Другие журналы

электронный журнал

МОЛОДЕЖНЫЙ НАУЧНО-ТЕХНИЧЕСКИЙ ВЕСТНИК

Издатель Академия инженерных наук им. А.М. Прохорова. Эл No. ФС77-51038. ISSN 2307-0609

СДЕЛАНО В IBM LABS:Технология "Security-on-a-Stick" для защиты пользователей и банков от наиболее изощренных хакерских атак

Пресс-релиз от 29.10.2008
Источник: IBM

Контакты:

IBM East Europe/Asia

Анна Андрошина

Тел.: +7 (495) 775-8800 #1137

E-mail: Anna.Androshina@ru.ibm.com    

    29 октября 2008 г. — Разработанный в исследовательской лаборатории Zurich Research Lab корпорации IBM (NYSE: IBM) прототип USB-устройства, внешне напоминающий флэш-карту со встроенным дисплеем, выводит безопасность онлайновых банковских операций на качественно новый уровень. Первые промышленные образцы устройства предложены банкам для тестирования.

    Устройство, названное Zone Trusted Information Channel (ZTIC), подключается через USB-порт к любому компьютеру и устанавливает прямое защищенное соединение с банковским сервером онлайновых транзакций, формируя, тем самым, независимую от компьютера линию связи, даже если он заражен вредоносными программами (malware) или подвергается хакерским атакам.

    С помощью ZTIC пользователь может проводить авторизацию в системе и подтверждать детали онлайн транзакции, которые отражаются на встроенном экране. USB-устройство, подключенное к серверу по безопасному каналу, обеспечивает защиту против наиболее изощренных и злонамеренных форм современных хакерских атак, которые способны манипулировать данными в фоновом режиме, оставаясь невидимыми для пользователей и банков. Устройство обеспечивает дополнительный уровень безопасности существующим методам аутентификации: смарткарте, ПИН-коду или одноразовому идентификационному коду, чтобы обеспечить защиту от новейших угроз безопасности.

    Хакеры становятся все более изобретательными в своих попытках атаковать финансовые транзакции в Интернет. В числе наиболее распространенных угроз подобного рода – т.н. атаки типа "Man-In-The-Middle", когда злоумышленник перехватывает и модифицирует сообщения, которыми обмениваются клиент и финансовая организация. В результате, модифицированная транзакция получает официальное одобрение банка, так как данные, поступающие в банк, представляются как достоверные сообщения от клиента.

    Вредоносные программы – еще более изощренная форма атак, когда хакеру удается установить вирус или «троян» на персональный компьютер пользователя, получая, в результате, возможность свободно манипулировать входящими и исходящими сообщениями пользователя, как, впрочем, и любыми другими данными на зараженном ПК. Контроль над пользовательским компьютером позволяет злоумышленнику изменять информацию, отображаемую в Интернет-браузере, и перенаправлять сообщения в реальном времени в течение сеансов онлайновых банковских операций пользователя, никак при этом себя не обнаруживая.

    Почти 90% онлайновых атак, связанных с идентификационными данными, направлены на сектор финансовых услуг. Результаты международного исследования, проведенного в 2007 году организацией Swiss Reporting and Analysis Centre for Information Assurance (MELANI), свидетельствуют, что «число результативных атак с внедрением вредоносных программ увеличивается, а существующие в настоящее время двухфакторные системы аутентификации ("two-factor authen-tication systems" – например, идентификационные номера транзакций, SecurID и т.д.) не обеспечивают защиту от подобных атак и должны рассматриваться как ненадежные в случаях, когда пользовательский компьютер инфицирован вредоносными программами (malware)».

    Устройство ZTIC обеспечивает дополнительных уровень защиты от обеих описанных форм атак.

    «При наличии высокопрофессионально функционирующей среды киберпреступности становится очевидным, что все системы аутентификации, основанные на программном обеспечении для ПК, потенциально уязвимы и, значит, мы должны были предложить инновационный продукт, чтобы остаться впереди в гонке хакеров и разработчиков, — пояснил доктор Питер Бюлер (Peter Buhler), руководитель отдела вычислительных наук (Computer Science) исследовательской лаборатории IBM Zurich Research Lab. — Технологическое и конструктивное исполнение устройства ZTIC базировалось на анализе преимуществ и уязвимых мест всех существующих на данный момент и только анонсированных альтернативных решений».

    Новое решение эффективно переводит все операции по шифрованию данных, а также процессы, требующие действий от клиента, с компьютера на устройство ZTIC, создавая защищенный коммуникационный канал между банком и пользователем. С помощью ZTIC пользователь может абсолютно безопасно обмениваться сообщениями с важными онлайновыми сервисами, например с банковским сервером. ZTIC в комбинации со смарт-картой, которая вставляется в устройство, обеспечивает новый уровень безопасности всем этапам проведения онлайновых транзакций.

    После завершения испытаний прототипов устройства в исследовательских лабораториях, были изготовлены промышленные образцы, которые сегодня готовы к тестированию финансовыми институтами.

    Даже если пользовательский ПК заражен вредоносным кодом (что позволяет манипулировать информационными потоками на компьютере), пользователь всегда может отменить транзакцию, пока она отражается на дисплее ZTIC. То, что пользователь видит на дисплее своего устройства ZTIC, идентично тому, что «видит» сервер, не зависимо от того, какое вредоносное вмешательство оказывается на компьютере или каком-либо узле Интернета. «Благодаря защищенному соединению между ZTIC и сервером, устройство, по существу, открывает безопасное окно в сервер», - говорит доктор Бюлер.

    Более того, ZTIC спроектирован таким образом, что не требует каких-либо изменений ни серверного ПО, ни программного обеспечения, выполняемого на клиентском ПК. ZTIC совместим со всеми основными пользовательскими операционными системами.

    Технологические характеристики

    Исследователи создали ZTIC в виде USB-устройства, по размерам приблизительно соответствующего карте памяти. ZTIC работает на базе протоколов TLS (Transport Layer Security) и SSL (Secure Sockets Layer). Аппаратные компоненты ZTIC включают процессорный блок, постоянную и переменную память, небольшой дисплей и две кнопки управления (OK и Cancel), а также, в качестве опции, механизм для считывания смарт-карт. Встроенное программное обеспечение ZTIC, с минимальной необходимостью настройки, состоит из блока TLS со всеми криптографическими алгоритмами, используемыми современными SSL/TLS-серверами; HTTP-парсера (синтаксического анализатора программного кода) для обработки данных, которыми обмениваются клиент и сервер; и специализированного системного ПО, которое конфигурирует аппаратный профиль ZTIC как USB-накопителя (массового запоминающего устройства) и устанавливает сетевого проксиагента (модуль доступа) для выполнения на пользовательском компьютере. ZTIC поддерживает TLS/SSL-аутентификацию клиента, а также протоколы аутентификации с запросом и подтверждением (chal-lenge/response protocol), применяемые в обычных чиповых картах доступа (chip-card).

    О IBM Research

    IBM Research – научная коммерческая лаборатория, с разветвленной филиальной сетью, в которой работает 5 нобелевских лауреатов, и которая вот уже 15 лет лидирует по количеству патентов в США. IBM Research сотрудничает с большим количеством исследователей во всем мире, что позволяет глубже понять важнейшие проблемы современности. Дополнительная информация на Web-сайте: www.ibm.com/research

 
ПОИСК
 
elibrary crossref neicon rusycon
 
ЮБИЛЕИ
ФОТОРЕПОРТАЖИ
 
СОБЫТИЯ
 
НОВОСТНАЯ ЛЕНТА



Авторы
Пресс-релизы
Библиотека
Конференции
Выставки
О проекте
Rambler's Top100
Телефон: +7 (499) 263-61-98
  RSS
© 2003-2024 «Молодежный научно-технический вестник» Тел.: +7 (499) 263-61-98