Цифровая идентификация в финансовом секторе

1. Цифровая идентификация в финансовом секторе CARDEX & IT SECURITY 2004 ЦМТ, Москва, 16 сентября 2004 г. Антон ЧернышевCompuTel МоскваПо материалам Thales e-Security Тел.+7 (095) 234-1931anton@computel.ru

2. Насущная задача для всего мира ? • Электронный паспорт, визы, проездные и другие документы … • Строгая аутентификация на основе биометрии • Тотальный контроль документов, в первую очередь, на границе итранспорте. • Унификация, «прозрачность» документов, выпущенных в разных странах

3. Карта Гражданина Фамилия Имя Отчество 1234 5678 9012 3456 Технология к этому готова • Полное решение разработано концерном Thales несколько лет назад • Применено в десятках стран в самых разных областях

4. Решение приспособленное к разнообразным потребностям • Идентификационная документация (ID карточка, паспорт, виза, водительские права…) – PKI карта; • Оперативное, эффективное и простое управление идентификацией - SafeSign; • Системы производства документов – P3; • Системы архивирования и управления; • Биометрия на основе дактилоскопии (решения по управлению идентификацией и уникальностью)Thales ID.

5. Краткий список проектов • Страны с развитой информационной инфраструктурой

6. Краткий список проектов 2 • Страны со слабой информационной инфраструктурой

7. Примеры примечательных проектов • По объему - Китай • Производство и поставка смарт-карт, пилотный проект бесконтактной Национальной ID-карты • По полноте охвата – Катар • Национальная ID-карта, Миграционная карта, Водительские права, Паспорт, Удостоверение полицейского и т.д. и т.п. • Транспортные проекты на уровне целых стран, видов транспорта, городов, …

8. Interactive TV Mobile Phone PDA Personal Computer Laptop Telephone EMV миграция • Технологический ответ на вызовы бизнеса • На фоне впечатляющего роста: Держателей карт N*109 , Транзакций NNN*109, обороты $NN*1012 • Неприемлемые абсолютные объемы мошенничества • Давление со стороны небанковских структур, «оттягивающих» на себя небольшие платежи, платежи через Интернет, мобильные телефоны… • Настоятельное желание большей гибкости в управлении счетом со стороны клиентов

9. Основы аутентификации • Что-то иметь (Материальное, что можно проверить) • (Ключ, жетон, карту, сертификат…) • Что-то знать (Что можно проверить) • (Пароль, Код…) • Обладать (уникальным) признаком (Который можно проверить) • (Подпись, фотография, отпечаток пальца, сетчатка глаза, … Биометрия) • Качество аутентификации зависит от: • Точности проверки (сравнения) • Обеспечения неотъемлемости признака (невозможности копирования воспроизведения. Здесь и находят применение криптографические механизмы) • Пути дальнейшего повышения качества аутентификации • Комбинация двух звеньев • Комбинация трех звеньев

10. Цена Risk Биометрия (2 звена) Смарт-карта (2 звена) Жетон Цифровой сертификат Пароль Безопасность Аутентификация Цена - Качество Шифрованный пароль

11. Все это возможно, только при условии выполнении ряда административных, организационных мероприятий и обеспечении физической защиты. Криптографические службы • Криптография может защитить от: • Доступа к конфиденциальной информации • Модификации(фальсификации) сообщений • Повторной отправки реальных сообщений • Самозванцев (пользователей или систем) • Несанкционированного доступа • Отказа от сообщений, сделок ..100010.. ..100010..

12. Криптографические службы Служба DES RSA Конфиденциальность ü û Целостность ü ü Подлинность ü ü Индивидуальный ключ Безотзывность û ü Индивидуальный ключ известный только одной стороне

13. Personal Security Module Особенности применяемых криптографических механизмов, (сравнение с магнитной полосой) • Копирование карты затруднительно • Карта несет ключ • Возможно автономное обеспечение конфиденциальности и целостности • Карта несет Уникальный ключ • Возможно автономное подтверждение подлинности • Процессор карты - активный элемент • Возможно выполнение ряда операций без связи с эмитентом в пассивной окружающей среде • КАРТА защищена PIN кодом • Двухзвенная аутентификация • Это открывает дорогу к применению EMV карт в новом качестве

14. Инициативы по EMV аутентификации • MasterCard • Chip Authentication Program • Visa • Token authentication

15. EMV аутентификация • Максимизация использованиясмарт-карт EMV как средства аутентификации Платежи по телефону Получение наличных Через Интернет Оплата покупок Оперативные платежи Традиционные приложения Новые приложения

16. Advanced AuthenticationMulti-Channel Platform Применяемые решения “Best use of B2B e-Commerce” “Online Security solution of the year”

17. PKI карты EMV Пароль Жетон ******* Сервер аутентификации Место SafeSign в системе эмитента Серверуправлениядоступом Модульбезопасности3D Домен эмитента

18. Охват предметной области 3D Secure ОбслуживаниечерезИнтернет e-Бизнес Advanced Authentication Ипотекаи ссуды Корпоративное обслуживание Страхование

19. Требования к криптографической защите. Теория и практика. • Требования к криптографической защите не являются предметом обсуждения! • Средняя российская практика далека от идеала • Базовые административные меры выполняются не полностью • Множество кустарных решений • Давление со стороны злоумышленников будет возрастать • Чтобы извлечь выгоду, для начала надо не допустить потерь • Обращайтесь к профессионалам

20. P3CM И не забывайте о физической защите и административных мерах. «Сильная» криптография Thales e-Security75 000 установоки 25 лет безупречной репутации SSCM HSM

21. Вопросы?