Развитие отечественной программной и аппаратной защиты для удовлетворения потребности НСПК

Наша страна сегодня существует в период санкций, которые на нее возлагаются, и ведет экономику к удорожанию зарубежных продуктов или к запретам на их использование. Конечно, такая ситуация ведет к тому, что заказчики ИТ-продуктов и ИБ-услуг стали больше интересоваться отечественными решениями, для некоторых зарубежных систем появились российские аналоги. Безусловно, в каких-то областях российские технологии пока еще уступают по некоторым характеристикам зарубежным решениям. В тоже время не все западные или американские технологии не могут использоваться госорганами, банками или на каких-либо важных объектах по причине того, что данные системы не прошли российскую систему сертификации.

Если ситуация в экономике России в ближайшие годы не измениться, то компании добровольно будут переходить на отечественные технологии. Хотя инфраструктура многих компаний строится на зарубежных решениях, которые невозможно вынуть из бизнеса и заменить отечественными аналогами, а значит зарубежные решения будут еще долго существовать, обслуживаться, обновляться и продлевать свою подписку. Однако интенсивное импортозамещение можно ожидать в госорганах, топливно-энергетических комплексах, а также космическом секторе [41].

В данном пункте речь пойдет о национальной системе платежных карт (НСПК) - это целый национальный центр, который проводит операции по банковским картам в России и оперирует национальной платежной системой «Мир».

Первоначально задумка Правительства была создать универсальную карточку, которая заключала в себе банковскую карту, паспортные данные, данные ключевых документов личности, электронная подпись (ЭЦП), проездные на общественный транспорт и тд. Данный проект стартовал в 2010 году и назывался «Универсальная электронная карта» (УЭК). Исполнителем проекта был Сбербанк, и выдача карт планировалась в начале 2014 года, но затем оказалось, что отечественной альтернативой Visa и MasterCard нет и кризисные отношения между Россией и Западом показали, что у УЭК нет перспективы, а вся банковская система зависит от западных решений.

Поэтому Владимир Путин заявил, что мы должны брать пример с Японии или Китая, где есть собственные бесперебойно работающие системы платежей. В связи с этим Владислав Резник - Первый зампред комитета Госдумы по финансовому рынку внес законопроект «О национальной платежной системе».

В результате 5 мая 2014 года был принят закон 112-ФЗ по которому создается НСПК, которая позволяет переводить денежные средства внутри страны. 319-ФЗ гласит, что все операции с использованием международных платежных карт в РФ должны проводится с использованием инфраструктуры НСПК. Конечно, ответственным за реализацию был Центральный Банк.

Интересен тот факт, что НСПК создана на базе технологий OpenWay Servise - известный в банковской сфере бельгийский разработчик карточной и процессинговой технологии Way4, но официальным поставщиком решения выступает ООО «Опенвей решения» - российская компания. Минимум четверть ПО в национально значимых платежных системах должны быть разработаны российскими компаниями и, соответственно, принадлежать им. Все исходные коды принадлежат НСПК, но при этом при разработке ПО приобретали лицензию на использование языка Java (Oracle).

По МСФО НСПК за два года окупилась на 90% (рис 23) Чистая прибыль в 2016 году равнялась 2,6 млрд, что на 1,4 млрд больше по сравнению с 2015 годом. За два года чистая прибыль составила 3, 8 млрд руб, что составляет 90% от суммы, которая была затрачена на создание системы. В 2017 году объем выручки увеличился на 1,7 млрд в связи с развитием безналичных платежей и подключением новых участников к платежной системе. В конце 2017 года НСПК российские бани выпустили более 30 млн карт «Мир». Расходы компании в 2017 году по сравнению с 2016 увеличилось на 26,7%, что связано с увеличением услуг, которые предоставляет компания, увеличением сервисов, которые предоставляются международным платежным системам и банкам-партнерам системы «Мир» [42].

Рисунок 23 Выручка и прибыль по МСФО НСПК (ты сруб)

Еще в 2014 году карта «Мир» начала внедряться в тех банках, которые были отключены от международных платежных систем. В 2015 году карты начали выдаваться пользователям, а в конце 2017 года уже около 200 российских банков выдают карты «Мир».

Пользователи отмечают, что карта ничем не отличается от Visa или MasterCard, она выполняет абсолютно те же функции (внесение, выдача денежных средств, оплата в магазине, перевод средств).

К плюсам карты «Мир» можно отнести:

· Бесплатный выпуск карты (хотя большинство банков не берет плату за выпуск карты);

· Дешевые тарифы обслуживания;

· Безопасность оплаты (наличие российского чипа MIK51SC72D, который защищает от копирования карты, реализует технологию безопасной оплаты);

· Широкая сеть применения карт (карта «Мир» существует не так долго, но уже принимается во многих торговых популярных точках на территории России, за рубежом карта используется как карта международной платежной системы и не принимается, хотя сейчас банки и могут выпускать «Мир»-Maestro, но возможности таких карт опять таи ограничен и в ближайшее время планируются переговоры о выпуске кобейджинговых карт «Мир»-Masercard);

· Бесконтактная технология;

· Программа лояльности «Привет, МИР!» (возврат с покупок 15%, но не во всех регионах);

Также в ближайшее время планируется использование технологии NFC - расплачиваться с помощью смартфонов [43].

Когда речь идет о безопасности систем платежных карт, то весь мир использует аппаратные модули - HSM (Hardware Security Module), которые осуществляют криптографическую обработку данных владельцев карт, а также защиту и управление криптографическим ключом. К обеспечению безопасности систем платежных карт предъявляются очень высокие требования, ведь система осуществляет массовое обслуживание, что предполагает постоянно повышение мощности средств криптографической защиты и быстрых вычислений. В связи с этим на российском рынке до сих пор не было решений, отвечающих на все требования, поэтому лидерами рынка HSMявляются иностранные компании. Единственным аналогом зарубежных аппаратных криптомодулей стал VipNet YSM PS, разработанный «Инфотекс».

В 2015 ЦБ РФ, ФСБ и НСПК утвердили дорожную карту, где подробно расписывается внедрение использование HSM в национальной платежной системе.

Согласно данной карте, применение импортных HSM могут привести:

· К несанкционированному управлению ключами, отзыву сертификатов, а также работе на договорных ключах;

· Нарушению функционирования национальной платежной системы даже на территории РФ;

· К несанкционированному доступу к информации национальной платежной системы в связи с отказом предоставления услуг;

· К навязыванию иностранных технологий и темпы развития;

· К несанкционированному доступу к информации национальной платежной системы в связи с нарушением работоспособности в виду известности уязвимостей зарубежной криптографии;

· К нарушению работоспособности НПС по причине замкнутости системы и отсутствия возможности планировать угрозы;

· К проблемам, связанным с несоответствием российского законодательства РФ в области ИБ.

Отечественные HSM реализуют при построении НСПК следующие принципы:

· Берут во внимание угрозы актуальные для НПС;

· Управление ключами и сертификатами, которые располагаются на территории РФ;

· Использование отечественной криптографии;

· Все устройства, которые разрабатываются для НПС, обязательно сертифицируются в российской системе;

· Поэтапное импортозамещение.

Для создания НСПК реализуются следующие этапы:

1. Создание отечественных HSM по функционалу полностью аналогичные импортному оборудованию, обеспечивающему безопасность платежных транзакций, но с использованием отечественных киптоалгоритмов (обеспечение хранения ключей и персональных данных, а также удаленного управления устройством), а также перешифрование информации с импортных киптоалгоритмов и ключей на отечественные.

2. Реализация дополнительных команд, трехуровневой PKI инфраструктуры, корневого УЦ НПС (аналога УЦ МПС Visa или MasterCard) в отечественном оборудовании.

3. Доработка процессинговых систем, разработка приложений для терминальных устройств, разработка чиповой карты с поддержкой на аппаратном уровне импортных и отечественных криптоалгоритмов, разработка российского платежного приложения, встраивание отечественной криптографии в стандарт EMV.

4. Использование двух систем криптографии и выбор одной из них в зависимости от платежного приложения, использование в национальном платежном приложении отечественную криптографию, а в международном - зарубежную, создание платежной системы, которая способна работать на российском сегменте в виде национальной платежной системы, так и в международной системе как российская платежная система.

Схема замены импортных на отечественные алгоритмы криптографии (табл 5):

Таблица 5. «Замена импортных на отечественные алгоритмы криптографии»

Примеры команд HSM (табл 6)

Таблица 6. «Примеры команд HSM»

VipNet YSM PS построен на токенной архитектуре изделия, что является надежной криптографической платформой, которая обладает высокой производительностью.

Один из российских банков проводил тестирование программного-аппаратного комплекса VipNet HSM PS, в результате которого выяснилось не только функциональное соответствие зарубежным продуктам, но и была замечена более высокая производительность (по операциям подписи ГОСТ Р 34.10.2001 и ГОСТ Р 34.10.2012 производительность доходила до 35 тысяч операций в секунду).

Не смотря на свою низкую стоимость по сравнению с зарубежными аналогами VipNet HSM PS является вполне надежной защитой для эмиссии банковских карт и обработки операций.

Программно-аппаратный комплекс ViPNet HSM PS реализует различные криптографические алгоритмы, среди которых ГОСТ, RSA и 3DES и может успешно применяться для решения большого числа задач. ViPNet HSM PS используется для обработки платежных транзакций в соответствии с зарубежными и отечественными протоколами и криптоалгоритмами, а также для поддержки эмиссии платежных карт, предназначенных для использования как в национальной, так и в международных платежных системах. Кроме того, ViPNet HSM PS поддерживает необходимую функциональность в соответствии со спецификациями EMVCo.

Заключение