Дистанционное банковское обслуживание (ДБО) — общий термин для технологий предоставления банковских услуг на основании распоряжений, передаваемых клиентом банку удаленным образом.
Интернет-банкинг становится все более популярным во всем мире, с каждым днем, количество операций совершаемых через интернет только растет, позволяя своим клиентам легко и удобно с помощью сети интернет управлять своими банковскими счетами из любой точки мира в любое время. Банки поддерживают эту тенденцию, т.к. задействовав интернет, они экономят свои ресурсы, например, такие как количество задействованного персонала, инвестиции в банкоматы, развитие региональной сети и другие эксплуатационные расходы. Тем не менее, поскольку интернет изначально не был разработан для интернет-банкинга, он сталкивается с широким спектром угроз в безопасности, как для банков, так и для конечных пользователей.
С развитием интернета увеличивается конкуренция в банковском обслуживании частных лиц, банки становятся еще более вовлеченными в высокотехнологичную область, делая упор на электронную коммерцию в предоставляемых услугах. Также повышаются требования клиентов, которые они предъявляют к банкам, такие показатели как удобство работы со счетами, быстрый доступ к банковским услугам и скорость их реализации требуют пристального внимания в конкурентной борьбе за потребителя. Именно в борьбе за клиента банки вводят новые функции и возможности в систему ДБО усложняя её, делая более динамичной. Но в погоне за конкурентом и новыми возможностями банки увеличивают риски нарушения безопасности и величину возможных финансовых потерь.
Одновременно с интернет-банкингом идет активное развитие мобильных технологий, которые расширяют возможности онлайн-банкинга делая его более мобильным, но и одновременно с этим открывают злоумышленникам новые возможности. Область приложений мобильного- банкинга несет немало потенциальных угроз, идущих от операционной системы, его окружения и самого пользователя.
Цель работы: Выявить и изучить основные угрозы и уязвимости дистанционного банковского обслуживания (ДБО), а также причины их возникновения.
Поставленная цель потребовала решения следующих задач:
1) проанализировать статистику по инцидентам нарушений контуров безопасности онлайн-банкинга;
2) провести подробную классификацию угроз ДБО;
3) разработать тестовый сайт онлайн-банкинга, на котором было бы возможно смоделировать и проанализировать уязвимости;
4) построить модель ДБО, включающую веб-сервер и сетевой экран, с целью практического ознакомления методами защиты веб-приложений и фильтрации трафика;
5) проанализировать возможности приложений по поиску уязвимостей в мобильных устройствах на основе ОС Android и iOS.
1. На основе анализа общедоступной статистики по инцидентам нарушений контуров безопасности онлайн-банкинга проведена подробная классификация основных уязвимостей дистанционного банковского обслуживания (ДБО). Наиболее значимыми уязвимостями являются:
1) межсайтовый скриптинг,
2) SQL-инъекции,
3) межсайтовая подделка запроса,
4) использование компонентов с известными уязвимостями,
5) недочеты системы аутентификации и хранения сессий,
6) неправильная настройка SSL сертификатов.
2. Построена сетевая модель взаимодействия клиента банка с системой ДБО на основе средства виртуализации VirtualBox. Модель включает виртуальные машины клиента (Windows 7) и сервера (Windows Server 2008 R2), защищаемого межсетевым экраном на базе специализированного дистрибутива ОС FreeBSD pfSense. Для настройки брандмауэра проанализирован трафик для каждого возможного клиента ДБО. Проведено подключение контентного фильтра SquidGuard, а также прокси сервера HAVP, осуществляющего фильтрацию вирусов.
3. Создана модель сайта онлайн-банкинга, имеющего стандартные формы аутентификации пользователей и средства управления учетными записями. Для реализации сайта установлен HTTP-сервер Apache 2.0 и СУБД MySQL. Показано применение методов выявления уязвимостей на примере угроз:
1) отраженный и хранимый XSS,
2) инъекция в базу данных MySQL,
3) выполнение неинициированных пользователем команд ОС,
4) межсайтовая подделка запросов.
4. Проведен анализ безопасности применения мобильных устройств на ОС iOS и Android в мобильном банкинге. В результате было выявлено:
1) безопасность приложения мобильного банка зависит от безопасности самой системы в которой оно используется;
2) большую угрозу несут приложения, имеющие доступ к SSL сертификатам;
3) привязка сессии к SIM карте производится лишь малым числом банков;
4) некоторые установленные приложения могут обращаться к незаявленным функциям системы для получения несанкционированного доступа к данным мобильного банкинга, например, получать доступ к выпискам или снимать информацию со скриншотов.
Для поиска уязвимостей в мобильных системах рекомендуется использовать специальные приложения, осуществляющие сканирование устройства на наличие уязвимостей, например Stagefright Detector, iScan Online, Bluebox Security Scanner или Recap.
Помощь студентам и аспирантам в выполнении работ от наших партнеров
