Вопросы безопасности платежей в Интернете
Хэш-функции. Защита целостности сообщений.
Совместно с ЭЦП обычно применяются хэш-функции. Они служат для того, чтобы помимо аутентификации отправителя, обеспечиваемой ЭЦП, гарантировать, что сообщение не имеет искажений, и получатель получил именно то сообщение, которое подписал и отправил ему отправитель.
Хэш-функция – это процедура обработки сообщения, в результате действия которой формируется строка символов (дайджест сообщения) фиксированного размера. Малейшие изменения в тексте сообщения приводят к изменению дайджеста при обработке сообщения хэш-функцией. Таким образом, любые искажения, внесенные в текст сообщения, отразятся в дайджесте.
Алгоритм применения хэш-функции заключается в следующем:
- перед отправлением сообщение обрабатывается при помощи хэш-функции. В результате получается его сжатый вариант (дайджест). Само сообщение при этом не изменяется и для передачи по каналам связи нуждается в шифровании описанными выше методами;
- полученный дайджест шифруется закрытым ключом отправителя (подписывается ЭЦП) и пересылается получателю вместе с сообщением;
- получатель расшифровывает дайджест сообщения открытым ключом отправителя;
- получатель обрабатывает сообщение той же хэш-функцией, что и отправитель и получает его дайджест. Если дайджест, присланный отправителем, и дайджест, полученный в результате обработки сообщения получателем, совпадают, значит, в сообщение не было внесено искажений.
Существует несколько широко применяемых хэш-функции: MD5, SHA-1 и др.
Центры сертификации
Сертификаты служат для подтверждения того факта, что данный открытый ключ принадлежит конкретному лицу и никому другому. Это необходимо для предотвращения попыток мошенничества.
Сертификаты выдаются специальными компаниями (Центрами Сертификации) и подписываются ЭЦП этих компаний. Любой желающий может ознакомиться с сертификатом, выданным Центром Сертификации, и убедиться, что данный открытый ключ принадлежит именно тому лицу, которое в нем указано.
Естественно, что компания, являющаяся Центром Сертификации, должна иметь высокий авторитет, поскольку пользователи должны ей доверять.
Для получения сертификата заинтересованному лицу необходимо обратиться в Центр Сертификации и предоставить информацию о себе. Центр Сертификации осуществит проверку этой информации и, в случае ее достоверности, выдаст сертификат. Это платная услуга. Каждый Центр Сертификации устанавливает свои цены. Как правило, сертификат выдается на год с возможностью продления после оплаты очередного взноса.
Лица, обладающие сертификатами, могут заключать между собой сделки через Интернет, подписывая документы ЭЦП и не опасаясь отказа друг друга от обязательств по сделке.
Наиболее известными Центрами Сертификации являются компании VeriSign (www.verisign.com) и Thawte (www.thawte.com).
Протокол SSL
Протокол SSL (Secure Socket Layer) используется для защиты данных, передаваемых через Интернет. Этот протокол основан на комбинации алгоритмов асимметричного и симметричного шифрования.
Протокол может работать в трех режимах:
- при взаимной аутентификации сторон;
- при аутентификации сервера и анонимности клиента;
- при взаимной анонимности сторон.
При установлении соединения по протоколу SSL для данной сессии связи генерируется разовый ключ, который служит для симметричного шифрования данных, передаваемых в течение данной сессии. Разовый ключ генерируется на этапе установления соединения. При этом используются асимметричные алгоритмы шифрования.
Технология SET
Технология SET (Secure Electronic Transactions) появилась в 1996 году. Ее основными разработчиками стали MasterCard International и Visa International.
SET предусматривает использование цифровых сертификатов всеми участниками сделки, что позволяет проводить их однозначную взаимную аутентификацию.
Технология SET направлена на организацию максимально защищенных транзакций с присвоением кредитных карт.
Взаимная аутентификация сторон и использование ЭЦП позволяют избежать проблем с отказами сторон от обязательств по сделкам и полностью закрыть проблему необоснованного отзыва плательщиками своих платежей.
В основе процедур защиты информации, используемых SET, лежат технологии RSA и DES, что обеспечивает высокий уровень безопасности.
В общем случае алгоритм взаимодействия участников сделки по технологии SET выглядит следующим образом:
- прежде чем начать работу с использованием SET все участники сделки получают цифровые сертификаты у соответствующей сертифицирующей организации. Таким образом, устанавливается однозначное соответствие между участником и его ЭЦП;
- посетив сайт продавца, покупатель оформляет заказ и указывает способ оплаты при помощи кредитной карты;
- покупатель и продавец предъявляют друг другу свои сертификаты;
- продавец инициирует проверку платежной системой предоставленной клиентом информации. Платежная система передает продавцу результаты проверки;
- при положительных результатах проверки по запросу продавца совершается перечисление денег.