Протоколы безопасной передачи данных

Для передачи и защиты ценной информации в Интернете используются протоколы безопасной передачи данных, а именно SSL, SET, IP v.6. Платежные системы являются наиболее критичной частью электронной коммерции и будущее их присутствия в сети во многом зависит от возможностей обеспечения информационной безопасности и других сервисных функций в Интернете. В платежных системах Интернета используются протоколы передачи данных SSL и SET. Протокол SSL (Secure Socket Layer) был разработан американской компанией Netscape Communications как протокол, обеспечивающий защиту данных между сервисными протоколами (HTTP, NNTP, FTP и др.) и транспортными протоколами (TCP/IP) с помощью криптографии в соединениях «точка-точка».

Протокол SSL предназначен для решения традиционных задач обеспече-

ния защиты информационного взаимодействия, которые в среде клиент-сервер

интерпретируются следующим образом:

· пользователь и сервер должны быть взаимно уверены, что они обмениваются информацией не с подставными абонентами, а именно с теми, которые нужны, не ограничиваясь паролевой защитой;

· после установления соединения между сервером и клиентом весь информационный поток между ними должен быть защищен от несанкционированного доступа;

· при обмене информацией стороны должны быть уверены в отсутствии случайных или умышленных искажений при ее передаче.

Протокол SSL позволяет серверу и клиенту перед началом информационного взаимодействия аутентифицировать друг друга, согласовать алгоритм шифрования и сформировать общие криптографические ключи.

Если два пользователя хотят быть уверенными, что информацию, которой они обмениваются, не получит третий, то каждый из них, должен передать одну компоненту ключевой пары (а именно открытый ключ) другому и хранить другую компоненту (секретный ключ). Сообщения шифруются с помощью открытого, расшифровываются только с использованием секретного ключа.

Целостность и аутентификация сообщения обеспечиваются использовани-

ем электронной цифровой подписи.

В Интернете также используется протокол безопасных электронных транзакций SET (Security Electronics Transaction), предназначенный для организации электронной торговли через сеть, который основан на использовании цифровых сертификатов по стандарту Х.509. SET обеспечивает кросс-аутентификацию счета держателя карточки, продавца и банка продавца для проверки готовности оплаты товара, целостность и секретность сообщения, шифрование ценных и уязвимых данных. Поэтому SET можно назвать стандартной технологией или системой протоколов выполнения безопасных платежей с использованием пластиковых карточек через Интернет. SET позволяет потребителям и продавцам подтвердить подлинность всех участников сделки, происходящей в Интернете, с помощью криптографии,

применяя, в том числе, и цифровые сертификаты. SET обеспечивает следующие специальные требования защиты операций электронной коммерции:

· секретность данных оплаты и конфиденциальность информации заказа, переданной вместе с данными об оплате;

· сохранение целостности данных платежей (целостность обеспечивается при помощи цифровой подписи);

· специальную криптографию с открытым ключом для проведения аутентификации;

· аутентификацию держателя по кредитной карточке, которая обеспечивается применением цифровой подписи и сертификатов держателя карточек;

· аутентификацию продавца и его возможности принимать платежи по пластиковым карточкам с применением цифровой подписи и сертификатов продавца;

· подтверждение того, что банк продавца является действующей организацией, которая может принимать платежи по пластиковым карточкам через связь с процессинговой системой (это подтверждение обеспечивается с помощью цифровой подписи и сертификатов банка продавца);

· готовность оплаты транзакций в результате аутентификации сертификата с открытым ключом для всех сторон;

· безопасность передачи данных посредством преимущественного использования криптографии.

Таблица 1

Сравнительная характеристика протоколов SSL и SET

Наиболее распространенный зарубежный опыт решения вопросов ключевого управления электронного финансового документооборота основывается на использовании Public Key Infrastructure (PKI) – Инфраструктуры Открытых Ключей (ИОК), названной таким образом по используемому способу защиты электронных документов – криптографии с открытыми ключами.

PKI подразумевает использование цифровых сертификатов и развернутой

сети центров сертификации, обеспечивающих выдачу и сопровождение цифровых сертификатов для всех участников электронного обмена документами. По своим функциям цифровые сертификаты аналогичны обычной печати, которой удостоверяют подпись на бумажных документах.

Цифровые сертификаты – это определенная последовательность битов, основанных на криптографии с открытым ключом. Они представляют совокупность персональных данных владельца и открытого ключа его электронной подписи (а при необходимости и шифрования), связанных в единое неизменяемое целое электронной подписью центра сертификации. Цифровой сертификат оформляется в виде файла или области памяти и может быть записан на дискету, смарт-карточку и любой другой носитель данных.Цифровые сертификаты содержат открытые криптографические ключи абонентов, заверенные электронной цифровой подписью центра сертификации и обеспечивают однозначную аутентификацию участников обмена. Центры сертификации обеспечивают надежное распространение и сопровождение ключевой информации.