Програмне забезпечення EKMS (Encrypting Key Management System) призначене для безпечного віддаленого завантаження первинних ключів криптування в ЕРР-пристрої банкоматів Wincor Nixdorf, Diebold та NCR.

Програмне забезпечення EKMS дозволяє здійснювати:

• безпечне введення ключів криптування на Робочому місці EKMS; 
• адміністрування терміналів та ключів криптування на Робочому місці EKMS; 
• безпечну передачу ключів криптування від Робочого місця до Термінального агента; 
• коректне введення ключів криптування в EPP-пристрій банкомату.

 Переваги програмного забезпечення EKMS:

• значне підвищення рівня безпеки процесу введення ключів криптування на банкоматі;
• обмеження обігу ключів криптування всередині банку (при використанні програмного забезпечення EKMS можна скоротити перелік працівників, які працюють з первинними ключами криптування до двох осіб);
• скорочення витрат коштів і часу працівників банку на виїзд до банкоматів для введення первинних ключів криптування;
• пришвидшення і спрощення процесу обігу ключів криптування всередині банківської установи;
• організація комплексної системи по введенню, обігу і адмініструванню ключів криптування.

• Робоче місце EKMS – призначене для введення ключів криптування, безпечної їх передачі на Термінальний агент, отримання відповіді від Термінального агента, а також для зберігання списку зареєстрованих терміналів.
• Термінальний агент EKMS – призначений для зміни ключів криптування в ЕРР-пристрої термінала. Працює у фоновому режимі на терміналі і очікує на з’єднання від Робочого місця.

Схема роботи програмного забезпечення EKMS:

Безпека передачі даних в програмному забезпеченні EKMS

Безпека мережевої взаємодії між Термінальним агентом та Робочим місцем забезпечується аутентифікацією, підписуванням повідомлень та передачею ключів криптування у зашифрованому вигляді.

Термінальні ключі криптування не передаються по мережі у відкритому вигляді, вони шифруються так званим мережевим ключем. Кожен термінал має свій мережевий ключ, який на терміналі зберігається в пристрою EPP, а на Робочому місці в зашифрованому виді в базі даних. На Робочому місці мережеві ключі перед збереженням в базу даних шифруються так званим глобальним ключем. Глобальний ключ єдиний для всього Робочого місця і зберігається в EPP.

Можна представити наступну схему встановлення термінального ключа:

1. Встановлення глобального ключа.
2. Реєстрація терміналу.
3. Отримання інформації про термінал.
4. Встановлення мережевого ключа для терміналу.
5. Встановлення термінального ключа.

Робоче місце EKMS

З Робочим місцем EKMS можуть працювати два типи користувачів (адміністратор та оператор) і в залежності від типу, їм надається доступ до різних функцій.

Адміністратори:

• зміна паролю користувача;
• налаштування програми;
• адміністрування користувачів;
• перегляд журналу терміналів;
• перегляд журналу користувачів;
• перегляд довідкової інформації.

Оператори:

• зміна паролю користувача;
• адміністрування назв термінальних ключів;
• адміністрування глобального ключа;
• адміністрування терміналів;
• зміна мережевих та термінальних ключів;
• перегляд журналу терміналів;
• перегляд довідкової інформації.

Згідно розподілу функцій, адміністратори відповідають за загальні налаштування програми, управління користувачами та переглядають журнали робіт робочого місця, а оператори відповідають за управління терміналами, зміну мережевих та термінальних ключів.

Термінальний агент EKMS

Термінальний агент EKMS є частиною ПЗ EKMS призначеною для розміщення на банкоматах і відповідає за коректне і безпечне завантаження ключів криптування на банкоматі.

Агент EKMS забезпечує:

• автоматичне визначення виробника та версії ПЗ WOSA/XFS під час свого запуску на терміналі.
• мережеву взаємодія з Робочим місцем EKMS із забезпеченням аутентифікації, цілісності повідомлень та передачі ключів криптування у зашифрованому вигляді.
• забезпечення коректної зміни термінальних ключів криптування із перевіркою значення збереженого ключа, детектуванням апаратних та програмних помилок при зміні ключа.

Системні вимоги

Для забезпечення працездатності термінального агента EKMS, банкомат повинен відповідати наступним мінімальним вимогам:

Апаратна конфігурація:

• наявність вільного місця на диску - 100 MB;
• встановлений в стандартній комплектації пристрій EPP;
• наявність вільного місця в EPP пристрої для збереження двох ключів;
• обладнання мережевого зв’язку (мережева картка LAN) з підтримкою стеку протоколів ТСР/ІР.

Програмна конфігурація:

• ОС Microsoft Windows NT / XP SP1/SP2 (для терміналів Wincor Nixdorf).
• ОС Microsoft Windows XP SP1/SP2 (для терміналів Diebold / NCR).
• ФПЗ ProDDC / NDC версии 1.2/10 та вище (для терміналів Wincor Nixdorf) з версією WOSASSP 31.43 та вище;
• ФПЗ виробника терміналу з реалізацією специфікації CEN/XFS 3.0-3.03 (для терміналів Diebold/NCR)

Завантажити буклет у форматі PDF з інформацією про програмний продукт EKMS можна за цим посиланням.