Защита информации в электронных платежных системах

Защита информации в электронных платежных
системах

2-е издание, исправленное

Иванов М.А.
Михайлов Д.М.
Чугунков И.В.

Национальный Открытый Университет “ИНТУИТ”
2016

2

Защита информации в электронных платежных системах/ М.А. Иванов, Д.М. Михайлов, И.В.
Чугунков - М.: Национальный Открытый Университет “ИНТУИТ”, 2016

Рассматриваются вопросы защиты информации в электронных платежных системах: базовые
принципы и технологии, которые лежат в основе современных систем электронной коммерции, в том
числе методы обеспечения безопасности транзакций.
Предметом рассмотрения являются как уже существующие системы и технологии, так и
проектируемые системы на основе инновационных технологий. Анализируются структуры
существующих электронных платежных систем, типы электронных средств платежа, в том числе их
техническая реализация. Описываются базовые методы и средства защиты информации в
компьютерных системах и сетях. Подробно рассматривается реализация электронных платежных
систем на основе цифровых денег и банковских платежных карт. Уделяется внимание процессу
объединения платежных систем и вопросам безопасности, возникающим при подобном объединении.

(c) ООО “ИНТУИТ.РУ”, 2016-2016
(c) Иванов М.А., Михайлов Д.М., Чугунков И.В., 2016-2016

3

История электронной коммерции

История электронной коммерции - это хорошая иллюстрация того, насколько бурно
развивается данная область. Получив свое начало в 60-е гг. прошлого столетия,
электронная коммерция так глубоко проникла во все сферы нашей жизни, что мы уже
не мыслим своей жизни без этого понятия.

Электронная коммерция (ЭК), хотя это и может показаться странным, как явление
значительно “старше”, чем всемирная сеть Интернет.

Первые системы ЭК появились в конце 60-х гг. ХХ в., когда крупный бизнес на Западе,
используя частные компьютерные сети, стал применять системы электронного обмена
данными (EDI, Electronic Data Interchange), которые позволили унифицировать деловое
взаимодействие между разными компаниями и их отделениями. Произошла
автоматизация процессов формирования и обработки типовых документов - заказов,
счетов, накладных и пр.

В 1960 г. компания American Airlines и IBM приступили к созданию системы
автоматизации резервирования мест на самолеты - SABRE (Semi-Automatic Business
Research Environment, полуавтоматическое оборудование для коммерческих
исследований). Фактически это можно назвать одним из первых опытов в создании
систем электронной коммерции. Появление системы SABRE сделало перелеты
самолетами доступными для тысяч простых граждан. Система помогала
ориентироваться в рейсах и ценах на перелеты. Система появилась как нельзя кстати,
так как количество перелетов в то время стремительно росло. Благодаря автоматизации
процесса расчета тарифов при резервировании мест снижалась стоимость услуг.
Система могла выполнять управление прибыльностью, позволяя авиакомпаниям
добиваться максимальной прибыли за счет игры с ценами с учетом наличия свободных
мест. В 1964 г. в день система могла резервировать места для 26 тыс. пассажиров.
Терминалы American Airlines, подключенные к SABRE по телефонным линиям,
находились более чем в полусотне городов.[3GPP TR 21.905: Vocabulary for 3GPP
Specifications.]

Тогда же, в начале 60-х гг. в США были начаты работы по автоматизации управления
запасами. В результате активного роста производства товаров народного потребления
и торговли после Второй мировой войны стало очевидно, что использование
математических моделей планирования спроса и управления запасами ведет к
существенной экономии средств, замороженных в виде запасов и незавершенного
производства. Было установлено, что выбор оптимального объема партии заказа - одно
из важнейших условий повышения эффективности торгово-закупочной деятельности
предприятия, так как недостаточный объем партии ведет к росту транзакцонных
расходов при повторных заказах, а избыточный - к замораживанию средств.

В середине 60-х гг. впервые появились кредитные карты, изготовленные из пластика с
нанесенной на них магнитной полосой (магнитные карты), обеспечившей возможность
автоматизации финансово-расчетных операций.[EMV ICC Specification for Payment
Systems.]

4

В конце 60-х гг. создатели американских систем обслуживания пластиковых карт Interbank Cards Association и Bank of America - организовали почтовую рассылку
пластиковых карт. Это повлекло за собой быстрый рост числа держателей карт.
Одновременно росло и число фирм, работающих с данными картами. Эта пиар-акция
вынудила американские банки, которые имели локальные карточные системы,
присоединиться к одной из двух существующих глобальных систем.

В 70-х гг. банки и другие финансовые институты успешно внедрили системы
электронного перевода денежных средств (EFT, Electronic Funds Transfer), а также
компьютерные приложения для автоматизации финансовой деятельности.

В Великобритании с целью обслуживания коммерческого безналичного оборота была
создана электронная система переводов и клиринга BACS (от англ. Bankers Automated
Clearing Services). Подобная система в США - CHIPS (от англ. Clearing House Interbank
Payment System) была основана Нью-Йоркской ассоциацией клиринговых палат в 1970
г. для перехода от расчетов на основе бумажных чеков к электронным расчетам.

В 1971 г. в США была образована биржа ценных бумаг NASDAQ
(Автоматизированные котировки Национальной ассоциации профессиональных
участников рынка ценных бумаг). Она изначально не имела традиционной биржевой
площадки. Все дилеры NASDAQ были соединены между собою электронной сетью.

В 1972 г. в США впервые в мире создана централизованная электронная сеть учета
банковских чеков. Компьютеры стали основой системы социального обеспечения
США. В этом же году Федеральная резервная система США стала первым
учреждением, регулирующим индустрию пластиковых карт.[ISO/IEC 4909.
“Идентификационные карты. Содержание данных 3-й дорожки магнитной полосы”.]

В 1975 г. французом Роланом Морено (Roland Moreno) была изобретена и
запатентована электронная карта памяти. На основе этого изобретения в начале 80-х гг.
компания Bull (Франция) разработала и запатентовала смарт-карту со встроенным
микропроцессором.[ISO/IEC 7810. “Идентификационные карты. Физические
характеристики”.]

В 1976 г. в статье двух молодых американских математиков из Стенфордского
университета Уитфилда Диффи (Whitfield Diffie) и Мартина Хеллмана (Martin Hellman)
была наиболее полно сформулирована идея цифровой подписи как законного средства
подтверждения подлинности и авторства электронного документа. Сформулированные
авторами принципы заложили основы электронной аутентификации, электронного
заключения сделок и электронных денег.[ISO/IEC 7811. “Идентификационные карты.
Способ записи”.]

В этом же году карточная программа Bank of America с целью облегчения процесса
проникновения на международный рынок поменяла свое название с национальноориентированного - Americard на Visa International.

В 1977 г. состоялось официальное открытие межбанковской сети передачи финансовых
сообщений SWIFT (Society for World-wide Interbank Financial Telecommunication Общество всемирных межбанковских финансовых телекоммуникаций). Изначально в

5

нее вошли 239 банков из 15 стран Европы и Северной Америки, обеспечивая
ежедневный трафик объемом около 500 тыс. сообщений.[ISO/IEC 7812.
“Идентификационные карты. Система нумерации. Процедура регистрации
идентификаторов эмитента”.]

В 80-х гг. во Франции стала функционировать система Minitel (по сути, французский
вариант Интернета на базе протокола Х.25), разработанная компанией France Telecom.
Система через телефонную сеть предоставляла 7 млн французов такие сервисы, как
дистанционное управление банковскими счетами, заказ и оплата товаров, авиабилетов,
туристических путевок.[ISO/IEC 7813. “Идентификационные карты. Банковские
карты”.]

В 1981 г. корпорация IBM официально представила свой первый персональный
компьютер - IBM Personal Computer (IBM PC). В результате в мире начал
сформировываться гигантский рынок персональных компьютеров, но главное произошло принципиальное изменение технологий производства, распределения и
потребления. Фактически произошла информационная революция, которая дала
мощный скачок развитию электронной коммерции.[ISO/IEC 7816.
“Идентификационные карты. Карты на интегральных схемах с контактами”.]

Но настоящий бум ЭК в мире пришелся на 90-е гг., когда появилась сеть Интернет.
Именно в 90-х гг. появилась электронная коммерция в привычном для нас виде.

В начале девяностых уже известная нам SABRE превратилась в GDS (Global
Distribution System - глобальную распределительную систему), предназначенную для
оказания путешественникам информационных услуг, резервирования мест и обработки
транзакций. В систему входило более 25 тыс. агентов туристических бюро и 2 млн
интерактивных клиентов с 500 авиакомпаниями, 45 тыс. отелей и десятками
транспортных компаний, в том числе занимающихся перегоном транспортных средств
и организацией морских круизов.[ISO/IEC 9594–8. Информационные технологии.
Взаимосвязь открытых систем. Директория. Структура сертификатов открытого ключа
и атрибутов.]

Тогда же в Нью-Джерси появился первый прообраз современного дилингового зала. В
помещении не было брокеров, экранов с котировками, в нем находились только
компьютеры. За компьютерами сидели трейдеры и передавали через электронный
терминал ордера (поручения о покупке-продаже) брокерам. Брокеры вводили ордера в
рабочую станцию NASDAQ.

В 1990 г. на суд мировой общественности был представлен первый в мире браузер,
написанный сэром Тимоти Джон Бернерс-Ли - знаменитым британским ученым,
изобретателем URI, URL, HTTP, HTML и всей Всемирной паутины (совместно с
Робертом Кайо). Появление мировой паутины и первого интернет-браузера натолкнуло
писателей Д. Снайдера и Т. Зипорина в 1992 г. к написанию книги “Как новые
технологии изменят привычный поход по магазинам и совершение покупок”. Писатели
оказались прорицателями, потому что уже в 1994 г. компания Pizza Hut представила
первую в мире интернет-страницу, на которой можно было сделать заказ пиццы. Затем
был открыт первый он-лайн банк. Вскоре появились интернет-страницы, на которых

6

можно было заказать цветы, машины, велосипеды.

В начале 1990-х появляются первые ERP-системы - системы планирования ресурсов
предприятия.[ISO/IEC 14443. “Идентификационные карты. Бесконтактные карты на
интегральных схемах с контактами. Карты бесконтактного считывания”.]

1993 г. голландским математиком Дэвидом Чаумом были изобретены механизмы
практической реализации цифровых денег.

В 1994 г. был представлен первый интернет-браузер с поддержкой SSL, т.е.
электронные транзакции стали защищенными.

В этом же году на сервере Infoseek впервые предложили возможность размещения
поисковой рекламы. В дальнейшем на этот вид рекламы придется значительная часть
оборота рынка интернет-рекламы, и она станет основным источником дохода
поисковых систем.

Наконец, в 1994 г. аспиранты Стенфордского университета Джерри Янг (Jerry Yang) и
Дэвид Фило (David Filo) создали каталог ресурсов Интернета “Yahoo!”. До этого
времени удобных средств поиска и классификации ресурсов Интернета не
существовало. Первоначально сайт содержал около сотни ссылок на другие вебресурсы и находился на компьютере, стоявшем в трейлере во дворе Стенфордского
университета. К концу 1994 г. “Yahoo!” стал безусловным лидером среди каталогов с
иерархической организацией. Сотрудничество начинающей компании предложил глава
компании Netscape Марк Эндрессен. В день выпуска акций “Yahoo!” на фондовый
рынок (12 апреля 1996 г.) их цена достигла 33 дол. США при номинальной цене в 12
дол. за штуку. В настоящее время рыночная капитализация “Yahoo!” составляет
десятки миллиардов долларов.[ISO/IEC 15693. “Идентификационные карты.
Бесконтактные карты на интегральных схемах с контактами. Карты с радиосвязью”.]

В 1995 г. Джеффом Безосом (Jeff Bezos) был открыт популярный интернет-магазин
Amazon.com, работающий 24 часа. В этом же году были открыты интернетрадиостанции. Известнейшие компании Dell и Cisco стали активно использовать
возможности сети Интернет для проведения коммерческих транзакций. Наконец 1995
г. ознаменовался открытием, пожалуй, самого знаменитого в мире интернет-аукциона
eBay.

90% всех банковских платежей в США в 1995 г. проводилось в электронной форме: по
подсчетам National Automated Clearing House Association, в электронной форме
совершалось транзакций чеками на 73 трлн дол. и лишь 2,2 трлн дол. - наличными.
[Kravitz J. FSML. Financial Services Markup Language, Version 1.5. // Financial Services
Technology Consortium, Chicago, IL, July 1999.]

В этом же году в США был открыт первый интернет-банк Security First Network Bank.
В течение первого года существования его активы достигли 110 млн дол.,
ежемесячный прирост капитала превысил 20%.

1 февраля 1996 г. крупнейшие платежные системы на основе технологии пластиковых
карт Visa International и MasterCard International совместно с рядом технологических

7

компаний объявили о разработке единого открытого стандарта защищенных интернетплатежей с использованием пластиковых карт - SET. В настоящее время надежность
стандарта SET для организации защищенных платежей в Интернете общепризнана.

В 1998 г. появились первые электронные марки, которые можно оплатить в Интернете
и распечатать для использования на обычных конвертах.

В этом же году в России начинает работать первая система интернет-банкинга
“Интернет Сервис Банк”, разработанная Автобанком.[О’Mahoney D., Peirce M., Tewari
H. Electronic Payment Systems for E-commerce. Second Edition. ARTECH HOUSE, 2001.]

В 1999 г. интернет-портал business.com был куплен американской компанией
eCompanies за 7,5 млн дол. Необходимо заметить, что изначально портал был
приобретен за 149 дол. в 1997 г. В этом же 1999 г. компания ATG Stores впервые в
Интернете начала продажу декоративных предметов интерьера.

В ноябре 1999 г. московская межбанковская валютная биржа (ММВБ) создала
автоматический интернет-шлюз - мощный терминал, способный обрабатывать
одновременно большое число заявок на покупку и продажу какого-либо вида ценных
бумаг. При этом время с момента подачи клиентом заявки до ее регистрации
сократилось до нескольких секунд, так как многие операции, например проверка
платежеспособности клиента, стали обрабатываться не вручную, а автоматически.

С этого момента началась история российского интернет-трейдинга. Только за первые
два года существования шлюза доля рынка интернет-брокеров на ММВБ выросла до
50%, а доля сделок, заключаемых через шлюз, - до 63%. К торговой системе ММВБ
подключились более двух сотен брокерских компаний. По данным на октябрь 2003 г.,
83,8% сделок и 52,8% оборота фондового рынка ММВБ обеспечивают электронные
брокерские системы.

В 2002 г. крупнейший интернет-портал электронной коммерции купил за 1,5 млрд дол.
платежную он-лайн систему PayPal.[RFC 2246. The TLS Protocol. Version 1.0.]

В этом же году был создан альянс между Philips и Sony, и была разработана стратегия
по развитию нового стандарта в области мобильной радиочастотной коммуникации NFC (Near Field Communication). Этот альянс был позже поддержан VISA. Новый
стандарт позволил реализовать один из самых амбициозных проектов в истории
электронной коммерции - цифровые деньги, т.е. впервые в истории прикосновением
мобильного телефона к терминалу стало возможным оплачивать небольшие покупки, а
также использовать мобильный телефон для оплаты проезда на метро.

В 2004 г. суммарный доход крупнейшего в мире интернет-магазина Amazon составил
6,92 млрд дол. Прибыль за 2004 г. составила 588 млн дол.

В 2007 г. портал business.com был куплен миллиардером Р. Доннели за 345 млн дол.

Таким образом, история электронной коммерции, хотя и длится всего лишь несколько
десятилетий, но уже содержит множество интересных фактов. Наметившийся в
последние годы стремительный рост денежных потоков, которые циркулируют в

8

электронной коммерции, говорит о том, что электронная коммерция - актуальная тема
для пристального внимания и изучения.

9

Общие понятия электронной коммерции

2.1. Традиционная и электронная коммерция

В наиболее общем виде любая экономика состоит из процесса производства товаров
(продуктов, услуг) и коммерческой деятельности, основной целью которой является
получение прибыли посредством реализации произведенного товара. Коммерческая
деятельность или просто коммерция - это широкое понятие, которое не сводится лишь
к продаже какого-либо товара и получению оплаты за него.

В случае традиционной коммерции типичный бизнес-процесс выглядит так, как
представлен на рис. 2.1.

Рис. 2.1.  Модель коммерческой транзакции

Сначала компания-производитель осуществляет выпуск новой продукцию и выходит с
ней на рынок (самостоятельно или при помощи посредника - поставщика).
Потребитель определяет свою потребность в какой-либо продукции, знакомится с
информацией о ней, ищет места покупки, сравнивает возможные варианты с учетом
цены, уровня обслуживания и репутации компании и продукции. При нахождении
требуемого ему товара начинается этап переговоров, включающий в себя согласование
цены, формы оплаты и сроков доставки товара. Результатом данного этапа становится
заказ, включающий в себя наименование и тип товара. На основании заказа поставщик
направляет покупателю предложение совершить сделку (оферту). Оферта может
выполняться в виде договора либо в упрощенном варианте в виде счета. В случае
согласия с условиями предложения потребитель возвращает поставщику акцепт, т.е.
документ, свидетельствующий о принятии предложения. Акцепт может быть
реализован в виде подписанного договора либо каким-то другим способом. Оплата
товара, в зависимости от возможности потребителя и поставщика, может быть
осуществлена наличным (монеты, купюры) либо безналичным способом (чеки,
кредитные карты, векселя, банковский перевод). Оплата товара должна быть
взаимосвязана с этапом физической доставки товара потребителю. Коммерческая
транзакция завершается этапом фиксации факта окончания сделки, в процессе этого

10