О роли аутентификации в электронном бизнесе
Февраль, 2004
О роли аутентификации в современных информационных системах поддержки электронного бизнеса.
Электронному бизнесу характерно удалённое взаимодействие пользователей и ресурсов при минимальном очном контакте покупателя с продавцом — поэтому одни из важнейших задач распределённых систем: идентификация и аутентификация. Группы взаимодействия (и, соответственно, задач аутентификации):
- B2E (бизнес для предприятия) — внутрикорпоративная система: для сотрудников аутентификация даёт доступ к распределённым приложениям с интеграцией между ними и заданными требованиями безопасности;
- B2C (бизнес для потребителя) — электронные магазины и организации, торгующие через Интернет: важна взаимная аутентификация сервера и пользователя (каждый уверен в другом) и принцип “неотказуемости” покупателя, осуществившего заказ;
- B2B (бизнес для бизнеса) — торговые отношения между фирмами: поставки, продажи, согласование контрактов. Развивается и B2G — электронные госзаказы.
Общие требования к аутентификации во всех видах электронного бизнеса: надёжность минимум двухфакторного механизма; цифровые сертификаты Х.509 как основа управления доступом; российские криптомодули ЭЦП; малые габариты и простота персонального идентификатора; развитая система публичных УЦ; надёжные средства электронных платежей.
Составляющие электронного бизнеса. Электронный бизнес (по определению из Яндекс/EDI-Press) — бизнес на ИТ для оптимального взаимодействия деловых партнёров и интегрированной цепочки добавленной стоимости (продажи, маркетинг, финансовый анализ, платежи, найм, поддержка). С точки зрения ИБ наиболее уязвимы платежи, продажи, финансовый анализ и партнёрские отношения:
- ERP — по сути, первый шаг предприятия к B2B; вокруг системы создаются приложения электронной коммерции (мировой рынок удваивается за 4 года, к 2004 г. — 40–45 млрд USD). На смену электронной коммерции идёт Collaborative Commerce и концепция ERP II (управление ресурсами и внешними связями). ERP содержит конфиденциальную информацию с строго регламентированным доступом, а изменения и копирование данных могут принести прямой урон; актуально и требование доступа из любой точки мира, включая “недоверенную” среду (интернет-кафе, аэропорт) — прежде всего для VIP-персон.
- SCM (управление цепочками поставок) — постоянно обновляемая информация о статусе заказов и перемещении товара, сроки отгрузки и доставки. Стоимость обработки заказов достигает 70–90% стоимости закупки; такая информация стратегическая и является объектом вожделений конкурентов (шпионаж в области деловых секретов — одна из самых недооценённых угроз, по Siemens). Защищённый доступ решается прежде всего “правильной” аутентификацией.
- e-Commerce + CRM — коммерческая информация конфиденциальна, потеря клиентской базы и истории взаимоотношений порой критична для бизнеса.
Российский рынок. Пользователей Интернета — миллионы, платёжных систем — сотни тысяч; объём электронной торговли 500–900 млн долларов, более половины — B2C (в мире B2B на порядок больше — развитие идёт “своим путём”); в совокупном товарообороте страны — около 0,2%. Средняя покупка — более 100 долларов (США — 230); самый популярный метод оплаты — “наличными курьеру” (почти 90% магазинов). Крупные торговые системы с интернет-площадками: электронная торговля — не более 5–7% оборота из-за отсутствия доверия.
Как повысить доверие? Необходимы: законодательное регулирование (электронные договоры должны признаваться судами и органами власти); страхование интернет-сделок; нормативное техническое регулирование — унифицированные стандарты, протоколы и средства защиты на общепризнанной платформе; развитие интернет-банкинга (пользователь должен иметь один универсальный персональный идентификатор с надёжно хранимыми сертификатами и ЭЦП); развитое информационное обеспечение (информации страницы магазина недостаточно для решения о покупке).
Зрелость решений. Самый распространённый способ — асимметричное шифрование на базе инфраструктуры открытых ключей, но не у всех разработчиков есть кадры, корректно применяющие современные способы без “дыр”. Аксиома безопасности: защищённость системы определяется самым слабым звеном. По мере ощутимых финансовых потерь разработчики переходят на цифровые сертификаты Х.509 (третья сторона удостоверяет валидность, аутентичность подписи и неотказуемость; временные метки и синхронизация времени дают гарантированную доставку юридически значимых документов). Сравнение протоколов: SSL отслеживает лишь две конечные точки “канала” (покупатель — продавец); SET — аутентификация и полный контроль всех участников транзакции (владелец карты, продавец, банк) и механизма платежа: покупки так же безопасны, как картой в магазине, и есть предпосылки для снижения комиссий.
Применение Х.509. Использование сертификатов означает строительство инфраструктуры открытых ключей. Удобство управления: при компрометации подписи или невыплате лицензионных платежей сертификат клиента можно приостановить, отозвать или признать недействительным. Критично: закрытый ключ должен храниться в защищённом отчуждаемом носителе (смарт-карта или eToken) с записью в защищённую часть чипа. Публичные УЦ уже дают положительный опыт вплоть до электронных госзакупок: в Кемеровской области — 1739,3 млн руб. (30–35% объёма госзакупок), Новосибирской — 1599 млн (60–70%), Краснодарском крае — 102 млн (4–5%). АИС ГЗ Санкт-Петербурга (компания “Комита”, ЭЦП удостоверяющего центра Санкт-Петербурга) — первая в России государственная система юридически значимого электронного документооборота с ЭЦП.
Аутентификация — составная часть организации доступа во все системы электронного бизнеса; технологии на базе Х.509 отвечают современным требованиям, дают мобильность пользователей без снижения защищённости и могут вывести электронный бизнес на новый виток — через доверие.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: Документальная электросвязь, февраля 2004
Эксперт: Алексей Сабанов, Аладдин