), предназначенный для организации
электронной торговли через сеть Интернет, также основан на использовании цифровых сертификатов по стандарту Х.509. В настоящее время в десятках стран мира уже насчитываются сотни государственных, ведомственных и корпоративных центров сертификации, обеспечивающих ключевое управление.
Протокол выполнения защищенных транзакций SET является стандартом, разработанным компаниями MasterCard и Visa при значительном участии IBM, GlobeSet и других партнеров. Он позволяет покупателям приобретать товары через Интернет, используя самый защищенный на настоящее время механизм выполнения платежей. SET является открытым стандартным многосторонним протоколом для проведения безопасных платежей с использованием пластиковых карточек в Интернет. SET обеспечивает кросс-аутентификацию счета держателя карты, продавца и банка продавца для проверки готовности оплаты, целостность и секретность сообщения, шифрование ценных и уязвимых данных. Поэтому SET более правильно можно назвать стандартной технологией или системой протоколов выполнения безопасных платежей с использованием пластиковых карт через Интернет.
SET позволяет потребителям и продавцам подтвердить подлинность всех участников сделки, происходящей в Интернет, с помощью криптографии, в том числе, применяя цифровые сертификаты.
Объем потенциальных продаж в области электронной коммерции ограничивается, достижением необходимого уровня безопасности информации, который обеспечивают вместе покупатели, продавцы и финансовые институты, обеспокоенные вопросами безопасности в Интернет. Как упоминалось ранее, базовыми задачами защиты информации являются обеспечение ее доступности, конфиденциальности, целостности и юридической значимости. SET, в отличии от других протоколов, позволяет решать указанные задачи защиты информации в целом.
SET, в частности, обеспечивает следующие специальные требования защиты операций электронной коммерции:
- Секретность данных оплаты и конфиденциальность информации заказа, переданной наряду с данными об оплате;
- Сохранение целостности данных платежей. Целостность информации платежей обеспечивается с помощью цифровой подписи;
- Специальную криптографию с открытым ключом для проведения аутентификации;
- Аутентификацию держателя по кредитной карточке. Она обеспечивается применением цифровой подписи и сертификатов держателя карт;
- Аутентификацию продавца и его возможности принимать платежи по пластиковым карточкам с применением цифровой подписи и сертификатов продавца;
- Аутентификацию того, что Банк продавца является действующей организацией, которая может принимать платежи по пластиковым карточкам через связь с процесинговой карточной системой. Аутентификация банка продавца обеспечивается использованием цифровой подписи и сертификатов Банка продавца;
- Готовность оплаты транзакций в результате аутентификации сертификата с открытым ключом для всех сторон;
- Безопасность передачи данных посредством преимущественного использования криптографии.
Основное преимущество SET над многими существующими системами обеспечения информационной безопасности заключается в использовании цифровых сертификатов (стандарт X509, версия 3), которые ассоциируют держателя карты, продавца и банк продавца с рядом банковских учреждений платежных систем Visa и Mastercard.
Кроме того, SET позволяет сохранить существующие отношения между банком, держателями карт и продавцами, и интегрируется с существующими системами.
Тематическая группа по технологии Интернет (
Internet Engineering Task Force, IETF) в 1992 г. выступила с инициативой по разработке требований к протоколам семейства TCP/IP нового поколения. После обсуждения нескольких концепций, в начале 1995 года были опубликованы основные требования к архитектуре построения и указаны основные принципы функционирования средств обеспечения безопасности.
Протоколы TCP/IP нового поколения (IPv6) включают следующие новые черты:
- расширенное адресное пространство; улучшенные возможности маршрутизации;
- управление доставкой информации; средства обеспечения безопасности, использующие алгоритмы аутентификации и шифрования.
Спецификация IPsec, дополнительная по отношению к текущей версии протоколов TCP/IP и входящая в стандарт IPv6, разрабатывается Рабочей группой IP Security Тематической группы по технологии Интернет. В настоящее время IPsec включает 3 алгоритмо-независимых базовых спецификаций, опубликованных в качестве следующих RFC-документов.
Разработаный IETF протокол IPsec, предусматривает стандартный способ шифрования трафика на сетевом (третьем) уровне IP и обеспечивает защиту на основе сквозного шифрования. IPsec шифрует каждый проходящий по каналу пакет независимо от приложения. Это позволяет организации создавать в Интернет виртуальные частные сети. IPsec поддерживает DES, MD5 и ряд других криптографических алгоритмов. IPsec предназначен для работы поверх связных протоколов.
Преимущества обеспечения информационной безопасности на сетевом уровне с помощью IPsec включают:
- поддержка немодифицированных конечных систем;
- поддержка иных протоколов, чем ТСР;
- поддержка виртуальных сетей в незащищенных сетях;
- защита заголовка транспортного уровня от перехвата, т.е. более надежная защита от анализа трафика;
- защита от атак типа "отказ в обслуживании".
IPsec имеет еще два важных преимущества - при его применении не требуется изменение промежуточных устройств в сети и рабочие места и серверы необязательно должны поддерживать IPsec.
IPsec - это система, использующая несколько различных методов для обеспечения комплексной информационной безопасности. Она использует:
- обмен ключами через открытую сеть на основе криптографического алгоритма Диффи-Хеллмана;
- применение цифровой подписи с использованием открытого ключа;
- алгоритм шифрования, подобный DES, для шифрования передаваемых данных;
- использование хэш-алгоритма для определения подлинности пакетов.
Протокол IPsec был разработан в рамках усилий по созданию средств защищенной передачи пакетов для IPv6, протокола IP следующего поколения сети Интернет - 2. Их спецификация продолжает совершенствоваться по мере выхода на рынок все новых и новых программных продуктов.
В нашей стране из различных стандартов по безопасности информационных технологий следует отметить ряд современных стандартов и документов, регламентирующих защиту взаимосвязи открытых систем (ВОС):
