RBS में शील्ड और तलवार - 2 सिस्टम, या MITM हमलों और अनधिकृत रिमोट एक्सेस से कैसे निपटें

जनवरी 2013 में, हमने पहले ही आरबीएस सिस्टम के लिए एक सार्वभौमिक समाधान के बारे में लिखा था। पिछले एक साल में, चोरी के खिलाफ सुरक्षा में सुधार और उपयोगिता बढ़ाने के उद्देश्य से कई शोधन किए गए हैं।

हमें उपयोगकर्ताओं के कंप्यूटरों के लिए दूरस्थ पहुँच के उपयोग से जुड़े दूरस्थ बैंकिंग प्रणालियों पर हमलों की संख्या में तेज वृद्धि के द्वारा ऐसा करने के लिए प्रेरित किया गया था। दुर्भाग्य से, इस प्रकार के हमले के साथ, पारंपरिक दो-कारक प्रमाणीकरण किसी भी तरह से कंपनी की वित्तीय संपत्तियों की रक्षा करने में सक्षम नहीं है। एक सुस्पष्ट प्रतिवाद दूरस्थ नियंत्रणों का उपयोग करने में असमर्थता के साथ एक विश्वसनीय वातावरण बनाने की आवश्यकता है।

तो, आइए याद करते हैं कि रूटोकेन पिनपैड क्या है । यह ट्रस्टस्क्रीन क्लास का एक समाधान है, जो एक विश्वसनीय वातावरण बनाने में सक्षम है और इलेक्ट्रॉनिक हस्ताक्षर लागू करने से पहले हस्ताक्षरित दस्तावेज़ की कल्पना करता है। उपयोगकर्ता द्वारा स्क्रीन पर संबंधित बटन को भौतिक रूप से दबाने के बाद साइनिंग सीधे डिवाइस पर ही होती है। इस प्रकार, हम रिमोट कंट्रोल टूल का उपयोग करके किए गए हमलों से खुद को बचाते हैं, जब यह हस्ताक्षर (मैन-इन-द-ब्राउज़र) के लिए भेजा जाता है, तो दस्तावेज़ की सामग्री को खराब कर देता है।



जैसा कि आप देख सकते हैं, हमने एक विशेष स्टैंड के साथ एक नया मामला बनाया, इंटरफ़ेस डिज़ाइन को पूरी तरह से फिर से डिज़ाइन किया, और डिवाइस को अतिरिक्त कार्यक्षमता भी प्रदान की।

तो, मुख्य बिंदु:

• डिवाइस पर ही दस्तावेजों और उनके हस्ताक्षर का विज़ुअलाइज़ेशन
• घरेलू क्रिप्टोग्राफिक एल्गोरिदम का कार्यान्वयन "डिवाइस पर बोर्ड"
• अपरिवर्तनीय कुंजी
• स्क्रीन पर हार्डवेयर पिन
• PKCS # 10 प्रारूप में एक प्रमाणपत्र अनुरोध को उत्पन्न करने और पुष्टि करने की क्षमता
• X.509 प्रारूप और PKI बुनियादी ढांचे के लिए समर्थन
• असत्यापित डेटा पर हस्ताक्षर करने में असमर्थता
• "सफेद" सूचियों पर बल्क भुगतान करने की क्षमता
• पिन कैशिंग विकल्प
• हादसा जांच अभियान लॉग
• एक प्लगइन के माध्यम से किसी भी ब्राउज़र के साथ काम करें
• रंग स्पर्श स्क्रीन

अब आइए दिखाते हैं कि यह सब कैसे इस्तेमाल होने पर दिखता है।
हम अपने डेमोबैंक पर जाएंगे, जहां हम पंजीकरण प्रक्रिया से गुजरेंगे, आरंभ करने के लिए, हम एक प्रमाणपत्र अनुरोध बनाएंगे।

कनेक्टेड पिनपैड उपकरणों की सूची में से चुनें:



हम एक उपयोगकर्ता नाम के साथ आएंगे:



अनुरोध स्क्रीन पर प्रदर्शित होता है और यदि हम सहमत होते हैं, तो चेकमार्क पर क्लिक करें और पिन कोड दर्ज करें:





अब प्राधिकरण हम अपने प्रमाण पत्र का चयन करते हैं, स्क्रीन पर देखें कि किस प्रमाण पत्र के साथ लॉगिन होता है और किस पते पर होता है।



हम सहमत होते हैं और प्राधिकरण के लिए डिवाइस पर पिन कोड दर्ज करते हैं:



ध्यान दें कि डिवाइस की स्क्रीन पर प्रदर्शित अनुरोध के साथ सीएमएस प्रारूप में डिवाइस पर यादृच्छिक डेटा पर हस्ताक्षर करके पंजीकरण और प्रमाणीकरण होता है।

डेमोबैंक में सफेद सूची का कार्यान्वयन है, जिसमें समकक्षों को प्रवेश दिया जाता है, जिनके साथ हम लगातार काम करते हैं और उन पर पूरी तरह से भरोसा करते हैं।



विस्मयादिबोधक चिह्न का क्या अर्थ है? इस मामले में, सफेद सूची से नहीं उत्तरदाताओं के लिए भुगतान की एक दृश्य पुष्टि और 100,000 रूबल से अधिक राशि के साथ भुगतान की पुष्टि लागू की गई थी। इस तरह के भुगतानों को रुतोकन पिनपैड का उपयोग करके विज़ुअलाइज़ेशन और अतिरिक्त पुष्टि की आवश्यकता होती है।



यदि हम 4 पेचेक का सामूहिक भुगतान करेंगे, तो उनमें से दो को विस्मयादिबोधक चिह्न के साथ चिह्नित नहीं किया जाएगा, उन्हें विज़ुअलाइज़ेशन के बिना हस्ताक्षरित किया जाएगा, और अन्य दो को पिनपैड स्क्रीन पर प्रदर्शित किया जाएगा:



हमलावर द्वारा भुगतान दस्तावेज़ के प्रतिस्थापन के मामले में, डिवाइस स्क्रीन पर हम गलत विवरण देखते हैं और भुगतान अस्वीकार करते हैं:



यदि सब कुछ ठीक है, तो हम भुगतान आदेश पर हस्ताक्षर करते हैं, एक हस्ताक्षर उत्पन्न होता है, फिर सभी डेटा एन्क्रिप्ट किया जाता है और सर्वर पर भेजा जाता है:



देखने और पुष्टि करने के बाद, सीएमएस प्रारूप में एक हस्ताक्षर उत्पन्न होता है:




ध्यान दें कि चयनित सुरक्षा नीति के आधार पर, प्राधिकरण के दौरान पिन कोड को कैश करना और प्रत्येक ऑपरेशन के लिए पिन कोड का अनुरोध किए बिना सत्र में इस कैश का उपयोग करना संभव है।

निष्कर्ष में:

प्रस्तुत समाधान विभिन्न प्रकार के खतरों से उपयोगकर्ता खातों की अधिकतम सुरक्षा करने में सक्षम है, जिसमें रिमोट कंट्रोल और दस्तावेज़ स्पूफिंग से जुड़े लोग शामिल हैं। पिनपैड आपको सुरक्षित सामूहिक भुगतानों को लागू करने, घटना की जांच को व्यवस्थित करने की भी अनुमति देता है।
वर्तमान में, अधिकांश सामान्य बैंकिंग प्रणालियों और कई बैंकों में रुटोकन पिनपैड का समर्थन करने के लिए काम चल रहा है।