1

Решения

Ezio

от

Gemalto Информационная

безопасность

для

банков:

дистанционное

банковское

обслуживание

eBanking

+

eCommerce

1

2

Решения

Gemalto

для

банков•

Gemalto

–

ведущий

поставщик

решений

на

базе

смарт-технологий

для

банков:

–

Банковские

карты

–

более

800 млн. карт в мире

–

Решения

по

строгой

аутентификации

для

сотрудников банка

► Решения

по

безопасному

доступу

клиента

банка (юридического

или

физического

лица) для

дистанционного

банковского

обслуживания

(ДБО)

2

3

Решения

Gemalto

работают

в

ТОП-100 мировых

банков

Клиентами

Gemalto

являются

более

чем

900 банков

во

всем

мире800 млн. человек

используют

банковские

карты

Gemalto

Более

30 млн. клиентов

банков

пользуются

безопасными

решениями Gemalto

e-banking

3

4

eBanking

–

обзор

решений

EZIO EDGE EZIO CLUB EZIO THIN EZIO THIN OPTIC

EZIO SHIELD PRO

EZIO LAVA

EZIO onCARD

DISPLAY CARD TOKENS

ОТР-токены

Подсоединяемые

устройства

Дисплей-карты

CAP/DPA

EMV ридеры

Сервер

аутентификацииРешения

на

базе

SMS

4

5

Подтверждение

транзакции

•

Если

вы

не

знаете, что

вы подписываете...

... Это

значит, что

кто-то

другой

может

ввести

вместо

вас

сумму

перевода

или

счет

получателя....

•

...Поэтому

необходимо

связать личность

пользователя

с

конкретной

транзакцией...

что

существенно

снижает

риск

злоупотребления

X

5

Идентифицирован

только

пользователь

Идентифицированы

пользователь

и

транзакция

66

Номер

счета?12312-3123

Сумма:1 234,00

PIN-код?* * * *

OK

OK

OK

Проверка

транзакции

Для

завершения

транзакциипользователь

должен подтвердить

ее

содержание

7

МОБИЛЬНЫЕРЕШЕНИЯ

Линейка

продуктов

EzioЕдиная

система

для

всех

индивидуальных

решений

и

типов

продуктов

7

PKI / ЭЦП

РИДЕРЫ

ТОКЕНЫ

ПОДСОЕДИНЯЕМЫЕРИДЕРЫ

ДИСПЛЕЙ-КАРТЫ

8

Устройства

EzioОПТИМАЛЬНЫЙ

НАБОР

ПРОДУКТОВ

ДЛЯ

СТРОГОЙ

АУТЕНТИФИКАЦИИ

КЛИЕНТА

8

EZIO EDGE EZIO CLUB EZIO THIN EZIO THIN OPTIC EZIO SHIELD PRO

PKI SOLUTIONS

EZIO PC USB-TR

EZIO PKI CARD

EZIO ESIGNER

EZIO CLASSIC CLIENT

TOKENS

EZIO LAVA EZIO SLIM OPTIC

EZIO onCARD

DISPLAY CARD TOKENS

• Различные

форм-факторы• Большие

экраны

и

кнопки• Высокая

мобильность• Высокий

уровень

удобства• Повышенная

безопасность

EZIO PICO

9

Ридеры: основные

преимущества•

Высокий

уровень

безопасности–

Защита

PIN-кодом

–

Все

схемы

использования

OTP, включая

контекстное

подтверждение

–

Ключ

и

расчет

OTP на

EMV-чипе

•

Дружественность

для

пользователя–

Ввод

PIN-кода: тот

же

принцип, как

при

платеже

–

Нет

риска

при

потере

ридера

•

Оптимизированная

совокупная

стоимость

владения

(ТСО)–

Нет

привязки

ридера

к

конкретному

пользователю

–

Нет

необходимости

блокировки

устройства

при

потере

–

Не

нужен

пароль

–

Стандартное

решение

(CAP/DPA)

•

Поддерживаются

любые

EMV-карты–

MasterCard и

Visa

–

Другие

(требуется

интеграция)9

Многие

банки

перешли

от

простых

OTP-токенов

к

ридерам

в

процессе

миграции

на

EMV-карты

Многие

банки

перешли

от

простых

OTP-токенов

к

ридерам

в

процессе

миграции

на

EMV-карты

10

Ezio

Club

10

•

Ключевые

характеристики

•

Классический

дизайн

•

Различные

возможности

клавиатур

(от

17 до

21 кнопки)

•

Сменяемые

аккумуляторы

•

Используется

в

банках•

Royal Bank of Scotland (Великобритания)

•

Banco Postale (Италия)•

Nationwide (Великобритания)•

AIB

(Ирландия)•

Banques Populaires (Франция)

Используется миллионами

пользователей

Используется миллионами

пользователей

11

Ezio

Edge

11

•

Ключевые

характеристики

•

Прочный

корпус

•

ЖК

экран

2x14

•

Сменяемые

аккумуляторы

•

Подтверждение

транзакции

(опция)

•

Динамическая

подпись

•

Безопасное

выделение

домена

•

Используется

в

банках•

Банк

Возрождение

(Россия)•

Raiffeisen

(Румыния)•

Tatra

Banka (Словакия)•

ICA Banken

(Швеция)

Распространенная

модель

в Восточной

Европе

(включая

Россию)

Распространенная

модель

в Восточной

Европе

(включая

Россию)

12

Ezio

Thin •

Ключевые

характеристики

–

Легкий

(всего

22 г)

–

Формат

кредитной

карты

(толщина

4

мм)

–

ЖК

экран

2x14

–

Сменяемые

аккумуляторы

•

Используется

в

банках

–

Номос-банк

(Россия)

–

ВТБ

24 (Россия)

–

LCL (Франция)

12

13

Ezio

Thin Optic

13

•

Ключевые

характеристики

•

Функционал

и

дизайн

Ezio

Thin

•

Автоматическая

передача

данных

через

кодированный

оптический

интерфейс

•

Ezio

Web Plug-in –

программный

интерфейс

для

интеграции

с

веб-

приложениями

•

Используется

в

банках

•

DSV (Германия)

•

LODH (Швейцария)

TRY EZIO

14

Ezio

Display Card •

Инновационное

решение

–

Формат

кредитной

карты

–

Магнитная

полоса

–

EMV-чип

–

клавиатура

–

ЖК

экран

для

ОТР

–

Различные

варианты

персонализации

–

Различные

варианты

использования

–

Варианты

форм-факторов

(наличие

отсутствие

чипа/полосы/клавиатуры, расположение

кнопок

и

др.)

•

Используется

в

банках–

BNP Paribas

(Франция)–

Erste

(Австрия)

•

Сертифицирована

и

14

15

Возможности

кастомизации

15

Логотип

Цвета

Кнопки

Сообщения

Язык

16

Ezio

Strong Authentication Server Полное, готовое

к

использованию

серверное

решение

на

базе

CAP/DPA

•

Полноценный

сервер

аутентификации

CAP 2007 / DPA

–

Все

уровни

безопасности

(OTP, Challenge/Response, Transaction Signature)

–

Управление

данными

-

выделенная

база

данных

–

Поддержка

любых

карт

EMV

•

Готовность

для

приложений

электронной

торговли

–

Платежи

и

–

Интеграция

с

•

Высокая

доступность

(High Availability)

–

Избыточная

(redundant) архитектура

–

Интеграция

с

HSM

разных

моделей

(поставка

)16

17

Схема

работы

Ezio

SA Server

Приложение

интернет-банкинга Strong Authentication

Server

HSMЗапрос

на

валидацию

OTPLogin : user ID+ OTP 1

Получение

аутентификационных

данныхдля

каждой

валидной

карты, соответствующейID пользователя

в

базе

данных2

Запос

на

валидацию

OTP

использованием

данных

карты

в

базе

данных(в т. ч. Key ID)

3

4

Логирование

данных

аутентификациии

результата

в

БД

Валидация

ответа 5

17

18

Приложения

онлайн-банкинга

Пример

интеграции

Ezio

SA

Server

Сервер

аутентификации

HSM

База

данных

Валидация

OTPXML через

HTTP(s)

Система

управления

пластиковыми

картами

(Card

Management

System) банка

Card Data ManagementXMLчерез

HTTP(s)

Система

администрирования

банка

Веб-интерфейс

илиXML через

HTTP(s)

18

19

Дополнительные

возможности: электронная

торговля

Сервер

электронной

торговли

Ezio SAServer

Сервер

онлайн- банкинга

Электронная

торговля

Страница

аутентификации

Интернет-банкинг

19

20

Аутентификация

с

помощью

SMS

OTP 342804

•

В случае, если

пользователь

забыл

или

потерял

ридер,

либо

для

определенных

категорий

клиентов*

•

OTP

с

ограниченным

сроком

действия

посылается

по

SMS

на

мобильное

устройство

пользователя

•

Доступно

всем

пользователям

CAP/DPA EMV

благодаря

интерфейсам

с

провайдерами

сервисов

SMS

*см. ниже

об

опасности

использования

SMS20

21

Насколько

безопасно

решение «одноразовый

пароль

по

SMS»?

•

Одноразовые

пароли

(ОТР) по

SMS –

популярная технология

онлайн-банкинга

–

До

сентября

2010 года

не

было

обнаружено

ни

одной

атаки

с

с

использованием

OTP по

SMS

•

Сентябрь

2010 г. -

появление

трояна

ZitMo–

Троян

типа

Zeus для

мобильных

платформ

(Zeus in the Mobile, ZitMo)

–

Кража

ОТР, посланных

по

SMS.

•

Лаборатория

Касперского

опубликовала

в

августе предупреждение

об

угрозе

атаке

ZitMo

(http://www.androidauthority.com/kaspersky-labs-warns-new-wave-

zitmo-android-attacks-imminent-106567/

)

21

22

Как

работает

троян

ZitMo

•

ZitMo

работает

в

сотрудничестве

с

обычным

трояном

ZeuS Trojan.

–

Пользователю

мобильного

устройства

предлагается

установить вредоносное

приложение

(путем

отправки

ему

SMS с

линком

для

установки)

•

Задача: перехватить

ОТР, посланный

по

SMS быстро

и незаметно

для

пользователя.

–

Банк

посылает

текстовое

сообщение

с

ОТР

на

мобильное устройство

клиента.

–

Вирус

ZitMo

пересылает

текстовое

сообщение

с

ОТР

на

телефон злоумышленника.

–

Злоумышленник

использует

ОТР

для

подтверждения

транзакции.

22

23

Сценарий

атаки

с

использованием

ZitMo

•

Хакер

ворует

логин

и

пароль, используя другую

вредоносную

программу

•

Хакер

заражает

мобильное

устройство пользователя

вирусом

ZitMo

•

Хакер

подсоединяется

к

программе

с использованием

ворованных

учетных

данных

через

компьютер

пользователя

и

запускает операцию, требующую

подтверждения

паролем, посланным

по

SMS

•

Пользователь

получает

на

мобильное устройство

SMS с

кодом

подтверждения

(ОТР). Вирус

на

устройстве

пересылает

SMS на

устройство

хакера

•

Хакер

вводит

код

и

подтверждает

транзакцию.

23

24

ZitMo: некоторые

имевшие

место

атаки

24

25

Ezio Suite –

системы

аутентификации

GemaltoСтрогая

аутентификация

в

банковском

приложении

с

широкой возможностью

выбора

устройств

и

архитектурыEzio Suite –

наиболее

гибкое

и

простое

для

развертывания

решение

ДБО

на

рынке

с

многочисленными

примерами

масштабных

внедрений.

Ezio Suite –

наиболее

гибкое

и

простое

для

развертывания

решение

ДБО

на

рынке

с

многочисленными

примерами

масштабных

внедрений.

Более

150

банков

Более

150

банков

ЕДИНЫЙ

СЕРВЕР

РАЗНЫЕ

КАНАЛЫ

ЕДИНЫЙ

СЕРВЕР

РАЗНЫЕ

КАНАЛЫ

ВСЕ

УСТРОЙСТВА

EZIO

РАБОТАЮТ

ОДНОВРЕ-

МЕННО

ВСЕ

УСТРОЙСТВА

EZIO

РАБОТАЮТ

ОДНОВРЕ-

МЕННО

ПОДДЕРЖКА

СТАНДАРТОВ: OATH,

CAP/EMV, PKI

ПОДДЕРЖКА

СТАНДАРТОВ: OATH,

CAP/EMV, PKI

Поставлено

70 млн.

устройств

Поставлено

70 млн.

устройств

25

26

У

Gemalto

есть

решения для

защиты

от

всех

видов

атак

TRANSACTION

VERIFICATION

УТВЕРЖДЕНИЕ

ТРАНЗАКЦИИ

В

КОНТЕКСТЕ

СТАТИЧЕСКИЙ

ПАРОЛЬ

УТВЕРЖДЕНИЕ

ТРАНЗАКЦИИ

ОДНОРАЗОВЫЙ

ПАРОЛЬ

CHALLENGE / RESPONSE

WHALING

ID THEFTKEY/SCREEN

LOGGING

PHARMING

PHISHING

MAN-IN-

THE-MIDDLE

MAN-IN-

THE-BROWSER

SHOULDER SURFING

SOCIAL ENGINEERING

CROSS CHANNEL ATTACKS

CONTRACTUAL

FRAUD

RELAYATTACK

26

27

…и

клиентам

можно

предложить

новые

сервисыДЛЯ

РАЗВИТИЯ

БИЗНЕСА

В

БЕЗОПАСНОЙ

СРЕДЕ

УТВЕРЖДЕНИЕ

ТРАНЗАКЦИИ

В

КОНТЕКСТЕ

CONTEXTUAL

SIGNING

СТАТИЧЕСКИЙ

ПАРОЛЬ

УТВЕРЖДЕНИЕ

ТРАНЗАКЦИИ

ОДНОРАЗОВЫЙ

ПАРОЛЬ

CHALLENGE / RESPONSE

WHALING

ID THEFTKEY/SCREEN

LOGGING

PHARMING

PHISHING

MAN-IN-

THE-MIDDLE

MAN-IN-

THE-BROWSER

SHOULDER SURFING

SOCIAL ENGINEERING

CROSS CHANNEL ATTACKS

CONTRACTUAL

FRAUD

RELAYATTACK

• Проверка

счета

• Проверка

счета• Перевод

средств• Индивидуальные

предложения• E-commerce

• Проверка

и

изменение

счета• Перевод

средств(трансграничный)

•

Получение

и

подписание

индивидуальных

предложений

(кредиты, ипотека

и

др.)• E-commerce

• Госуслуги

(e-Government)

27

28Marketing MEA

Банк

Barclays, Великобритания•

Используется

более

2

млн.

онлайн-

пользователей

•

+ 5 000 новых

ридеров

в

день

•

Клиентам

нравится!*

–

Более

безопасно

(68%)

–

Доступны

новые

сервисы

(16%)

–

Привлекательное

решение

(16%)

*результаты

опроса

•

Окупаемость

–

1 год

*Премия

лучшего

решенияпо

банковской

безопасностиBest Security/Anti-Fraud Development на

2008 UK Credit Card Awards

28

29

Клиенты

решений

EMV/CAP

Gemalto (выборка)

29

30

Преимущества

Gemalto•

Полная

линейка

продуктов

•

CAP/EMV-ридеры, USB-ридеры, USB-токены, ОТР-токены, решения для

ОТР

по

SMS, программное

обеспечение, карты…

•

Поставка

и

качество•

Современный

дизайн, соответствие

стандартам, собственные

производственные

мощности, клиенты

по

всему

миру, •

кастомизация, возможность

прямой

поставки

клиенту

•

ГАММА-КАРТ•

Поставка

со

склада

в

Москве

основных

позиций

продукции

Gemalto

•

Кастомизация, персонализация, упаковка•

Возможность

поставки

под

пилотный

проект

•

Дополнительные

продукты: принтеры, эмбоссеры, модули

HSM, программное

обеспечение…

30