एंटीफ्राड का पहला नियम किसी को एंटीफ्राड के बारे में बताना नहीं है

वास्तव में, नियम अंजीर है। लेकिन निश्चित रूप से, यह क्यों काम करता है। सुरक्षा गार्डों के बीच, यह माना जाता है कि एंटिफ्राड को सात-सील के लिए इस तरह का एक शीर्ष गुप्त गर्भनिरोधक होना चाहिए, जो पास के भूखे सेरेबर्स के जोड़े के साथ हो। ताकि कोई भी इस खाई को देख न सके और पता लगा सके कि यह एंटीफ्रॉड कैसे काम करता है और अंदर क्या है। यह सुरक्षा टीम के लिए महत्व जोड़ता है, और एंटीफ्राड तंत्र को स्वयं एक भ्रामक बचाव दिया जाता है।

अस्पष्टता के माध्यम से सुरक्षा का सिद्धांत काम नहीं करता है। यदि आप "एक्स एक्स क्लाइंट को हैक किया गया था और वाई रूबल चुराया था" के संदर्भ में समाचार के बारे में Google पर जाएं, तो ऐसी खबरें हमेशा रहेंगी। लगभग हर दिन (लगभग - क्योंकि वे हमेशा इसके बारे में नहीं लिखते हैं)।

सभी ज्ञात एन्क्रिप्शन प्रोटोकॉल के कार्यान्वयन अध्ययन के लिए खुले और उपलब्ध हैं। सभी क्रिप्टोग्राफ़िक और गणितीय एल्गोरिदम भी वर्णित हैं, और महान विस्तार से। यही है, बैठो, कॉफी या ऊर्जा पर स्टॉक करें, इस सभी सामान का अध्ययन करें और इसे धीरे-धीरे तोड़ दें।

इसलिए, एक प्रणाली जिसे केवल इसलिए सुरक्षित माना जाता है क्योंकि लोग यह नहीं जानते हैं कि यह कैसे काम करता है कभी भी संरक्षित नहीं होता है। लेकिन इस तरह की व्यवस्था जितनी अधिक खुली है, उतनी ही तेजी से संक्षारक समुदाय कार्यान्वयन के सभी जाम को अपनी महत्वपूर्ण उंगली से इंगित करेगा। जिससे इन जाम को खत्म किया जा सकेगा।

मैं प्रोटोकॉल और प्रणालियों के खुलेपन के प्रतिमान में सटीक रूप से काम करता हूं, और इस पोस्ट में मैं मानक एंटीफ्राड के डिवाइस के बारे में बात करना चाहता हूं, हमारे काम के बारे में RBK.money, क्यों भविष्य में OpenSource के साथ है, और यह सब एक आदर्श दुनिया में कैसे काम कर सकता है।

जिसे हम करीब ला सकते हैं।

हुड के नीचे एंटीफ्राड

सबसे सरल उदाहरणों के साथ शुरू करते हैं। एंटीफ्राड दो कारों का एक संयोजन है। पहले कुछ नियमों के अनुसार काम करता है जिन्हें आप जानते हैं और जिन्हें आप समझते हैं। दूसरा एक ब्लैक बॉक्स है जिसमें मैजिक बनाया गया है, यहां तक ​​कि ऊर्जा कनस्तर और नीत्शे की मात्रा भी समझने में मदद नहीं करेगी।

अर्थात्, पहली कार में, हमारे पास मनुष्य द्वारा लिखित नियमों का एक सेट है। नियम बहुत सरल दिखते हैं और बस कुछ निश्चित क्रियाओं को दर्शाते हैं जो धोखाधड़ी को पहचानने के लिए सिस्टम को ट्रिगर करना चाहिए। उदाहरण के लिए, यदि प्रति मिनट 10 भुगतान अचानक ऐसे कार्ड से हुआ है, तो यह कमजोर होने का एक कमजोर कारण नहीं है। या अगर कार्ड पर लेन-देन सेंट पीटर्सबर्ग में हुआ, और 5 मिनट पहले मालिक ने मॉस्को में पैसे निकालने के लिए इसका इस्तेमाल किया, तो कुछ अजीब भी है।

मैं दोहराता हूं, मैं अब बहुत आलंकारिक हूं, क्योंकि इस तरह का व्यवहार एक सामान्य स्थिति में हो सकता है। उदाहरण के लिए, अमेज़ॅन आपके पूरे ऑर्डर के लिए 15 पदों से नहीं, बल्कि प्रत्येक स्थिति के लिए अलग से पैसा निकालना पसंद करता है। और अलग-अलग समय पर, यह सामान्य है। और भौगोलिक अंतर के मामले में, कार्ड का मालिक मॉस्को में हो सकता है, और सेंट पीटर्सबर्ग में, उसकी मां ऐप्पल पे पर उसी कार्ड पर कुछ खरीदती है। हां, वे कार्डों पर लिखते हैं कि उन्हें तीसरे पक्ष को पारित नहीं किया जाना चाहिए और यह सब, लेकिन जीवन आमतौर पर थोड़ा अधिक जटिल होता है।

दूसरे बॉक्स के बारे में। मशीन सीखने का एक बड़ा टुकड़ा निहित है, और यहाँ यह एक सरल संरचना में उंगलियों पर दिखाना इतना आसान नहीं है कि यह निष्कर्ष के लिए क्या संबंधित है।

और इस आधार से, हम एक अच्छे एंटीफ्राड के लिए मानदंड प्राप्त कर सकते हैं।

तीन व्हेल

पहला नियम-लेखन इंटरफ़ेस है। आरामदायक, सुंदर और समझने योग्य। यह थोड़ा कम होगा।

दूसरे, इन नियमों को लिखने के लिए एक विशेष भाषा।

तीसरा, इन लिखित नियमों का त्वरित प्रसंस्करण।

क्यों तेज - क्योंकि गति वास्तव में यहाँ महत्वपूर्ण है। एक इकाई के रूप में एंटीफ्राड को भुगतान प्रणाली के अंतर में डाल दिया जाता है। और इस कार्यान्वयन के दो दृष्टिकोण हैं।

1) बाईपास

यहां, प्राथमिकता ठीक भुगतान की गति है। आमतौर पर ऐसी स्थिति में एक व्यवसाय निर्णय लेता है कि यह गति में प्राथमिकता को खोने के लायक नहीं है, इसलिए यदि अचानक एंटीफ्रॉड लंबे समय तक सोचता है, तो विश्लेषण करें और, पूरी तरह से, प्रक्रिया को थोड़ा धीमा कर देता है, हम परवाह नहीं करते हैं, हम नृत्य करते हैं, एंटीफ्रॉड की गवाही को अनदेखा करते हैं और सिर्फ भुगतान करते हैं।

2) जोखिमों को कम करना

इस स्थिति में, व्यवसाय समझता है कि एंटीफ्राड, सामान्य रूप से, केवल सिस्टम में नहीं डाला गया था, और इसके संकेतों को सुनता है। यदि धोखाधड़ी का संदेह है, तो व्यवसाय धीमा हो जाता है, वे स्थिति को समझते हैं, और उसके बाद ही भुगतान किया जाता है। या बाहर नहीं किया।

इसलिए, एंटीफ्राड तेज, जितना संभव हो उतना तेज होना चाहिए, और एक ही समय में पर्याप्त रूप से कॉन्फ़िगर किया जाना चाहिए।

एंटीफ्राड के अंदर, वास्तव में, काफी सरल स्तंभ चीजें, डेटा एकत्रीकरण के लिए बहुत सारे कार्य हैं। सिस्टम में देखो क्या हो रहा है:

• आईपी
• अंगुली की छाप
• बिन बैंक
• व्यापारी आईडी
• कार्ड टोकन

और खिड़की में एक विशिष्ट मूल्य के साथ भुगतान की अब चलती संख्या के पतन का कार्य है। उदाहरण के लिए, अभी देखें कि एक विशिष्ट फिंगरप्रिंट के साथ क्या किया जा रहा है। या किसी विशिष्ट कार्ड पर चल रहे भुगतानों को स्पष्ट करें। इससे बहुत मदद मिलती है।

हां, वैसे, यह समझना जरूरी है कि एंटीफ्राड अपने आप में कोई चीज नहीं है। यह अच्छा या बुरा नहीं हो सकता है, यह एक उपकरण है जिसे ट्यूनिंग की आवश्यकता होती है। और अगर एंटीफ्राड बुरी तरह से काम करता है, तो यह इसलिए नहीं कि एंटीफ्रॉड खराब है, यह बुरी तरह से ट्यून है, उन्होंने गलत नियम लिखे या महत्वपूर्ण बातों का ध्यान नहीं रखा।

और इसे सही तरीके से स्थापित करना व्यवसाय के लिए महत्वपूर्ण है। न केवल बैंक की वजह से, जहां एंटीफ्राड खराब है, सभी ग्राहक भाग जाएंगे, बल्कि इसलिए कि उद्योग यहां भारी विनियमित है। अगर बैंक में बहुत सारे धोखाधड़ी चार्जबैक आते हैं, तो यह जुर्माना और अतिरिक्त चेक का एक कारण है। खैर, अगर सब कुछ पूरी तरह से उदास है, तो वे भुगतान प्रणाली से नफिग को डिस्कनेक्ट कर देंगे।

और यह सही है। यदि आप अन्य लोगों के पैसे पर काम करते हैं, तो लोग आप पर भरोसा करते हैं, और आप उनकी सुरक्षा करने में सक्षम नहीं हैं - आप बाजार में नरक क्यों हैं? उदाहरण के लिए, एक टायर फिटिंग खोलें।

इसलिए, आपके पास या तो एक अच्छी तरह से तैयार एंटीफ्राड है, या कोई भी नहीं है, क्योंकि आपको बाजार से बाहर कर दिया गया है और अब आपको इसकी आवश्यकता नहीं है।

खुद की शर्ट

जब हमने अपना एंटीफ्राड लिखा, तो हमने यह सब देखा, प्रदर्शन की जाँच की, और अंत में क्लिकहाउस स्थापित किया।

यह इस तरह काम करता है। हमारे पास एक भुगतान प्रणाली है जो सक्रिय रूप से उपयोग की जाती है। तदनुसार, बड़ी संख्या में घटनाएं उत्पन्न होती हैं। हम इन सभी घटनाओं को ClickHouse में एक एकल स्ट्रीम में मर्ज करते हैं, जहां वे सफलतापूर्वक एकत्र और संसाधित होते हैं। और जल्दी से संसाधित किया गया।

कुछ समय पहले हमारे पास एक वेंडर एंटिफर्ड था। यह काफी समाधान है, इसने सदस्यता द्वारा काम किया, इसने किसी विशेष असुविधा का कारण नहीं बनाया। लेकिन जब हम अपने लिए सही एंटिफर्ड के मापदंड के लिए कम हो गए, तो हमने अपना खुद का लिखना शुरू कर दिया। हमने इसे कुल दो महीनों के लिए लिखा था, बाहरी कुकी को स्वैगर द्वारा वर्णित किया गया है। जब वे समाप्त हो गए, तो उन्होंने परीक्षण करना शुरू कर दिया, सबसे पहले उन्होंने लगभग सभी ट्रैफ़िक को पुराने एक, और एक छोटे से नए हिस्से में शुरू किया। खैर, अगर वहाँ कुछ आता है तो क्या होगा।

मैंने नहीं किया हमने इसे सक्रिय रूप से डिबग किया, इसे इस तरह की अतिरिक्त सिफारिश के रूप में शुरुआत में इस्तेमाल किया। और दूसरे दिन, हमने पूरी तरह से उसे सब कुछ खींच लिया, वह पुराने की तुलना में काफी तेजी से है, जल्दी से सभी नियमों को पूरा करता है, सामान्य रूप से - उड़ान सामान्य है। लेकिन बूढ़ा एक फालतू की तरह पड़ा हुआ है।

मशीन सीखने का लाभ उठाने के लिए एंटीफ्राड एक बेहतरीन जगह है। आखिरकार, प्रवेश द्वार पर एक आधार (भुगतान स्वयं) होता है, एक निश्चित डेटासेट होता है, एक मॉडल होता है जिसे पहले से ज्ञात धोखाधड़ी द्वारा आसानी से वर्णित किया जाता है। यही है, आप बस मॉडल के लिए ले जा सकते हैं और भुगतान के पुराने प्रवाह पर ध्यान दें - यहां, इसकी जांच करें, धोखाधड़ी थी, एटू, एटू। सामान्य तौर पर, एक तंत्रिका नेटवर्क के पूर्ण प्रशिक्षण के लिए, सब कुछ है, इसे लें और इसका उपयोग करें।

हमने अभी तक एक सहज इंटरफ़ेस नहीं बनाया है, क्योंकि जब हम प्रोटोकॉल और नियमों को डीबग करने के चरण में होते हैं (हमारे पास उनमें से 200+ होते हैं, हम रोज़ नए लिखते हैं)। सिस्टम कंसोल से सीधे peppy कर्ल द्वारा नियंत्रित किया जाता है। और यहाँ एंटीफ्रेडर का मुख्य कार्य पहले से ही है (हाँ, ऐसा विशेष रूप से प्रशिक्षित व्यक्ति है जो ऐसा करता है) - बैठने के लिए, ट्रैफ़िक को ध्यान से देखें, धोखाधड़ी के कारण चार्जबैक प्राप्त करें और नियमों को समायोजित करें। जैसा कि आप देख सकते हैं, रोबोट अभी तक चमड़े के बैग को पूरी तरह से धक्का नहीं दे पाए हैं।

सामान्य तौर पर, नया अब अच्छा है। लेकिन अभी तक सीधे उत्कृष्ट-उत्कृष्ट नहीं है। हम वहां ड्राई रन को आगे बढ़ाना चाहते हैं - यह तब है जब आपने एक नियम लिखा है, और फिर इसके साथ कुछ विशिष्ट भुगतान को नोट के साथ चलाया "यदि यह नियम इस पर लागू होता है तो भुगतान का क्या होगा।" यह काफी अपनी क्षमताओं को पंप करेगा।

और मैं मॉडलिंग इंटरफेस भी बनाना चाहता हूं। वैसे, आप जानते हैं कि फिल्मों में, जब बहादुर एफबीआई भेड़ क्रेडिट कार्ड द्वारा एक भगोड़े को ट्रैक करते हैं - हाँ, देखो, यहां उसने क्रेडिट कार्ड के लिए ईंधन भरा, उसने वहां पर कॉफी खरीदी, और उस शहर में नकदी ली। और यह सब नक्शे, अन्य डेटा के संदर्भ में, सुंदर दृश्य के साथ। एक समय की बात है।

सही प्रणाली

जब हम अपने एंटीफ्राड जोड़ते हैं, तो यह बहुत अच्छा होगा। लेकिन आदर्श, हमेशा की तरह, इतनी आसानी से हासिल नहीं किया जाता है।

मेरे लिए आदर्श, एक पूर्ण OpenSource पर बनाया गया है। यही है, ओपन सोर्स भाषा में ओपन सोर्स एंटीफ्रॉड और नियमों का सुविधाजनक आदान-प्रदान।

आइए DDoS के खिलाफ सुरक्षा की एक समान आदर्श प्रणाली के बारे में एक उदाहरण लेते हैं।

कल्पना कीजिए कि दुदोसर की मां के सभी मौजूदा ऑपरेटरों को इतना मुश्किल हो गया कि वे एक साथ आए और गधे के एक एकल डेटाबेस का उपयोग करने लगे। यदि DDoS एक छोटे ऑपरेटर के संसाधन पर शुरू होता है, तो वह जल्दी से देखता है कि कौन सा हिरण सो नहीं सकता, खलनायक को ब्लैकलिस्ट में जोड़ता है। ब्लैकलिस्ट अपडेट एक सिस्टम पर भिन्न होता है, और इस हमले से संबंधित सब कुछ क्लाइंट कनेक्शन स्तर पर अवरुद्ध होता है।

ऐसी प्रणाली के विश्वास और विश्वसनीयता का सवाल ब्लॉकचेन द्वारा तय किया गया है।

आप उसी तरह से बैंकों के साथ काम कर सकते हैं। धोखाधड़ी-रोधी प्रतिमानों की एक सामान्य सूची है, जो सभी बैंकों में विचलन करती है। उन्होंने कहा कि उदाहरण के लिए, एक ग्रीन बैंक, विशेषज्ञों ने प्रतिक्रिया की और सूची में नियमों का एक नया सेट जोड़ा, सूची अपडेट की गई, और वह सब, इस तंत्र पर एक विशिष्ट हमला अब काम नहीं करता है। न तो हरे रंग के जार में, न ही अन्य चमकीले रंगों में।

सिस्टम वितरित किया गया है, लेकिन हमारे पास एक ब्लॉकचेन है, आप इसे क्रैक नहीं कर सकते। ठीक है, यदि आप कल्पना करते हैं कि एंटीफ्राड स्वयं एक बैंक में हैक किया गया था - यह अभी भी एक बैंक समस्या है। क्योंकि हमारे पास केवल नियमों की एक सूची है। और एंटीफ्राड इंजन के अपने बैंक होते हैं।

तथ्य की बात के रूप में अब। बैंक बहुत रूढ़िवादी संरचनाएं हैं। बहुत। अब उनके पास एक छोटी सी मेलिंग सूची है, कुछ विशेषज्ञों के पास एक पत्र आता है, वे कहते हैं, इसकी जांच करें और यहां ड्रॉप कार्ड है, यहां पैरामीटर हैं। लेकिन यह एक समाचार पत्र है। आप आमतौर पर दक्षता और सगाई के बारे में तुरंत भूल सकते हैं। लेकिन कुछ भी नहीं से बेहतर है, हाँ।

इसलिए बैंकों को ऐसी आदर्श कहानी में महारत हासिल करने की संभावना नहीं है। फिनटेक काफी हद तक खुद को खींच सकता है, अर्थात् भुगतान प्रणाली और स्टार्टअप।

मशीन सीखना, OpenSource के साथ युग्मित, एंटीफ्रॉड का भविष्य है। जो लोग इसके साथ काम करना सीखते हैं, वे एक अच्छा जैकपॉट लेने में सक्षम होंगे - उद्योग बहुत बड़ा है, अरबों हैं। लेकिन अभी तक कोई सही समाधान नहीं है।

और चूंकि यह वहां नहीं है - अर्थात, बाजार में प्रवेश करने के अच्छे अवसर।

RBKmoney क्या प्रदान करता है?

और हम आपको एक तैयार एंटीफ्राड प्रदान करते हैं। वह पहले से ही खुले स्रोत में है और पूरी तरह से मुक्त है। किसी भी नुकसान के बिना, अभी मैं किसी को भी हमारे एंटीफ्राड के सभी स्रोतों को देने और किसी भी भुगतान प्रणाली में इसके एकीकरण के साथ मदद करने के लिए तैयार हूं।

एक सामान्य खुला स्रोत समाधान आपको संयुक्त रूप से विशेषज्ञता का आदान-प्रदान करने, सुरक्षा नियमों को साझा करने की अनुमति देता है।

समुदाय का उल्लेख नहीं करने के लिए, जो एक साथ इंजन को खत्म कर सकते हैं, कुछ नई चीजें करते हैं जिनके बारे में हमने या तो सोचा नहीं था या करने के लिए समय नहीं था।

यह सुरक्षा के स्तर को एक पूरे नए विमान में ले जाता है। भुगतान उद्योग में कई प्रतिभागी अब अपने स्वयं के समाधान विकसित कर रहे हैं, और इससे भी अधिक बाजार में कुछ तैयार किए गए सामान खरीद रहे हैं।

खरीद नहीं है। हमारा समाधान कम से कम लागत में किसी भी निविदा को जीत लेगा - एक खुले स्रोत समाधान के साथ प्रतिस्पर्धा करना मुश्किल है।

चलो एक साथ बाहर काम करते हैं। भंडार खुले हैं, आपके पास अब स्रोत कोड है। समुदाय हमेशा अकेले कुछ करने से बेहतर है।

असेंबली और इंटीग्रेशन मैनुअल के साथ RBKmoney Fraudbusters को एक स्टैंडअलोन उत्पाद के रूप में पेश करना, अगले लेख का विषय होगा और यह जल्द ही होगा।