Будущее аутентификации в ДБО

В. А. Конявский, д. т. н.,

зав.кафедрой защиты информации ФРКТ МФТИ

Из самого названия — «Дистанционное банковское обслуживание» следует, что это любое управление банковским счетом, которое осуществляется без очного визита в банк. Например, к этому виду услуг безусловно можно отнести услуги, предоставляемые такими разными средствами и системами, как «Клиент-Банк», эквайринг (торговый, интернет, мобильный), АТМ-эквайринг, вендинг (торговые автоматы), терминалы самостоятельной оплаты и другое.

И предоставление всех этих услуг начинается с идентификации и аутентификации клиента. И раз это обслуживание банковское, то и выполнять эти полезные функции должны банки.

Выполнение этих функций связано с рисками как для клиентов, так и для банков [1]. И если риск реализуется, то зачастую банки злоупотребляют своим доминирующим положением, и стараются вину за потери переложить на клиента [2].

Но как же так? Разве клиент виноват, что банк перепутал его с преступником и отдал преступнику деньги, принадлежащие клиенту и доверенные им банку?

Ответственность банка закреплена в положениях Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе» (161-ФЗ), в котором на законодательном уровне определено, что  если деньги клиента со счета в банке исчезнут, то банк должен сначала деньги вернуть, а уже потом разбираться, куда они исчезли и кто в этом виноват.

Но не все так просто. Когда с моего счета незаконно списали небольшую сумму денег, мне удалось их вернуть в переписке с банком – но пришлось применить весь мой опыт безопасника и знание законов. Несмотря на мизерность суммы, банк в переписке искал все возможные зацепки, чтобы виноватым оказался клиент, хотя ошибка банка лежала на поверхности и не могла быть не видна юристам. Не уверен, что многие смогут повторить мой успешный опыт борьбы с банком.

Очевидно, что подход «Сам виноват», как и «Всегда прав», не в полной мере верный. Клиенты бывают разные, и среди подавляющего большинства, близкого к идеальным представлениям законодателя о нем, попадаются и другие, которых, впрочем, вполне хватит, чтобы заметно навредить банковскому бизнесу.

Для ухода от крайних позиций целесообразно правильно выставить цели и понять не как защищать клиентов от банков, и не как защищать банки от клиентов, а как сделать информационное взаимодействие клиента и банка безопасным, удобным и при этом недорогим.

С учетом того, что требования к доверенности процедур идентификации/аутентификации носят системный характер и их создание не является основным видом деятельности для банков, появилась [3] идея объединить усилия и создать единого для всех Национального оператора идентификации (НОИ), который возьмет на себя предоставление доверенной услуги идентификации клиента для всех банков и ответственность за данное предоставление, тем самым снимая с банков несвойственные им функции и блокируя риски. Позднее эта идея была частично реализована в  Единой системе идентификации и аутентификации (ЕСИА) и Единой биометрической системе (ЕБС) – как единого для всех сервиса аутентификации.

Здесь нужно отметить, что ЕСИА строилась из соображений применения в корпоративных системах (но зачастую используется в открытых), а ЕБС планируется как инструмент для открытых систем, но использует методы, разработанные для корпоративных систем. Задачи новые, а инструменты старые. Видимо, развитие (и будущее) связано с преодолением применения привычных, но неэффективных в новых условиях инструментов. Как ЕСИА, так и ЕБС – это сервисы идентификации/аутентификации. А раз сервис – то быть доверенным он может только в том случае, если надежно защищен сам, и доверенными являются все его клиенты и коммуникации между ними.

Центральные подсистемы как правило, можно сделать доверенными привычными средствами. А вот «клиентские» средства применяются в разных условиях, и требования к их защите тем самым могут быть очень разные. Так, банкомат можно в значительной степени считать доверенным устройством, размещенным в контролируемом помещении. Таковыми нельзя считать терминалы самостоятельной оплаты – какой контроль в огромных торговых залах, заполненных покупателями? Тем более, что принадлежат терминалы оплаты, как правило, совсем не банкам. Это же касается торгового эквайринга и вендинговых автоматов, и совсем нельзя говорить о безопасности взаимодействия при интернет-эквайринге и мобильном эквайринге – здесь доверенность терминалов просто недостижима.

Нужно искать выход.

АТМ-эквайринг, терминалы самостоятельной оплаты, вендинговые автоматы

Размышляя над безопасностью платежей, регулятор в последнее время принял ряд прогрессивных решений. В соответствии с п. 3.1 Положения Банка России от 17 апреля 2019 г. № 683-п «Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента» кредитные организации, значимые на рынке платежных услуг должны реализовывать усиленный уровень защиты информации. Требования по реализации указанного уровня определены ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. ЗАЩИТА ИНФОРМАЦИИ ФИНАНСОВЫХ ОРГАНИЗАЦИЙ. Базовый состав организационных и технических мер». В данном ГОСТе для усиленного уровня защиты информации предписывается использование СКЗИ, имеющих класс не ниже КС2. Эти требования в первую очередь касаются контуров банковской инфраструктуры, предназначенных для работы банкоматов, взаимодействия с территориальными отделениями, и других коммуникаций.

По сути, это означает, что в каждый банкомат необходимо встроить аппаратный модуль, реализующий функции СКЗИ по классу КС2 и выше, при этом аппаратный модуль должен обеспечивать неизвлекаемость ключа, возможность длительного (например, 3 года) использования ключа, запуск в автоматическом режиме, а также защиту от инвазивных воздействий. Как минимальные, такие требования нужно распространить и на терминалы самостоятельной оплаты. Нужно сказать, что недорогие решения этого класса уже появляются [4. С. 49-65, 105-135; 5]. Их использование на этапах идентификации и аутентификации значительно повысит защищенность систем.

 Системы класса «Клиент-Банк»

При использовании традиционных методов аутентификации безопасность такого взаимодействия для клиента может быть обеспечена использованием технологии доверенного сеанса связи (ДСС) и применением средства обеспечения доверенного сеанса (СОДС). Об этом мы уже многократно и говорили, и писали [6, 7]. Важно то, что при использовании СОДС никто не сможет обвинить клиента в нарушении правил хранения ключей, нарушении доверенности ПО и других грехах, дающих возможность недобросовестному банку перенести ответственность на клиента.

Развитие ЕБС

Этапы сбора и обработки данных на стационарных точках эквайринга

Данные для ЕБС должны собираться и передаваться с помощью защищенных средств вычислительной техники. Должна быть обеспечена защита на уровне, требуемом для ГИС 1-го класса, и защищенная передача с использованием СКЗИ, сертифицированных по уровню не ниже КС2. Такие средства уже есть на рынке [8], и ничего не мешает их использовать. Эти решения, в силу возможности обеспечения их доверенности, пригодны для всех видов эквайринга, кроме мобильного.

Мобильный эквайринг

Пожалуй, это самый интересный вариант приближения к будущему аутентификации. Рассмотрим его. Нам нужно обеспечить доверенную идентификацию клиента (идентификацию и аутентификацию) при использовании недоверенного смартфона – это новая и весьма непростая задача.

Сегодня видится только один путь решения этой задачи –  использование нового подхода – интерактивной рефлекторной идентификации как метода и средства применения недоверенных клиентских терминалов в доверенных информационных системах цифрового общества.

Естественным механизмом идентификации (аутентификации) для открытых систем представляется биометрическая идентификация. Биометрические характеристики (модельности) неотъемлемы от человека, и поэтому соблазн использовать их объясним. Об эффективности биометрии свидетельствует огромный опыт применения для идентификации самых разных модальностей – радужной оболочки глаза, папиллярного узора, рисунка сосудистого русла, формы лица, ладони, голоса, состав генома и другие. Эти биометрические статичны, или условно статичны и достаточно просты. За счет этого они могут воспроизводиться и моделироваться, что не снижает риски ошибочной идентификации и позволяет целенаправленно влиять на результаты идентификации. Традиционные (инвариантные) биометрические модальности не обеспечивают и не могут обеспечить достаточный уровень доверия к результатам идентификации на недоверенном устройстве.

Новая биометрия

Для устранения уязвимостей, связанных с простотой подмены измерений на недоверенных устройствах, необходимо от статических показателей перейти к динамическим типа «стимул-реакция» со сложной динамикой связи. Динамическим звеном, чрезвычайно сложным на сегодняшний день для моделирования, являются нервная и вегетативная системы человека и связанные с этим особенности физиологии движений. В частности, индивидуальными оказываются непроизвольные реакции на внешние стимулы (в частности, аудио и видео раздражители).

Реакция на стимулы может быть зафиксирована датчиками клиентского устройства, обработана с помощью методов искусственного интеллекта, например, искусственных нейронных сетей, что позволит определить источник потоков данных и повысить достоверность идентификации.

Почему это работает?

Основой нового подхода является гипотеза о том, что зависимость реакций человека на внешние стимулы существенно зависит от когнитивных и кинезиологических особенностей человека, носит динамический характер и отражается в измерениях в достаточной для анализа степени. Эта гипотеза уже подтверждена на вполне достоверном уровне [9].

Принципиальными особенностями системы стимул-реакция является:

• наличие нервной системы человека как механизма, порождающего связь между стимулом и реакцией.
• случайные, не повторяющиеся стимулы.
• обработка пары стимул-реакция может производиться на удалённом доверенном ЦОД.

Нетрудно видеть, что основная особенность, обеспечивающая безопасность идентификации на недоверенном устройстве, состоит в интерактивности – ни клиентский терминал, ни центр сами по себе не выполнят идентификацию. Процедура существенно интерактивна, что и позволяет генерацию стимула и принятие решения отнести к доверенному центру, а съем информации осуществлять на принадлежащем клиенту персональном устройстве.

Вот как может выглядеть процесс аутентификации с использованием метода интерактивной рефлекторной идентификации.

Для получения доступа человек получает из доверенного источника стимул, например, яркую точку, перемещающуюся по экрану смартфона по сложной траектории. Пользователь наблюдает за этим перемещением, и движения глаз фиксируются камерой смартфона и передаются в центр. Анализируя полученные данные, и принимается решение о результате аутентификации.

Очевидно, что аутентификация, построенная на базе динамических характеристик (интерактивная рефлекторная биометрия), позволит обеспечить существенно большую защищенность. Если мы хотим не предсказывать будущее, а влиять на него, то использовать и в ДБО, и во всех других системах цифровой экономики целесообразно именно ее. Уже в настоящее время есть достаточное количество работ, вселяющих уверенность в предложенном методе [например, 9–11].

Даже в теории абсолютная защищенность считается невозможной, и некоторые риски могут оставаться и при применении динамических биометрических харакетристик. Для их компенсации могут использоваться уже давно предложенные механизмы страхования информационных рисков [12]. Фундамент будущего заложен.

СПИСОК ЛИТЕРАТУРЫ:

1. Конявский В. А. Минимизация рисков участников дистанционного банковского обслуживания // Вопросы защиты информации: Научно-практический журнал/ФГУП «ВИМИ», 2014. Вып. 4 (107). С. 3–4.
2. Конявский В. А. «Всегда прав» или «Cам виноват»? // Защита информации. Инсайд. 2011. № 5. С. 70–77.
3. Конявский В. А.; Поспелов А. Л. Национальный оператор идентификации, или как повысить доверие клиентов к ДБО и понизить риски банков // Национальный банковский журнал. М., 2013. № 2 (105). С. 86–87.
4. Конявская С. В.; Конявский В. А. Доверенные информационные технологии: от архитектуры к системам и средствам. М.: URSS. 2019. – 264 с.
5. Конявская С. В. Защита банкомата согласно Закону о КИИ: как избежать уязвимости традиционной архитектуры // Расчеты и операционная работа в коммерческом банке. М., 2020. № 1 (155). С. 13–25.
6. Конявская С. В. Безопасность безналичных расчетов: средства создания и поддержания доверенной среды // Расчеты и операционная работа в коммерческом банке. Методический журнал. М., 2020. № 2 (156). С. 37–50.
7. Конявский В. А. Серебряная пуля для хакера // Защита информации. INSIDE. СПб., 2013. № 4. С. 54–56.
8. M-TrusT // официальный сайт ОКБ САПР [электронный ресурс]. URL: https://www.okbsapr.ru/products/newharvard/m-trust/ (дата обращения: 13.04.2021).
9. Конявский В. А., Тренин С. А., Самосюк А. В. Рефлекторная биометрия для цифрового общества – первый шаг сделан // Information Security/Информационная безопасность. М., 2020. № 6. С. 48–50.
10. Конявский В. А., Самосюк А. В., Тренин С. А., Петров С. Н., Абдуллаева И. А. Инструментальный комплекс анализа движения глаз для задач интерактивной рефлекторной идентификации // Защита информации. Inside. СПб., 2021. № 2. С. 18–22.
11. Конявский В. А., Бродский А. В., Горбачев В. А., Карпов О. Э., Кузнецов Н. А., Райгородский А. М., Тренин С. А. Идентификация в компьютерных системах цифровой экономики // Информационные процессы. 2018. Том 18. № 4. С. 376–385.
12. Вусс Г. В., Конявский В. А., Хованов В. Н. Система страхования информационных рисков // Финансовый бизнес. 1998. № 3. С. 34.

Автор: Конявский В. А.

Дата публикации: 04.06.2021

Библиографическая ссылка: Конявский В. А. Будущее аутентификации в ДБО // Information Security/Информационная безопасность. М., 2021. № 2. С. 38–40.

---