27.Протоколы безопасной работы, используемые в электронной коммерции. Протоколы ssl и set. Применение ключей е-Токеn для ограничения доступа.

К основным протоколам безопасности, используемым в платежных системах электронной коммерции, относятся протоколы SSL и SET. Используется в платежных системах Instant!, CyberPlat (обслуживание платежей по пластиковым картам Visa, EuroCard/MasterCard и др.)

Протокол SSL(Secure Socket Layer – слой безопасных соединений) – это протокол взаимодействия информационных серверов и универсальных клиентов по защищенному каналу связи. Отождествление клиента и сервера (идентификация) и проверка подлинности (аутентификация) клиента и сервера реализуется в результате обмена открытыми ключами и создания сеансовых криптографических ключей. После этого возможен двухсторонний обмен шифрованными сообщениями.

Протокол был разработан корпорацией Netscape Communications для обеспечения защиты данных, передаваемых по сети Интернет. Он поддерживает установление подлинности как на уровне сервера, так и на уровне клиента.

Преимущества:

- не зависим от приложений, что позволяет прозрачно наслаиваться на него таким протоколам как HTTP, FTP (протокол передачи файлов) и Telnet;

- способен обмениваться ключами шифрования, а так же устанавливать подлинность сервера еще до того, как приложение, находящееся на более высоком уровне, начинает обмен данными;

- обеспечивает безопасность и целостность канала передачи с помощью шифрования и опознавательных кодов сообщения;

- сообщения, зашифрованные с использованием открытого ключа, может расшифровать только владелец ключей с помощью закрытого ключа;

- нельзя отправить сообщение другому адресату, выдавая себя за владельца открытого ключа.

Протокол состоит из двух составляющих – протокола установления защищенной связи и протокола защищенного обмена данными.

Установление защищенной связи производится следующим образом:

1. Клиент посылает серверу сообщение Client-Hello. В этом сообщении он помещает название и номер версии установленной у клиента программы, сведения о системе шифрования, которую он способен поддерживать и др.

2. Серверная программа отправляет ответное сообщение Server-Hello. В этом сообщении сервер сообщает клиенту аналогичные сведения о своей программе и настройке системы шифрования.

3. Стороны сравнивают свои программные средства шифрования и выбирают наилучшие алгоритмы из числа доступных.

4. Серверная программа отправляет клиенту открытый ключ сервера и сертификат ключа, заверенный удостоверяющим центром, а так же получает от клиента его открытый ключ.

5. Клиент проверяет сертификат ключа сервера. После успешной идентификации сервера клиент формирует случайную последовательность двоичных чисел. Она будет использоваться в качестве мастер-ключа сеанса связи.

6. Клиент формирует сообщение Client-Master-Key. В это сообщение он помещает созданный мастер-ключ (premaster secret). Сообщение шифруется закрытым ключом клиента и отправляется серверу.

7. При необходимости производится идентификация клиента. Для этого клиент подписывает своим закрытым ключом известную серверу последовательность данных, полученную в процессе первичного контакта, и отправляет серверу. Сервер открывает эти данные открытым ключом клиента и убеждается в его подлинности.

8. Сервер отвечает сообщением Server-Verify. В нем он подтверждает свою подлинность. Проверка осуществляется с помощью мастера-ключа, расшифрованного сервером, и мастер-ключа клиента.

В электронной торговле протокол используется для передачи магазину информации о платежной карте клиента, либо для защищенного обмена данными.

Протокол SET(Secure Electronic Transactions – безопасные электронные транзакции) – один из основных стандартов электронных платежей. По сравнению с SSL он обеспечивает более высокий уровень безопасности и поэтому применяется при совершении сделок на значительную сумму. При использовании протокола обеспечивается безопасность оплаты по кредитным картам, разработанная Visa, MasterCard, Microsoft и несколькими ведущими банками. Основан на шифровании с открытым ключом всей информации, связанной с параметрами карты и разделением информации между участниками транзакции так, что ни один из них не обладает информацией целиком.

Протокол использует для шифрования данных алгоритмы DES и RSA. Идентификация участников сделки осуществляется с помощью цифровой подписи и системы управления сертификатами. При использовании для расчетов пластиковых карт, данные о покупателе передаются в зашифрованном виде непосредственно в обслуживающий банк. Магазину (продавцу) данные о покупателе недоступны, чем обеспечивается высокая степень защищенности сделки.

Одним из программных элементов системы SET является электронный кошелек (Wallet). Он позволяет клиенту управлять платежными карточками и сертификатами. Специальная программа (SET e-wallets) автоматически отправляет на сервер предварительно подготовленные данные пластиковой карты, адрес доставки и другую информацию о клиенте, обеспечивая дополнительную безопасность и исключая ошибки при ручном заполнении форм. В состав SET так же входят платежный сервер продавца (Merchant Server), платежный шлюз (Payment Gateway), серверное программное обеспечение – источник сертификатов (Certificate Authority).

Применение ключей е-Токеn для ограничения доступа. Проверка подлинности пользователей в виртуальных частных сетях (VPN) в Windows XP/2000 по протоколу EAP–TLS может строиться на основе сертификатов. Сертификаты хранятся в защищенной памяти ключа – PIN-коде Token, обеспечивая дополнительный уровень безопасности подключения удаленны мобильных пользователей. Даже после потери ключа компроментация сертификата невозможна, так как злоумышленник должен знать PIN-код ключа Token.

В документах создаваемых при помощи программы MS Office XP (Word, Excel, Power Pont), возможно шифрование и их подпись ЭЦП (электр. цифр. подпись).При сохранении документов указывается пароль, на основании которого вырабатывается ключ шифрования с помощью алгоритмов шифрования, имеющихся в е-Токеn.

Цифровая подпись создается на основе цифрового сертификата пользователя, хранящегося в защищенной памяти ключа е-Токеn.