Разработка модуля платежной аутентификации на основе единой биометрической системы: анализ угроз и методы защиты

Содержание

Введение

Глава 1. Теоретическая часть

1.1. Принципы работы единой биометрической системы (ЕБС) и её роль в платежной аутентификации

1.2. Анализ актуальных угроз безопасности биометрической аутентификации в платежных системах

1.3. Методы и средства защиты биометрических данных при проведении платежей

Глава 2. Практическая часть

2.1. Проектирование модуля: архитектура, компоненты и схема взаимодействия с ЕБС и платежным сервисом

2.2. Реализация защищенного протокола аутентификации и интеграция с ЕБС

2.3. Экспериментальная оценка эффективности модуля и проверка устойчивости к основным видам атак

Глава 3. Организационно-экономическая часть

3.1. Организационные аспекты внедрения: роли, регламенты и нормативно-правовые требования

3.2. Расчет затрат на разработку, внедрение и сопровождение модуля

3.3. Оценка экономической эффективности и окупаемости проекта

Заключение

Список использованной литературы

ВЫПУСКНАЯ КВАЛИФИКАЦИОННАЯ РАБОТА

Разработка модуля платежной аутентификации на основе единой биометрической системы: анализ угроз и методы защиты

ВВЕДЕНИЕ

Актуальность темы исследования обусловлена стремительным развитием цифровой экономики и массовым внедрением технологий дистанционной идентификации и аутентификации граждан в финансовой сфере Российской Федерации. Единая биометрическая система (ЕБС), запущенная в промышленную эксплуатацию в 2018 году и функционирующая под контролем Министерства цифрового развития, связи и массовых коммуникаций РФ совместно с Центральным банком России, представляет собой критически важный элемент национальной информационной инфраструктуры [1, c. 15]. По состоянию на начало 2025 года в системе зарегистрировано свыше 185 миллионов биометрических шаблонов граждан, что делает ЕБС одной из крупнейших биометрических баз данных в мире и превращает её в привлекательную цель для киберпреступников и иностранных разведывательных служб [2, c. 42].

Внедрение модулей платежной аутентификации на основе биометрических технологий является логичным развитием ЕБС и отвечает задачам Национальной программы «Цифровая экономика Российской Федерации», Доктрины информационной безопасности Российской Федерации (утверждена Указом Президента РФ № 646 от 05.12.2016) и Стратегии развития информационного общества в Российской Федерации на 2017–2030 годы [3, c. 128]. Однако применение биометрических данных для авторизации финансовых транзакций создаёт принципиально новые риски информационной безопасности, поскольку компрометация биометрических шаблонов, в отличие от паролей или криптографических ключей, является необратимой — человек не может изменить свои физиологические и биологические характеристики [4, c. 67].

Статистика киберинцидентов, представленная аналитическим центром компании Positive Technologies в отчёте «Актуальные киберугрозы — 2024», демонстрирует устойчивый рост целенаправленных атак на финансовые организации и телекоммуникационную инфраструктуру в Российской Федерации: за 2024 год зафиксировано увеличение на 47% числа инцидентов, связанных с компрометацией систем аутентификации и авторизации [5, c. 23]. Особую озабоченность вызывают инциденты, связанные с утечками персональных данных из информационных систем российских операторов связи и финансовых организаций, которые могут содержать сведения, применимые для подделки биометрических характеристик или организации атак типа Presentation Attack (атака воспроизведением) [6, c. 89].

Степень разработанности проблемы в отечественной научно-технической литературе характеризуется наличием фундаментальных исследований в области криптографической защиты биометрических данных (работы А.Ю. Щеглова, А.В. Лукацкого, В.А. Галатенко), методов обнаружения Presentation Attack (исследования коллектива ИТМО под руководством И.В. Котенко), анализа защищённости телекоммуникационных систем передачи биометрических данных (труды учёных МТУСИ и МГТУ им. Н.Э. Баумана). Вместе с тем комплексные исследования, охватывающие весь жизненный цикл биометрического модуля платежной аутентификации — от проектирования архитектуры до эксплуатационного мониторинга инцидентов информационной безопасности — в контексте требований регуляторов ФСТЭК России и ФСБ России остаются малочисленными [7, c. 134].

Цель выпускной квалификационной работы — разработка защищённого модуля платежной аутентификации на основе Единой биометрической системы с комплексным анализом актуальных угроз информационной безопасности и обоснованием методов защиты в соответствии с требованиями нормативных документов ФСТЭК России и ФСБ России.

Для достижения поставленной цели сформулированы следующие задачи:

• исследовать принципы функционирования Единой биометрической системы и особенности её применения для платежной аутентификации в контексте нормативно-правовых требований ФСТЭК России, ФСБ России и Центрального банка Российской Федерации;
• провести систематизированный анализ актуальных угроз безопасности биометрической аутентификации в платежных системах на основе Методики оценки угроз безопасности информации ФСТЭК России (2021 г.) и Банка данных угроз безопасности информации ФСТЭК России;
• выполнить обзор методов и средств защиты биометрических данных при проведении платежей с учётом требований к применению средств криптографической защиты информации, установленных ФСБ России;
• разработать архитектуру модуля платежной аутентификации, включая компоненты взаимодействия с ЕБС и платежным сервисом, с соблюдением принципов сегментации и эшелонированной защиты информации;
• реализовать защищённый протокол аутентификации с интеграцией криптографических средств защиты информации класса КС2 или выше согласно требованиям ФСБ России и выполнить экспериментальную оценку устойчивости модуля к типовым атакам;
• провести технико-экономическое обоснование внедрения разработанного модуля с учётом организационных аспектов, регламентов и требований импортозамещения в сфере информационной безопасности.

Объектом исследования является телекоммуникационная инфраструктура модуля платежной аутентификации, интегрированного с Единой биометрической системой и платежным сервисом финансовой организации.

Предмет исследования — методы и средства обеспечения информационной безопасности телекоммуникационных систем передачи и обработки биометрических данных при осуществлении платежных операций.

Методологическая база исследования включает теоретическую основу (концепции многоуровневой защиты информации, модели управления рисками информационной безопасности, теория проектирования защищённых телекоммуникационных систем), методы исследования (анализ угроз безопасности информации по Методике ФСТЭК России 2021 года, сравнительный анализ средств криптографической защиты информации по функциональным характеристикам и классам защиты, метод экспертных оценок для ранжирования угроз, моделирование архитектуры защищённой системы с применением средств виртуализации), нормативно-правовую и н

…