आरबीएस सिस्टम में ढाल और तलवार

रिमोट बैंकिंग सिस्टम (आरबीएस) में सुरक्षा समस्याएं किसी के लिए कोई रहस्य नहीं हैं। जहां पैसा दांव पर है, विशेष रूप से अक्सर ताकत के लिए सूचना सुरक्षा का परीक्षण किया जाता है। रिमोट बैंकिंग सिस्टम में मुख्य हमला वेक्टर क्लाइंट सॉफ़्टवेयर के लिए किया जाता है, क्योंकि यह असुरक्षित वातावरण में चलता है। अलग-अलग समय पर, क्लाइंट कार्यस्थल की सुरक्षा के लिए विभिन्न तरीकों का इस्तेमाल किया गया था। मैं इस विषय में आरबीएस में उपयोग किए जाने वाले हमले के उपकरण और बचाव के विकास का वर्णन करने का प्रयास करूंगा। मूल रूप से, आरबीएस के ग्राहक भाग की सुरक्षा के तकनीकी साधनों पर विचार किया जाएगा।


पासवर्ड।
पहले RBS सिस्टम को एक नियमित पासवर्ड से सुरक्षित किया गया था। भुगतान करने के लिए कभी-कभी एक अतिरिक्त भुगतान पासवर्ड का उपयोग किया जाता था। अब कुछ भुगतान प्रणालियों में एक समान योजना का उपयोग किया जाता है। मुझे लगता है कि यह समझाने लायक नहीं है कि हमला कैसे किया गया था। एक keylogger किसी और के खाते तक पहुंच प्राप्त करने के लिए पर्याप्त था।

फ़ाइल में हस्ताक्षर कुंजी।
कुछ समय के लिए, आरबी सिस्टम दिखाई देने लगे, जहां भुगतान की पुष्टि के लिए भुगतान आदेश के तहत इलेक्ट्रॉनिक हस्ताक्षर उत्पन्न करना आवश्यक था। हस्ताक्षर बनाने की कुंजी एन्क्रिप्टेड फ़ाइलों में संग्रहीत की गई थी। उन्हें बाहरी मीडिया पर संग्रहीत करने की सिफारिश की गई थी। कुछ बैंकों में अभी भी इसी तरह की योजना का उपयोग किया जाता है। हमले का पैटर्न अलग दिखने लगा। कुंजी के साथ फाइल का पासवर्ड भी कीगलर द्वारा इंटरसेप्ट किया गया था, और कुंजी खुद स्पाइवेयर द्वारा चुरा ली गई थी।

एक "नियमित" टोकन पर कीज़।
यह कुछ पृष्ठभूमि की जानकारी देने के लायक है। मोटे तौर पर सभी टोकन को दो प्रकारों में विभाजित किया जा सकता है। कुछ टोकन केवल अपनी संरक्षित मेमोरी में साइन इन करने के लिए कुंजी स्टोर कर सकते हैं, अन्य टोकन सिग्नेचर कीज़ उत्पन्न कर सकते हैं और हार्डवेयर में साइनिंग ऑपरेशन कर सकते हैं, इसलिए निजी कुंजी टोकन कभी नहीं छोड़ती है। यहां तक ​​कि टोकन का मालिक भी इसमें से निजी कुंजी नहीं निकाल सकता है।
शुरुआत में, निश्चित रूप से, सरल टोकन विकल्प दिखाई दिए। बेशक, उन्होंने हमलावरों के जीवन को जटिल बना दिया, लेकिन उन्होंने समस्याओं को हल नहीं किया। टोकन की शुरुआत के जवाब में, अधिक "समझदार" स्पाइवेयर दिखाई देने लगे, जिसका उद्देश्य विशिष्ट आरबी सिस्टम है। इस सॉफ़्टवेयर में उपयोगकर्ता के वैध हस्ताक्षर संचालन के समय कंप्यूटर की रैम से चाबी चुराने की क्षमता थी। फिर उपचार के विकास ने भुगतान की पुष्टि के अतिरिक्त साधनों को पेश करने का तरीका अपनाया। मैं बाद में इन पैसों को वापस कर दूंगा।

क्रिप्टोग्राफी टोकन ऑन बोर्ड
हस्ताक्षर कुंजी की चोरी में अंतिम बिंदु बोर्ड पर क्रिप्टोग्राफी के साथ टोकन रखा जा सकता है, लेकिन अभी तक उनका बहुत कम वितरण है। इसके वस्तुनिष्ठ कारण हैं। हां, वास्तव में, वे हमलावर को हस्ताक्षर की चाबियाँ चोरी करने की अनुमति नहीं देंगे, लेकिन वे मुख्य कार्य को हल नहीं कर सकते हैं - दूरस्थ बैंकिंग प्रणालियों में धन की चोरी को रोकने के लिए। हां, वे चोरी की संख्या को बहुत कम कर सकते हैं, लेकिन केवल थोड़ी देर के लिए। धन की चोरी की योजना पहले से ही गति पकड़ रही है जिसमें भुगतान आदेश के हस्ताक्षर सीधे उपयोगकर्ता के कंप्यूटर पर किए जाते हैं जबकि टोकन जुड़ा हुआ है। यह या तो दूरस्थ कंप्यूटर नियंत्रण का उपयोग करके किया जाता है, या यूएसबी-ओवर-आईपी तकनीक का उपयोग किया जाता है, या हस्ताक्षर के समय भुगतान आदेश को प्रतिस्थापित किया जाता है।

अतिरिक्त भुगतान की पुष्टि
अतिरिक्त पुष्टि के लिए मूल विचार कंप्यूटर स्वतंत्र डिवाइस का उपयोग करना है। सबसे अधिक उपयोग किया जाने वाला वन-टाइम पासवर्ड OTP (वन टाइम पासवर्ड) हैं। कार्यान्वयन अलग हो सकता है, यह एक पुष्टिकरण कोड, ओटीपी टोकन, एक बार के पासवर्ड वाली तालिकाओं के साथ एसएमएस संदेश हो सकता है। वैसे, एसएमएस का समय पर न पहुंचना बहुत ही भयानक है। :) हमलावरों को दूरस्थ बैंकिंग प्रणालियों की प्रणालियों पर हमला करने के नए तरीकों की तलाश करनी थी। इस तरह के रक्षा तंत्रों के साथ, हमले के विशुद्ध रूप से तकनीकी तरीकों को सोशल इंजीनियरिंग के साथ जोड़ा जाने लगा। एक बार की पासवर्ड योजना पर हमला करने का सबसे आम तरीका फ़िशिंग है। उपयोगकर्ता को फ़िशिंग साइट पर एक बार का पासवर्ड प्राप्त होता है, जिसका उपयोग वे तुरंत अपना भुगतान करने के लिए करते हैं। ओटीपी सुरक्षा योजना का मुख्य दोष पासवर्ड और भुगतान आदेश की सामग्री के बीच संबंध की कमी है।

बेशक, अन्य उपकरणों ने पालन किया जो पहले से ही भुगतान आदेश के डेटा के आधार पर एक पुष्टिकरण कोड उत्पन्न करना जानते थे। उदाहरण के लिए, किसी व्यक्ति को किसी बाहरी डिवाइस पर खाता संख्या और भुगतान राशि दर्ज करनी होगी और एक कोड प्राप्त करना होगा, जिसे उसके बाद उसे आरबी सिस्टम में दर्ज करना होगा। समाधान काफी सुरक्षित है, लेकिन इस समाधान की उपयोगिता किसी भी ढांचे में फिट नहीं होती है। तस्वीर में इस तरह के एक उपकरण के लिए एक निर्देश है।
एक भुगतान अभी भी किया जा सकता है, लेकिन दस?

अंतिम चीख़
इस वर्ष, दूरस्थ बैंकिंग प्रणालियों की सुरक्षा के लिए नए उपकरण रूसी बाजार में दिखाई दिए। ये भरोसेमंद डिजिटल सिग्नेचर जनरेशन डिवाइस हैं। भुगतान की पुष्टि के लिए भुगतान की जानकारी और बटन प्रदर्शित करने और भुगतान करने से इनकार करने के लिए डिवाइस एक स्क्रीन से लैस हैं। चित्र रूटुटेन पिनपैड डिवाइस है।



इस उपकरण का अर्थ यह है कि डिवाइस में प्रवेश करने वाली जानकारी को स्क्रीन पर प्रदर्शित किया जाता है, उपयोगकर्ता द्वारा जाँच की जाती है, यदि यह सही है, तो उपयोगकर्ता द्वारा पुष्टि की जाती है, फिर हार्डवेयर में हैशेड और हस्ताक्षरित है। यह दृष्टिकोण आपको हस्ताक्षर करते समय भुगतान आदेश के प्रतिस्थापन की संभावना को पूरी तरह से बाहर करने की अनुमति देता है, और दूरस्थ कंप्यूटर नियंत्रण का उपयोग करके हस्ताक्षर बनाने की संभावना को भी समाप्त करता है। समाधान दिलचस्प है, हालांकि, अभी तक शोषण नहीं किया गया है। कार्यान्वयन कई बैंकों में है।

मुझे लगता है कि इस तरह के उपकरणों के उपयोग से स्पाइवेयर का उपयोग करके पैसे की चोरी की समस्या का समाधान होगा। हालांकि, अगर चोरी करने की तकनीकी क्षमता गायब हो जाती है, तो सामाजिक इंजीनियरिंग पर आधारित विधियों का अधिक सक्रिय रूप से उपयोग किया जाएगा। अधिकांश उपयोगकर्ताओं के पास सूचना सुरक्षा की खराब समझ है, और यह विभिन्न प्रकार के धोखाधड़ी के लिए अच्छी मिट्टी है।