Обеспечение доверенной визуализации подписываемых электронной подписью документов – как не допустить фальсификации ИНФОФОРУМ-2013 г. Москва, 5 февраля 2013 г. Генеральный директор Андрей Голов

Глобальная проблема 2 Применение электронной подписи для заверения документов породило желание подделывать такие документы с сохранением значимости подписи Способы подделки электронных документов эволюционируют быстрее, чем способы противодействия им Пользователи мало озабочены «здоровьем» своих компьютеров Carberp, Zeus, SpyEye и др. – реальная угроза для систем дистанционного банковского обслуживания

Типовые сценарии 3 Кража секретного ключа пользователя с незащищенного носителя при помощи вредоносной программы и выполнение действий от имени пользователя на другом компьютере Кража секретного ключа пользователя из оперативной памяти (при использовании защищенного носителя) и выполнение действий от имени пользователя на его компьютере (удаленное управление или автоматическое создание документов) Подмена реквизитов документа непосредственно перед подписанием

Масштабы бедствия 4 Источник: отчет Group-IB «Рынок киберпреступности в России–2011»

Варианты противодействия 5 Единственная технология, которая сейчас успешно противостоит новым типам атак – Trusted Screen со встроенной криптографией: Доверенное отображение документа перед подписанием Обязательное ручное подтверждение подписи Реализация функции подписи вне потенциально зараженной среды

Преимущества и недостатки 6 Преимущества: Пока нет способов обхода Недостатки: Дополнительное аппаратное устройство Использование дорогих токенов/смарткарт с криптографией на борту Небольшой размер экрана для доверенного отображения

Альтернативное решение 7 Новое решение компании «Код Безопасности» Jinn – технология доверенной визуализации и подписи электронных документов: Реализация доверенной среды даже на зараженных компьютерах (защита от кражи ключей с носителей или из оперативной памяти, защита от перехвата паролей доступа к ключевым контейнерам и т.п.) Невозможность подписания платежного документа без участия легального пользователя Выявление подмены содержимого документа перед подписанием и отказ от подписи подложного документа

Принципиальные отличия Jinn 8 Доверенная среда для отображения документа и выполнения криптографических функций создается непосредственно на компьютере пользователя без применения дополнительных устройств Все вычисления производятся на изолированных ядрах процессора, недоступных операционной системе Микрокод доверенной среды и ключи пользователей хранятся непосредственно в памяти выделенных ядер процессора Для отображения документов используется монитор компьютера

Схема встраивания в систему ДБО 9 В состав решения входят все необходимые для интеграции в систему ДБО компоненты

Как Jinn защищает АРМ ДБО 10 Пользователь загружает АРМ ДБО с флэш-диска: Одно из ядер процессора изолируется от остальной системы и используется для реализации функций защиты непосредственно в память ядра загружаются микрокод доверенной среды и ключи пользователя После удаления флэш-диска загружается операционная система, которая «не видит» выделенное ядро

Как работает Jinn 11 После формирования в системе ДБО платежного поручения пользователь нажимает «Подписать»: Jinn переключает компьютер в доверенную среду и отображает документ на экране компьютера Пользователь контролирует неизменность документа и подтверждает разрешение на подписание Jinn формирует электронную подпись и возвращает управление операционной системе Клиент ДБО принимает подписанный платежный документ и отправляет его в обработку

Как работает Jinn 12

Совместимость 13 Доверенная среда технологии Jinn работает на процессорах Intel и AMD, имеющих 2 и более ядер процессора (выпускаются с 2006 г.) Обеспечивается возможность использования существующих сертификатов пользователей, выданных удостоверяющими центрами, реализующими ГОСТ Р и ГОСТ Р Поддерживаемые форматы электронной подписи: –CMS –XML-Dsig

Преимущества технологии Jinn 14 Реализация Trusted Screen со встроенной криптографией без дополнительных аппаратных устройств Использование монитора компьютера пользователя для удобного просмотра всего подписываемого документа Возможность применения обычных незащищенных носителей без ущерба для безопасности Простота встраивания в уже функционирующие системы

Пилотные проекты с Jinn 15 Один из известных разработчиков ДБО – встраивание технологии Jinn в распространенное решение на рынке ДБО Проект федерального масштаба – встраивание технологии Jinn в подсистему обеспечения юридической значимости электронного документооборота

Возможности для сотрудничества 16 Для разработчиков систем ДБО и банков – дополнительные выгоды для клиентов и снижение уровня мошенничества, совершаемого при помощи вредоносных программ, за счет повышение защищенности систем ДБО Для производителей систем ЭДО и интеграторов – предоставление клиентам решений, обеспечивающих юридическую значимость электронных документов

Андрей Голов Генеральный директор ООО «Код Безопасности» Тел.: +7(495) Спасибо!