1 октября, четверг 11:31
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Картридер с экранчиком от Safe-Tech.ru

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Картридер с экранчиком от Safe-Tech.ru

    На прошлой неделе на 17-ом Форуме разработчиков банковских систем была представлена еще одна реализация трастскрина - картридер с экранчиком SafeTouch разработки российской компании ООО "СэйфТек" - www.safe-tech.ru

    Позиционирование девайса - на SMB.

    Рекомендуемая цена SafeTouch для конечного потребителя (то есть клиента банка) - 1'600 руб. с НДС.

    В отличие от PINPad'а Актив-софта с ценой 3..4 тыс. руб. (именно эта цена была озвучена представителем Актива нам на 17-ом Форуме), стоимость SafeTouch'а очень даже приемлемая.

    Обычный настольный картридер в розницу для эндюзера стоит ~1000 руб.

    БИФИТ продает банкам добротный настольный USB-картридер (CCID-совместимый) EZ100PU за, кажись, 472 руб. с НДС.

    Но то - обычный картридер, без LCD и функций трастскрина.

    А здесь реально доверенная среда - простенький, но трастскрин.

    Да, без тачскрина (как на планшетниках).

    Да, одноцветный простенький матричный дисплей для отображения пяти строк текста по 22 символа в каждой.

    Но эндюзеровая цена в 50$ !

    И это при 22..25% профите реселерам (разработчикам ДБО)!

    В общем, я только "ЗА" такие решения.

    БИФИТ уже провел переговоры в вендором SafeTouch'а.

    БИФИТ уже взял у вендора всю документацию, SDK, примеры и парочку самих картридеров SafeTouch.

    БИФИТ уже ведёт работы по встраиванию SafeTouch в нашу систему ДБО "iBank2" для работы с нашими смарт-картами iBank2Key


    Из явных минусов SafeTouch'а (ИМХО):

    - Установка смарт-карты левой рукой, с левой стороны SafeTouch'а (карта оказывается перевернутой рисунком вниз - некомильфо)

    - Нет резиночек на подставке SafeTouch'а - будет скользить по столу при нажатии кнопки, надо придерживать девайс, неудобно работать одной рукой

    - USB- кабель для подключения девайса к компу втыкается с правой стороны SafeTouch'а, ИМХО портит внешний вид и мешает придерживать девайс

    - нет поддержки USB-токенов, только смарт-карты!!!

    - дисплейчик хотелось бы побольше разрешением (цветность не шибко критична) - ибо юрики не только платежки отправляют, есть более ёмкие и тоже ответственные документы


    Из плюсов:

    - очень доступная цена

    - ориентация вендора на работу через партнеров-разработчиков ДБО

    - соответствие спецификации CCID-картридера - будет работать с Windows, Linux, Mac OS X

    - нормальные (чувствуется нажатие) кнопки с красной (отказ) и зеленой (согласие) подсветкой (вендор делал со знанием дела, то есть для имбецилов) - ошибиться клиенту тяжело

    - читаемый дисплей (а то, бывает, возьмет вендор LCD с таким маленьким пикселом, что только в микроскоп и смотреть)

    - наличие на складе!

    - готовность вендора доточить firmware девайса для нужд разработчика ДБО

    Кстати, никаких сертификаций ФСБ данный девайс проходить не должен, ибо не осуществляет внутри себя никаких криптографических преобразований (всё делает смарт-карта) и для карты является обычным картридером (APDU-команды от компа в карту на вычисление хеш-функции и формирование ЭЦП проходят только после просмотра пользователем документа и согласия подписать).

    В общем от чистого сердца всем рекомендую. Очень хорошая первая ласточка трастскринов в РФ.
    С уважением, Репан Димитрий
    Компания "БИФИТ" - www.bifit.com

  • #2
    Что-то не видно обсуждений этого девайса: что доверенная среда как бы не доверенная, что можно как бы организовать подмену желаемого и видимого и так далее по полной схеме.

    Я не вижу никаких отличий между данными реализациями. Для пользователя, Димитрий прав, самый важный критерий - ценник!

    Комментарий


    • #3
      А, что обсуждать? Ждём когда доступно будет в составе iBank2, возьмём пару штук, попробуем. Там видно будет.

      Комментарий


      • #4
        Лично мне интересно, каким макаром это устройство выбирает какие поля документов отображать, а какие не отображать, что, если поле не влазит в этот "экрашек"...
        Он из посылаемых в него XMLек выдёргивает содержимое полей?

        Ведь на подписание и валютные документы идут, и письма, и отзывы, и куча всякого другого. Информация разнообразная и довольно обширная...
        То что прорезь слева, и ножек резиновых нет, это - да, в общем-то недоработки... Чисто эксплуатационные, но вот тип и вообще вмещаемость информации на мой взгляд важнее.
        Экрашек в 2 раза плотнее пусть на 200 рублей дороже, было бы более жизнеспособным...

        Комментарий


        • #5
          2Volutar:
          1. То, какие реквизиты будут отображаться на экране определяет разработчик системы ДБО (или банк). Для этого предусмотрены специальные тэги, которыми помечаются значимые поля.
          На данный момент для отображения в устройстве предусмотрено несколько типов документов, один из которых - "свободный", в котором можно отображать любую текстовую информацию, соответственно, разработчик может "вписать" туда все, что угодно.

          2. Если поле не помещается в экранчик, оно начинает прокручиваться (Хотя это редкость, обычно реквизиты получателя помещаются полностью).

          3. На самом деле, ножки резиновые будут, просто Димитрий их еще не видел.

          4. Выбранный экран при долгой работе глаза не напрягает, проверяли. А цену, действительно, старались сделать минимальной, так как для клиента этот критерий - самый важный.

          Если еще возникнут вопросы - задавайте, ответим

          Комментарий


          • #6
            Идея вроде-бы хорошая, но что мешает злоумышленику при вмешательстве в работу ПО на АРМ исходные реквизиты вместе с тегами отображения на эжкране считывателя перенести в комментарии, а на их место подставить свои реквизиты? В результате пользователь и на экране монитора, и на экране считывателя увидит нужные ему реквизиты, а платёжка будет подписана с реквизитами злоумышленика.

            Комментарий


            • #7
              2palych80
              Злоумышленник, конечно, может это сделать, но он все равно ничего не добьется.

              Дело в том, что серверная часть "знает", какие реквизиты были отображены на экране устройства (они помечены специальными тегами), и, соответственно, сравнивает их с теми, которые пришли в основном документе. Если проверка не пройдена - документ не исполняется.

              Комментарий


              • #8
                Если Вы позволите, то ещё несколько вопросов:
                1. Хэш документа перед тем, как его (хэш) зашифруют с использованием закрытого ключа, вычисляется в самом устройств?
                2. Устройство защищено от программного вмешательства в работу и программной перепрошивки?
                3. Планируется ли сертификация устройства по уровню контроля от НДВ?

                Комментарий


                • #9
                  Да, конечно.
                  1. HASH от документа вычисляется в смарт-карте. В самом устройстве криптографические функции отсутствуют.
                  2. Прошивка через USB невозможна.
                  3. Сертификация по НДВ в планах есть, сейчас проводим консультации на предмет необходимости этой процедуры, так SafeTouch - средство визуализации, функции СКЗИ выполняет карта.

                  Комментарий


                  • #10
                    Ну вы хотя бы рассказывайте как обстоят дела с вашими "средствами визуализациями":
                    дата - производитель 1 начинает поддержку
                    дата - производитель N начинает поддержку
                    дата - добавлен функционал Х
                    дата - выпущена модель Y

                    Комментарий


                    • #11
                      Евгений,
                      На данный момент поддержка SafeTouch есть в системе ДБО компании "ИНИСТ".
                      Также ведутся работы компаниями БИФИТ, БСС, СтепАп, R-Style Softlab, Юнисаб.
                      К сожалению, заявленные сроки окончания работ все время двигаются, поэтому каких-либо обещаний я давать не могу. Лучше обращаться напрямую в эти компании.

                      Что касается устройств с расширенным функционалом - да, разработки ведутся, следующая модификация SafeTouch появится ориентировочно в феврале - марте.

                      Комментарий


                      • #12
                        А мне бы хотелось услышать топикстартера на тему поддержки этого устройства.
                        Тема-то начиналась "за здравие".

                        Комментарий


                        • #13
                          А мне бы хотелось услышать топикстартера на тему поддержки этого устройства. Тема-то начиналась "за здравие".
                          Отвечать по-честному или политкорректно?
                          С уважением, Репан Димитрий
                          Компания "БИФИТ" - www.bifit.com

                          Комментарий


                          • #14
                            Димитрий, лучше по честному, политкорректно я уже слышал много разных букв. Мы также протестировали данную железку и я не могу сказать, что она мне понравилась (имхо). Сейчас производители делают лишь первые шаги в нужном направлении, поэтому нужно годик-другой посмотреть за развитием в этом сегменте рынка.

                            Комментарий


                            • #15
                              Да, чтобы не было недопонимания мои претензии заключаются в основном в качестве экрана ( например, разрешение/яркость/цветность/отсутствие тачскрина) и общей эргономики устройства,
                              Будем рады видеть следующие версии. Одновременно с реализованной поддержкой производителями клиент-банков.

                              Комментарий


                              • #16
                                Евгений, спасибо за комментарий.
                                Данная версия устройства разрабатывалась для сегмента малый/средний бизнес, поэтому основной упор делался на снижение себестоимости (по принципу достаточности, без "рюшечек").
                                Сейчас мы работаем над более продвинутой версией SafeTouch, с поддержкой Touch-скрина и т.д. Естественно, ее стоимость будет чуть выше.
                                Хочу отметить, что все последующие версии будут для разработчиков ДБО абсолютно идентичными с точки зрения встраивания, поэтому переделывать ничего не придется.

                                Комментарий


                                • #17
                                  Сообщение от Димитрий Посмотреть сообщение
                                  Отвечать по-честному или политкорректно?
                                  Ждём ответ (можно честный, можно честный, но политкоректно).

                                  Комментарий


                                  • #18
                                    Денис, а зачем тачскрин? Что кроме повышения цены он даст? Лучше поддержку USB-ключей реализовать - сейчас ведь банки в основном именно их выдают.

                                    Комментарий


                                    • #19
                                      Сообщение от zlonov Посмотреть сообщение
                                      Денис, а зачем тачскрин? Что кроме повышения цены он даст? Лучше поддержку USB-ключей реализовать - сейчас ведь банки в основном именно их выдают.
                                      Тачскрин - исключительно для удобства и VIP-аудитории. Тренд, так сказать.
                                      Поддержку токенов также делаем, правда, клиенту будет экономически более целесообразно выкинуть токен и купить обычный SafeTouch + смарт-карту. Компонентная база для такого устройства дороже получается.

                                      Комментарий


                                      • #20
                                        А кто гарантирует, что ПО в таком чудо-девайсе не подменено на этапе путешествия с завода (или на самом заводе) к клиенту? Копеечная цена это хорошо, но защищенность - это иллюзия...
                                        Реальный вариант - использование PIN падов.

                                        Комментарий


                                        • #21
                                          Стесняюсь спросить, а pinpad в вашем понимамании, что за устройство?

                                          Комментарий


                                          • #22
                                            А кто гарантирует, что на этапе путешествия с завода (или на самом заводе) к клиенту не подменено ПО в pinpad'е?

                                            ИМХО, российский вендор девайсов должен гарантировать.

                                            В случае Safe-Touch'е - ООО "Сайфтек". В случае PINpad'а - ООО "Актив-софт".

                                            В идеале - гарантировать деньгами, то есть нести имущественную ответственность по убыткам клиентов.

                                            Но это - уже фантастика. Ни один серьезный (ответственный) вендор СКЗИ не будет брать на себя риски компенсировать все убытки пользователя в следствии использования или невозможности использования СКЗИ.
                                            С уважением, Репан Димитрий
                                            Компания "БИФИТ" - www.bifit.com

                                            Комментарий


                                            • #23
                                              Идея простая - использовать для ДБО PCI PED сертифицированный полнофункциональный пинпад с картридером или без него. Практически у любого производителя есть такой пинпад. Отличительной особенностью полнофункционального пинпада является возможность загрузки пользовательских приложений, т.е. не только FW для шифрации пина, как в простейших моделях, а полноценные приложения для работы с хостами, шифрации трафика и т.д.
                                              Естественно, такие приложения криптографически подписываются, при запуске и во время исполнения проверяются, корпус нельзя открыть без срабатывания тамперов, ключи хранятся в ОЗУ, мгновенно стираемом при попытке взлома.
                                              Сертификация по PCI гарантирует стойкость изделия. Другое дело, что такая разработка и сертификация пока по силам только одной компании в России, но это уже другая история. Есть один наш и куча импортных пинпадов - их можно использовать для построения и отработки систем, а к тому времени можно будет запустить упрощенный пинпад без ридеров с USB интерфейсом по адекватной цене.

                                              PS
                                              PINpad от ООО "Актив-софт", разумеется, не имелся ввиду.

                                              Комментарий


                                              • #24
                                                Идея простая - использовать для ДБО PCI PED сертифицированный полнофункциональный пинпад с картридером или без него.
                                                Ну если есть задача освоить средства - тогда Ваш путь может быть рассмотрен заинтересованными представителями банков :-)

                                                полноценные приложения для работы с хостами, шифрации трафика и т.д.
                                                Нет задачи работы с хостами и шифрования трафика.

                                                Тема совсем другая.

                                                Надо обеспечить формирование ЭЦП под документом с отображением клиенту значимых полей подписываемого документа. То есть подписать ТО, ЧТО НАДО и подписать ТАК, КАК НАДО.

                                                Сделать это можно только в доверенной среде, коей среднестатистический компьютер уже давно не является.

                                                Для этого всё выносится во внешнее устройство с экранчиком. PINpad Актив-софта со встроенным внутрь СКЗИ (без внешнего USB-токена) - один из вариантов.

                                                Естественно, такие приложения криптографически подписываются, при запуске и во время исполнения проверяются, корпус нельзя открыть без срабатывания тамперов, ключи хранятся в ОЗУ, мгновенно стираемом при попытке взлома.
                                                Прошлый век какой-то рассказываете. Какое ОЗУ?! Какой контроль вскрытия корпуса?!

                                                Берёте карточный чип, сертифицированный по CC EAL 5++, пишите под него КОС (карточную операционную систему) со встроенным СКЗИ и храните секретные ключи в защищенном EPPROM'е или Flash'е.

                                                Вскрыть "невскрываемый корпус" не проблема на фоне невозможности послойно спилить слои с внутренними напряжениями с карточного чипа и отсканировать чип.

                                                В отличие от универсальных 32-битных ARM-микроконтроллеров типа LPC21xx или STM32F, при производстве карточных чипов, сертифицированных по CCEAL 5++, применяются технологические методы, затрудняющие воссоздание структуры чипа и получения с него информации. Используются многослойные структуры (до 30 слоев), ответственные части схемы - RAM, ROM, EEPROM, FLASH - помещаются во внутрь, вводятся дополнительные слои металлизации. Напряженность в слоях и межслойная металлизация защищают чип от оптического и электронного сканирования. При послойном спиливании чип банально разрушается.

                                                При проектировании топологии карточного чипа исключаются общие шины, производится перемешивание компонентов функциональных блоков - CORE, RAM, EEPROМ, и пр. и пр. и пр.

                                                И при этом современный карточный 32-битный чип с флешом 384КБ (например, младший в линейке ST33) стоит на уровне 1,3 .. 1,5 USD при партиях в несколько сотен тысяч в год.

                                                Если же брать совсем простые 8-битные бюджетные карточные чипы со встроенными криптоускорителями (например, ST23YZ18) , тоже, кстати, сертифицированные по CC EAL5++, то цена за чип на FOB'е будет на уровне 0,7 USD при аналогичных партиях.

                                                В общем, доступных по деньгам, современных и реально защищенных платформ для разработки пинпадов - много.

                                                Пишу эти строки ибо БИФИТ именно по этому пути активно шагает.

                                                Другое дело, что такая разработка и сертификация пока по силам только одной компании в России, но это уже другая история.
                                                Это кто же у нас такой в России, по Вашему мнению, столь мегавыдающийся и в одном экземпляре?! Извольте озвучить наименование этой компании.

                                                Конявский, что-ли, со своим ОКБ САПРом? (слушал выступление пол-года назад Валерия Аркадьевича на последнем АРБшном форуме разработчиков банковских систем о его "МАРШе" - долго улыбался).
                                                С уважением, Репан Димитрий
                                                Компания "БИФИТ" - www.bifit.com

                                                Комментарий


                                                • #25
                                                  Посмотрел только что профиль участника SIV, так ярко продвигающего PCI PED.

                                                  Погуглил "Треминальные технологии". Зашел на termt.com.

                                                  Почитал про PIN Pad Ярус P2100 (YARUS P2100) - http://termt.com/production/yarus-p2100/

                                                  И Вы хотите сказать, что это "чудо враждебной техники" (с) готовы продавать по 1'500 руб. за штуку?!

                                                  Готов покупать. Серьезно. Минимум 10 тыс. штук. Встроить поддержку в iBank2 и положить на склад для продажи банкам с моего склада. На первые 3..4 месяца хватит.

                                                  Или цена у Вашего девайса как у самолета, то есть из другой, существенно более тяжелой весовой категории?

                                                  И даже Актив-софтовый PINpad с ценой в 2'400 руб. (партнерская скидка всего лишь 20% от enduser price) на Вашем фоне бесплатен?

                                                  Кстати, как предлагаете юрикам подключать YARUS P2100 к десткопам и ноутбукам?

                                                  По Ethernet? Дополнительную сетевую карту в десктоп втыкать? Хаб настольный покупать? У сисадмина требовать второй Ethernet-порт в офисе?

                                                  Или через RS-232? А Вы много видели современных ноутбуков и особенно ультрабуков с разъемом RS-232 на борту?

                                                  А что с питанием? Ото батареек? Через Power-over-Ethernet? Или отдельный БП на 5..7,5 Воль ? Ток какой должен быть? В комплекте БП идет?

                                                  SIV, я почему прикалываюсь. Пишите подробнее что Ваша компания готова предложить банкам. Без высокопарных слов. И по существу.

                                                  Поверьте, форум читают компетентные специалисты и маркетинговый булшит здесь не прокатит.

                                                  Если новое изделие на подходе - так сделайте анонс, раздайте пилотные девайсы разработчикам ДБО для ознакомления. Больше пользы будет.

                                                  В общем ждем-с.
                                                  С уважением, Репан Димитрий
                                                  Компания "БИФИТ" - www.bifit.com

                                                  Комментарий


                                                  • #26
                                                    Моя позиция (и не только моя) заключается в том, что есть давно проверенная и отработанная технология, сертифицированная платежными системами, которая включает в рассмотрение весь жизненный цикл изделия начиная с поставки компонентов, далее производство, заливку ПО и ключей и заканчивая апгрэйдами ПО в поле. Те изделия, что сейчас появляются, закрывают только узкую часть атак, не отвечая на простые вопросы, которые возникают у профессионалов от POS мира. Конечно, специфика «персонального» использования такого устройства позволяет немного снизить требования, обычно предъявляемые к PCI пинпадам, но придумать что-то абсолютно новое и так же продуманное, скорее всего, нереально.
                                                    Проблема заключается в цене безопасности. Но тут не так всё плохо, как представляется на первый взгляд. Например, цена нашего сертифицированного пинпада с Ethernet и 2хRS232 – 6600 руб. Это, вероятно, многовато для физиков, но не запредельно для юриков.
                                                    В любом случае, пинпад в таком виде – это только прототип устройства, так как нужно заменить RS232 на USB (оттуда и питание прибежит) + можно (нужно) выбросить Ethernet и второй RS, магнитную головку (а она 15 долларов стоит) и смарткартридер. Можно ещё упростить и конструкцию, применив более защищенный процессор, но это уже «тонкие» детали.
                                                    Принципиально одно – надо рассматривать систему в комплексе, а не отмахиваться от трудно решаемых проблем. Наиболее проработанный подход имеет система сертификации по PCI PED, даже если она кому-то не нравится.
                                                    Целью поста была не реклама наших изделий, а доведение мнения специалистов о способах реализации безопасного ДБО. Об этом я говорил на прошлом форуме Пласа и эту тему мы включили в план работы ПК4 Технического комитета 122 ЦБ РФ (http://www.tk122.ru/pk4/ ; http://www.gosbook.ru/node/47622) для выработки требований по безопасности для «домашних» терминалов. Интересно мнение всех участников этого процесса.

                                                    PS
                                                    А передать пинпад и средства разработки Вам готовы влюбое время. Приезжайте в гости – всё покажем, расскажем.

                                                    С уважением,
                                                    Игорь Сухоставский

                                                    Комментарий


                                                    • #27
                                                      Рад, Игорь, столь развернутому ответу и Вашей открытой позиции

                                                      Что касается реалий. Пример из практики.

                                                      Российский банк из Top-50. На ДБО - более 30 тысяч юриков разного калибра - от небольших начинающих до крупных холдингов.

                                                      Вопрос обеспечения доверенной среды для ДБО на стороне юрика, как и у всех банков, АРХИВАЖЕН. Мошеннические платежи периодически происходят. Есть своя служба антифрода для ДБО, успешно отлавливающая мошеннические платежки. Но некоторые временами проскакивают. Из-за чего возникают конфликты с юриками.

                                                      Все юрики юзают USB-токены и/или смарткарты "iBank2Key" с неизвлекаемыми секретными ключами ЭЦП и встроенным в девайсы СКЗИ с ГОСТом Р34.10-2001, сертифицированным ФСБ РФ. В дополнение к ЭЦП для подтверждения критических платежек большая часть юриков переведена на усиленный режим подтверждения платежек сверх лимита одноразовыми паролями.

                                                      Одноразовые пароля для подтверждения присылаются юрикам по SMS вместе с реквизитами получателей платежей.

                                                      Предлагаем банку картридер с экраном - Safe-Touch. Цена девайса - 1'600 руб. за штуку. Вендор (safe-tech.ru), как и БИФИТ, ожидает продажи десятками тысяч девайсов. Но банк не хочет. БизнесА говорят, что 1'600 руб. - дорого. И хотят дешевле в два раза. Штучек 30 по 1'600 руб./шт. для пробы банк потенциально готов взять. Но планов не строит и предупреждает нас о практической бесперспективности сих девайсов. И всё из-за цены. Ибо к 1'600 руб. за девайс надо еще прибавить 637 руб. за смарткарту "iBank2Key".

                                                      И у другого банка такая же ситуация. Сначала загорелся. Потом внимательно ознакомился, потрогал, покрутил в руках, поставил на стол, повтыкал-повынимал карты. Прикинул как будет продавать/продвигать своим юрикам. За чей счет и как будут компенсироваться затраты на дополнительную безопасность. И в итоге отказался от трастскрина.

                                                      Остался на справочнике доверенных получателей с подтверждением по SMS. И ждет от нас нового билда iBank'а с поддержкой подтверждений с помощью МАС-токенов ActivIdentity для части VIP-юриков.

                                                      И похожая картина у всех банков.

                                                      Как мне продать Ваш девайс за 220$ (6'600 руб.) БЕЗ КАРТЫ в эти далеко не бедные банки - большая загадка.

                                                      БИФИТ сейчас для смарткарты "iBank2Key" совместно с Vasco кастомизирует решение Vasco Digipass 920 - http://vasco.com/products/client_pro...ipass_920.aspx

                                                      По деньгам очень хочу получить итоговую цену для банков за DP-920 на уровне 1'000 руб. И в этих 1'000 руб. в идеале иметь свои 150 руб. профита (~17%). Но это если Vasco сумеем прогнуть.

                                                      По внешнему виду DP-920 круче (компактней, стильней, удобней, легче) Вашего PIN Pad Ярус P2100 (YARUS P2100).

                                                      USB уже на борту есть. Питание - от USB. Сделан на ARM7-чипе.

                                                      Вес - 11г. Не напряг взять вместе с ноутбуком.

                                                      LCD - 102 х 46 пикселей (6 строк по 20 символов). Для iBank'а хватает.

                                                      Вроде всё должно срастись. Очень буду стараться чтобы DP-920 всё-таки раскачал рынок и стал новым трендом в ДБО для юриков.

                                                      Но даже DP-920 по лично моему мнению далек от идеала. Ибо смарткарта отчуждаема от девайса. И это значит, что возможна ситуация, когда карту подключат к хосту напрямую через PC/SC-ридер и на хосте смоделируют подпись.

                                                      В случае в DP-920 есть дополнительный механизм криптографической аутентификации конкретного экземпляра девайса (на базе RSA-1024) и сформировать ЭЦП по ГОСТу с помощью только смарткарты "iBank2Key" не через DP-920 не получится. Поэтому мы и решили встраивать в iBank поддержку DP-920.

                                                      Но как мэйнстрим мы сейчас готовим отдельное решение - трастскрин с неизвлекаемым (впаенным) карточным чипом с СКЗИ "Криптомодуль-С23", сертифицированным ФСБ РФ. Очень надеюсь, что итоговую цену за девайс удастся сделать 1'500 руб.
                                                      С уважением, Репан Димитрий
                                                      Компания "БИФИТ" - www.bifit.com

                                                      Комментарий


                                                      • #28
                                                        Очень хорошо, что есть понимание, что я не навязываю всем Ярус P2100 (хотя по функциональности такой пинпад ещё придётся поискать)

                                                        Важный момент – пинпад сам, безо всякой смарткарты должен подписывать посылку. Я думаю, картридер вообще надо исключить из такого устройства, ну, или иметь как опцию. Защищенный картридер дорог, а польза в таком устройстве сомнительна.
                                                        В самом пинпаде, в секретной памяти (мгновенно стираемой при попытке взлома) должен храниться набор различных рабочих и мастер ключей, которые можно менять так часто, как захочется, по принципу работы POS терминалов. Алгоритм подписи можно реализовать любой. Посылку можно зашифровать по SSL используя отдельные ключи (сертификаты) хранящиеся в секретной памяти и недоступные для считывания.
                                                        Встанет вопрос – как попадут в пинпад уникальные ключи из банка? Ответ прост, но важен:
                                                        1. либо через ручной ввод с клавиатуры 2-мя офицерами безопасности в секретной комнате банка – самое распространённое, но ужасно устаревшее решение
                                                        2. либо путем удаленной загрузки по защищенному каналу с взаимной аутентификацией терминала и банка. Многие это декларируют, но реально работающая в России система пока только одна – Ярус в ВТБ24. Пинпады сразу с производства поступают к конечным пользователям, минуя секретные комнаты банка. В каждом пинпаде, во время производства, в секретной комнате, при активации системы защиты (тамперов) загружается уникальный ключ, который используется для создания защищенного SSL канала с банком для удаленной заливки ключей. Все ключи (сертификаты) входят в общую PKI, поэтому банк загружает соответствующий сертификат от производителя в свой SSL сервер и всё. Звучит просто, но тонкостей много
                                                        Таким образом обычная железка из коробки превращается на столе у конечного пользователя в его персональное хранилище ключей и устройство подписи. ПО в PCI пинпаде нельзя никак подменить (если надо – могу рассказать почему), нельзя безнаказанно залезть внутрь коробочки и припаять туда закладку – конструкция специально сертифицируется на этот предмет в PCI лабе, где инженеры, похожие на хакеров, сверлят 30 микронные дырочки в платах, травят кислотой, режут скальпелями живой пинпад. Конечно, открыть корпус можно, но тогда стираются все ключи и железка становится безполезной, а активировать её вновь может только завод-изготовитель или специально аттестованная мастерская с секретной комнатой. Таким образом, защищается весь путь от завода до конечного потребителя.

                                                        И ещё раз – я не считаю наш пинпад Р2100 лучшим решением для ДБО – он для другого проектировался и цена у него соответствует назначению. Мы будем разрабатывать специальный вариант для ДБО.
                                                        DP-920 на фоне отечественного дизайна смотрится очень хорошо, но хочется обратить внимание на то, что у него нет сертификата PCI PED, а это немного настораживает – как он защищен, подписываются ли приложения, кто его проверил и т.д.? Можно ли удаленно залить ключи? Можно ли удаленно его сконфигурить? АРМ7 – не есть хорошо, так как в нем нет MMU и невозможно отделить сертифицируемое FW от приложений, которые не должны иметь доступ к секретной памяти. Нужен минимум АРМ9 или специальная архитектура.

                                                        А по поводу цены и банков - да, сейчас ситуация запущенная. Я и сам могу рассказать кучу страшилок про то, как в далеко не последних банках построена безопасность обработки наших карт при оплате в торговых точках Эксперты PCI DSS постоянно говорят о том, что существующие решения ДБО крайне дырявые. Очень хорошо, что появляются устройства, выводящие ситуацию в новую плоскость. Мы же (ПК4) будем всячески способствовать просвещению банкиров со своей стороны и рассказывать о «best practice» и рекомендовать требования по безопасности и архитектуре POS терминалов и устройств ДБО. Тут наши интересы полностью совпадают.

                                                        С уважением,
                                                        Игорь Сухоставский

                                                        Комментарий


                                                        • #29
                                                          DP-920 на фоне отечественного дизайна смотрится очень хорошо, но хочется обратить внимание на то, что у него нет сертификата PCI PED, а это немного настораживает – как он защищен, подписываются ли приложения, кто его проверил и т.д.?
                                                          Российское ООО "Терминальные Технологии" из Зеленограда с одной линейкой POS-терминалов ставит себя выше Vasco Data Security - мирового лидера средств аутентификации, с долей мирового рынка более 60% в банковском секторе по оценкам IDC, и чьи акции котируются на NASDAQ'е ???

                                                          SIV, вы серьезно это говорите?!

                                                          Можно ли удаленно залить ключи? Можно ли удаленно его сконфигурить? АРМ7 – не есть хорошо, так как в нем нет MMU и невозможно отделить сертифицируемое FW от приложений, которые не должны иметь доступ к секретной памяти. Нужен минимум АРМ9 или специальная архитектура.
                                                          SIV, вы ничего не путаете? Вы задавались вопросами: "А надо ли вообще заливать какое-то приложение в DP-920? А нужен ли доступ к секретной памяти DP-920?"

                                                          Вы вообще-то функционал DP-920 представляете? Это ведь не универсальный POS-терминал, к коим вы привыкли

                                                          Вы знаете, что внутри DP-920 нет ни сетевых и ни контекстных процессоров, нет ни FPGA и ни каких-либо ASIC'ов, нет ни внешней памяти (SRAM, EPROM, FLASH) и ни каких батареек. И даже нет фазированной антенной решетки

                                                          Ибо всё это не надо и прогресс ушел далеко вперед.

                                                          В DP-920 используется одночиповое решение - один единственный секьюрный 32-битный микроконтроллер от Atmel, сделанный по технологиям карточного чипа с сертификацией по CC EAL 5++ (см. выше мои посты) с током потребления ~20mA дабы не напрягать батарейки ноутбуков и нужными IP-блоками криптоускорителей. И этого оказывается более чем достаточно.

                                                          Эксперты PCI DSS постоянно говорят о том, что существующие решения ДБО крайне дырявые.
                                                          SIV, вы фривольно, походя ципанули за больное. Поэтому не обижайтесь далее.

                                                          ИМХО, грош цена вашим "экспертам". Ибо озвучивая такие выводы, "эксперты" и вы, как цитирующий их, демонстрируете либо свою полную некомпетентность и перекладываете с больной головы на здоровую, либо намеренно вводите банки (потенциальных покупателей) в заблуждения дабы впарить свои решения за безумные (неадекватные) деньги.

                                                          SIV, если обычные тупые пользователи вашего POS-терминала, в отличие от квалифицированных и специально обученных офицеров безопасности, не будут соблюдать простейшие регламенты эксплуатации ваших решений, будут смотреть на реквизиты получателя на экране вашего Яруса, будут видеть несовпадение реквизитов получателя платежа на экране компьютера с реквизитами на экране пинпада, и при этом будут соглашаться с проведением мошеннической транзакции, вы честно умоете руки и возложите всю полноту ответственности на плечи идиота-клиента, принявшего столь безответственное решение.

                                                          При этом будете искренне верить в вашу правоту и глупость клиента.

                                                          Кстати, SIV, ведущие чипмейкеры последние три года все новые современные чипы делают на ядрах Cortex-M, хотя старый 32-битный SoC Zilog'а от 2007 года на еще более древнем ARM922-core, по всей видимости используемый в ваших Ярусах, на тот момент был разумно сбалансирован для применения в POS-терминалах с поддержкой типовой периферии того времени.

                                                          И еще. SIV, а почему на сайте вашей компании нет лицензий ФСБ на разработку СКЗИ и сертификата ФСБ на СКЗИ в Ярусах или даже сертификатов ФСБ на сами Ярусы?

                                                          В конкретно ваших пинпадах, сертифицированных по PCI DSS, отсутствуют криптографические преобразования?!?!?!

                                                          Так вроде в Затаре есть криптографические IP-блоки...

                                                          Но то, что сумели протащить сертификацию Ярусов через PCI Security Standards Council - действительно молодцы.

                                                          Видать пригодились связи и опыт, наработанные в Hypercom'е, в одном из вендоров POS-терминалов (теперь это уже Verifone)

                                                          Подводя итоги.

                                                          Ярусов в системах ДБО, как панацеи, не вижу в принципе - из-за отсутствия реально нужного функционала, ТТХ и цены.

                                                          Назначение Ярусов, ИМХО, принципиально другое. Это всё-таки POS-терминалы. И SIV об этом знает. Хотя желание назвать всех разработчиков ДБО тупыми идиотами и пропихнуть свое мегарешение в новый рынок ярко выражено.

                                                          Возможно так влияет осознание факта руководства профильной рабочей группой в четвертом подкомитете

                                                          И еще. Я не поленюсь и завтра во вторник (уже сегодня) дам поручение в наш ресёч связаться с вашей компанией и купить пару-тройку Ярусов дабы поближе, попристальней, "под лупой" рассмотреть ваше "чудо враждебной техники".

                                                          Я совершенно четко допускаю, что могу многого интересного не знать и после ваших слов о дырявости систем ДБО теперь очень сильно хочу засунуть пятак в ваше решение. Надеюсь, что мне удастся найти много полезного для рынка ДБО.

                                                          В продаже пары-тройки Ярусов коллегам не откажите?
                                                          Последний раз редактировалось Димитрий; 13.03.2012, 04:45.
                                                          С уважением, Репан Димитрий
                                                          Компания "БИФИТ" - www.bifit.com

                                                          Комментарий


                                                          • #30

                                                            Димитрий, по всей видимости они попадают под исключения в соответствующих положениях о лицензировании ... типа: "г) применяемых только для банковских и финансовых операций шифровальных (криптографических) средств в составе терминалов единичной продажи (банкоматов), криптографические возможности которых не могут быть изменены пользователями;" и "ж) специально разработанных и применяемых только в составе контрольно-кассовых машин шифровальных (криптографических) средств защиты фискальной памяти;". Хотя согласен 100% исключения нет.
                                                            В свете указанного интересно, что за "криптобиблиотека" используется там для осуществления криптографических преобразований, я понимаю, что есть какие-то спецкоманды процессора / сопроцессоры, но должна же быть обёртка чтобы TLS держать. )

                                                            И вот так писать о своём решении не стоит, это, как бы помягче сказать, бредни сектанта СПО:
                                                            а также:
                                                            Многозадачная ОС Linux
                                                            Операционная система POS-терминала YARUS – промышленная ОС Linux – обеспечивает гибкость, безопасность в работе, удобство и легкость разработки терминального ПО. Такая операционная система имеет ряд преимуществ:

                                                            Появляется возможность установки на одно устройство нескольких различных изолированных приложений, которые могут загружаться независимо друг от друга. Благодаря этому, торговое предприятие может использовать терминал для работы с несколькими различными банками-эквайерами.
                                                            Значительная часть функциональности YARUS реализована в операционной системе и в библиотеках, что позволяет минимизировать объем каждого из загружаемых приложений в отдельности и увеличить общее количество приложений, одновременно установленных на терминале.
                                                            Мощная и надежная операционная система дает возможность значительно снизить риски, количество ошибок и повысить качество программного кода.
                                                            Операционная система Linux не требует покупки лицензии. Это положительно сказывается на стоимости POS-терминала.
                                                            Использование ОС Linux позволяет разрабатывать прикладные программы для нашего терминала не только специалистам компании «Терминальные Технологии», но и сторонним организациям-партнерам. Благодаря таким программам новые программные приложения могут быть легко, качественно и эффективно отлажены непосредственно на персональном компьютере, при этом не понадобится тратить время на загрузку этих программ в терминал.
                                                            Linux - это название ядра семейства ОС. Лишь небольшую часть этого семейства можно с некоторыми натяжками считать промышленными ОС. Что там, в вышеуказанном терминале накручено никто не знает. Вообще, сначала произвели адекватное впечатление, по сравнению с тем бардаком, что творится на рынке POS-терминалов, особенно, с ПО для их конфигурирования и настройки. Но "бредни" СПО от профессионалов слышать давненько не приходилось. Вы уж простите.
                                                            ----------------------------------------

                                                            По теме, я остаюсь ярым противником добавочной стоимости в системах ДБО в виде дополнительных устройств направленных на создание дополнительных относительно криптографических средств барьерных рубежей защиты. Эшелонирование — это хорошо, но разумность и достаточность ещё лучше. Я понимаю, что это неплохая диверсификация бизнеса, для производителей ДБО, производителей различных средств защиты, что текущие явления двигают исследования в этих областях и в целом делают системы более защищёнными. Но, как показывает практика, какими бы девайсами вы не нагрузили человека он допускает ошибки и его можно ввести в заблуждение. Данные устройства несут усложнение и замедление операций, дополнительные расходы на операции для клиента и просто забивают голову людей всякой чепухой (поверьте очень малое количество обычных человеков любит утруждать себя тем, как работает та или иная железяка, им надо платежку отправить, а не с вашими штучками играться) и самое страшное вселяют ложное чувство безопасности. А банки несут расходы при распространении, облуживании этих устройств защиты, что в целом удорожает услуги и не является позитивным фактором с точки зрения банковского бизнеса, даже с учётом ситуации, что эти средства защиты снижают (иногда значительно) риски хищений средств у клиентов банков.
                                                            Реальные инструменты, которые могут повлиять на ситуацию, это, например, качественная услуга по страхованию от риска мошеннических операций, ужесточение уголовной ответственности за подобные нарушения, постоянно действующая спецгруппа в компетентных органах, возможно, и уровня ФСБ, направленная на мониторинг и выявление "профессиональных" преступных сообществ и групп, действующих в сфере компьютерных преступлений в финансовом секторе, повышение уровня осведомлённости и грамотности среди клиентов...

                                                            Согласен, что в текущих реалиях удобно и в некоторых ситуациях наиболее безопасно использовать смарт-карту/усб-ключик, как средство электронной подписи и с некоторой натяжкой средство шифрования трафика при обмене в СДБО, но, как ни странно, при выполнении банальных правил и использовании выделенного компьютера для СДБО у клиента, сравнимого по стоимости с вышеуказанным пинпадом, нет вообще проблем с массовыми попытками хищений, которые прокатились по нашей стране.

                                                            Ждём трастскрин от БИФИТа. Это устройство, как минимум, даст возможность сделать почти всегда клиента виноватым. Нормальный лозунг для продвижения в банки, только клиентам не говорите. )

                                                            Комментарий

                                                            Обработка...
                                                            X