Технология «Security-on-a-Stick» для защиты пользователей и банков от наиболее изощренных хакерских атак
30 октября 2008
Рубрика: Новости.
Автор: .

pic

Разработанный в исследовательской лаборатории Zurich Research Lab корпорации IBM (NYSE: IBM) прототип USB-устройства, внешне напоминающий флэш-карту со встроенным дисплеем, выводит безопасность онлайновых банковских операций на качественно новый уровень. Первые промышленные образцы устройства предложены банкам для тестирования.

Устройство, названное Zone Trusted Information Channel (ZTIC), подключается через USB-порт к любому компьютеру и устанавливает прямое защищенное соединение с банковским сервером онлайновых транзакций, формируя, тем самым, независимую от компьютера линию связи, даже если он заражен вредоносными программами (malware) или подвергается хакерским атакам.

pic

С помощью ZTIC пользователь может проводить авторизацию в системе и подтверждать детали онлайн транзакции, которые отражаются на встроенном экране. USB-устройство, подключенное к серверу по безопасному каналу, обеспечивает защиту против наиболее изощренных и злонамеренных форм современных хакерских атак, которые способны манипулировать данными в фоновом режиме, оставаясь невидимыми для пользователей и банков. Устройство обеспечивает дополнительный уровень безопасности существующим методам аутентификации: смарт-карте, ПИН-коду или одноразовому идентификационному коду, чтобы обеспечить защиту от новейших угроз безопасности.

Хакеры становятся все более изобретательными в своих попытках атаковать финансовые транзакции в Интернет. В числе наиболее распространенных угроз подобного рода – т.н. атаки типа «Man-In-The-Middle», когда злоумышленник перехватывает и модифицирует сообщения, которыми обмениваются клиент и финансовая организация. В результате, модифицированная транзакция получает официальное одобрение банка, так как данные, поступающие в банк, представляются как достоверные сообщения от клиента.

Вредоносные программы – еще более изощренная форма атак, когда хакеру удается установить вирус или «троян» на персональный компьютер пользователя, получая, в результате, возможность свободно манипулировать входящими и исходящими сообщениями пользователя, как, впрочем, и любыми другими данными на зараженном ПК. Контроль над пользовательским компьютером позволяет злоумышленнику изменять информацию, отображаемую в Интернет-браузере, и перенаправлять сообщения в реальном времени в течение сеансов онлайновых банковских операций пользователя, никак при этом себя не обнаруживая.

Почти 90% онлайновых атак, связанных с идентификационными данными, направлены на сектор финансовых услуг. Результаты международного исследования, проведенного в 2007 году организацией Swiss Reporting and Analysis Centre for Information Assurance (MELANI), свидетельствуют, что «число результативных атак с внедрением вредоносных программ увеличивается, а существующие в настоящее время двухфакторные системы аутентификации («two-factor authentication systems» – например, идентификационные номера транзакций, SecurID и т.д.) не обеспечивают защиту от подобных атак и должны рассматриваться как ненадежные в случаях, когда пользовательский компьютер инфицирован вредоносными программами (malware)».

Устройство ZTIC обеспечивает дополнительных уровень защиты от обеих описанных форм атак.

«При наличии высокопрофессионально функционирующей среды киберпреступности становится очевидным, что все системы аутентификации, основанные на программном обеспечении для ПК, потенциально уязвимы и, значит, мы должны были предложить инновационный продукт, чтобы остаться впереди в гонке хакеров и разработчиков, — пояснил доктор Питер Бюлер (Peter Buhler), руководитель отдела вычислительных наук (Computer Science) исследовательской лаборатории IBM Zurich Research Lab. — Технологическое и конструктивное исполнение устройства ZTIC базировалось на анализе преимуществ и уязвимых мест всех существующих на данный момент и только анонсированных альтернативных решений».

Новое решение эффективно переводит все операции по шифрованию данных, а также процессы, требующие действий от клиента, с компьютера на устройство ZTIC, создавая защищенный коммуникационный канал между банком и пользователем. С помощью ZTIC пользователь может абсолютно безопасно обмениваться сообщениями с важными онлайновыми сервисами, например с банковским сервером. ZTIC в комбинации со смарт-картой, которая вставляется в устройство, обеспечивает новый уровень безопасности всем этапам проведения онлайновых транзакций.

После завершения испытаний прототипов устройства в исследовательских лабораториях, были изготовлены промышленные образцы, которые сегодня готовы к тестированию финансовыми институтами.

Даже если пользовательский ПК заражен вредоносным кодом (что позволяет манипулировать информационными потоками на компьютере), пользователь всегда может отменить транзакцию, пока она отражается на дисплее ZTIC. То, что пользователь видит на дисплее своего устройства ZTIC, идентично тому, что «видит» сервер, не зависимо от того, какое вредоносное вмешательство оказывается на компьютере или каком-либо узле Интернета. «Благодаря защищенному соединению между ZTIC и сервером, устройство, по существу, открывает безопасное окно в сервер», — говорит доктор Бюлер.

Более того, ZTIC спроектирован таким образом, что не требует каких-либо изменений ни серверного ПО, ни программного обеспечения, выполняемого на клиентском ПК. ZTIC совместим со всеми основными пользовательскими операционными системами.

Технологические характеристики

Исследователи создали ZTIC в виде USB-устройства, по размерам приблизительно соответствующего карте памяти. ZTIC работает на базе протоколов TLS (Transport Layer Security) и SSL (Secure Sockets Layer). Аппаратные компоненты ZTIC включают процессорный блок, постоянную и переменную память, небольшой дисплей и две кнопки управления (OK и Cancel), а также, в качестве опции, механизм для считывания смарт-карт. Встроенное программное обеспечение ZTIC, с минимальной необходимостью настройки, состоит из блока TLS со всеми криптографическими алгоритмами, используемыми современными SSL/TLS-серверами; HTTP-парсера (синтаксического анализатора программного кода) для обработки данных, которыми обмениваются клиент и сервер; и специализированного системного ПО, которое конфигурирует аппаратный профиль ZTIC как USB-накопителя (массового запоминающего устройства) и устанавливает сетевого прокси-агента (модуль доступа) для выполнения на пользовательском компьютере. ZTIC поддерживает TLS/SSL-аутентификацию клиента, а также протоколы аутентификации с запросом и подтверждением (challenge/response protocol), применяемые в обычных чиповых картах доступа (chip-card).

О IBM Research

IBM Research – научная коммерческая лаборатория, с разветвленной филиальной сетью, в которой работает 5 нобелевских лауреатов, и которая вот уже 15 лет лидирует по количеству патентов в США. IBM Research сотрудничает с большим количеством исследователей во всем мире, что позволяет глубже понять важнейшие проблемы современности. Дополнительная информация на Web-сайте: www.ibm.com/research

Orphus system
Подписывайтесь на канал infoCOM.UZ в Telegram, чтобы первыми узнавать об ИКТ новостях Узбекистана
В Telegram
В WhatsApp
В Одноклассники
ВКонтакте