Криптография в финтехе

Эксперт ИнфоТеКС оценил номинантов премии FINAWARD ▫️ Владимир Голованов, заместитель начальника аналитического отдела, вошел в экспертный совет ежегодной премии инноваций и достижений финансовой отрасли FINAWARD, учредителем которой является журнал «Банковское обозрение». Экспертный совет состоит из представителей российского финансового и экспертного сообщества и определяет победителей премии в конкурсных номинациях. В этом году оценивались заявки в 14 номинациях. Особое внимание уделялось проектам, поддерживающим малое и среднее предпринимательство, повышающим удобство, надежность, и, конечно, безопасность финансовых операций клиентов, роботизации рутинных функций для помощи менеджерам по обслуживанию, а также проектам с использованием искусственного интеллекта.

Для меня это интересный и почетный опыт. Номинанты премии представили много качественных проектов, свои достижения и разработки, которые способны улучшить многие сегменты финансовой индустрии. Учитывая многолетний опыт ИнфоТеКС в разработке СКЗИ, опыт разработки стандартов безопасности для российских финансовых организаций, делал акцент на вопросах безопасности, не забывая при этом об удобстве клиентов. Например, поддержал проект по созданию семейного банка, где реализована концепция семейного финансового контура, позволяющая управлять активами семьи в едином пространстве, учитывать совместные балансы и гибко настраивать уровни доступа через мобильное приложение. Владимир Голованов

Эксперт ИнфоТеКС выступил на закрытой онлайн-конференции «Цифровой рубль. Весна-2025» 🔘 Александр Самыловский, ведущий менеджер отдела продаж, рассказал о новых возможностях продуктов ViPNet для защиты инфраструктуры цифрового рубля. Около 500 представителей банковской сферы подключились к онлайн-трансляции, чтобы послушать доклады ведущих вендоров и обсудить волнующие вопросы, связанные с проектом по цифровому рублю. В ходе дискуссии обсуждался вопрос использования облачных решения в контексте цифрового рубля. Александр пояснил, что на данный момент отсутствуют облачные решения для цифрового рубля, одобренные регулятором. По требованиям регулятора Удостоверяющий центр у каждого банка должен быть свой собственный, контур контроля и контур обработки тоже. На совещании Банка России, которое состоялось в марте этого года, позиция регулятора по данному вопросу тоже была однозначна: никаких типовых или облачных решений для цифрового рубля не будет. 🛡 С точки зрения производителей средств криптографической защиты информации, размещение СКЗИ в облачной инфраструктуре имеет достаточно серьезные ограничения, особенно когда речь идет про высокие классы криптографической защиты, в частности класс КС3. Облачное решение в основном пытаются реализовать там, где хотят сэкономить на инфраструктуре, на закупке дополнительных серверов и дополнительных средств защиты информации. Такой подход несет серьезные риски с точки зрения информационной безопасности, и не позволяет выполнить требования регулятора к высоким классам криптографической защиты информации. ▫️ Компания «ИнфоТеКС» предоставляет банкам на бесплатное тестирование любые продукты ViPNet. Эксперты ИнфоТеКС совместно с банковскими специалистами готовы участвовать в анализе имеющийся инфраструктуры, давать рекомендации по корректному использованию СКЗИ непосредственно для их информационных систем. Для этого достаточно отправить заявку на soft@infotecs.ru

Сейчас самое подходящее время, чтобы полноценно подготовиться к масштабному запуску проекта по цифровому рублю, что позволит банкам, имеющим необходимый функционал, сохранить лидерские позиции и привлечь новых клиентов. Александр Самыловский

MobiFinance – 2025 ИнфоТеКС примет участие в XV Международной конференции «Мобильные финансы 2025» (MobiFinance – 2025) 20 мая в Москве. Организатором мероприятия выступила компания «АйФин Медиа» при поддержке Ассоциации российских банков (АРБ). 🔘 Елена Новикова, руководитель продуктового направления, расскажет о ViPNet САВС. Елена расскажет о процессе автоматизации выпуска сертификатов безопасности и сертификатов электронной подписи для пользователей платформы цифрового рубля с использованием решения ViPNet САВС. В докладе будут рассмотрены архитектура решения, взаимодействие с ЕСИА, роль компонентов 🔁 ViPNet EDI Soap Gate и ViPNet EDI Flow, а также особенности интеграции с системой дистанционного банковского обслуживания для безопасной аутентификации и передачи данных. Подробнее

Термины, определения и сокращения эпизод 3 ▫ Для реализации функций ЭП и шифрования, организации TLS-соединений нужны сертификаты и удостоверяющие центры, которые будут их выпускать. Термин дня – подчиненный удостоверяющий центр (ПУЦ) – это УЦ на стороне участника ПлЦР, средства которого сертифицированы по классу защиты не ниже КС3, и являющийся подчиненным по отношению к корневому УЦ ПлЦР Банка России. Назначение ПУЦ – обеспечение выпуска сертификатов ключей проверки ЭП пользователям ПлЦР. С учетом того, что в ЦР используется УНЭП, ПУЦ не подлежит аккредитации. Для хранения ключевой информации ПУЦ должен использоваться программно-аппаратный криптографический модуль (HSM). 🔑 Для реализации функций УЦ может использоваться 🗝 ViPNet Удостоверяющий центр 4, работающий совместно с 🗝 ViPNet HSM #ViPNet_HSM #УЦ4 #термины

⚪️Иван Мухин, ведущий менеджер отдела клиентских проектов, выступил с докладом «Криптографические продукты открытых ключей» на конференции ИнфоТеКС ТехноФест, которая состоялась в Красноярске. Эксперт рассказал о защите инфраструктуры цифрового рубля и продуктах линейки ViPNet PKI, которые применяются в комплексном решении.

Еще немного о криптографии ▫Для двухсторонней аутентификации и организации TLS-соединений с использованием российских криптоалгоритмов между пользователем и участником ПлЦР тоже должны применяться СКЗИ. На стороне пользователей мобильных приложений данный вопрос решается путем использования ПМ БР со встроенным СКЗИ, в нашем случае речь идет об СКЗИ ViPNet OSSL, а на стороне участника ПлЦР – TLS-шлюз ViPNet TLS Gateway. ▫ ViPNet TLS Gateway выпускается в разных исполнениях, поддерживает дуальный режим криптографии и может быть собран в кластер. ➖ Подробнее о ViPNet TLS Gateway и его преимуществах читайте на странице продукта #ViPNet_TLS

Оценка соответствия ИБ и консалтинг ▫️ Банк России обращает особое внимание на выполнение всеми подотчетными организациями требований в области информационной безопасности. Среди прочих услуг финансовым организациям «Перспективный мониторинг» проводит оценку: 🔘 Соответствия требованиям и нормативным актам Банка России 🔘 Требованиям национальных стандартов РФ 🔘 Требованиям по уровню доверия

Мы детально знаем все требования регулятора, потому что в команде ПМ есть «динозавры», которые входили в рабочие группы по формированию самых первых и ряда последующих требований к информационной безопасности в финансовой сфере. В тесном сотрудничестве с Банком России наши сотрудники участвовали в разработке практически всех стандартов, начиная с СТО БР ИББС и до ГОСТ 57580. Мы сделали: • 28 проектов по консалтинговому сопровождению внедрения ГОСТ Р 57580 • 53 оценки соответствия по ГОСТ Р 57580 • 3 проекта построения с «0» информационной инфраструктуры в соответствии с ГОСТ Р 57580.1 и нормативными актами Банка России

Подробнее смотрите в ролике с Александром Пушкиным, заместителем генерального директора компании «Перспективный мониторинг» 👇

Немного о контурах ▫ Участник ПлЦР (банк-посредник) для обеспечения безопасности технологии обработки и передачи электронных сообщений при осуществлении операций с ЦР должен реализовать в своей информационной инфраструктуре два выделенных контура: контур контроля и контур обработки. Все исходящие электронные сообщения должны поступать в Контур контроля только из Контура обработки, а все входящие сообщения от ПлЦР из Контура контроля должны передаваться только в Контур обработки. Для обработки электронных сообщений в контурах должны быть реализованы следующие криптографические функции: - формирование и проверка ЭП электронных сообщений; - шифрование и расшифрование электронных сообщений. При этом участник ПлЦР должен подписывать электронные сообщения ЭП, сертификат ключа проверки которой выдан УЦ Банка России в соответствии со ст.13 Федерального закона № 63-ФЗ. С 01.01.2025 вступили в силу Положения 833-П, которые определяют для использования в данных сегментах инфраструктуры банков СКЗИ не ниже класса КС3. ▫ Разработанный ИнфоТеКС сервер подписи ViPNet PKI Service полностью соответствует данным требованиям, обладает необходимым криптографическим функционалом для использования в указанных контурах, удобен для встраивания (интерфейс REST API) и размещения (единая безопасная платформа СКЗИ класса КВ). 🗝 Подробнее о ViPNet PKI Service и его преимуществах читайте на странице продукта #ViPNet_PKI #Цифровойрубль

Термины, определения и сокращения эпизод 2 Продолжаем изучать сокращения, термины и определения, которые используются в ЦР: Согласно Положению Банка России от 7 декабря 2023 г. № 833-П "О требованиях к обеспечению защиты информации для участников платформы цифрового рубля", защита электронных сообщений при их передаче должна обеспечиваться посредством использования усиленной неквалифицированной электронной подписи (УНЭП). ⚪Определение и обязательные параметры указаны в Федеральном законе №63-ФЗ «Об электронной подписи»: – УНЭП является результатом криптографического преобразования информации с использованием уникальной последовательности символов (ключа электронной подписи); – позволяет идентифицировать лицо, подписавшее электронный документ и обнаружить факт внесения изменений в электронный документ после момента его подписания. 🔧 Для УНЭП в ПМ БР от ИнфоТеКС используется ViPNet OSSL 🗝 Для УНЭП на стороне участника ПлЦР мы рекомендуем использовать сервер ЭП ViPNet PKI Service #термины #ViPNet_OSSL #ViPNet_PKI

В Банковском обозрении вышла статья Риммы Бадмаевой, ведущего менеджера продуктов, «На уровне безопасности. Защита инфраструктуры цифрового рубля в банках» ▫️ Проект цифрового рубля пока на стадии пилотного тестирования, но уже сейчас идет активная работа по обеспечению его безопасности. Крупнейшие банки страны готовятся к масштабному внедрению, а требования к защите информации зафиксированы в Положении № 833-П Банка России. Компания «ИнфоТеКС» участвует в этом проекте, разрабатывая решения для защиты операций с цифровым рублем. В статье Римма рассказывает, как обеспечивается криптографическая защита мобильных приложений банков, какие СКЗИ используются, и какие технологии помогут финансовым организациям соответствовать требованиям регулятора. #статья #цифровойрубль

▫️ Михаил Грунтович, руководитель обособленного подразделения, и Константин Стародубов, представитель департамента информационной безопасности Банка России, выступили на секции ИБ и криптогоафия в банковской сфере. Эксперты рассказали, что такое Open API, где применяется и как обеспечивается информационная безопасность, как используется технология делегированной аутентификации/авторизации OAuth 2.0 в рамках Open API для организации доступа клиентских приложений пользователя к серверам ресурсов. ▫️ Дмитрий Гусев, заместитель генерального директора, принял участие в панельной дискуссии о взаимодействии банковского сектора и российской криптографической отрасли. Участники обсудили ожидания банков от криптографии и возможности отрасли.

🔵 Владимир Голованов, заместитель начальника аналитического отдела, рассказал об участии экспертов ИнфоТеКС на конференции «РусКрипто’2025» 20 марта: ▫️Михаил Грунтович, руководитель обособленного подразделения, выступит с докладом «Безопасность OpenAPI: когда "открытый" не значит "уязвимый"» в секции «Информационная безопасность и криптография в банковской сфере. Часть 1» в 12:00 ▫️ Дмитрий Гусев, заместитель генерального директора, примет участие в панельной дискуссии «Банковский бизнес VS криптографическая отрасль» в 15:00

Термины, определения и сокращения эпизод 1 Давайте подробно рассмотрим сокращения, термины и определения, которые используются в цифровом рубле (ЦР): Итак, термин «Программный модуль Банка России» или ПМ БР – это программное обеспечение (библиотека), встраиваемое в мобильное приложение банка-участника платформы цифрового рубля. ПМ БР предназначен для обеспечения взаимодействия пользователя с платформой цифрового рубля и отвечает за криптографические преобразования, такие как: генерация ключей, создание запросов на сертификаты, хранение сертификатов, организация ГОСТ TLS-соединений, а также подписание исходящих электронных сообщений, их шифрование, расшифрование и проверка подписи. Ядром ПМ БР является средство криптографической защиты информации (СКЗИ) и средство электронной подписи (ЭП), сертифицированные по классу защиты КС1. 🔧 Компания «ИнфоТеКС» по заданию Банка России разработала ПМ БР с использованием криптобиблиотеки ViPNet OSSL. Подробнее о ViPNet OSSL и его преимуществах читайте на странице продукта #термины #ViPNet_OSSL

Иван Мухин, ведущий менеджер отдела клиентских проектов, рассказал о роли продуктов ViPNet в защите инфраструктуры цифрового рубля в банках. ⚪ Иван объяснил, как Банк России организует выпуск и использование цифрового рубля, какие требования предъявляются к обеспечению защиты информации для участников платформы цифрового рубля. Основное внимание было уделено решениям ИнфоТеКС для защиты инфраструктуры цифрового рубля: ViPNet TLS Gateway, ViPNet PKI Service, ViPNet OSSL, ViPNet САВС и другие. Также спикер затронул вопросы использования сертифицированных СКЗИ и проведения работ по оценке влияния.

Римма Бадмаева, ведущий менеджер продуктов, представила ViPNet УЦ 5 — новую версию удостоверяющего центра, созданную с учетом импортозамещения и удобства размещения. ▫ Были раскрыты его состав, функции и планы по развитию. Особое внимание было уделено процессу перехода на 5-ую версию ViPNet УЦ.

🛡 Сергей Дурягин, вице-президент ИнфоТеКС, в ходе вебинара «Цифровой рубль: трансформация платежного рынка и новый подход к безопасности» отметил:

Обеспечивая защиту инфраструктуры цифрового рубля, банки должны не только встроить требуемые СКЗИ, но и провести оценку отсутствия деструктивного влияния на них со стороны использующих их программ. Показать корректность встраивания СКЗИ в прикладные платформы. Участвуя в пилоте проекта по цифровому рублю, мы много внимания уделяем именно этому аспекту. Рассказываем коллегам из финансового сектора, как проводить оценку влияния, про аккредитованные испытательные лаборатории, которые имеют право и опыт проведения соответствующих работ, необходимых ресурсах, в том числе и временных, которые следует закладывать на эти работы.

🔘 Сегодня в 12:00 Сергей Дурягин, вице-президент, примет участие в вебинаре «Цифровой рубль: трансформация платежного рынка и новый подход к безопасности». Эксперты обсудят ключевые вопросы, связанные с цифровым рублем: насколько он безопаснее наличных и безналичных средств, кто и как будет обеспечивать эту безопасность, кому выгодны мифы о цифровой валюте, а также возможные риски избыточного регулирования и контроля со стороны государства. Смотреть

🔘 Владимир Голованов, заместитель начальника аналитического отдела, в интервью NBJ рассказал об участии ИнфоТеКС в проекте по цифровому рублю, объяснил, почему вендор пересмотрел свои приоритетные направления развития в сторону защиты банковского сектора, и можно ли средства защиты информации для финансового сектора использовать в других отраслях экономики.

ИнфоТеКС участвует в проекте цифрового рубля Банка России с момента его старта. На начальных этапах шла выработка целого ряда универсальных требований: как создать «секретный ключ» физическому лицу, как защитить формирующиеся данные и других. Для отдельных режимов работы нами готовились соответствующие предложения. Ну а как вендора, основная наша задача заключалась в создании продуктов на основе технологий, которые должны быть реализованы в банках удобным им способом для обеспечения надлежащего уровня защищённости при доступе к платформе цифрового рубля. Мы как одна из компаний-подрядчиков, отобранных Банком России, предлагаем свои средства криптографической защиты информации (СКЗИ), встроенные в ядро программного модуля Банка России, который призван обеспечить криптографическую защиту передаваемых данных в мобильном приложении пользователя. Можно сказать, что программный модуль – это надстройка в виде API для работы мобильного приложения ДБО банка с необходимыми функциями защиты, реализуемыми СКЗИ. Владимир Голованов

Читать

🔘 Для профессионального обсуждения тем информационной безопасности и криптографии в финтехе у нашего канала есть специальный чат. Присоединяйтесь, чтобы делиться опытом, обмениваться актуальной аналитикой и обсуждать ключевые тенденции отрасли в профессиональном сообществе.