Bezpečnostní SW >> Sillicon SW >> Průmyslový HW >> GNU Licence >> Debian Linux >> Embedded Linux

Rozdělení bankovních operací


Bankovní operace jsou pro potřeby internetbankingu rozděleny do dvou částí. První část tvoří pasivní operace - informace o účtech. Druhou část tvoří aktivní operace – příkazy k úhradě. Aktivní bankovní operace je nutné autorizovat. Po každé aktivní bankovní operaci se přechází do stránky autorizace, kvůli kontrole zadáných údajů.


Pasivní operace


  • Aktuální informace

Aktuální informace obsahují základní údaje o účtu a jeho stavy.


  • Elektronický výpis

Elektronický výpis obsahuje pohyby na účtu z posledního obratu na účtu.

  • Historie účtu

Historie účtu umožňuje klientovi provést parametrický výběr a vytvořit tak vlastní výpis z účtu.


  • Přehled aktuálních plateb

Přehled aktuálních plateb obsahuje informace o zadaných platbách. Je platný do provedení operace Begin of Day (BOD) administrátorem EB. V přehledu zůstávají platby, které mají datum splatnosti v budoucnu.


Aktivní operace

  • Příkaz k úhradě, k inkasu v CZK

Je možné poslat několik příkazů v jedné dávce. Každý příkaz musí být však kontrolován zvlášť. Povinná pole jsou barevně odlišena. Po správném vyplnění lze celý příkaz uložit do registru partnerů. Ukládání a výběr partnerů je prováděn prostřednictvím samorozbalovacích rolet. Všechny číselníky, které jsou u platebního příkazu použít jsou ve formě samorozbalovacích rolet. Lze použít i přímý zápis, mimo tento výběr.


  • Příkaz k úhradě v cizí měně

Příkaz k úhradě v cizí měně předpokládá přepočet měny platebního příkazu, zadaného klientem, na měnu ve které je účet veden. V internetbankingu se používají devizy.


  • Storno platebních příkazů

Bankovní příkaz může být na žádost klienta stornován.


Funkce související s bezpečností


Funkce umožňují klientovi práci s bezpečnostními parametry. Jsou to tyto funkce:

  • informace o certifikátu klienta

  • změna hesla

  • prodloužení platnosti certifikátu

  • blokování přístupu

Informace o certifikátu klienta


Standardně jsou certifikáty ukládány do adresářů, nebo USB tokenů, definovaných operačním systémem. Klient však může zvolit jiné umístění. Klientovi jsou k dispozici následující informace

  • platnost certifikátu od – do

  • elektronický otisk certifikátu, kvůli případnému porovnání s údaji v bance

  • umístění certifikátu

  • historie certifikátu

    • platnost od – do

    • elektronický otisk certifikátu


Změna hesla


Změna hesla se týká přístupu k certifikátům. Mění se standardním způsobem. Staré heslo, nové heslo a ověření hesla.


Prodloužení platnosti certifikátu


Prodloužit platnost certifikátu může klient provést prostřednictvím internetbankingu, ale pouze pokud má platný dosavadní certifikát. Prodloužit platnost lze pouze o předem definované období – rok, půl roku a dva roky (v tomto pořadí). Vzhledem k tomu, že se jedná o aktivní operaci, z pohledu internetbankingu, je nutná autorizace (viz kap.2.3). Jestliže se započne operace registrace, musí být dokončena. Pokud je přerušena, například ukončení prohlížeče, nebo vypršením časového intervalu, je po novém přihlášení klient automaticky přesměrován na stránku se změnou certifikátu. K ostatním oknům nemá přístup.


Blokování přístupu


Internetbanking umožňuje klientovi zablokovat, v případě potřeby, svůj přístup k účtům. Pro odblokování je potřeba navštívit banku.


Celková architektura IB


Základní architektura systému IB2 zajišťuje:


  • tvorbu WWW stránek

  • bezpečnost

  • napojení na Internet

  • posílání autorizačních SMS

  • správu Internetbankingu

  • vzdálenou administraci serverů


Popis vazeb, konektů včetně čísel portů je uveden na následujícím obrázku


      Architektura serverovské části


Architektura serverovské části musí umožňovat provoz obou typů IB a HB











































Následující tabulka obsahuje instalované programové prostředky na jednotlivých počítačích.


Produkční server Linux a záložní server Linux

SW

význam v EB

OS Debian


SiteServer Apache

řizení WWW stránek

PHP5

WEBAdmin

Java Applety

bezpečnost

ComTech Website Framework - CWF

bezpečnost – přístup do MS SQL 200

ComTech InternetBanking server

vlastní internetbanking server

ComTech Message Server

server pro posílání E-mail a SMS


Produkt


Poznámka – přiřazení IP adres a názvy počítačů


Server

Computer Name

IP address

Produkční Windows


172.17.0.21

Záložní Windows



Produkční Linux


172.17.0.20

Záložní Linux





Instalace a správa serverových komponent UNIXu

Velká část aplikací elektronického bankovnictví poběží pod operačním systémem GNU/Linux. Na server je proto nainstalovaná linuxová distribuce Debian 4.0 s kódovým označením Etch. Tato distribuce vyniká výbornou bezpečnostní podporou, stabilitou, a samozřejmě i cenou.


Operační systém Debian 4.0 Etch


Debian je svobodný operační systém. Základem operačního systému je jádro, které zajišťuje všechny jeho základní služby. Debian k tomuto účelu využívá jádro Linux. Protože velká část základních nástrojů, které spolu s jádrem vytvářejí kompletní operační systém, pochází z projektu GNU, nazýváme tento systém GNU/Linux.

Pro potřeby elektronického bankovnictví je Debian nakonfigurovaný jako server. Jsou nainstalovány pouze nezbytné aplikace:


  • Linuxové jádro verze 2.6.18 (plus patche od debianu)

  • Firewall IPTables a Firehol

  • Logovací server Syslog-NG

  • SSH Server OpenSSH

  • Website server Apache2

  • Emailový server Postfix (pouze pro odesílání)

Na serveru jsou vytvoření dva uživatelé root (administrátor) a ibnu (běžný uživatel). Uživatel ibnu se používá pro vzdálený přístup, protože root má vzdálený přístup zakázaný.


Povolené porty


Samotný server pomocí firewallu povoluje pouze některé porty. Z vně tohoto počítače se dá připojit pouze na tři porty (443, 3511, 7675).


Port

Aplikace

Přístup z

Popis

443

Apache2/CF/IBN

Internet

Elektronické bankovnictví

2057

Comtech Message Server

Local

Posílání mailů a SMS

3511

SSH

Comtech

Vzdálená správa

7675

Apache2/PHP/WebAdmin

WSPK

WebAdmin



Apache2, Comtech Internet Banking modul a WebAdmin


Pro http komunikaci je používán Website server Apache verze 2. Pro minimalizaci problémů Jsou povoleny pouze nutné moduly. Z bezpečnostních důvodů běží vlastní server v chroot prostředí. Kořenový adresář je /var/wwwroot. Adresářová struktura:


  • lib – Základní aplikační knihovny

  • usr/lib - Aplikační knihovny

  • usr/share – Data nezávislá na architektuře

  • var/lib – Dynamicky se měnící data

  • var/www/ibn – Data a kód elektronického bankovnictví

  • var/www/webadmin – Data a kód webadminu


Modul Comtech Internet Banking postavený na Comtech framework je navržen jako CGI aplikace využívající pro zrychlení komunikace s vlastním Apache serverem modul fcgi. Kořenem adresářem této služby je /var/www/ibn, který je umístěn v chrootu aplikace apache. Popis adresáové struktury:


  • ibn – Vlastní kód CGI služby (ibn.fcgi).

  • log – Logovací soubory.

  • sessions – Data klientských sessions. Sessions nepoužívané 30 minut jsou automaticky mazány.

  • tpls – Šablony stránek.

  • www – Data WWW stránek (applety, css, obrázky, javascript), Jediný přístupný adresář pomocí http.



Logovací soubory


Systémové logovací soubory jsou uloženy na standardním místě v adresáři /var/log. Logovací soubory služby elektronického bankovnictví jsou uloženy v adresáři /var/wwwroot/var/www/ibn/log. Logovací soubory apache2, elektronického bankovnictví a Comtech Message Serveru jsou každý týden rotovány a je archivováno 52 posledních rotací (zhruba 1 rok).



Log soubor

Popis

/var/log/apache/ibn-access.log[.rotace]

Log přístupů na IBN

/var/log/apache/ibn-error.log[.rotace]

Log chyb IBN

/var/log/apache/webadmin-access.log[.rotace]

Log přístupů na WebAdminu

/var/log/apache/webadmin-error.log[.rotace]

Log chyb WebAdminu

/var/log/cmsgd/cmsgd.log[.rotace]

Log služby Comtech Message Server

/var/wwwroot/var/www/ibn/log/ibn.log[.rotace]

Log modulu IBN



Comtech Message Server modul


Aplikace Comtech Message Server slouží k posíláni SMS pomocí O2 SMS konektoru a k bezpečnému zasílání elektronické pošty. Služba se spouští pomocí skriptu /etc/init.d/cmsgd <start|stop>. Skript načte nastavení z konfiguračního souboru /etc/default/cmsgd a předá ho pomocí parametrů vlastnímu serveru. Seznam parametru je v následujícím výpisu.


Usage:

cmsgd [OPTION...] - Comtech Message Server



Help Options:

-?, --help Show help options

--help-all Show all help options

--help-mail Mail interface for sendimg messages

--help-sms SMS O2 interface for sendimg messages



Mail interface

-m, --mail-command Sendmail command (Default /usr/sbin/sendmail -t')



SMS O2 interface

-u, --sms-url O2 Connector URL

-C, --sms-crt Certificate (PKCS12 format)

-w, --sms-password Password file for certificate

-b, --sms-baid Business application identification

-W, --sms-wait Wait time in milisecond before next SMS (Default 1000)

-R, --sms-reset Reset time in milisecond (Default 30000)



Application Options:

-D, --daemon Run as daemon

-p, --port Port on which the server listens (Default 2057)

-c, --cache Cache directory for storing messages

-f, --logfile Log to file

-l, --loglevel Log level (0-5)

-P, --pidfile Pid file (Default /var/run/cmsgd.pid)

-V, --version Display version information







Administrátorské nástroje


Pro správu Internet Bankingu jsou vytvořeny dva administrátorské nástroje. Z pohledu bezpečnosti Internet Bankingu slouží především k registraci veřejných klíčů a GSM telefonních čísel pro SMS autorizaci. Oba nástroje provádějí zápisy do tabulek, které udržují záznamy o provedených operacích s údaji klientů a s jejich účty.

Kromě toho umožňují zadávání základních informací o klientovi, jako je jméno, sídlo (bydliště), atd. Lze zadat také základní informace o účtu (číslo, název, stavy, atd.)


GEBAdmin


GEBAdmin je hlavní administrátorský nástroj, určený pro ústředí.

Je napojen přímo na databázi prostřednictvím vnitřní sítě. Jedná se o standardní aplikaci se standardními přístupy do databáze. Vstup je chráněn uživatelským jménem a heslem. Kontroluje se zda nové a předchozí heslo není stejné. Umožňuje podrobné sledování stavu Internet Bankingu, nastavení parametrů bankovních operací a především práci s uživateli administrátorských nástrojů, tedy

  • Vytvoření nového uživatele

  • Nastavení přednastavených hesel

  • Blokování uživatele

  • Vymazání uživatele


WEBAdmin


WEBAdmin je podřízený administrátorský nástroj, určený pro pobočky

Je napojen prostřednictvím HTTPS protokolu na databázi. K ní přistupuje prostřednictvím PHP 5. K přístupu používá pobočkovou síť.

Umožňuje zadávání nového klienta, jeho registraci, nebo přeregistraci. Dovoluje také editovat stávající účty, ale pouze jejich název a zadávat nové účty.

Vstup je opět chráněn jménem a heslem. Veškeré aktivní operace je nutné potvrzovat druhým pracovníkem a to jeho uživatelským jménem a heslem. Záznamy jsou vedeny nejen o tom, kdo operaci zadal, ale také o tom, kdo ji potvrdil.

Nový uživatel WEBAdminu je nucen změnit přednastavené heslo při prvním přihlášení. V opačném případě se nepřihlásí. Stávající uživatel může měnit vlastní heslo. Je to jediná operace, která mu je povolena. Kontroluje se zda nové a předchozí heslo není stejné. Délka hesla je minimálně 8 znaků a musí použít velká písmena, malá písmena a číslice.

© ComTech 1994-2008