20 ноября, вторник 20:46
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Удаленная техподдержка Клиент-Банка

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Удаленная техподдержка Клиент-Банка

    Стоит задача поддерживать удаленно большое количество пользователей Клиент-Банка. Администраторы наши нашли чудную программу TeamViewer. Всё работает отлично: звонок клиента, письмо клиенту с данной программой, итд итд итд.

    Однако руководство поставило такие вопросы:
    1) Есть ли мировая практика оказания таким образом техподдержки?
    2) Можно ли в договор на оказание услуг добавить пункт о такой удаленной поддержке?
    3) Велики ли риски при использовании такой программы? (ответ в принципе уже есть)
    4) Велики ли риски клиентов от использования такой программы? (в принципе они аналогичны нашим рискам)

  • #2
    UzbekRus, как-то Вы интересные ходы ищете. Речь фактически идет о сознательном создании бэкдоров в сетях всех ваших клиентов. Очень весело. Раз пошла такая пьянка, порекомендуйте своим админам р-админ, он значительно дешевле.
    С уважением, Антон

    Комментарий


    • #3
      Я сюда написан, для консультации, чтобы понять как сделать правильно и как не увеличивать дыры в ИБ.

      У всех клиентов (99%) на работе есть Интернет (80 порт), следовательно если явно не закрыты определенные адреса, которые используются для аутентификации и создания VPN туннеля можно удаленно оказывать тех поддержку клиентам, если последние на это согласятся. Использовать RAdmin для этого нельзя, т.к. для него надо держать открытым определенный порт и это будет именно дырой. Анализирую разную инфу на разных форумах, и вроде бы получается решение безопасным. Однако насколько оно приемлемо и применяются ли подобные "трюки" в банковской среде, а именно для тех поддержки Банк-Клиента я и пытаюсь выяснить.

      Да, еще хотелось бы понять всё это в свете 152 ФЗ. Получается, что заходя удаленно можно теоретически получить доступ к ИХ персональным данным, однако все что делается, делается под контролем того пользователя. Но, тот пользователь - бух. Он не технический специалист и не эксперт в ИТ и ИБ. С третьей стороны данный софт не сертифицирован ни разу, и что там в его коде тайна за семью печатями. То бишь это они должны принимать или не принимать риски и у себя всё это контролировать и регламентировать. Вижу, что тема сложная.
      Последний раз редактировалось Шауро Евгений; 26.12.2009, 18:16.

      Комментарий


      • #4
        Мои дальнейшие размышления. А не выделить админам для этих целей отдельный комп, подсоединив его к публичной сети, снизив тем самым риски до нуля.

        Комментарий


        • #5
          Сообщение от UzbekRus Посмотреть сообщение
          Я сюда написан, для консультации, чтобы понять как сделать правильно и как не увеличивать дыры в ИБ.

          У всех клиентов (99%) на работе есть Интернет (80 порт), следовательно если явно не закрыты определенные адреса, которые используются для аутентификации и создания VPN туннеля можно удаленно оказывать тех поддержку клиентам, если последние на это согласятся. Использовать RAdmin для этого нельзя, т.к. для него надо держать открытым определенный порт и это будет именно дырой.
          Без разницы через какой порт Вы построете VPN. Для запихивания в него RAdmin-а хватает прописывания маршрута. Однако каким бы образом Вы не проникли на ПК клиента, то проблем получить огромное количество притензий не существует.

          Сообщение от UzbekRus Посмотреть сообщение
          Анализирую разную инфу на разных форумах, и вроде бы получается решение безопасным.
          Даже очень безопасное - достаточно админа осуществляющего такую поддержку уволить.


          Сообщение от UzbekRus Посмотреть сообщение
          Да, еще хотелось бы понять всё это в свете 152 ФЗ. Получается, что заходя удаленно можно теоретически получить доступ к ИХ персональным данным, однако все что делается, делается под контролем того пользователя.
          В свете ФЗ-152, "заходя удаленно ... доступ к ИХ персональным данным" получают практически, а не теоретически.
          А без ФЗ-152, помимо доступа к ПДн, получают еще и компрометацию ключа клиента.

          Комментарий


          • #6
            Сообщение от UzbekRus Посмотреть сообщение
            Мои дальнейшие размышления. А не выделить админам для этих целей отдельный комп, подсоединив его к публичной сети, снизив тем самым риски до нуля.

            И разрешить им на дому выполнять эту работу.
            А чьи "риски до нуля" снижаются? Банка или клиента?
            А они точно снижаются?

            Комментарий


            • #7
              Ваша позиция мне ясна. Но разве это "изобретение" не позиционируется для удаленной техподдержке. Кроме того мне очень интересно как это делается в других банках.

              Комментарий


              • #8
                UzbekRus, Но разве это "изобретение" не позиционируется для удаленной техподдержке Это "изобретение" для обленившихся.
                Наш опыт эксплуатации системы ДБО показывает, что нет такой проблемы, которую нельзя было бы объяснить клиенту. Для этого достаточно просто знать систему ДБО.

                Кроме того мне очень интересно как это делается в других банках. Боюсь предположить, что в других банках по человечески, а вот у Вас не как у всех.

                Вопрос даже не в 152-ФЗ. Вопрос в банальной компрометации всего чего только можно. Вопрос в нарушении тех же стандартов ИБ. Вопрос в том, что Ваш админ, используя свое служебное положение, может очень нехило им злоупотребить. Причем по ВСЕМ клиентам. И выглядеть это будет так, что Ваши клиенты сами отдали свои деньги. Ф топпку таких админов.
                С уважением, Антон

                Комментарий


                • #9
                  Начал рассуждать по вопросу компрометации ключей клиента. Коллеги, в каких случаях фактически вы расцениваете какие-либо факты по Клиент-Банку как компрометация?

                  1) Клиент сам устно/письменно об этом сообщил в банк
                  2) Клиент просит поменять ключи
                  3) У клиента украли компьютер (ключ стал известен кому-либо еще)
                  4) Клиент сам начал менять ключи без ведома Банка
                  5) ...

                  Комментарий


                  • #10
                    UzbekRus, Клиент сам начал менять ключи без ведома Банка Вообще-то у него есть такое ПРАВО. Потому как банк, например, не обязан отслеживать увольнения-прием на работу сотрудников клиента.

                    Вы сначала бы определились - у Вас вообще кто ключи генерит? Банк? Клиент? У нас - клиент.
                    С уважением, Антон

                    Комментарий


                    • #11
                      Банк (руками специалистов техподдержки):
                      1) генерит ключи клиента,
                      2) копирует на дискету
                      3) регистрирует их в журнале
                      4) передает дискету клиенту
                      5) объясняет по телефону, что делать с дискетой
                      5) клиент может привезти ноутбук, тогда спец сам поменяет ключ в присутствии клиента
                      5) раз в год происходит плановая смена ключей, то есть смотрим пункт 1

                      Комментарий


                      • #12
                        UzbekRus, ну вот надо себе такой геморрой? Именно поэтому мы и выбрали себе систему, в которой клиент сам генерит ключи.
                        С уважением, Антон

                        Комментарий


                        • #13
                          То есть компрометация закрытого ключа клиента происходит при его генерации банком. Дальше можно теоретически и практически эмулировать клиентскую сторону и списать все деньги в свою пользу.

                          Комментарий


                          • #14
                            UzbekRus, То есть компрометация закрытого ключа клиента происходит при его генерации банком. Во всяком случае, клиент может возбудиться по этому поводу.
                            С уважением, Антон

                            Комментарий


                            • #15
                              UzbekRus,

                              1) генерит ключи клиента

                              ровно после этого пункта клиент может...нууу, например, сам красть у себя денги и идти в суд, чтобы выйграть дело.
                              я уже не говорю про то что 125 Приказ фаспи побоку и прочч и прочч и прочч.
                              после такой поддержки - вас просто порвут клиенты - и будут правы.
                              хотя судя по тому, что вы пишете - у вас нет фсп-эшных лицензий......и что-то мне подсказывает они вам по вашему законадательству и не нужны

                              проостите, ваш банк в какой стране находится?

                              Комментарий


                              • #16
                                Коллеги, а как у вас в банках решены поставленные вопросы?
                                (кроме уже высказавшегося уважаемого модератора)

                                Комментарий


                                • #17
                                  UzbekRus,

                                  удаленно поддерживать большое количество клиентов и предоставлять юридически значимый документооборот не возможно, хотя бы из-за Приказ 152 от 130601
                                  ст. 25 .....Передача по техническим средствам связи криптоключей не допускается, за исключением специально организованных систем с децентрализованным снабжением криптоключами.
                                  + любой клиент у которого что-то (я про ключи даже и не говорю) будет во всех грехах обвинять банк.
                                  да и у самих сотрудников банка - есть очч много соблазнов чо-нить потырить.

                                  при таком раскладе найти концы будет очень трудно.

                                  Комментарий


                                  • #18
                                    А как же обновление ключей?

                                    Комментарий


                                    • #19
                                      Сообщение от Berckut Посмотреть сообщение
                                      А как же обновление ключей?
                                      В идеале их должен генерить клиент. И по инету (модему) присылать в банк открытый ключ.

                                      Комментарий


                                      • #20
                                        UzbekRus то что Вы делаете с клиентом это не правильно! Вы удаленно поддерживаете ПО клиент-банк или у вас банк предоставляет услугу IT-Аутсорсинга?
                                        ни в коем случае нельзя ставить на сторону клиента системы удаленного Shell, в противном случае вы "скрыто" будете отвечать за ключи ЭЦП клиента и если ими не дай бог воспользуется третье лицо, то первым виновным будет банк и докажут виновность!
                                        По поддержке клиент банка у нас консультации по телефону, максимум это платный выезд специалиста к клиенту для решения проблем.

                                        Комментарий


                                        • #21
                                          Berckut, UzbekRus,

                                          А как же обновление ключей?

                                          всё зависит от того, как у вас устроена жизнь. если у вас есть ЭЦП, соответственно открытые ключи сертифицирует УЦ - то клиент только 1-2 раза должен прийти, чтобы его идентифицировали и проч проч. Он получает боевые ключи, до окончания их срока действия, он генерит новую боевую пару, и запрос на сертификат подписывает боевым закрытым ключом и т.д.

                                          если используется АСП и соответственно УЦ нет, то клиент после каждой генерации должен предоставить в банк свой открытый ключ в электронном виде и распечатывать и заверять печатью и собственноручной подписью открытый ключ на бумаге.
                                          Последний раз редактировалось xell; 30.12.2009, 15:34.

                                          Комментарий


                                          • #22
                                            Ключи, как я уже расписывал генерит сотрудник Банка, перемещает на дискету, которую отдает клиенту и если что, по телефону рассказывает куда её воткнуть в компьютере и что нажать, чтобы система "клиент-банк" заработала.

                                            Я с вашей помощью теперь вижу следующие риски:

                                            - неумышленная организация дополнительного входа в сеть клиента (backdoor);
                                            - использование не лицензионного ПО в коммерческих целях;
                                            - компрометация закрытых ключей клиента;
                                            - доступ к персональным данным клиента.

                                            Комментарий


                                            • #23
                                              Законом об ЭЦП разрешено генерировать ключ УЦ для клиента, если он написал на это заявление.
                                              Ст.9

                                              Комментарий


                                              • #24
                                                Berckut,

                                                хотел бы я на вас посмотреть, как вы в суде будете доказывать, что сохранили боевой закрытый ключ клиента в тайне!

                                                фсётаки, технологию с транспортными ключами ой не зря замутили, ой как не зря!!!
                                                Последний раз редактировалось xell; 31.12.2009, 11:22.

                                                Комментарий


                                                • #25
                                                  Поясните, пожалуйста, что такое транспортные ключи?

                                                  Комментарий


                                                  • #26
                                                    Сообщение от UzbekRus Посмотреть сообщение
                                                    Поясните, пожалуйста, что такое транспортные ключи?
                                                    Это очень просто. Как правило транспортными ключами обзываются криптографические ключи, на которых зашифрованы при рассылке по каналам связи рабочие ключи шифрования и ЭЦП. Если делать всё _абсолютно_ правильно, то "клиент" должен самостоятельно, на собственной технической базе, вырабатывать собственные ключи. И пересылать необходимую информацию (открытую часть ключа) в удостоверяющий центр. Так поступали мы, в ГУ БР по Ленобласти.
                                                    Однако, для многих "банков" удобнее выработать наборы ключей в лавке, оттестировать их скопомм, и разослать их по "клиентам" (вот тут и возникают эти транспортные ключи, чтобы закрыть секретную часть ключа). Так поступает ГУ БР по Санкт-Петербургу.

                                                    А вообще - этот термин "законодательно" не определен и под ним каждый разработчик волен понимать свою уникальную сущность. Но, я сталкивался с этим термином в разрезе защиты передаваемых ключевых материалов. Причем, эти транспортные ключи, по большому счету, разового использования. Для передачи новой порции рабочих ключей вырабатываются и рассылаются новые транспортные ключи.

                                                    Комментарий


                                                    • #27
                                                      Сообщение от xell Посмотреть сообщение
                                                      Berckut,

                                                      хотел бы я на вас посмотреть, как вы в суде будете доказывать, что сохранили боевой закрытый ключ клиента в тайне!

                                                      фсётаки, технологию с транспортными ключами ой не зря замутили, ой как не зря!!!
                                                      Транспортные ключи совершенно не обеспечивают доказательной базы того, что вы сохранили рабочие закрытые ключи клиента в тайне. Они только сужают круг подозреваемых лиц до администраторов ключевых систем, которые имеют доступ к этим ключам.

                                                      Самое правильное решение - это генерация ключей клиента самим клиентом на технической базе клиента. Причем полностью изолированной от каких либо сетей передачи данных. Но это при большом количестве клиентов гимор страшный.

                                                      Комментарий


                                                      • #28
                                                        Сообщение от UzbekRus Посмотреть сообщение
                                                        Начал рассуждать по вопросу компрометации ключей клиента. Коллеги, в каких случаях фактически вы расцениваете какие-либо факты по Клиент-Банку как компрометация?

                                                        5) ...
                                                        Первое. Есть определение компрометации ключей. Оно примерно такое: Ключи считаются скомпрометированными, если мы на какое-то время упустили их из виду и не можем достоверно сказать, что же с ними в определенный интервал времени происходило. Такое может проявляться разными способами:
                                                        1. утеря ключей;
                                                        2. утеря с последующим нахождением;
                                                        3. утечка (вброс) информации.
                                                        И так далее.
                                                        Есть еще приравненное к компрометации, но не являющееся ею, событие - утрата сотрудником полномочий по доступу к ключам (увольнение, перевод на другую должность). Ключи при этом должны быть тоже сменены в обязательном порядке.

                                                        Все процедуры по действиям в такой штатной нештатной ситуации обязательно должны быть прописаны подробно в договоре между банком и клиентом. Инициатива по внеплановой смене ключей - всегда за клиентом. Только он может определить, менять ему ключи или забить на это. А банк обязан поддержать и обеспечить замену в регламентированные сроки.

                                                        Комментарий

                                                        Пользователи, просматривающие эту тему

                                                        Свернуть

                                                        Присутствует 1. Участников: 0, гостей: 1.

                                                        Обработка...
                                                        X