Sau khi Thales rời Nga, câu hỏi đặt ra về việc thay thế nhập khẩu các mô-đun HS do hãng này sản xuất. Theo Forbes, khoảng 20 ngân hàng Nga gặp khó khăn. Nhưng quy mô của thảm họa hóa ra lại rộng hơn nhiều so với suy nghĩ ban đầu.
- Giới thiệu
- Hệ thống tài chính Nga rơi vào tình trạng hỗn loạn sau năm 2022
- Mục đích của HSM
- Nỗ lực đầu tiên tạo HSM ở Nga
- Nỗ lực thứ hai để thực hiện HSM của Nga
- Xây dựng hỗ trợ pháp lý cho HSM trong nước
- Nỗ lực thứ ba để tạo HSM ở Nga
- kết luận
Giới thiệu
Một trong những cuộc tấn công mạng khét tiếng nhất trong lịch sử được thực hiện bởi sâu Stuxnet, vào năm 2010 đã tấn công một số cấu trúc của chương trình hạt nhân Iran và khiến các máy ly tâm của chúng mất kiểm soát. Mục tiêu ban đầu của Stuxnet là các máy tính và mạng chạy Microsoft Windows, nhưng sau đó mã độc này được thay thế bằng mã mới có thể dùng để lập trình lại thiết bị hệ thống công nghiệp.
Chuyên gia Iran không biết về mối nguy hiểm nên không ngăn chặn được hậu quả? Không, hệ thống bảo vệ cơ sở hạt nhân đã được xây dựng ở mức độ cao. Nhưng có một lỗ hổng trong hệ thống này mà bên tấn công đã lợi dụng.
Sâu Stuxnet đã tìm cách vượt qua việc phát hiện tự động các cuộc tấn công mạng bằng cách đưa ra chứng chỉ kỹ thuật số đáng tin cậy cho biết độ tin cậy của nguồn. Nói cách khác, khóa mã hóa bị xâm phạm khiến thiết bị nhà máy điện hạt nhân của Iran dễ bị tổn thương và tạo điều kiện cho một cuộc tấn công có chủ đích. Chính xác thì khóa bị xâm phạm như thế nào vẫn chưa được công bố.
Nhưng tại sao ngay từ đầu nó lại dễ bị tổn thương? Thực tế là khóa đã được lưu trữ bên trong hệ thống phần mềm. Nếu quá trình xử lý nó được thực hiện trong mô-đun bảo mật phần cứng (HSM), thì sẽ không thể thực hiện cuộc tấn công Stuxnet theo hình thức mà nó đã xảy ra.
Hệ thống tài chính Nga rơi vào tình trạng hỗn loạn sau năm 2022
Câu chuyện của chúng tôi sẽ dành riêng cho lĩnh vực tài chính của Nga và những vấn đề mà nó phải đối mặt vào năm 2022. Một nguyên nhân nghiêm trọng gây lo ngại là quyết định của công ty Thales của Pháp, công ty sản xuất mô-đun phần cứng cho hệ thống thanh toán. Vào ngày 1 tháng 7 năm 2022, họ tuyên bố ngừng hoạt động tại thị trường Nga và cắt giảm mọi hoạt động nhằm đảm bảo an ninh kỹ thuật số trong lĩnh vực ngân hàng của Liên bang Nga.
Sự ra đi của Thales khỏi Nga đã làm dấy lên câu hỏi về độ tin cậy của hoạt động tiếp theo của hệ thống thanh toán Mir của Nga. Hóa ra, việc tạo ra các khóa mật mã bằng phần cứng cho nó chủ yếu phụ thuộc vào việc sử dụng các mô-đun Thales HS.
Như TAdviser đã đưa tin, trích dẫn trang web mua sắm của chính phủ, từ năm 2014 đến năm 2021, các cuộc đấu thầu cung cấp và mua giấy phép cho các mô-đun và phần mềm Thales đã được các tổ chức tài chính như Sberbank, VTB, Rosselkhozbank, Ngân hàng Phát triển Khu vực Toàn Nga (RRDB) công bố từ năm 2014 đến năm 2021. và “Ngân hàng thương mại Tây Siberia”. Chính đại diện của Thales đã lên tiếng về việc hợp tác với Alfa-Bank. Forbes sau đó thống kê có tổng cộng 20 tổ chức tài chính có thể bị ảnh hưởng bởi quyết định rời Thales.
Mục đích của HSM
Đầu tiên, một vài lời về mô-đun HS là gì. Đây là một thiết bị phần cứng, thường là máy chủ, mặc dù đôi khi chỉ là một máy tính riêng biệt được cài đặt card mạng chuyên dụng.
Mô-đun HS dành cho hệ thống thanh toán cung cấp khả năng bảo vệ cho các hoạt động thường có nguy cơ gian lận, chẳng hạn như kiểm tra mã PIN, giao dịch thanh toán và phát hành thẻ thanh toán. Nó được sử dụng để quản lý các khóa mã hóa. “Bí mật” nằm ở sự hiện diện của một bộ xử lý mật mã đặc biệt, được sử dụng để tạo và bảo vệ các khóa mật mã trong suốt vòng đời của chúng – từ khi tạo ra cho đến khi bị phá hủy.
Sử dụng các khóa đã tạo, các hoạt động mã hóa và giải mã được thực hiện trên dữ liệu nhận được từ bên ngoài. Tất cả các hoạt động được thực hiện bên trong thiết bị. Bằng cách này, các khóa mật mã không bao giờ rời khỏi phạm vi bảo mật bên trong thiết bị nơi chúng được tạo.
Hình 1. Ứng dụng của HSM (Thales, 2022)
Nỗ lực đầu tiên tạo HSM ở Nga
Nỗ lực đầu tiên nhằm thay thế nhập khẩu các mô-đun thanh toán HS được thực hiện vào năm 2003. Nguyên mẫu là mẫu HSM 7000 của công ty Racal của Anh (thuộc tập đoàn Thales).
Nguyên mẫu của HSM trong nước chỉ hỗ trợ cơ chế mã hóa cho thẻ của hệ thống thanh toán quốc tế có dải từ. Khi họ chuyển sang thẻ chip và sự xuất hiện của các cơ chế mật mã tương ứng và các tiêu chuẩn EMVCo, chức năng của chúng đã được thêm vào các mô-đun HS của Nga.
HSM của Nga được sử dụng hạn chế ở nước này. Trong số các triển khai lớn nhất của họ, người ta có thể kể tên hoạt động tại Sberbank trong lĩnh vực in phong bì có mã PIN. Chúng cũng đã được sử dụng trong vòng quản lý dữ liệu quan trọng cho các thiết bị đầu cuối.
Các mô-đun HS đầu tiên của Nga không được sử dụng rộng rãi. Việc thực hiện chúng bị cản trở do thiếu tài liệu tham khảo về chúng trong các yêu cầu lập pháp để điều chỉnh hoạt động của các hệ thống thanh toán của Nga. Sản phẩm từ nhà cung cấp nước ngoài khi đó nhận được lợi thế.
Phạm vi chức năng được cung cấp lớn hơn và hiệu suất cao hơn của các mô-đun HS nước ngoài đã đạt được nhờ các nhà sản xuất của họ tiếp cận sớm hơn với các yêu cầu dự thảo EMV, liên quan trực tiếp đến quá trình chuyển đổi sang thẻ chip và giới thiệu công nghệ mới trong ngành thanh toán.
Nỗ lực thứ hai để thực hiện HSM của Nga
Nỗ lực thứ hai nhằm thay thế nhập khẩu các mô-đun thanh toán HS ở Nga được thực hiện vào năm 2014. Lý do cho điều này là do các lệnh trừng phạt do Visa và MasterCard áp đặt đối với một số ngân hàng Nga, bao gồm tất cả những ngân hàng hoạt động ở Crimea.
Hậu quả của các biện pháp trừng phạt được áp đặt là HSM thanh toán được xếp vào loại liên kết dễ bị tổn thương nhất trong hệ thống ngân hàng Nga. Lý do là các thiết bị này được sử dụng trong lõi của cơ sở hạ tầng ngân hàng và thanh toán.
Danh sách các cuộc tấn công có mục tiêu tiềm ẩn có thể được thực hiện nhằm vào cơ sở hạ tầng thẻ thanh toán đã được tổng hợp:
- quản lý trái phép khóa mật mã, thu hồi chứng chỉ của hệ thống thanh toán quốc tế, xử lý khóa hợp đồng vì thông tin chính được quản lý bằng công nghệ và tiêu chuẩn nước ngoài;
- đưa ra các biện pháp trừng phạt đối với hệ thống thanh toán của Nga (ngưng cung cấp thiết bị) với những hậu quả có thể xảy ra dưới hình thức gián đoạn hoạt động của nó ngay cả trong Liên bang Nga;
- đưa chức năng ẩn vào thiết bị và kết quả là truy cập trái phép vào thông tin được lưu trữ trong hệ thống thanh toán hoặc từ chối cung cấp dịch vụ có kiểm soát;
- hình thành sự phụ thuộc về công nghệ vào thiết bị nhập khẩu, gắn việc phát triển hệ thống thanh toán quốc gia với kế hoạch của các nhà cung cấp nước ngoài và công nghệ mà họ sử dụng;
- xâm phạm thông qua việc khai thác các lỗ hổng mật mã nước ngoài.
Khi đó nhiều người nhận ra rằng nhu cầu sử dụng các mô-đun HS trong nước là rất lớn. Các mối đe dọa đã trở nên quá rõ ràng. Như vậy, theo Ngân hàng Nga, trong nửa đầu năm 2016, khối lượng giao dịch sử dụng thẻ tại Liên bang Nga và nước ngoài đạt 8,2 tỷ giao dịch. Tổng mạng lưới thiết bị điện tử chấp nhận thẻ ngân hàng hiện có 203,5 nghìn máy ATM và hơn 1,7 triệu thiết bị đầu cuối điện tử. Sự phụ thuộc vào HSM nước ngoài là rất đáng kể.
Chúng tôi cũng lưu ý rằng từ ngày 1 tháng 4 năm 2015, Nga đã thực hiện chuyển đổi sang Hệ thống thẻ thanh toán quốc gia (NSCP). Do đó, tất cả các giao dịch thẻ liên ngân hàng trong nước bắt đầu được thực hiện thông qua nó. Điều này không chỉ áp dụng cho thẻ Mir của Nga, nhà điều hành thẻ này cũng là NSPK, mà còn áp dụng cho tất cả các thẻ ngân hàng của bất kỳ hệ thống thanh toán nào, không chỉ các thẻ của Nga.
Chính việc chuyển đổi sang NSPK vào năm 2015 đã đảm bảo khả năng tồn tại của hệ thống thanh toán thẻ ở Nga sau các sự kiện năm 2022. Sự ra đi của Visa và MasterCard không phá hủy được nó. Nhưng để hệ thống tài chính ổn định, tính độc lập của cơ sở hạ tầng thanh toán cũng cần thiết. Mặc dù nó chắc chắn được phân loại là cơ sở CII, nhưng không phải mọi thứ ở đó đều diễn ra suôn sẻ.
Trở lại năm 2015–2018. Công ty InfoTeKS đã phát triển mô-đun thanh toán ViPNet HSM PS HS. Sau đó, thiết bị này đã được chứng nhận là HF loại CIPF, nhưng chưa được triển khai đầy đủ. Vẫn chưa có quy định pháp lý nào trong lĩnh vực này. Khả năng sử dụng HSM của Nga như một phần của hệ thống ngân hàng và thanh toán không được phản ánh trong tài liệu quy định. Nguyên nhân chính từ chối đưa chúng vào hoạt động là do thiếu chứng chỉ PCI PTS HSM.
Xây dựng hỗ trợ pháp lý cho HSM trong nước
Trong giai đoạn từ 2015 đến 2021, công việc tích cực đã được thực hiện trong việc xây dựng các văn bản quy định pháp luật về các mô-đun thanh toán HS trong nước như CIPF trong cơ sở hạ tầng thông tin của hệ thống thanh toán. Như Pavel Lutsik, giám đốc phát triển kinh doanh và làm việc với các đối tác tại CryptoPro, đã lưu ý khi phát biểu tại hội nghị ABISS về các vấn đề pháp lý trong bảo mật thông tin (tháng 10 năm 2023), bản chất của các quy định được thông qua trong lĩnh vực thay thế nhập khẩu của bảo mật thông tin đã tóm tắt đến hai yêu cầu:
- từ ngày 31/3/2022, cấm mua phần mềm từ các nước không thân thiện;
- Từ ngày 1 tháng 1 năm 2025, nghiêm cấm sử dụng phần mềm từ các quốc gia không thân thiện.
Hình 2. Văn bản quy định về thay thế nhập khẩu thiết bị an ninh thông tin
Do đó, Ngân hàng Nga đã ban hành quy định số 719-P ngày 04/06/2020, theo đó nhà điều hành (NSPK) của hệ thống thanh toán quan trọng quốc gia (Mir) được yêu cầu đảm bảo sử dụng các mô-đun HS của Nga trong Cơ sở hạ tầng thông tin của nó:
- từ ngày 01/01/2024, được phép sử dụng các mô-đun mật mã thanh toán thực hiện các thuật toán mật mã nước ngoài (được FSB của Nga chứng nhận);
- từ ngày 01/01/2031, được phép sử dụng các mô-đun mật mã thanh toán triển khai cả thuật toán mật mã của nước ngoài và của Nga (được FSB của Nga chứng nhận).
Các yêu cầu chung đối với CIPF trong hệ thống thanh toán đã được FSB và Ngân hàng Nga chuẩn bị và được nêu trong tài liệu số FT-56-3/32 ngày 28 tháng 2 năm 2020. Những biện pháp này nhằm đảm bảo quyền tự chủ hoàn toàn của Nga trong lĩnh vực HSM.
Sau đó, sau các sự kiện năm 2022 và nhiều cuộc họp tiếp theo của các nhóm công tác với cơ quan quản lý (FSB của Nga), người ta đã quyết định rằng việc phát hành mô-đun HS trong nước sẽ không yêu cầu phải có giấy chứng nhận phù hợp từ các cơ quan quản lý quốc tế (PCI). Giờ đây, để có thể vận hành HSM trong các hệ thống thanh toán quan trọng quốc gia, bao gồm NSPK, phải áp dụng quy tắc sau: chỉ cần tuân thủ các yêu cầu của FSB và Ngân hàng Nga.
Điều quan trọng cần lưu ý là các ngân hàng không sử dụng trực tiếp các mô-đun HS. Công việc được thực hiện gián tiếp thông qua phần mềm ngân hàng. Do đó, để triển khai hỗ trợ mật mã cho các giao dịch thanh toán, việc có chứng chỉ từ FSB của Nga chỉ dành cho HSM là chưa đủ. Cũng cần phải đảm bảo tính tương thích ở cấp độ hệ thống phần mềm.
NSPK đã phát triển một phương pháp và chương trình thử nghiệm đặc biệt về khả năng tương thích của phần mềm ngân hàng với các mô-đun mật mã thanh toán. Hiện các ngân hàng đang tích cực thử nghiệm các hệ thống phần mềm trong nước.
Hình 3. Phần mềm ngân hàng phổ biến nhất của Nga tương thích với HSM
Nỗ lực thứ ba để tạo HSM ở Nga
Như bạn có thể thấy, nỗ lực thứ ba nhằm thay thế nhập khẩu thiết bị thanh toán HSM đã bắt đầu sớm hơn nhiều so với kế hoạch năm 2024. Như Pavel Lutsik đã nêu, một số cuộc tấn công có mục tiêu giả định được hình thành trước đây đã trở thành “thực tế của chúng ta ngày nay”.
Ông lưu ý, theo thống kê chính thức từ Ngân hàng Nga, hiện có 261 ngân hàng đang hoạt động tại Nga, trong đó có 242 ngân hàng hỗ trợ giao dịch thẻ. Ngoài ra, trong nước còn có khoảng 10 trung tâm chế biến nữa. Hầu như tất cả các tổ chức này, tức là khoảng 250 tổ chức tài chính ở Nga, đều phải đối mặt với các mối đe dọa sau tháng 2 năm 2022. Con số này nhiều hơn “20 ngân hàng Nga” mà Forbes tính sau khi Thales tuyên bố rời Nga.
Như Pavel Lutsik đã lưu ý, hai mô hình HSM do Thales sản xuất hiện đang được sử dụng tích cực ở Nga: payShield 9000 và payShield 10K (thế hệ mô-đun thanh toán HS thứ năm của Thales e-Security). Mô-đun payShield 9000 vẫn là mô-đun phổ biến nhất trên thế giới. Theo nhiều ước tính khác nhau, nó có thể chiếm tới 80% hoặc hơn khối lượng bảo vệ giao dịch thẻ thanh toán toàn cầu.
Hình 4. Mô-đun Thales payShield 10K HS
Trở lại năm 2019, Thales đã cảnh báo khách hàng rằng họ có kế hoạch sản xuất mẫu payShield 9000 cho đến ngày 30 tháng 6 năm 2020 và hoàn tất bảo trì trước ngày 31 tháng 12 năm 2022. Có vẻ như nhiều ngân hàng Nga đã được hướng dẫn bởi các xu hướng trên thị trường toàn cầu, nơi nhiều ngân hàng không có thời gian để thay thế các mô-đun HS đang chuẩn bị ngừng hoạt động bằng mô hình payShield 10K.
Một lý do khác có thể dẫn đến sự chậm trễ là vấn đề tài chính. Theo dữ liệu gián tiếp, giá của các thiết bị HSM đơn giản nhất bắt đầu từ 3 triệu rúp. Đồng thời, giá của các sản phẩm tương tự của Nga có thể so sánh được: “vài chục nghìn đô la”.
Các mô-đun tương tự Thales HS của Nga hiện được sản xuất bởi các công ty CryptoPro và InfoTeKS. Làm sao đã báo cáo Kommersant công bố, các ngân hàng Nga sẽ phải nhanh chóng chuyển sang HSM nội địa để đảm bảo bảo vệ giao dịch và dữ liệu khách hàng. Đồng thời, những người tham gia thị trường lưu ý rằng đối với các ngân hàng nhỏ, việc thay thế như vậy có thể dẫn đến gánh nặng tài chính nghiêm trọng.
Dù vậy, hệ thống hỗ trợ thanh toán thẻ của Nga tỏ ra rất ngoan cường. Người dân dường như thậm chí không nhận thấy những thay đổi (ngoại trừ việc từ chối thực hiện các giao dịch quốc tế đối với thẻ Visa và MasterCard). Điều này được chứng minh bằng sự tăng trưởng liên tục về khối lượng thanh toán không dùng tiền mặt ở Nga, điều mà Pavel Lutsik đã đề cập trong báo cáo của mình. Cần lưu ý rằng kể từ năm 2018, khối lượng của họ đã tăng 40% và mỗi năm tỷ lệ thanh toán không dùng tiền mặt đã tăng khoảng 5%.
Đối với các mô-đun Thales HS có tải trọng cao, chúng vẫn tiếp tục hoạt động cho đến ngày nay. Vấn đề chính hiện nay là nếu thất bại, các ngân hàng Nga sẽ không thể sửa chữa được. Điều này yêu cầu phải gửi thiết bị đến nhà máy của nhà sản xuất ở Pháp, điều này hiện không thể thực hiện được do thiếu sự hỗ trợ của Thales.
Hình 5. Sản phẩm HSM của Nga thay vì sản phẩm của Thales
kết luận
Đặc điểm của thời điểm hiện tại là quá trình chuyển đổi sang HSM của Nga với việc “ăn thịt” song song các mô-đun Thales HS, tức là thay thế thiết bị bị lỗi bằng thiết bị được loại bỏ khỏi các khu vực xử lý khác. Như Pavel Lutsik đã lưu ý, “quá trình mô-đun tiền điện tử bị lỗi đã bắt đầu, các tình huống tương tự đã xảy ra và các ngân hàng riêng lẻ đã bắt đầu gặp khó khăn nghiêm trọng”.
HSM 2.0 R3 từ CryptoPro, HSM ₽S từ công ty Hệ thống bảo mật thực tế (SPB) ở St. Petersburg và HSM từ InfoTeKS đều có sẵn để thay thế.
