу донести и прояснить. Вопрос в следующем, Д. Репан, считает себя разработчиком системы ДБО, да и не только он один, а на самом деле, как я думаю, все они являются, безусловно, высококлассными разработчиками, но только не системы ДБО, а всего нескольких, безусловно, очень важных, компонент системы ДБО. Одна из которых собственно отвечает за создание и транспорт платежного документа в банк, другая компонента отвечает за ЭЦП и подписание, третья отвечает за серверную обработку документа в банке и т.д., и эти компоненты, выполненные профессионалами высокого уровня, безусловно очень хороши, если их использовать в стерильной остановке (на гарантированно суперпроверенном от всех возможных врагов компьютере, хотя как этого добиться, мне до сих пор не ясно, но это другой вопрос).
Как я уже говорил выше, в клиентской части ДБО есть очень важная компонента, которая отвечает за качество подписания платежных документов с помощью ЭЦП, данная компонента очень качественная и защищенная, ЭЦП сейчас уже нельзя достать из е-токена, т.е. ее нельзя своровать, как раньше. Она также выполнена очень профессионально, и в стерильных условиях она все правильно сделает и подпишет.
Проблема в другом. Я надеюсь, что ничего нового не открываю, если скажу, что эти компоненты, безусловно, высококлассные, но это, к сожалению, не все, что входит в комплекс клиентского рабочего места ДБО.
В моем понимании клиентский комплекс ДБО (клиентская часть) состоит безусловно из этих компонент, которые делает Д.Репан и другие разработчики, но еще и плюс само железо (ПК) и плюс Операционка (ОС), которая связывает это все в единое целое.
Как мы все знаем, разных дыр и не декларированных возможностей и всего прочего в железе и в ОС предостаточно (вспомните Pentium I, а любую версию Windows латают на протяжении всей ее жизни). Даже, если будем считать, что всех вирусов и троянов мы извели и победили, хотя данное предположение достаточно проблематично, т.к. любая антивирусная защита всегда чуть – чуть, но опаздывает (в среднем на 2-3 часа, а то бывает и на целые дни и сутки), а за это время можно многое успеть в электронных платежах, если надо. А уровень безопасности клиентской части системы, как мы все знаем, определяется, естественно, самым слабым звеном, следовательно, как бы хороши компоненты у Д.Репан не были, общий уровень клиентского комплекса ДБО с компонентами (железо +ОС) получается, к сожалению, достаточно низким.
Для повышение уровня безопасности клиентской части ДБО можно идти разными путями, можно возить с собой несколько ноутбуков, один для работы, другой суперзащищенный ( как многим кажется, что сделать такой ноутбуков возможно, но для меня это утверждение достаточно сомнительно, но не будем об этом ), заточенный только под конкретный банк и ДБО, и только для платежек. Если есть кому все это носить, то можно ездить и с пятью ноутбуками, заточенными - один под выбор вечерней прически, другой - под выбор костюма, третий - под выбор обуви т.д., но для меня это не очень удобно, некому носить, сам все ношу, хочется поехать только с одним ноутбуком, и все на нем делать.
Можно повышать безопасность через задействование в клиентской части системы ДБО дополнительных независимых радио - телефонных каналов (SMS информирование и SMS подтверждение). Данное усиление, как мне видится, может сильно влиять на надежность комплекса клиентской часть ДБО в целом (существенное (в разы) может произойти увеличение суммарной вероятности отказа обслуживания трафика платежки для этого комбинированного канала связи).
А это, в свою очередь, может сильно влиять на непрерывность бизнес процессов клиента. У меня, не знаю как у других, иногда, SMS сообщения из банка идут по 2-3 часа, я тут, уже не хочу говорить, про предпраздничные и праздничные дни, про заграницу, умолчу, сколько они у меня идут в этом случае, однозначно, это для меня не очень удобно.
Завершение одной проводки может растянуться на многие часы ожидания.
Можно до бесконечного улучшать и повышать стерильность железа и ОС, усложнять работу системы ДБО, но где гарантия, что усложнения достаточно «круты», и что всех «микробов» в железе и в ОС мы убьем, а вдруг все таки один маленький, но живучий останется, и тогда все труды и затраты в ведро.
А ведь можно пойти другим путем, нужно просто создать компоненту (в нашем случае, это наш защищенный блок клавиатуры) и организовать клиентское место ДБО так, что бы все дыры и операционные риски, связанные с выше описанными угрозами (вирусы, трояны, удаленный перехват управления ПК, дыры в железе и в ОС, и т.п.), которые мы полностью никогда не сможем исключить у клиента, сделать не эффективными с точки зрения использования их для мошеннических действий.
Различных решений в этом направлении существует много разных, и они также имеют место для практической проверки, но сейчас, мы предлагаем решить проблему повышения безопасности клиентской части ДБО с помощью данной защищенной клавиатуры.
В заключении хочу сказать, что дорогу осилит идущий, может наше решение и не самое лучшее и не самое передовое, но оно уже реально реализовано и существует, (проведены маленькие НИР, ОКР, сделан опытный образец, и делается первая небольшая опытно - предсерийная партия этих клавиатур, на большую партию не тянем, т.к. делается это все на личные средства моих друзей и меня).
Я очень надеюсь, что системы безопасности различных ДБО, усиленные этими нашими клавиатурами, реально помогут кому - нибудь лично сохранить свои средства.
И, в целом, я в этом уверен, что усиление клиентской части любой системы ДБО нашими защищенными клавиатурами существенно поможет всем службам информационной безопасности наших банков в их достаточно сложной и тяжелой борьбе с кибермошенниками.

Желаю Всем удачи!

Денис

В данном случае согласен с Димитрием.
Предложенный метод защиты - явный перекос в сторону безопасности за счет удобства работы. Бухгалтер, который проводит больше одного платежа в день, на таком устройстве работать не будет, категорически.
Оптимальным методом защиты от перечисленных атак является просмотр уже готового платежного документа во внешней среде, с дальнейшей передачей (напрямую)его на подпись в смарт-карту с аппаратно реализованной криптографией. Такие устройства уже поддерживаются несколькими разработчиками систем ДБО.

Сергей Захаров

Уважаемые коллеги.
А чем вас не устроило решение «WebSafer» компании WebSafer.ru? Как мне кажется, оно как раз позволяет создать островок безопасности при использовании интернет-банкинга.

Вадим

Очень интересная и познавательная статья.

Репан Димитрий, разработчик системы ДБО "iBank 2"

Сначала представлюсь - Репан Димитрий, генеральный директор компании "БИФИТ", являющейся разработчиком системы ДБО "iBank 2", которая промышленно эксплуатируется в Банке Москвы.

Предлагаемый авторами девайс давно существует - это MAC-токены. Устройства с клавиатурой для ввода значимых полей и вычислением внутри устройства контрольного кода.

Варианты исполнения также бывают разными.

Есть очень простые автономные устройства с клавиатурой, экранчиком и батарейкой внутри - Vasco Digipass 261.

Есть дорогие и многофункциональные MAC-токены с большим многопиксельным дисплеем, клавиатурой, USB-портом для подключения к компьютеру и встроенным ридером смарт-карт. Например, Vasco Digipass 865.

Описываемый авторами вариант относится к самым простым MAC-токенам, при этом не содержит дисплея, не работает автономно и требует подключения к компьютеру по USB.

Указанная авторами статьи стоимость подобной цифровой клавиатуры с USB-интерфейсом и возможностью последующей (в России) загрузки специализированного ПО при производстве в Китае - 8-10 $ USD (восемь-десять долларов США).

С доставкой в Россию самолетом, уплатой всех таможенных платежей, включая НДС 18%, и инициализацией (загрузка в девайс через штатный USB-интерфейс "прошивки" + секретных параметров) - получится не более 450 рублей.

Цена такого девайса для конечного пользователя - 650-700 рублей максимум.

При увеличении цены, резко снизится спрос.

Если Банк Москвы готов покупать MAC-токены в виде secure_keypad'а без дисплея, без возможности автономной работы, но с USB-интерфейсом по 800 руб. (восемьсот рублей) - компания "БИФИТ", как разработчик системы ДБО "iBank2" (а не "вроде ib-bank", как пишут уважаемые мною авторы), готова в течение трех месяцев поставить партию в необходимом банке количестве.

Указанная авторами цена 2000-3000 рублей за девайс при партии в десятки тысяч штук завышена как минимум в 3-5 раз.

Если в качестве алгоритма вычисления контрольного кода будет использоваться симметричная криптография (HMAC) на базе того же советского ГОСТа 28147-89, то данную "клавиатуру" возможно реализовать на одном 8-битном микроконтроллере (ценой до 1-1,5 $ USD) и минимальной обвязкой. Итоговая цена девайса у приличного контрактного сборщика микроэлектроники в Китае будет 6-8 $ USD.

Если перезаложиться и в качестве контрольного кода девайс будет формировать ЭЦП на эллиптических кривых по ГОСТ Р34.10-2001 - тогда вместо 8-битного микроконтроллера понадобится более производительный 32-битный микроконтроллер ARM-архитектуры (например, STM32F103) с USB-портом на борту стоимостью аж целых 2,5 $ USD. Обвязка в этом случае также будет самая минимальная. И цена девайса будет не более упоминаемых выше 8-10 $ USD.

Но не цена является главным критерием использования предлагаемого авторами решения.

Главный критерий для пользователей - это удобство, отсутствие усложнений при работе с системой, отсутствие роста трудозатрат и времени при создании десятков платежек в день (обычная практика для юриков).

Авторы предлагают пользователям вводить в документ значимые поля через secure_keypad.

Основным документом для юрлиц является платежное поручение. Значимые поля для расчета HMAC'а, как минимум:
- расчетный счет получателя - 20 цифр
- БИК банка получателя - 9 цифр
- сумма платежа - 4-10 цифр (с копейками)

На практике клиенты редко забивают реквизиты получателя в платежку.

Вернее делают это только в одном случае - когда первый раз совершают платеж в пользу этого получателя.

Далее реквизиты получателя запоминаются системой ДБО в Справочнике получателей и в последующем пользователь при создании платежки либо пользуется справочником, либо копирует платежку из уже существующей платежки.

В итоге документы создаются реально быстро. Клиентам очень удобно работать.

Если же теперь заставить клиентов перебивать значимые поля в скопированной платежке, то:

а) создаются предпосылки для возникновения ошибки клиента при вводе расчетного счета получателя

б) существенно увеличивается время создания документа - ведь кроме ввода как минимум двух лишних полей (счета получателя и БИКа банка получателя), необходимо еще и вставить контрольный код в нужное поле.

В итоге - недовольство клиентов усложнением пользовательского интерфейса, увеличением времени на создание платежки, увеличением трудозатрат клиента.

Целесообразность описанного авторами девайса для меня, как разработчика системы ДБО, сомнительна. Банально не будет спроса. Даже при цене 650-700 рублей.