Дистанционное банковское обслуживание. Подсистема "Интернет — Клиент"

Массовость внедрения «Интернет — Клиента», как было сказано выше, обеспечивается ценой системы и абсолютной простотой начала работы с ней или ее инсталляции. О цене речь пойдет в отдельном разделе, поэтому опишем ниже особенности реализации «Интернет — Клиента» в рамках BS-Client v.3, обеспечивающие ее безболезненную установку самым неподготовленным клиентом:

клиент получает ключи своей ЭЦП в банке в соответствии с актом передачи. При этом для «продвинутого» клиента сохраняется возможность самостоятельной перегенерации ключей как в банке, так и непосредственно на своем АРМ;
дистрибутив системы (а это первоначальное прикладное программное обеспечение для обеспечения защиты — BS-Defender — объемом менее 1 Мбайта) и «рыбу» договора с банком клиент получает либо при визите в банк, либо непосредственно с Веб-сайта банка;
установка дистрибутива клиентом заключается только в запуске setup.exe. При этом автоматически осуществляются: задание путей к ключам ЭЦП, настройка защищенного порта клиентского браузера, через который браузер будет выходить в сеть, прописывание адреса и защищенного порта банковского сервера;
дистрибутив уже содержит все служебные настройки, определенные в предыдущем предложении. Все остальные настройки находятся на банковском сервере.

Кроме того, сама суть «Интернет — Клиента», подразумевающая присутствие минимального «защитного» программного обеспечения на клиентском месте, обеспечивает безболезненное внесение любых изменений, поскольку вне зависимости от количества клиентов они касаются только банковского сервера.

Безопасность

Поставляемая в подсистеме «Интернет — Клиент» на одной дискете (или скачиваемая с сайта банка) система BS-Defender устанавливается автоматически при запуске Setup и осуществляет следующие функции: проверку ЭЦП и дешифрацию всего, что пришло из банка, и шифрацию и подпись того, что отправляется в банк, а также подпись отдельных документов (ActiveX). Фактически шифруется и подписывается, а также архивируется и протоколируется весь http-трафик в банк и из банка для обеспечения юридически значимого разбора конфликтных ситуаций.

Предлагаемая система обеспечения безопасности выполнена на основе:

произвольных внешних криптографических средств защиты (СКЗИ), например Excellence, Lan-Crypto, Верба-OW;
собственной системы BS-Defender;
аутентификации, авторизации и протоколирования;
организационно-административных мероприятий (электронный документооборот, инструкции);
штатных средств защиты ОС и СУБД;
контроля;
межсетевого экрана и proxy-сервера;

Центральной системой для обеспечения безопасности является поставляемая как в составе «Интернет — Клиента», так и отдельно от него собственная система BS-Defender. Основная идея применения системы BS-Defender приведена ниже на схеме и заключается в защите всего http-трафика между банком и клиентом путем перенастройки стандартного браузера клиента или сервера Interner Information Server банка на работу через тот порт, на котором установлена система BS-Defender.

BS-Defender является «симметричной» системой, устанавливаемой в банке и автоматически у каждого клиента, не требуя ручных настроек.

Установленный в банке сервер доступа банка (СДБ) — банковская часть системы BS-Defender обеспечивает:

аутентификацию пользователя при помощи произвольной СКЗИ;
проверку подписи и расшифровку входящего http-трафика при помощи произвольной СКЗИ;
подпись и шифрование исходящего http-трафика при помощи произвольной СКЗИ;
протоколирование событий и архивацию трафика;
те же функции выполняет и симметричная, установленная у клиента клиентская часть подсистемы BS-Defender.

Собственный модуль организации защищенного Веб-сервера для «тонкого» клиента BS-Defender (устанавливается, повторимся, симметрично на сторонах банка и клиента) позволит, используя только стандартный браузер, обеспечить подпись и шифрацию каждой HTML-страницы и HTML-запроса к клиенту и от клиента. Кроме того, подписывается каждый документ. Весь документооборот является юридически значимым.

BS-Defender позволяет использовать произвольную систему криптографической защиты информации, в том числе и сертифицированную ФАПСИ. Приведенная ниже схема демонстрирует построение всего комплекса защиты в системе «Интернет — Клиент».

Приведенная выше схема содержит в себе такие элементы, как proxy-server и межсетевой экран (firewall). Таким образом, она демонстрирует всю структуру безопасности в системе «Интернет — Клиент», которая включает в себя средства обеспечения безопасности информационных ресурсов банка.

В настоящее время вопросам безопасности данных в распределенных компьютерных системах уделяется очень большое внимание. Разработано множество средств для обеспечения информационной безопасности, предназначенных для использования на различных компьютерах с разными ОС. В качестве одного из направлений можно выделить межсетевые экраны (firewalls), призванные контролировать доступ к информации со стороны пользователей внешних сетей.

Проблема межсетевого экранирования формулируется следующим образом. Пусть имеется две информационные системы или два множества информационных систем. Экран (firewall) — это средство разграничения доступа клиентов из одного множества систем к информации, хранящейся на серверах в другом множестве. Это легко увидеть на приведенной ниже иллюстрации.

Экран выполняет свои функции, контролируя все информационные потоки между этими двумя множествами информационных систем, работая как некоторая «информационная мембрана». В этом смысле экран можно представлять себе в виде набора фильтров, анализирующих проходящую через них информацию и на основе заложенных в них алгоритмов принимающих решение: пропустить эту информацию или отказать в ее пересылке. Кроме того, такая система может выполнять регистрацию событий, связанных с процессами разграничения доступа, в частности фиксировать все «незаконные» попытки доступа к информации и — дополнительно — сигнализировать о ситуациях, требующих немедленной реакции, т. е. поднимать тревогу.

Обычно экранирующие системы делают несимметричными. Для экранов определяются понятия «внутри» и «снаружи», и задача экрана состоит в защите внутренней сети от «потенциально враждебного» окружения. Важнейшим примером потенциально враждебной внешней сети является Интернет.

Firewall может строиться разными путями, используя различные механизмы:

фильтры, установленные на маршрутизаторах (router-based filters);
межсетевые шлюзы на хостах, или крепости-бастионы (host computer gateways);
разделение изоляционными сетями (separate isolation network).

Наиболее типичным решением проблемы обеспечения защиты от НСД со стороны внешней сети является установка proxy-сервера и межсетевого экрана (firewall). Помещение межсетевого экрана после прокси-сервера обеспечивает необходимый уровень защиты с сохранением возможности доступа клиента к Веб-серверу банка с любого компьютера из любой точки мира. Данное решение является одним из возможных и может базироваться на использовании продукта Check Point FireWall-1 компании Check Point Software Technologies, TIS Firewall Toolkit компании Trusted Information. Systems и т. п. Компания «Банк’c Софт Cистемс» на основании собственного опыта и различных технологий предлагают набор «типовых» решений для организации защиты сети банка от НСД со стороны Интернета. Выбор одного из них будет зависеть от принятой в банке технологии и норм безопасности по защите сети банка от НСД из Интернета.

Гибкость и масштабируемость системы

В основу подсистемы «Интернет — Клиент» положены широко распространенные технологии:

CGI-интерфейс;
технология шаблонов.

Как известно, технология HTML-шаблонов базируется на наборе заготовок HTML-документов, в которые, следуя определенному синтаксису, внедрены места подстановки значений. Исполняемый модуль на Веб-сервере банка, исходя из данных полученного HTTP-запроса, определяет, какой шаблон ему нужно взять, и затем заменяет места подстановки в шаблоне на текстовые фрагменты. Готовый HTML-документ отправляется клиенту.

Кроме того, в подсистеме «Интернет — Клиент» используются дополнительные технические решения.

Введено понятие рабочей сессии. Это позволяет клиенту системы «Интернет — Клиент» организовать работу одновременно в нескольких экземплярах браузера на разных компьютерах. Более того, механизм сессий обеспечивает корректную обработку ситуаций обрыва связи.
Существует несколько возможных переходов из HTML-документа при работе системы «Интернет — Клиент». Например, из формы-диалога платежного поручения можно перейти в список платежек с сохранением введенных данных либо перейти к справочнику корреспондентов и т. д. Причем каждый переход в общем случае сопровождается не только формированием HTML-документа, но и определенными действиями с базой данных в банковской части системы.

Для обеспечения описанной функциональности в подсистеме «Интернет — Клиент» используются задачи для серверной части. Задача содержит набор указаний, представляющих собой выражения на простом внутреннем языке и описывающих:

какой шаблон использовать для формирования ответного HTML;
какие данные из HTTP-запроса нужно использовать для того или иного взаимодействия с БД;
какие взаимодействия осуществить с БД;
куда и каким образом подставить данные в HTML-шаблон.

В HTTP-запросе, наряду с остальными данными, фигурирует ссылка на ту или иную задачу. К каждому HTTP-шаблону, как правило, «привязано» несколько задач (количество задач равно количеству различных возможных переходов из HTML-документа, сформированного на основе этого шаблона). Подстановка ссылки на ту или иную задачу может осуществляться, например, с помощью простых функций на JavaScript или VBScript.

Для быстрого и наглядного написания задач и «привязки» их к шаблонам создан специальный инструмент BSI-TaskEdit, дающий возможность описывать произвольные функции на собственном встроенном языке.

Зная основы HTML, JavaScript (VBScript) и освоив встроенный простейший язык формирования задач для серверной части, можно создавать законченные системы оборота различных типов документов.

Электронная коммерция

Система «Интернет — Клиент» как часть ДБО BS-Client v.3 является мощным средством организации электронной коммерции среди клиентов банка. Действительно, в ДБО BS-Client v.3 не только нет различия между серверной (банковской) и клиентской частями, но и отсутствует понятие «дерева» системы, т. е. ни одно из ядер системы ДБО BS-Client не содержит ссылку на другие. Все ссылки реализуются на прикладном уровне. Реализована сквозная нумерация всех сгенерированных ядер BS-Client, причем двух ядер с одинаковыми номерами не существует. На прикладном уровне описываются только взаимосвязи между ядрами.

Один из способов организации электронной коммерции при помощи системы ДБО BS-Client v.3 описан ниже:

банк «бА» установил своему клиенту «кА» систему ДБО BS-Client v.3 в реализации «Банк — Клиент»;
банк «бА» установил у своих клиентов — физических лиц (и юридических лиц) систему «Интернет — Клиент». Соответственно, все упомянутые клиенты имеют СКЗИ и сопутствующие ключи для организации защищенного документооборота;
банк «бБ» установил у своих клиентов — физических лиц (и юридических лиц) систему «Интернет — Клиент». Соответственно, все упомянутые клиенты имеют СКЗИ и сопутствующие ключи для организации защищенного документооборота;
клиент «кА» создал Интернет-магазин для продажи товаров/услуг;
клиенты — физические и юридические лица — банков «бА» и «бБ» заходят на общедоступный сайт клиента «кА»;
при желании непосредственно с сайта клиента «кА» выписать счет клиент попадает в защищенную зону и удаленно регистрирует у клиента «кА» свой открытый ключ, выданный ему ранее его банком, в свою очередь регистрируя открытый ключ клиента «кА» (только если заходит первый раз);
по установленному защищенному Интернет-соединению клиент получает счет, подписанный ЭЦП клиента «кА». Упомянутое защищенное соединение устанавливается между двумя установленными системами «Интернет — Клиент» у клиента «кА» и его покупателей. Важным в данном случае является тот факт, что данные системы «Интернет — Клиент» уже установлены соответствующими банками и для обмена друг с другом клиентам никакого дополнительного ПО не требуется;
посредством установленной системы «Интернет — Клиент» или «Банк — Клиент» для обмена со своим банком клиенты банков «бА» и «бБ» осуществляют оплату полученного от клиента «кА» счета;
посредством установленной системы «Интернет — Клиент» или «Банк — Клиент» для обмена со своим банком клиент «кА» получает выписку и осуществляет отправку товара клиентам банков «бА» и «бБ».

Таким образом организуется классический вариант электронной коммерции. Основным моментом здесь является то, что клиент «кА» ни разу не встречается с клиентами банков «бА» и «бБ», но в то же время оказывает им услуги электронной коммерции абсолютно защищенным и юридически значимым способом.

В данном случае банк может быть провайдером услуг по передаче информации между клиентами и получать от этого дополнительную маркетинговую и финансовую выгоду. Данная возможность дает банку неоценимый выигрыш перед конкурентами в ближайшей перспективе, поскольку банку не потребуется для организации электронной коммерции никакого дополнительного программного обеспечения — все сделает уже приобретенная система ДБО.

В данной статье сознательно опущены некоторые функции администрирования системы «Интернет — Клиент» в банке, привязки к АБС и т. д. Дело в том, что все эти функции реализуются в едином ядре ДБО, которое было подробно описано в двух предыдущих номерах журнала в статьях тематического цикла «Дистанционное банковское обслуживание».

В следующей статье данного тематического цикла речь пойдет о подсистеме «Компьютерная телефония».

Об авторах:
Попов Алексей Юрьевич — генеральный директор фирмы «Банк’с Софт Системс».
Яковлев Евгений Игоревич — руководитель отдела продаж фирмы «Банк’с Софт Системс».