Криптография в финтехе

🔵 Владимир Голованов, заместитель начальника аналитического отдела, рассказал об участии экспертов ИнфоТеКС на конференции «РусКрипто’2025» 20 марта:

▫️Михаил Грунтович, руководитель обособленного подразделения, выступит с докладом «Безопасность OpenAPI: когда "открытый" не значит "уязвимый"» в секции «Информационная безопасность и криптография в банковской сфере. Часть 1» в 12:00

▫️ Дмитрий Гусев, заместитель генерального директора, примет участие в панельной дискуссии «Банковский бизнес VS криптографическая отрасль» в 15:00

Термины, определения и сокращения
эпизод 1

Давайте подробно рассмотрим сокращения, термины и определения, которые используются в цифровом рубле (ЦР):

Итак, термин «Программный модуль Банка России» или ПМ БР
– это программное обеспечение (библиотека), встраиваемое в мобильное приложение банка-участника платформы цифрового рубля. ПМ БР предназначен для обеспечения взаимодействия пользователя с платформой цифрового рубля и отвечает за криптографические преобразования, такие как: генерация ключей, создание запросов на сертификаты, хранение сертификатов, организация ГОСТ TLS-соединений, а также подписание исходящих электронных сообщений, их шифрование, расшифрование и проверка подписи.

Ядром ПМ БР является средство криптографической защиты информации (СКЗИ) и средство электронной подписи (ЭП), сертифицированные по классу защиты КС1.

🔧 Компания «ИнфоТеКС» по заданию Банка России разработала ПМ БР с использованием криптобиблиотеки ViPNet OSSL. Подробнее о ViPNet OSSL и его преимуществах читайте на странице продукта

#термины #ViPNet_OSSL

Иван Мухин, ведущий менеджер отдела клиентских проектов, рассказал о роли продуктов ViPNet в защите инфраструктуры цифрового рубля в банках.

⚪ Иван объяснил, как Банк России организует выпуск и использование цифрового рубля, какие требования предъявляются к обеспечению защиты информации для участников платформы цифрового рубля. Основное внимание было уделено решениям ИнфоТеКС для защиты инфраструктуры цифрового рубля: ViPNet TLS Gateway, ViPNet PKI Service, ViPNet OSSL, ViPNet САВС и другие. Также спикер затронул вопросы использования сертифицированных СКЗИ и проведения работ по оценке влияния.

Римма Бадмаева, ведущий менеджер продуктов, представила ViPNet УЦ 5 — новую версию удостоверяющего центра, созданную с учетом импортозамещения и удобства размещения.

▫ Были раскрыты его состав, функции и планы по развитию. Особое внимание было уделено процессу перехода на 5-ую версию ViPNet УЦ.

🛡 Сергей Дурягин, вице-президент ИнфоТеКС, в ходе вебинара «Цифровой рубль: трансформация платежного рынка и новый подход к безопасности» отметил:

Обеспечивая защиту инфраструктуры цифрового рубля, банки должны не только встроить требуемые СКЗИ, но и провести оценку отсутствия деструктивного влияния на них со стороны использующих их программ. Показать корректность встраивания СКЗИ в прикладные платформы. Участвуя в пилоте проекта по цифровому рублю, мы много внимания уделяем именно этому аспекту. Рассказываем коллегам из финансового сектора, как проводить оценку влияния, про аккредитованные испытательные лаборатории, которые имеют право и опыт проведения соответствующих работ, необходимых ресурсах, в том числе и временных, которые следует закладывать на эти работы.

🔘 Сегодня в 12:00 Сергей Дурягин, вице-президент, примет участие в вебинаре «Цифровой рубль: трансформация платежного рынка и новый подход к безопасности».

Эксперты обсудят ключевые вопросы, связанные с цифровым рублем: насколько он безопаснее наличных и безналичных средств, кто и как будет обеспечивать эту безопасность, кому выгодны мифы о цифровой валюте, а также возможные риски избыточного регулирования и контроля со стороны государства.

Смотреть

🔘 Владимир Голованов, заместитель начальника аналитического отдела, в интервью NBJ рассказал об участии ИнфоТеКС в проекте по цифровому рублю, объяснил, почему вендор пересмотрел свои приоритетные направления развития в сторону защиты банковского сектора, и можно ли средства защиты информации для финансового сектора использовать в других отраслях экономики.

ИнфоТеКС участвует в проекте цифрового рубля Банка России с момента его старта. На начальных этапах шла выработка целого ряда универсальных требований: как создать «секретный ключ» физическому лицу, как защитить формирующиеся данные и других. Для отдельных режимов работы нами готовились соответствующие предложения. Ну а как вендора, основная наша задача заключалась в создании продуктов на основе технологий, которые должны быть реализованы в банках удобным им способом для обеспечения надлежащего уровня защищённости при доступе к платформе цифрового рубля. Мы как одна из компаний-подрядчиков, отобранных Банком России, предлагаем свои средства криптографической защиты информации (СКЗИ), встроенные в ядро программного модуля Банка России, который призван обеспечить криптографическую защиту передаваемых данных в мобильном приложении пользователя. Можно сказать, что программный модуль – это надстройка в виде API для работы мобильного приложения ДБО банка с необходимыми функциями защиты, реализуемыми СКЗИ.

Владимир Голованов

Читать

🔘 Для профессионального обсуждения тем информационной безопасности и криптографии в финтехе у нашего канала есть специальный чат.

Присоединяйтесь, чтобы делиться опытом, обмениваться актуальной аналитикой и обсуждать ключевые тенденции отрасли в профессиональном сообществе.

Электронные финансы в России: эволюция или революция

▫️ Национальный банковский журнал опубликовал итоги юбилейного XXV международного форума iFin–2025 «Электронные финансовые услуги и технологии» с участием ИнфоТеКС. Римма Бадмаева, ведущий менеджер продуктов, рассказала на форуме про комплексное решение для защиты инфраструктуры цифрового рубля коммерческих банков и сертифицированные продукты ViPNet, которые в нем используются.

Чем полезен ИнфоТеКС ТехноФест для специалистов по ИБ финансовой сферы?

Ровно через неделю состоится практическая конференция для технических специалистов в сфере информационной безопасности. На мероприятии будут представлены доклады о перспективных разработках и подходах к защите информации.

▫️ Иван Мухин расскажет про использование продуктов ViPNet для защиты инфраструктуры цифрового рубля в банках.

▫️ Римма Бадмаева представит новый ViPNet Удостоверяющий центр 5 и расскажет про криптографическую платформу ViPNet HSM и ViPNet PKI Service на мастер-классе «Серверная, дистанционная, удалённая, облачная ЭП (нужное подчеркнуть)».

▫️ Елена Новикова расскажет про ViPNet EDI: СКЗИ и средство ЭП для легитимной работы с ЕСИА и ЦПГ.

Отдельного внимания заслуживает стенд с актуальными версиями продуктов ViPNet и неформальное общение с экспертами ИнфоТеКС, которые ответят на все вопросы об эксплуатации средств защиты информации.

Екатеринбург, 13 марта
РЕГИСТРАЦИЯ

#мероприятия

▫️ Информационная безопасность цифрового рубля и операций с ним остается серьезным вызовом как для его эмитента – Банка России, так и для банков-посредников, предоставляющих доступ пользователей к ПлЦР.

Финансовые организации, подключающиеся к ПлЦР, должны создать защищенную инфраструктуру, учитывающую специфику работы с цифровым рублем, и включающую в себя набор удостоверяющих центров для работы с ЭП и сертификатами безопасности, создать комплексную систему сетевой и криптографической защиты, а также развернуть систему выпуска сертификатов пользователей ПлЦР.

🔘 Решение для защиты инфраструктуры цифрового рубля
Компания «ИнфоТеКС» разработала решение по защите цифрового рубля, которое позволяет коммерческим банкам создавать безопасную инфраструктуру, обеспечивающую защищенное взаимодействие с платформой цифрового рубля. Основное внимание уделено защите данных с использованием продуктов ViPNet и обеспечению соответствия требованиям регуляторов.

Подробнее о решении и его преимуществах

🛡 Статья «Open API близко»

Какие сценарии, основанные на информационном обмене посредством Open API, уже отработаны в ходе пилотных проектов и подтвердили свою жизнеспособность и эффективность? Какие сценарии такого подтверждения не получили?

Не обладая всей полнотой информации о пилотных проектах по внедрению стандартов Open Banking в бизнес-процессы банковского сообщества, мы тем не менее можем сказать о том, что делается на уровне технологического обеспечения Open API, а именно, о реализации криптографических механизмов авторизации и аутентификации доступа клиентских приложений к финансовой инфраструктуре.
Опубликован ряд стандартов, которые регламентируют безопасные протоколы, использующие отечественные криптографические механизмы защиты информации. Это методические рекомендации Технического комитета ТК26 «Криптографическая защита информации» МР 26.2.002-2024, два стандарта Банка России СТО БР ФАПИ.СЕК-1.6-2024 и СТО БР ФАПИ.ПАОК-1.0-2024. Они разработаны при непосредственном участии сотрудников компании «ИнфоТеКС».
В настоящее время ведутся работы по апробации упомянутых стандартов. В частности, такие пилотные проекты выполняются под эгидой АНО «Национальный технологический центр цифровой криптографии» (НТЦ ЦК), Ассоциации «ФинТех», а также рядом российских банков.

Михаил Грунтович, руководитель обособленного подразделения ИнфоТеКС, редактор стандарта ФАПИ.СЕК и методических рекомендаций ТК26, эксперт Ассоциации ФинТех, к. ф-м. н.

Читать статью

Как воспользоваться переносом даты массового внедрения цифрового рубля?

▫️ Банк России решил отложить широкое внедрение цифрового рубля, которое планировалось с 1 июля 2025 года. Проект по цифровому рублю сейчас находится на стадии пилота. Ведутся работы по подготовке его внедрения, отрабатываются все детали, проводятся консультации с банками по экономической модели, наиболее привлекательной как для клиентов, так и для бизнеса. Получая от участников пилотного проекта вопросы о необходимых доработках и запросы о сдвиге сроков широкого внедрения цифрового рубля, Банк России принял решение о переносе сроков, подчеркнув при этом, что проект продолжается и будет расширяться как по количеству участников, так и по набору операций.

Когда проект станет массовым, крупнейшие банки должны будут обеспечить своим клиентам возможность проводить операции с цифровым рублем: открывать и пополнять счета цифрового рубля, делать переводы, компании должны будут принимать оплату в цифровых рублях.

При выполнении операций с цифровым рублем особое внимание уделяется вопросам информационной безопасности. Чтобы соответствовать требованиям обеспечения защиты информации для участников платформы цифрового рубля, финансовым посредникам стоит на этом этапе определиться с отечественными СКЗИ, внедрить их, пройти тестовые испытания взаимодействия (ТИВ) и оценку влияния.

Грамотно используя отсрочку, предоставленную Банком России до массового старта проекта, финансовые посредники могут сейчас доработать свои информационные системы, чтобы обеспечить решение задач информационной безопасности, для чего мы готовы предоставить инструмент, который позволит оперативно решить все эти задачи и своевременно присоединиться к запуску проекта цифрового рубля.

Топ-5 продуктов ИнфоТеКС, необходимых для защиты инфраструктуры цифрового рубля в банках:

🔁 ViPNet САВС – для автоматического выпуска сертификатов пользователей платформы цифрового рубля

➖ ViPNet TLS Gateway – шлюз безопасности для организации TLS-соединений

🗝️ ViPNet PKI Service – для шифрования, формирования и проверки ЭП

🗝️ ViPNet Удостоверяющий центр 4 – для реализации функций УЦ

🔧 ViPNet OSSL – для использования российских криптоалгоритмов ГОСТ через интерфейс OpenSSL

ИнфоТеКС ТехноФест в Екатеринбурге

В программе технической конференции:
◻️ Знакомьтесь: ViPNet Удостоверяющий центр 5
◻️ Серверная, дистанционная, удаленная, облачная ЭП (нужное подчеркнуть)
◻️ Использование продуктов ViPNet для защиты инфраструктуры цифрового рубля в банках

РЕГИСТРАЦИЯ

#ИнфоТеКСТехноФест_Екб

▫️ Владимир Голованов, заместитель начальника аналитического отдела, прокомментировал обсуждаемый на площадке Уральского форума «Кибербезопасность в финансах» вопрос об избыточности требований регуляторов, предъявляемых участникам финансовой отрасли. Это касается следования нормам приказов, таких как Положение ПКЗ-2005, и использования стандартов по разработке безопасного программного обеспечения.

🔵 Сергей Дурягин, вице-президент, и Римма Бадмаева, ведущий менеджер продуктов, провели мастер-класс «Защита инфраструктуры цифрового рубля в банках» на Уральском форуме «Кибербезопасность в финансах»

🔵 Дмитрий Гусев, заместитель генерального директора, принял участие в сессии «Квантовые технологии для финансового сектора. Что это?».

Эксперты обсудили актуальность квантовой угрозы для финансового сектора, реальность квантовых коммуникаций и вычислений, регуляторов квантового обмена, а также стратегии перехода на квантовую защиту.

Квантовые системы распределения ключей уже существуют, выпускаются серийные изделия, которые строятся на типовых серийно-выпускаемых микроэлектронных элементах.

Магистральная сеть квантового распределения ключей (КРК) - это единый источник квантово-защищенных ключей, что избавляет компании от построения собственных квантовых сетей.

Классические средства защиты у заказчика, магистральная сеть распределения ключей, унифицированный стандартизованный протокол взаимодействия между ними, который позволяет загружать ключи в классические средства защиты - схема, позволяющая уже сейчас эффективно использовать систему КРК для решения задач информационной безопасности.

Наши криптошлюзы новых версий будут поддерживать систему КРК, что позволит заказчикам плавно перейти на системы КРК.

Дмитрий Гусев

▫️ Эльвира Набиуллина, председатель Центрального банка РФ, посетила стенд ИнфоТеКС на Уральском форуме «Кибербезопасность в финансах»

Михаил Грунтович, руководитель обособленного подразделения ИнфоТеКС, редактор стандарта ФАПИ.СЕК и методических рекомендаций ТК26, эксперт Ассоциации ФинТех, к. ф-м. н., поделился итогами дискуссии «Открытые API: совместимость без уязвимости», которая состоялась в рамках Уральского форума «Кибербезопасность в финансах».

▫️ Стандарты безопасности Открытых API вступили в силу 1 января 2025 года. Стандарты разработаны экспертами Ассоциации ФинТех и компании «ИнфоТеКС» при участии специалистов Банка России.

Установленные в стандартах требования к ИБ при взаимодействии с использованием прикладных программных интерфейсов (application programming interface, API), в том числе при аутентификации, идентификации и авторизации с применением отечественной криптографии будут способствовать созданию среды доверия между всеми участниками обмена информацией, который осуществляется посредством Открытых программных интерфейсов (Открытых API). Это позволит финансовым организациям обеспечить необходимый уровень защищенности информации при передаче персональных данных и банковской тайны.

🔘 В стандартах представлены требования и рекомендации для обеспечения безопасного доступа к данным в финансовых сервисах и предложен единый подход к обеспечению информационной безопасности при взаимодействии с использованием Открытых API.

#стандартизация