Созданная 32 года назад глобальная сеть S.W.I.F.T. за время своего существования подверглась огромному количеству атак, но ни одна из них не была успешной. Устройство этой структуры можно рассматривать в качестве эталона при создании надёжной корпоративной сети.
Топология
Для обеспечения надёжности, работоспособность системы поддерживают два ключевых узла, расположенных в Северной Америке и в Европе. Оба являются совокупностью двух серверных центров, которые дублируют друг друга. Каждый из них является совокупностью компьютеров работающих в кластерах. Сеть состоит из трижды дублированных приватных каналов, которые поддерживают четыре крупнейших мировых провайдера: AT&T, Colt Telecom, Equant и Infonet Services. Почти в каждой стране существует точка доступа S.W.I.F.T., через которую финансовые учреждения подключаются к этой системе. Существует два варианта подключения — через сервис-бюро и напрямую. Второй вариант стоит дороже, и используют его, как правило, крупные структуры, такие как национальные банки, казначейства и пр.
Сервис-бюро, компании, предлагающие услуги подключения банков к S.W.I.F.T. преимущественно пользуются услугами одного из четырёх глобальных провайдеров, а также многократно резервируют свои каналы посредством dial-up и спутниковой связи. Представители S.W.I.F.T. регулярно контролируют надёжность и работоспособность резервных линий связи. Компании-пользователи могут подключаться к сети двумя способами — посредством Computer Based Terminal и Shared Connection. Первый предполагает использование в финансовом учреждении сертифицированного терминала, с установленным специализированным программным обеспечением и набором аппаратных средств защиты. Shared Connection работает по принципу “тонкого клиента”. Пользовательское рабочее место не оборудовано устройствами хранения информации, такими как жёсткие диски. Всё необходимое ПО находится на сервере сервис-бюро. На узлах, через которые осуществляется подключение к сети S.W.I.F.T. хранится информация о всех транзакциях, осуществлённых пользователями за всё время их работы с сетью.
Единая платформа для обмена информацией в сети для всех её участников называется SWIFTNet. Работа этой системы построена на протоколе TCP/IP и позволяет в интерактивном режиме обмениваться сообщениями. Доступ к услугам провайдеров осуществляется при помощи защищённого протокола SWIFTNet PKI.
Периметр сети
Ответственность за периметр сети можно условно разделить на две части. О глобальных каналах заботится сама S.W.I.F.T. Надёжность и безопасность участков между сервис-бюро и пользователями обеспечивает сервис-бюро, но и эта часть системы контролируется представителями S.W.I.F.T.
Приватность глобальной сети даёт ей определённые преимущества. Контроль доступа осуществляется в основном на ключевых точках. Кроме того, весь сетевой трафик в S.W.I.F.T. многократно криптован, поэтому даже случайно получив доступ к сетевым сообщениям, извлечь из них информацию практически невозможно. При пересылке сообщений, кроме шифрования, используется цифровая подпись на основе системы симметричных ключей. То есть, прочитать содержимое такого письма сможет только уполномоченный представитель получателя.
Права доступа к трафику в сети S.W.I.F.T. чётко описаны и распределены. Сотрудникам сервис-бюро, например, известно, сколько сообщений проходит через их сервера, но содержание этого трафика им не доступно.
Управление ответственностью между приватными каналами и сетью SWIFT обеспечивает надлежащий уровень безопасности |
S.W.I.F.T. может работать только с тем оборудованием или каналами связи, которые отвечают внутренним стандартам. Все элементы системы должны быть сертифицированы и отвечать определенным требованиям. Они касаются тех параметров и характеристик, которые могут оказывать негативное влияние на надёжность системы. S.W.I.F.T. гарантирует прохождение информации через свою сеть без задержек и искажений. В противном случае он обязуется выплатить огромный штраф, составляющий десятки миллионов долларов. Свидетельством совершенности этой сети является тот факт, что ни одного подобного штрафа S.W.I.F.T. ещё не выплатил.
В отличие от публичных сетей, таких как интернет, доступ в S.W.I.F.T. предоставляется только хорошо проверенным организациям. Кроме требований к вопросам безопасности, высоки и требования к членам сети. Претенденты на подключение должны обладать рекомендациями от пользователей S.W.I.F.T. работающих на рынке своей страны. Заявки претендентов рассматриваются раз в три месяца. Большинство украинских банков подключены к S.W.I.F.T., некоторые из них работают с этой сетью уже 15 лет. В СНГ существует четыре сервис-бюро S.W.I.F.T., одно из которых расположено в Киеве и принадлежит компании ProFIX. В июле его услугами пользовался 51 украинский банк. Каждое сервис-бюро подлежит тщательному ежегодному аудиту представителями S.W.I.F.T. Каждый месяц сотрудники бюро проводят обязательную проверку резервных каналов.
Внутренние меры
Главной особенностью системы безопасности S.W.I.F.T. является четко структурированная многоуровневая защита. Она построена таким образом, что информация, пересылаемая сетью, многократно защищена на разных стадиях прохождения.
Доступ пользователей или обслуживающего персонала к сети строго регламентирован. Авторизация пользователей осуществляется при помощи уникальных сертификатов, полученных программно-аппаратным способом. Например, для того, чтобы отослать сообщение требуется присутствие троих сотрудников. Один должен подготовить сообщение, второй — его верифицировать, а третий — отправить. Все трое обладают собственными уникальными правами и обязанностями. Так, например, первый сотрудник из цепочки может создать сообщение, но не может подготовить и отправить его. Второй имеет полномочия для проверки подлинности этого сообщения, но не имеет прав на его отправку. Сотрудник, отвечающий за отправку, не имеет прав ни на создание собственных сообщений, ни на просмотр их содержимого. Благодаря такой системе, вероятность злоупотребления персоналом своими служебными обязанностями практически сводится к нулю.
Перед отправкой письмо шифруется и получает определённые ключи. Они позволяют просматривать содержимое сообщения только адресату. Поэтому сотрудники банка, офицеры безопасности, системные администраторы и персонал, обслуживающий сеть в сервис-бюро, не подвергается личной угрозе, поскольку они не обладают ключевой информацией.
Доступ к сети S.W.I.F.T. возможен только со специального сертифицированного оборудования. В его число входят кардридеры для генерирования кодов доступа по специальным картам, шифрующее и коммутирующее аппаратное обеспечение. Некоторые устройства подлежат обязательному лицензированию государственными органами.