Криптография в финтехе

Новости стандартизации в отрасли обеспечения информационной безопасности финансовых операций

Секретариат подкомитета №1 «Безопасность финансовых (банковских) операций» (ПК 1) национального Технического комитета по стандартизации №122 «Стандарты финансовых операций» (ТК122), функции ведения которого выполняет компания «ИнфоТеКС», опубликовал новостной ежеквартальный дайджест в области деятельности ПК1/ТК122 за 1 квартал 2025 года. В материале содержатся новости о последних событиях в области стандартизации безопасности финансовых операций, обзор событий и мероприятий в сфере деятельности подкомитета и другая информация.

Подробнее

Что такое PKI, какие существуют виды электронной подписи и чем они отличаются друг от друга?

▫️ Римма Бадмаева, ведущий менеджер продуктов, прочитала лекцию, посвященную инфраструктуре открытых ключей.

Лекция подготовлена специально для образовательного модуля программы переподготовки МГТУ им. Н.Э. Баумана «Управление информационной безопасностью в организации».

Смотреть лекцию: RuTube | Вконтакте

Цифровой рубль может войти в повседневную жизнь уже в 2026 году

▫️ Министр финансов РФ Антон Силуанов сообщил, что полноценное внедрение цифрового рубля в России возможно уже в следующем году. Центробанк уже практически готов к выпуску цифрового рубля, в том числе и для граждан.

Читать полностью

Термины, определения и сокращения
эпизод 5

🔘 Пользователи ПлЦР – это физические, юридические лица или индивидуальные предприниматели, которые имеют доступ к ПлЦР для совершения операций с ЦР. Им всем нужны сертификаты, и не только для ЭП, но и для аутентификации

В целях обеспечения выпуска необходимых для работы пользователей сертификатов в инфраструктуре участника ПлЦР должно быть реализовано ИТ-решение по автоматизации процесса выдачи сертификатов. При этом для аутентификации пользователя ПлЦР для выпуска необходимых для работы сертификатов должна использоваться ЕСИА – единая система идентификации и аутентификации.

Знакомимся с новым термином:
Сервис автоматизации выпуска сертификатов

– это технические средства автоматизации, предназначенные для выпуска сертификатов пользователям ПлЦР.

▫ В состав сервиса входит средство ЭП класса КС3, предназначенное для формирования/проверки ЭП под сообщениями в/из ЕСИА, проверки ЭП запросов пользователей ПлЦР на выпуск сертификатов.

Компания «ИнфоТеКС» разработала Сервис Автоматизации Выпуска Сертификатов – 🔵 ViPNet САВС, в состав которого входит 🔁 ViPNet EDI Soap Gate.

#ViPNet_EDI #термины

Получены сертификаты ФСБ России на ViPNet TLS Gateway

Компания «ИнфоТеКС» объявляет о получении сертификатов ФСБ России на криптошлюз ViPNet TLS Gateway версии 2.2.

ViPNet TLS Gateway – это высокопроизводительный TLS-криптошлюз, который обеспечивает аутентификацию пользователей и организацию защищенных соединений по протоколу TLS при работе с портальными решениями.

В новой сертифицированной версии ViPNet TLS Gateway обеспечено разграничение доступа к защищаемым ресурсам по IP-адресу или диапазону адресов. Добавлена возможность ведения журналов с фиксацией доступа пользователей, подключающихся по схеме с односторонней аутентификацией. Реализовано распространение лицензии для использования ViPNet PKI Client при подключении к ViPNet TLS Gateway. Разработан конструктор запросов для получения сертификатов безопасности (транспортных сертификатов) с произвольными расширениями. Реализована поддержка веб-ресурсов и wildcard-ресурсов, требующих двустороннюю аутентификацию по TLS ГОСТ, аутентификация на защищаемых ресурсах и возможность проксирования WebSocket secure через TLS ГОСТ туннель.

Подробнее

Продлен сертификат ФСБ России на ViPNet PKI Client

Компания «ИнфоТеКС» объявляет о продлении сертификата ФСБ России на ViPNet PKI Client версии 1.6 для исполнений 1, 2 и 3.

ViPNet PKI Client – универсальный клиент для работы в инфраструктуре открытых ключей, основными функциями которого являются генерация ключей ЭП, формирование и проверка ЭП, шифрование данных, построение TLS ГОСТ соединений. ViPNet PKI Client работает на всех распространенных операционных системах, как десктопных, так и мобильных.

Подробнее

Термины, определения и сокращения
эпизод 4

Продолжаем тему УЦ в ЦР.

▫️ Новый термин – транспортный удостоверяющий центр, он же УЦ Безопасности.

Это УЦ на стороне участника ПлЦР, средства которого также должны быть сертифицированы по классу не ниже КС3, и используемый для выдачи TLS-сертификатов (сертификатов безопасности) пользователям ПлЦР.

Назначение данного УЦ – обеспечение выпуска сертификатов безопасности для реализации ГОСТ-TLS между пользователем и участником ПлЦР. Таким образом, для ЭП и TLS пользователи ПлЦР должны использовать разные сертификаты, выданные в разных УЦ.

Обращаем внимание, что на данный момент УЦ Безопасности участника ПлЦР является корневым и должен использовать самоподписанный сертификат, пока не будет введен Национальный УЦ, но это уже другая история.

Напоминаем, что для реализации функций УЦ также может использоваться 🗝️
ViPNet Удостоверяющий центр 4, работающий совместно с 🗝️ ViPNet HSM.

Эксперт ИнфоТеКС оценил номинантов премии FINAWARD

▫️ Владимир Голованов, заместитель начальника аналитического отдела, вошел в экспертный совет ежегодной премии инноваций и достижений финансовой отрасли FINAWARD, учредителем которой является журнал «Банковское обозрение».

Экспертный совет состоит из представителей российского финансового и экспертного сообщества и определяет победителей премии в конкурсных номинациях. В этом году оценивались заявки в 14 номинациях. Особое внимание уделялось проектам, поддерживающим малое и среднее предпринимательство, повышающим удобство, надежность, и, конечно, безопасность финансовых операций клиентов, роботизации рутинных функций для помощи менеджерам по обслуживанию, а также проектам с использованием искусственного интеллекта.

Для меня это интересный и почетный опыт. Номинанты премии представили много качественных проектов, свои достижения и разработки, которые способны улучшить многие сегменты финансовой индустрии. Учитывая многолетний опыт ИнфоТеКС в разработке СКЗИ, опыт разработки стандартов безопасности для российских финансовых организаций, делал акцент на вопросах безопасности, не забывая при этом об удобстве клиентов. Например, поддержал проект по созданию семейного банка, где реализована концепция семейного финансового контура, позволяющая управлять активами семьи в едином пространстве, учитывать совместные балансы и гибко настраивать уровни доступа через мобильное приложение.

Владимир Голованов

Эксперт ИнфоТеКС выступил на закрытой онлайн-конференции «Цифровой рубль. Весна-2025»

🔘 Александр Самыловский, ведущий менеджер отдела продаж, рассказал о новых возможностях продуктов ViPNet для защиты инфраструктуры цифрового рубля.

Около 500 представителей банковской сферы подключились к онлайн-трансляции, чтобы послушать доклады ведущих вендоров и обсудить волнующие вопросы, связанные с проектом по цифровому рублю.

В ходе дискуссии обсуждался вопрос использования облачных решений в контексте цифрового рубля. Александр пояснил, что на данный момент отсутствуют облачные решения для цифрового рубля, одобренные регулятором.

По требованиям регулятора Удостоверяющий центр у каждого банка должен быть свой собственный, контур контроля и контур обработки тоже. На совещании Банка России, которое состоялось в марте этого года, позиция регулятора по данному вопросу тоже была однозначна: никаких типовых или облачных решений для цифрового рубля не будет.

🛡 С точки зрения производителей средств криптографической защиты информации, размещение СКЗИ в облачной инфраструктуре имеет достаточно серьезные ограничения, особенно когда речь идет про высокие классы криптографической защиты, в частности класс КС3.

Облачное решение в основном пытаются реализовать там, где хотят сэкономить на инфраструктуре, на закупке дополнительных серверов и дополнительных средств защиты информации. Такой подход несет серьезные риски с точки зрения информационной безопасности, и не позволяет выполнить требования регулятора к высоким классам криптографической защиты информации.

▫️ Компания «ИнфоТеКС» предоставляет банкам на бесплатное тестирование любые продукты ViPNet. Эксперты ИнфоТеКС совместно с банковскими специалистами готовы участвовать в анализе имеющийся инфраструктуры, давать рекомендации по корректному использованию СКЗИ непосредственно для их информационных систем. Для этого достаточно отправить заявку на soft@infotecs.ru

Сейчас самое подходящее время, чтобы полноценно подготовиться к масштабному запуску проекта по цифровому рублю, что позволит банкам, имеющим необходимый функционал, сохранить лидерские позиции и привлечь новых клиентов.

Александр Самыловский

MobiFinance – 2025

ИнфоТеКС примет участие в XV Международной конференции «Мобильные финансы 2025» (MobiFinance – 2025) 20 мая в Москве. Организатором мероприятия выступила компания «АйФин Медиа» при поддержке Ассоциации российских банков (АРБ).

🔘 Елена Новикова, руководитель продуктового направления, расскажет о ViPNet САВС. Елена расскажет о процессе автоматизации выпуска сертификатов безопасности и сертификатов электронной подписи для пользователей платформы цифрового рубля с использованием решения ViPNet САВС. В докладе будут рассмотрены архитектура решения, взаимодействие с ЕСИА, роль компонентов 🔁 ViPNet EDI Soap Gate и ViPNet EDI Flow, а также особенности интеграции с системой дистанционного банковского обслуживания для безопасной аутентификации и передачи данных.

Подробнее

Термины, определения и сокращения
эпизод 3

▫ Для реализации функций ЭП и шифрования, организации TLS-соединений нужны сертификаты и удостоверяющие центры, которые будут их выпускать.

Термин дня – подчиненный удостоверяющий центр (ПУЦ)

– это УЦ на стороне участника ПлЦР, средства которого сертифицированы по классу защиты не ниже КС3, и являющийся подчиненным по отношению к корневому УЦ ПлЦР Банка России.

Назначение ПУЦ – обеспечение выпуска сертификатов ключей проверки ЭП пользователям ПлЦР. С учетом того, что в ЦР используется УНЭП, ПУЦ не подлежит аккредитации. Для хранения ключевой информации ПУЦ должен использоваться программно-аппаратный криптографический модуль (HSM).

🔑 Для реализации функций УЦ может использоваться 🗝 ViPNet Удостоверяющий центр 4, работающий совместно с 🗝 ViPNet HSM

#ViPNet_HSM #УЦ4 #термины

⚪️Иван Мухин, ведущий менеджер отдела клиентских проектов, выступил с докладом «Криптографические продукты открытых ключей» на конференции ИнфоТеКС ТехноФест, которая состоялась в Красноярске.

Эксперт рассказал о защите инфраструктуры цифрового рубля и продуктах линейки ViPNet PKI, которые применяются в комплексном решении.

Еще немного о криптографии

▫Для двухсторонней аутентификации и организации TLS-соединений с использованием российских криптоалгоритмов между пользователем и участником ПлЦР тоже должны применяться СКЗИ.

На стороне пользователей мобильных приложений данный вопрос решается путем использования ПМ БР со встроенным СКЗИ, в нашем случае речь идет об СКЗИ ViPNet OSSL, а на стороне участника ПлЦР – TLS-шлюз ViPNet TLS Gateway.

▫ ViPNet TLS Gateway выпускается в разных исполнениях, поддерживает дуальный режим криптографии и может быть собран в кластер.

➖ Подробнее о ViPNet TLS Gateway и его преимуществах читайте на странице продукта

#ViPNet_TLS

Оценка соответствия ИБ и консалтинг

▫️ Банк России обращает особое внимание на выполнение всеми подотчетными организациями требований в области информационной безопасности. Среди прочих услуг финансовым организациям «Перспективный мониторинг» проводит оценку:

🔘 Соответствия требованиям и нормативным актам Банка России
🔘 Требованиям национальных стандартов РФ
🔘 Требованиям по уровню доверия

Мы детально знаем все требования регулятора, потому что в команде ПМ есть «динозавры», которые входили в рабочие группы по формированию самых первых и ряда последующих требований к информационной безопасности в финансовой сфере. В тесном сотрудничестве с Банком России наши сотрудники участвовали в разработке практически всех стандартов, начиная с СТО БР ИББС и до ГОСТ 57580.

Мы сделали:
• 28 проектов по консалтинговому сопровождению внедрения ГОСТ Р 57580
• 53 оценки соответствия по ГОСТ Р 57580
• 3 проекта построения с «0» информационной инфраструктуры в соответствии с ГОСТ Р 57580.1 и нормативными актами Банка России

Подробнее смотрите в ролике с Александром Пушкиным, заместителем генерального директора компании «Перспективный мониторинг» 👇

Немного о контурах

▫ Участник ПлЦР (банк-посредник) для обеспечения безопасности технологии обработки и передачи электронных сообщений при осуществлении операций с ЦР должен реализовать в своей информационной инфраструктуре два выделенных контура: контур контроля и контур обработки. Все исходящие электронные сообщения должны поступать в Контур контроля только из Контура обработки, а все входящие сообщения от ПлЦР из Контура контроля должны передаваться только в Контур обработки.

Для обработки электронных сообщений в контурах должны быть реализованы следующие криптографические функции:
- формирование и проверка ЭП электронных сообщений;
- шифрование и расшифрование электронных сообщений.

При этом участник ПлЦР должен подписывать электронные сообщения ЭП, сертификат ключа проверки которой выдан УЦ Банка России в соответствии со ст.13 Федерального закона № 63-ФЗ. С 01.01.2025 вступили в силу Положения 833-П, которые определяют для использования в данных сегментах инфраструктуры банков СКЗИ не ниже класса КС3.

▫ Разработанный ИнфоТеКС сервер подписи ViPNet PKI Service полностью соответствует данным требованиям, обладает необходимым криптографическим функционалом для использования в указанных контурах, удобен для встраивания (интерфейс REST API) и размещения (единая безопасная платформа СКЗИ класса КВ).

🗝 Подробнее о ViPNet PKI Service и его преимуществах читайте на странице продукта

#ViPNet_PKI #Цифровойрубль

Термины, определения и сокращения
эпизод 2

Продолжаем изучать сокращения, термины и определения, которые используются в ЦР:

Согласно Положению Банка России от 7 декабря 2023 г. № 833-П "О требованиях к обеспечению защиты информации для участников платформы цифрового рубля", защита электронных сообщений при их передаче должна обеспечиваться посредством использования усиленной неквалифицированной электронной подписи (УНЭП).

⚪Определение и обязательные параметры указаны в Федеральном законе №63-ФЗ «Об электронной подписи»:
– УНЭП является результатом криптографического преобразования информации с использованием уникальной последовательности символов (ключа электронной подписи);
– позволяет идентифицировать лицо, подписавшее электронный документ и обнаружить факт внесения изменений в электронный документ после момента его подписания.

🔧 Для УНЭП в ПМ БР от ИнфоТеКС используется ViPNet OSSL

🗝 Для УНЭП на стороне участника ПлЦР мы рекомендуем использовать сервер ЭП ViPNet PKI Service

#термины #ViPNet_OSSL #ViPNet_PKI

В Банковском обозрении вышла статья Риммы Бадмаевой, ведущего менеджера продуктов, «На уровне безопасности. Защита инфраструктуры цифрового рубля в банках»

▫️ Проект цифрового рубля пока на стадии пилотного тестирования, но уже сейчас идет активная работа по обеспечению его безопасности. Крупнейшие банки страны готовятся к масштабному внедрению, а требования к защите информации зафиксированы в Положении № 833-П Банка России.

Компания «ИнфоТеКС» участвует в этом проекте, разрабатывая решения для защиты операций с цифровым рублем. В статье Римма рассказывает, как обеспечивается криптографическая защита мобильных приложений банков, какие СКЗИ используются, и какие технологии помогут финансовым организациям соответствовать требованиям регулятора.

#статья #цифровойрубль

▫️ Михаил Грунтович, руководитель обособленного подразделения, и Константин Стародубов, представитель департамента информационной безопасности Банка России, выступили на секции ИБ и криптогоафия в банковской сфере. Эксперты рассказали, что такое Open API, где применяется и как обеспечивается информационная безопасность, как используется технология делегированной аутентификации/авторизации OAuth 2.0 в рамках Open API для организации доступа клиентских приложений пользователя к серверам ресурсов.

▫️ Дмитрий Гусев, заместитель генерального директора, принял участие в панельной дискуссии о взаимодействии банковского сектора и российской криптографической отрасли. Участники обсудили ожидания банков от криптографии и возможности отрасли.