ВОПРОСЫ БЕЗОПАСНОСТИ МОБИЛЬНОГО ЭКВАЙРИНГА M4Bank.MPOS

1. ВОПРОСЫ БЕЗОПАСНОСТИМОБИЛЬНОГО ЭКВАЙРИНГАM4Bank.MPOS апрель2013 г. Ермаков Александр Ивановичтехнический директор, ООО «Центр корпоративных технологий»

2. О компании ООО «Центр корпоративных технологий» • Основана в начале 2011 года. • Специализация: разработка и поставка мобильных корпоративных решений. • Цель Компании – делать качественные инновационные продукты. • Штат Компании около 20 человек. Штаб квартира в Москве. Офисразработки в Витебске. • Начало разработки mPOS – июнь 2012 года. • Декабрь 2012 – запуск первого проекта In-house в России с МКБ. • В процессе регистрации в программах VISA Ready и MasterCard Mobile POS Program.

3. Что такое мобильный эквайринг? • Эквайринг: Процесс приема и обработки банком-эквайрером платежной информации с банковских карт для оплаты товаров и услуг. Осуществляется путем установки на торгово-сервисное предприятие (ТСП) специального оборудования - POS-терминала. • Мобильный эквайринг: Эквайринг, при котором в качестве POS-терминала используется мобильный терминал - смартфон и подключенный к нему считыватель карт (кард-ридер).

4. Что такое мобильный эквайринг? • Достоинства мобильного эквайринга • Дешевизна решений • Мобильность решений • Гибкость (простота доработок) решений • Проблемы мобильного эквайринга • Критическая важность обеспечения безопасности • Организационная нечеткость схем

5. Мобильный терминал

6. Архитектура решения M4POS от ООО ЦКТ

7. Основные производственные операции • Мобильный терминал • Регистрация мобильного терминала • Оплата товара/услуги • Отмена оплаты • Возврат товара/услуги • Закрытие операционного дня (сверка; балансировка терминала) • Реестр текущих операций • Сервисные процедуры (смена пароля, связь с банком, справка) и т.д.)

8. Оплата товара/услуги

9. Оплата товара/услуги

10. Оплата товара/услуги

11. Оплата товара/услуги

12. Оплата товара/услуги

13. Оплата товара/услуги

14. Оплата товара/услуги

15. Оплата товара/услуги

16. Основные производственные операции • Административное приложение Системы • Заведение пользователей • Формирование/редактирование объектов (фирмы, банковские терминалы, считки) • Настройка параметров (в т.ч. лимитов операций) • Формирование/просмотр/сохранение/печать отчетов

17. Основные производственные операции

18. Основные производственные операции • Административное приложение Фирмы (ТСП) • Заведение операторов • Настройка собственных объектов (банковские терминалы, считки, лимиты (частично)) • Формирование/просмотр/сохранение/печать отчетов по фирме

19. Основные производственные операции

20. Вопросы безопасности • Обеспечение безопасности мобильного эквайринга • Безопасность считки и карты • Безопасность передачи данных между считкой и мобильным приложением • Безопасность мобильного приложения и смартфона • Безопасность передачи данных между мобильным терминалом и сервером • Безопасность сервера • Безопасность размещения в Банке

21. Вопросы безопасности • Безопасность считки и карты • Защищенное криптографическое устройство (Securecryptographicdevice (ISO 13491)) • Обработка критических данных – внутри устройства • Все операции со считкой – через аппаратное (firmware) API

22. Вопросы безопасности • Безопасность считки и карты – считки для карт на основе магнитной полосы • Магнитная полоса – только в шифрованном виде • Управление ключами – DUKPT или DES/TDES • Внесение/изменение ключей – в защищенной среде • Энергозависимые/энергонезависимые • Проблема: поддержка различных смартфонов (Android)

23. Вопросы безопасности • Безопасность считки и карты – считки для микропроцессорных карт (беспиновые) • Цикл EMV-транзакции • Управление ключами – PKI (RSA) и TDES • Внесение/изменение ключей – в защищенной среде • Важна сертификация EMV Level 1

24. Вопросы безопасности • Безопасность считки и карты – считки для микропроцессорных карт (с поддержкой ПИН-кодов)(мобильные ПИНпады) • Полная поддержка EMV-транзакций • Управление ключами – PKI (RSA) и TDES; мощный криптопроцессор • Интерфейсы – USB, Bluetooth • Внутреннее приложение (Firmware) – сертификации: EMV Level2, PA-DSS

25. Вопросы безопасности Мобильные ПИНпады

26. Вопросы безопасности • Безопасность передачи данных между считкой и мобильным приложением • Зависимость от разъема: • Аудио не требует специальной защиты • USB, Bluetooth - рекомендуется шифрование канала

27. Вопросы безопасности • Безопасность мобильного приложения и смартфона • Проблема jailbreak’ов • Проблема распространения приложений через магазины (Google Play, Apple App Store) • Сохранение данных во внутреннюю память телефона (домен безопасности приложения) под шифрованием • Организационные меры защиты

28. Вопросы безопасности • Безопасность передачи данных между мобильным терминалом и сервером • Передача данных – всегда через публичные сети (Интернет) • Шифрование канала по SSL • Рекомендуется использование клиентских сертификатов (помимо серверного) • Возможно дополнительное шифрование данных ключом приложения

29. Вопросы безопасности • Безопасность сервера • Выполнять требования PCI DSS • Использовать аппаратные модули безопасности (HSM) для генерации и хранения ключей и выполнения криптографических процедур в ходе онлайновых транзакций • Общие требования политики безопасности (сменяемость паролей, разграничение прав администраторов, и т.д.)

30. Вопросы безопасности • Безопасность размещения в Банке • Тщательная защита точки входа (DMZ) • Анализ защищенности канала при SSL-терминации • Обеспечение безопасности выхода в Интернет (получение геолокационных данных) • Обеспечение безопасности соединения с терминальным хостом • Общие правила организационной безопасности

31. Вопросы ? • Спасибо за внимание! • Ермаков Александр Иванович • Технический директор, ООО «Центр корпоративных технологий» • ermakov@centercorptech.net, ae@m4bank.ru • http://www.m4bank.ru • апрель 2013 года