RU2587423C2 - Система и способ обеспечения безопасности онлайн-транзакций - Google Patents
Система и способ обеспечения безопасности онлайн-транзакций Download PDFInfo
- Publication number
- RU2587423C2 RU2587423C2 RU2013143484/08A RU2013143484A RU2587423C2 RU 2587423 C2 RU2587423 C2 RU 2587423C2 RU 2013143484/08 A RU2013143484/08 A RU 2013143484/08A RU 2013143484 A RU2013143484 A RU 2013143484A RU 2587423 C2 RU2587423 C2 RU 2587423C2
- Authority
- RU
- Russia
- Prior art keywords
- online transaction
- application
- conduct
- online
- secure
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims description 38
- 238000012502 risk assessment Methods 0.000 claims abstract description 19
- 230000008569 process Effects 0.000 claims description 25
- 238000013479 data entry Methods 0.000 claims description 21
- 230000002155 anti-virotic effect Effects 0.000 claims description 17
- 238000012546 transfer Methods 0.000 claims description 16
- 238000012549 training Methods 0.000 claims description 7
- 244000035744 Hura crepitans Species 0.000 claims description 5
- 230000004075 alteration Effects 0.000 claims 1
- 238000005516 engineering process Methods 0.000 abstract description 11
- 230000005540 biological transmission Effects 0.000 abstract description 5
- 239000000126 substance Substances 0.000 abstract 1
- 238000013459 approach Methods 0.000 description 8
- 230000003287 optical effect Effects 0.000 description 6
- 239000000243 solution Substances 0.000 description 6
- 238000012790 confirmation Methods 0.000 description 4
- 208000015181 infectious disease Diseases 0.000 description 4
- 230000006399 behavior Effects 0.000 description 3
- 230000001010 compromised effect Effects 0.000 description 3
- 238000012795 verification Methods 0.000 description 3
- 230000000903 blocking effect Effects 0.000 description 2
- 230000008859 change Effects 0.000 description 2
- 230000006870 function Effects 0.000 description 2
- 238000002347 injection Methods 0.000 description 2
- 239000007924 injection Substances 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000002093 peripheral effect Effects 0.000 description 2
- 238000013515 script Methods 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 230000003213 activating effect Effects 0.000 description 1
- 239000008186 active pharmaceutical agent Substances 0.000 description 1
- 238000013475 authorization Methods 0.000 description 1
- 238000007630 basic procedure Methods 0.000 description 1
- 238000004422 calculation algorithm Methods 0.000 description 1
- 239000000969 carrier Substances 0.000 description 1
- 239000003795 chemical substances by application Substances 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/38—Payment protocols; Details thereof
- G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/08—Payment architectures
- G06Q20/12—Payment architectures specially adapted for electronic shopping systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/22—Payment schemes or models
- G06Q20/28—Pre-payment schemes, e.g. "pay before"
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/38—Payment protocols; Details thereof
- G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
- G06Q20/401—Transaction verification
- G06Q20/4016—Transaction verification involving fraud or risk level assessment in transaction processing
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
Landscapes
- Engineering & Computer Science (AREA)
- Business, Economics & Management (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Accounting & Taxation (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- General Business, Economics & Management (AREA)
- Strategic Management (AREA)
- Finance (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Multimedia (AREA)
- Technology Law (AREA)
- Computer And Data Communications (AREA)
- Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
Abstract
Изобретение относится к системам проведения онлайн-транзакций. Технический результат заключается в обеспечении безопасности проведения онлайн-транзакций. Реализуемая компьютером система содержит средство управления, предназначенное для определения начало проведения онлайн-транзакции, производимой с помощью приложения, используемого для проведения онлайн-транзакции, и связано со средством для защищенного ввода данных, с защищенной средой, со средством безопасной передачи данных и со средством оценки рисков, предназначенным для оценки рисков онлайн-транзакции и передачи информации об оценки рисков средству управления. 4 ил., 1 табл.
Description
Область техники
Изобретение относится к компьютерной безопасности, а более конкретно к системам и способам обеспечения безопасности онлайн-транзакций.
Уровень техники
В настоящее время существует большое количество программного обеспечения, с помощью которого можно проводить различные онлайн-транзакции. Многие транзакции совершаются с помощью онлайн-банкинга, используя стандартные браузеры, также используются отдельные банковские клиенты, которые особенно популярны на мобильных платформах. Среди других приложений, связанных с онлайн-транзакциями, можно отметить системы электронной валюты, как, например, BitCoin, или онлайн-игры, которые используют собственную систему микротранзакций, во время которых пользователь покупает внутриигровые предметы или внутриигровую валюту за счет реальных средств (например, используя свою банковскую карту).
Неудивительно, что с ростом онлайн-платежей этим сегментом услуг заинтересовались злоумышленники, которые активно исследуют возможные варианты перехвата данных транзакций с целью незаконного перевода средств. Как правило, кражу подобных данных осуществляют с помощью вредоносных программ, которые попадают на компьютеры пользователей (заражают их). Чаще всего подобные программы попадают на компьютеры через заражение популярных интернет-браузеров, выполняют перехват данных, вводимых с устройств ввода (таких как клавиатура или мышь), или перехватывают данные, отправляемые в сеть. Например, вредоносные программы, заражающие браузеры, получают доступ к файлам браузера, просматривают историю посещений и сохраненные пароли при посещении веб-страниц. Перехватчики ввода данных (англ. keyloggers) перехватывают ввод данных с клавиатуры или мыши, делают снимки экранов (англ. screenshots) и скрывают свое присутствие в системе с помощью целого ряда руткит-технологий (англ. rootkit). Подобные технологии также применяются при реализации перехватчиков сетевых пакетов (снифферов трафика, англ. traffic sniffers), которые перехватывают передаваемые сетевые пакеты, извлекая из них ценную информацию, такую как пароли и другие личные данные. Стоит отметить, что заражение чаще всего происходит с использованием уязвимостей в программном обеспечении, которые позволяют использовать различные эксплойты (англ. exploit) для проникновения в компьютерную систему.
Существующие антивирусные технологии, такие как использование сигнатурной или эвристической проверок, методы проактивной защиты или использование списков доверенных приложений (англ. whitelist), хотя и позволяют добиться обнаружения многих вредоносных программ на компьютерах пользователей, однако не всегда способны определить их новые модификации, частота появления которых растет день ото дня. Таким образом, требуются решения, которые могли бы обезопасить процедуру проведения онлайн-платежей у пользователей.
Существуют различные решения, которые направлены на обеспечение безопасности онлайн-транзакций. Возможным решением по противодействию вредоносным программам, которые перехватывают ввод данных с устройств ввода, является использование защищенных устройств ввода. Примером таких устройств является клавиатура с шифрованием вводимых данных или виртуальная клавиатура (http://support.kaspersky.com/kav2012/start?qid=208284630). Подобные решения обладают рядом недостатков: для клавиатуры с шифрованием вводимых данных также могут существовать перехватчики, которые осуществляют перехват данных до шифрования или уже после их расшифровки, а виртуальная клавиатура может быть скомпрометирована с помощью использования вредоносных программ, которые делают снимки экрана через заданные промежутки времени.
Заявка US 20060136332 описывает использование связки "защищенное устройство поддержки транзакций плюс программный клиент на компьютере" для обеспечения безопасности транзакций. Программный клиент работает прозрачно для пользователя. Защищенное устройство содержит набор алгоритмов для обеспечения безопасности каждого известного типа транзакции. Однако заявка не затрагивает вопрос анализа безопасности компьютера в целом, т.е. при наличии неизвестных вредоносных программ ввод пользователем данных может быть скомпрометирован. В заявке WO 2005033943 описывается сервис для анализа веб-сервера платежной системы на предмет уязвимостей (например, наличия открытых портов). Посетителям веб-сервера (т.е. клиентам сервиса) будет отображаться информация о найденных уязвимостях, однако дальнейшие действия должны принимать сами пользователи. В патенте US 8024790 описан механизм определения того, что URL-адрес является важным с точки зрения ввода информации пользователем с целью принятия дальнейших мер по обеспечению безопасности, что может быть невозможно в том случае, если данный адрес был скомпрометирован (фишинговый сайт) или не был отмечен пользователем как важный.
Однако стоит отметить, что в приведенных публикациях не раскрывается комплексный подход для обеспечения безопасных онлайн-платежей, так как каждая публикация решает одну из проблем, связанных с безопасным проведением онлайн-транзакций, однако оставляет нерешенными другие, что не позволяет утверждать, что на стороне пользователя можно безопасно провести онлайн-транзакции.
Анализ предшествующего уровня техники и возможностей, которые появляются при комбинировании существующих решений в одной системе, позволяют получить новый результат, а именно систему и способ обеспечения безопасности онлайн-транзакций.
Раскрытие изобретения
Технический результат настоящего изобретения заключается в обеспечении безопасности онлайн-транзакций.
Согласно одному из вариантов реализации для достижения данного технического результата применяется способ проведения онлайн-транзакций, при этом способ содержит этапы, на которых определяют начало
проведения онлайн-транзакции, производимой с помощью приложения, используемого для проведения онлайн-транзакций; организовывают защищенную среду для исключения возможной компрометации приложения, используемого для проведения онлайн-транзакций; обеспечивают защищенный ввод данных для защиты от возможного перехвата данных при их вводе в приложение, используемое для проведения онлайн-транзакций; обеспечивают защищенную передачу данных от приложения, используемого для проведения онлайн-транзакций, на сторону платежного сервиса при проведении онлайн-транзакций.
Согласно одному из частных вариантов реализации начало проведения онлайн-транзакций определяется на основании запуска приложения, используемого для проведения онлайн-транзакций.
Согласно другому частному варианту реализации начало проведения онлайн-транзакций определяется на основании обучения.
Согласно еще одному частному варианту реализации обучение включает отслеживание по крайней мере одного из: запросов к сетевым ресурсам, которые могут принадлежать финансовым организациям, для корректного определения их как платежных сервисов; наличия в активном окне приложения элементов с возможностью ввода данных.
Согласно одному из частных вариантов реализации в качестве защищенной среды может использоваться одно из: песочница; защита запущенного процесса приложения, используемого для проведения онлайн-транзакции, с помощью проверки изменений в адресном пространстве процесса; отслеживание подозрительных операций при выполнении потоков запущенного процесса приложения, используемого для проведения онлайн-транзакции; использование виртуальной машины, в которой будет запущено приложение, используемое для проведения онлайн-транзакции; запуск другого приложения для реализации возможностей приложения, используемого для проведения онлайн-транзакции.
Согласно другому частному варианту реализации защищенный ввод данных обеспечивается в виде одного из: виртуальной клавиатуры, аппаратного средства ввода данных, защиты буфера обмена.
Согласно еще одному частному варианту реализации после определения начала проведения онлайн-транзакции дополнительно проводят оценку рисков онлайн-транзакции.
Согласно одному из частных вариантов реализации оценка рисков онлайн-транзакции включает по меньшей мере один из следующих критериев: уязвимости приложений, включая уязвимости приложения, используемого для проведения онлайн-транзакции; инциденты на компьютере, на котором установлено приложение, используемое для проведения онлайн-транзакции; инциденты в сети, в которой находится компьютер, на котором установлено приложение, используемое для проведения онлайн-транзакции; статус антивирусного программного обеспечения; использование аппаратных средств аутентификации; частота проведения онлайн-транзакций; поведение пользователя.
Согласно одному из вариантов реализации для достижения данного технического результата применяется система проведения онлайн-транзакции, при этом система содержит следующие средства: средство управления, предназначенное для определения начала проведения онлайн-транзакции, производимой с помощью приложения, используемого для проведения онлайн-транзакции, при этом средство управления связано со средством для защищенного ввода данных, защищенной средой, средством безопасной передачи данных; средство для защищенного ввода данных, предназначенное для защиты от возможного перехвата данных при их вводе в приложение, используемое для проведения онлайн-транзакции, при этом средство для защищенного ввода данных связано с защищенной средой; защищенная среда, предназначенная для исключения возможной компрометации приложения, используемого для проведения онлайн-транзакции, при этом защищенная среда связана со средством безопасной передачи данных; средство безопасной передачи данных, предназначенное для предотвращения возможного перехвата и изменения данных, передаваемых на сторону платежного сервиса при проведении онлайн-транзакции.
Согласно одному из частных вариантов реализации начало проведения онлайн-транзакции определяется на основании запуска приложения, используемого для проведения онлайн-транзакции.
Согласно другому частному варианту реализации начало проведения онлайн-транзакции определяется на основании обучения.
Согласно еще одному частному варианту реализации обучение включает отслеживание по крайней мере одного из: запросов к сетевым ресурсам, которые могут принадлежать финансовым организациям, для корректного определения их как платежных сервисов; наличия в активном окне приложения элементов с возможностью ввода данных.
Согласно одному из частных вариантов реализации в качестве защищенной среды может использоваться одно из: песочница; защита запущенного процесса приложения, используемого для проведения онлайн-транзакции, с помощью проверки изменений в адресном пространстве процесса; отслеживание подозрительных операций при выполнении потоков запущенного процесса приложения, используемого для проведения онлайн-транзакции; использование виртуальной машины, в которой будет запущено приложение, используемое для проведения онлайн-транзакции; запуск другого приложения для реализации возможностей приложения, используемого для проведения онлайн-транзакции.
Согласно другому частному варианту реализации средство для защищенного ввода данных реализовано в виде одного из: виртуальной клавиатуры, аппаратного средства ввода данных, защиты буфера обмена.
Согласно еще одному частному варианту реализации дополнительно содержится средство оценки рисков для проведения оценки рисков онлайн-транзакции, при этом средство оценки рисков связано со средством управления.
Согласно одному из частных вариантов реализации оценка рисков онлайн-транзакции включает по меньшей мере один из следующих критериев: уязвимости, включая уязвимости приложения, используемого для проведения онлайн-транзакции; инциденты на компьютере, на котором установлено приложение, используемое для проведения онлайн-транзакции; инциденты в сети, в которой находится компьютер, на котором установлено приложение, используемое для проведения онлайн-транзакции; статус антивирусного программного обеспечения; использование аппаратных средств аутентификации; частота проведения онлайн-транзакций; поведение пользователя.
Краткое описание чертежей
Дополнительные цели, признаки и преимущества настоящего изобретения будут очевидными из прочтения последующего описания осуществления изобретения со ссылкой на прилагаемые чертежи, на которых:
На Фиг.1а приведена типичная схема проведения онлайн-транзакций.
Фиг.1б иллюстрирует возможные угрозы для проведения онлайн-транзакций.
Фиг.1в иллюстрирует набор необходимых средств для защиты онлайн-транзакций в рамках реализации настоящего изобретения.
Фиг.2 показывает систему для защиты онлайн-транзакций в рамках реализации настоящего изобретения.
Фиг.3 иллюстрирует способ работы настоящего изобретения.
Фиг.4 представляет пример компьютерной системы общего назначения, в рамках которой может быть реализовано настоящее изобретение.
Описание вариантов осуществления изобретения
Объекты и признаки настоящего изобретения, способы для достижения этих объектов и признаков станут очевидными посредством отсылки к примерным вариантам осуществления. Однако настоящее изобретение не ограничивается примерными вариантами осуществления, раскрытыми ниже, оно может воплощаться в различных видах. Сущность, приведенная в описании, является ничем иным, как конкретными деталями, необходимыми для помощи специалисту в области техники в исчерпывающем понимании изобретения, и настоящее изобретение определяется в объеме приложенной формулы.
На Фиг.1а приведена типичная схема проведения онлайн-транзакций. Пользователь 100, используя средство ввода ПО, вводит всю необходимую информацию в приложение 120 для проведений онлайн-транзакций. В качестве средства ввода ПО можно рассматривать такие устройства, как клавиатура, мышь, сенсорный экран, которые подразумевают ввод данных самим пользователем. Приложение 120 для проведения онлайн-транзакций может быть как браузером, в котором с определенной веб-страницы можно произвести онлайн-транзакцию, так и специализированным банковским клиентом, а также любым другим приложением, в котором есть функционал онлайн-транзакций (например, игровое приложение World of Warcraft имеет собственный сервис для покупки виртуальных вещей за деньги). Для того чтобы онлайн-транзакция могла быть успешно произведена, требуется подключение к сети Интернет 130, через которую можно осуществить перевод денежных средств с помощью платежного сервиса 140. В данном случае под платежным сервисом подразумевается вся инфраструктура для денежных транзакций, включая, например, инфраструктуру банка-эмитента платежной карты, исполняющего банка и любых других посредников.
Фиг.1б иллюстрирует возможные угрозы для проведения онлайн-транзакций. Одной из возможных угроз 110а являются вредоносные (чаще всего троянские) программы, такие как перехватчики ввода данных (англ. keyloggers), которые перехватывают ввод данных с клавиатуры или мыши, делают снимки экранов (англ. screenshots). Перехват ввода данных может быть реализован с помощью библиотеки (англ. Dynamic Load Library, DLL), которая устанавливает перехватчики событий. Слежение за клавиатурным вводом может происходить лишь в окнах с определенными заголовками (т.е. происходит целенаправленное отслеживание приложений 120). Собранную информацию о вводе вредоносная программа 110а сохраняет в отдельный файл, чтобы затем передать на сторону злоумышленника с помощью, например, электронной почты. Стоит отметить, что вредоносные программы 110а используют целый ряд технологий для сокрытия присутствия в системе (например, rootkit-технологии) или затруднения обнаружения антивирусными приложениями (например, используя обфускацию кода). Также угрозы 110а могут использовать системные перехватчики (например, для операционной системы Windows это могут быть перехватчики на API-функции HttpSendRequestW(), HttpSendRequestAQ, HttpOpenRequestA()) для отслеживания сетевых запросов от приложения 120.
Другой пример угроз представляет собой компрометация приложения 120 с помощью вредоносного функционала 110б. Данный функционал 110б может иметь различную природу, например это может быть заражение исполняемого файла приложения 120 вирусом или же это может быть добавление DLL-модуля (англ. Browser Helper Object, ВНО) в процесс браузера. Другие варианты реализации функционала 110б могут быть основаны на использовании уязвимостей в приложении 120, внедрении в адресное пространство работающего процесса приложения 120 и т.д.
Еще одним примером компьютерных угроз являются вредоносные приложения 110в, которые направлены на перехват и подмену сетевого трафика от приложений 120. Перехват и подмена могут быть реализованы с помощью добавления поддельных SSL-сертификатов для определенных сайтов, добавления DNS-записей для сетевых настроек (LAN, Wi-Fi), изменения файла hosts и др. Данные подходы направлены на переадресацию пользователя (а точнее, приложения 120) не к платежному сервису 140, а к вредоносному веб-ресурсу 110г (как правило, это фишинговые сайты), который может иметь схожий функционал для проведения онлайн-транзакций, однако в этом случае средства пользователя 100 будут переведены на счета злоумышленников. Вредоносный веб-ресурс 110г также может иметь созвучные названия доменов платежных сервисов 140, иметь одинаковый интерфейс, что может ввести пользователя 100 в заблуждение. Еще один вариант работы вредоносных приложений 110в заключается в изменении ответа от платежного сервиса 140, например, путем подмены вебстраницы или добавлении вредоносного сценария.
Перечисленные выше угрозы 110а-110г очень часто не работают как отдельные приложения, а выступают в виде целого комплекса связанных между собой угроз для проведения незаконных онлайн-транзакций. Это связано с тем, что также постоянно совершенствуются и средства защиты от подобных транзакций - банки и владельцы платежных сервисов 140 улучшают качество работы, добавляя, например, новые методы аутентификации пользователей, антивирусные компании постоянно добавляют новые методы обнаружения угроз 110а-110г. Однако даже если получается предотвратить работу или использование почти всех угроз, даже одна угроза может привести к тому, что будет проведена непредусмотренная онлайн-транзакция или у пользователя будут украдены его важные данные. Таким образом, требуется комплексное решение для обнаружения, нейтрализации или обхода существующих угроз 110а-110г.
Фиг.1в иллюстрирует набор необходимых средств для защиты онлайн-транзакций в рамках реализации настоящего изобретения. С целью избежать возможного перехвата данных через средства ввода 110 пользователю 100 предоставляется средство для защищенного ввода данных 120а. Как правило, такое средство реализуется в виде виртуальной клавиатуры (http://www.techopedia.com/definition/716/virtual-kevboard), которая может содержать ряд улучшений для дополнительной защиты от кейлоггеров, например, в виде защиты от снимков экрана (используя перехват и блокирование процессов снятия скриншотов, выполняемых без использования клавиши PrtScr на клавиатуре, а также других стандартных комбинаций клавиш: Alt + PrtScr; Ctrl + PrtScr). Другие варианты реализации средства для защищенного ввода данных 120а могут быть также аппаратными средствами ввода данных с реализацией отдельного драйвера в операционной системе (ОС) для перевода введенных данных со средства 120а в набор символов для приложения 120. Также реализация средства 120а может использовать подходы для защиты буфера обмена, например, контролируя передачу данных между разными процессами и процессом приложения 120. Например, средство 120а может блокировать доступ к буферу обмена для всех приложений, кроме приложения 120 и ряда выделенных процессов (например, процесса приложения Notepad или процесса переднего плана, откуда пользователь может скопировать необходимые данные).
Для того чтобы исключить возможную компрометацию приложения 120, используется защищенная среда 120б, которая может быть реализована в виде ряда технологий:
- Использование технологий песочницы (http://www.techopedia.com/detinition/27682/sandbox-computer-securitv).;
- Защита запущенного процесса приложения 120 с помощью проверки (запрета) изменений в адресном пространстве процесса (т.е. предотвращения внедрения кода), анализа запуска новых потоков в рамках процесса приложения 120 и т.д.;
- Отслеживание подозрительных операций при выполнении потоков запущенного процесса приложения 120. Подобное отслеживание может быть реализовано с помощью технологий, описанных в патентной заявке US 20110083176. В рамках этого подхода можно запрещать следующие операции к процессу приложения 120 со стороны других процессов: внедрение кода, прямой доступ к памяти, снятие снимков экрана, попытки обращения к дочерним процессам процесса приложения 120;
- Использование виртуальной машины, в которой будет запущено приложение 120;
- Запуск другого приложения для реализации возможностей приложения 120. Например, в случае браузера это может быть использование упрощенной версии браузера, которая реализует минимальный набор функционала для проведения онлайн-транзакций (отправка и прием веб-запросов, отображение веб-страниц, авторизация и работа с SSL-протоколом и т.д.).
С целью избежать возможного перехвата и/или изменения данных, которые будут пересылаться приложением 120 через Интернет 130 к платежному сервису 140, может использоваться средство безопасной передачи данных 120в, которое позволяет выполнять следующие функции:
- Отслеживание и проверка доменного имени платежного сервиса 140 с целью выделения вредоносных веб-ресурсов 110 г. Базы данных вредоносных веб-ресурсов ведут многие разработчики антивирусных продуктов (например, компании McAfee, Symantec, Kaspersky Lab);
- Проверка цифровых сертификатов платежных сервисов с помощью подходов, описанных, например, в патенте US 7739494;
- Проверка содержимого (контента) платежного сервиса, например, с помощью технологии, раскрытой в патенте US 8370939.
Фиг.2 показывает систему для защиты онлайн-транзакций в рамках реализации настоящего изобретения. Пользователь 100 использует компьютер 200, на котором установлена ОС 210 для работы с приложениями 220, из которых как минимум одно приложение 120 позволяет проводить онлайн-транзакции. Средство оценки рисков 230 анализирует ОС 210 и приложение 120 на наличие уязвимостей, файлы настроек, список установленных драйверов и запущенных служб и другие данные, имеющие отношение к компьютерной безопасности, с целью определения риска при возможном проведении онлайн-транзакции. Оценка рисков может быть произведена с помощью ряда метрик, например с помощью Common Vulnerability Scoring System (CVSS), которая может включать детальную информацию об уязвимостях (критичность, возможные последствия использования уязвимости, способы устранения уязвимости). Примеры критериев для работы средства оценки рисков:
- Уязвимости (критичность, возможные последствия использования уязвимости), в том числе уязвимости приложения 120 для проведения онлайн-транзакций;
- Инциденты на локальном компьютере 200 (обнаружение вредоносных программ, сетевых атак, спама и т.д.);
- Инциденты в сети, в которой находится компьютер 200 (сетевые атаки, отказ в обслуживании и т.д.);
- Статус антивирусного программного обеспечения (время последнего обновления антивирусных баз, доступность антивирусных серверов для запросов и т.д.);
- Использование аппаратных средств аутентификации. При использовании подобных средств возможность компрометации онлайн-транзакции падает, следовательно, риски уменьшаются;
- Частота проведения онлайн-транзакций. При повышении частоты онлайн-транзакций со стороны пользователя, как правило, возрастает риск проведения несанкционированных транзакций, которые пользователь может заметить не сразу ввиду большого количества транзакций;
- Поведение пользователя, которое может характеризовать его как пользователя с риском заражения неизвестными вредоносными программами. Один из подходов, описанный в патенте US 8312536, оценивает репутацию пользователя на основании репутации данных, которыми пользователь оперирует во время своей работы, например файлов или сайтов. Чем больше среди таких данных встречается вредоносных, тем более худшей может оказаться репутация пользователя, что повышает риск при проведении онлайн-транзакции.
В одном из вариантов реализации средство оценки рисков может лишь закрывать найденные уязвимости путем скачивания и установки обновлений (патчей) для уязвимых приложений, изменять настройки работы приложения для уменьшения риска при проведении онлайн-транзакций.
Ниже приведены основные риски, связанные с проведением онлайн-транзакций:
- Потеря личных данных, таких как идентификационная информация пользователя;
- Некорректное проведение текущей онлайн-транзакции;
- Получение несанкционированного доступа третьих лиц к средствам хранения и проведения онлайн-транзакций, например, к приложениям 120, электронным кошелькам (англ. digital wallet).
Средство оценки рисков 230 может вычислять риск проведения онлайн-транзакций согласно определенным метрикам, при этом величина риска может быть выражено в виде числа или определенного значения. Пример рисков приведен ниже в таблице 1.
| Таблица 1. | ||
| Условия | Риск (число) | Риск (значение) |
| Приложение 120 выполнено в виде отдельного приложения для проведения определенного вида онлайн-транзакций; Аппаратное подтверждение онлайн-транзакций; Антивирусное приложение имеет последнюю версию антивирусных баз. | 1 | Низкий |
| Приложение 120 выполнено в виде браузера; Подтверждение транзакций происходит через ввод данных с клавиатуры пользователем; Антивирусное приложение имеет последнюю версию антивирусных баз. | 2 | Средний |
| Приложение 120 выполнено в виде браузера; Подтверждение транзакций происходит через ввод данных с клавиатуры пользователем; Антивирусное приложение имеет устаревшую версию антивирусных баз; Определен ряд инцидентов, связанных с вредоносными программами. | 3 | Высокий |
После того как средство оценки рисков 230 определило риски проведения онлайн-транзакций, оно передает эту информацию на сторону средства управления 240, которое регулирует работу средства для защищенного ввода данных 120а, защищенной среды 120б и средства безопасной передачи данных 120в. В зависимости от полученной информации, средство управления 240 может настроить вышеупомянутые средства следующим образом:
- средство для защищенного ввода данных 120а может быть как отключено (если не требуется использовать ввод данных от самого пользователя, например, при использовании аппаратных средств подтверждения онлайн-транзакций), так и включено, в зависимости от ряда условий, куда входит информация о приложении 120 (тип приложения, наличие уязвимостей, необходимость ввода данных и т.д.), ОС 210 и т.д.;
- защищенная среда 120б может использовать различные подходы для защиты приложения 120 (использование песочницы или виртуальной машины, контроль выполнения потоков процесса и др.), при этом чем выше уровень риска, тем более надежная используется защищенная среда 120б (например, при высоком уровне риска может использоваться отдельная виртуальная машина, сетевые соединения будут устанавливаться через отдельное VPN-соединение, в то время как при низком уровне риска защищенная среда может отсутствовать вовсе);
- средство безопасной передачи данных 120в может оперировать не только уровнем риска для проверки передаваемых данных, но и информацией об используемом приложении 120 (например, при использовании браузера будут проверены URL-адреса, по которым происходит обращение при проведении онлайн-транзакций, цифровые сертификаты сайтов платежного сервиса 140 и т.д.).
Стоит отметить, что все настройки средства для защищенного ввода данных 120а, защищенной среды 120б и средства безопасной передачи данных 120в могут быть изменены самим пользователем или администратором для упрощения процедуры проведения онлайн-транзакций. С этой целью средство управления 240 может иметь собственный интерфейс (англ. Graphics User Interface, GUI). В предпочтительном варианте реализации средство управления 240, средство для защищенного ввода данных 120а, защищенная среда 120б, средство безопасной передачи данных 120в, средство оценки рисков 230 реализованы в виде отдельного приложения или же могут входить в состав антивирусного приложения. Средство управления 240 также предназначено для определения начала онлайн-транзакции для активации работы средства для защищенного ввода данных 120а, защищенной среды 120б, средства безопасной передачи данных 120в, средства оценки рисков 230 как по отдельности для каждого средства из перечисленных, так и всех вместе.
Для получения информации об уязвимостях, вредоносных приложениях и другой информации, касающейся безопасности онлайн-транзакций, средство управления 240 связывается с репутационным сервисом 250. Подобные сервисы могут быть реализованы в виде удаленного облачного сервиса или в виде локальной базы данных, которая содержит следующую информацию:
- информацию об уязвимостях;
- фишинговую базу сайтов;
- базу данных цифровых сертификатов;
- эвристические правила обнаружения фишинговых сайтов платежных сервисов, а также вредоносных сценариев, которые могут быть выполнены при обращении к подобным сайтам;
- правила настройки средств 120а-120в.
Фиг.3 иллюстрирует способ работы настоящего изобретения. На этапе 310 происходит определение начала онлайн-транзакции, которое может быть основано на:
- запуске приложения 120;
- определении момента начала онлайн-транзакции через приложение 120;
- выборе пользователя (пользователь может самостоятельно выбирать режим защиты онлайн-транзакции с помощью настоящей системы).
Примером момента начала онлайн-транзакции в случае веб-браузера могут служить следующие признаки: открытие известной веб-страницы платежного сервиса 140 (в случае онлайн-банкинга это будет сайт банка), установка https-соединения, наличие на странице характерных полей для ввода данных (логин-пароль).
Момент начала транзакции может задавать сам пользователь также в тех случаях, когда требуется обучение для определения в будущем аналогичных случаев. Для обучения могут использоваться следующие факторы:
- запросы к сетевым ресурсам, которые могут принадлежать финансовым организациям (например, к сайтам банков) для корректного определения их как платежных сервисов 140 в будущем. В случае браузера это может быть обращение к таким сайтам, как ebay.com, walmart.com, bestbuy.com, newegg.com и другим аналогичным;
- наличие в активном окне приложения 120 элементов с возможностью ввода данных, при этом элементы могут иметь характерные имена (идентификатор, логин, пароль, ID и т.д.) и содержать другие указывающие на возможность ввода данных свойства (например, для HTML-элемента ввод пароля в текстовое поле также содержит значение type="password");
- информация о приложении 120, которая определяет его как приложение для проведения онлайн-транзакций. Например, для отдельного банковского клиента по цифровой подписи можно удостовериться, что цифровая подпись принадлежит банку, что будет говорить о том, что данный клиент с большой долей вероятности будет использоваться для онлайн-транзакций.
После того как было определено начало онлайн-транзакции на этапе 310, следует опциональный шаг по определению рисков онлайн-транзакции на этапе 320. На этом этапе также может быть произведено снижение рисков онлайн-транзакции путем установки обновлений с целью закрытия уязвимостей или оповещение пользователя о риске. Далее на этапе 330 происходит организация защищенной среды для приложения 120. Данный этап может быть осуществлен заранее, еще до начала онлайн-транзакции. Затем на этапе 340 пользователь вводит данные для онлайн-транзакции, используя средство для защищенного ввода данных 120а. Для защищенной передачи данных по сети на этапе 350, помимо вышеперечисленных подходов (проверка доменных имен, цифровых сертификатов и т.д.), может также использоваться установление защищенного соединения (например, VPN-соединения), куда будет инкапсулировано текущее соединение к платежному сервису 140. После того как все данные были переданы и транзакция была завершена, на этапе 360 система прекращает свою работу. Стоит отметить, что этапы 330-350 необязательно должны следовать именно в такой последовательности, как отображено на Фиг.3, например, сначала может проверяться информация о платежном сервисе 140, к которому пытается обратиться приложение 120, и лишь затем будет происходить обеспечение защищенной среды и защищенный ввод данных.
В одном из вариантов реализации для защиты веб-банкинга с использованием браузера способ работы настоящего изобретения может выглядеть следующим образом:
- Открытие интернет-соединения;
- Проверка соответствия запрашиваемой веб-страницы сайту банка;
- Установление подлинности ресурса путем проверки цифрового сертификата;
- Анализ наличия уязвимостей в ОС 210;
- Блокирование использования веб-страницы банка в незащищенном режиме;
- Запуск защищенного браузера, в котором отображается только поле, требуемое для входа в веб-банкинг;
- Защита ввода данных пользователя во время сеанса работы с веб-банкингом;
- Завершение защищенной сессии при закрытии браузера.
Фиг.4 представляет пример компьютерной системы общего назначения, персональный компьютер или сервер 20, содержащий центральный процессор 21, системную память 22 и системную шину 23, которая содержит разные системные компоненты, в том числе память, связанную с центральным процессором 21. Системная шина 23 реализована, как любая известная из уровня техники шинная структура, содержащая в свою очередь память шины или контроллер памяти шины, периферийную шину и локальную шину, которая способна взаимодействовать с любой другой шинной архитектурой. Системная память содержит постоянное запоминающее устройство (ПЗУ) 24, память с произвольным доступом (ОЗУ) 25. Основная система ввода/вывода (BIOS) 26 содержит основные процедуры, которые обеспечивают передачу информации между элементами персонального компьютера 20, например, в момент загрузки операционной системы с использованием ПЗУ 24.
Персональный компьютер 20 в свою очередь содержит жесткий диск 27 для чтения и записи данных, привод магнитных дисков 28 для чтения и записи на сменные магнитные диски 29 и оптический привод 30 для чтения и записи на сменные оптические диски 31, такие как CD-ROM, DVD-ROM и иные оптические носители информации. Жесткий диск 27, привод магнитных дисков 28, оптический привод 30 соединены с системной шиной 23 через интерфейс жесткого диска 32, интерфейс магнитных дисков 33 и интерфейс оптического привода 34 соответственно. Приводы и соответствующие компьютерные носители информации представляют собой энергонезависимые средства хранения компьютерных инструкций, структур данных, программных модулей и прочих данных персонального компьютера 20.
Настоящее описание раскрывает реализацию системы, которая использует жесткий диск 27, сменный магнитный диск 29 и сменный оптический диск 31, но следует понимать, что возможно применение иных типов компьютерных носителей информации 56, которые способны хранить данные в доступной для чтения компьютером форме (твердотельные накопители, флеш-карты памяти, цифровые диски, память с произвольным доступом (ОЗУ) и т.п.), которые подключены к системной шине 23 через контроллер 55.
Компьютер 20 имеет файловую систему 36, где хранится записанная операционная система 35, а также дополнительные программные приложения 37, другие программные модули 38 и данные программ 39. Пользователь имеет возможность вводить команды и информацию в персональный компьютер 20 посредством устройств ввода (клавиатуры 40, манипулятора «мышь» 42). Могут использоваться другие устройства ввода (не отображены): микрофон, джойстик, игровая консоль, сканнер и т.п. Подобные устройства ввода по своему обычаю подключают к компьютерной системе 20 через последовательный порт 46, который в свою очередь подсоединен к системной шине, но могут быть подключены иным способом, например, при помощи параллельного порта, игрового порта или универсальной последовательной шины (USB). Монитор 47 или иной тип устройства отображения также подсоединен к системной шине 23 через интерфейс, такой как видеоадаптер 48. В дополнение к монитору 47, персональный компьютер может быть оснащен другими периферийными устройствами вывода (не отображены), например, колонками, принтером и т.п.
Персональный компьютер 20 способен работать в сетевом окружении, при этом используется сетевое соединение с другим или несколькими удаленными компьютерами 49. Удаленный компьютер (или компьютеры) 49 являются такими же персональными компьютерами или серверами, которые имеют большинство или все упомянутые элементы, отмеченные ранее при описании существа персонального компьютера 20, представленного на Фиг.4. В вычислительной сети могут присутствовать также и другие устройства, например, маршрутизаторы, сетевые станции, пиринговые устройства или иные сетевые узлы.
Сетевые соединения могут образовывать локальную вычислительную сеть (LAN) 50 и глобальную вычислительную сеть (WAN). Такие сети применяются в корпоративных компьютерных сетях, внутренних сетях компаний и, как правило, имеют доступ к сети Интернет. В LAN- или WAN-сетях персональный компьютер 20 подключен к локальной сети 50 через сетевой адаптер или сетевой интерфейс 51. При использовании сетей персональный компьютер 20 может использовать модем 54 или иные средства обеспечения связи с глобальной вычислительной сетью, такой как Интернет. Модем 54, который является внутренним или внешним устройством, подключен к системной шине 23 посредством последовательного порта 46. Следует уточнить, что сетевые соединения являются лишь примерными и не обязаны отображать точную конфигурацию сети, т.е. в действительности существуют иные способы установления соединения техническими средствами связи одного компьютера с другим.
В заключение следует отметить, что приведенные в описании сведения являются примерами, которые не ограничивают объем настоящего изобретения, определенного формулой.
Claims (1)
- Реализуемая компьютером система проведения онлайн-транзакции, при этом система содержит следующие средства:
а) средство управления, предназначенное для определения начала проведения онлайн-транзакции, производимой с помощью приложения, используемого для проведения онлайн-транзакции, настройки средства для защищенного ввода данных, защищенной среды и средства безопасной передачи данных, и при этом средство управления связано со средством для защищенного ввода данных, защищенной средой, средством безопасной передачи данных и средством оценки рисков, при этом начало проведения онлайн-транзакции определяется на основании обучения, которое включает отслеживание по крайней мере одного из: запросов к сетевым ресурсам, которые могут принадлежать финансовым организациям, для корректного определения их как платежных сервисов; наличия в активном окне приложения элементов с возможностью ввода данных;
б) средство оценки рисков для оценки рисков онлайн-транзакции и передачи указанной информации об упомянутой оценке рисков средству управления, при этом оценка рисков онлайн-транзакции включает по меньшей мере один из следующих критериев:
- уязвимости приложений, включая уязвимости приложения, используемого для проведения онлайн-транзакции;
- инциденты на компьютере, на котором установлено приложение, используемое для проведения онлайн-транзакции;
- инциденты в сети, в которой находится компьютер, на котором установлено приложение, используемое для проведения онлайн-транзакции;
- статус антивирусного программного обеспечения;
- использование аппаратных средств аутентификации;
- частота проведения онлайн-транзакций;
- поведение пользователя;
в) средство для защищенного ввода данных, предназначенное для защиты от возможного перехвата данных при их вводе в приложение, используемое для проведения онлайн-транзакции, при этом средство для защищенного ввода данных связано с защищенной средой, при этом средство для защищенного ввода данных обеспечивается в виде одного из: виртуальной клавиатуры, аппаратного средства ввода данных, защиты буфера обмена;
г) защищенная среда, предназначенная для исключения возможной компрометации приложения, используемого для проведения онлайн-транзакции, при этом защищенная среда связана со средством безопасной передачи данных, при этом в качестве защищенной среды может использоваться одно из:
- песочница;
- защита запущенного процесса приложения, используемого для проведения онлайн-транзакции, с помощью проверки изменений в адресном пространстве процесса;
- отслеживание подозрительных операций при выполнении потоков запущенного процесса приложения, используемого для проведения онлайн-транзакции;
- использование виртуальной машины, в которой будет запущено приложение, используемое для проведения онлайн-транзакции;
- запуск другого приложения для реализации возможностей приложения, используемого для проведения онлайн-транзакции;
д) средство безопасной передачи данных, предназначенное для предотвращения возможного перехвата и изменения данных, передаваемых на сторону платежного сервиса при проведении онлайн-транзакции.
Priority Applications (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2013143484/08A RU2587423C2 (ru) | 2013-09-26 | 2013-09-26 | Система и способ обеспечения безопасности онлайн-транзакций |
| US14/166,496 US9898739B2 (en) | 2013-09-26 | 2014-01-28 | System and method for ensuring safety of online transactions |
| EP14159070.3A EP2854088B1 (en) | 2013-09-26 | 2014-03-12 | A system and method for ensuring safety of online transactions |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2013143484/08A RU2587423C2 (ru) | 2013-09-26 | 2013-09-26 | Система и способ обеспечения безопасности онлайн-транзакций |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| RU2013143484A RU2013143484A (ru) | 2015-04-10 |
| RU2587423C2 true RU2587423C2 (ru) | 2016-06-20 |
Family
ID=52691853
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2013143484/08A RU2587423C2 (ru) | 2013-09-26 | 2013-09-26 | Система и способ обеспечения безопасности онлайн-транзакций |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US9898739B2 (ru) |
| RU (1) | RU2587423C2 (ru) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2699409C1 (ru) * | 2017-10-05 | 2019-09-05 | Мастеркард Интернэшнл Инкорпорейтед | Системы и способы для использования в аутентификации пользователей применительно к сетевым транзакциям |
Families Citing this family (72)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9495538B2 (en) * | 2008-09-25 | 2016-11-15 | Symantec Corporation | Graduated enforcement of restrictions according to an application's reputation |
| US9981184B2 (en) * | 2013-06-17 | 2018-05-29 | Tencent Technology (Shenzhen) Company Limited | Method and system for invoking plug-in function |
| US10346814B2 (en) * | 2014-06-04 | 2019-07-09 | MONI Limited | System and method for executing financial transactions |
| US9818092B2 (en) * | 2014-06-04 | 2017-11-14 | Antti Pennanen | System and method for executing financial transactions |
| US10311122B1 (en) * | 2014-08-22 | 2019-06-04 | Bromium, Inc. | On-demand unprotected mode access |
| CN104239783A (zh) * | 2014-09-19 | 2014-12-24 | 东软集团股份有限公司 | 一种特定信息安全输入***及方法 |
| US10289846B2 (en) * | 2015-04-17 | 2019-05-14 | Easy Solutions Enterprises Corp. | Systems and methods for detecting and addressing remote access malware |
| US11030622B2 (en) * | 2015-06-11 | 2021-06-08 | Early Warning Services, Llc | Card systems and methods |
| US10185480B1 (en) * | 2015-06-15 | 2019-01-22 | Symantec Corporation | Systems and methods for automatically making selections in user interfaces |
| CN108352022B (zh) | 2015-08-27 | 2023-02-17 | 万事达卡国际股份有限公司 | 用于监视计算机认证程序的***和方法 |
| US20220164840A1 (en) | 2016-04-01 | 2022-05-26 | OneTrust, LLC | Data processing systems and methods for integrating privacy information management systems with data loss prevention tools or other tools for privacy design |
| US11222139B2 (en) | 2016-06-10 | 2022-01-11 | OneTrust, LLC | Data processing systems and methods for automatic discovery and assessment of mobile software development kits |
| US11222142B2 (en) | 2016-06-10 | 2022-01-11 | OneTrust, LLC | Data processing systems for validating authorization for personal data collection, storage, and processing |
| US11481710B2 (en) | 2016-06-10 | 2022-10-25 | OneTrust, LLC | Privacy management systems and methods |
| US11520928B2 (en) | 2016-06-10 | 2022-12-06 | OneTrust, LLC | Data processing systems for generating personal data receipts and related methods |
| US11544667B2 (en) | 2016-06-10 | 2023-01-03 | OneTrust, LLC | Data processing systems for generating and populating a data inventory |
| US10318761B2 (en) | 2016-06-10 | 2019-06-11 | OneTrust, LLC | Data processing systems and methods for auditing data request compliance |
| US11403377B2 (en) | 2016-06-10 | 2022-08-02 | OneTrust, LLC | Privacy management systems and methods |
| US10846433B2 (en) | 2016-06-10 | 2020-11-24 | OneTrust, LLC | Data processing consent management systems and related methods |
| US11392720B2 (en) | 2016-06-10 | 2022-07-19 | OneTrust, LLC | Data processing systems for verification of consent and notice processing and related methods |
| US11416109B2 (en) | 2016-06-10 | 2022-08-16 | OneTrust, LLC | Automated data processing systems and methods for automatically processing data subject access requests using a chatbot |
| US10284604B2 (en) | 2016-06-10 | 2019-05-07 | OneTrust, LLC | Data processing and scanning systems for generating and populating a data inventory |
| US11651104B2 (en) | 2016-06-10 | 2023-05-16 | OneTrust, LLC | Consent receipt management systems and related methods |
| US11651106B2 (en) | 2016-06-10 | 2023-05-16 | OneTrust, LLC | Data processing systems for fulfilling data subject access requests and related methods |
| US11675929B2 (en) | 2016-06-10 | 2023-06-13 | OneTrust, LLC | Data processing consent sharing systems and related methods |
| US11354435B2 (en) | 2016-06-10 | 2022-06-07 | OneTrust, LLC | Data processing systems for data testing to confirm data deletion and related methods |
| US11461500B2 (en) | 2016-06-10 | 2022-10-04 | OneTrust, LLC | Data processing systems for cookie compliance testing with website scanning and related methods |
| US11188615B2 (en) | 2016-06-10 | 2021-11-30 | OneTrust, LLC | Data processing consent capture systems and related methods |
| US11586700B2 (en) | 2016-06-10 | 2023-02-21 | OneTrust, LLC | Data processing systems and methods for automatically blocking the use of tracking tools |
| US11134086B2 (en) | 2016-06-10 | 2021-09-28 | OneTrust, LLC | Consent conversion optimization systems and related methods |
| US11438386B2 (en) | 2016-06-10 | 2022-09-06 | OneTrust, LLC | Data processing systems for data-transfer risk identification, cross-border visualization generation, and related methods |
| US11625502B2 (en) | 2016-06-10 | 2023-04-11 | OneTrust, LLC | Data processing systems for identifying and modifying processes that are subject to data subject access requests |
| US11227247B2 (en) | 2016-06-10 | 2022-01-18 | OneTrust, LLC | Data processing systems and methods for bundled privacy policies |
| US11294939B2 (en) | 2016-06-10 | 2022-04-05 | OneTrust, LLC | Data processing systems and methods for automatically detecting and documenting privacy-related aspects of computer software |
| US10997318B2 (en) | 2016-06-10 | 2021-05-04 | OneTrust, LLC | Data processing systems for generating and populating a data inventory for processing data access requests |
| US11416589B2 (en) | 2016-06-10 | 2022-08-16 | OneTrust, LLC | Data processing and scanning systems for assessing vendor risk |
| US11727141B2 (en) | 2016-06-10 | 2023-08-15 | OneTrust, LLC | Data processing systems and methods for synching privacy-related user consent across multiple computing devices |
| US11418492B2 (en) | 2016-06-10 | 2022-08-16 | OneTrust, LLC | Data processing systems and methods for using a data model to select a target data asset in a data migration |
| US11562097B2 (en) | 2016-06-10 | 2023-01-24 | OneTrust, LLC | Data processing systems for central consent repository and related methods |
| US11416590B2 (en) | 2016-06-10 | 2022-08-16 | OneTrust, LLC | Data processing and scanning systems for assessing vendor risk |
| US11636171B2 (en) | 2016-06-10 | 2023-04-25 | OneTrust, LLC | Data processing user interface monitoring systems and related methods |
| US11354434B2 (en) | 2016-06-10 | 2022-06-07 | OneTrust, LLC | Data processing systems for verification of consent and notice processing and related methods |
| US11366909B2 (en) | 2016-06-10 | 2022-06-21 | OneTrust, LLC | Data processing and scanning systems for assessing vendor risk |
| US11475136B2 (en) | 2016-06-10 | 2022-10-18 | OneTrust, LLC | Data processing systems for data transfer risk identification and related methods |
| US11188862B2 (en) | 2016-06-10 | 2021-11-30 | OneTrust, LLC | Privacy management systems and methods |
| US10530803B1 (en) * | 2016-07-05 | 2020-01-07 | Wells Fargo Bank, N.A. | Secure online transactions |
| US11144928B2 (en) | 2016-09-19 | 2021-10-12 | Early Warning Services, Llc | Authentication and fraud prevention in provisioning a mobile wallet |
| RU2634174C1 (ru) * | 2016-10-10 | 2017-10-24 | Акционерное общество "Лаборатория Касперского" | Система и способ выполнения банковской транзакции |
| AU2018230763A1 (en) | 2017-03-08 | 2019-10-31 | Ip Oversight Corporation | System and method for creating commodity asset-secured tokens from reserves |
| US10013577B1 (en) | 2017-06-16 | 2018-07-03 | OneTrust, LLC | Data processing systems for identifying whether cookies contain personally identifying information |
| US10803202B2 (en) | 2018-09-07 | 2020-10-13 | OneTrust, LLC | Data processing systems for orphaned data identification and deletion and related methods |
| US11544409B2 (en) | 2018-09-07 | 2023-01-03 | OneTrust, LLC | Data processing systems and methods for automatically protecting sensitive data within privacy management systems |
| US11741196B2 (en) | 2018-11-15 | 2023-08-29 | The Research Foundation For The State University Of New York | Detecting and preventing exploits of software vulnerability using instruction tags |
| RU2728504C1 (ru) | 2019-03-29 | 2020-07-29 | Акционерное общество "Лаборатория Касперского" | Система и способ поэтапного повышения информационной безопасности элементов технологической системы |
| EP3716109B1 (en) * | 2019-03-29 | 2022-09-28 | AO Kaspersky Lab | System and method of stepwise increasing the it security of elements of a technological system |
| US11314881B2 (en) * | 2019-04-10 | 2022-04-26 | Visa International Service Association | Predictive update of profile database with update logic |
| US11436605B2 (en) * | 2020-04-17 | 2022-09-06 | Guardian Analytics, Inc. | Sandbox based testing and updating of money laundering detection platform |
| US11797528B2 (en) | 2020-07-08 | 2023-10-24 | OneTrust, LLC | Systems and methods for targeted data discovery |
| WO2022026564A1 (en) | 2020-07-28 | 2022-02-03 | OneTrust, LLC | Systems and methods for automatically blocking the use of tracking tools |
| US11475165B2 (en) | 2020-08-06 | 2022-10-18 | OneTrust, LLC | Data processing systems and methods for automatically redacting unstructured data from a data subject access request |
| WO2022060860A1 (en) | 2020-09-15 | 2022-03-24 | OneTrust, LLC | Data processing systems and methods for detecting tools for the automatic blocking of consent requests |
| US11526624B2 (en) | 2020-09-21 | 2022-12-13 | OneTrust, LLC | Data processing systems and methods for automatically detecting target data transfers and target data processing |
| WO2022099023A1 (en) | 2020-11-06 | 2022-05-12 | OneTrust, LLC | Systems and methods for identifying data processing activities based on data discovery results |
| US11687528B2 (en) | 2021-01-25 | 2023-06-27 | OneTrust, LLC | Systems and methods for discovery, classification, and indexing of data in a native computing system |
| WO2022170047A1 (en) | 2021-02-04 | 2022-08-11 | OneTrust, LLC | Managing custom attributes for domain objects defined within microservices |
| EP4288889A1 (en) | 2021-02-08 | 2023-12-13 | OneTrust, LLC | Data processing systems and methods for anonymizing data samples in classification analysis |
| US11601464B2 (en) | 2021-02-10 | 2023-03-07 | OneTrust, LLC | Systems and methods for mitigating risks of third-party computing system functionality integration into a first-party computing system |
| US11775348B2 (en) | 2021-02-17 | 2023-10-03 | OneTrust, LLC | Managing custom workflows for domain objects defined within microservices |
| US11546661B2 (en) | 2021-02-18 | 2023-01-03 | OneTrust, LLC | Selective redaction of media content |
| WO2022192269A1 (en) | 2021-03-08 | 2022-09-15 | OneTrust, LLC | Data transfer discovery and analysis systems and related methods |
| US11562078B2 (en) | 2021-04-16 | 2023-01-24 | OneTrust, LLC | Assessing and managing computational risk involved with integrating third party computing functionality within a computing system |
| US11620142B1 (en) | 2022-06-03 | 2023-04-04 | OneTrust, LLC | Generating and customizing user interfaces for demonstrating functions of interactive user environments |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2007138849A (ru) * | 2005-04-19 | 2009-04-27 | Майкрософт Корпорейшн (Us) | Сетевые коммерческие транзакции |
| EA200900225A1 (ru) * | 2008-05-14 | 2009-12-30 | Шин, Елена Ильинична | Способ дистанционной аутентификации пользователя в компьютерных сетях для осуществления защищенных транзакций с использованием мобильного телефона |
Family Cites Families (32)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5892900A (en) * | 1996-08-30 | 1999-04-06 | Intertrust Technologies Corp. | Systems and methods for secure transaction management and electronic rights protection |
| US20110238855A1 (en) * | 2000-09-25 | 2011-09-29 | Yevgeny Korsunsky | Processing data flows with a data flow processor |
| US7549164B2 (en) * | 2003-06-11 | 2009-06-16 | Symantec Corporation | Intrustion protection system utilizing layers and triggers |
| US7509679B2 (en) * | 2002-08-30 | 2009-03-24 | Symantec Corporation | Method, system and computer program product for security in a global computer network transaction |
| US7331062B2 (en) | 2002-08-30 | 2008-02-12 | Symantec Corporation | Method, computer software, and system for providing end to end security protection of an online transaction |
| US9009084B2 (en) * | 2002-10-21 | 2015-04-14 | Rockwell Automation Technologies, Inc. | System and methodology providing automation security analysis and network intrusion protection in an industrial environment |
| US20080229415A1 (en) * | 2005-07-01 | 2008-09-18 | Harsh Kapoor | Systems and methods for processing data flows |
| US20070180509A1 (en) * | 2005-12-07 | 2007-08-02 | Swartz Alon R | Practical platform for high risk applications |
| US7735116B1 (en) * | 2006-03-24 | 2010-06-08 | Symantec Corporation | System and method for unified threat management with a relational rules methodology |
| WO2007149140A2 (en) | 2006-03-30 | 2007-12-27 | Antlabs | System and method for providing transactional security for an end-user device |
| US20080016339A1 (en) | 2006-06-29 | 2008-01-17 | Jayant Shukla | Application Sandbox to Detect, Remove, and Prevent Malware |
| US10853855B2 (en) * | 2007-05-20 | 2020-12-01 | Michael Sasha John | Systems and methods for automatic and transparent client authentication and online transaction verification |
| US9092823B2 (en) | 2007-06-01 | 2015-07-28 | F-Secure Oyj | Internet fraud prevention |
| EP2186238A4 (en) | 2007-08-31 | 2016-01-27 | 4361423 Canada Inc | DEVICE AND METHOD FOR CARRYING OUT SAFE FINANCIAL TRANSACTIONS |
| WO2009094372A1 (en) * | 2008-01-22 | 2009-07-30 | Authentium, Inc. | System and method for protecting data accessed through a network connection |
| WO2009094371A1 (en) | 2008-01-22 | 2009-07-30 | Authentium, Inc. | Trusted secure desktop |
| US7530106B1 (en) * | 2008-07-02 | 2009-05-05 | Kaspersky Lab, Zao | System and method for security rating of computer processes |
| US8955107B2 (en) * | 2008-09-12 | 2015-02-10 | Juniper Networks, Inc. | Hierarchical application of security services within a computer network |
| US8504456B2 (en) * | 2009-12-01 | 2013-08-06 | Bank Of America Corporation | Behavioral baseline scoring and risk scoring |
| US20110307374A1 (en) * | 2010-06-09 | 2011-12-15 | James Allan Grundner | Account Prediction Tools |
| US20120109821A1 (en) | 2010-10-29 | 2012-05-03 | Jesse Barbour | System, method and computer program product for real-time online transaction risk and fraud analytics and management |
| US20120203698A1 (en) | 2011-02-07 | 2012-08-09 | Dustin Duncan | Method and System for Fraud Detection and Notification |
| US20120259753A1 (en) * | 2011-04-07 | 2012-10-11 | Amir Orad | System and method for managing collaborative financial fraud detection logic |
| RU2477929C2 (ru) * | 2011-04-19 | 2013-03-20 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ предотвращения инцидентов безопасности на основании рейтингов опасности пользователей |
| US20120317018A1 (en) * | 2011-06-09 | 2012-12-13 | Barnett Timothy W | Systems and methods for protecting account identifiers in financial transactions |
| US8589298B2 (en) * | 2011-07-21 | 2013-11-19 | Bank Of America Corporation | Multi-stage filtering for fraud detection with velocity filters |
| US8447674B2 (en) | 2011-07-21 | 2013-05-21 | Bank Of America Corporation | Multi-stage filtering for fraud detection with customer history filters |
| US8595106B2 (en) * | 2011-07-29 | 2013-11-26 | Steven R. Morris | System and method for detecting fraudulent financial transactions |
| US10129211B2 (en) | 2011-09-15 | 2018-11-13 | Stephan HEATH | Methods and/or systems for an online and/or mobile privacy and/or security encryption technologies used in cloud computing with the combination of data mining and/or encryption of user's personal data and/or location data for marketing of internet posted promotions, social messaging or offers using multiple devices, browsers, operating systems, networks, fiber optic communications, multichannel platforms |
| US8850588B2 (en) * | 2012-05-01 | 2014-09-30 | Taasera, Inc. | Systems and methods for providing mobile security based on dynamic attestation |
| RU2531565C2 (ru) * | 2012-09-28 | 2014-10-20 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ анализа событий запуска файлов для определения рейтинга их безопасности |
| US9721086B2 (en) * | 2013-03-15 | 2017-08-01 | Advanced Elemental Technologies, Inc. | Methods and systems for secure and reliable identity-based computing |
-
2013
- 2013-09-26 RU RU2013143484/08A patent/RU2587423C2/ru active
-
2014
- 2014-01-28 US US14/166,496 patent/US9898739B2/en active Active
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2007138849A (ru) * | 2005-04-19 | 2009-04-27 | Майкрософт Корпорейшн (Us) | Сетевые коммерческие транзакции |
| EA200900225A1 (ru) * | 2008-05-14 | 2009-12-30 | Шин, Елена Ильинична | Способ дистанционной аутентификации пользователя в компьютерных сетях для осуществления защищенных транзакций с использованием мобильного телефона |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2699409C1 (ru) * | 2017-10-05 | 2019-09-05 | Мастеркард Интернэшнл Инкорпорейтед | Системы и способы для использования в аутентификации пользователей применительно к сетевым транзакциям |
| US11080697B2 (en) | 2017-10-05 | 2021-08-03 | Mastercard International Incorporated | Systems and methods for use in authenticating users in connection with network transactions |
| US11810107B2 (en) | 2017-10-05 | 2023-11-07 | Mastercard International Incorporated | Systems and methods for use in authenticating users in connection with network transactions |
Also Published As
| Publication number | Publication date |
|---|---|
| RU2013143484A (ru) | 2015-04-10 |
| US20150088733A1 (en) | 2015-03-26 |
| US9898739B2 (en) | 2018-02-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| RU2587423C2 (ru) | Система и способ обеспечения безопасности онлайн-транзакций | |
| US10469251B2 (en) | System and method for preemptive self-healing security | |
| RU2571721C2 (ru) | Система и способ обнаружения мошеннических онлайн-транзакций | |
| US11140150B2 (en) | System and method for secure online authentication | |
| US9071600B2 (en) | Phishing and online fraud prevention | |
| RU2584506C1 (ru) | Система и способ защиты операций с электронными деньгами | |
| Munir et al. | Secure cloud architecture | |
| Banoth et al. | Implementation and Mitigation for Cyber Attacks with proposed OCR Process Model | |
| EP2922265B1 (en) | System and methods for detection of fraudulent online transactions | |
| Kaur et al. | Threat and vulnerability analysis of cloud platform: a user perspective | |
| Schneider et al. | Mobile devices vulnerabilities | |
| Dakov et al. | A Survey of E-Commerce Security Threats and Solutions | |
| CHOPRA et al. | Cyber-Attacks Identification and Measures for Prevention | |
| Akpan et al. | Leveraging on Cyber Security for Digital Economy: Analysis of Emerging Cyber Security Threats and Attacks | |
| Nawaz | Cloud computing services and security challenges: A review | |
| Muttoo et al. | Analysing security checkpoints for an integrated utility-based information system | |
| Orucho et al. | Security threats affecting user-data on transit in mobile banking applications: A review | |
| Luvanda | Proposed framework for securing mobile banking applications from man in the middle attacks | |
| EP2854088B1 (en) | A system and method for ensuring safety of online transactions | |
| EP3261009B1 (en) | System and method for secure online authentication | |
| Leung | Cyber security risks and mitigation for SME | |
| Mihai | Overview on phishing attacks | |
| Mazur et al. | Security of Internet transactions | |
| Vooradi et al. | Ethical Hacking Techniques and its Preventive Measures for Newbies | |
| Kamal et al. | Security and Privacy Issues in Wireless Networks and Mitigation Methods |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| HE9A | Changing address for correspondence with an applicant |