Bankir.Ru
4 декабря, воскресенье 13:14

Объявление

Свернуть
Пока нет объявлений.

Терминальный софт, функциональность и фичи

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Терминальный софт, функциональность и фичи

    Решил создать новую тему, после моего постинга в http://dom.bankir.ru/showthread.php?s=&threadid=17319
    (POSтерминализация. Последняя верста ) пришло несколько вопросов, в частности касающихся и нашего решения по шифрации трафика с терминалов, для снижения вероятности мошенничества.

    vladvv с форума Банкир.Ру ( http://dom.bankir.ru), Fri, 29 Mar 2002 15:44:44 +0300 (MSK):

    А как вы решили вопрос с шифрованием со стороны Elite?
    Если можно, поподробнее этот вопрос или в конфе, или письмом
    .
    Чтобы не плодить офф-топик в вышеуказанной теме, отвечу здесь..

    Приступим:

    Шифрование трафика у нас реализовано для протокола ISO8583, хотя
    применить этот же метод можно и к другим протоколам.

    Шифруются все тела пакетов, в основе лежит алгоритм DES (сейчас
    дорабатываем и на основе 3DES). При шифровании используется сессионный
    ключ, который генерируется новый для следующего пакета.

    В качестве сервера удаленного доступа для POS-терминалов, мы работаем с Ingenico Elite, используется софтина GM100(DB+) или GM100SE, которые нами же и написаны.
    Весь софт мы пишем под NT/2000.
    Шифрация трафика на участке "POSтерминал-точка доступа в корпоративную сеть (GM100/100SE)", позволяет сильно затруднить съем и "понимание" информации мошенником в открытых сетях (телефонные линии, возможно телефонные станции и т.д.).

    Для реализации полной схемы шифрования, т.е. полностью, от терминала до Процессинга, включая и шифрование трафика в корпоративной сети банка, применяется еще один модуль GS1000 (софтовый модуль для шифрации/дешифрации, устанавливается в "безопасной зоне" на ПЦ).

    Вот основные варианты использования:

    1. Зашифрованный трафик от ПОСа поступает на GM100 (он находится в
    отделении банка) дешифруется, обрабатывается, снова шифруется и передается
    на GS1000 (он находится на ПЦ). На GS1000 дешифруется и передается на фронт модуль. От фронт модуля приходит
    ответ, шифруется и передается на GM100, там дешифруется обрабатывается
    снова шифруется и передается на ПОС.

    2. Зашифрованный трафик от ПОСа поступает на GM100, дешифруется и
    далее по корпоративной сети в открытом виде на ПЦ. Обратно
    соответственно.

    3. Зашифрованный трафик от ПОСа поступает на GM100SE (это Secure
    Edition обычного GM100 и он может находится хоть в супермаркете)
    _НЕ_ДЕШИФРУЕТСЯ_, а в таком же виде отправляется на GS1000. Там
    дешифровывается и на ПЦ. Обратно соответственно.
    4. Зашифрованный трафик от ПОСа поступает на GM100SE (он, например, находится в супермаркете), _НЕ_ДЕШИФРУЕТСЯ_ а в таком же виде отправляется на GM100 (он находится в отделении банка) на нем дешифруется и далее либо как в п.1. или п.2.

    GM100(DB+)
    Препроцессинговая система.
    - 16 входных линий (модемы, радио-пады, прямое соединение через RS232,
    и вообще что угодно с async RS232)
    - Протокол на входе ISO8583 over HDLC, на выходе ISO8583 over TCP
    - Может иметь модуль базы данных (он же DB+)

    GM100SE (Secure Edition)
    Защищенный шлюз в TCP/IP
    - 16 входных линий (модемы, радио-пады, прямое соединение через RS232,
    и вообще что угодно с async RS232)
    - Протокол на входе ISO8583 over HDLC, на выходе ISO8583 over TCP
    - никаких баз данных!

    GS1000
    Сервер - шифратор/дешифратор
    - На вход TCP/IP на выход TCP/IP

    Все это очень коротко. Естественно есть подробная инфа.

    Даю ссылочку на описание: http://www.bkc.com.ua/bkc/product.asp?cid=14
    пока еще наполняем, новый сайт только запустили.

  • #2
    В ответ на приходящие нам мыльницу вопросы поясняю: в описании серверов удаленного доступа, я везде указывал что возможно одновременно использовать 16 входных линий (16 портов RS232) на сервере удаленного доступа.

    Данная цифра является немного неправильной - теоретически возможно одновременное использование 255 входных линий на одном сервере GM100 или GM100SE.

    А практически - столько, сколько удастся впихнуть RS-портов на мультипортовках в компьютер

    Сейчас поставляются программы серверов доступа POS-терминалов с разрешенным одновременным использованием 127 (сто двадцать семь) портов RS232 на одном компьютере.
    На наш взгляд - это более, чем достаточно...
    Кому нужно будет больше - дадим версию с поддержкой большего количества портов

    Еще нами выпущена программка RS2IP, которая позволяет в некоторых случаях обойтись без маршрутизатора типа CISCO.

    В двух словах: Существует очень распространенный способ включения POS-терминалов через сетевой контроллер CISCO. К RS232 киски подключают модемы, радио-пады или терминалы порт-в-порт. Все хорошо, но несколько дороговато, особенно когда порты закончились, а еще одна линия ой как нужна.
    В таких случаях есть хорошая, на наш взгляд, альтернатива - cофтина RS2IP (под NT/2000).
    С помощью этой штуки можно сделать, так сказать, Mapped Link конкретного
    RS-порта с конткретным IP:Port.

    Т.е. создается своего рода "труба" в дуплексном режиме. Получается значительно дешевле из расчета на один порт, чем при решении на CISCO.

    Комментарий


    • #3
      Что еще можно добавить? Можно добавить, что аналог утилиты RS2IP очень удобно иметь хотя бы для тестовых прогонов терминального ПО. И что для разработчиков терминального ПО было бы хорошим тоном добавлять в список утилит подобные вещи. Особенно учитывая особенности самих терминалов и реализованных для них протоколов. Так, наш аналог com2tcp предусматривает возможность связи с терминалом по двум из поддерживаемых терминалом протоколам соединения - в зависимости от аппаратных возможностей терминала или уже имеющегося комплекта соединительных кабелей.

      Комментарий


      • #4
        SD

        > ПО было бы хорошим тоном добавлять в список утилит подобные вещи.

        Раз пошла такая пьянка....
        В Золотой Короне подобный пакет называется funram, реализован под
        - Win32
        - WinNT
        - DOS
        - SCO Unix
        - UnixWare
        - OS/2
        С уважением,
        ==========

        Комментарий


        • #5
          SD

          Так, наш аналог com2tcp предусматривает возможность связи с терминалом по двум из поддерживаемых терминалом протоколам соединения - в зависимости от аппаратных возможностей терминала или уже имеющегося комплекта соединительных кабелей.

          Можно подробней? Какие именно протоколы вы имеете ввиду?

          EUgeneUS

          Вы имеете ввиду аналог GM100DB+ или RS2IP?

          Комментарий


          • #6
            rost7
            Два протокола - один с использованием дополнительных сигналов состояния коммуникационного порта, другой - без использования сигналов состояния. На нашем терминальном ПО для этого подходят протоколы "Direct" и "Leased line" соответственно. Трафик обмена данными можно получить как на экран, так и в файл. Для ознакомления распространяется trial версия.

            Комментарий


            • #7
              rost7

              RS2IP

              SD

              Называть включение-выключение аппаратного флоу-контроля и модемных сигналов разными протоколами - это нЕчто. Скоро распайка кабелей будет влиять на количесво протоколов

              С уважением,
              ============
              С уважением,
              ==========

              Комментарий


              • #8
                rost7

                Создание терминального сервера на специальном ПО, как вы это делаете на GM100(DB+), в Золотой Короне не нужно. Чтобы пул модемный обработать, обычно Циску ставят. Если Циска дорого - тарминальный сервер на указанных операционных системах + funram.
                Кстати, funram под Солярис не существует только по одной причине - под Солярисом подобные задачи решаются системными средствами.

                С уважением,
                ===========
                С уважением,
                ==========

                Комментарий


                • #9
                  EUgeneUS
                  Тем не менее это является разными протоколами установления сеанса связи. Флоу-контрол тут непричем.

                  Комментарий


                  • #10
                    SD

                    Ссылочку на стандарт дайте, где указывается, что это разные протоколы , и названия "различных" протоколов.

                    Кстати, а чего это вы флоу-контроль за еще один протокол не признаете? А то как было бы круто - сразу четыре протокола поддерживаются:

                    Код:
                                1-й  2-й  3-й  4-й
                    ====================
                    DCD          +    -    +   -
                    RTS/CTS      +    -    -   +


                    С уважением,
                    ===========
                    С уважением,
                    ==========

                    Комментарий


                    • #11
                      EUgeneUS
                      А что Вы подразумеваете под словом "это" ? Во фразе "это разные протоколы"? То, что Вы придумали под "это", или то, что реально есть? То, что я назвал разными протоколами - и является разными протоколами. Может Вы уже видели описание этих протоколов?
                      Каково будет Ваше определение протокола, флоу-контрол? Дайте ссылочку на Ваше определение? Честно говоря, вызывает глубокое удивление Ваше поведение.
                      Со своей стороны оффтопный флейм прекращаю.

                      Комментарий


                      • #12
                        Flow control тут действительно не причем. Просто существует две распространненых схемы null-модемных кабелей, соответсвенно есть различия в логике работы с портами в этом случае. Пртоколами это, возможно, именуется в библиотеке, которуе использовали при написании com2tcp. Так что спорить тут неочем.

                        EUgeneUS

                        GM100DB+ не является функциональным аналогом киски. Он имеет некоторую логику на уровне финансового протокола и много других моментов.

                        Где почитать про funram?

                        Какой протокол канального уровня используют ваши терминалы в случае подключения к киске?

                        Комментарий


                        • #13
                          SD
                          Для ознакомления распространяется trial версия.
                          Где эту софтину можно посмотреть?

                          beetle2
                          cофтина RS2IP (под NT/2000).
                          или эту?

                          Комментарий


                          • #14
                            rost7
                            Тут дело в следующих моментах
                            - tcp соединение не является постоянным.
                            - порт терминала может не иметь сигналов состояния.
                            - возможно, парк терминалов уже снабжен кабелями, не использующими cигналы состояния.
                            - терминальное ПО уже имеет предопределенные протоколы связи
                            Наше дело - подстроиться под эти варианты. Оказалось достаточным два варианта установления/сброса соединения - по сигналу состояния порта или по одному из предопределенных и максимально простому протоколу, не обновляя терминальное ПО по всему парку терминалов.

                            Комментарий


                            • #15
                              tolik-mc
                              Пока рассылается только по запросу на мой почтовый адрес, но, возможно, скоро появится раздел утилит на нашем сайте.

                              Комментарий


                              • #16
                                SD

                                Я тоже не против прекратить флейм. Со своей сторны удивлен некорректным использованием терминов уважаемым участником форума.

                                rost7

                                > GM100DB+ не является функциональным аналогом киски. Он имеет некоторую логику на уровне финансового протокола и много других моментов.

                                И я о том же. У нас прикладные и коммуникационные задачи могут решаться (и обычно решаются) на разных машинах (устройствах). Прикладная часть - т.н. Узел. Коммуникации - практически все, что угодно. Отдельного (дополнительного) сервера, совмещающего коммуникационные задачи и часть прикладных (типа GM100DB+ ) не требуется.

                                > Какой протокол канального уровня используют ваши терминалы в случае подключения к киске?

                                "С точки зрения" Циски терминалы работают в байт-ориентированном режиме. Т.е. PPP или SLIP между Циской и терминалами не поднимается. При взаимодействии Терминал-Узел (коммуникации между ними считаются "прозрачными") используется прикладной протокол, в котором, однако, реализованы некоторые функции, гарантирующие порядок и доставку пакетов (сегментов), эти функции можно рассматривать как реализацию транспортного уровня в семиуровней модели OSI-ISO.

                                С уважением,
                                ===========
                                С уважением,
                                ==========

                                Комментарий


                                • #17
                                  EUgeneUS
                                  некорректным использованием терминов
                                  Обоснуйте.

                                  Комментарий


                                  • #18
                                    SD

                                    RS2IP реализована для более абстрактных задач и поддерживает любые варианты работы с портами, за исключением синхронного режима, который может RS232.

                                    tolik-mc

                                    Могу бросить мылом тестовою версию.

                                    EUgeneUS

                                    За сколько секунд, при вашем решении, терминал проводит онлайн транзакцию? Скажем, от момента начала дозвона до отсоедиения модемов?

                                    Комментарий


                                    • #19
                                      SD

                                      А как же прекращение флейма?
                                      Обоснование.
                                      Различные варианты обработки модемных сигналов (DTR, DSR, DCD) не могут называться различными протоколами. Протоколы (сетевые, ес-нно, а не милицейские) начинаются как минимум с канального уровня (2-й по OSI-ISO). А RS-232 (вместе со всеми сигналами) - уровень физический (1-й по OSI-ISO).
                                      Т.ч. ваши варианты можно называть как угодно: процедурами установления соединения, методами активации порта и т.д, но не протоколами.


                                      С уважением,
                                      ===========
                                      С уважением,
                                      ==========

                                      Комментарий


                                      • #20
                                        SD

                                        Не грячитесь

                                        Мы в состоянии разобраться, кто и что имеет ввиду.

                                        Комментарий


                                        • #21
                                          rost7

                                          > За сколько секунд, при вашем решении, терминал проводит онлайн транзакцию? Скажем, от момента начала дозвона до отсоедиения модемов?

                                          Определяется временем набора номера и временем хэндшейка модемов.
                                          При исключении модемов определяется временем установления (и задержками) на плече Узел - Хост_с_авторизационной_базой.
                                          В любом случае время установления соединения (на всех уровнях, но без учета установления соединения модемами) на плече Терминал-Узел - доли секунды - одна секунда..

                                          С уважением,
                                          ============
                                          С уважением,
                                          ==========

                                          Комментарий


                                          • #22
                                            EUgeneUS
                                            Словоблудие. В таком случае дайте Ваше определения терминам "протокол", "flow-control".

                                            Комментарий


                                            • #23
                                              EUgeneUS

                                              Со временем установления соединения понятно. Я так понял, когда модемы договорились, терминал не выполняет никакого логин-скрипта, а сразу получает соедиение с определенным IP:Port.
                                              Далее идет обмен пакетами с фронт-модулем ПЦ?

                                              Допустим используется тоновый набор, модем настроен оптимально, хост дает ответы максимально быстро. Сколько времени уходит на проведение транзации. Меня интересуют приблизительные цифры, или цифры, которые, на ваш взгляд, являются приемлемыми?

                                              Спасибо за ваши ответы.

                                              Комментарий


                                              • #24
                                                EUgeneUS

                                                Какой финансовый протокол у вас используется?

                                                Комментарий


                                                • #25
                                                  SD

                                                  Вообщем так, Вы для начала какой-нибудь букварь по сетевым технологиям почитайте.

                                                  rost7

                                                  > Я так понял, когда модемы договорились, терминал не выполняет никакого логин-скрипта, а сразу получает соедиение с определенным IP:Port.

                                                  Вообще говоря, выполняет - т.к. по одним и тем же модемным входам могут предоставляться разные сервисы. Потом получает соединение IP:Port

                                                  > Далее идет обмен пакетами с фронт-модулем ПЦ?

                                                  В случае он-лайн авторизации - да.

                                                  > Сколько времени уходит на проведение транзации.
                                                  It depends.

                                                  > цифры, которые, на ваш взгляд, являются приемлемыми?

                                                  Я приводил уже, но дастаточно давно.
                                                  до 5-7 сек. - очень хорошо.
                                                  7-10 сек. хорошо.
                                                  до 15 сек. - приемлемо.
                                                  Где-то так, без учета печати чека.

                                                  > Какой финансовый протокол у вас используется?

                                                  Собственный. Про интергацию ЗК и других систем (соответственно, и про конвертацию протоколов) говорили в соответствующей теме, и даже не так давно.

                                                  С уважением,
                                                  ============
                                                  С уважением,
                                                  ==========

                                                  Комментарий


                                                  • #26
                                                    EUgeneUS

                                                    Слабо вериться в эти цифры (по крайней мере, при такой схеме включения). Хотя может я чего не допонял.

                                                    Сколько договариваются модемы +модемный проткол +модемная скорость +портовая скорость?
                                                    Модем работает в async?
                                                    Сколько выполняется логин-скрипт?
                                                    Количесво пакетов при онлайн авторизации?
                                                    Средний размер пакетов финансового протокола?

                                                    Комментарий


                                                    • #27
                                                      SD

                                                      com2tcp скорее подойдет разработчикам. Я думаю, что возможность писать в лог передаваемых пакетов штука вредная, особенно с точки зрения использования этого решения для ПОСов. Track2 в обычном текстовом файле, это совсем не безопасно. В таком случае киска предпочтительнее.

                                                      rs2ip существует в виде двух версий, для банков и для внутреннего использования, которая умеет писать в логи дампы пакетов (developer edition так скзт). А под операционки типа 9x этот софт вообще не реализовывался, все по тойже причине - из соображений безопасности.

                                                      Комментарий


                                                      • #28
                                                        rost7
                                                        Все б хорошо, только иногда требуют, чтоб работало именно под win95. Спрос определяет предложение - нужен будет для утилиты закрытый канал - будет закрытый канал с динамическим ключем.
                                                        Создание лога - вещь сугубо опциональная. Для злоумышленников же не составит труда самостоятельно разработать подобную утилиту с целью сохранения логов. Я уже проводил опрос - "может Вам лучше в эксплуатацию утилиту без лога?" пока никто не ответил. Видимо, нужды нет. Мне же собрать утилиту с невключаемым в принципе логом - без проблем.

                                                        Хотелось бы добавить к вопросу о шифрации - утилита предназначена в первую очередь для перевода терминала на работу по TCP/IP. Никто не обязывает коннектиться сразу к фронту через интернет. Коннект может осуществлен или через закрытый канал, или на сервер в локальной сети, возможно это будет localhost, осуществляющий дальнейшее соединение с центром используя ssl или другие варианты закрытого соединения. И этот сервер уже будет лишен необходимости работы с портами, работая уже исключительно с tcp соединениями.
                                                        Последний раз редактировалось SD; 04.04.2002, 09:04.

                                                        Комментарий


                                                        • #29
                                                          rost7

                                                          > Слабо вериться в эти цифры (по крайней мере, при такой схеме включения). Хотя может я чего не допонял.

                                                          Эти цифры - так сказать, требования
                                                          Конечно, достичь их при коммутируемом канале невозможно - все съест коннект модемов и дозвон. Отсюда вывод - достичь удовлетворительного времени он-лайн транзакции на коммутируемых каналах невозможно.
                                                          Если исключить модемы, устанавливающие соединение каждый раз, цифры вполне реальные.

                                                          С уважением,
                                                          =============
                                                          С уважением,
                                                          ==========

                                                          Комментарий


                                                          • #30
                                                            SD

                                                            Для злоумышленников же не составит труда самостоятельно разработать подобную утилиту с целью сохранения логов. Я уже проводил опрос - "может Вам лучше в эксплуатацию утилиту без лога?" пока никто не ответил. Видимо, нужды нет.

                                                            Никто ничего разрабатывать не станет. Просто файлик с треками попадет не в те руки по недосмотру. Действительно, кто на этом не обжигался, тот и не задумывается. А вообще, утечка информации, чаще всего, происходит банально. Т.е. хацкерским взломом пользуются редко, хотя бывает...

                                                            А что касается шифрования трафика, так с точки зрения эксплуатации, схема реализованная в GM100 является предпочтительно в большинстве случаев. Почему?
                                                            - достаточно установить пару опций в софте и трафик закрыт, причем на всех участках;
                                                            - минимум ключевой информации, поэтому легче обеспечить его сохранность.
                                                            Если же развивать всю коммуникационную инфраструктуру банка на стандартных средствах с функциями шифрования трафика, то мы имеем несколько серьезных недостатков:
                                                            - на два-три порядка дороже;
                                                            - архитектура будет очень сложной и в ней появится масса слабых звеньев;
                                                            - количество ключевой информации резко возрастает, что не способствует ее сохранности.

                                                            Конечно, я не противник так называемых "стандартных" решений по закрытию трафика, но если структура слабо спроектирована и развивается стихийно (именно так и происходит во многих банках), то за дырами уследить практически не реально. Большинство громких случаев утечки информации происходило именно из-за таких дыр. Именно по этой причине множество приложений снабжают собственными средствами защиты.

                                                            EUgeneUS

                                                            А вы реализовывали терминальном ПО такие вещи как Pre-Dial, Pre-Print?
                                                            Пробовали использовать синхронный режим?

                                                            В нашем решении от момента коннекта модемов до завершения сессии получается 3 - 5 сек (это при скорости 1200bps).

                                                            А общий результат таков (набор тоновый): от чирка карточки до полного выхода чека 22-23 сек. Т.е. в это время входит все. Но я думаю, что это время можно сократить до ~15 сек.

                                                            Очень было бы интересно услышать пару дельных советов, как добиться такого показателя.

                                                            Комментарий

                                                            Пользователи, просматривающие эту тему

                                                            Свернуть

                                                            Присутствует 1. Участников: 0, гостей: 1.

                                                            Обработка...
                                                            X