Чтобы дальнейшая дискуссия была предметной предлагаю разбить рассуждения на пункты с которыми можно будет либо соглашаться либо дополнять /изменять.
(1) Законодательная база
Закон иного мнения. Нормативка по СКЗИ определяет алгоритм, наличие лицензий у разработчика и сертификацию ПО.
Начнем с того, что разработчик, имеющий лицензию ФСБ России на разработку криптосредств сертифицировать свою продукцию не обязан. Делает это он лишь для того, чтобы его криптосредства могли использоваться в тех случаях, когда есть требование по использованию сертифицированных криптосредств.
Для банка как для коммерческой организации (в случае если он не лицензиат ФСБ) обязательными требованиями ФСБ России будет только Приказ 378. ПКЗ-2005, Приказ ФАПСИ 152 будут носить только рекомендательный характер.
Приказ 378 говорит о том, что если для защиты ПДн применяется СКЗИ, то они должны быть сертифицированы и по соответствующему классу. Таким образом, нормативка ФСБ не обязывает использовать для взаимодействия с ЦБ серт. СКЗИ и тем более СКАД Сигнатуру (требования по обеспечению конфиденциальности ПДн при передаче могут быть закрыты использованием спец. операторов связи).
В тоже время, для банка обязательными будут требования нормативных документов Банка России и договора с МЦИ.
Нормативка ЦБ (552-П) не определяет конкретное СКЗИ, а говорит лишь о том, что оно должно правильно использоваться.
Договор в свою очередь уточняет какое конкретно СКЗИ должно использоваться.
(2) Технические возможности.
Говоря о совместимости сертифицированных СКЗИ, помимо реализации базовых рекомендованных криптоалгоритмов (ГОСТ Р 34.10-2012 и т.д.) следует также учитывать то, каким рекомендациям ТК26 СКЗИ соответствует. Например, как вырабатываеться общий ключ при шифровании файлов при передаче между абонентами (например, СХЕМЫ ВЫРАБОТКИ ОБЩЕГО КЛЮЧА С АУТЕНТИФИКАЦИЕЙ
НА ОСНОВЕ ОТКРЫТОГО КЛЮЧА). Если СКЗИ используют разные схемы, то они будут между собой не совместимы.
Говорить о совместимоти только на основании обработки «хитрого» OID на мой взгляд не совсем корректно. Так как OID это всего лишь параметр в сертификате.
Но скорее всего, учитывая то, что Валидата КС и СКАД Сигнатура одного производителя, то они предположительно совместимы между собой.
И еще, если мы говорим про альтернативы, почему бы тогда не рассмотреть VIPNET CSP? Он тоже сертифицированный, да и к тому же бесплатный. Ну или например, КриптоПРО HSM — он секъюрный.
(3) Альтернативы ЦБ
Так что пунктики про именно «Сигнатуру» могут быть от отсутствия альтернативы на момент написания шаблона.
Договор, есть договор. Чем руководствовалось ЦБ при его написании известно только ЦБ. Предлагаю исключить это из дальнейшего рассуждения.
А если завтра разработчик сервер «Сигнатурой» назовет? Или СКАД назовет «Валидата»? Уточните в ЦБ, что в этом случае делать!?!?
Если Валидата КС станет называться СКАД Сигнатура, то ЦБ должен будет ее всем раздать и получить взамен Акты готовности с новыми хэщ-суммами.
Если измениться название СКЗИ, то вносить изменение в договор, а ЦБ может это сделать в одностороннем порядке со всему дальнейшими процедурами — организацией перехода, раздачи СКЗИ и т.д.
Касательно контроля корректности встраивания СКАД Сигнатура в АРМ КБР.
Да, должно быть. Зона ответственности ЦБ. Поскольку именно он делал встраивание.
Документация на СКЗИ никак не договор
Договор определяет на какое конкретно СКЗИ необходимо пользоваться документацией.
Если посмотреть на данный вопрос по другому. К вам пришла проверка и говорит (гипотетически): «Почему при работе АРМ КБР вы не соблюдаете требования док-ции СКЗИ „Вебра-OW?“. Ваш резонный ответ будет: „Договором обмена ЭС с МЦИ ЦБ РФ предусмотрено применение СКАД Сигнатура, а не Верба-OW“
Чему противоречит использование сертифицированного СКЗИ КС «Валидата» в соответствии с его формуляром?
Смотря для каких целей. Если для реализации обмена ЭС с МЦИ ЦБ РФ, то соответствующему договору. Для других целей пожалуйста.
Наказание за несоблюдение всегда интересная тема для дискуссии.
Приведу свои аргументы за то, что использование стороннего СКЗИ может послужить поводом к расторжению договора и отзыву лицензии.
Договор об обмене электронными сообщениями
при переводе денежных средств
в рамках платежной системы Банка России
1. Предмет договора
1.1. Договор определяет… а также требования к защите информации в платежной системе Банка России.
2. Общие положения
2.5. Для выполнения условий Договора Стороны применяют средство криптографической защиты информации «Система криптографической авторизации документов «Сигнатура»» (далее СКЗИ СКАД «Сигнатура»).
Для защиты ЭС от доступа к ним посторонних лиц при передаче по незащищенным каналам связи применяется шифрование.
Порядок управления ключами КА (ЭП) и ключами шифрования, применяемыми при обмене ЭС при переводе денежных средств в рамках платежной системы Банка России, определяется в Приложении 6 к настоящему Договору.
Порядок обеспечения информационной безопасности при использовании СКЗИ определяется в Приложении 7 к настоящему Договору.
3. Условия участия в обмене ЭС, приостановления
И прекращения участия в обмене ЭС
3.1. Клиент для участия в обмене ЭС выполняет следующие действия.
3.1.5. Выполняет требования к защите информации в платежной системе Банка России для клиентов Банка России, в том числе требования к защите информации при обмене ЭС, приведенные в приложении 1 к настоящему Договору.
3.5. Клиент до начала обмена ЭС представляет акт о готовности к обмену электронными сообщениями с Банком России при переводе денежных средств в рамках платежной системы Банка России по форме, приведенной в Приложении 3 к настоящему Договору.
5.2. Клиент обязан:
5.2.7. Использовать актуальные версии ПО для АРМ, СКЗИ, нормативно-справочной информации.
9. Срок действия договора, порядок его изменения и расторжения
9.5.4. При нарушении Клиентом требований к обмену ЭС и обеспечению безопасности при обмене ЭС, предусмотренных законодательством Российской Федерации, и условий Договора.
Приложение 3 к договору (Акт готовности)
4. Все АРМ паспортизованы. Значения результатов вычисления хэш-функции исполняемых модулей (контрольных сумм) программного обеспечения (далее — ПО) СКАД «Сигнатура», утвержденные руководителем и заверенные печатью организации, зафиксированы в Приложении к настоящему Акту. Указанное Приложение является неотъемлемой частью Акта.
Приложение 6 к договору (Порядок управления ключами)
1. Общие положения.
1.2. В ходе функционирования Клиентом должны формироваться и храниться в бумажном виде следующие документы СКАД «Сигнатура»:…
2.2. Основными функциями Клиента являются следующие:
— ответственное хранение хэш-функций ПО СКАД «Сигнатура»;
Приложение 7 — Порядок обеспечения информационной безопасности при использовании СКЗИ
1. Установка и настройка СКЗИ на АРМ выполняются с учетом требований, изложенных в эксплуатационной документации на СКЗИ, в присутствии АИБ, назначаемого Клиентом. При каждом запуске АРМ должен быть обеспечен контроль целостности установленного программного обеспечения СКЗИ.
Положение Банка России от 24 августа 2016 г. № 552-П “О требованиях к защите информации в платежной системе Банка России”
2.4. Участники должны обеспечивать выполнение требований эксплуатационной документации на системы защиты информации от несанкционированного доступа (далее — СЗИ от НСД), СКЗИ, средства защиты от воздействий вредоносного кода (далее — СЗ от ВВК), применяемые на участке ПС БР, в течение всего срока их эксплуатации, в том числе при установке и настройке, а также обеспечить восстановление указанных технических средств защиты информации в случаях сбоев и (или) отказов в их работе.
Итого по расторжению договора:
1. Согласно договору СКЗИ — СКАД Сигнатура
2. Согласно Приложению 3 — Расчет хэш-сумм идет для СКАД Сигнатура
4. Согласно Приложению 6 — Банк оформляет сертификаты ключей для СКАД Сигнатура
3. Согласно Приложению 7 — СКЗИ должно устанавливать в соответствии с документацией на СКАД Сигнатуру
Таким образом, считаю что использование другого СКЗИ может быть основанием для Расторжения договора по пункту 9.5.4. или на основании п. 2.1. ст. 450 ГК РФ
Итого по отзыву лицензии:
Использование другого СКЗИ, вместо СКАД Сигнатуры будет нарушением п.2.4 552-П, в котором закреплено что банк должен соблюдать техническую документацию на СКЗИ, а в качестве СКЗИ договором закреплена СКАД Сигнатура.
В комментарии выше я указывал на то, что в договоре явно прописано использование СКАД Сигнатуры.
Действительно в подписанном ЭС нет сведений о том, с помощью какого СКЗИ оно подписано и соответственно теоретически можно использовать любое другие средства подписи, хоть даже написать самому.
НО регуляторный риск (нарушение договора, нарушение 552-П) ставит на всем этом крест, слишком дорогие возможные последствия — расторжение договора с МЦИ / нарушение требований ЦБ -> отзыв лицензии.
В договоре с ЦБ прописана необходимость использования СКАД Сигнатуры и ПО для АРМ (это может быть АРМ КБР или другое ПО, предоставляемое ЦБ).
Договор об обмене электронными сообщениями
при переводе денежных средств
в рамках платежной системы Банка России
2.5. Для выполнения условий Договора Стороны применяют средство криптографической защиты информации «Система криптографической авторизации документов «Сигнатура»» (далее СКЗИ СКАД «Сигнатура»).
3.1.2. Заключает договор с Банком, в соответствии с которым получает от Банка:
— ПО для АРМ,
— СКЗИ.
В своих презентациях ЦБ упоминал про сервер «Валидаты», для того, чтобы его использовать нужно пере заключать договор.
Банки не ставят ЗК, идет только простановка КА. ЗК — это технологическая мера, в то время как КА — электронная подпись. См. Альбом УФЭБС и договор с ЦБ.
Про перенос ответственности вы это здорово подметили.
Я думаю проблема в том, что мы сейчас стали заложниками подхода ФСБ в части регулирования криптографии.
Сертифицированное криптоядро, например СКАД Сигнатура, это довольно «тяжелое» ПО, которое не может работать с другими криптоядрами и довольно глубоко встраиваться в систему (по крайней мере в ОС Windows). Сейчас нельзя например реализовать сертифицированное шифрование на том, же SQL, или скриптовых языках. Если бы это можно было могли бы появиться довольно элегантные решения, когда бы ЭП осуществлялась прямо SQL сервером, без лишних навесок.
Но что есть, то есть. Наверно решения ФСБ основываются на той информации и тех подходах которые нам неизвестны.
Если сильно упростить, то SWIFT — это транспорт передачи платежных документов между банками. Он привычен и удобен всем банкам во всем мире, как обычная электронная почта. Но даже если страну отключат от SWIFT (банковской электронной почты), то все равно у ее банков есть и другие, правда менее удобные механизмы управления своими корр. счетами, открытыми в банка в других странах.
Важно что-бы кредиты обеспечивались банковскими резервами, как раз теми, что лежат на счете ЦБ, в количестве 1 к 10, если я не ошибаюсь.
Суть резервирования в следующем.
Банк, условно, имеет 1 млрд. рублей капитала, по нормам ЦБ он может привлечь не больше 10 млрд. рублей депозитов. Если 2 млрд. капитал, то 20 млрд. депозитов и т.д.
ЦБ следит чтобы банки не падали и для этого он установил (Положение 254-П) нормы резервирования на возможные потери. Суть этих норм в следующем. Предположим банк выдал кредит. Проходит время и клиент перестает его возвращать. Риск того, что он его не вернет увеличивается с каждым днем просрочки и чем больше риск, тем больше должен быть резерв, зачастую достигая 100% от суммы кредита по «плохим» кредитам. Резервирование нужно чтобы банки не раздавали кредиты «направо-налево» с учетом того, что кредитные деньги, это деньги вкладчиков.
Касательно мирового единого центра не скажу, но в России все деньги в итоге лежат ЦБ. Смотрите, у вас есть платежная карта, деньги с которой лежат в банке-эмитенте. Свободные деньги банка-эмитента лежат на корр. счете в ЦБ. Наличные из касс банков, кроме разрешенного лимита, ежедневно передаются в ЦБ.
При обналичке комиссия взымаеться банком экваером (то есть банком в чьем банкомате происходит операция) у банка эмитетнта (того, кто выпустил карту). Это правила международных платежных систем MasterCard / VISA.
Содержание собственной сети банкоматов довольно дорого удовольствие, но в то же время для клиентов очень критично снимать нал. без комиссии. Поэтому некоторые банки для лояльности клиентов компенсируют клиентам комиссию за снятие в чужом банкомате. Комиссии взымаются с операции и чем больше операций тем больше комиссий. Поэтому и делают ограничение в 3000 р.
Надеемся, что в 2018 году мы исправим эту расклад в пользу WYSIWYG-редактора, на который у нас большие планы.
Очень нужная вещь. Сейчас перевод из Word в Habr-статью очень длительный и крайне неудобный.
К функционалу редактора и верстки хотелось бы также:
1. Возможность выделять ячейки таблиц цветов.
2. Возможность сохранить написанную статью в PDF/RTF или другом формате.
По Альбому УЭФБС применение ЗК для банков не обязательно, применяют только КА.
По-моему, ЗК на сообщение и шифрование уже сейчас, со старым АРМ, могут быть сделаны на разных ключах. Только пока это по желанию банка.
Да, могут.
По-моему, ЦБ при переходе на АРМ КБР-Н будет обязывать использовать раздельные ключи, АРМ КБР-Н уже предварительно проверяет верность ЗК в сообщениях, полученных от АБС.
Пока таких требований не видел.
В общем, платежная система Банка России довольно неплохо защищена, если грамотно применять защитные меры. Другое дело в том, что банки не всегда это делают, и как мне кажется основная причина в том, что до конца не осознают системность проблемы.
Данное исследование и было предпринято, как раз что бы и банки и ЦБ смогли в комплексе увидеть все нюансы безопасности.
Поэтому в данном рассуждении я принял, что подписанный бумажный договор = заполненный типовой договор.
(1) Законодательная база
Начнем с того, что разработчик, имеющий лицензию ФСБ России на разработку криптосредств сертифицировать свою продукцию не обязан. Делает это он лишь для того, чтобы его криптосредства могли использоваться в тех случаях, когда есть требование по использованию сертифицированных криптосредств.
Для банка как для коммерческой организации (в случае если он не лицензиат ФСБ) обязательными требованиями ФСБ России будет только Приказ 378. ПКЗ-2005, Приказ ФАПСИ 152 будут носить только рекомендательный характер.
Приказ 378 говорит о том, что если для защиты ПДн применяется СКЗИ, то они должны быть сертифицированы и по соответствующему классу. Таким образом, нормативка ФСБ не обязывает использовать для взаимодействия с ЦБ серт. СКЗИ и тем более СКАД Сигнатуру (требования по обеспечению конфиденциальности ПДн при передаче могут быть закрыты использованием спец. операторов связи).
В тоже время, для банка обязательными будут требования нормативных документов Банка России и договора с МЦИ.
Нормативка ЦБ (552-П) не определяет конкретное СКЗИ, а говорит лишь о том, что оно должно правильно использоваться.
Договор в свою очередь уточняет какое конкретно СКЗИ должно использоваться.
(2) Технические возможности.
Говоря о совместимости сертифицированных СКЗИ, помимо реализации базовых рекомендованных криптоалгоритмов (ГОСТ Р 34.10-2012 и т.д.) следует также учитывать то, каким рекомендациям ТК26 СКЗИ соответствует. Например, как вырабатываеться общий ключ при шифровании файлов при передаче между абонентами (например, СХЕМЫ ВЫРАБОТКИ ОБЩЕГО КЛЮЧА С АУТЕНТИФИКАЦИЕЙ
НА ОСНОВЕ ОТКРЫТОГО КЛЮЧА). Если СКЗИ используют разные схемы, то они будут между собой не совместимы.
Говорить о совместимоти только на основании обработки «хитрого» OID на мой взгляд не совсем корректно. Так как OID это всего лишь параметр в сертификате.
Но скорее всего, учитывая то, что Валидата КС и СКАД Сигнатура одного производителя, то они предположительно совместимы между собой.
И еще, если мы говорим про альтернативы, почему бы тогда не рассмотреть VIPNET CSP? Он тоже сертифицированный, да и к тому же бесплатный. Ну или например, КриптоПРО HSM — он секъюрный.
(3) Альтернативы ЦБ
Договор, есть договор. Чем руководствовалось ЦБ при его написании известно только ЦБ. Предлагаю исключить это из дальнейшего рассуждения.
Если Валидата КС станет называться СКАД Сигнатура, то ЦБ должен будет ее всем раздать и получить взамен Акты готовности с новыми хэщ-суммами.
Если измениться название СКЗИ, то вносить изменение в договор, а ЦБ может это сделать в одностороннем порядке со всему дальнейшими процедурами — организацией перехода, раздачи СКЗИ и т.д.
Да, должно быть. Зона ответственности ЦБ. Поскольку именно он делал встраивание.
Договор определяет на какое конкретно СКЗИ необходимо пользоваться документацией.
Если посмотреть на данный вопрос по другому. К вам пришла проверка и говорит (гипотетически): «Почему при работе АРМ КБР вы не соблюдаете требования док-ции СКЗИ „Вебра-OW?“. Ваш резонный ответ будет: „Договором обмена ЭС с МЦИ ЦБ РФ предусмотрено применение СКАД Сигнатура, а не Верба-OW“
Смотря для каких целей. Если для реализации обмена ЭС с МЦИ ЦБ РФ, то соответствующему договору. Для других целей пожалуйста.
Приведу свои аргументы за то, что использование стороннего СКЗИ может послужить поводом к расторжению договора и отзыву лицензии.
Итого по расторжению договора:
1. Согласно договору СКЗИ — СКАД Сигнатура
2. Согласно Приложению 3 — Расчет хэш-сумм идет для СКАД Сигнатура
4. Согласно Приложению 6 — Банк оформляет сертификаты ключей для СКАД Сигнатура
3. Согласно Приложению 7 — СКЗИ должно устанавливать в соответствии с документацией на СКАД Сигнатуру
Таким образом, считаю что использование другого СКЗИ может быть основанием для Расторжения договора по пункту 9.5.4. или на основании п. 2.1. ст. 450 ГК РФ
Итого по отзыву лицензии:
Использование другого СКЗИ, вместо СКАД Сигнатуры будет нарушением п.2.4 552-П, в котором закреплено что банк должен соблюдать техническую документацию на СКЗИ, а в качестве СКЗИ договором закреплена СКАД Сигнатура.
Нарушение нормативных документов ЦБ, согласно п.6 ст. 20 Закона о банках и банковской деятельности может являться основанием для отзыва лицензии.
Действительно в подписанном ЭС нет сведений о том, с помощью какого СКЗИ оно подписано и соответственно теоретически можно использовать любое другие средства подписи, хоть даже написать самому.
НО регуляторный риск (нарушение договора, нарушение 552-П) ставит на всем этом крест, слишком дорогие возможные последствия — расторжение договора с МЦИ / нарушение требований ЦБ -> отзыв лицензии.
Пока это только «идеи» ЦБ. Для их реализации нужно перезаключать договор между Банком и ЦБ.
В своих презентациях ЦБ упоминал про сервер «Валидаты», для того, чтобы его использовать нужно пере заключать договор.
Банки не ставят ЗК, идет только простановка КА. ЗК — это технологическая мера, в то время как КА — электронная подпись. См. Альбом УФЭБС и договор с ЦБ.
Для шифрования должна использоваться только СКАД Сигнатура.
Я думаю проблема в том, что мы сейчас стали заложниками подхода ФСБ в части регулирования криптографии.
Сертифицированное криптоядро, например СКАД Сигнатура, это довольно «тяжелое» ПО, которое не может работать с другими криптоядрами и довольно глубоко встраиваться в систему (по крайней мере в ОС Windows). Сейчас нельзя например реализовать сертифицированное шифрование на том, же SQL, или скриптовых языках. Если бы это можно было могли бы появиться довольно элегантные решения, когда бы ЭП осуществлялась прямо SQL сервером, без лишних навесок.
Но что есть, то есть. Наверно решения ФСБ основываются на той информации и тех подходах которые нам неизвестны.
Суть резервирования в следующем.
Банк, условно, имеет 1 млрд. рублей капитала, по нормам ЦБ он может привлечь не больше 10 млрд. рублей депозитов. Если 2 млрд. капитал, то 20 млрд. депозитов и т.д.
ЦБ следит чтобы банки не падали и для этого он установил (Положение 254-П) нормы резервирования на возможные потери. Суть этих норм в следующем. Предположим банк выдал кредит. Проходит время и клиент перестает его возвращать. Риск того, что он его не вернет увеличивается с каждым днем просрочки и чем больше риск, тем больше должен быть резерв, зачастую достигая 100% от суммы кредита по «плохим» кредитам. Резервирование нужно чтобы банки не раздавали кредиты «направо-налево» с учетом того, что кредитные деньги, это деньги вкладчиков.
Касательно мирового единого центра не скажу, но в России все деньги в итоге лежат ЦБ. Смотрите, у вас есть платежная карта, деньги с которой лежат в банке-эмитенте. Свободные деньги банка-эмитента лежат на корр. счете в ЦБ. Наличные из касс банков, кроме разрешенного лимита, ежедневно передаются в ЦБ.
Содержание собственной сети банкоматов довольно дорого удовольствие, но в то же время для клиентов очень критично снимать нал. без комиссии. Поэтому некоторые банки для лояльности клиентов компенсируют клиентам комиссию за снятие в чужом банкомате. Комиссии взымаются с операции и чем больше операций тем больше комиссий. Поэтому и делают ограничение в 3000 р.
Очень нужная вещь. Сейчас перевод из Word в Habr-статью очень длительный и крайне неудобный.
К функционалу редактора и верстки хотелось бы также:
1. Возможность выделять ячейки таблиц цветов.
2. Возможность сохранить написанную статью в PDF/RTF или другом формате.
Но надо смотреть на всю картину в целом, а не только на КБР.
Да, могут.
Пока таких требований не видел.
В общем, платежная система Банка России довольно неплохо защищена, если грамотно применять защитные меры. Другое дело в том, что банки не всегда это делают, и как мне кажется основная причина в том, что до конца не осознают системность проблемы.
Данное исследование и было предпринято, как раз что бы и банки и ЦБ смогли в комплексе увидеть все нюансы безопасности.
То и другое может быть вскрыто, как путем похищения закрытых ключей, так и вмешательством в работу в самого СКЗИ.
Соответственно, применение второго СКЗИ, добавляет место откуда могут быть похищены ключи или на которое может быть оказано вредоносное воздействие.
Если оба СКЗИ работают на разных ключах, и оба выполняют и шифрование и ЭП (эшелонированная защита), то подобных проблем не будет.
В случае применения АРМ КБР-Н, такого нет. ЭП подпись выполняется на стороне АБС, а шифрование выполняется на стороне АРМ КБР-Н.
Более чем уверен, что будут банки которые это будут делать на базе одних и тех же ключей.