Bezpečnost EDI

Elektronický obchod, elektronické, virtuální nebo internetové bankovnictví, elektronická výměna dat to jsou pojmy, kt...


Elektronický obchod, elektronické, virtuální nebo internetové bankovnictví,
elektronická výměna dat to jsou pojmy, které dnes zajímají každou organizaci
nebo podnikatele. V tomto díle seriálu si řekneme něco o elektronické výměně
dat jako jednom z nástrojů provádění elektronického obchodu.
Co je to EDI
EDI elektronická výměna dat někdy také označovaná jako elektronická výměna
dokumen-tů, je výměna zpráv realizovaná mezi jednotlivými počítačovými
aplikacemi obchodních partnerů. Zprávy jsou strukturovány tak, aby mohly být
zpracovány automaticky. Nejobecnější využití představuje provádění obchodu,
zejména mezinárodního. Dvě evidentní výhody, které EDI nabízí, mohou mít
nesmírnou komerční hodnotu:
lzrušení (někdy jen částečné) papírových dokumentů souvisejících s transakcí a
z toho odhadovaná úspora nákladů ve výši cca 10 procent hodnoty zboží,
lúplná automatizace cyklu objednávka dodávka placení.
Ukažme si na příkladu rozdíl mezi klasickým způsobem a použitím EDI. Výrobce
automobilů je závislý při jejich výrobě na dodávkách dílčích komponent. V
klasickém systému, založeném na papírových dokumentech, prohlédne příslušný
pracovník zásoby, rozhodne, které komponenty je třeba doplnit, a předá
informaci nákupnímu oddělení. To vystaví objednávku na dodavatele. Při
potvrzení objednávky, při dodávce objednaných dílů a uskutečnění platby např.
prostřednictvím dokumentárního kreditu, dochází k další komunikaci a výměně
dokumentů mezi výrobcem, bankou a dodavatelem. Při implementaci EDI je situace
odlišná. Automatizovaný skladový systém výrobce v případě, že zásoba některého
dílu dosáhne limitu stanovené minimální zásoby, vygeneruje automaticky
objednávku a ta je odeslána počítači dodavatele. Ten potvrdí prostřednictvím
počítače objednávku a obdobně vystaví dokumentární kredit téměř bez lidské
intervence, která se omezí např. jen na kontrakt o dopravě. Jediný fyzický
pohyb se týká pohybu objednaného zboží ze skladu dodavatele do skladu výrobce.
Papírové dokumenty jsou nahrazeny strukturovanými zprávami EDI, které je možné
zpracovávat automaticky, a jejich jednotlivé části jsou postupovány rovněž
automatizovaně dalším subsystémům podnikového systému. Implementace EDI, i když
v praxi často není plně provázaná, umožňuje ve zmíněném typu aplikace
objednávky "just in time" a vede ke snížení zásob. Evidentní jsou úspory lidské
síly, neboť EDI odstraňuje redundantní ruční zpracování informací v odděleních
řízení zásob, nákupních a účetních odděleních.
Bezpečnost EDI
EDI musí poskytnout uživateli stejnou bezpečnost, jaká je vlastní tradičním
dokumentům a poště, tj. zejména autentizaci uživatele, autentizaci zprávy,
průkaz původu, nepopiratelnost a důvěrnost.
EDI je založeno na smluvním ujednání mezi dvěma nebo více entitami, které
používají pro odesílání a přijímání informací tentýž elektronický protokol.
Identifikace standardů, dohoda o jejich použití a jejich implementace jsou
nejdůležitější úvahy při návrhu dohody o EDI. Systém EDI je dvousměrný proces,
a mnoho bezpečnostních metod a technik, použitých odesilatelem, musí být
použito i příjemcem.
Používané standardy musí pokrýt hrozby, kterým je nutno če-lit během uložení
nebo přenosu zpráv EDIFACT prostřednictvím elektronických prostředků. Mezi
hlavní hrozby patří: neautorizované odhalení obsahu zprávy, záměrné vložení
nesprávných zpráv, zdvojení, ztráta nebo opakovaný přenos, modifikace obsahu
zprávy, vymazání zprávy a popiratelnost odpovědnosti za zprávu ze strany
odesilatele nebo příjemce.
Mezi základní bezpečnostní služby, jejichž úkolem je zabránit realizaci
uvedených hrozeb, patří integrita pořadí, integrita obsahu, autentizace původu,
nepopiratelnost původu, nepopiratelnost přijetí a důvěrnost obsahu.
Schopnost implementace bezpečnosti je ovšem často ovlivněná typem EDI.
Typy EDI, organizace tvorby standardních zpráv
Typy EDI jsou poplatné standardům, které se při dané aplikaci použijí, neboť
definují syntaxi strukturovaných zpráv při elektronické výměně dat. Základní
normou pro uživatele EDI je mezinárodní norma ISO 9735, převzatá i jako česká
norma. Je totožná s normou Spojených národů pro zprávy EDI, která je známa jako
UN/EDIFACT (EDI for Administration, Commerce and Transport) a je používaná v
Evropě. V USA existuje odpovídající norma ANSI X.12. Ve světě jsou používány i
odvětvové dílčí systémy typu ODETTE (pro automobilový průmysl), TRADACOMS (pro
maloobchod), LIMNET (uzavírání pojištění) a další.
Přijetí mezinárodní normy znamenalo proces tvorby standardních zpráv UNSM (UN
Standard Message) pro základní dokumenty mezinárodního obchodu. Návrhy na nové
UNSM, jejich doplňky a opravy vznikají v pracovních skupinách jednotlivých
výborů EDIFACT a procházejí před konečným schválením kontrolami příslušných
skupin. Zprávy UNSM jsou zpracovány např. pro oblast obchodu, dopravy,
pojištění, bankovních operací, cel, pokryta je i oblast účetnictví,
zdravotnictví, sociální péče, pracovních záležitostí, statistiky, oblast právní
a další oblasti.
Pro racionalizaci procedur v mezinárodním obchodě a rozvoj elektronických
přenosů dat jsou zřizována v jednotlivých zemích národní centra. V České
republice je národní organizací pro racionalizaci procedur FITPRO (Facilitation
of International Trade Procedures) při České obchodní komoře.
Aplikace EDI v ČR
V České republice vznikla řada pilotních projektů pro EDI v rámci programů
PHARE. V současné době existuje cca 1 000 uživatelů EDI, převážně na bázi
EDIFACTu. Mezi hlavní projekty patří bankovní projekt ČSOB, využívající
standard EDIFACT, digitální podpis a komunikaci X.400. Projekt Elektronický
platební systém vytváří na základě zpráv EDIFACTu podmínky pro styk s klientem
např. v oblasti platebních příkazů, informací o přijetí plateb, stavu na kontě
ap. Mezi definované zprávy patří např. příkaz k úhradě, příkaz k inkasu,
kreditní avízo, debetní avízo, stav na účtu a některé hromadné příkazy nebo
avíza. Mezi další projekty patří přenos statistických údajů ČNB, celní systém,
obchodní řetězce, automobilový průmysl (na bázi ODETTE). V oblasti dopravy je
připravován univerzální přepravní doklad, ve stadiu přípravy je rovněž
implementace EDI ve zdravotnictví.
Bezpečnostní řešení EDIFACTu
Dále si všimneme bezpečnostních řešení, nabízených EDIFACTem. Data určená k
přenosu jsou uspořádána uvnitř zpráv do segmentů, obsahujících mj. informaci o
příjemci a označení času. Zprávy stejného typu mohou být seskupeny do funkčních
skupin. Výměna je definována jako soubor zpráv nebo funkčních skupin, určených
konkrétnímu příjemci. Pro bezpečnost je možné využít segment bezpečnostního
záhlaví a koncové části, segment bezpečnostního algoritmu, segment certifikátu
a segment bezpečnostního výsledku.
Je-li požadována autentičnost původu, musí být bezpečnostní služba autentizace
původu specifikována v bezpečnostním záhlaví a algoritmus definován v segmentu
bezpečnostního algoritmu. Strana, která je v roli původce, vypočte autentizační
hodnotu a ta musí být umístěna v segmentu bezpečnostního výsledku skupiny
bezpečnostního koncového záznamu. Strana v roli bezpečnostního příjemce musí
autentizační hodnotu zkontrolovat. Tato služba může zahrnovat službu integrity
a může být získána jako vedlejší produkt služby nepopiratelnosti původu.
Bezpečnostní algoritmus pro zajištění integrity obsahu zahrnuje hašovací funkci
nebo symetrický algoritmus. Při požadavku na integritu pořadí se použije buďto
bezpečnostní pořadové číslo, nebo bezpečnostní označení času, případně obojí.
Použije se služba integrity obsahu nebo autentiza-ce původu, nebo
nepopiratelnosti původu.
Je-li požadována nepopiratelnost původu, bude v příslušných segmentech
definována hašovací funkce a šifrovací algoritmus. Strana v roli původce
vypočte digitální podpis a dopraví ho v segmentu bezpečnostního výsledku
skupiny bezpečnostního koncového záznamu.
Pro zajištění bezpečné autentizace a potvrzení je možné využít zprávu AUTACK.
Tato zpráva autentizuje odeslané výměny, skupiny, zprávy nebo balíky nebo
provádí bezpečnostní potvrzení přijatých entit. Zpráva AUTACK může být
aplikována na národní i mezinárodní úrovni. Bezpečnostní služby jsou
poskytovány kryptografickými mechanis-my aplikovanými na obsah původních entit.
Výsledky aplikace těchto mechanismů tvoří vlastní obsah zprávy AUTACK, doplněný
relevantními údaji (odkazy na použitý algoritmus, referenční čísla entit, a
časové údaje). Tato zpráva používá standardní bezpečnostní záhlaví a koncové
části.
Důvěrnost struktury EDIFACT (zprávy, balíku, skupiny zpráv nebo výměny) je
zajišťována zašifrováním pomocí vhodného šifrovacího algoritmu. Při využívání v
komunikačních sítích s omezenou kapacitou může být zašifrovaný objekt
filtrován. Po zašifrování není možná aplikace dalších bezpečnostních služeb, ty
musí být aplikovány na nezašifrovaný text struktury ještě před zašifrováním.
Bezpečnostní služba důvěrnosti je specifikována v bezpečnostním záhlaví skupiny
a algoritmus je definován v segmentu algoritmu. Tento segment může také
obsahovat data potřebná k ustavení vztahu klíčů mezi původcem a příjemcem.
Jestliže byl požadavek na kompresi, je rovněž aplikována před zašifrováním.
Informace o kompresi a použitém algoritmu je obsažena v bezpečnostním záhlaví.
Pro správu bezpečnostních klíčů a certifikátů je možné využít zprávu KEYMAN.
Klíčem může být tajný klíč použitý u symetrických algoritmů nebo veřejný či
soukromý klíč použitý u asymetrických algoritmů. Veřejné klíče mohou být také
přepravovány jako část zabezpečeného certifiká-tu veřejného klíče. Zpráva
KEYMAN je využívána při požadování činností ve vztahu ke klíčům a certifikátům
nebo k dodání klíčů, certifikátů a souvisících informací (např. dodání
certifikačních seznamů). Tato zpráva je zabezpečena použitím bezpečnostních
záhlaví a koncových částí.
Budoucnost
V současné době je stále hlavní funkcí EDI přenos informací o základních
obchodních transakcích (objednávky, faktury, platební příkazy apod.), využití
EDI pro elektronický převod fondů není dosud rozšířeno. Jestliže mají všichni
obchodní partneři výpočetní systémy, kde je dohodnut standard pro EDI, jako
X.400 (X.435), je to značná výhoda. Pro budoucnost je evidentní snaha využít
jako kanál pro EDI Internet, což by při vyřešení problémů bezpečnosti
pravděpodobně vedlo k elektronickému převodu fondů a k jeho využití jako modelu
pro globální obchodní transakce. První pokusy spojit tradiční VAN a Internet
dávají zákazníkům možnost použít pro přístup Internet nebo tradiční VAN, dávají-
li důraz na bezpečnost, nebo mají vybudované rozhraní VAN s jejich podnikovými
systémy. Konečným cílem zákazníka je, aby mohl při realizaci elektronického
obchodu poslat zprávy svým obchodním partnerům v různých formátech, ať už jde o
formát Webu, zprávu založenou na formuláři a připojenou k e-mailu, ASCII soubor
nebo soubor ve formátu EDI.
K problematice bezpečnosti při obchodování se znovu vrátíme v další části
seriálu bezpečnosti elektronického obchodování.
8 0546 / ram









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.