Глава 6. Защита от внешних атак

Настоящий раздел посвящен вопросам защиты от внешних атак, т.е. от действий лиц не являющихся пользователями системы и не имеющими прямого физического доступа к компонентам системы. Рассматриваются вопросы аутентификации и авторизации внешних пользователей при установлении соединений через внешние каналы связи.

6.1. Фильтрация неподписанных пакетов в ядре транспорта классического клиента

Для обеспечения аутентичности передаваемых и принимаемых транспортных пакетов в ядре транспорта классического («толстого») клиента предусмотрена возможность шифрования и применения электронной подписи (см. разд. 3.3 «Организация транспортной подсистемы» [стр. 13]): при отправке пакета от клиента в банк (и, соответственно, наоборот) пакет проходит обработку специальной функцией (вид и параметры функции задаются в настройках), в результате работы которой к пакету присоединяется электронная подпись.

На принимающей стороне производится обратное действие – пакет расшифровывается и проходит проверку на достоверность электронной подписи; только лишь в случае успеха этих двух процедур пакет поступает на дальнейшую обработку. Таким образом, входящий пакет, не имеющий электронной подписи (в то время как настройками предписывается применять электронную подпись), либо пакет, подпись которого не прошла проверку на подлинность, считается ошибочным и к дальнейшей обработке не допускается.

Реакция ядра транспорта на появление ошибочного входящего пакета определяется соответствующими настройками: такой пакет может быть:

•отброшен (физически удален);

•сохранен в виде файла в специально выделенном каталоге или / и помещен в ту же таблицу БД, что и прочие пакеты, но со специальным статусом, позволяющим при необходимости выбрать все подобные пакеты и принять по ним соответствующее решение.

На максимальный суммарный объем ошибочных пакетов, сохраняемых как в виде файлов, так и в БД, накладываются ограничения, что не позволит вызвать дефицит физических ресурсов системы по злому умыслу.

6.2. Аутентификация пользователей в подсистеме Интернет-Клиент

6.2.1. Подпись трафика BS-Defender’a

Установление соединения клиентского BS-Defender’а с банковским происходит следующим образом: клиент формирует запрос, подписывает его и отправляет в адрес банковского BSDefender. Банковский BS-Defender определяет подлинность подписи полученного запроса и сверяет идентификатор клиентского ключа (UID) со списком известных значений (В заголовке запроса, переданного на Web-сервер содержится идентификатор подписи. Далее, этот идентификатор передается компонентом BSI серверу задач (RTS). По нему RTS опре-

20