Pull to refresh

Samsung представила свой чип биометрической аутентификации для смарт-карт

Information Security *

Samsung показала собственный чип биометрической защиты для смарт-карт. Особенность чипа в том, что он объединяет в себе все элементы безопасности, которые раньше были разрозненны по площади пластиковой карты. Корейский IT-гигант считает, что такой подход может сократить затраты банков на изготовление платежных карт.

Читать далее
Total votes 2: ↑2 and ↓0 +2
Views 916
Comments 1

Билл Гейтс предлагает всем отказаться от паролей

Information Security *
Основатель Microsoft Билл Гейтс (Bill Gates) считает, что пароли являются слабым звеном в цепи компьютерной безопасности. В об этом он в очередной раз заявил на конференции RSA в Сан-Франциско.

По мнению Билла Гейтса, пароли, вводимые пользователем вручную, должны быть заменены на смарт-карты и другие средства аутентификации. Например, в Windows Vista добавлен CardSpace — «кошелек», предоставляющий пользователю возможность использования виртуальных карт сетевой идентификации. Аналогичная программа для использования на предприятиях называется Identity Lifecycle Manager 2007 и будет выпущена в мае нынешнего года, пишет CNet.
Total votes 21: ↑18 and ↓3 +15
Views 1.5K
Comments 48

Зевс – гроза для смарт-карт

ESET NOD32 corporate blog
В процессе одного совместного с компанией Group-IB расследования, связанного с мошенничеством в системах дистанционного банковского обслуживания, мы проводили исследование нескольких вредоносных программ. Образцы этих программ были получены экспертами по компьютерной криминалистике из Group-IB в процессе раскрытия преступления. Картина была довольно стандартной: обнаруженной вредоносной программой оказался троянец Zbot, который, казалось бы, уже изучен вдоль и поперек, но все же, мы решили поковырять его несколько подробнее. И началось самое интересное. А точнее, замечен был довольно любопытный функционал, о котором и пойдет речь ниже.
Читать дальше →
Total votes 13: ↑9 and ↓4 +5
Views 11K
Comments 5

OV-Chipkaart: бесконтактные смарт-карты на службе обществу

Lumber room
Sandbox
В настоящее время в Недерландах основным платёжным инструментом при использовании общественного транспорта является OV-chipkaart (где OV обозначает общественный транспорт (openbaar vervoer), а chipkaart переводится как смарт-карта). Именно о данном платежном средстве и технологии её реализации я и хочу рассказать в данной статье.
Читать дальше →
Total votes 2: ↑1 and ↓1 0
Views 3.3K
Comments 0

GnuPG на смарт-картах. Как это выглядит…

Cryptography *
image
Почти все знают что такое GPG. Многие им пользуются. Некоторые даже в курсе, что есть возможность хранить секретные ключи на внешнем носителе типа смарт-карты. Я-же хочу описать как это все выглядит на практике.

Несколько дней назад ко мне приехала пара «OpenPGP SmartCard v2». Заказаны они были у официального их распространителя — shop.kernelconcepts.de/index.php?language=en. Цена одной карты на данный момент составляет 17.14 евро. Две заказанные карты были отправлены чем-то вроде заказного письма и пересылка обошлась мне в 5 евро, что очень даже неплохо. Еще порадовало что карты без проблем прошли через таможню. Не уверен что так будет с большим количеством, но для личного использования, думаю, можно заказывать достаточно безопасно.

И вот они у меня...
Total votes 39: ↑37 and ↓2 +35
Views 7.8K
Comments 34

Как мы превратили телефон в банковскую карту

i-Free Group corporate blog Payment systems *
image

Недавно мы приглашали владельцев HTC One принять участие в тестировании NFC платежей и теперь хотим поблагодарить всех, кто включился и поспособствовал развитию бесконтактных платежей в нашей стране. Сегодня приложение «Кошелек» уже стало доступно для всех владельцев HTC One и Philips Xenium W336 после обновления прошивки, а в ближайшее время им также смогут пользоваться обладатели HTC One Dual SIM, HTC One Max, HTC One SV, HTC Desire 500, HTC Desire 600 и Philips Xenium W8555.

В комментариях к предыдущему посту и хабродиалогах было много вопросов о том, как работает «Кошелек» и что нужно сделать, чтобы поместить в него банковскую карту или проездной билет, не снимая задней крышки телефона и не используя двухсторонний скотч. В данном посте я попробую ответить на эти вопросы и рассказать, как это работает.
Читать дальше →
Total votes 68: ↑47 and ↓21 +26
Views 131K
Comments 135

Смарт-карты для самых маленьких

API *Development of communication systems *
Sandbox
Поскольку статья вводная и обзорная, то рассматриваться будет простейшая разновидность смарт-карт — SIM-карты, полагаю, что таких карт на планете сейчас больше всего.
По сегодняшним меркам стандарт SIM выглядит архаично, но зато он идеален для первого знакомства с миром смарт-карт, усвоение принципов, которые заложены в основу этого стандарта, облегчит дальнейшее погружение в тему.
Если Вы «карточник», то вряд ли узнаете для себя что-то новое, разве что какие-нибудь не очень понятные моменты разложатся по полочкам, а может быть Вы разложете по полочкам то, что недопонял автор (но, напоминаю, держимся в рамках SIM!).

Читать дальше →
Total votes 51: ↑45 and ↓6 +39
Views 52K
Comments 19

eToken жил, eToken жив, eToken будет жить

Information Security *
imageВ последнее время меня часто спрашивают, что случилось с ключами eToken и почему их перестали продавать. Так же наблюдается некоторая паника по этому поводу, ввиду того, что большинство мировых вендоров поддерживает данные ключи в своих продуктах, а заменить их, получается нечем.

Отставить панику!

Ключи eToken никуда не исчезли, они продолжают выпускаться и продаваться на российском рынке. Да, они поменяли своё название и немного по-другому выглядят, но это всё те же eToken.
Читать дальше →
Total votes 23: ↑17 and ↓6 +11
Views 42K
Comments 34

Путешествие финансовой транзакции

Fondy corporate blog Payment systems *Development for e-commerce *Billing systems *
imageСовременные финансовые технологии развиваются не по спирали, они скорее ложатся пластами друг на друга. Сегодняшний пласт — это кроссплатформенные платежи, когда транзакция вынуждена даже не пройти, а пробежать длинный путь за короткий срок. Нынешний этап эволюции финансовой транзакции сформировал бизнес-нишу, в которой работает наш платежный провайдер Fondy, позволяющий принимать платежи по картам любых стран мира без ограничений.

Мы подошли к тому уровню развития финансовых технологий, когда традиционные представления о качестве платежных сервисов складываются из двух составляющих: скорости прохождения транзакции и одобрения платежа. И что же здесь нового, спросите вы? Так было всегда. Но в этом только часть правды.

Результат всегда один. А вот транзакционная цепочка менялась от десятилетия к десятилетию. Менялось количество участников в процессе инициации и одобрения платежа. Тут стоит упомянуть слово «процессинг» не просто как обработку данных, а как процесс между инициацией транзакции и ее финалом (одобрение/отказ).
Читать дальше →
Total votes 23: ↑22 and ↓1 +21
Views 20K
Comments 3

Варианты хранения криптографических ключей

GlobalSign corporate blog Information Security *Cloud computing *Development for IOT *
Translation
Продолжает расти популярность решений на основе PKI — всё больше сайтов переходят на HTTPS, предприятия внедряют цифровые сертификаты для аутентификации пользователей и компьютеров, S/MIME доказывает свою состоятельность и для шифрования электронной почты, и как способ проверки источника сообщений для противодействия фишингу. Но шифрование и аутентификация в этих приложениях практически бессмысленны без правильного управления ключами.

Каждый раз при выдаче цифрового сертификата от центра сертификации (ЦС) или самоподписанного сертификата нужно сгенерировать пару из закрытого и открытого ключей. Согласно лучшим практикам, ваши секретные ключи должны быть защищены и быть, ну… секретными! Если кто-то их получит, то сможет, в зависимости от типа сертификата, создавать фишинговые сайты с сертификатом вашей организации в адресной строке, аутентифицироваться в корпоративных сетях, выдавая себя за вас, подписывать приложения или документы от вашего лица или читать ваши зашифрованные электронные письма.

Во многих случаях секретные ключи — личные удостоверения ваших сотрудников (и, следовательно, часть персональных данных организации), так что их защита приравнивается к защите отпечатков пальцев при использовании биометрических учётных данных. Вы же не позволите хакеру добыть отпечаток своего пальца? То же самое и с секретными ключами.

В этой статье мы обсудим варианты защиты и хранения закрытых ключей. Как вы увидите, эти варианты могут незначительно отличаться в зависимости от типа сертификата(ов) и от того, как вы его используете (например, рекомендации для сертификатов SSL/TLS отличаются от рекомендаций для сертификатов конечных пользователей).
Читать дальше →
Total votes 10: ↑8 and ↓2 +6
Views 34K
Comments 0

Смарт-карты. Часть 2. APDU

Cellular communication
Привет, Гиктаймс!

После общей информации, описанной в первой части, сегодня поговорим об APDU в формате, описанном в стандарте ISO7816-4.

APDU (application protocol data unit) — это формат общения карты и терминала. Терминал посылает Command APDU (C-APDU), а карта отвечает с Response APDU (R-APDU).

C-APDU


Формат C-APDU таков:
Header Body
CLA INS P1 P2 [Lc field] [Data field] [Le field]

Каждый элемент заголовка (header) сохранен на одном байте и является обязательным. К заголовку вернемся чуть позже, сейчас поговорим о body команды.

Элементы body следующие:

  • Lc: длина элемента Data в байтах.
  • Data: данные команды.
  • Le: ожидаемая длина данных ответа в байтах, исключая длину Status Word.


Lc и Le, если присутствуют, могут занимать 1 (Short Length) или 3 байта (Extended Length) каждый. При Short Length кодируются значения от 1 до 256. Длина данных на 256 байтов записывается как «00». При Extended Length кодируются значения от 1 до 65536. Первый байт всегда «00» и остальные 2 байта — номер в формате Big Endian. Когда Lc или Le — «00 00 00», то длина данных — 65536 байтов.

В зависимости от присутствия или отсутствия элементы body команды можно разделить на 4 категории:

  • Case 1: Body полностью отсутсвует, то есть команда не содержит в себе никаких данных и не ожидается получение каких либо данных от карты при ответе.
  • Case 2: В body присутствует только Le, то есть команда не содержит в себе никаких данных, но при этом ожидается получение данных от карты.
  • Case 3: В body присутствуют Lc и Data, то есть команда содержит в себе данные, но при этом не ожидается получение данных от карты.
  • Case 4: В body присутствуют все элементы, а значит команда содержит в себе данные и ожидается получение данных от карты.

Читать дальше →
Total votes 13: ↑12 and ↓1 +11
Views 45K
Comments 0

Смарт-карты. Часть 3. TLV

Cellular communication
Привет, Гиктаймс!

В прошлой части мы видели как происходит общение между терминалом и картой. Мы посмотрели форматы C-APDU и R-APDU, но мы не обращали внимания на то, какие данные содержат эти APDU. В этой части мы рассмотрим самые распространенные форматы, в которых передается информация между терминалом и картой (и наоборот). Все они относятся к одному семейству — TLV.

TLV означает Tag, Length, Value и используется для того, чтобы структурировать информацию. На очень абстрактном уровне, TLV можно рассматривать как бинарную версию XML. Однако что такое Tag, Length, Value?

  • Tag: он говорит, какой вид информации находится в TLV. Видом может быть, к примеру, простая строка или номер, идентификатор или даже сложная структура. В некоторых вариантах Tag также содержит мета-информацию о TLV.
  • Length: длина, в байтах, элемента Value.
  • Value: данные, содержащиеся в TLV

Каждый вариант TLV имеет свои правила кодирования каждого элемента. Далее мы посмотрим самые распространенные варианты TLV. Хочу сразу отметить, что данная статья будет, в основном, посвящена BER-TLV, поскольку это самый распространенный, гибкий и сложный формат. Остальные варианты TLV будут рассмотрены лишь вкратце.
Читать дальше →
Total votes 7: ↑7 and ↓0 +7
Views 27K
Comments 5

Смарт-карты. Часть 4. JavaCard

Cellular communication
Привет, Гиктаймс!

Сегодня я бы хотел поговорить о JavaCard. Данная статья будет посвящена понятию JavaCard и обзору ее архитектуры. Если есть интерес к этой теме, то я бы мог написать отдельную серию статей, в которых будут подробно освящаться все аспекты JavaCard. Сразу скажу, что я не собираюсь учить вас, как написать свое первое приложение в JavaCard, т.к. по этому поводу уже существует слишком много статей в Интернете. Мы поговорим сегодня преимущественно о принципах работы JavaCard.

Итак, смарт-карта на основе JavaCard — это карта, на которой приложения исполняются на JavaCard Virtual Machine (ограниченная версия Java Virtual Machine, адаптированная для смарт-карт) в так называемом JavaCard Runtime Environment (который с Java Runtime Environment имеет очень мало общего).

Что касается терминологии, то приложения называются Applets и содержатся в Packages (пакетах). Пакеты распространяются в CAP-files (вместо Jar-files). Пакеты и приложения имеют собственный AID (Application Identifier). Это необходимо для того, чтобы их можно было однозначно идентифицировать в таких командах, как: SELECT, INSTALL, DELETE, и т.д. (SELECT описывается в ISO7816-4, а JavaCard и остальные команды — в Global Platform).

Жизненный цикл Applets несколько отличается от привычного жизненного цикла приложений для компьютеров. Applet — это любой класс, наследующий от базового класса «Applet». При установке приложений вызывается его статический метод install. Этот метод должен создать объект соответствующего класса и вызвать на него метод register. Впоследствии объект будет сохранен в системе и получит собственный AID, который будет использован для дальнейшего общения с приложением. Объект и его поля данных сохраняются в NVM (Non-Volatile Memory). Каждый объект или массив, созданный приложением с помощью оператора «new», также будет находиться в NVM. Это означает, что, в отличие от традиционных компьютерных программ, состояние приложений JavaCard является постоянным и не теряется даже при выключении карты.
Читать дальше →
Total votes 9: ↑9 and ↓0 +9
Views 12K
Comments 8

Герои двухфакторной аутентификации, или как «походить в чужих ботинках»

«Актив» corporate blog Information Security *Product Management *Personnel Management *


Наверное скажу банальность, но люди устроены очень странно (а ИТ-шники вдвойне). Они живо интересуются маркетинговыми новинками и рвутся их внедрять, но при этом равнодушно проходят мимо технологий, которые на самом деле могут защитить их компании от реального вреда.

Возьмем для примера технологию двухфакторной аутентификации (2FA). Обычные пароли злоумышленник легко может подсмотреть и/или украсть (что очень часто и происходит), а затем войти в систему под правами легального пользователя. Причем сам пользователь скорее всего не догадается о факте кражи пароля до наступления неприятных (а иногда и весьма тяжелых) последствий.

И это при том, что практически ни для кого не является откровением тот факт, что использование методов двухфакторной аутентификации позволит сильно сократить, вероятность наступления каких-то тяжелых последствий, а то и полностью от них защититься.

Под катом мы расскажем как попытались представить себя на месте лиц, принимающих решение о внедрении 2FA в организации, и поняли, как их заинтересовать.
Читать дальше →
Total votes 15: ↑12 and ↓3 +9
Views 9.5K
Comments 30

SmartCard I2C Protocol. Обмен APDU командами через I2C интерфейс

Information Security *Cryptography *Programming *Development for IOT *Manufacture and development of electronics *

Введение


Некоторое время назад я принимал участие в разработке устройства, в котором было необходимо реализовать российскую криптографию. Так как в дальнейшем предполагалось это решение сертифицировать, то к реализации криптографии выдвигались определенные требования. И как один из вариантов упрощения реализации этих требований, рассматривалась возможность встроить в устройство считыватель смарткарт или установить смарткарточный чип, в котором уже были реализованы многие необходимые сценарии работы с ключевой информацией.

К сожалению, тогда подобное решение не подошло по некоторым причинам, хотя если бы удалось использовать уже готовую российскую аппаратную криптографию, то это должно было значительно ускорить разработку и последующую сертификацию конечного изделия. А причины невозможности использования USB токенов или смарткарты были весьма банальны: устройство должно было быть довольно компактным (небольшой модуль для M2M или IoT устройств), эксплуатироваться преимущественно в необслуживаемом режиме и работать в широком температурном диапазоне.

В этой статье я хочу рассказать о возможном решении подобного кейса с использованием чипа A7001, который подключается к системе через I2C интерфейс.


Читать дальше →
Total votes 18: ↑17 and ↓1 +16
Views 5.1K
Comments 5

Как использовать PAM-модули для локальной аутентификации в Linux по ключам ГОСТ-2012 на Рутокене

«Актив» corporate blog Configuring Linux *Information Security *
Tutorial


Простые пароли не защищают, а сложные невозможно запомнить. Поэтому они так часто оказываются на стикере под клавиатурой или на мониторе. Чтобы пароли оставались в головах “забывчивых” пользователей и надёжность защиты не терялась – есть двухфакторная аутентификация (2ФА).
Читать дальше →
Total votes 10: ↑9 and ↓1 +8
Views 13K
Comments 10

Смарт-карт ридер JCR721 – обзор возможностей и особенностей

Аладдин Р.Д. corporate blog Information Security *Cryptography *

Сегодня предлагаем к рассмотрению новую модель смарт-карт ридера – JCR721 производства "Аладдин Р.Д.". JCR721 – профессиональный отечественный доверенный смарт-карт ридер для работы со смарт-картами в корпоративной среде. 

Читать далее
Total votes 14: ↑9 and ↓5 +4
Views 2.7K
Comments 27

Сравнительный обзор смарт-карт ридеров: критерии и оценки

Аладдин Р.Д. corporate blog Information Security *IT Infrastructure *Research and forecasts in IT *IT-companies

Рекомендации по сравнению и выбору правильного смарт-карт ридера


Данная статья содержит краткое введение в проблематику смарт-карт ридеров (их устройство, классификация, определение параметров для сравнения), предлагает набор критериев и методику для сравнения и анализа конкурирующих продуктов.


Обзор смарт-карт ридеров

Читать дальше →
Total votes 10: ↑8 and ↓2 +6
Views 10K
Comments 6

Коротко об одном из стандартов формата токена PKCS#15

Information Security *Cryptography *
Sandbox

Много статей написано про стандарты API между токенами и программным обеспечением. Однако, стандартизация формата самих токенов, как правило, несправедливо обойдена стороной. В данной статье кратко описан один из стандартов формата токена PKCS#15 (Public Key Cryptography standard), опубликованного RSA Laboratories.

Читать далее
Total votes 22: ↑22 and ↓0 +22
Views 3.3K
Comments 0

Смарт-карты: особенности протокола T=0 и на что они влияют

Information Security *IT Standards *Cellular communication

Когда начинаешь изучать смарт карты, то все выглядит достаточно понятно и логично: команды APDU несложны и описаны в ISO 7816-4, интерфейс winscard описан в MSDN. В глубины PCSC погружаться особо и не приходится. Первые программы можно написать довольно быстро. Непонятные особенности вылезают чуть позже, и выясняется, что известные два протокола T=0 и T=1 на самом деле совсем разные протоколы, и они просто похожи друг на друга. Поначалу возникает соблазн работать с ними одинаково, а это может доставить много хлопот вплоть до сбоя коммуникации в самый неожиданный момент.

Читать далее
Total votes 5: ↑5 and ↓0 +5
Views 2.2K
Comments 0
1