- •Политика безопасности при работе в Интернете
- •1.1. Цель
- •1.2. Для кого эта книга
- •1.3. Основы Интернета
- •1.4. Зачем разрабатывать политику безопасности для работы в Интернете?
- •1.5. Основные типы политики
- •2. Общие принципы
- •2.1. Что там должно быть
- •2.3. Претворение политики в жизнь
- •2.2. Получение разрешения
- •2.4. Примеры описания общих принципов работы в Интернете в политиках
- •3.Анализ риска
- •3.1. Угрозы/видимость
- •3.2. Уязвимость/последствия
- •3.3. Матрица профиля
- •3.4. Учет информационных ценностей
- •3.5. Система общего назначения
- •3.6. Критические приложения
- •3.7. Классификация данных
- •4. Коммерческие требования
- •4.1. Удаленный доступ
- •4.2. Коммутируемое соединение
- •4.3. Telnet/X Windows
- •4.4. Переносные компьютеры
- •4.5. Электронная почта
- •4.6. Публикация информации
- •4.7. Исследования
- •4.8. Электронная коммерция
- •4.9. Электронный обмен данными
- •4.10. Информационные транзакции
- •4.11. Финансовые транзакции
- •4.12. Постоянная доступность для взаимодействия
- •4.13. Легкость использования
- •4.14. Единовременная регистрация
- •4.15. Разработка пользовательского интерфейса
- •5. Примеры областей, для которых нужны политики
- •5.1. Идентификация и аутентификация
- •5.1.1. Общие политики аутентификации в Интернете
- •5.1.2. Политика администрирования паролей
- •5.1.3. Политика для устойчивой аутентификации
- •5.1.4. Электронные подписи и сертификаты
- •5.2. Контроль за импортом программ
- •5.2.1. Защита от вирусов
- •5.2.2. Контроль интерактивных программ
- •5.2.3. Лицензирование программ
- •5.3. Шифрование
- •5.3.1. Общая политика для шифрования
- •5.3.2. Удаленный доступ
- •5.3.3. Виртуальные частные сети (Virtual Private Networks)
- •5.4. Архитектура системы
- •5.4.1. Виртуальные частные сети (Virtual Private Networks)
- •5.4.2. Удаленный доступ к системе
- •5.4.3. Доступ к внутренним базам данных
- •5.4.4. Использование нескольких брандмауэров
- •5.5. Улаживание происшествий с безопасностью
- •5.5.1. Введение в обнаружение происшествия
- •5.5.2. Методы обнаружения происшествия
- •5.5.3. Ответные действия
- •5.6. Организационные меры
- •5.6.1. Ответственность должностных лиц за безопасность
- •5.6.2. Допустимое использование
- •5.6.3. Сохранение конфиденциальности личной информации (privacy)
- •5.7. Обучение пользователей
- •6. Политика безопасности брандмауэров
- •6.1. Основы и цель
- •6.2. Аутентификация
- •6.3. Анализ возможностей маршрутизации и прокси-серверов
- •6.3.1. Маршрутизация источника
- •6.3.2. Фальсификация ip-адреса
- •6.4. Типы брандмауэров
- •6.4.1 Шлюзы с фильтрацией пакетов
- •6.4.2. Прикладные шлюзы
- •6.4.3. Гибридные или сложные шлюзы
- •6.4.4. Рейтинг
- •6.5. Архитектуры брандмауэра
- •6.5.1. Хост, подключенный к двум сегментам сети
- •6.5.2. Экранированный хост
- •6.5.3. Экранированная подсеть
- •6.6. Интранет
- •6.7. Администрирование брандмауэра
- •6.7.1. Квалификация администратора брандмауэра
- •6.7.2. Удаленное администрирование брандмауэра
- •6.7.3. Зарегистрированные пользователи
- •6.7.3.1. Архивные копии брандмауэра
- •6.8. Доверительные взаимосвязи в сети
- •6.9. Виртуальные частные сети (vpn)
- •6.10. Отображение имен в адреса с помощью dns
- •6.11. Целостность системы
- •6.12. Документация
- •6.13. Физическая безопасность брандмауэра
- •6.14. Действия при попытках нарушения безопасности
- •6.15. Восстановление сервисов
- •6.16. Усовершенствование брандмауэра
- •6.17. Пересмотр политики безопасности для брандмауэра
- •6.18. Системные журналы (сообщения о событиях и итоговые отчеты)
- •6.19. Примеры политик
- •6.20. Примеры специфических политик для отдельных сервисов
- •6.21. Начальник отдела
- •6.22. Сотрудник отдела автоматизации
4.11. Финансовые транзакции
Так или иначе, но компьютеры и сети давно используются для обработки финансовых транзакций. Перевод денег со счета на счет в электронном виде используется для транзакций банк-банк, а банкоматы используются для операций клиент-банк. Авторизация покупателя с помощью кредитных карт выполняется с помощью телефонных линий и сетей передачи данных.
Для поддержания безопасности этих транзакций они выполняются с помощью частных сетей или шифруются. Использование частных глобальных сетей (как и для EDI) ограничивало возможности взаимодействия. И только Интернет дал дешевую возможность осуществлять финансовые транзакции.
Существует три основных класса финансовых транзакций и пять основных типов механизмов платежа:
Таблица 4.3. Платежи и финансовые транзакции
|
|
Наличные |
Чек |
Дебит |
Кредит |
Электронный перевод фондов |
|
Компания-компания |
|
Основной |
|
|
Вспомогательный |
|
Компания-клиент |
Основной |
Вспомогательный |
Вспомогательный |
Вспомогательный |
|
|
Клиент-клиент |
Основной |
Вспомогательный |
|
|
|
Использование Интернета для выполнения этих типов транзакций позволяет заменить представление или показ наличных, чеков, кредитных карт их электронными эквивалентами:
Наличные - сейчас существует ряд конкурирующих подходов для реализации электронных денег, реализация которых еще находится на стадии разработки. Все эти методы используют криптографию для создания безопасных цифровых "бумажников", в которых хранится цифровая наличность. Передача электронных денег необязательно требует участия финансовых учреждений в качестве промежуточной стадии.
Чеки - банковская индустрия разрабатывает стандарт для электронных чеков, определяющий как информация, содержащаяся в физических чеках, должна представляться в электронном сообщении. Электронные чеки всегда требуют участия финансовых учреждений при их передаче.
Дебитовые карты - смарт-карты и карты с памятью могут хранить электронные деньги рядом способов. Каждая транзакция дебитует определенное количество, пока карта не опустеет. Карты с памятью не требуют использования финансовых учреждений.
Кредитные карты - основные игроки в индустрии кредитных карт(Visa, Master Card, и American Express) разработали стандарт для выполнения транзакций с кредитными картами по глобальным сетям. Известный под названием Безопасные Электронные Транзакции (Secure Electronic Transactions), этот стандарт определяет трехэтапные транзакции между клиентом, продавцом и владельцем дебита кредитной карты, обычно банком. Транзакции электронных кредитных карт, использующие SET, всегда требуют участия финансового учреждения.
Электронный перевод фондов(EFT) - он использует криптографию для обеспечения безопасности перевода фондов между банками и другими финансовыми учреждениями. Клиенты могут авторизовать банки на посылку и прием платежей с помощью EFT для клиента.
Каждая из этих форм электронных финансовых транзакций включает использование криптографии для обеспечения целостности, конфиденциальности, аутентификации и контроля участников взаимодействия.