Мобильный телефон в качестве доверенной среды ДБО

В настоящее время  процесс обеспечения безопасности в системах ДБО на стороне клиента не теряет своей актуальности. Основная проблема это подписание неизмененного платежного поручения (ПП) при помощи ЭЦП клиента. Атаки, направленные на изменение ПП перед его подписанием уже существуют, поэтому необходимы технологии, способные парировать данный риск.

Основной проблемой является создание доверенной среды клиента, в которой происходит подписание ПП.  Так как надежды на создание в качестве такой доверенной среды ПК клиента являются фантастической и утопической идеей, все силы аналитиков и производителей брошены на разработку такого дополнительного устройства. Производителями уже предлагаются технические решения, но все они являются дорогими и требуют заметных денежных средств клиента. Я же предлагаю в качестве такого устройства использовать обычный мобильный телефон.

Сейчас  практически любой мобильный телефон имеет фотокамеру и умеет выполнять внешние приложения, написанные на Java. Этого достаточно для реализации моей идеи. Привожу здесь алгоритм защищенной отправки ПП от клиента в банк.

Алгоритм:

1)      Клиент составляет ПП в своей бухгалтерской программе

2)      Клиент передает ПП из бухгалтерской программы в Клиент-Банк

3)      Клиент-Банк запрашивает пароль

4)      Если пароль верный Клиент-Банк преобразует информацию из ПП в QR-код или аналогичный и выводит его на экран ПК

5)      Клиент запускает специальное Приложение на мобильном телефоне.

6)      Приложение фотографирует и распознает QR-код с экрана ПК

7)      Приложение выводит на экран мобильного телефона основные реквизиты ПП (кому/сколько)

8)      Клиент проверяет основные реквизиты и если все верно нажимает «зеленую» кнопку на мобильном телефоне (если нет, то на «красную»)

9)      Приложение генерирует ЭЦП, на основе данных ПП и закрытого ключа клиента (закрытый ключ клиента интегрирован в Приложение) и отправляет его в виде SMS в банк

10)  Клиент-Банк шифрует ПП и отправляет в банк

11)  Банк при получении ПП расшифровывает ПП, проверяет ЭЦП и отправляет клиенту подтверждение о принятии платежа

Плюсы данного решения:

·         Двухфакторная аутентификация

·         Низкая цена устройства

·         Низкая стоимость разработки Приложения

Минусы данного решения:

·         Зависимость от поставщика мобильных услуг

·         Дополнительное устройство