रोस्टेलेकॉम की के साथ बॉयोमीट्रिक्स: एफएसबी ने पहली बार रूसी क्रिप्टोग्राफी को एप्लीकेशन स्टोर में कैसे लॉन्च किया

रूस में यह गर्मी, कानूनी रूप से महत्वपूर्ण के लिए यूनिफाइड बायोमेट्रिक सिस्टम और उसी समय उपयोगकर्ता के लिए पहचान का सरल सत्यापन शुरू किया गया था। यह कैसे व्यवस्थित किया जाता है, इसके बारे में हमने हालिया पोस्ट में लिखा है।

प्रणाली का उपयोग करने के लिए सुविधाजनक बनाने के लिए, आपको एक आवेदन की आवश्यकता है। इस एप्लिकेशन का निर्माण - "रोस्टेलकॉम की" - हमारे लिए नए कार्यों, नई चुनौतियों के साथ पूरे बोनस स्तर पर खुला है। जैसा कि आप अनुमान लगा सकते हैं, इसका उद्देश्य उपयोगकर्ताओं की सुरक्षा में सुधार करना है।



मुख्य उत्पाद के बारे में संक्षेप में। एक एकल बायोमेट्रिक सिस्टम किसी व्यक्ति की व्यक्तिगत उपस्थिति के बिना किसी व्यक्ति की कानूनी रूप से सार्थक दूरस्थ पहचान का संचालन करने के लिए बायोमेट्रिक डेटा के संयोजन का उपयोग करने की अनुमति देता है। तो आप कुछ साइबेरियाई अयस्कों की गहराई से भी बैंक ऋण प्राप्त कर सकते हैं। इंटरनेट के साथ, बिल्कुल।

आवेदन कैसे काम करता है

एक साधारण उपयोगकर्ता बैंक की यात्रा के साथ सिस्टम के साथ काम करना शुरू कर देता है, जहां वह यूनिफाइड बायोमेट्रिक सिस्टम के लिए बायोमेट्रिक डेटा जमा करता है और उन्हें ईएसआईए के साथ जोड़ता है । उसके बाद उसके लिए नए अवसर खुलते हैं। आवेदन की योजना "कुंजी रोस्टेलकॉम":

1. उपयोगकर्ता एप्लिकेशन "कुंजी रोस्टेलकॉम" डाउनलोड करता है
   
2. उपयोगकर्ता ब्याज के बैंक के आवेदन को खोलता है और सेवा का चयन करता है।
   
3. बैंक एप्लिकेशन उपयोगकर्ता को स्थापित रोस्टेलकॉम कुंजी एप्लिकेशन को भेजता है, जबकि बैंक को सुरक्षित संचार चैनल के माध्यम से सत्र पहचानकर्ता को प्रेषित करता है।
   
4. "रोस्टेलकॉम की" एप्लिकेशन में, उपयोगकर्ता ईएसआईए में लॉग इन करता है (दूसरे शब्दों में, राज्य सेवाओं में) और एक प्राधिकरण टोकन प्राप्त करता है - ईएसआईए-आईडी;
   
5. प्राप्त ईएसआईए-आईडी के साथ "रोस्टेलकॉम की" एप्लिकेशन में, उपयोगकर्ता यूनिफाइड बायोमेट्रिक सिस्टम से संपर्क कर रहा है। यदि ईएसआईए-आईडी पंजीकृत है, तो एप्लिकेशन बायोमेट्रिक्स एकत्र करता है - एक आवाज और एक चेहरे की छवि के साथ एक वीडियो रिकॉर्ड करता है। सुरक्षित चैनल पर यह डेटा यूनिफाइड बायोमेट्रिक सिस्टम पर जाता है।
   
6. सिस्टम मौजूदा नमूने के साथ प्राप्त आंकड़ों की तुलना करता है, संयोग की संभावना निर्धारित करता है। यदि संचार मंत्रालय के आदेश द्वारा स्थापित स्तर (99.99%) से अधिक है, तो संभावना बैंक में स्थानांतरित हो जाती है।
   
7. बैंक को एक प्रतिक्रिया मिलती है और यदि आवश्यक हो, तो ईएसआईए-ईएसआईए-आईडी के माध्यम से उपयोगकर्ता के बारे में अतिरिक्त जानकारी का अनुरोध करता है। इसी समय, डेटा सीधे ईएसआईए और बैंकिंग प्रणालियों के बीच स्थानांतरित किया जाता है।
   

कैसे सब कुछ सुरक्षित है

मुख्य प्रश्न, ज़ाहिर है, डेटा सुरक्षा। तीन संचार प्रणालियों के बीच सभी संचार चैनल - ईएसआईए, यूनिफाइड बायोमेट्रिक सिस्टम और बैंक - रूसी क्रिप्टोग्राफी का उपयोग करके टीएलएस गेटवे का उपयोग करके संरक्षित हैं।

आवेदन में, उपयोगकर्ता सिस्टम में प्रमाणपत्र मापदंडों की तुलना यूनिफ़ॉर्म बायोमेट्रिक सिस्टम की साइट पर तैनात प्रमाणपत्र मापदंडों से कर सकता है। तो आप यह सुनिश्चित कर सकते हैं कि कनेक्शन वास्तव में एकीकृत बॉयोमीट्रिक सिस्टम के लिए है। एफएसबी ने मध्यम हमलों में आदमी को बाहर करने की तुलना करने की सिफारिश की है जब सभी उपयोगकर्ता अनुरोध एक हमलावर के टीएलएस गेटवे के माध्यम से अवरोधन करते हैं।



इसके अलावा, एप्लिकेशन और क्रिप्टोग्राफिक सुरक्षा मॉड्यूल के चेकसम लागू किए जाते हैं। ऐसा तब होता है जब आप एप्लिकेशन शुरू करते हैं, साथ ही सेटिंग्स और सुरक्षा मेनू में किसी भी समय मैन्युअल रूप से। यदि चेकसमों का मिलान नहीं होता है, तो आवेदन बंद कर दिया जाता है और समस्या के ठीक होने तक ऑफ़लाइन काम करता है।



नतीजतन, रोस्टेलकॉम की के सुरक्षा तंत्र ऑपरेटिंग सिस्टम पर भरोसा नहीं करते हैं - उनके स्वयं के एन्क्रिप्शन उपकरण और अखंडता नियंत्रण आवेदन से बंधे हैं। सत्यापन चरण में, किसी और के बायोमेट्रिक्स को प्रतिस्थापित करना विफल हो जाता है - सिस्टम जालसाजी का निर्धारण करेगा। लेकिन ओएस पक्ष पर सुरक्षा उल्लंघनों के कारण, सिद्धांत रूप में, आप उपयोगकर्ता और एप्लिकेशन के बीच पच्चर कर सकते हैं और प्राधिकरण के लिए प्रेषित डेटा को रोक सकते हैं। दुर्भाग्य से, यह संभव है, विशेष रूप से ट्रोजन के साथ निहित उपकरणों पर। हम परिचालन वातावरण की जिम्मेदारी नहीं ले सकते। आवेदन बस रूट की उपस्थिति निर्धारित करता है और अगर यह शुरू नहीं होता है।

प्रारंभ में, UX के संदर्भ में, सब कुछ बहुत जटिल था। रोस्टेलकॉम की में उपयोगकर्ता पथ में 20 स्क्रीन शामिल थे, जिनमें से 13 सुरक्षा से संबंधित थे। लेकिन UX के दृष्टिकोण से इस सभी का मूल्यांकन करने के बाद, हमने इस हिस्से को 3-4 स्क्रीन तक कम कर दिया। इस तरह की प्रगति के लिए विभिन्न स्तरों पर एक से अधिक चर्चा की आवश्यकता थी।

कानून की गंभीरता

रूस में बॉयोमीट्रिक डेटा के भंडारण और हस्तांतरण को कई कृत्यों द्वारा विनियमित किया जाता है:

• बायोमेट्रिक व्यक्तिगत डेटा की सुरक्षा - 9 जुलाई 2018 को बैंक ऑफ रूस अध्यादेश संख्या 4859-यू दिनांकित
  
• यह निर्देश 10 जुलाई, 2014 को रूस नंबर 378 की संघीय सुरक्षा सेवा के आदेश को संदर्भित करता है, जो केसी 1 सुरक्षा का उपयोग करने की आवश्यकता को स्थापित करता है, जिसका अर्थ है कि यूनियनों बायोमेट्रिक सिस्टम और उपयोगकर्ता डिवाइस के बीच संचार चैनल की सुरक्षा के लिए रूसी क्रिप्टोग्राफी के उपयोग की आवश्यकता है।
  
• निर्णयों के प्रमाणीकरण के लिए रूसी क्रिप्टोग्राफी का उपयोग करते समय, रूसी संघ के एफएसबी के पीकेजेड 2005 के प्रावधान को बनाए जाने वाले समाधानों के तथाकथित मामले के अध्ययन के लिए एफएसबी की आवश्यकता होती है।
  

प्रमाणीकरण पारित करने के लिए, एफएसबी को पूरी जानकारी प्रदान करना आवश्यक है जिसके बारे में आवेदन में किन सुरक्षा तंत्रों का उपयोग किया जाता है, किन कार्यों पर हस्ताक्षर किए जाते हैं, और न केवल आवेदन के स्रोत कोड, बल्कि बातचीत के अन्य बिंदु भी। इस प्रक्रिया को समय पर नियंत्रित नहीं किया जाता है और इसके परिणामस्वरूप बड़ी वित्तीय लागत आती है। बैंकिंग एप्लिकेशन कोड में किसी भी बदलाव के लिए प्रक्रिया को दोहराने की आवश्यकता होती है, जो कि तिमाही में एक बार रिलीज के साथ असंभव है, और यहां तक ​​कि महीने में एक बार भी। सामान्य तौर पर, कल्पना करें कि रूस में कितने बैंकिंग अनुप्रयोग हैं। एक मृत अंत की तरह लगता है।

लेकिन हमने इस गतिरोध से निकलने का रास्ता खोज लिया है। रोस्टेलकॉम की के साथ काम करते समय, बैंकिंग एप्लिकेशन बायोमेट्रिक्स के साथ बातचीत नहीं करते हैं, लेकिन केवल उपयोगकर्ता सत्र पहचानकर्ता प्राप्त करते हैं। इस प्रकार, बैंक एप्लिकेशन बैंक ऑफ रूस के निर्देश के दायरे में नहीं आते हैं।

एक अन्य समस्या रूसी क्रिप्टोग्राफी का उपयोग करके अनुप्रयोगों के अनिवार्य उदाहरण लेखांकन था। इस मुद्दे को भी हल किया गया था - सफल प्रमाणीकरण पर, डिवाइस पहचानकर्ता और ईएसआईए उपयोगकर्ता आईडी सिस्टम में प्रेषित होते हैं, जो पंजीकरण सर्वर को उपयोगकर्ता और डिवाइस की पूरी तरह से पहचान करने की अनुमति देता है।

Google Play और ऐप स्टोर पर पहली रूसी क्रिप्टोग्राफी

यह रोमांच यहीं खत्म नहीं हुआ। FSB के दृष्टिकोण से, Google Play और AppStore विश्वसनीय स्रोत नहीं हैं, और रोस्टेलेकॉम कुंजी अनुप्रयोगों का उपयोग उनके द्वारा नहीं किया जा सकता है। यदि आप SKZI मॉड्यूल (क्रिप्टोग्राफिक सूचना सुरक्षा उपकरण) "रोस्टेलकॉम की" को एक विश्वसनीय स्रोत से सामान्य रोस्टेलकॉम एप्लिकेशन में लोड करते हैं, तो आवेदन स्टोर इसके खिलाफ होंगे। क्योंकि ट्रोजन या स्पाईवेयर वितरित करने के लिए ऐसी योजनाएँ मानक हैं। और अगर Google Play हमसे मिलने गया, तो AppStore ने स्पष्ट रूप से इनकार कर दिया।

सैद्धांतिक रूप से, एक और दृष्टिकोण है - खुद रोस्टेलेकॉम के सर्वर से एप्लिकेशन इंस्टॉल करने के लिए। लेकिन फिर हम विरोधाभास पर आते हैं: एक सुरक्षित समाधान स्थापित करने के लिए, उपयोगकर्ताओं को किसी भी स्रोत से एप्लिकेशन की स्थापना की अनुमति देकर पर्यावरण की सुरक्षा को कम करने की आवश्यकता है।

हमने नियामकों के साथ चर्चा करते हुए एक सप्ताह से अधिक समय बिताया कि समस्या को कैसे हल किया जाए। और अंत में, हम सहमत हुए, Google Play और ऐप स्टोर अनुप्रयोगों के माध्यम से वितरित करने की अनुमति प्राप्त की, रूसी क्रिप्टोग्राफी के साथ कार्य प्रक्रिया में बनाया गया।

कारक विश्लेषण से व्यवहार विश्लेषण तक

हालांकि यह सीधे रोस्टेलकॉम कुंजी अनुप्रयोग की चिंता नहीं करता है, हम इस बारे में थोड़ी और बात करना चाहते हैं कि डेटा यूनिफाइड मेथेमेट्रिक सिस्टम में कैसे सत्यापित किया जाता है।

प्रत्येक बायोमेट्रिक कारक व्यक्तिगत रूप से - आवाज, चेहरा - नकली हो सकता है। इसलिए हम एक अधिक जटिल और विश्वसनीय "व्यवहार" दृष्टिकोण का पालन करते हैं - हम एक साथ कारकों का विश्लेषण करते हैं। उपयोगकर्ता पहले मुस्कुराते हैं, फिर अपना सिर घुमाते हैं और अंत में एक पासफ़्रेज़ का उच्चारण करते हैं। क्रियाओं का एक अपेक्षाकृत जटिल अनुक्रम जो सिस्टम द्वारा भिन्न हो सकता है। उसके पास जितने अधिक संदेह हैं, एल्गोरिथ्म उतना ही जटिल है। सार्वजनिक सेवाओं के लिए उपयोगकर्ता नाम और पासवर्ड दर्ज करने के लिए एक अतिरिक्त स्तर की सुरक्षा की आवश्यकता है।

बायोमेट्रिक नमूनों का विश्लेषण करते समय, सत्यापन टेम्प्लेट जनरेट करने और जाँचने के लिए मौलिक रूप से अलग-अलग एल्गोरिदम के साथ अलग-अलग बायोमेट्रिक प्रोसेसर एक साथ उपयोग किए जाते हैं। यदि उनमें से कम से कम एक प्रतिस्थापन पर संदेह है, तो हम इसे हैक करने और विश्लेषण के लिए डेटा भेजने का प्रयास मानते हैं। इसलिए, विस्तार से जानने के लिए एक या एक जोड़ी प्रोसेसर के एल्गोरिदम पर्याप्त नहीं होंगे। फिलहाल, दुर्भाग्य से, यह सत्यापन त्रुटियों को जन्म दे सकता है। उदाहरण के लिए, यदि किसी व्यक्ति की बदली हुई आवाज है, तो उसके चारों ओर बहुत कम रोशनी या ज्यादा शोर है। फिर भी, किसी भी तरह से सुरक्षित होना बेहतर है: जब धोखाधड़ी का थोड़ा सा संदेह प्रकट होता है, तो हम बैंक को इसके बारे में सूचित करते हैं।



समानांतर में, हम काफी मानक सुरक्षा दृष्टिकोण लागू करते हैं - उदाहरण के लिए, लॉगिन प्रयासों की संख्या पर प्रतिबंध। यदि उपयोगकर्ता ने हमेशा मास्को से आवेदन दर्ज किया है, और फिर अचानक एक अनुरोध पहले बांग्लादेश से आया, और फिर हांगकांग से। यह सब एक ऐसा अवसर है जिस पर विचार करने के लिए समझौता किया जाता है।

सिद्धांत रूप में, सिस्टम आपको बायोमेट्रिक डेटा एकत्र करने वाले बैंक कर्मचारियों की भागीदारी के साथ अधिक जटिल धोखाधड़ी योजनाओं की पहचान करने की अनुमति देता है। यदि ऐसी स्थितियों का पता लगाया जाता है, तो हम सिस्टम का उपयोग करके सभी बैंकों और अन्य संगठनों के लिए अपराधी को रोकते हैं। मुश्किल मामलों में, आप बैंक द्वारा एकत्र किए गए सभी बायोमेट्रिक्स को ब्लॉक कर सकते हैं।

कौन किसका पीछा कर रहा है?

रूसी संघ के कानूनों के अनुसार, बायोमेट्रिक डेटा (किसी भी अन्य उपयोगकर्ता की जानकारी की तरह) केवल आधिकारिक अनुरोध पर और अदालत के फैसले से जांच अधिकारियों को प्रेषित किया जाता है। मानक नियम यहां लागू होते हैं।

डिफ़ॉल्ट रूप से, यूनिफाइड बायोमेट्रिक सिस्टम का उपयोग केवल इसके ऑपरेटर के लिए उपलब्ध है - रोस्टेलकॉम। बैंकों और किसी भी अन्य उपयोगकर्ता जिनके साथ सहयोग करते हैं, उन्हें बायोमेट्रिक डेटा प्रदान नहीं किया जाता है - संगठनों को केवल तुलनात्मक परिणामों का आकलन प्राप्त होता है, संभावना है कि व्यक्ति जो अपने मोबाइल अनुप्रयोगों में लॉग इन करता है, यूनिफ़ाइड बायोमेट्रिक सिस्टम में पंजीकृत व्यक्ति से मेल खाता है।

सभी बैंक अभी तक रोस्टेलकॉम कुंजी के साथ एकीकृत नहीं हैं। एक बायोमेट्रिक प्रमाणीकरण प्रणाली को केवल व्यक्तिगत उपस्थिति के बजाय लागू नहीं किया जा सकता है। बैंकों के पीछे की प्रक्रिया को ध्यान में रखते हुए स्कोरिंग जाँच एक तुच्छ कार्य नहीं है। प्रक्रिया को व्यवस्थित करना आवश्यक है ताकि ग्राहक पहचान की जांच करने से पहले ही ब्याज के बैंकों की सेवाओं का चयन कर सके।

यदि आप एप्लिकेशन की कार्यक्षमता में रुचि रखते हैं, तो आप डेमो मोड का उपयोग करके इसका मूल्यांकन कर सकते हैं। रोस्टेलकॉम की अब Google Play पर उपलब्ध है और जल्द ही ऐप स्टोर पर दिखाई देगी।