Информационная защита систем моментальных платежей

Всем привет.
Хочу проконсультироваться с сообществом по вопросу, указанному в теме.
Так получилось, что это к тому же и тема моего диплома, хотя не совсем по теме моей кафедры.

Собственно мне нужно придумать программку, обосновать выбор средств защиты, причем желательно с уклоном в математику.

Сейчас я вижу это так.
Есть система платежей. В ней регистрируются дилеры (которые будут принимать платежи) и в ней же регистрируются провайдеры (которые будут получать платежи).
Я делаю веб-сервисы у провайдера и у системы платежей.
Дилер, получив деньги, кидает запрос вебсервису системы платежей (подписанный, по ssl), система платежей обращается к веб сервису провайдера по такой же схеме и отдает ответ. Результаты транзакций пишу в бд.

Вопросы такие:
какие алгоритмы выбрать для генерации ключей? Писать ли генератор самому или воспользоваться например pgp?
по какой схеме производить обмен ключами? Как хранить ключи дилеров?

И еще такой вопрос, нужны ли мне межстетевые экраны и прочие штуки для информационной защиты? Если с криптографией и программированием я хоть немного знаком, то эта часть для меня совсем темный лес.

Спасибо за внимание, буду ждать ответов )

[QUOTE=Yossarian;636534]какие алгоритмы выбрать для генерации ключей? Писать ли генератор самому или воспользоваться например pgp?[/QUOTE] Самопальные алгоритмы подходят только для использования дома или в организации для внутренних нужд. Для юридически значимого обмена информацией с другими организациями, да если ещё речь о деньгах, придётся использовать алгоритмы или готовые криптосистемы, соответствующие ГОСТам и имеющие одобрения ФСБ. Иначе в суде никому ничего не предъявите.

[QUOTE=Oyster;636541]Самопальные алгоритмы подходят только для использования дома или в организации для внутренних нужд. Для юридически значимого обмена информацией с другими организациями, да если ещё речь о деньгах, придётся использовать алгоритмы или готовые криптосистемы, соответствующие ГОСТам и имеющие одобрения ФСБ. Иначе в суде никому ничего не предъявите.[/QUOTE]

Ну я, думаю, могу сгенерить ключи и на основе Гостовских алгоритмов. Насколько я знаю в openssl уже есть реализация. Или с помощью крипто про. Хотя насчет фсб я не уверен, например я точно знаю, что Киберплат для работы с дилерами использует рса, а не гост.

[QUOTE='Oyster;636541']Самопальные алгоритмы подходят только для использования дома или в организации для внутренних нужд. Для юридически значимого обмена информацией с другими организациями, да если ещё речь о деньгах, придётся использовать алгоритмы или готовые криптосистемы, соответствующие ГОСТам и имеющие одобрения ФСБ. Иначе в суде никому ничего не предъявите.[/QUOTE]
Много +
[QUOTE]Для формирования ключей шифрования и ключей электронной цифровой подписи, шифрования и криптозащиты данных, обеспечения целостности и подлинности информации, не содержащей сведений, составляющих государственную тайну [B]может использоваться только ПО имеющее сертификаты соответствия ФАПСИ.[/B]
[/QUOTE] Например, фирмы КриптоПро.
[QUOTE='Yossarian;636534']И еще такой вопрос, нужны ли мне межстетевые экраны и прочие штуки для информационной защиты?[/QUOTE]

Для обеспечения удаленного доступа к ресурсам информационной системы по открытым каналам связи, в частности Сбербанком, используется технология VPN, реализуемая с использованием комплексов ФПСУ-IP — ФПСУ-IP/Клиент, содержащих сертифицированные средства криптографической защиты информации.
[url]http://www.morepc.ru/security/monitor/amicon/fpsuip-client.html[/url]

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[QUOTE='Yossarian;636555']Ну я, думаю, могу сгенерить ключи и на основе Гостовских алгоритмов.[/QUOTE]Ваше ПО, в этом случае, [URL="http://www.infocrypt.ru/index_info.php?id=3&PHPSESSID=0db9cf9279bfb169145dd783b1faa53b"]должно иметь вот это...[/URL]

[B]Iron Monk[/B], спасибо. Я правильно понял, что, например, реализация RSA от Крипто Про, так же прошла сертификацию Фапси (по-моему самой фапси уже лет 5 как нет) или все же нужно использовать Гост?

Насчет VPN, тут я совсем не в теме. Если не сложно, в двух словах, чем это надежней https?

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

И потом, я собираюсь программировать не систему прошедшую сертификацию в ФСБ, а систему, которая бы прошла сертификацию ))

[QUOTE='Yossarian;636564']Я правильно понял, что, например, реализация RSA от Крипто Про, так же прошла сертификацию Фапси (по-моему самой фапси уже лет 5 как нет) или все же нужно использовать Гост?[/QUOTE]В Российской Федерации действует стандарт ГОСТ 28147-89, описывающий алгоритм блочного шифрования с длиной ключа 256 бит, а также алгоритм цифровой подписи ГОСТ Р 34.10-2001.
Погуглите, почитайте.
[QUOTE='Yossarian;636564']Насчет VPN, тут я совсем не в теме. Если не сложно, в двух словах, чем это надежней https?[/QUOTE]Надежнее. Создается туннель между двумя компьютерами. Из общей сети они становятся недоступны.

Ясно, спасибо.
Может кто-нибудь подскажет, как правильно организовать хранение ключей?

[QUOTE='Yossarian;636602']Может кто-нибудь подскажет, как правильно организовать хранение ключей?[/QUOTE]
?
Не очень понятный вопрос.
[URL="http://www.oszone.net/6131/Encryption_Key_Management"]Почитайте...[/URL]

Я имел ввиду, что мне нужно как-то хранить открытые ключи дилеров и провайдеров. Нормально ли просто складывать их в бд и при получении запроса сверять с именем дилера? Или нужно строить что-то типа центра сертификации?
Вообще нужно ли пользоваться сертификатами в данном случае или можно обойтись просто парами ключей?

[QUOTE='Yossarian;636618']Я имел ввиду, что мне нужно как-то хранить открытые ключи дилеров и провайдеров. Нормально ли просто складывать их в бд и при получении запроса сверять с именем дилера? Или нужно строить что-то типа центра сертификации?
Вообще нужно ли пользоваться сертификатами в данном случае или можно обойтись просто парами ключей?[/QUOTE]
Открытый или по умному - Публичный, он и подразумевает открытость или публичность. Сертификат от публичного ключа отличается только доп. информацией, нужной для доп. действий, например контроль сроков действия ключей, должности владельца ЭЦП и т.д. Если Вам это не нужно, пользуйтесь базой открытых ключей.

[B]Iron Monk[/B], я просто наверно не совсем правильно объяснил, база публичных ключей мне нужна для того чтобы проверять подписи полученных запросов. То есть если злодей подменит в базе публичный ключ дилера своим, то сможет кидать мне запросы от имени дилера.

[QUOTE='Yossarian;636831']Iron Monk, я просто наверно не совсем правильно объяснил, база публичных ключей мне нужна для того чтобы проверять подписи полученных запросов. То есть если злодей подменит в базе публичный ключ дилера своим, то сможет кидать мне запросы от имени дилера.[/QUOTE]База публичных ключей тоже должна быть подписана, например, администратором криптоключей или другим уполномоченным на то лицом. И проверять по этой базе что-либо можно только после того, как проверена целостность и неизменность самой базы.

Спасибо за информацию. Интересно, как это реализовать теперь на mySQL ))