SMS-пароли - отжившая "технология" ДБО

Цитата
генерал Пурпоз пишет: апрель 2104

Думаете, ещё лет 90 ничего не изменится?

Цитата
Ибирь пишет: Печально.

Не то слово!

Ситуация говорит о многом:

• маркетологи банков считают, что их клиентура и так счастлива (в виду плохой осведомлённости/грамотности в вопросах информационной безопасности - со стороны и клиентов, и собственно маркетологов)
  
• лица, принимающие решения по развитию ДБО, сами могут быть слабо компетентны в технических аспектах ДБО
  
• #первое + #второе, да ещё и вероятные откаты при выборе поставщика ПО ДБО == усугубляют грустную картину
  

Статья хорошая. Я с интересом узнал, что банков, использующих EMV CAP, по крайней мере - несколько.
Удивляет, например, втб24 - люди массово жалуются на проблемы с SMS-паролями, а банк не предлагает клиентам более надёжный и дешёвый способ!
Про наличие EMV CAP с банке Санкт-Перербург я и сам узнал случайно - по наименованию поставщика ПО, у которого есть такой способ, и однажды нажав кнопку с "телефончиком" на странице входа в ИБ. А прошёл практически ГОД, как это внедрено!

Цитата
генерал Пурпоз пишет: Удивляет, например, втб24 - люди массово жалуются на проблемы с SMS-паролями, а банк не предлагает клиентам более надёжный и дешёвый способ!

Предлагает, они дают картридер для генерации одноразовых паролей. 1 декабря Inter-Pro и их сертификату окончательно помрут, придется брать именно этот ридер. Ридер стоит 500р., обещают, что он прослужит 5 лет.

Что меня беспокоит - это невозможность отказаться от SMS подтверждения.

Насчет ВТБ24 я пока не знаю, а вот в Альфе точно нельзя (у них программные генераторы на Java для мобильных и для смартфонов).

В Сбере меня вообще уверяли, что SMS обязателен по договору банковского обслуживания. Номер сотового мне удалось отключить (убрать из учетки), пользуюсь кодами, распечатанными в банкомате (их критикуют в этой статье, но это безопаснее SMS точно).

Невозможность полного отказа от SMS я считаю идиотизмом. Достаточно провести подмену (здесь на форуме это обжевано уже) и все, деньги со счета уплыли и совершенно неважно, что у тебя есть картридер, его просто обойдут с помощью SMS.

Кстати, а почему распечатанные коды надежнее? Достаточно представить, что они где-то сохраняются...

Цитата
entropin пишет: Один и тот же "картридер" должен работать с картами разных банков.

как минимум криптокалькуляторы Номоса и Райффайзена - взаимозаменяемы. (да, я проверял)

Цитата
Ибирь пишет: Я бы не относил к надежному ПК массового клиента.

Я бы тоже. Но я, все-таки о своем ПК.

Цитата
Ибирь пишет: Поэтому должны быть не чеки с паролями, а или генераторы паролей по реквизитам операции, или трастскрины.

Не вижу связи. Ее вообще здесь нет. Получая переменный код с какого-либо устройства я также вбиваю его в банковской системе онлайн на своем ненадежном ПК. В этом случае нет никакой разницы (если именно о ПК думать) пользуюсь я чеком, или аппаратным генератором паролей.

Цитата
Ибирь пишет: генераторы паролей по реквизитам операции

Читал об этом в статье, указанной в теме, но не понял как вообще возможно на внешнем устройстве генерить коды на основе параметров операции ...

Для генерации пароля в аппаратике есть три режима:

• C&R (Challenge - Response) (Запрос- Ответ): на странице платежа банк пишет вам строку "запроса", который вы должны набрать на клвиатуре EMV CAP, чтобы получить пароль подтверждения операции
  
• ПОДП (подпись): совпадает с предыдущим пунктом, видимо - результат руссификации или сделан для унификации
  
• ПОДП+ (расширенная подпись): для получения пароля вы можете задать до десяти отдельных параметров - суммы платежа, кода реквизитов получателя, "запрос" банка и тому подобное
  

Таким образом, теоретически, можно защититься и от подмены (кем-либо, банком или злым умышленным ПО на вашем компьютере) суммы и/или получателя.

Цитата
kiav пишет: Inter-Pro

Да, на фоне ДБО с ЭЦП - все эти фокусы с "паролями" - выглядят несерьёзно (мягко говоря).
Я бы предпочёл работать по ЭЦП, а не по EMV CAP.
Но с паршивой овцы - хоть шерсти клок, правильно используемый EMV CAP всяко лучше SMS-"паролей".

Цитата
kiav пишет: Если переменный код, созданный внешней аппаратурой никак не зависит от операции...

Зависит от реализации.
Теоретически можно сделать сценарий платежа так, что Клиент будет уверен, что он подписывает именно то, что намеревался:

• заранее проверив номера шаблонов (ПетроЭлектроСбыт, МегаФон, ВЦКП, и т.п.) в отделении, указывая номер шаблона, сумму и код "запроса" в режиме "ПОДП+" в самом худшем случае (подмены реквизитов на странице злым умышленным ПО) мы получим отвергнутую операцию.
  

"Некоторые банки" умудряются не понимать, что "удобство" ДБО равняется его НЕбезопасности (для клиента, банку - это до лампочки).

В плане паранойи: не всему, что есть на экране, можно доверять.

То, что вы предлагаете, когда-то было сделано в ИБ Гута-банка.

Цитата
генерал Пурпоз пишет: В плане паранойи: не всему, что есть на экране, можно доверять.

Я писал об экране самого генератора паролей. Считаем, что генератор - доверенная среда.

При частых поездках заграницу и использовании роуминга - SMS-пароли - станоявтся самым ненадежным способом подтверждения. Жаль, что банки этого не понимают...

Самые крутые варианты на данный момент это Авангард с их картой-дисплеем и карточками кодов и РСХБ с М-токеном в смартфоне.