Филин С.А. Информационная безопасность, 2006

ГЛАВА 4. ОРГАНИЗАЦИЯ ЗАЩИТЫ ЭЛЕКТРОННОЙ КОММЕРЦИИ

Особого режима правового регулирования требуют информа­ ционные сообщения в Интернете, так как электронные сообщения м о г у т б ы т ь носителями КТ. Экономика информационных Интеренет- технологий связана с быстрой информатизацией бизнеса. Интернет- технологии «новой» экономики непрерывно расширяют информа­ ционную составляющую бизнеса, увеличивая его возможности. Но одновременно еще более быстрыми темпами растет количество информационных мошенничеств. Высокий уровень мошенничества

вИнтернете — сдерживающий фактор развития электронной ком­ мерции25. В России уровень мошенничества в Интернете составляет 0,5—3% оборотов электронной коммерции. Отсюда новые риски, поскольку утрата информации (особенно конфиденциальной) мо­ жет поставить под удар весь бизнес компании26.

Ведущая фирма США в области защиты информации БутаЩес

в2002 г. обследовала информационную безопасность крупнейших корпораций и банков мира. Лишь в 60% обследованных банков про­ блемой защиты информации занимается высшее руководство, т. е. имеются стратегии безопасности. В других корпорациях и в гос­ структурах данная цифра не превышает 20%; стратегия безопасно­ сти отсутствует, сама проблема зачастую считается второстепенной и отнесена главным образом к ведению службы информационных технологий. Обследование показало:

—высшие менеджеры чаще всего обходят систему защиты, тре­ буя для себя особых полномочий в доступе к информации. Информация находится в их переносных компьютерах, мо­ бильных телефонах. Забытые или похищенные, они могут слу­ жить источником к закрытой информации о владельце и ком­ пании;

—не проводится тестирование средств информационной без­ опасности, так как нет уверенности в их практической эффек­ тивности;

25 В апреле 2002 г., поданным компании Gartner G2, убытки, причиненные мошенниками в виртуальной среде, составили 700 млн. долл., что значительно превышает масштабы мошенничества в реальном мире.

Катализатором банкротства компании Enron послужила конфиденци­ альная информация о сокрытии долгов, ставшая известной через уволенную сотрудницу. Эта же информация привела к банкротству одного из ведущих аудиторов (фирмы Andersen), покрывавшего мошенничество.

203

—отсутствуют системы обнаружения вторжений;

—не ведется учет нарушения политики информационной без­ опасности;

—менеджеры, ответственные за информационную безопасность, не имеют представления, в какой мере достаточны вложения

всистемы обеспечения безопасности;

—регулярный аудит информационной безопасности не осущест­ вляется;

—как правило, проблема защиты информации воспринимается высшими менеджерами как защита от компьютерных вирусов и от вторжения хакеров. Такие вопросы, как контроль удаленного досту­ па, безопасность при работе с Интернетом, ранжирование конфи­ денциальности, безопасность в ходе электронной коммерции, защи­ та от мошенничества внутри компании, защита от кражи (потери) информации, обычно даже не рассматриваются.

Быстрый рост электронного бизнеса в целом привлек значитель­ ное внимание регулирующих органов и глобальной бизнес-обще­ ственности к проблемам адекватного отражения выручки в отчет­ ности и качеству самой корпоративной отчетности. Пользователи корпоративной отчетности — особенно финансовые аналитики — часто фокусируют внимание на росте доходов и валовой прибыли компаний, а не на традиционных мерах по получению чистой при­ были и доходах на одну акцию. Доходы часто заявляются под влия­ нием резкого роста эффекта операций, когда доходы и расходы представляются в преувеличенных размерах. Валовые доходы также переоцениваются посредством неправильной классификации затрат по продажам и маркетинговым расходам [40].

Многие компании в настоящее время готовят и распространя­ ют свои финансовые отчеты электронным образом. Однако надеж­ ность и достоверность такой информации уже поставлена под во­

прос многими профессиональными организациями. Сложность и проблематичность, связанные с рисками электронного бизнеса, остаются реальными угрозами для всех компаний, ведущих бизнес через Интернет. Возрастает роль аудиторских комитетов, призван­ ных предвидеть, как компания управляет своим электронным биз­ несом.

Точность и целостность информации, приобретаемой при обще­ нии через Интернет, может быть важным фактором в определении надежности финансовой информации. Однако зачастую сообщения, посылаемые при помощи электронной почты, являются не только удобными средствами электронной коммуникации, но и оказывают­

204

ся нередко объектом мошеннических финансовых действий и неза­ конных присвоений активов27.

Еще один источник угроз информационной безопасности систе­ мам электронного ведения бизнеса — проблема вирусов и спамов. Теперь это не только угроза личному времени и эмоциональному состоянию. По данным лаборатории Касперского, количество про­ грамм, содержащих вредный код (вирус), в Интернете возросло с 1998 г. более чем в 15 ООО раз! При этом значительно трансформи­ ровались мотивы создания вирусов: если в конце 1980-х — начале 1990-х гг. все зараженные программы создавались кибер-хулигана­ ми, то в конце 1990-х их доля снизилась до 70%, соответственно 30% приходилось на долю программ, цель создания которых — мелкое мошенничество; в 2003 г. уже только 50% зараженных программ создаются и рассылаются с относительно безобидной целью, 50% составили программы, преследующие корыстные цели. Появились вирусы, рассылаемые кибер-преступниками; вирусы, которые ис­ пользуют спам-технологии. Например, вирус БоЫя^ находился в каждом двадцатом письме. Спамеры рассылают троянские прог­ раммы, которые, заражая машины пользователей, служат площад­ кой для рассылки спама. В 2003 г. впервые сложилась ситуация, когда доля спама в трафике электронной почты превысила долю обычных писем. По оценке крупных российских почтовых служб, на спамписьма приходится уже до 80% обслуживаемого ими почтового

27 Так, вирусы «Мелисса» и «Любовный Жук» нанесли ущерб в размере мил­ лиардов долларов многим корпорациям в различных странах мира. Сообще­ ния по электронной почте компании Ети1ех, содержавшие неправильную информацию о финансовых перспективах компании, вызвали фактическое падение цен на ее акции [39]. Нарушители, посылающие вирусы и непра­ вильную финансовую информацию, могут значительно навредить качеству, целостности и надежности финансовых отчетов корпораций. Обман Ети1ех был электронным мошенничеством и закончился исчезновением миллионов долларов на рынке капитализации в течение нескольких часов из-за непра­ вильного электронного сообщения, посланного по интернетовскому проводу: через электронную почту послана информация о том, что руководитель ком­ пании Еши1ех подал в отставку вследствие возможных претензий со стороны Комиссии по ценным бумагам и фондовой биржи в результате рассмотрения практики ведения учета в компании. Котировки на ценные бумаги этой ком­ пании упали приблизительно на 61%, потеряно более 2 млрд долл. рыночной капитализации. Как выяснилось, эта «новость» послана бывшим служащим Интернет-провода в личных финансовых целях. Преступник в конечном счете был пойман и наказан [38].

205

трафика28 [73, 74]. Меняется содержание писем. В Рунете отмечен резкий рост числа предложений товаров и услуг и, соответственно, снижение относительных долей предложений «для взрослых» (в ко­ личественном плане предложений «для взрослых» не стало меньше) и откровенного мошенничества. Оправдались прогнозы о распро­ странении политического спама. Он активно использовался в изби­ рательной кампании 2003 г. на всех уровнях. В Рунете, как и во всем мире, наблюдается «укрупнение» спамерского бизнеса, начинается эпоха мобильного спама (БМЗ-спама). По сути, это весьма успеш­ ная реклама.

Россия идет по пути экономически развитых государств — все большее значение в жизни каждого ее гражданина приобретает Интернет-пространство и возрастает число пользователей Интер­ нета. Чем интенсивнее будет развиваться эта отрасль в России, а сеть Интернет становиться все более массовой, тем будет все больше на­ рушителей общепринятых правил работы в Интернете и больший интерес со стороны криминала она будет вызывать. Увеличение доли кибер-преступников в рассылаемых вирусах в 2004 г. составило до 10% (т. е. в 2 раза по сравнению с 2003 г.). Если тенденция продол­ жится, начнется самоорганизация кибер-преступников в преступные международные сообщества и плановые действия в Интернет-сети. Мафия способна выйти в виртуальное пространство, и кибер-пре­ ступность может занять ведущее место в сети Интернет29. Этот фак­ тор нельзя игнорировать пользователям ИТ. На сегодняшний день Интернет собирает уже достаточное количество пользователей, все

28Согласно данным почтовой службы «Яндекса», доля спамерских писем

впочтовых потоках составляет не менее 40%, при этом в отдельную группу вы­ деляются так называемые «рассылки», доля которых может составлять до 20% почтового трафика. Таким образом, общий объем массовой непрошеной кор­ респонденции может достигать 60—80%. По данным почтовых служб «Рамбле­ ра» и Mail.ru, спам также занимает до 80% почтового трафика.

29 «Я становлюсь параноиком», — говорит Евгений Касперский ведущий российский вирусолог, глава исследовательской группы компании «Лаборато­ рия Касперского». Ситуация с компьютерной безопасностью уже сейчас край­ не тяжелая, а в дальнейшем будет только ухудшаться. Все больше «троянцев» будет засылаться в платежные системы, системы денежных переводов, усилятся попытки кражи пин-кодов к карточным счетам и т. д. В результате Интернетсообщество в конце концов попадется в сети мафии. «Лб*знь в ИТ-мире идет по неправильному пути и быстрее, чем мы предполагали. Основными послед­ ствиями действий организованной преступности в сети Интернет могут стать контроль над спам-бизнесом, кибер-шпионаж, в том числе промышленный,

икибер-терроризм» [73].

206

больш ее их количество использует его не только как средство обще­ ния или получения информации, но и в качестве инструмента для

зарабатывания денег.

Такие сегменты электронного бизнеса, как интернет-трейдинг, интернет-банкинг и другие современные направления развития фи­ нансовых Интернет-услуг, могут оказаться под угрозой несанкцио­ н и рован н ого доступа. Это способно в обозримом будущем перера­ сти в глобальную проблему Интернет-сообщества.

Полностью искоренить это явление, видимо, не удастся, но бо­ роться с ним можно и необходимо. Пользователи должны стать бо­ лее осторожными. Производители программного обеспечения надо обращать серьезное внимание на «дыры» в программных продуктах, через которые в компьютеры пользователей проникают вредоносные коды. Необходимо менять также глобальные правила доступа в Ин­ тернет и правила работы в сети, применять антиспамерское про­ граммное обеспечение. Выход может быть найден в развитии новых безопасных сетей, которые вообще не будут связаны с современным общедоступным Интернетом.

Бизнес-операции по Интернету должны охраняться от воровства и мошенничества. Организации, использующие электронный биз­ нес, должны формировать адекватные и эффективные процедуры безопасности, чтобы подтвердить надежность, целостность и каче­ ство операций электронного бизнеса.

4.1. ОРГАНИЗАЦИЯ ЗАЩИТЫ ЭЛЕКТРОННОЙ СДЕЛКИ

В настоящее время коммерция с использованием Интернета — новый, быстро растущий сектор рынка. Поэтому остро встала не­ обходимость внедрения коммерческих операций в «киберпростран­ ство». Однако сама процедура покупки товара с использованием Интернета, например, кредитной карты, требует регистрации адре­ са, набор кодов, которые немедленно могут стать известными зло­ умышленнику.

Интернет — открытая система, поэтому риски участников элект­ ронной сделки весьма значительны. Возможности, сложности, проблемы и изменения, связанные с электронной коммерцией

иэлектронным бизнесом, в целом создают соответствующие риски,

ккоторым относятся:

—риск безопасности;

—риск частного характера;

—юридические риски;

—риск покупателя;

207

—риск мошеннических финансовых отчетов;

—риски электронного маркетинга;

—риск технических сбоев30 и др.

Поэтому основной проблемой электронного бизнеса является достижение степени уверенности покупателя относительно безопас­ ности электронной сделки, обеспечивающей развитие ускоренными темпами электронной коммерции. Для этого должен быть выработан системный комплекс информационной защиты электронных сделок, в том числе и правовой: специальными процедурами (тоже нося­ щими электронный характер) предусматривается выполнение юри­ дических условий заключения и исполнения электронных сделок. Как следствие, для реализации электронной коммерции требуются соответствующие протоколы и средства обеспечения безопасности трансакций и секретности информации. Рассмотрим их подробнее.

Интернет и не приспособлены для проведения каких-либо коммерческих операций, вследствие чего передаваемые по сети дан­ ные могут быть перехвачены. Так как передаваемые в течение транс­ акции данные обычно представляют собой текстовую информацию, лицу, осуществляемому такой перехват, для ее прочтения нет необхо­ димости прилагать дополнительные усилия. И первой основной проб-

30 Например, в электронных торговых системах (ЭТС) бирж, торги на кото­ рых проходят в электронной форме, сбои подразделяются на [63]: технические сбои на рабочем месте участника торгов; технические сбои в серверной части ЭТС. Под техническим сбоем на рабочем месте участника торгов понимается: отказ аппаратных или программных средств рабочего места участника торгов, приведший к невозможности использовать любую из его функций, описанных в инструкции торгового терминала. При техническом сбое на рабочем месте участника торгов сервер фиксирует этот сбой, после чего удаляет все заявки, посланные с данного рабочего места и находящиеся в очереди на момент сбоя, запрещает ввод новых заявок с данного рабочего места до исправления неис­ правности. Расчеты и итоговые документы по сделкам, заключенным до тех­ нического сбоя, осуществляются в общем порядке. Технический сбой в сервер­ ной части ЭТС означает техническую невозможность продолжения торговой сессии в соответствии с правилами торгов. При техническом сбое в серверной части торги приостанавливаются. Если после этого работоспособность сер­ верной части восстанавливается в течение 30 мин, то торги продолжаются

смомента сбоя без аннулирования заявок и сделок, поданных и заключенных

вЭТС до технического сбоя. Если работоспособность серверной части не мо­ жет быть восстановлена втечение 30 мин после приостановки торгов, то биржа объявляет торги на сегодняшний день законченными, а все заявки, поданные до такого технического сбоя, аннулированными. Сделки, совершенные до та­ кого технического сбоя, признаются действительными и включаются в кли­ ринг, проводящийся по окончании данного торгового дня.

208

демой коммерческих трансакций в Интернете исключение возмож­ ности для посторонних лиц прочитения или изменения передаваемой информации, например, адреса, номера кредитной карточки и др. Поэтому, прежде всего, необходимо зашифровать информацию, что­ бы ее было невозможно (или исключительно трудно) просмотреть

посторонним.

Законодательство ряда стран (в частности, США) запрещает экс­ порт высоких технологий в области шифрования. Сами продавцы, работающие через Интернет, вынуждены зачастую внедрять специ­ альны е технологии шифрования и кодирования информации для безопасной пересылки номеров и кодов кредитной карты. В част­ ности, компании Netscape Communications, CommerceNet, Microsoft

всотрудничестве с VISA American Express и MasterCard ведут работу

вэтой области, конечная цель которой — четкая идентифицикация как покупателя, так и продавца.

Вторая основная проблема для коммерции в Интернете — иден­ тификация. При покупке товаров с помощью кредитной карточки клерк проводит визуальную идентификацию покупателя и опреде­ ляет, является ли покупатель настоящим владельцем карточки. При совершении покупок в Интернете ситуация изменяется корен­ ным образом. Здесь нет и не может быть физического контакта про­ давца и покупателя. Поэтому продавец должен обладать иным спо­ собом идентификации покупателя.

Процесс создания цифровой подписи, с помощью которой мож­ но идентифицировать создателя информации, схематично представ­ лен на рис. 4.1.

Внастоящее время существует несколько специально созданных для проведения коммерческих трансакций с помощью кредитных карточек сетевых протоколов с поддержкой средств шифрования, например, S-HTTP и SSL, и методов, с помощью которых можно за­ шифровать передаваемые данные и создать цифровые подписи и тем самым существенно повысить безопасность передаваемых данных и коммерческих трансакций в целом.

Третья проблема — секретность информации. Если при покупке

вобычном магазине расплата производится наличными деньгами, то не сохранится записи, кто вы такой, что купили и т. д. При со­ вершении покупки через Интернет с помощью кредитной карточки будет сделана как минимум одна запись об этой трансакции и мага­

зин сохранит запись о личности покупателя, приобретенном товаре и т. д. Компания, реализующая кредитные карточки, поддерживает базу данных, хранящую информацию обо всех совершаемых покуп­ ках, благодаря чему она может определить предпочтения, заработок

209

Рис. 4.1. С помощью цифровой подпись

ипрочую информацию о покупателе. Подобная информация може: быть использована как продавцом, так и посторонними людьми Однако эти сведения зачастую могут оказать и неоценимую услуг) например, при проведении судебных исков.

Для обеспечения режима секретности в настоящее время ио пользуются цифровые деньги (digital cash), которые обеспечиваю! примерно такой же уровень конфиденциальности, как и обычны* деньги31, т. е. покупатель может делать приобретения, не беспокояс! о том, что где-то может остаться информация о его покупке. С друго! стороны, цифровые деньги помогают «отмывать» нечестные дохода

иобходить закон.

Цифровые деньги могут принимать различные формы: от смарткарт (микродевайсы) до похожих на купюры электронных сертифи катов, выдаваемых банками, и систем типа CyberCash Secure Interne Payment System. Существуют и другие формы электронного коммер ческого обмена, например, цифровые чеки.

Одним из основных производителей систем цифровых дене: является компания CyberCash, Inc, пользователи которой наряд с обычными кредитными карточками могут использовать и возмож

31 Билл Гейтс в 1995 г. в работе «Дорога вбудущее» (The Road Ahead) прогно зировал смерть бумажным деньгам и вечную жизнь их электронным аналогам

210

сти протокола ББЬ. С его помощью можно производить покупки 24 часа в сутки и 7 дней в неделю.

цифровые деньги основаны на использовании систем шифро- ания с цифровыми подписями. Эта система работает с парой клю­ чей которые можно сравнить с двумя половинками шифр-блокно- та. сообщения, зашифрованные с помощью одного ключа, можно расшифровать только с помощью второго ключа. Один ключ может быть доступен всем желающим (он называется открытым). Другой же должен быть известен только его хозяину (этот ключ называется личным). Например, если банк предоставит всем пользователям от­ крытый ключ, они смогут посылать банку сообщения, зашифрован­ ные с его помощью. Основные этапы использования шифрования с открытым ключом представлены на рис. 4.2 [66].

Рис. 4.2. Основы шифрования с открытым ключом

Способ шифрования с открытым ключом позволяет пользовате­ лям создавать так называемые цифровые подписи. С их помощью банк может проверить, действительно ли автором сообщения явля­ ется то лицо, чьи имя и фамилия указаны в полученном документе.

В системах цифровых денег в качестве «купюр» используются случайные числа. Затем цифровая купюра «блокируется» с помощью случайного фактора и передается в банк. Например, если пользо­ ватель хочет получить подпись банка на сумму Ъ, но не желает при этом, чтобы размер суммы стал известен банку, он может сделать это с помощью протокола заблокированных подписей. Для этого необ­ ходимо проделать следующие операции:

1. Пользователь использует случайный фактор блокировки. После этого он умножает номер купюры на полученный фактор блокиров­ киРезультат умножения зашифровывается с помощью открытого ключа банка. Затем полученное значение пересылается банку.

211

2.Получив такое сообщение, банк расшифровывает заблокиро­ ванную купюру с помощью своего личного ключа и создает цифро­ вую подпись полученной купюры. Для этого создается смешанное значение купюры, которое зашифровывается с помощью личного ключа банка. Затем полученное значение добавляется к первона­ чальному сообщению и пересылается пользователю. В зависимости от договоренности пользователя и банка, купюра может пересылать­ ся как текст с цифровой подписью или как зашифрованный (с помо­ щью открытого ключа пользователя) текст с цифровой подписью.

3.Если купюра зашифрована, пользователь должен расшифро­ вать ее с помощью своего личного ключа. В результате у него должно получиться заблокированное сообщение с цифровой подписью.

4.Пользователь с помощью простейшей операции деления уда­ ляет фактор блокировки с заблокированной купюры. В результате

унего должна получиться настоящая купюра с цифровой подписью.

5.В завершение пользователь сохраняет полученную купюру на своем компьютере. Так как фактор блокировки является случай­ ным числом, банк не может определить номер банкнота, а соответ­ ственно, и узнать его номинал.

При переводе банком денег клиенту создается цифровая подпись

купюр с помощью своего личного ключа, а после этого отправляет сумму клиенту (рис. 4.3) [66].

После того как пользователь получит перевод и его программное обеспечение «деблокирует» сумму, получится купюра с цифровой подписью банка (рис. 4.4) [66].

После этого пользователь может воспользоваться купюрой для со­ вершения покупки. При этом продавец всегда сможет проверить до­ стоверность купюры с помощью цифровой подписи (рис. 4.5) [66].

Затем продавец передает купюру в свой банк. Этот банк, в свою очередь, проверяет цифровую подпись банка — создателя купюры. После этого банк-создатель переводит деньги банку продавца.

Цифровые деньги предоставляют большую безопасность не толь­ ко покупателям, но и продавцам. Ни покупатель, ни продавец не мо­ гут подделать цифровую подпись банка — ведь у них нет доступа к личному ключу банка. С другой стороны, с ее помощью любой че­ ловек может проверить достоверность купюры. С помощью фактора блокировки покупатель всегда сможет доказать, что покупку оплатил именно он, а не кто-либо другой. Однако, так как пользователь за­ блокировал начальный номер купюры, банк не может ассоциировать подпись с оплатой. Благодаря комбинации блокировки, цифровой подписи и шифрования цифровые деньги защищают банк от под­ делки, продавца — от отказа банка использовать действительную ку­

212