Теоретический анализ, разработка и исследование методов организации безопасных электронных платежей в сети Интернет

Актуальность. В настоящее время Интернет-коммерция стала неотъемлемой частью бизнеса в сфере информационных технологий. При этом важную роль в системах Интернет-коммерции играют системы электронных платежей (СЭП) — специализированные сетевые информацион-ные системы для осуществления взаиморасчетов в сети Интернет между продавцами и клиентами. Поскольку системы электронных платежей в сети Интерент оперируют сведениями, за которыми стоят реальные финансовые средства покупателей и продавцов товаров или услуг, то проблемы обеспечения информационной безопасности в таких системах особенно актуальны. Проблемы безопасности в СЭП особенно актуальны еще и потому, что такие системы взаимодействуют как с открытой сетью Интернет, так и с компьютерными сетями финансовых учреждений. Защита информации в СЭП должна быть организована так, чтобы минимизировать или полностью исключить риск возможного вредоносного воздействия на сети финансовых учреждений из сети Интернет.

Разработчики существующих СЭП утверждают, что при проектировании систем вопросам информационной безопасности было уделено должное внимание. В то же время аналитический обзор электронных платежных систем, действующих в сети Интернет, выявил отсутствие методологии построения защищенных СЭП. Отчасти это обусловлено множеством различных подходов к организации электронных платежей в сети Интернет и множеством различных архитектур СЭП, действующих в сети Интернет.

Существующая потребность в разработке методологии построения защищенных систем электронных платежей объясняет актуальность исследований в таких направлениях как:

— систематизация знаний об особенностях и принципах функционирования систем электронных платежей, действующих в сети Интернет;

— разработка и исследование моделей функционирования систем электронных платежей в сети Интернет;

— исследование и разработка методов определения необходимых функций защиты информации для систем электронных платежей;

— разработка и исследование моделей, методов и алгоритмов обеспечения информационной и сетевой безопасности в системах электронных платежей;

— разработка и исследование специальных методов обработки информации, повышающих защищенность систем электронных платежей от попыток мошенничества со стороны пользователей сети Интернет и пр.

Результаты исследований по перечисленным направлениям позволят разрабатывать и внедрять более защищенные системы электронных платежей, по сравнению с действующими в настоящее время системами. Наряду с достижением более высокого уровня информационной и сетевой безопасности, результаты исследований по перечисленным направлениям позволят улучшить и характеристики надежности функционирования систем электронных платежей, поскольку часто нарушения работоспособности сетевых систем обусловлены недостаточной защищенностью.

Целью работы является разработка и исследование моделей, методов и алгоритмов организации безопасных электронных платежей в сети Интернет, позволяющих разрабатывать системы электронных платежей с улучшенными характеристиками защищенности от угроз информационной и сетевой безопасности.

Для достижения цели решаются следующие основные задачи:

1. Теоретический анализ и разработка новой классификации систем электронных платежей, действующих в сети Интернет.

2. Разработка модели функционирования системы электронных платежей с использованием пластиковых платежных карт в качестве средства оплаты, позволяющей исследовать задачи обеспечения информационной безопасности в таких системах.

3. Разработка метода исследования возможных нарушений информационной безопасности в сетевой информационной системе и его применение для исследования разработанной модели системы электронных платежей.

4. Разработка модели функционирования системы безопасных электронных платежей в сети Интернет, включающей необходимые функции защиты информации.

5. Разработка метода автоматической оценки достоверности данных о платежах для системы безопасных электронных платежей в сети Интернет.

6. Разработка проекта внутренней сети системы безопасных электронных платежей, исследование защищенности макета системы и сравнение с аналогами.

Методы исследования основаны на использовании теории множеств, теории графов, теории конечных автоматов, теории вероятностей, методов математической логики.

Основные положения и результаты, выносимые на защиту:

1. Предложенная новая классификация и выявленные типовые архитектуры систем электронных платежей, действующих в сети Интернет, позволяющие систематизировать и обобщить сведения о существующих системах и принципах их функционирования.

2. Дискретно-детерминированная модель функционирования системы электронных платежей, использующей пластиковые платежные карты в качестве средства оплаты, позволяющая исследовать процессы обработки информации и сетевого взаимодействия в системе электронных платежей с целью постановки задач защиты информации. ч 3. Метод исследования возможных нарушений информационной безопасности в сетевой информационной системе, позволяющий исследовать модель сетевой информационной системы и определить необходимое множество функций защиты информации в системе, обусловленное выявленным множеством элементарных нарушений информационной безопасности.

4. Модель функционирования системы безопасных электронных платежей в сети Интернет, использующей пластиковые платежные карты в качестве средства оплаты, включающая в себя необходимые средства и функции защиты информации.

5. Результаты исследования защищенности и сравнения с аналогами макета внутренней сети системы безопасных электронных платежей.

Все результаты получены автором работы лично.

Научная новизна работы заключается в следующем:

1. Проведен анализ и предложена новая классификация СЭП, действующих в сети Интернет, отличающаяся от существующих классификаций большим количеством признаков и позволяющая систематизировать и обобщить сведения о существующих СЭП и принципах их функционирования. На основе предложенной классификации выявлены типовые архитектуры существующих СЭП.

2. Разработана новая дискретно-детерминированная модель функционирования СЭП, использующей пластиковые платежные карты в качестве средства оплаты. Разработанная модель позволяет исследовать процессы обработки информации и сетевого взаимодействия в СЭП с целью постановки задач защиты информации. Такая модель разработана впервые.

3. Разработан новый метод формального исследования возможных нарушений информационной безопасности в сетевой информационной системе и применен для исследования модели функционирования системы электронных платежей, что позволило точно и формально определить конечное множество необходимых функций защиты информации для модели системы электронных платежей в сети Интернет. Разработанный метод отличается от существующих тем, что он позволяет получить конечное множество функций защиты информации для исследуемой сетевой информационной системы.

4. Разработана новая модель функционирования системы безопасных электронных платежей, включающая в себя необходимые средства и функции защиты информации, позволяющая ускорить проектирование и реализацию на практике систем электронных платежей в сети Интернет. Такая модель разработана впервые.

Практическая ценность работы определяется возможностью использования результатов работы при проектировании и внедрении новых систем безопасных электронных платежей в сети Интернет, а также возможностью использования отдельных разработанных методов и алгоритмов при разработке и исследовании широкого круга сетевых информационных систем и компьютерных сетей.

Использование результатов. Результаты, полученные в ходе работы над диссертацией, были использованы на кафедре Безопасности информационных технологий ТРТУ при проведении научных исследований по гранту РФФИ № 0307−90 075 и в учебном процессе в Таганрогском государственном радиотехническом университете.

Достоверность полученных результатов подтверждается строгостью математических выкладок, имитационным моделированием на ЭВМ, разработкой действующих программ и результатами экспериментов.

Апробация работы. Основные результаты, полученные в ходе работы над диссертацией докладывались и обсуждались:

1. На международной научно-практической конференции «Информационная безопасность» (ТРТУ, г. Таганрог, 2001;2003).

2. На всероссийской научной конференции студентов и аспирантов «Техническая кибернетика, радиоэлектроника и системы управления» (ТРТУ, г. Таганрог, 2002).

3. На всероссийской научной конференции «Проблемы информационной безопасности в системе высшей школы» (МИФИ, г. Москва, 2003;2004).

4. На научно-практической конференции Юго-Западного банка Сбербанка РФ (г. Ростов-на-Дону, 2004).

Публикации. По теме диссертации опубликовано 9 научных статей и тезисов докладов.

Объем и структура диссертации. Диссертация состоит из введения, четырех глав, заключения, списка литературы, включающего 100 наименований, приложений. Основной текст диссертации изложен на 166 страницах, включая 31 рисунок и 19 таблиц.

4.4 Выводы.

В главе были рассмотрены основные вопросы проектирования и реализации системы безопасных электронных платежей на основе разработанных моделей. Наглядно продемонстрировано влияние разработанных моделей СБЭП на структуру внутренней сети и технические средства, используемые при реализации СБЭП. Рассмотрены основные технологии и особенности технических средств, которые должны быть использованы при реализации СБЭП.

Для сравнения с существующими аналогами производились исследования защищенности систем от возможных попыток НСД.

В разделе рассматриваются результаты теоретического исследования защищенности существующих СЭП (CyberPlat, Assist) и разработанной модели СБЭП на основе расчетов вероятностных показателей защищенности от НСД. Расчеты производились для специально разработанных рубежных моделей систем защиты существующих СЭП и разработанной СБЭП. Большее количество защитных преград в разработанной СБЭП (пять преград), по сравнению с аналогами (три преграды), позволяет снизить вероятность успешного осуществления НСД в четыре раза при одинаковых характеристиках преград. f Для экспериментального сравнения с существующими аналогами был разработан макет, реализующий часть СБЭП и состоящий из реализации интерфейса покупателя и сервера базы данных СБЭП. Экспериментальное исследование защищенности систем производилось путем сканирования уязвимостей, существующих в системах, при помощи специальных тестирующих программ — сканеров сетевой безопасности. В результате исследования было выявлено, что все системы являются достаточно хорошо защищенными. Однако, в существующих системах (CyberPlat и Assist) были выявлены незначительные.

V недостатки («лишние» открытые TCP-порты), которые, возможно, при более глубоком исследовании смогут дать нарушителю возможность успешно атаковать эти системы. В макете СБЭП подобные недостатки отсутствуют, что позволяет оценить его практичесскую защищенность как более высокую по сравнению с существующими СЭП CyberPlat и Assist.

В главе также было проведено сравнение разработанного метода оценки достоверности данных о покупателе и платежной карте с известным и доступным его аналогом. Благодаря большему количеству проверяемых признаков мошеннических платежей, разработанный метод способен обнаруживать большее количество возможных различных сценариев мошенничества и более точно оценивать достоверность данных.

Таким образом, теоретическое и экспериментальное сравнение СБЭП, построенной на основе разработанных в этой работе моделей, с существующими аналогами выявило преимущества СБЭП, заключающиеся в более высоком, по сравнению с существующими аналогами, уровне обеспечиваемой информационной безопасности.

ЗАКЛЮЧЕНИЕ

w Основные теоретические и практические результаты, полученные в диссертационной работе, заключаются в следующем:

1. Проанализированы существующие системы электронных платежей (СЭП), предложена новая их классификация по 7 признакам, позволившая выделить 5 основных архитектур систем электронных платежей.

2. Разработана дискретная детерминированная имитационная модель функционирования СЭП, использующей пластиковые платежные карты в качестве средства оплаты и не требующей предварительной установки дополнительного программного обеспечения на стороне покупателя. Разработанная модель представляет СЭП в виде множества компонентов, выполняющих отдельные группы функций и взаимодействующих между собой посредством информационных потоков. Модели функционирования компонентов СЭП были заданы в виде конечных автоматов Мили.

3. Проанализированы существующие методы исследования сетевых информационных систем (ИС) с целью постановки задач защиты информации и определения функций защиты информации. Был предложен новый метод исследования нарушений информационной безопасности (ИБ) в сетевой ИС, позволяющий точно и формально исследовать возможные нарушения ИБ в сетевой ИС и определить конечное множество необходимых и достаточных функций защиты информации в сетевой ИС.

4. При помощи разработанного метода проведено исследование возможных нарушений ИБ в разработанной модели функционирования СЭП, что позволило определить конечное множество необходимых и достаточных функций защиты информации для модели функционирования СЭП. На основе этих результатов и разработанной модели функционирования СЭП была разработана модель функционирования системы безопасных электронных платежей (СБЭП).

5. Рассмотрено проектирование СБЭП на основе разработанной модели. Проведено теоретическое и экспериментальное исследование параметров защищенности макета системы, построенного на основе разработанной модели.

СБЭП, и аналогов — существующих систем электронных платежей CyberPlat и Assist. Сравнение с аналогами показало превосходство СБЭП, построенной на основе разработанных в работе методов и моделей по обеспечиваемому уровню информационной безопасности, как системы в целом, так и обрабатываемых в ней данных.

Достоверность, работоспособность и эффективность полученных в диссертации результатов подтверждаются имитационным моделированием на ЭВМ, разработкой действующих программ, результатами экспериментов.

Автор продолжает работу над дальнейшим усовершенствованием разработанных моделей, методов, алгоритмов. Можно выделить следующие направления дальнейших исследований:

1. Разработка математических моделей для исследования и оптимизации рабочих нагрузок на компоненты СБЭП и линии связи.

2. Разработка методов и методик оптимального выбора технических средств для реализации СБЭП, согласно разработанным моделям.

3. Разработка новых методов и технических средств защиты информации с учетом специфики разработанных моделей СБЭП.