Навигатор уэ2.1.4. Слепая электронная подпись

Некоторым недостатком схемы электронной подписи является то, что Банк, при подписи, имеет доступ к тексту файла. То есть он может проследить, какой файл им подписывается и к кому попадает данная электронная купюра. Чтобы обойти, это придуман механизм слепой электронной подписи. У этого метода есть простой бумажный аналог.

Пусть Некто, желая анонимно получить чек на 5 долларов, выписывает его, кладет в конверт и вместе с 5 долларами приносит в Банк. У конверта есть одна хитрость - внутренняя сторона его сделана из копирки. Банк, получив 5 долларов, берет печать с надписью "банк гарантирует этот чек к оплате в размере 5 долларов" и со всей силы бьет по конверту. При этом печать через копирку оттискивается на чеке, его удостоверяя, но банк не видит чека и не может проследить его путь. Далее клиент разрывает конверт и достает анонимный чек, заверенный Банком.

В компьютерном методе слепой подписи роль конверта, в котором спрятан чек, играет некое математическое преобразование

Подписываемый файл представляет собой набор цифр-байтов, назовем его A. Слепая подпись превращает каждый байт (точнее, некоторые последовательности байтов) в другой, зашифрованный на закрытом. Если для подписи-шифрования используется алгоритм RSA, то это преобрадование происходит по правилам, описанным на www.rsa.com:

RSA(А) -> A'

Математики показали, что если байт, перед шифрованием по RSA, умножить на некое число N, то результат шифрования будет отличаться от исходного:

RSA(NА) -> A" не равное A'

Но, если этот результат поделить на число N, то мы получим тот же результат, что и в начале

A"/N -> A'

Или

RSA(NA)/N = RSA(A)

Иными словами, операция шифрования и умножения происходят независимо друг от друга.

Такое свойство позволяет устроить слепую подпись так. Клиент изготавливает у себя на компьютере банкноту в пять долларов по установленному образцу с уникальным номером и умножает все байты в файле на одному лишь ему известное число. Тем самым он прячет их в конверт. Затем он дает команду Банку списать с его счета пять долларов и подписать присланный файл. Банк подписывает его слепой подписью для пятидолларовых купюр и отсылает обратно. Отметим, что Банк не знает секретного числа и не видит, какой изначальный файл он подписывает. Далее получатель делит все числа в полученном файле на N (распечатывает конверт), получая в результате анонимную электронную банкноту в 5 долларов, подписанную Банком.

Б

Навигатор

олее точное описание учитывает, что данные методы оперируют не с байтами, а с их последовательностями. Более подробную информацию можно найти, например, на http://ganges.cs.tcd.ie/mepeirce/Project/double.html или http://193.78.226.2/news/archive/encrypt.htm.

УЭ2.1.5. SET-технология

Протокол SET (Secure Electronic Transactions) является протоколом обмена данными при платежных транзакциях и создан по инициативе Visa и MasterCard. Протокол поддерживается многими производителями программного обеспечения в этой области (Microsoft, IBM, Netscape, CyberCash и т. д.). Главной особенностью SET является то, что при совершении покупок номер кредитной карточки не пересылается. Это означает, что продавец не может собирать номера карточек, что в свою очередь исключает возможность массовых хищений. При совершении покупки покупатель пересылает продавцу не номер кредитной карточки, а электронный сертификат, подтверждающий, что он является владельцем данной карточки. Сам сертификат выдается клиенту банком, выдавшим ему карточку.

SET частично основывается на криптотехнологии компании RSA Data Security.

Первая спецификация SET вышла в феврале 1996 года, затем в июне появилась новая, доработанная в соответствии с пожеланиями более 3000 респондентов из 76 стран.

Большое внимание в этом проекте уделяется сделкам, в которых, к примеру, участвует покупатель со счетом в одном банке и продавец, у которого открыт счет совсем в другом банке. Первая трансконтинентальная транзакция была проведена также в рамках Visa SEC между ее европейскими и азиатскими участниками. Заключалась она в совершении служащими Citibank из Германии покупок в двух Internet-магазинах в Юго-Восточной Азии.

1 июня 1997 года вышла версия SET 1.0, позволившая компаниям – поставщикам программного обеспечения интегрировать SET в свои решения и разработки. Почти сразу же стали проводится транзакции, использующие SET.

19 декабря 1997 года создается корпорация под названием SET Secure Electronic Transaction LLC, или SETCo. Был подписан “меморандум о понимании”, в котором оговорена возможность дальнейшего включения в число совладельцев SETCo компании American Express и др. Все соглашения о создании этой корпорации должны быть подписаны летом этого же года.

Протокол SET опережает другие технологии обеспечения безопасности в Internet благодаря использованию цифровых сертификатов и шифровальных технологий, позволяющих как продавцам, так и покупателям производить аутентификацию всех участников сделки. Кроме того, SET обеспечивает надежную защиту номеров кредитных карт и другой конфиденциальной информации, посылаемой через Internet.

Январь 97 – American Express, Gemplus, RSA, и Open Market проводят первую Internet-транзакцию по протоколу SET. Эта транзакция была также замечательна тем, что все компании разрабатывали свои приложения независимо друг от друга (участие распределялось следующим образом – American Express – платежный Internet-шлюз, Gemplus – аутентификационную смарт-карту, RSA- программное обеспечение для разработчиков прикладных систем), что лишний раз доказало приемлемость SET как межотраслевого стандарта.

В данный момент, хотя некоторые проекты еще не завершены, очень многие компании, занимающиеся электронной коммерцией, предлагают услуги с использованием протокола, новые приложения под SET и т.д. Очень многие интегрируют SET и другие технологии для достижения максимальной конфиденциальности и безопасности совершения платежей. Сейчас практически во всех крупных платежных системах Internet предлагаются услуги с использованием протокола SET. СyberCash, известная компания, работающая на рынке безопасных Internet-платежей, сейчас активно предлагает всем свои клиентам работу по протоколу SET, пропагандируя его преимущества и всячески доказывая, что уже теперь-то точно можно участвовать в электронной коммерции, ничего не опасаясь.

Приведем преимущества использования SET:

• продавцы защищены от покупок с помощью неавторизованной платежной карточки и от отказа от покупки;

• банки защищены от неавторизованных покупок;

• клиенты не пострадают от перехвата номера кредитки и от покупки у несуществующих продавцов.

SET позволяет проводить авторизацию, используя цифровые подписи, и одновременно защищает покупателей, обеспечивая механизм передачи номера карты для проверки непосредственно эмитенту, минуя промежуточные звенья.

Пока трудно судить о перспективах SET в России. Единственное, что можно сразу точно утверждать, это то, что сектор платежей в Internet у нас еще только начинает развиваться, а кредитные карты не имеют такого широкого распространения, как на Западе и т. д. То есть вначале клиент должен освоить карточки и понять, что это удобно, затем разобраться с Internet, а уж после этого можно будет о чем-то говорить.

Большинство российских аналитиков рассматривает перспективы применения SET только на уровне платежей между юридическими лицами. При соблюдении всех правовых норм можно рассматривать перспективы SET в сочетании и интеграции с другими технологиями для обеспечения безопасности или конфиденциальности при проведении каких-либо расчетов, но только не кредитными картами по Internet. Может быть, даже для Internet, но не по кредиткам. Кроме того, стоит еще учесть достаточно высокую цену на все совместимые с протоколом приложения. Вкладываться в них компании будут лишь при наличии хороших перспектив.