Защита передаваемых данных в подсистеме Интернет-Клиент

тификации по указанным протоколам определяется настройкой защищенного WEB-сервера банка. Допускается как применение «одностороннего» SSL / TLS (только аутентификация сервера клиентом), так и «двухстороннего» (аутентификация обоих партнеров).

Вслучае использования одностороннего SSL сертификат имеется только у веб-сервера, но не у клиента. Таким образом, аутентификация клиентом Web-сервера происходит посредством использования сертификата, а аутентификация клиента сервером ДБО при помощи логина и пароля клиента.

Вслучае использования двухстороннего SSL / TLS для установления соединения необходимо, чтобы произошла взаимная аутентификация клиента и сервера. В случае если сертификат клиента принят сервером, а сертификат сервера клиентом, происходит установление защищенного соединения.

Вопределенных случаях использование криптографических алгоритмов на территории России регулируется федеральным законодательством, что необходимо учитывать при заключении договорных отношений по использованию системы "ДБО BS-Client" с государственными структурами и организациями. Так, при построении системы защиты на основе протокола SSL / TLS необходимо принять во внимание, что стандартная реализация рассматриваемого протокола в ОС Windows не позволяет применять алгоритмы защиты информации, отличные от RSA, (который не является сертифицированным на территории РФ).

Всвязи с этим при построении защиты канала на основе протокола SSL / TLS рекомендуется воспользоваться специальным пакетом Crypto-Pro TLS, который совместно с СКЗИ CryptoPro, позволяет использовать в рамках протокола сертифицированные в России алгоритмы защиты информации (алгоритмы шифрования в соответствии с ГОСТ 28147-89, хеширования в соответствии с ГОСТ Р 34.11-94). При этом в случае использования двухстороннего протокола SSL / TLS в рамках ДБО возможно использовать только СКЗИ Crypto-Pro в качестве средства защиты информации. В случае использования одностороннего SSL / TLS данное ограничение не накладывается.

Необходимо отметить, что построение защиты канала на основе одностороннего SSL / TLS без установки Crypto-Pro TLS (т.е. с применением RSA сертификата WEB-сервера) технически допустимо, но не рекомендуется в связи с вышеописанными ограничениями федерального законодательства.

4.3. Сравнение различных способов защиты канала

Ниже приведены преимущества и недостатки применения следующих типов защиты:

1.Преимущества и недостатки применения типа защиты BS-Defender. a. Преимущества:

•Использование «криптографической аутентификации».

•Отсутствие обмена ключевой информацией по открытым каналам.

•Возможность использования «нетиповых» СКЗИ для защиты канала передачи данных, как-то «Верба» или «Excellence».

17

Защита передаваемых данных в подсистеме Интернет-Клиент

b.Недостатки:

•Для использования защиты необходима установка на компьютер клиента дополнительного ПО (клиентской части BS-Defender).

•Возможны проблемы при использовании в ЛВС клиента некоторых проксисерверов.

•Большее использование системных ресурсов, нежели при использовании SSL / TLS, т.к. криптографические операции по алгоритмам с открытым ключом более требовательны к ресурсам.

•Наличие дополнительного программного обеспечения, которое потребляет системные ресурсы, подлежит настройке и т.д.

2.Преимущества и недостатки применения типа защиты SSL / TLS.

a.Преимущества:

•Использование стандартного защищенного протокола, интегрированного в ОС.

•Меньшее потребление системных ресурсов.

b.Недостатки:

•Есть обмен ключевой информацией.

•Для защиты канала с помощью сертифицированных в России алгоритмов необходима установка Crypto Pro CSP / TLS.

•Необходимость дополнительной настройки web-сервера, создание пользовательских исключений, в случае обращения клиента без установленного Crypto Pro TLS.

18

Глава 5. Защита передаваемых данных в подсистеме Телефон-

Клиент

В настоящий момент в подсистеме Телефон-Клиент не предусмотрена возможность защиты передаваемой информации, таким образом, данные от клиента к системе и обратно передаются в открытом виде по открытым каналам связи.

Однако, при необходимости возможна защита передаваемой информации посредством шифрования, как информации, так и канала передачи данных. Устройства, производства третьих фирм решающие данную задачу в достаточном количестве представлены на рынке, и выбор решения зависит от уровня желаемой защиты.

Системы защиты информации могут быть установлены и использоваться независимо от подсистемы Телефон-Клиент и не влияют на алгоритм и режим работы системы.

19